« RGPD-compliant » : trois lettres et un tiret, annoncés sur la fiche produit, dans le pitch commercial, parfois dans l'objet de la première relance. Un marqueur est devenu si banal qu'il a perdu toute valeur informative pour qui doit réellement évaluer un prestataire.
Une plateforme d'incentive traite pourtant des données que peu de directions commerciales qualifient spontanément comme personnelles : scores nominatifs de classements, historiques de connexion, coordonnées de prospects transmises par des revendeurs-parrains. Des traitements qui engagent la responsabilité du donneur d'ordre autant que celle du prestataire.
Le cadre juridique applicable à ces programmes a été documenté dans deux guides publiés en 2026 : le premier couvre les obligations de conception d’un programme d’incentive conforme au RGPD, le second analyse le parrainage tripartite en réseau indirect. Le présent article complète l’ensemble en fournissant une grille d’évaluation des plateformes d’incentive, à utiliser au moment du choix du sous-traitant.
Pourquoi sélectionner une plateforme d'incentive est devenu un acte de conformité
Features, catalogue de récompenses, ergonomie mobile : ce qui relevait hier d'un choix fonctionnel engage aujourd'hui un arbitrage juridique documenté. Trois signaux convergents expliquent ce basculement, et les directions commerciales qui les ignorent s'exposent bien au-delà du simple risque réputationnel.
La certification CNIL sous-traitants : ce que prépare le régulateur
Depuis 2024, la CNIL travaille à un projet inédit : un référentiel de certification RGPD spécifiquement dédié aux sous-traitants de données. Une consultation publique, ouverte aux professionnels et aux fédérations sectorielles, s'est clôturée le 28 février 2025. La version définitive du référentiel se construit désormais en concertation avec les autorités de protection des données européennes (programme de travail CNIL 2025).
Ce projet de référentiel (publié en décembre 2024) structure l'évaluation autour de 90 points de contrôle répartis sur cinq phases : contractualisation, préparation de l'environnement de traitement, mise en œuvre opérationnelle, fin de traitement, et plan d'amélioration sur trois ans. En les appliquant, un sous-traitant certifié pourra démontrer que ses traitements ont été évalués selon un cadre reconnu par l'autorité de régulation.
Pour les entreprises qui sélectionnent une plateforme d'animation commerciale, le signal est clair. La CNIL le formule elle-même : la certification « permettra d'orienter les responsables de traitement dans le choix de leurs sous-traitants ». Elle ne sera pas obligatoire au sens strict, du moins pas dans un premier temps, mais s'imposera progressivement comme critère différenciant dans les appels d'offres grands comptes, où la conformité des prestataires fait désormais partie des prérequis éliminatoires.
La mention « RGPD-compliant » ne suffit plus comme argument commercial
Une plateforme d'incentive qui se déclare « conforme au RGPD » sur sa page de présentation ne fournit aucune preuve exploitable. L'auto-déclaration n'a pas de valeur probante au regard du règlement, contrairement à un DPA signé conforme à l'article 28 du RGPD, des mesures de sécurité documentées, une gouvernance identifiable (DPO désigné ou personne en charge de la protection des données), et la capacité démontrée de répondre aux demandes d'exercice de droits dans les délais réglementaires.
La CNIL a posé le principe avec constance : le responsable de traitement qui ne vérifie pas les garanties offertes par son sous-traitant engage sa propre responsabilité. La délibération SAN-2024-003 (FORIOU, 310 000 euros d'amende, janvier 2024) l'a confirmé dans le contexte précis des programmes de fidélité : l'opérateur qui s'appuie sur une base de données tierce reste pleinement responsable de la licéité du traitement, y compris de la collecte initiale qu'il n'a pas réalisée lui-même. Le mécanisme vaut identiquement pour l'entreprise qui confie son programme d'incentive à une plateforme sans avoir vérifié la solidité de son cadre contractuel.
Pour le détail des neuf clauses obligatoires du contrat de sous-traitance et les questions à poser avant de lancer un programme, le guide publié par MASLO en avril 2026 reste à ce jour la référence la plus complète en français sur le sujet.
ISO 27001 et conformité RGPD : ce que l'une couvre et ce que l'autre ne couvre pas
La confusion est fréquente, y compris chez les acheteurs avertis. La certification ISO 27001 atteste d'un système de management de la sécurité de l'information : gestion des accès, chiffrement, journalisation, plan de continuité, audits périodiques. Elle couvre la confidentialité, l'intégrité et la disponibilité des données. C'est un socle solide. Ce n'est pas un certificat de conformité RGPD.
