Aller au contenu
VIGNEDEV

Obligations légales

Formulaire de contact et RGPD : ce qu’il doit dire, ce qu’il doit demander

Par Bruno Vigné, fondateur de VIGNEDEV · Publié le

À qui remplit votre formulaire, le RGPD demande de dire qui vous êtes, pour quoi faire et sur quelle base, qui reçoit ses données, combien de temps elles sont gardées et quels sont ses droits. L’essentiel tient sous le bouton, le détail dans la politique de confidentialité. La case à cocher recueille un consentement, pour une lettre d’information.

Cette page fait partie du guide Site vitrine pour artisan : ce qu’il contient, ce qu’il coûte.

Un formulaire de contact recueille des données personnelles : un nom, une adresse e-mail, un téléphone, parfois l’adresse d’un chantier. Notre guide des mentions obligatoires liste ce que doit contenir la politique de confidentialité. Celui-ci s’en tient au formulaire : ce qu’il affiche, ce qu’il demande, combien de temps garder les demandes, et la case à cocher.

Cette page reprend les règles publiées par la CNIL et le texte du RGPD ; elle ne remplace pas un conseil juridique sur votre situation.

Informer au moment où le visiteur écrit

Le RGPD fixe le moment : les informations se donnent « au moment où les données en question sont obtenues », et Service-Public cite justement le visiteur qui remplit un formulaire de contact. Pour un site vitrine qui propose « uniquement un formulaire de contact », la CNIL écrit qu’il faut prévoir au minimum des « mentions CNIL » en bas du formulaire, un moyen de contact pour exercer ses droits par voie électronique, et des mentions légales.

Tout écrire sous le bouton reste possible, c’est même le premier exemple de la CNIL, à condition de rester lisible : elle met en garde contre les « mentions d’information illisibles sous un formulaire de collecte ». Quand le bloc devient long, elle conseille une information en plusieurs niveaux, par exemple deux : sous le formulaire, l’essentiel, c’est-à-dire l’identité du responsable, les finalités et les droits ; le reste dans la politique de confidentialité, à un clic. Car « Prioriser ne signifie pas transmettre une information incomplète ».

  • Ce qui s’ajoute sur le formulaire

    Signalez les champs obligatoires, par exemple par un astérisque, et dites ce qui se passe si on ne les remplit pas : la CNIL le demande. Le reste (base légale, destinataires y compris vos prestataires, durée de conservation, liste complète des droits, possibilité de saisir la CNIL, transfert éventuel hors de l’Union européenne) va dans la politique de confidentialité.

  • Un exemple à adapter

    Vos coordonnées servent uniquement à répondre à votre demande et, si vous le souhaitez, à établir un devis. Elles sont lues par [votre nom] et gardées [la durée choisie]. Pour y accéder, les corriger ou les faire effacer, écrivez à [votre adresse e-mail]. Le détail est dans notre politique de confidentialité. La CNIL présente ses propres exemples comme des illustrations à adapter, pas comme des modèles valables partout : ce texte aussi.

Ne demander que ce qui sert à répondre

Le RGPD veut des données « adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités pour lesquelles elles sont traitées ». Pour la CNIL, choisir les champs obligatoires « suppose une réflexion en amont sur l’utilité de collecter ces données ».

Pour un artisan, la question est simple : de quoi avez-vous besoin pour rappeler la personne et savoir si le chantier est pour vous ? La CNIL donne un exemple proche : un code postal indiqué pour savoir si une entreprise livre dans sa zone, avant tout contrat. Un champ ajouté par précaution est une donnée de plus à protéger, puis à effacer.

Le champÀ demander ?Pourquoi
Le nomOuiSavoir à qui vous répondez
Un téléphone ou une adresse e-mailAu moins l’un des deuxRépondre par le moyen que la personne préfère
La commune du chantierOui, si vous vous déplacezSavoir si vous intervenez dans ce secteur
La demande, en quelques lignesOuiPréparer votre réponse ou votre visite
Des photosFacultatifUtiles pour un dépannage ou un devis, jamais imposées
L’adresse complètePlutôt plus tardElle sert au devis ou à la visite, pas au premier message
La date de naissance, la situation familialeNonElles ne servent pas à répondre à une demande
L’état de santé, un handicapNon, sauf si le chantier l’exigeDes données sensibles, qui demandent dans la plupart des cas un consentement exprès

