Sur cette page · 8 parties
- Une demande de devis contient des données personnelles : le RGPD s'applique.
- Exigez un hébergement UE et un DPA signé (article 28) en standard.
- Les photos clients doivent être réencodées pour supprimer les données EXIF/GPS.
- Durée de conservation déclarée et pixels de tracking soumis au consentement.
Un configurateur collecte des données personnelles dès qu’un client envoie une demande de devis, donc le RGPD s’applique comme à tout formulaire de votre site. Les points à vérifier sont l’hébergement UE, un contrat de sous-traitance signé, des photos débarrassées de leurs métadonnées, une durée de conservation déclarée et des pixels soumis au consentement. Ce guide détaille chaque point, explique le risque des photos clients, souvent oublié, et se termine par une liste à cocher avant le lancement.
Pourquoi cela s’applique spécifiquement à un configurateur
Un configurateur de produit 3D n’est pas qu’un outil visuel. Dès qu’un client soumet une demande de devis, il collecte des données personnelles : nom, email, numéro de téléphone, souvent une adresse de livraison ou d’installation, et de plus en plus des photos du propre domicile ou de la terrasse du client envoyées avec la demande. Si le configurateur prend en charge la réservation d’une visite de métré, il gère aussi une visite à domicile planifiée liée à cette adresse. Sous le RGPD, vous (le commerçant) êtes le responsable du traitement de cette information, et votre prestataire de configurateur est un sous-traitant agissant en votre nom, ce qui amène un ensemble d’obligations spécifique et vérifiable.
Ce n’est pas propre aux configurateurs. N’importe quel formulaire de contact porte les mêmes obligations de base. Cela vaut la peine d’être énoncé clairement ici car les configurateurs collectent des données plus nombreuses et plus riches qu’un simple formulaire de contact (photos, adresses exactes, signaux d’appareil et de navigation pour le tracking), ce qui élève les enjeux en cas d’erreur.
La check-list
| Élément | Ce qu’il faut vérifier |
|---|---|
| Lieu d’hébergement | Les données clients (demandes, devis, photos) sont-elles hébergées dans l’UE, ou le prestataire précise-t-il où elles se trouvent et sous quel mécanisme légal de transfert sinon ? |
| Contrat de sous-traitance | Le prestataire propose-t-il un DPA signé (Article 28) en standard, pas sur demande spéciale ? |
| Métadonnées des photos | Les photos envoyées par les clients sont-elles débarrassées de leurs données EXIF/GPS et réencodées, ou stockées telles qu’envoyées ? |
| Durée de conservation | Existe-t-il une durée de conservation déclarée et raisonnable pour les demandes, devis et photos, avec suppression après, ou un stockage indéfini par défaut ? |
| Consentement pour les pixels de tracking | Les pixels de conversion Google/Meta/TikTok se déclenchent-ils seulement après le consentement aux cookies, ou se chargent-ils sans condition ? |
| Export/suppression des données clients | Pouvez-vous (et, sur demande, le client) obtenir ses données exportées ou supprimées sur demande, dans un délai raisonnable ? |
| Sous-traitants ultérieurs | Le prestataire divulgue-t-il les tiers (livraison d’email, génération de PDF, infrastructure d’hébergement) qui touchent aussi les données ? |
Gardez ce tableau comme check-list littérale lors d’un appel avec un prestataire. Un prestataire habitué aux clients d’entreprise ou européens aura des réponses directes aux sept lignes sans hésitation.
Le lieu d’hébergement et le contrat de sous-traitance
Le RGPD n’exige pas strictement un hébergement dans l’UE. Il exige une base légale pour tout transfert hors UE/EEE (décisions d’adéquation, clauses contractuelles types, etc.) quand les données sortent effectivement. En pratique, l’hébergement UE supprime entièrement la question et constitue l’histoire de conformité la plus simple pour un commerçant petit ou moyen sans conseil juridique interne pour gérer les mécanismes de transfert international. Si un prestataire héberge hors UE, demandez précisément quel mécanisme de transfert s’applique, par écrit.
Séparément, et cela s’applique quel que soit le lieu d’hébergement, vous avez besoin d’un contrat de sous-traitance (DPA) signé avec le prestataire, comme l’exige le RGPD Article 28 chaque fois qu’un sous-traitant traite des données personnelles pour le compte d’un responsable de traitement. Un prestataire servant des commerçants de l’UE de façon courante devrait avoir un DPA standard prêt à signer, pas quelque chose à négocier depuis zéro.
