Protéger les données de sa bijouterie : accès, sauvegardes et loi 09-08

Un fichier clients de bijouterie n'est pas un fichier clients ordinaire. C'est une liste de personnes, avec leur nom, leur téléphone, parfois leur adresse, et le détail de ce qu'elles possèdent en or. Entre de mauvaises mains, ce n'est pas une fuite de données. C'est un plan de travail.

C'est la raison pour laquelle ce sujet mérite une heure de votre attention, même si l'informatique ne vous intéresse pas.

Le risque principal n'est pas celui qu'on imagine

Quand on parle de sécurité, tout le monde pense au pirate. Dans une bijouterie, le risque le plus fréquent est beaucoup plus banal : c'est l'accès interne.

Le mot de passe unique que toute l'équipe connaît. L'ancien vendeur dont le compte n'a jamais été coupé. Le fichier Excel du stock copié sur une clé USB pour « travailler à la maison ». La liste des meilleurs clients qui part chez un confrère le jour d'un départ fâché.

Aucun de ces incidents ne demande de compétence technique. Tous sont évitables avec de l'organisation.

Trois règles qui règlent l'essentiel

Un compte par personne, jamais de compte partagé. C'est la règle qui compte le plus. Sans elle, vous ne saurez jamais qui a fait quoi, et vous ne pourrez couper l'accès de personne sans le couper à tout le monde.

Chacun voit ce dont il a besoin, pas plus. Un vendeur a besoin du catalogue, des prix de vente et de la fiche client. Il n'a pas besoin de vos prix de revient, de vos marges, ni de vos statistiques mensuelles. Un logiciel qui ne sait pas faire cette distinction vous oblige à choisir entre gêner votre équipe et tout lui montrer. C'est l'une des différences entre une caisse généraliste et un logiciel de bijouterie au Maroc, qui gère les droits ligne par ligne.

Un départ déclenche une action le jour même. Écrivez une petite liste : couper le compte, changer les mots de passe partagés qui restent, reprendre les clés. Et appliquez-la le jour du départ, pas la semaine suivante.

Une sauvegarde jamais testée n'existe pas

C'est le point sur lequel presque tout le monde se trompe.

Beaucoup de bijoutiers vous diront « oui, c'est sauvegardé ». Très peu ont déjà vérifié qu'on pouvait effectivement restaurer ces données. Or une sauvegarde qui n'a jamais été restaurée n'est pas une sauvegarde, c'est une hypothèse. Un fichier corrompu, une sauvegarde qui s'était arrêtée six mois plus tôt sans que personne ne le voie, ça se découvre toujours au pire moment.

Demandez à votre prestataire, ou à la personne qui s'en occupe, de restaurer une copie une fois. Une seule fois suffit à savoir si le dispositif tient. Refaites-le une fois par an.

Sur votre ordinateur ou en ligne : la vraie question

Beaucoup de bijoutiers pensent spontanément que garder les données sur l'ordinateur de la boutique est plus sûr, parce que c'est chez eux. C'est un raisonnement compréhensible et il mérite d'être examiné honnêtement.

Un logiciel installé sur le poste de la boutique vous donne le contrôle total. Y compris celui de tout perdre. Si l'ordinateur est volé, et une bijouterie est un commerce que l'on cambriole, vos données partent avec. S'il tombe en panne, ou si un logiciel malveillant chiffre le disque, c'est pareil. Le problème n'est pas l'endroit, c'est qu'il n'y a qu'un seul exemplaire.

Une solution en ligne déplace vos données ailleurs, ce qui inquiète, mais elles survivent au vol du poste, à l'incendie et au disque mort.

La bonne question n'est donc pas « chez moi ou en ligne ». Elle est : est-ce que mes données existent à plus d'un endroit, et est-ce que je peux les récupérer si le magasin brûle cette nuit.

Le chiffrement, en une phrase

Quand vous utilisez un logiciel en ligne, les échanges entre votre navigateur et le serveur doivent être chiffrés. C'est ce que signifie le cadenas et le https dans la barre d'adresse. Concrètement, personne ne peut lire au passage ce qui circule, même sur un réseau partagé.

