Parrainage client et règles CNIL : ce que dit vraiment le RGPD

Pour un programme de parrainage en France, la règle clé est que les coordonnées du parrainé ne peuvent être exploitées que pour une unique prise de contact commerciale, sauf consentement exprès. L’entreprise doit informer le parrainé de l’identité de son parrain dès ce premier échange, conserver la preuve de cette information et limiter la durée de conservation des données à trois ans pour un prospect. Tout prestataire technique impliqué doit par ailleurs être encadré par un contrat conforme à l’article 28 du RGPD.

En bref:

• Toute utilisation des données du parrainé doit se limiter à une seule prise de contact sans consentement supplémentaire, sauf accord explicite ultérieur.
• La durée de conservation des coordonnées non converties doit généralement rester inférieure à trois ans selon les recommandations de la CNIL.
• Le consentement du parrainé pour des communications ultérieures doit être recueilli séparément et rester facilement modifiable.
• La transparence en informant clairement le parrain et le parrainé sur l’identité, l’usage des données et leurs droits est obligatoire dès le premier contact.
• Un contrat conforme à l’article 28 du RGPD entre l’entreprise et tout prestataire SaaS est indispensable pour garantir la conformité du traitement des données.

Table des matières

• Quelles bases juridiques encadrent le parrainage client
• Informer le parrain et le parrainé : ce qu’il faut leur dire
• Une seule prise de contact et une durée de conservation limitée
• Prospection par e-mail, SMS ou appel : les règles à respecter
• Transmettre des données à des partenaires : ce que la CNIL attend
• Contrats avec les prestataires SaaS : ce qu’exige l’article 28 du RGPD
• Concevoir un dispositif de parrainage conforme : la checklist
• Comment un outil de gestion de parrainage facilite le respect des règles CNIL
• Pourquoi la conformité devient un levier commercial
• Une solution logicielle peut prendre en charge cette exécution en structurant le parcours du parrain et du parrainé au sein d’une seule interface, avec une traçabilité intégrée à chaque étape.
• Sources
• Questions fréquentes

Quelles bases juridiques encadrent le parrainage client

Un dispositif de parrainage traite deux catégories de personnes aux statuts juridiques différents : le parrain, client existant de l’entreprise, et le parrainé, prospect qui n’a jamais eu de relation contractuelle avec elle. Cette distinction change tout, parce que la base légale qui autorise le traitement des données n’est pas la même des deux côtés.

Pour le parrain, la relation contractuelle déjà établie permet souvent de justifier le traitement par l’exécution du contrat ou par l’intérêt légitime de l’entreprise à faire connaître son programme. Pour le parrainé, la situation est plus délicate : aucun contrat ne le lie à l’entreprise, et l’intérêt légitime ne suffit pas à justifier n’importe quel usage de ses coordonnées. C’est là qu’intervient une règle précise fixée par la CNIL : les données du parrainé ne peuvent être utilisées que pour une unique prise de contact, sauf s’il donne son consentement exprès à un usage ultérieur.

Beaucoup d’entreprises croient à tort que l’exception prévue à l’article L.34-5 du code des postes et des communications électroniques, qui dispense du consentement préalable pour prospecter ses propres clients sur des produits analogues, s’applique aussi au parrainé. Ce n’est pas le cas : le parrainé n’est pas client au moment du premier contact, et cette exception ne le concerne donc pas.

Trois points structurent l’analyse juridique d’un programme de parrainage :

• La finalité doit être formulée avec précision : “mise en relation dans le cadre d’un programme de parrainage”, pas une formule vague qui ouvrirait la porte à d’autres usages.
• Le consentement du parrainé pour toute communication ultérieure doit être recueilli séparément, jamais présumé du seul fait qu’il a été recommandé.
• La preuve de l’information délivrée et du périmètre d’usage des données doit être conservée pour répondre à un contrôle.

