Exemple d’EFVP : une liste de clients migre vers un CRM américain

Distribution Exemple, un distributeur comptant 25 employés, remplace le tableur dans lequel il tient sa liste de clients, conservé sur le serveur du bureau, par un logiciel de gestion de la relation client (CRM) offert en ligne par un fournisseur américain. Ce projet d’acquisition d’un système d’information vise à centraliser les fiches clients et l’historique des ventes, ainsi qu’à assurer le suivi des soumissions et des relances. Les renseignements transférés ne sont pas utilisés à une fin nouvelle, et le logiciel ne sert pas à prendre des décisions fondées exclusivement sur un traitement automatisé.

La présente évaluation porte sur les renseignements personnels que contiendra le CRM, soit le nom et les coordonnées des personnes-ressources chez les clients, leur historique d’achats, les notes libres rédigées par les représentants, ainsi que le nom et le courriel des employés qui utilisent le logiciel. Elle vise entre 100 et 10 000 personnes et couvre la migration des données, leur hébergement infonuagique aux États-Unis, l’accès par le personnel et leur conservation. Elle ne traite pas des autres systèmes ni des autres activités de Distribution Exemple qui ne passent pas par ce logiciel.

Les renseignements sur les personnes-ressources des clients proviennent d’abord du tableur actuel, dont le contenu est transféré dans le CRM, puis sont complétés par les représentants et le personnel du service à la clientèle au fil des échanges et des ventes. Les notes libres ne suivent aucun cadre, puisque les représentants y inscrivent ce qu’ils veulent, et elles contiennent parfois des détails personnels, comme un congé de maladie. Le nom et le courriel des employés sont recueillis pour leur donner accès au logiciel. Il reste à confirmer si les personnes concernées ont été informées de ce traitement.

L’ensemble des fiches est hébergé et traité par l’éditeur du CRM, aux États-Unis. Distribution Exemple a accepté en ligne les conditions du fournisseur sans les relire, de sorte qu’il reste à confirmer qu’une entente écrite encadre ce traitement et à établir les protections qu’elle prévoit. Au sein de Distribution Exemple, tout le personnel des ventes et du service à la clientèle voit toutes les fiches, y compris les notes libres, sans que l’accès soit limité aux personnes qui en ont besoin dans leurs fonctions.

Aucune durée de conservation n’a été définie pour les fiches, l’historique d’achats ou les notes. En retour, le logiciel met à la disposition des utilisateurs les fiches centralisées ainsi que le suivi des soumissions et des relances. Il reste à confirmer que les renseignements peuvent être obtenus du fournisseur dans un format structuré, et le sort du tableur conservé sur le serveur du bureau après la migration n’est pas précisé.

L’évaluation a mis en lumière cinq constats. Il reste à confirmer qu’une entente écrite encadre le traitement par l’éditeur du CRM à l’extérieur du Québec. L’accès aux fiches n’est pas limité au personnel qui en a besoin, et aucune durée de conservation n’a été définie. Il reste aussi à confirmer que les personnes concernées ont été informées et que la communication des renseignements dans un format structuré est prévue. La sensibilité globale est jugée moyenne, mais les notes libres peuvent contenir des détails personnels, comme des renseignements sur la santé, que rien n’encadre.

Trois risques principaux en découlent, soit le traitement des renseignements à l’extérieur du Québec sans protection adéquate, de gravité et de probabilité moyennes, l’accès non autorisé aux renseignements, de gravité moyenne et de probabilité élevée, et la conservation plus longue que nécessaire, également de gravité moyenne et de probabilité élevée. Les conditions acceptées auprès du fournisseur, l’information donnée aux personnes concernées et la possibilité d’obtenir les renseignements dans un format structuré restent à confirmer.

Distribution Exemple adopte les cinq mesures énoncées dans le présent document afin de réduire ces risques et de lever les incertitudes relevées.