Ce que le règlement demande à une entreprise du bâtiment
Le règlement européen sur la protection des données, le RGPD, s'applique à toute organisation qui traite des données sur des personnes, quelle que soit sa taille. Pour une entreprise du bâtiment, cela concerne les clients et les prospects, mais aussi les salariés, les sous-traitants personnes physiques et les personnes que l'on photographie. Les principes à retenir tiennent en sept points.
- Une finalité claire : on collecte une donnée pour une raison précise, annoncée.
- La minimisation : on ne garde que ce qui est utile à cette raison.
- L'information : les personnes savent qui traite leurs données, pourquoi, combien de temps, et comment exercer leurs droits.
- La durée limitée : une donnée ne se garde pas indéfiniment.
- La sécurité : on protège les données contre la perte et l'accès non autorisé.
- Les droits : accès, rectification, effacement, opposition, et réponse dans un délai d'un mois.
- La responsabilité : on peut prouver que l'on respecte ces règles.
Cartographier ses données
On ne protège bien que ce que l'on connaît. Une demi-journée suffit à dresser la carte des données de l'entreprise.
| Donnée | D'où elle vient | Pourquoi on la garde | Où elle est | Qui y accède |
|---|---|---|---|---|
| Coordonnées d'un prospect | Formulaire, appel, recommandation | Répondre à la demande | Carnet, boîte e-mail, logiciel | Dirigeant, assistante |
| Dossier d'un client | Devis signé | Exécuter le contrat | Logiciel, dossier partagé | Équipe concernée |
| Factures | Émission | Obligation comptable | Logiciel, comptable | Dirigeant, comptable |
| Photos de chantier | Équipe | Preuve, suivi | Téléphone, espace partagé | Équipe, client si publiées |
| Données des salariés | Embauche | Paie, obligations sociales | Dossier du personnel | Dirigeant, comptable |
Ce tableau est votre embryon de registre des traitements. Il révèle souvent des données qui traînent là où elles ne devraient pas : un fichier de clients sur une clé USB, des photos sur un téléphone personnel.
Informer les clients
Chaque personne dont vous collectez les données doit savoir ce que vous en faites. Une mention d'information courte, intégrée à votre devis, à votre formulaire de contact et à votre site, suffit. Voici un modèle à adapter.
Les données que vous nous communiquez sont utilisées par [entreprise] pour répondre à votre demande, établir votre devis, exécuter votre chantier et assurer le suivi de votre dossier. Elles sont conservées pendant la durée de notre relation, puis pendant les délais légaux. Vous pouvez demander l'accès à vos données, leur rectification ou leur suppression en écrivant à [adresse]. Pour en savoir plus, consultez notre politique de confidentialité ou contactez la CNIL.
Fixer les durées de conservation
| Type de donnée | Durée de conservation usuelle |
|---|---|
| Prospect sans suite | Trois ans à compter du dernier contact |
| Client pendant la relation | Durée du contrat et des garanties qui s'y rattachent |
| Pièces comptables et factures | En principe dix ans |
| Documents de chantier liés aux garanties | Durée des garanties applicables, jusqu'à dix ans pour la décennale |
| Photos et comptes rendus | Aussi longtemps que la garantie le justifie |
| Candidatures non retenues | En général deux ans au plus après le dernier contact, sauf accord de la personne |
Ces durées sont des repères : vérifiez-les auprès de la CNIL et de votre expert-comptable. L'essentiel est d'en fixer pour chaque catégorie et de les appliquer, avec une revue annuelle pour supprimer ce qui n'a plus de raison d'être gardé.