Informer le parrain et le parrainé : ce qu’il faut leur dire

La transparence n’est pas une option esthétique, elle conditionne la validité juridique du dispositif. Deux publics, deux niveaux d’information à construire avec la même rigueur.

Côté parrain, le formulaire de parrainage doit préciser qui va recevoir ses données, dans quel but, pendant combien de temps elles seront conservées et comment il peut exercer ses droits d’accès ou de suppression. Côté parrainé, l’obligation est plus spécifique : dès le premier message, qu’il s’agisse d’un e-mail, d’un SMS ou d’un appel, l’entreprise doit indiquer explicitement l’identité du parrain qui l’a recommandé, comme le rappelle la CNIL sur les règles de parrainage. Un message qui se contente de vanter une offre sans mentionner cette origine expose l’entreprise à une contestation.

Une pratique à proscrire absolument : conditionner l’avantage commercial du parrain, comme une réduction ou un cadeau supplémentaire, à l’acceptation par le parrainé de recevoir des communications marketing futures. La fiche CNIL sur le parrainage et les jeux concours déconseille explicitement ce type de couplage, qui vicie le caractère libre du consentement.

Voici les étapes à suivre pour structurer la collecte :

1. Rédiger une mention d’information claire au moment où le parrain saisit les coordonnées du parrainé.
2. Prévoir une case à cocher non pré-cochée si le parrainé doit consentir à un usage ultérieur de ses données.
3. Générer automatiquement un horodatage et conserver l’adresse IP associée à chaque saisie.
4. Archiver une capture de l’écran de consentement ou un log technique équivalent.
5. Documenter la finalité exacte communiquée au parrainé dans le message de premier contact.

Conseil de pro : Gardez une trace technique de chaque consentement recueilli, même pour le parrain : en cas de contrôle, c’est cette preuve qui protège l’entreprise, pas la bonne foi.

Une seule prise de contact et une durée de conservation limitée

Le principe est simple à énoncer mais souvent mal appliqué : sans consentement exprès du parrainé pour aller plus loin, l’entreprise n’a le droit qu’à un seul contact commercial. Passé ce contact, si le parrainé ne devient pas client et n’a pas explicitement accepté de recevoir d’autres communications, ses coordonnées doivent cesser d’être exploitées à des fins commerciales.

Le référentiel CNIL relatif à la gestion des activités commerciales recommande une conservation de trois ans pour les données de prospects non convertis en clients, un repère qui vaut aussi pour les parrainés qui n’ont pas donné suite à la sollicitation.

Ce référentiel n’a pas de force contraignante en tant que tel, mais s’y conformer offre une sécurité juridique appréciable : en cas de contrôle, l’entreprise qui applique ces préconisations n’a pas à justifier ses choix un par un. À l’inverse, s’écarter de cette durée de trois ans, par exemple pour conserver plus longtemps des données jugées stratégiques, exige de documenter précisément le motif de cet écart, conformément au principe d’accountability rappelé par la CNIL dans ses questions-réponses sur les référentiels commerciaux.

Quelques règles pratiques pour tenir cette contrainte dans la durée :

• Programmer une suppression automatique des coordonnées du parrainé à l’échéance des trois ans en l’absence de conversion.
• Purger immédiatement les données dès qu’un parrainé exerce son droit d’opposition.
• Ne conserver que les champs strictement nécessaires à la prise de contact, sans enrichir le profil au-delà de ce qui sert la finalité déclarée.
• Revoir périodiquement la base de parrainés pour identifier les contacts devenus obsolètes.

Prospection par e-mail, SMS ou appel : les règles à respecter

Le canal utilisé pour contacter le parrainé change la donne juridique. Un appel humain isolé n’est pas soumis aux mêmes contraintes qu’une campagne d’e-mails ou de SMS automatisés, qui relève du régime spécifique de la prospection électronique.

