Vous pouvez garder dans votre CRM toute donnée qui sert encore à la raison pour laquelle vous l’avez collectée. C’est le critère unique de la loi 25, et il est plus simple que sa réputation : pas de liste de champs interdits, pas de durée universelle. Un nom, un courriel, un historique d’achat et des notes de suivi se justifient sans peine chez un client actif. Les mêmes données chez un prospect qui n’a jamais répondu en quatre ans ne se justifient plus.
Voici comment appliquer ce critère concrètement, champ par champ, et ce qu’il faut supprimer aujourd’hui dans la plupart des CRM de PME québécoises. Pour le cadre général, voyez ce que la loi 25 change pour votre marketing. Ceci n’est pas un avis juridique.
La finalité, et rien d’autre
La loi pose deux exigences qui se tiennent. Vous ne collectez que ce qui est nécessaire aux fins annoncées, et vous détruisez ou anonymisez la donnée quand ces fins sont remplies. Il n’y a donc pas de réponse générale à « combien de temps peut-on garder un contact » : la réponse dépend de ce que vous en faites, et vous devez pouvoir l’expliquer.
Le test est verbal, et il fonctionne bien en réunion. Prenez un champ, et finissez la phrase à voix haute : « on garde cette donnée parce que… ». Si la phrase se termine par une raison d’affaires précise, le champ reste. Si elle se termine par « on ne sait jamais », « c’est venu avec l’import » ou « ça a toujours été là », le champ saute. Dans les CRM qu’on ouvre, ce deuxième cas représente facilement le tiers des colonnes.
« On ne sait jamais » n’est pas une finalité. C’est un aveu qu’il n’y en a plus.
Ce qui se défend sans discussion
Chez un client actif ou récent, le socle ne pose aucun problème : nom, coordonnées professionnelles, entreprise, historique des soumissions et des factures, contrats, suivi des travaux, correspondance liée au mandat. Une bonne partie relève d’ailleurs d’obligations fiscales et comptables qui imposent leur propre durée de conservation, laquelle prime sur l’envie de faire du ménage. Vous ne supprimez pas une facture pour être conforme à la loi 25.
Les données de suivi commercial se défendent aussi tant que la relation vit : dates d’appels, étape dans le pipeline, produits discutés, objections soulevées. C’est le matériel qui sert à relancer au bon moment, et la finalité est évidente à formuler.
Ce qu’il faut sortir du CRM
Quatre catégories reviennent systématiquement. Les données personnelles sans rapport avec la transaction, d’abord : date de naissance demandée « pour envoyer des vœux », situation familiale, numéro d’assurance sociale ramassé on ne sait plus pourquoi, photocopies de pièces d’identité restées en pièce jointe. Ensuite, les données financières brutes : un numéro de carte de crédit complet n’a rien à faire dans une fiche de contact, et votre processeur de paiement s’en occupe déjà.
Troisièmement, les listes importées dont personne ne connaît l’origine — un fichier de salon, une base héritée d’un ancien vendeur, un export d’un partenaire. Sans source ni consentement documenté, vous détenez des renseignements que vous ne pouvez pas justifier. Et enfin les doublons et les fiches fantômes : trois entrées pour la même personne multiplient par trois votre surface de risque et vos chances de vous tromper le jour d’une demande d’accès.
Le cas des notes libres
C’est l’angle mort de tous les CRM. Le champ « notes » accumule des années de commentaires écrits vite, parfois par des gens qui ne sont plus dans l’entreprise : « client difficile », « se plaint tout le temps », « en instance de divorce, attendre », « ne semble pas avoir les moyens ». Ces notes sont des renseignements personnels au même titre que le reste, et la personne concernée a le droit d’y accéder sur demande.
La règle à donner à votre équipe tient en une phrase : n’écrivez rien que vous ne seriez pas à l’aise de lire à la personne au téléphone. Ce n’est pas seulement une consigne de conformité, c’est une consigne de qualité — les notes factuelles (« budget annoncé de 15 000 $, décision en mars, décideur : le frère ») servent la vente, les notes d’humeur ne servent personne.
Combien de temps garder un prospect qui n’a jamais acheté
La loi ne donne pas de chiffre, donc c’est à vous de fixer une durée et de pouvoir l’expliquer. Le raisonnement à tenir est celui de votre cycle de vente réel. Si vous vendez des toitures, dont le cycle de décision s’étale sur deux ou trois saisons, garder une demande de soumission trois ans se défend très bien. Si vous vendez un service dont la décision se prend en trois semaines, quatre ans de silence ne se justifient plus.
Écrivez cette durée quelque part — une ligne dans un document interne suffit, et elle alimente directement votre politique de confidentialité. L’exercice a une vertu inattendue : il force à regarder combien de contacts dorment dans le système sans avoir jamais été relancés. La plupart des PME découvrent à ce moment-là qu’elles ont un problème de suivi bien avant d’avoir un problème de conformité.
Votre CRM est hébergé ailleurs : et alors ?
La plupart des PME québécoises utilisent un outil américain, et ce n’est pas interdit. Ce que la loi demande, c’est que la protection reste adéquate hors Québec, que le contrat avec le fournisseur le prévoie, et que vous puissiez dire dans votre politique de confidentialité où vont les données. Les grands fournisseurs proposent des addenda contractuels prévus pour ça ; encore faut-il les avoir signés plutôt que supposés.
La même logique vaut pour votre plateforme d’infolettre, votre outil de rendez-vous et votre agence : chacun détient une part de vos données clients, et la responsabilité revient toujours à vous. Faites-en la liste une fois — la plupart des PME en découvrent huit ou dix alors qu’elles en annonçaient trois. Le volet courriel, qui a ses propres règles, est traité dans notre article sur le consentement et l’infolettre.
Le jour où quelqu’un demande ses données
Vous avez trente jours pour répondre à une demande d’accès, de correction ou de suppression. Le délai n’est pas le problème : le problème, c’est de savoir où se trouvent les données de cette personne. Si elles sont dans le CRM, dans la plateforme d’infolettre, dans une boîte courriel, dans un tableur sur un poste de travail et dans un fil de messages avec l’agence, la demande devient une enquête interne.
C’est le meilleur argument pour centraliser. Un CRM qui contient tout, avec des exports propres, transforme une demande d’accès en dix minutes de travail. Et si vous hésitez encore sur l’outil, voyez ce qu’il faut regarder avant de choisir un CRM pour une PME québécoise — et en attendant, réservez l’appel diagnostic : on ouvre votre système, on regarde ce qui s’y trouve, et vous repartez avec la liste de ce qui doit sortir.