Quand un client demande à effacer ses données

Un client te demande de le supprimer. Voici ce qui se passe réellement, étape par étape, et pourquoi la réponse n'est pas un DELETE.

Son prénom, son e-mail et son anniversaire sont vidés, et son numéro est remplacé par un identifiant opaque qui ne mène nulle part. Rien de tout ça n'est récupérable. Ses passages, eux, restent, sans plus rien qui les rattache à une personne : une fois qu'il n'y a plus de numéro joignable, plus de nom, plus d'adresse et plus de date de naissance, ce qui reste n'est plus une donnée personnelle, c'est une visite anonyme dans un historique.

Pourquoi pas une vraie suppression

Parce qu'une vraie suppression détruirait des choses qui n'appartiennent pas à cette personne.

Les visites, les preuves de retour, les cartes émises, les parrainages et les parties de jeu sont tous rattachés à la fiche du client. Supprimer la fiche les emporte. Ton historique de chiffre d'affaires vérifié serait réécrit, et surtout ton nombre de clients actifs changerait.

Ce nombre est une entrée de facturation. Concrètement : un commerce pourrait descendre d'un palier de plan parce que quelqu'un, sans aucun rapport avec lui, a exercé un droit. Et comme la ligne aurait disparu, personne ne pourrait le constater après coup. Un effet de bord invisible sur une facture est pire qu'un effet de bord visible.

L'anonymisation irréversible satisfait le droit à l'effacement sans rien faire de tout ça. C'est la solution correcte, pas la solution pratique.

Ce qui est effacé, précisément

Deux lignes de ce tableau méritent une explication.

Le numéro est remplacé, pas vidé. Il devient un identifiant opaque plutôt que rien du tout, et ce n'est pas de la pudeur technique. Un commerce ne peut avoir qu'une seule fiche par numéro. Si le champ était laissé vide, la place resterait occupée par un fantôme et la même personne ne pourrait jamais se réinscrire chez toi. Le remplacer libère la place : si elle revient un jour et s'inscrit à nouveau, elle repart d'une fiche neuve, sans rien qui la relie à l'ancienne. C'est exactement ce que « effacé » devrait vouloir dire.

La désinscription est posée au passage, et elle est définitive pour cette fiche-là. Rien ne peut la lever, ni un réglage de ton côté, ni une demande à Kanz. Seule la personne elle-même peut revenir, en s'inscrivant à nouveau, ce qui crée la fiche neuve décrite juste au-dessus. Et même anonymisée, l'ancienne fiche garde la marque qui interdit à toute relance de la viser : la protection ne dépend donc pas du fait que les champs soient vides.

Ce qui survit, et pourquoi c'est normal

Une ligne survit toujours : celle qui dit que l'effacement a eu lieu, quand, et à la demande de qui.

Ça surprend, et c'est l'inverse d'une contradiction. Sans cette trace, personne ne peut répondre « vous avez été effacé, et voici quand » un an plus tard. Une suppression qui ne laisse aucune preuve d'elle-même est une suppression que tu ne peux pas démontrer, ce qui est le seul cas où on te la redemandera.

Avant d'effacer : le client a droit à une copie

Ce sont deux demandes différentes et il ne faut pas les confondre. « Envoyez-moi ce que vous avez sur moi » et « supprimez tout » n'appellent pas la même réponse, et la première doit être servie avant la seconde, puisque après il n'y a plus rien à envoyer.

La copie contient tout : le profil, chaque consentement daté, chaque passage, chaque message reçu, les cartes, les codes de récompense, les parrainages et les retours qu'il a laissés. Elle contient aussi son numéro en clair, ce qui est le seul endroit du produit où c'est le cas. C'est voulu : le document est remis à la personne qui, par définition, connaît déjà son propre numéro.

Qui appuie sur le bouton, honnêtement

Pas toi. Cette partie-là est faite par Kanz, pas depuis ton panneau, et il vaut mieux le savoir avant d'avoir la demande sur les bras.

La copie des données peut être produite par le support, parce qu'une demande d'accès a un délai légal et ne doit pas attendre une escalade. L'effacement, lui, demande le niveau d'autorisation le plus élevé, une raison écrite, et la saisie du numéro de téléphone complet du client pour confirmer.

Cette dernière exigence n'est pas de la cérémonie. Partout ailleurs dans la console d'administration, les numéros sont masqués. Il faut donc déjà détenir le numéro pour pouvoir effacer quelqu'un, et on ne le détient que si la demande est arrivée. Personne ne peut effacer un client sur lequel il est simplement tombé en parcourant une liste.

Ce que ça veut dire pour toi

Trois choses pratiques.

Transmets la demande, ne bricole pas. Modifier la fiche à la main pour « effacer » un client laisse le numéro en place, donc ne l'efface pas.

Sers la copie avant l'effacement si les deux sont demandés, parce que l'ordre inverse est impossible.

Dis à ton client ce qui reste. Ses passages restent, anonymes, et ils ne permettent de remonter à lui d'aucune manière. C'est une phrase plus honnête que « tout est supprimé », et c'est celle qui est vraie.

Ce que Kanz collecte au départ, et ce qu'il refuse de collecter, est dans cet article.