Le RGPD impose des obligations que la norme ISO 27001 ne traite pas : bases légales documentées pour chaque traitement, information transparente des personnes concernées, gestion opérationnelle des droits (accès, rectification, suppression, portabilité), encadrement des transferts hors UE, réalisation d'analyses d'impact (DPIA) lorsque le profilage est à grande échelle. La CNIL le confirme explicitement : les normes ISO « ne constituent pas des certifications au sens de l'article 42 du RGPD ».
La norme ISO/IEC 27701, publiée en complément de la 27001, intègre une table de correspondance avec les articles du RGPD et couvre la gestion de la vie privée. Elle s'en rapproche davantage, sans pour autant valoir certification RGPD officielle.
En clair : dans un cahier des charges pour une plateforme d'incentive, la certification ISO 27001 constitue un prérequis de maturité sur le volet sécurité. Elle ne dispense en rien d'une évaluation complète de la conformité RGPD de la solution. Une plateforme peut être certifiée ISO 27001 et ne proposer aucun mécanisme de purge automatisée, aucune fonctionnalité de gestion des droits, aucun DPA adapté aux traitements d'un programme de challenges ou de fidélisation réseau.
Dix critères pour évaluer la conformité RGPD d'une plateforme d'incentive
Les guides d'évaluation RGPD des prestataires SaaS existent. Aucun ne descend dans la mécanique d'une plateforme de challenges, de fidélisation réseau ou de parrainage digital. La grille qui suit comble ce vide en distinguant deux couches : les critères universels, transposés au contexte de l'animation commerciale, et les critères que seul ce secteur génère.
--> Six critères universels, transposés au contexte incentive
Critère 1 : un DPA qui couvre les traitements réels du programme
L'existence d'un contrat de sous-traitance ne suffit pas. Un DPA générique, conçu pour couvrir « tout traitement confié au prestataire », passe à côté de l'essentiel. Le contrat doit décrire les traitements spécifiques au programme d'incentive : inscription des participants, collecte des déclarations de ventes, calcul et attribution des points, diffusion des classements nominatifs, gestion des récompenses, reporting de performance.
Ce que vérifie l'acheteur : le DPA mentionne-t-il explicitement les finalités et les catégories de données propres au programme ? Couvre-t-il les neuf clauses obligatoires de l'article 28 ? Un DPA qui parle de « données client » sans préciser qu'il s'agit de scores individuels et de comportements de connexion n'est pas un DPA adapté.
→ Pour en savoir plus sur la définition détaillée des finalités et les bases légales propres à un programme d’incentive, voir le guide de conception publié en 2026.
Critère 2 : localisation de l'hébergement et encadrement des transferts
Les données d'un programme d'incentive (identités, performances individuelles, coordonnées de prospects parrainés) doivent être localisées avec précision. Hébergement en France, dans l'Union européenne, ou hors UE : la réponse conditionne le régime juridique applicable.
En cas de transfert vers un pays tiers, le prestataire doit justifier d'un mécanisme conforme : décision d'adéquation, clauses contractuelles types (CCT), mesures complémentaires de chiffrement ou de pseudonymisation. L'acheteur exige la localisation exacte des datacenters, l'identité du fournisseur cloud, et la documentation des mécanismes de transfert le cas échéant.
Critère 3 : gestion opérationnelle des droits des personnes
La question n'est pas de savoir si la plateforme « respecte les droits » (toute plateforme le revendique), mais de savoir si elle fournit les outils techniques pour y répondre concrètement. Un participant au programme demande l'accès à ses données : la plateforme permet-elle un export ciblé par personne ? Un commercial exerce son droit de suppression : la plateforme sait-elle supprimer son profil sans corrompre les agrégats du programme ?
Le délai réglementaire est fixé à un mois par l'article 12 du RGPD. C'est une obligation du responsable de traitement, mais c'est la plateforme qui doit fournir l'interface pour la respecter. L'acheteur le vérifie en démo, pas sur une fiche commerciale.
Critère 4 : sort des données en fin de contrat
Que deviennent les données des participants si l'entreprise change de prestataire ? Le DPA doit prévoir explicitement deux options : restitution dans un format exploitable, ou destruction certifiée avec preuve documentée. L'absence de cette clause expose l'entreprise à une perte de contrôle sur des données personnelles dont elle reste responsable de traitement, même après la résiliation du contrat.