C'est le minimum, pas un avantage concurrentiel. Un logiciel de gestion accessible sans cadenas ne devrait pas recevoir vos données.

Ce que la loi marocaine attend de vous

C'est la partie que peu de bijoutiers connaissent, et elle est concrète.

La loi 09-08 encadre la protection des données personnelles au Maroc. Elle est en vigueur depuis 2009 et son application est contrôlée par la CNDP, la Commission nationale de contrôle de la protection des données à caractère personnel.

Elle concerne toute entreprise qui collecte des données sur des personnes, quelle que soit sa taille. Pour une bijouterie, cela couvre plus de choses qu'on ne croit : votre fichier clients, les données de vos employés, et votre système de vidéosurveillance, qui est un traitement de données personnelles à part entière.

L'obligation de base est de déclarer ces traitements à la CNDP, de les sécuriser, et de respecter les droits des personnes concernées, notamment leur droit d'accéder à leurs données et de les faire rectifier. Certains traitements relèvent d'une autorisation préalable et non d'une simple déclaration, ce qui dépend de leur nature.

Un point à connaître : après une longue période consacrée à la sensibilisation, l'autorité est passée à une phase de contrôle plus active, avec des campagnes ciblées par secteur.

Cet article ne remplace pas un conseil juridique et votre situation dépend de ce que vous collectez réellement. Faites le point avec un professionnel, la démarche est plus simple qu'elle n'en a l'air.

Ne collectez que ce qui vous sert

C'est le principe le plus utile de tout ce texte, et il vous simplifie la vie autant qu'il vous protège.

Chaque information que vous ne stockez pas est une information que vous ne pouvez pas perdre, ni voir fuiter, ni avoir à justifier. La copie de la carte d'identité gardée « au cas où », l'adresse complète d'un client qui n'est jamais livré à domicile, la date de naissance qui ne sert à rien : si vous ne vous en servez pas, ne les demandez pas.

Ce que vous pouvez faire demain matin

1. Listez toutes les personnes qui ont un accès à votre système aujourd'hui, anciens employés compris. Coupez ce qui ne sert plus.
2. Demandez la date de la dernière sauvegarde, et faites tester une restauration.
3. Vérifiez auprès d'un conseil si vos traitements, fichier clients et vidéosurveillance inclus, sont déclarés à la CNDP.

Ce que nous ne négocions pas

Un article qui vous demande d'exiger des garanties doit dire lesquelles il offre. Voici les nôtres. Elles sont identiques pour toutes les bijouteries, du plan Solo au plan Premium : chez nous la sécurité n'est pas une option qu'on débloque en payant plus cher.

Une base de données par bijouterie. Vos données ne cohabitent pas avec celles d'un confrère dans une base commune. Chaque bijouterie a la sienne, isolée. C'est une architecture plus lourde à exploiter, et c'est celle qui garantit qu'aucune erreur ne peut exposer vos chiffres à quelqu'un d'autre.

Des échanges chiffrés. Tout ce qui circule entre vos appareils et nos serveurs est chiffré en SSL/TLS.

Des sauvegardes automatiques. Elles tournent sans que vous ayez à y penser, et c'est précisément pour cela qu'elles tiennent dans la durée. Ce qui dépend d'une action manuelle finit toujours par être oublié.

Des accès par rôle. Un vendeur ne voit ni vos prix de revient ni vos statistiques si vous ne l'y autorisez pas. C'est la distinction que les logiciels de caisse généralistes ne savent pas faire, et c'est celle dont une bijouterie a le plus besoin.

Vos données ne sont pas une marchandise. Nous ne vendons jamais vos informations personnelles. Ce n'est pas une intention, c'est écrit dans notre politique de confidentialité.

Les droits prévus par la loi, nous les appliquons. Accès, rectification, suppression, opposition, portabilité : vous pouvez les exercer sur simple demande.

Sur ce sujet, nous ne cherchons pas à être moins-disants que la réglementation. Les données d'une bijouterie disent ce que vous détenez, combien vous gagnez et qui sont vos clients. Il n'y a rien à négocier là-dessus.