ISO 27701 pour le commerce
ISO 27701 pour commerce : prouvez la maîtrise des données de vos clients
Les commerces de détail, de gros et en ligne traitent chaque jour des données de clients : adresses de livraison, historiques d'achat, cartes de fidélité. ISO 27701 démontre que ce traitement est organisé et traçable. Avec Zertify, vous obtenez le certificat par une auto-évaluation en ligne, sans audit sur place.
01: Demande
Pourquoi les clients et les partenaires demandent l'ISO 27701 au commerce
Un commerce tient un fichier clients, un compte en ligne, un programme de fidélité, un outil de newsletter. Chaque outil a un fournisseur, et chaque fournisseur voit des données personnelles.
Les questionnaires fournisseurs des grandes enseignes et des centrales d'achat contiennent donc des questions sur la protection de la vie privée : qui est responsable, où sont stockées les données, comment une demande d'accès est traitée. Répondre « oui » ne suffit plus à un service achat. Il veut une pièce qu'il peut classer dans son dossier.
ISO 27701 fournit cette pièce. L'édition 2025 décrit un système de management de la protection de la vie privée, appelé PIMS. Elle se certifie seule, sans ISO 27001. Les entreprises qui ont déjà un SMSI ISO 27001 peuvent s'en servir comme base, mais ce n'est plus une condition.
02: Données
Quelles données personnelles circulent dans un commerce ?
Le périmètre est plus large que ce que le gérant imagine. Les définitions ci-dessous reprennent les cas les plus fréquents dans le commerce.
- Compte client
- Nom, adresse e-mail, mot de passe, adresses de facturation et de livraison, créés lors d'une commande dans la boutique en ligne.
- Programme de fidélité
- Historique d'achats, points, préférences. Ces données permettent d'établir un profil de consommation et exigent une base claire pour chaque usage.
- Données de paiement et de retour
- Références de transaction, motifs de retour, coordonnées bancaires pour un remboursement. Le prestataire de paiement agit comme sous-traitant ou comme responsable distinct, selon le contrat.
- Prestataire logistique
- Le transporteur reçoit nom, adresse et numéro de téléphone du destinataire. Il faut savoir quelles données il reçoit et ce qu'il en fait.
- Marketing et newsletter
- Listes d'envoi, statistiques d'ouverture, segments d'audience. L'outil externe qui les héberge est un sous-traitant à documenter.
03: Exigences
Ce que la norme demande et ce que cela donne en magasin ou en ligne
La norme suit la structure habituelle des normes de management : contexte, direction, planification, support, fonctionnement, évaluation, amélioration. Les exigences clés se traduisent ainsi dans le commerce.
| Exigence | Exemple dans le commerce |
|---|---|
| Déterminer son rôle de responsable du traitement ou de sous-traitant | Le commerce est responsable pour sa clientèle. Un grossiste qui prépare des envois pour le compte d'un autre est sous-traitant. |
| Évaluer et traiter les risques pour la vie privée | Analyse du risque lié au profilage des acheteurs ou à la fuite d'une base de comptes clients. |
| Tenir un registre des activités de traitement | Une ligne par traitement : commandes, fidélité, newsletter, service après-vente, avec finalité, outil et durée de conservation. |
| Respecter les droits des personnes concernées dans les délais | Procédure interne pour une demande d'accès ou de suppression reçue par e-mail ou à la caisse. |
| Protection des données dès la conception et par défaut | Le formulaire de commande ne demande que les champs nécessaires. La newsletter n'est pas précochée. |
| Détecter et annoncer les violations de données | Responsable désigné, marche à suivre si un compte administrateur de la boutique est compromis. |
04: Pratique
Comment un commerce met en place ces exigences
Dans une entreprise de vingt personnes, le travail tient en quelques étapes concrètes. Aucune n'exige un service juridique dédié.
Dresser la liste des outils qui touchent aux données clients
Caisse, boutique en ligne, logiciel de comptabilité, outil d'envoi d'e-mails, plateforme de livraison. Chaque outil devient une ligne du registre.
Fixer les durées de conservation
Les factures, les comptes inactifs et les listes de prospects n'ont pas la même durée. Écrire une règle par catégorie, puis l'appliquer.