Les photos clients : le risque facile à rater
Les photos qu’un client envoie avec une demande de devis (de sa terrasse, de sa ligne de clôture existante, du mur auquel une structure s’attachera) sont des données personnelles, et les photos prises sur un téléphone portent souvent des métadonnées EXIF incluant les coordonnées GPS : l’emplacement exact où la photo a été prise, intégré invisiblement dans le fichier. Stockées et transmises telles quelles, c’est une véritable exposition si la photo fuit un jour ou est mal gérée. Effectivement l’adresse du domicile d’un client attachée à un fichier image.
La solution est simple et devrait être standard dans tout configurateur gérant des envois clients : décoder l’image, valider qu’il s’agit bien d’une image (pas un type de fichier déguisé, une étape d’hygiène de sécurité de base autant que de confidentialité), la redimensionner à une taille maximale raisonnable, et la réencoder, ce qui supprime au passage les métadonnées EXIF/GPS et autres métadonnées intégrées. Demandez directement à un prestataire : « les photos clients sont-elles réencodées côté serveur, ou stockées exactement telles qu’envoyées ? » La réponse devrait être la première.
La conservation
Le principe de limitation de conservation du RGPD signifie que les données personnelles ne devraient pas être gardées indéfiniment « au cas où ». Un prestataire de configurateur devrait pouvoir indiquer (et vous laisser régler, dans une mesure raisonnable) combien de temps les données de demande, les devis et les photos sont conservés, et que les demandes refusées ou supprimées et les devis expirés sont effectivement retirés plutôt que conservés indéfiniment par défaut. Si un prestataire n’a aucune politique de conservation déclarée, c’est un écart qui mérite d’être questionné directement plutôt que supposé géré.
Le consentement pour les pixels de tracking
La plupart des configurateurs déclenchent un tracking de conversion (Google Ads, Meta, TikTok) sur les demandes de devis, car la demande est l’événement de « conversion » naturel pour une entreprise de structures extérieures qui fait de la publicité. Ces pixels sont eux-mêmes soumis aux règles de consentement aux cookies dans l’UE (ePrivacy, appliqué aux côtés du RGPD). Ils ne devraient se déclencher qu’après que le visiteur a donné son consentement, pas par défaut au chargement de la page. Vérifiez que les extraits de tracking du configurateur sont soumis au consentement (et, si intégré sur votre site existant, que ce verrouillage est aussi respecté à l’intérieur de l’intégration, voir intégrer un configurateur dans WordPress, Shopify ou Webflow) plutôt que de se déclencher sans condition.
Export et suppression sur demande
Un client a un droit d’accès et un droit à l’effacement sous le RGPD. Confirmez que le configurateur vous permet de retrouver et d’exporter les données d’un client spécifique (ses demandes, devis, photos) et de les supprimer sur demande, dans un délai pratique. C’est une capacité opérationnelle de base qu’une plateforme gérant des données clients devrait déjà avoir, pas une demande de développement sur mesure à soulever.
Assembler le tout
Rien de tout cela n’est exotique une fois posé clairement. C’est la même catégorie de diligence que vous appliqueriez déjà (espérons-le) à tout formulaire ou CRM contenant des données clients. Les ajouts spécifiques au configurateur sont la question des métadonnées photo et les données plus riches qu’une réservation de visite de métré porte (une adresse de domicile et un horaire de rendez-vous confirmés, pas juste une adresse email). Parcourez cette liste avec n’importe quel prestataire avant que les données de vos clients ne commencent à y transiter. C’est une conversation de cinq minutes bien plus facile à avoir avant le lancement qu’après une demande d’un client ou une question d’une autorité de contrôle :
- Données hébergées dans l’UE, ou mécanisme de transfert précisé par écrit.
- DPA (article 28) signé, proposé en standard.
- Photos clients réencodées côté serveur, sans EXIF ni GPS.
- Durée de conservation déclarée, avec suppression effective ensuite.
- Pixels Google/Meta/TikTok déclenchés seulement après consentement, y compris dans l’intégration.
- Export et suppression des données d’un client possibles sur demande.
- Liste des sous-traitants ultérieurs communiquée.
Pour la décision d’achat plus large dans laquelle cette check-list s’inscrit, voir notre guide d’achat d’un configurateur 3D, ou réservez une démonstration de 30 minutes qui couvre directement l’hébergement et la gestion des données.
