Un témoignage signé d'un nom et d'une fonction contient des données personnelles. Le publier sur votre site, c'est donc traiter ces données, et le RGPD s'applique. La bonne nouvelle : les bonnes pratiques sont simples. Ce guide en donne les grandes lignes ; il ne remplace pas un conseil juridique adapté à votre situation.
Obtenir un consentement clair
Pour publier un témoignage nominatif, le plus sûr est de recueillir le consentement de son auteur : une action positive (une case à cocher non pré-cochée, un « oui » écrit), distincte, sur un texte compréhensible. Conservez la preuve : qui, quand, et pour quel texte de consentement. Si vous publiez aussi une photo, le droit à l'image demande également l'accord de la personne.
Informer l'auteur
La personne doit savoir qui est responsable du traitement, pourquoi son témoignage est collecté (le publier), où il sera visible, combien de temps et comment elle peut exercer ses droits. Quelques lignes sous le formulaire suffisent, avec un lien vers votre politique de confidentialité.
Permettre le retrait à tout moment
Un client qui change d'avis doit pouvoir faire retirer son témoignage, et ce retrait doit être aussi simple que l'accord. Prévoyez une adresse ou un moyen de contact clair, répondez dans le délai d'un mois, et supprimez réellement le témoignage de vos supports (site, widget, réseaux sociaux, présentations).
Ne collecter que le nécessaire
Un nom, éventuellement une fonction ou une société, une note et un texte : c'est suffisant. Évitez de demander une adresse, un téléphone ou des informations sensibles qui ne servent pas la publication. Fixez aussi une durée raisonnable de conservation et revoyez régulièrement vos témoignages : il n'existe pas de durée unique fixée par la loi, c'est à vous de la justifier.
Rester authentique
Fabriquer ou commander de faux avis, ou modifier un témoignage pour en changer le sens, relève des pratiques commerciales trompeuses (articles L121-2 et suivants du Code de la consommation). Choisir de ne publier que certains témoignages est possible, mais ne présentez pas une sélection comme un échantillon représentatif si ce n'est pas le cas, et ne publiez jamais un avis que vous avez écrit vous-même.
Ce que fait TestiPro pour vous aider
- Le formulaire de collecte contient une case de consentement explicite à la publication (nom et fonction, sur le site et les supports de l'espace), non pré-cochée, ainsi qu'une mention d'information.
- La date et la version du consentement sont enregistrées avec chaque témoignage.
- Rien n'est publié sans votre validation : chaque témoignage arrive en attente, et vous pouvez le rejeter ou le supprimer à tout moment, y compris en cas de demande de retrait.
- Aucun cookie de suivi, aucune police ni script tiers sur les pages publiques, le formulaire et le widget.
- Vous êtes responsable de traitement ; TestiPro agit comme sous-traitant, dans le cadre d'un accord de sous-traitance accessible à tous. Les détails figurent dans la politique de confidentialité.
TestiPro est un outil : il facilite le respect du RGPD mais ne le garantit pas à votre place. Vous restez responsable de la façon dont vous demandez, utilisez et conservez les témoignages. En cas de doute, rapprochez-vous d'un conseil juridique ou de la CNIL.
Pour la mise en pratique, voir comment collecter des avis clients et nos modèles de message.
Questions fréquentes
Puis-je publier un témoignage reçu par e-mail sans autre formalité ?
Mieux vaut obtenir un accord explicite de publication, avec les précisions utiles : où il sera publié, avec quel nom et quelle fonction. Un e-mail de réponse qui dit « oui, vous pouvez le publier » peut convenir, à condition de le conserver. Un formulaire avec case à cocher rend la preuve plus simple.
Faut-il un bandeau de cookies pour afficher des témoignages ?
L'affichage de témoignages n'impose pas en soi de bandeau. Cela dépend des traceurs de votre site. Le widget TestiPro ne dépose pas de cookie, mais votre site reste responsable des siens.
Quelle différence entre responsable de traitement et sous-traitant ?
Le responsable de traitement décide des finalités et des moyens : ici, c'est vous, qui décidez de collecter et de publier. Le sous-traitant traite les données pour votre compte et sur vos instructions : c'est le rôle de TestiPro pour les témoignages. Un accord de sous-traitance encadre cette relation (article 28 du RGPD).