Ce critère est systématiquement sous-évalué dans les processus de sélection. Il devient critique dès que le programme atteint une certaine maturité : historiques de performance, classements sur plusieurs années, données de parrainage accumulées.
Critère 5 : chaîne de sous-traitance ultérieure
Une plateforme d'incentive ne fonctionne pas en vase clos. Elle s'appuie sur un hébergeur cloud, un prestataire d'envoi de SMS ou d'emails, un outil d'analytics, parfois un fournisseur de marketplace de récompenses. Chacun de ces acteurs est un sous-traitant ultérieur au sens du RGPD, et le responsable de traitement doit en être informé.
L'acheteur exige la liste complète des sous-traitants ultérieurs, leur localisation, et le mécanisme de notification en cas de changement. Le guide sous-traitant de la CNIL rappelle que l'autorisation préalable (générale ou spécifique) du responsable de traitement est obligatoire avant tout recours à un nouveau sous-traitant.
Critère 6 : procédure de notification des violations
En cas de violation de données (fuite, accès non autorisé, perte), le sous-traitant doit notifier le responsable de traitement « dans les meilleurs délais » après en avoir pris connaissance (article 33 du RGPD). Le responsable dispose ensuite de 72 heures pour notifier la CNIL si la violation présente un risque pour les personnes.
La plateforme doit disposer d'une procédure de gestion de crise documentée, avec un point de contact identifié et un engagement contractuel sur le délai de notification. L'acheteur qui ne vérifie pas ce point découvrira la réalité de la procédure au pire moment.
--> Quatre critères spécifiques aux plateformes d'animation commerciale
Critère 7 : classements nominatifs et visibilité des scores entre participants
Un classement de challenge qui affiche les noms, les scores et les positions de chaque participant constitue une communication de données personnelles entre pairs. Ce traitement suppose une information préalable des participants, intégrée au règlement du programme ou aux modalités d'inscription, et conforme à l'article 13 du RGPD.
La plateforme doit permettre de paramétrer la visibilité des classements : affichage complet, anonymisé, limité au top 10, ou désactivé. L'absence de cette granularité est un signal d'alerte direct : elle signifie que la conformité du classement dépend entièrement d'un paramétrage par défaut que personne n'a audité.
Critère 8 : profilage comportemental et scoring automatisé
Segmentation automatique des participants, détection prédictive du désengagement, personnalisation des objectifs de vente en fonction du profil de performance : ces fonctionnalités, courantes dans les plateformes d'incentive de nouvelle génération, relèvent du profilage au sens du RGPD. La base légale applicable est l'intérêt légitime (article 6.1.f), qui suppose un triple test documenté : légitimité de l'intérêt poursuivi, nécessité du traitement, mise en balance avec les droits des personnes.
Si le profilage porte sur un volume important de participants, une analyse d'impact (DPIA) peut être requise avant le lancement du programme. La plateforme doit être en mesure de fournir les éléments nécessaires à cette analyse : description des algorithmes, critères de scoring, flux de données, mesures de réduction des risques.
→ Les bases légales adaptées aux différents scénarios d’animation (challenge, fidélisation, parrainage) sont détaillées dans le guide général “Programme d’incentive et RGPD”
Critère 9 : parrainage indirect et risque de co-responsabilité
Lorsqu'une plateforme gère simultanément l'animation d'un réseau de revendeurs et un programme de parrainage, un troisième acteur entre dans l'équation : le revendeur-parrain qui collecte et transmet les coordonnées de prospects professionnels. Selon les Lignes directrices 07/2020 de l'EDPB, ce revendeur peut être qualifié de co-responsable de traitement au sens de l'article 26 du RGPD si sa participation au traitement est « inextricablement liée » à celle de la marque.
La conséquence pour l'acheteur : un simple DPA entre la marque et la plateforme ne couvre pas cette configuration. Un accord de co-responsabilité distinct peut être nécessaire. La plateforme propose-t-elle ce type d'accord ? Dispose-t-elle d'un cadre contractuel adapté au parrainage tripartite ? Pour la grille complète de qualification DPA ou accord article 26, le guide publié par MASLO en mai 2026 détaille les critères de décision.
Critère 10 : sous-traitance des récompenses
Le dernier maillon de la chaîne est rarement questionné dans les évaluations RGPD. La marketplace de récompenses (cadeaux, e-cartes, voyages) implique des fournisseurs logistiques qui reçoivent les données de livraison des participants : nom, prénom, adresse postale, parfois numéro de téléphone. Chaque fournisseur est un sous-traitant ultérieur au sens du RGPD.
