<p>Les données clients (nom, email, téléphone, adresse, comportement d'achat) sont des données personnelles soumises au RGPD. Leur collecte, conservation et utilisation obéissent à des règles strictes. Bien gérer la donnée client est à la fois une obligation légale et un facteur de confiance commercial. La conformité protège l'entreprise et valorise sa relation clients.</p><h2>Base légale</h2><p>Article 6 du RGPD : tout traitement nécessite une base légale. Pour les données clients : exécution du contrat (livraison, facturation) = base la plus solide. Intérêt légitime (CRM, prévention fraude) = à motiver. Consentement (newsletter, profiling) = explicite et révocable. Obligation légale (conservation comptable) = base claire. Pour chaque finalité : identifier et documenter la base légale.</p><h2>Durées de conservation</h2><p>Données client actif : durée de la relation contractuelle. Données client inactif (prospection) : 3 ans après dernier contact/achat. Comptabilité (factures, contrats) : 10 ans (obligation légale article L123-22 du Code de commerce). Données sensibles (santé, biométrie) : durées spécifiques selon CNIL. Politique de purge automatisée à mettre en place. Conservation au-delà : risque de sanctions CNIL.</p><h2>Droits des clients</h2><p>Information (article 13) : à fournir à la collecte sur finalités, durée, droits. Accès (article 15) : copie des données sur demande dans le mois. Rectification (article 16). Effacement / droit à l'oubli (article 17). Limitation du traitement (article 18). Portabilité (article 20) : transmission des données dans format structuré. Opposition (article 21), notamment pour la prospection. Délai de réponse : 1 mois.</p><h2>Sécurité</h2><p>Article 32 du RGPD : mesures techniques et organisationnelles appropriées au risque. Chiffrement, pseudonymisation, contrôle d'accès, sauvegardes, journalisation. Tests de sécurité réguliers. Notification des violations à la CNIL dans 72 heures (article 33). Information des personnes concernées si risque élevé (article 34). Sous-traitants : contrats DPA (data processing agreement) selon article 28.</p><h2>Sanctions</h2><p>Manquements RGPD : sanctions CNIL jusqu'à 20 millions d'euros ou 4 % du CA mondial. Exemples : Google (50 M€ en 2019), Carrefour (3 M€ en 2020), Amazon (35 M€ en 2020). Au-delà des amendes : atteinte à l'image, perte de confiance, contentieux civils des personnes concernées. Conformité = investissement protecteur. Outils : Privacy by design, registre de traitement, DPO, formation des équipes.</p>