Pour toute communication électronique adressée à un particulier, la règle de base reste le consentement préalable, ou opt-in. La CNIL rappelle que le démarchage par e-mail, SMS ou automate d’appel repose sur ce recueil préalable, avec une exception limitée aux clients existants sollicités pour des produits analogues, prévue par l’article L.34-5 du CPCE. Or le parrainé, au moment du premier contact, n’est précisément pas encore client : cette exception ne s’applique donc pas à lui, quelle que soit la qualité de la relation entre l’entreprise et le parrain.

Concrètement, cela signifie qu’un e-mail ou un SMS automatisé envoyé à un parrainé sans son consentement préalable, en dehors du message initial autorisé par le mécanisme du parrainage, expose l’entreprise à une requalification en prospection illégale. Le message initial, lui, reste licite parce qu’il découle directement de la mise en relation voulue par le parrain, mais tout envoi ultérieur doit s’appuyer sur un consentement recueilli entre-temps.

Pour sécuriser ces échanges, plusieurs réflexes s’imposent :

• Limiter le premier message au strict nécessaire : identité du parrain, objet de la mise en relation, offre proposée.
• Insérer un lien ou un moyen de désinscription clairement visible dès ce premier envoi.
• Ne jamais enchaîner une seconde communication automatisée sans consentement exprès intermédiaire.
• Former les équipes commerciales à distinguer un appel de courtoisie ponctuel d’une campagne de prospection structurée.
• Traiter toute demande d’opposition sous quelques jours et supprimer les coordonnées correspondantes sans délai.

Transmettre des données à des partenaires : ce que la CNIL attend

Un programme de parrainage implique parfois plusieurs entités : l’entreprise elle-même, un partenaire commercial, parfois un réseau de distributeurs. Dès que les coordonnées d’un parrainé sont susceptibles d’être transmises à un tiers, des obligations supplémentaires s’ajoutent.

L’entreprise doit informer le parrainé, dès la collecte, des catégories de destinataires susceptibles de recevoir ses données, et lui offrir la possibilité de s’y opposer. La CNIL précise, pour la prospection B-to-C, que transmettre des données à des partenaires à des fins de prospection électronique nécessite le consentement de la personne concernée, un consentement distinct de celui donné pour la relation avec l’entreprise elle-même.

Cette exigence a une conséquence directe sur la manière de présenter le formulaire de collecte : une case à cocher générique du type “j’accepte que mes données soient partagées” ne suffit pas si le parrainé ne sait pas avec qui elles seront partagées, ni pour quoi faire.

Les bonnes pratiques recommandées par la CNIL incluent :

• Fournir une liste à jour et exhaustive des partenaires destinataires au moment du recueil du consentement.
• Exiger de chaque partenaire qu’il recueille lui-même un consentement propre avant toute démarche de prospection.
• Mettre à disposition la politique de confidentialité de chaque partenaire, ou un lien vers celle-ci.
• Prévoir un mécanisme d’opposition qui s’applique à l’ensemble de la chaîne de destinataires, pas seulement à l’entreprise initiale.

Un partenaire qui reçoit des données d’un parrainé sans que ce circuit ait été respecté engage sa propre responsabilité, mais l’entreprise à l’origine de la collecte reste exposée si elle n’a pas correctement informé la personne concernée en amont.

Contrats avec les prestataires SaaS : ce qu’exige l’article 28 du RGPD

La plupart des entreprises qui lancent un programme de parrainage passent par un outil SaaS pour gérer les invitations, le suivi et le versement des récompenses. Ce choix technique a une conséquence juridique directe : le prestataire devient sous-traitant au sens du RGPD, et cette qualité impose un cadre contractuel précis.

Le principe de base est simple mais souvent négligé : un sous-traitant ne peut réutiliser les données qui lui sont confiées pour son propre compte que si le responsable de traitement l’y a autorisé par écrit, comme le rappelle la CNIL dans sa fiche sur la réutilisation de données par les sous-traitants. Sans cette autorisation explicite, toute exploitation des données par le prestataire à d’autres fins constitue un manquement.