L'acheteur doit vérifier que cette chaîne est documentée dans le DPA, que les fournisseurs de récompenses sont listés, que leurs engagements de confidentialité et de sécurité sont formalisés, et que la plateforme assure la traçabilité de bout en bout. Un programme qui distribue 20 000 euros de récompenses par an dans 27 pays (cas de figure courant dans les réseaux européens) génère un volume de transferts de données personnelles qui ne peut pas rester en zone grise contractuelle.
Grille récapitulative
Conduire l'évaluation : méthode, signaux d'alerte et horizon réglementaire
Parce que disposer d'une grille de critères ne change rien si elle reste dans un tiroir, ce troisième volet traduit les dix critères en gestes concrets au moment de l'évaluation : les documents à exiger, les signaux qui doivent alerter, et ce que la certification CNIL va modifier dans les pratiques de sélection à court terme.
Trois documents à exiger avant de signer
Cette démarche d’évaluation s’inscrit dans la continuité des deux premiers volets : définir un programme d’incentive conforme, sécuriser les cas particuliers comme le parrainage tripartite, puis sélectionner une plateforme capable de prendre en charge ces exigences dans la durée.
- le DPA complet, avec ses annexes techniques : description des traitements, mesures de sécurité, liste des sous-traitants ultérieurs. À la différence d’un résumé commercial, ou d’une page « sécurité » disponible sur le site du prestataire, il s’agit d’un document contractuel signé, dans sa version applicable au programme envisagé.
- La documentation de sécurité : politique de sécurité formalisée, périmètre de la certification ISO 27001 si elle existe, résultats d'audit ou rapports de tests d'intrusion lorsque le prestataire accepte de les partager. Ces éléments permettent d'évaluer si la maturité revendiquée repose sur des preuves ou sur des déclarations.
- La liste des sous-traitants ultérieurs, avec pour chacun : la nature du service rendu, la localisation de l'hébergement, et le mécanisme contractuel qui l'encadre. Cette liste existe chez tout prestataire structuré. Un éditeur qui refuse de la communiquer avant signature signale un problème de transparence, pas un souci de confidentialité commerciale.
Ces trois documents sont exigibles au stade de l'évaluation, pas après la signature. Le responsable de traitement doit pouvoir démontrer qu'il a vérifié les garanties de son sous-traitant avant de lui confier les données de ses équipes, de ses revendeurs ou de ses prospects.
Cinq signaux d'alerte à ne pas ignorer
- Premier signal : la plateforme ne propose pas de DPA spontanément, ou le DPA fourni est un document standard qui ne mentionne ni les finalités d'un programme d'incentive, ni les catégories de données spécifiques (scores, classements, comportements de connexion).
- Deuxième signal : l'hébergement est situé hors de l'Union européenne sans qu'aucune documentation ne justifie le mécanisme de transfert (clauses contractuelles types, décision d'adéquation, mesures techniques complémentaires).
- Troisième signal : la plateforme ne dispose d'aucune fonctionnalité permettant de supprimer, exporter ou anonymiser les données d'un participant individuellement. La purge globale en fin de programme ne répond pas aux exigences de l'article 17 (droit à l'effacement), qui peut être exercé à tout moment.
- Quatrième signal : la liste des sous-traitants ultérieurs n'est pas communiquée, ou les conditions contractuelles prévoient une clause d'interdiction d'audit. L'article 28.3(h) du RGPD prévoit explicitement que le sous-traitant met à disposition du responsable de traitement toutes les informations nécessaires pour démontrer le respect de ses obligations.
- Cinquième signal : le discours commercial confond certification ISO 27001 et conformité RGPD. Si l'interlocuteur présente sa certification sécurité comme preuve de conformité au règlement, sans mentionner le DPA, les droits des personnes ou les bases légales, l'évaluation RGPD n'a vraisemblablement pas été conduite avec la rigueur attendue.
Ce que la certification CNIL va changer à horizon 2027
Le référentiel de certification CNIL pour les sous-traitants, une fois finalisé et publié, va produire deux effets sur le marché des plateformes d'incentive.
- Le premier est un effet de tri. Les plateformes qui s'engageront dans la démarche de certification (90 points de contrôle, audit par un organisme accrédité, plan d'amélioration sur trois ans) disposeront d'un avantage documentaire significatif dans les appels d'offres. Les acheteurs qui exigent aujourd'hui un DPA, une certification ISO 27001 et une liste de sous-traitants pourront demander demain une certification CNIL comme preuve intégrée.