Combien de temps garder les demandes

Pour de nombreux traitements, rappelle la CNIL, « la durée de conservation n’est pas fixée par un texte » : c’est au responsable de la déterminer « en fonction de l’objectif ayant conduit à la collecte de ces données ». Cette durée, ou les critères qui la fixent, s’annonce au visiteur. Le référentiel de la CNIL sur la gestion des clients et des prospects éclaire les deux suites possibles d’une demande :

  • Sans suite, la personne reste un prospect. Ses données, si elles servent à la prospection commerciale, « peuvent être conservées pendant un délai de trois ans à compter de leur collecte ou du dernier contact venant du prospect ». C’est un plafond, pas un objectif.
  • Devenue cliente, ses données utiles au contrat se gardent pendant la relation contractuelle ; ensuite ne restent en archive que celles qu’une loi impose ou qui servent de preuve. La CNIL rappelle par exemple que « les données de facturation doivent être conservées dix ans en application du Code de commerce ».

  • Un repère, pas une loi

    Ces référentiels « ne sont pas contraignants » : les responsables de traitement peuvent s’en écarter, « à condition toutefois de pouvoir justifier leur choix ». Et la durée annoncée vaut partout où une demande atterrit : votre boîte e-mail, votre téléphone, l’outil qui gère le formulaire.

La case à cocher : quand elle sert, et quand elle ne sert pas

Beaucoup de formulaires ajoutent par réflexe une case d’acceptation avant le bouton d’envoi. Or le consentement doit-il être systématiquement recueilli ? La CNIL répond non : d’autres bases légales existent, « comme par exemple l’exécution d’un contrat ou leur intérêt légitime ».

La base du contrat couvre aussi des « mesures préalables à la signature d’un contrat et qui en facilitent la conclusion, à condition que ces mesures soient prises à la demande des personnes ». Une demande de devis envoyée à l’initiative du visiteur correspond à cette description ; le choix de la base revient toutefois au responsable du traitement, qui l’indique dans sa politique de confidentialité.

En revanche, le consentement est « systématiquement requis » pour certains usages, rappelle la CNIL, comme la prospection commerciale par courriel. C’est là que la case trouve sa place.

Ce que vous voulez faireUne case à cocher ?Ce que dit la CNIL
Répondre à la demande, établir un devisNon, l’information suffitPour un site vitrine : des mentions sous le formulaire, un contact pour exercer ses droits, des mentions légales
Envoyer des offres ou une lettre d’information par e-mail à des particuliersOui (recommandée), dédiée, jamais cochée d’avanceUn consentement préalable ; accepter des conditions générales d’utilisation ne suffit pas
Envoyer des offres par e-mail à des professionnels, sur leur métierUne case pour s’y opposer, recommandéeUne information, et un moyen de s’y opposer simple et gratuit
Écrire à un client qui vous a déjà acheté, pour des prestations similairesUne case pour s’y opposer, recommandéeUne exception au consentement, valable seulement après une vente ou une prestation

Le lien vers la politique de confidentialité

Pour le site entier, la CNIL propose un lien « clairement visible sur chaque page du site », au titre clair, comme « Données personnelles » ou « Confidentialité ». C’est une proposition : ce que le RGPD impose, c’est une information aisément accessible. Le pied de page s’y prête bien.

La politique doit être distincte des conditions générales de vente ou d’utilisation, et dire la même chose que le formulaire : si l’un annonce un an de conservation et l’autre trois ans, l’un des deux est faux.

Vérifier votre formulaire, point par point

  1. Remplissez-le depuis votre téléphone, comme un client, et lisez ce qui s’affiche près du bouton d’envoi.
  2. Vérifiez qu’on y apprend qui reçoit la demande, à quoi elle sert et comment exercer ses droits.
  3. Passez les champs en revue : chacun sert à répondre, et les obligatoires sont signalés.
  4. Regardez les cases : aucune n’est cochée d’avance, et celle d’une lettre d’information ne bloque pas l’envoi, car le consentement doit être libre.
  5. Suivez le lien vers la politique de confidentialité : il fonctionne, et la durée de conservation y est la même.
  6. Demandez à votre prestataire où les demandes sont stockées, et si c’est hors de l’Union européenne : un tel transfert se mentionne.
  7. Notez dans votre agenda le tri des anciennes demandes, au rythme de la durée annoncée.

