RGPD et CRM : ce que le nettoyage de votre base HubSpot doit respecter

On présente souvent le nettoyage de base CRM comme un sujet de performance commerciale. C'est aussi, et parfois d'abord, un sujet de conformité : le RGPD impose des obligations précises sur les données que vous conservez, combien de temps, et avec qui vous les partagez. Une base jamais nettoyée cumule les écarts sans que personne ne s'en aperçoive.

Cet article est une vulgarisation de principes généraux, pas un conseil juridique : pour votre situation précise, rapprochez-vous d'un professionnel ou de la documentation de la CNIL.

Ce que le RGPD attend de votre base de prospects

• Minimisation : ne collecter et ne conserver que les données nécessaires à votre finalité. Les fiches accumulées « au cas où » depuis des années vont à l'encontre de ce principe.
• Durée de conservation limitée : les données de prospects ne se conservent pas indéfiniment. La CNIL évoque comme repère courant trois ans après le dernier contact émanant du prospect pour la prospection commerciale. Vos fiches sans aucune activité depuis quatre ans posent donc une vraie question.
• Exactitude : les données doivent être exactes et tenues à jour. Une base truffée de doublons contradictoires et de coordonnées invalides s'en éloigne.
• Droits des personnes : accès, rectification, effacement, opposition. Pour les honorer, encore faut-il retrouver toutes les fiches d'une personne, mission impossible quand elle existe en trois exemplaires sous des orthographes différentes.

Le nettoyage lui-même est un traitement de données

Point souvent ignoré : confier votre base à un prestataire de nettoyage constitue un traitement de données personnelles, avec les obligations qui l'accompagnent. Trois questions à poser à tout prestataire avant de lui envoyer un fichier clients :

1. Où vont les données ? Un outil SaaS les envoie sur ses serveurs, dans quel pays ? Un transfert hors UE déclenche des exigences supplémentaires. Un traitement local, lui, n'expose rien.
2. Un accord de traitement (DPA) est-il signé ? C'est une exigence de l'article 28 du RGPD dès qu'un sous-traitant manipule vos données.
3. Que deviennent les données après la prestation ? Suppression garantie et confirmée par écrit, ou conservation dans des sauvegardes du prestataire ?

Nettoyer en conformité : la méthode

Concrètement, un nettoyage RGPD-compatible suit la même méthode qu'un nettoyage de qualité, avec trois réflexes en plus : documenter les règles appliquées (quelles fiches supprimées, selon quel critère de durée) ; traiter les demandes d'opposition avant tout réimport (une personne désinscrite ne doit jamais réapparaître en liste marketing, un piège classique des imports mal maîtrisés) ; et conserver une trace des décisions, fiche par fiche, pour pouvoir en répondre.

C'est exactement la philosophie d'Inspectable : traitement 100 % local, vos données ne partent dans aucun cloud, DPA signé avant tout envoi, chaque décision de nettoyage tracée dans un fichier que vous validez, et suppression confirmée par écrit après livraison.