- Le second est un effet de clarification. La certification ne remplacera pas l'évaluation par le responsable de traitement : la CNIL est explicite sur ce point. Mais elle réduira l'asymétrie d'information entre acheteur et prestataire. Un sous-traitant certifié qui subit une violation pourra voir sa certification suspendue ou retirée, ce qui crée un mécanisme d'incitation continue à la conformité que les DPA contractuels seuls ne garantissent pas.
En attendant la publication du référentiel définitif, une formulation de cahier des charges peut d'ores et déjà anticiper cette évolution : « Lorsque disponible, une certification CNIL sous-traitant RGPD constituera un élément de preuve privilégié des garanties offertes, sans dispenser le candidat de répondre à l'ensemble des exigences contractuelles et techniques du présent cahier des charges. »
Les questions fréquentes
La certification ISO 27001 d'une plateforme d'incentive garantit-elle sa conformité RGPD ?
Non. La certification ISO 27001 atteste d'un système de management de la sécurité de l'information (gestion des accès, chiffrement, journalisation, continuité d'activité). Elle contribue à satisfaire l'obligation de sécurité de l'article 32 du RGPD, mais ne couvre pas les obligations propres au règlement : bases légales documentées, information des personnes concernées, gestion des droits, encadrement des transferts hors UE, analyses d'impact. La CNIL le confirme : les normes ISO ne constituent pas des certifications au sens de l'article 42 du RGPD. Dans un cahier des charges, ISO 27001 est un prérequis de maturité sécurité, pas un substitut à l'évaluation RGPD.
Que faire si la plateforme utilisée ne propose pas de DPA conforme à l'art. 28 ?
L'absence de DPA constitue un manquement au RGPD qui engage la responsabilité du responsable de traitement, indépendamment du comportement du prestataire. La CNIL a sanctionné cette situation dès 2020 (délibération SAN-2020-016, Performeclic). La première étape est de demander au prestataire un DPA conforme aux neuf clauses de l'article 28 : description des traitements, mesures de sécurité, gestion de la sous-traitance ultérieure, assistance pour les droits, notification des violations, sort des données en fin de contrat. Si le prestataire est incapable de produire ce document, c'est un signal suffisant pour reconsidérer le choix de la plateforme.
La future certification CNIL sous-traitants sera-t-elle obligatoire pour les plateformes d'incentive ?
Non, pas au sens légal du terme. La certification prévue par l'article 42 du RGPD est volontaire. Une plateforme non certifiée peut être conforme, et une plateforme certifiée reste soumise à l'évaluation du responsable de traitement. En revanche, la certification va progressivement s'imposer comme critère différenciant dans les appels d'offres grands comptes, où la conformité documentée des prestataires fait désormais partie des exigences éliminatoires. Les entreprises qui intègrent ce critère dans leurs cahiers des charges dès aujourd'hui anticipent un standard qui devrait se généraliser à horizon 2027.
Comment vérifier que la plateforme permet de répondre aux demandes d'exercice de droits dans les délais réglementaires ?
Le délai légal est d'un mois à compter de la réception de la demande (article 12 du RGPD). La vérification se fait en démo, pas sur une fiche commerciale. Les fonctionnalités à tester : export des données d'un participant ciblé, modification d'un profil, suppression d'un compte individuel sans corruption des agrégats du programme, désactivation sans effacement de l'historique collectif. Si ces actions nécessitent l'intervention d'un administrateur côté prestataire plutôt qu'une manipulation directe dans l'interface client, le risque de dépassement du délai réglementaire est réel et documentable.
Le recours à une marketplace de récompenses externe crée-t-il une sous-traitance ultérieure au sens du RGPD ?
Oui, dans la quasi-totalité des cas. Un fournisseur logistique qui reçoit les données de livraison des participants (nom, prénom, adresse, numéro de téléphone) pour traiter les commandes de récompenses est un sous-traitant ultérieur au sens de l'article 28.2 du RGPD. Ce fournisseur doit figurer dans la liste des sous-traitants ultérieurs communiquée par la plateforme. Ses engagements de confidentialité et de sécurité doivent être formalisés contractuellement. Un programme qui distribue des récompenses dans plusieurs pays génère par définition un flux de données personnelles qui ne peut pas rester sans cadre contractuel documenté.
Ces articles pourraient également vous intéresser
