Franchiser son entreprise : encadrer les données clients

Transformer une entreprise existante en communauté de franchise change la manière de gérer les données clients. Un fichier jusque-là utilisé par une seule société peut devenir accessible à plusieurs entreprises indépendantes. Avant de déployer votre logiciel de caisse, votre réservation en ligne ou votre programme de fidélité, précisez qui utilise quelles données, pour quelle finalité et sous quelle responsabilité.

1. Cartographier les usages avant de partager le fichier

Commencez par les pratiques de votre entreprise actuelle, sans supposer qu’elles pourront être reproduites à l’identique chez chaque franchisé. Listez les points de collecte : achats, devis, rendez-vous, formulaires, réclamations, inscriptions à une lettre d’information et comptes de fidélité.

Pour chaque usage, rédigez une fiche simple indiquant :

• les données réellement nécessaires ;
• l’entreprise qui les collecte et celles qui y accèdent ;
• la finalité poursuivie et la base juridique envisagée ;
• la durée de conservation ou les critères permettant de la fixer ;
• les logiciels et prestataires concernés.

Un outil commun ne justifie pas un accès commun à toutes les données. Un franchisé peut avoir besoin de l’historique des commandes de ses clients sans devoir consulter celui de tous les autres établissements. Le franchiseur peut souvent suivre l’activité grâce à des indicateurs agrégés, sans recevoir les noms et coordonnées des acheteurs.

Repérez également les anciens fichiers dont l’origine ou les conditions de collecte sont incertaines. Leur présence dans votre entreprise ne suffit pas à autoriser leur utilisation pour de nouvelles campagnes de la communauté.

2. Attribuer les responsabilités selon les usages réels

En France, les données personnelles relèvent notamment du règlement général sur la protection des données, le RGPD, et de la loi Informatique et Libertés. La CNIL en contrôle l’application. La franchise ne bénéficie pas d’une exemption : chaque entreprise doit examiner son rôle pour chaque traitement.

Le responsable du traitement détermine ses finalités et ses moyens essentiels. Le sous-traitant agit pour son compte, sur ses instructions. Lorsque plusieurs entreprises déterminent conjointement ces éléments, elles peuvent être responsables conjoints.

Par exemple, un franchisé qui gère seul ses devis et sa relation commerciale locale sera généralement responsable de ces traitements. Un programme de fidélité conçu et piloté ensemble peut nécessiter une analyse différente. Le seul fait que le franchiseur impose un logiciel ne permet pas de trancher automatiquement.

Faites donc qualifier les rôles traitement par traitement. Selon le résultat, prévoyez un accord de sous-traitance conforme à l’article 28 du RGPD ou un accord de responsabilité conjointe conforme à son article 26. Une clause proclamant que « le franchisé est seul responsable de toutes les données » ne neutralise pas les responsabilités réelles du franchiseur.

Pour la prospection électronique auprès des particuliers, vérifiez aussi les règles du Code des postes et des communications électroniques. Le consentement préalable est en principe nécessaire, sous réserve des exceptions légales. Un consentement donné à un établissement ne couvre pas automatiquement les sollicitations de toutes les entreprises de la communauté.

3. Traduire les choix dans les documents contractuels

Le droit français ne prévoit pas de statut légal unique et complet du contrat de franchise. Le droit commun des contrats, le droit de la concurrence et celui de la propriété intellectuelle s’appliquent, auxquels s’ajoutent les règles relatives aux données personnelles.

L’information précontractuelle est notamment encadrée par les articles L. 330-3 et R. 330-1 du Code de commerce, issus du dispositif dit loi Doubin. Lorsque ses conditions sont réunies, notamment la mise à disposition d’un signe distinctif assortie d’un engagement d’exclusivité ou de quasi-exclusivité pour l’activité, le DIP et le projet de contrat doivent être communiqués au moins vingt jours avant la signature ou, le cas échéant, tout versement préalable.

Sans transformer le DIP en notice technique, rendez lisibles les engagements liés aux outils obligatoires et leurs coûts. Dans le contrat et ses annexes, précisez les accès, les usages autorisés, les prestataires, les obligations de sécurité et le traitement des demandes des personnes.

Évitez de résumer le sujet à la « propriété du fichier ». Cette expression ne règle ni les droits des clients ni la licéité des utilisations. Distinguez les droits sur l’outil, les conditions d’accès aux informations et les responsabilités concernant leur traitement.

4. Tester les procédures avant la première ouverture

Utilisez votre établissement existant pour éprouver les procédures avec des comptes distincts. Vérifiez qu’un utilisateur local ne peut pas exporter toute la base et qu’un salarié parti perd effectivement ses accès.

Préparez trois scénarios : un client demande l’accès à ses données, une campagne part vers de mauvais destinataires, un ordinateur contenant des informations clients disparaît. Pour chacun, désignez un interlocuteur, un circuit d’alerte et une méthode de traçabilité.

Une violation de données peut devoir être notifiée à la CNIL dans les soixante-douze heures suivant sa découverte par le responsable du traitement, sauf si elle n’est pas susceptible d’engendrer un risque pour les personnes. L’alerte interne doit donc être rapide.

À retenir : avant de connecter votre premier franchisé, validez une cartographie des usages, des responsabilités documentées et des accès testés. Un logiciel partagé doit soutenir la communauté, pas créer un partage incontrôlé des données.