Sur quelle base légale repose chaque traitement
Le règlement veut que chaque usage de données s'appuie sur une base légale, c'est-à-dire une raison qui le rend licite. Pour une entreprise du bâtiment, trois bases reviennent presque toujours : l'exécution d'un contrat, l'obligation légale et l'intérêt légitime. Le consentement ne sert que dans certains cas.
| Ce que vous faites des données | Base légale la plus courante |
|---|---|
| Établir un devis demandé par un client | Mesures précontractuelles prises à sa demande |
| Réaliser et facturer le chantier | Exécution du contrat |
| Conserver les factures et les pièces comptables | Obligation légale |
| Relancer un devis resté sans réponse | En général l'intérêt légitime, en laissant la possibilité de s'opposer |
| Envoyer une lettre d'information à des particuliers | Le plus souvent le consentement préalable, avec des exceptions pour les clients existants et les services analogues |
Pour la prospection par e-mail, les règles diffèrent selon que le destinataire est un particulier ou un professionnel. Consultez les fiches de la CNIL sur la prospection commerciale avant de lancer une campagne : une erreur à cet endroit se paie vite en réclamations.
Répondre aux demandes des personnes
Un client peut demander l'accès à ses données, leur rectification, leur effacement ou s'opposer à leur usage. Vous disposez d'un mois pour répondre. Une procédure simple suffit : un interlocuteur désigné, une adresse de contact, une vérification d'identité si un doute existe, une réponse écrite. Pour un effacement, supprimez ce que vous n'avez plus de raison de garder et conservez, en l'expliquant, ce que la loi vous impose de conserver. Notez chaque demande et la réponse : c'est la preuve que vous respectez le règlement.
Photos de chantier et personnes reconnaissables
Une photo d'intérieur révèle la vie privée d'un client : sa décoration, ses objets, parfois ses proches. Prise pour documenter le chantier, elle sert légitimement le suivi et la preuve. Publiée sur votre site ou vos réseaux sociaux, elle change de nature. En principe, il faut alors l'accord du client, de préférence écrit, qui précise où et pendant combien de temps l'image sera diffusée. Les personnes reconnaissables sur un cliché disposent d'un droit à l'image : cadrez sans visage, ou demandez l'accord de chacun.
Ajoutez une ligne à votre devis ou à votre contrat : « J'autorise l'entreprise à utiliser des photographies du chantier, sans visage ni élément permettant de m'identifier, pour présenter ses réalisations. » Le client peut refuser sans conséquence sur le chantier, et retirer son accord plus tard.
Les salariés et les outils de suivi
Les données de vos salariés relèvent aussi du règlement, avec une vigilance particulière sur les outils de suivi. La géolocalisation d'un véhicule ou d'un téléphone n'est pas libre : elle suppose en principe une finalité précise, une information préalable des personnes et des limites, car un suivi permanent n'est pas admis. Les salariés doivent connaître les outils qui enregistrent leur activité, et leurs représentants, s'ils existent, être consultés. Pour le détail des règles, reportez-vous aux fiches de la CNIL consacrées aux salariés.
Exemple : une semaine pour se mettre en règle
Prenons une entreprise de rénovation de huit personnes, qui n'a jamais formalisé sa démarche. Les durées ci-dessous sont indicatives.
| Jour | Action | Temps estimé | Résultat |
|---|---|---|---|
| Lundi | Dresser la carte des données | 3 heures | Un tableau des données, des lieux et des accès |
| Mardi | Rédiger la mention d'information et l'ajouter aux devis et au site | 2 heures | Une phrase type, publiée partout |
| Mercredi | Fixer les durées de conservation et planifier une purge annuelle | 2 heures | Un tableau de durées, une date de revue |
| Jeudi | Verrouiller les appareils, revoir les accès, vérifier les sauvegardes | 3 heures | Des accès limités, des appareils protégés |
| Vendredi | Demander les politiques et contrats des prestataires, noter la procédure de fuite | 3 heures | Un dossier de preuves, une procédure d'une page |
À la fin de la semaine, l'entreprise dispose d'un registre simple, d'un affichage clair et d'une procédure. Elle n'est pas « parfaite » : elle a posé une base documentée, qu'elle améliorera chaque année lors de sa revue.
Sécuriser au quotidien
La sécurité repose sur des gestes simples, appliqués par tous.
- Verrouiller les appareils : code ou empreinte sur les téléphones et les ordinateurs.
- Utiliser des mots de passe solides, distincts, idéalement gérés par un gestionnaire.
- Sauvegarder les données importantes, sur un support séparé.