Avant de choisir un prestataire de parrainage, voici les vérifications à mener :

1. Confirmer l’existence d’un contrat de sous-traitance conforme à l’article 28 du RGPD, précisant l’objet, la durée et la finalité du traitement.
2. Vérifier les garanties de sécurité proposées : chiffrement des données, accès restreint aux équipes autorisées, tenue de journaux d’activité.
3. S’assurer que le contrat prévoit une clause de notification rapide en cas de violation de données.
4. Vérifier que le prestataire s’engage à assister l’entreprise dans le traitement des demandes d’exercice de droits, accès, rectification, opposition.
5. Demander la possibilité d’un audit ou d’une preuve de conformité, notamment la capacité à exporter les logs et historiques de consentement en cas de contrôle.

Conseil de pro : Avant de signer avec un prestataire SaaS de parrainage, demandez-lui de démontrer concrètement comment il peut produire, en quelques minutes, l’historique complet des consentements d’un parrainé donné : c’est souvent ce que révèle le mieux la solidité réelle de son offre.

Ce niveau de garantie technique et contractuelle n’est pas qu’une formalité. En cas de contrôle, c’est l’entreprise responsable du traitement, pas seulement son prestataire, qui doit être en mesure de présenter ces éléments, comme le souligne la CNIL dans ses recommandations sur la gestion de la sous-traitance.

Concevoir un dispositif de parrainage conforme : la checklist

Passer de la théorie à la pratique demande une méthode structurée. Voici les étapes à suivre pour lancer ou auditer un programme de parrainage.

1. Rédiger le formulaire de parrainage avec des cases de consentement non pré-cochées et un langage clair sur l’usage des données.
2. Préparer un message initial type destiné au parrainé, mentionnant explicitement l’identité du parrain et la finalité unique du contact.
3. Fixer une durée de conservation par défaut de trois ans pour les parrainés non convertis, avec une purge automatisée à l’échéance.
4. Mettre en place un lien ou un canal d’opposition simple, traité sans délai par les équipes commerciales.
5. Formaliser un contrat de sous-traitance avec chaque prestataire technique impliqué dans la collecte ou l’envoi des messages.
6. Activer la journalisation des consentements et des actions de prospection pour pouvoir reconstituer l’historique d’un contact.
7. Revoir le dispositif au moins une fois par an pour vérifier sa cohérence avec les évolutions de la réglementation.

Cette checklist peut aussi servir de trame pour ceux qui veulent structurer leur déploiement de façon plus large, comme le détaille notre guide pour lancer un programme de parrainage B2B.

Comment un outil de gestion de parrainage facilite le respect des règles CNIL

Automatiser un programme de parrainage ne dispense pas des obligations décrites plus haut, mais un outil bien conçu peut considérablement réduire le risque d’erreur humaine. Un outil de gestion de parrainage automatise le processus, de l’invitation initiale jusqu’au versement des commissions, avec un suivi en temps réel de chaque étape.

Sur le plan de la conformité, plusieurs fonctionnalités peuvent répondre aux exigences détaillées dans ce guide :

• Génération automatique de logs horodatés pour chaque consentement recueilli et chaque message envoyé au parrainé.
• Gestion centralisée des préférences de contact, avec traçabilité des choix exprimés.
• Suppression automatisée des coordonnées à l’échéance de la durée de conservation définie.
• Encadrement contractuel du traitement des données, conforme aux exigences applicables aux prestataires SaaS.

Un prestataire SaaS doit pouvoir démontrer, à tout moment, l’origine et l’historique de chaque consentement recueilli.

Avant de retenir un fournisseur, il reste indispensable de vérifier contractuellement les clauses de sous-traitance et techniquement la capacité de la plateforme à exporter les preuves de consentement en cas de contrôle. La page de gestion client Fidera détaille comment cette centralisation s’organise concrètement au sein de la plateforme.