Examiner les contrats des sous-traitants
Vérifier que l'hébergeur de la boutique, le prestataire de paiement et l'agence marketing ont une clause sur le traitement des données personnelles.
Préparer la réponse aux demandes des clients
Désigner une personne, définir un délai interne et conserver une trace de chaque demande traitée.
Former l'équipe de vente et de service client
Les collaborateurs au guichet et au téléphone reçoivent les demandes en premier. Ils doivent savoir à qui les transmettre.
Ces mesures relèvent aussi de la nLPD suisse et du RGPD. Le certificat ne remplace pas le respect de ces textes, il montre que votre organisation sait le documenter.
05: Zertify
Obtenir le certificat ISO 27701 en ligne avec Zertify
Vous répondez à une auto-évaluation de 42 questions par oui ou non. Quinze d'entre elles sont éliminatoires : toutes doivent recevoir un « oui ». Ce sont les questions centrales de l'évaluation, pas toutes les exigences de la norme. Parmi les 27 autres, 18 réponses positives au minimum sont nécessaires. L'évaluation est gratuite et ne demande pas d'inscription.
Une fois l'évaluation réussie et le paiement effectué, vous recevez le certificat dans un délai de 4 heures. Zertify l'émet sous licence de SICE (Swiss Institute of Certification and Education), et SICE examine chaque évaluation avant l'émission. Il n'y a pas d'audit sur place. Chaque année, un bref re-audit en ligne confirme que le certificat reste valable.
Le prix est de 799 CHF la première année, puis de 529 CHF par an, re-audit en ligne inclus. Le certificat est valable 3 ans. L'abonnement est annuel et se résilie à tout moment dans votre compte client, avec effet à la fin de l'année en cours. Le certificat prend fin avec l'année payée. Pour deux normes, un rabais de 20 % s'applique, de 30 % dès trois normes, aussi sur la cotisation annuelle. La TVA suisse de 8,1 % est comprise pour les clients en Suisse et au Liechtenstein.
Le certificat porte un numéro et un code QR. Votre acheteur ou votre client ouvre la page de vérification publique et contrôle l'authenticité sans vous écrire.
06: Comparaison
Voie en ligne ou audit classique sur place ?
La voie classique passe par un audit sur place d'un organisme de certification. Elle convient si un client ou un appel d'offres l'exige expressément. Pour un commerce de taille moyenne qui doit surtout répondre à un questionnaire fournisseur, la voie en ligne est plus courte et ses coûts sont connus à l'avance.
Le guide ci-dessous compare les deux voies et indique les critères à vérifier dans votre cahier des charges avant de choisir.
07: FAQ
Questions fréquentes sur ISO 27701 dans le commerce
Non, c'est une norme volontaire. Les obligations de la nLPD et du RGPD existent indépendamment du certificat. Ce sont vos clients et vos partenaires qui demandent ISO 27701 pour obtenir une preuve de votre organisation.
Pas avec l'édition 2025, qui est une norme de management autonome. L'édition 2019 était une extension d'ISO 27001 et en exigeait une. Zertify certifie selon l'édition 2025.
Oui, dès que l'entreprise traite des données personnelles : fichier clients, cartes de fidélité, factures nominatives, données de collaborateurs. La taille ne change pas le principe, seulement l'ampleur du registre.
Le paiement n'intervient qu'après la réussite de l'évaluation. Comme elle est gratuite et sans inscription, vous voyez où vous en êtes avant de vous engager. Les réponses négatives indiquent les points à corriger dans votre organisation.
Chaque certificat Zertify a un numéro et un code QR sur le PDF. La page de vérification publique confirme que le certificat existe et qu'il est valable.
Dans votre compte client, à tout moment. La résiliation prend effet à la fin de l'année en cours. Le certificat reste valable jusqu'à la fin de l'année payée.
08: Guide
Pages liées
Vérifiez en quelques minutes où en est votre commerce
L'auto-évaluation ISO 27701 comporte 42 questions et vous montre immédiatement si vous remplissez les critères.
Gratuit et sans inscription.