- Limiter les accès : chacun voit ce dont il a besoin.
- Ne pas envoyer de données sensibles par des canaux non protégés.
- Chiffrer les ordinateurs portables qui contiennent des dossiers clients.
- Supprimer les accès d'un salarié ou d'un prestataire qui part.
Encadrer ses prestataires
Un logiciel, un hébergeur, un comptable, un service d'envoi d'e-mails traitent des données pour votre compte. Le règlement exige un contrat qui précise ce qu'ils peuvent faire de ces données, la sécurité qu'ils assurent, et le sort des données à la fin de la relation. Demandez à chaque éditeur où les données sont hébergées, quels prestataires l'aident, et si des transferts ont lieu hors de l'Union européenne : ils exigent des garanties, comme les clauses contractuelles types. Une politique de confidentialité claire et un contrat de traitement sont le minimum à attendre.
Cookies et site internet
Si votre site utilise des outils de mesure d'audience ou des cookies publicitaires, la loi demande en principe un consentement préalable, que l'on peut refuser aussi simplement qu'accepter. Un bandeau conforme, une page qui décrit les cookies utilisés, et une politique de confidentialité complètent l'ensemble. Un site qui ne dépose aucun traceur non essentiel se passe de bandeau. Vérifiez les recommandations de la CNIL sur les cookies et traceurs pour le détail.
En cas de fuite : quatre réflexes
- Contenir : couper l'accès compromis, changer les mots de passe, bloquer l'appareil perdu.
- Évaluer : quelles données, combien de personnes, quel risque pour elles.
- Notifier : à la CNIL dans les soixante-douze heures si le risque existe, aux personnes concernées si le risque est élevé.
- Documenter : consigner l'incident, ses causes, les mesures prises.
Les erreurs fréquentes
- Garder indéfiniment les données de prospects sans suite.
- Ne rien dire aux clients de ce que l'on fait de leurs données.
- Laisser un fichier clients sur une clé ou un téléphone non verrouillé.
- Utiliser un outil gratuit grand public pour des données de clients.
- Ne pas avoir de contrat avec un prestataire qui traite des données.
- Ignorer une demande d'accès ou d'effacement.
Check-list RGPD d'une entreprise du bâtiment
- La carte des données est dressée et à jour.
- Une mention d'information figure sur les devis, le site et les formulaires.
- Des durées de conservation sont fixées et appliquées.
- Une procédure répond aux demandes des personnes sous un mois.
- Les appareils sont verrouillés, les accès limités, les sauvegardes faites.
- Chaque prestataire a une politique de confidentialité et un contrat.
- Une procédure de fuite est connue de l'équipe.
Comment Corsala vous aide
Pour les données de vos clients, votre entreprise est responsable du traitement et Corsala agit en tant que sous-traitant, comme l'explique sa politique de confidentialité. Les serveurs et la base sont chez Hetzner, dans l'Union européenne ; chaque entreprise est séparée des autres au niveau de la base de données, qui refuse de montrer une ligne à une autre entreprise. Une sauvegarde chiffrée est faite chaque nuit, conservée plusieurs jours sur le serveur et trente jours chez un second prestataire. Les clés d'intégration sont chiffrées, et l'accès de l'équipe de Corsala est restreint et journalisé. Les fonctions d'IA font appel à des prestataires situés aux États-Unis, hors de l'Union : Anthropic pour l'analyse et la rédaction, sous clauses contractuelles types, et Groq ou OpenAI pour la transcription de la voix, comme le détaille la politique de confidentialité. L'assistant n'utilise que les droits de la personne connectée. Vos données ne sont ni vendues ni utilisées à des fins publicitaires.
Vos clients et vos partenaires entrent par un lien personnel et ne voient que ce que vous leur partagez : cela limite la circulation des documents par e-mail. Corsala ne remplace pas votre registre des traitements ni vos durées de conservation, qui restent à définir. Le CRM est gratuit ; seule l'IA se paie au jeton (0,10 € le jeton). Vous pouvez ouvrir votre espace gratuit ou demander une démo.