Les erreurs qui reviennent

Un formulaire bien présenté peut quand même être à reprendre. Trois erreurs reviennent souvent, et toutes s’évitent :

  • Une case cochée d’avance, ou une seule case pour la demande et pour la lettre d’information : la CNIL ne voit un accord clair ni dans les cases pré-cochées ni dans les consentements « groupés ».
  • Un texte copié d’un autre site, qui annonce des destinataires, des durées ou des outils qui ne sont pas les vôtres.
  • Une durée annoncée mais jamais appliquée, pendant que les demandes s’accumulent dans la boîte e-mail.

Sur nos sites, et sur vigne.dev

Dans nos formules de création et de page vitrine, le formulaire de contact et les pages légales sont compris. Nous écrivons la phrase du formulaire et la politique de confidentialité d’après ce que le formulaire demande vraiment, et vous les relisez avant la mise en ligne. Votre site est livré avec son interface d’administration : vous modifiez vos textes, vos photos et vos contenus vous-même, sans frais et sans nous solliciter. Les demandes reçues s’y lisent aussi, et le devis précise ce que comprend l’interface de votre site.

Sur vigne.dev, le formulaire demande votre nom, votre adresse e-mail et votre message. Une phrase sous le bouton dit que vos coordonnées servent uniquement à vous répondre et renvoie à la politique de confidentialité, qui précise que les messages sont gardés le temps de traiter votre demande, puis au plus trois ans après notre dernier échange. Aucune case à cocher : le site ne propose pas de lettre d’information.

FormuleCe que le prix de départ comprendPrix de départ
Page vitrineUne page, mise en page adaptée au téléphone, formulaire de contact, votre interface d’administration, mise en ligne et pages légales.à partir de 790 € HT
Création de site4 à 6 pages, mise en page adaptée au téléphone, formulaire de contact, votre interface d’administration, mise en ligne et pages légales.à partir de 1 900 € HT

Questions fréquentes

Des réponses courtes et franches. S’il manque la vôtre, écrivez-nous.

Une case à cocher est-elle obligatoire sur un formulaire de contact ?

Aucune des pages de la CNIL que nous citons ne l’impose pour une simple demande, et la CNIL rappelle que le consentement n’a pas à être recueilli systématiquement. Pour envoyer des offres par e-mail à des particuliers, il faut un consentement préalable, donné par un geste actif : la CNIL recommande une case dédiée et interdit la case cochée d’avance.

Que faire d’une demande de devis restée sans suite ?

La garder tant qu’elle peut servir, puis l’effacer. Le référentiel de la CNIL retient trois ans au plus pour les données de prospects utilisées à des fins de prospection commerciale. Si vous ne relancez pas, fixez une durée liée à votre besoin, le suivi du devis par exemple, et annoncez-la dans votre politique de confidentialité.

Peut-on inscrire à sa lettre d’information ceux qui ont demandé un devis ?

Pas sans leur accord s’il s’agit de particuliers : la CNIL demande un consentement préalable pour la prospection par e-mail. L’exception des prestations similaires ne vaut qu’après une vente ou une prestation. Pour un professionnel, une information et un moyen simple de s’y opposer suffisent, si l’offre concerne son métier.

Un outil de formulaire extérieur au site change-t-il quelque chose ?

Oui : son fournisseur fait partie des destinataires à mentionner, et un stockage hors de l’Union européenne est un transfert à indiquer, avec ses garanties. Les demandes s’y accumulent aussi : la durée annoncée doit y être appliquée.

Qui répond quand un visiteur demande l’effacement de sa demande ?

Vous, en tant que responsable du traitement, même si le site a été construit par un prestataire. Le RGPD demande de répondre dans les meilleurs délais, au plus tard dans un mois ; ce délai peut être prolongé de deux mois « compte tenu de la complexité et du nombre de demandes », en prévenant la personne, avec les motifs, dans le premier mois.

Parlons de votre activité

Décrivez-nous votre métier en quelques lignes. Premier échange gratuit et sans engagement, par téléphone ou en visio. Nous vous dirons franchement si un site vous servira.

Demander un devis

À lire ensuite

Sources