Pourquoi la conformité devient un levier commercial

La tentation est grande de voir les règles CNIL comme une contrainte qui ralentit le lancement d’un programme de parrainage. C’est une lecture incomplète. Un parrainé qui reçoit un message transparent, qui sait immédiatement qui l’a recommandé et pourquoi il est contacté, réagit mieux qu’un prospect qui se sent sollicité sans repère. La transparence n’est pas qu’une obligation, elle construit la confiance qui fait accepter la démarche.

L’autre bénéfice, moins visible, se joue au moment d’un contrôle ou d’une réclamation. Une entreprise qui a documenté ses choix, horodaté ses consentements et limité la durée de conservation de ses données n’a rien à redouter d’un contrôle CNIL. Celle qui a négligé cette traçabilité découvre souvent le problème au pire moment, quand une plainte arrive.

Le vrai gain se situe en amont : associer le délégué à la protection des données ou le service juridique dès la conception du programme, plutôt qu’après son lancement, évite des refontes coûteuses et accélère la mise sur le marché.

— Jonathan

Une solution logicielle peut prendre en charge cette exécution en structurant le parcours du parrain et du parrainé au sein d’une seule interface, avec une traçabilité intégrée à chaque étape.

Concrètement, la plateforme apporte :

• Une automatisation complète du parcours, de l’invitation à la commission versée, sans ressaisie manuelle.
• Un suivi en temps réel des consentements et des interactions avec chaque parrainé.
• Des commissions versées automatiquement via Stripe, avec un historique consultable à tout moment.
• Un cadre pensé pour la conformité légale, utile pour documenter les choix opérationnels en cas de contrôle.

Les forfaits Starter, Business et Enterprise, disponibles sans engagement, permettent d’adapter la solution à la taille de l’équipe commerciale. Le détail des tarifs et des fonctionnalités associées à chaque formule est consultable sur la page tarifs de Fidera, qui reste le point de départ le plus direct pour évaluer la formule adaptée à votre activité.

Sources

• Quelles sont les règles à suivre en matière de parrainage ? | CNIL
• Parrainage et jeux concours (fiche CNIL)

Questions fréquentes

Quelles sont les conditions de parrainage acceptées par la CNIL ?

La CNIL exige que le parrainé soit informé de l’identité du parrain dès le premier contact et que ses coordonnées ne servent qu’à une unique prise de contact commerciale, sauf consentement exprès pour aller plus loin. L’avantage offert au parrain ne doit jamais être conditionné à l’acceptation, par le parrainé, de recevoir des communications marketing futures.

Comment gagner une récompense par parrainage sans enfreindre les règles CNIL ?

Le montant ou la nature de la récompense versée au parrain relève du choix commercial de chaque entreprise, indépendant des obligations CNIL. Ce qui compte pour la conformité, c’est que cette récompense ne soit jamais liée à un consentement forcé du parrainé, un principe rappelé par la fiche CNIL sur le parrainage.

Comment parrainer un nouveau client dans le respect du RGPD ?

Le parrain doit donner son accord explicite pour transmettre les coordonnées du filleul, et l’entreprise doit informer ce dernier de l’identité du parrain dès le premier message envoyé. Toute communication ultérieure au premier contact nécessite un consentement distinct du parrainé, en particulier pour les envois par e-mail ou SMS relevant de la prospection électronique.

Quels sont les principaux risques d’un programme de parrainage mal encadré ?

Le principal risque est la requalification du contact en prospection illégale lorsque les coordonnées du parrainé sont réutilisées au-delà du premier échange sans consentement. L’absence de preuve du consentement ou de traçabilité expose aussi l’entreprise en cas de plainte ou de contrôle, faute de pouvoir justifier ses choix comme l’exige le principe d’accountability rappelé dans les référentiels CNIL.

Recommandations

• Gestion client — Transformez vos clients en ambassadeurs
• Comment lancer un programme de parrainage B2B en 2026 : le guide complet en 7 étapes
• Yuccan ou Fidera : quel logiciel de parrainage choisir en 2026 ?