Ce que ce guide est, et ce qu'il n'est pas
Cet article donne des informations générales sur le Règlement général sur la protection des données, le RGPD, tel qu'il s'applique couramment aux petites entreprises qui travaillent sur rendez-vous. Ce n'est pas un conseil juridique et il ne peut pas couvrir votre situation particulière. Des lois nationales ajoutent leurs propres règles, par exemple la loi Informatique et Libertés en France, et les autorités de protection des données, comme la CNIL, publient des recommandations qui peuvent évoluer.
Si vous traitez des informations sensibles, employez du personnel, travaillez dans plusieurs pays ou voulez simplement une réponse sûre, adressez-vous à un professionnel qualifié de la protection des données ou à un avocat. De nombreuses organisations professionnelles et chambres consulaires proposent aussi des modèles et des conseils à leurs membres. Servez-vous de ce guide pour comprendre le vocabulaire et préparer des questions plus précises, pas pour remplacer un accompagnement professionnel.
Pourquoi est-ce important pour un salon, un cabinet ou un coach ? Parce que chaque réservation implique des données personnelles : un nom, un numéro de téléphone, une adresse e-mail, un historique de rendez-vous et parfois des remarques sur des préférences ou la santé. Le RGPD s'applique à tout cela, que les données se trouvent dans un logiciel, un tableur, un agenda papier ou une conversation WhatsApp sur votre téléphone.
Ne collecter que le nécessaire, pour une raison claire
L'un des principes clés du RGPD est la minimisation des données : ne collecter que les données personnelles réellement nécessaires à une finalité précise. Pour une réservation, il s'agit en général d'un nom, d'un moyen de contacter le client et de la prestation demandée. Demander une date de naissance, une adresse postale ou un numéro de pièce d'identité « au cas où » augmente votre responsabilité sans rien apporter au rendez-vous.
Chaque utilisation de données personnelles doit reposer sur une base légale. Pour prendre et gérer une réservation, les entreprises s'appuient souvent sur le fait que le traitement est nécessaire pour fournir la prestation demandée par le client, ce que le RGPD appelle l'exécution d'un contrat. L'envoi de communications commerciales, de newsletters ou d'offres promotionnelles est une autre finalité, qui exige couramment un consentement distinct que le client peut refuser sans perdre son rendez-vous.
Séparez aussi les finalités dans la pratique. Un numéro de téléphone donné pour recevoir des rappels ne doit pas atterrir automatiquement dans une liste de diffusion promotionnelle. Faites de l'inscription au marketing un choix distinct, avec une case non cochée par défaut, conservez la date et la manière dont le consentement a été donné, et rendez son retrait aussi simple que son recueil. Une séparation claire préserve la confiance des clients et rend vos registres plus faciles à expliquer.
Données de santé et autres informations sensibles
L'article 9 du RGPD définit des catégories particulières de données personnelles, dont les données concernant la santé. Pour les kinésithérapeutes, psychologues, diététiciens, dentistes et professionnels similaires, le simple fait qu'une personne ait réservé un soin, ajouté à d'éventuelles notes sur des symptômes ou une pathologie, peut constituer une donnée de santé. Leur traitement est en principe interdit sauf exception précise, ce qui impose une vigilance particulière.
Même hors du secteur de la santé, des informations sensibles apparaissent : une allergie notée par une esthéticienne, une blessure signalée à un coach sportif ou une grossesse mentionnée avant un massage. Demandez-vous si vous avez vraiment besoin de l'enregistrer, qui peut la consulter et comment elle est protégée. Si vous devez conserver ce type d'information, renseignez-vous auprès d'un professionnel sur la base légale et les garanties applicables à votre activité.
Des mesures pratiques aident, quels que soient les détails juridiques : limiter qui peut ouvrir les notes clients, éviter d'écrire des informations sensibles dans les commentaires de réservation ou les messages, utiliser des mots de passe robustes et la double authentification quand elle existe, et ne pas laisser d'appareils partagés déverrouillés. Les professionnels de santé ont souvent des obligations déontologiques et de tenue de dossier supplémentaires : un outil de réservation ne doit pas être considéré comme un dossier patient.
Éditeurs de logiciels, durée de conservation et droits des clients
Lorsqu'un éditeur de logiciel stocke ou traite des données clients pour votre compte, il agit généralement comme sous-traitant, et l'article 28 du RGPD exige un contrat écrit, souvent appelé accord de traitement des données ou DPA, qui précise ce qu'il peut faire de ces données. Avant de choisir vos outils de réservation, d'e-mail ou de messagerie, lisez la politique de confidentialité de chaque éditeur, demandez s'il propose un accord de traitement des données, et vérifiez où les données sont hébergées et quels sous-traitants ultérieurs interviennent. Si un éditeur traite des données hors de l'UE/EEE, demandez quel mécanisme d'encadrement des transferts s'applique, par exemple une décision d'adéquation ou des clauses contractuelles types.
Décidez combien de temps vous conservez les données et pourquoi. Les historiques de rendez-vous peuvent être utiles un certain temps pour la comptabilité, les litiges ou le suivi, mais pas indéfiniment. Définissez des durées de conservation par type de données, mettez-les par écrit, et supprimez ou anonymisez les fiches des clients inactifs à l'échéance. Pensez aux anciennes copies dans des tableurs, des pièces jointes d'e-mails et des téléphones, faciles à oublier.
Les clients disposent de droits sur leurs données, notamment l'accès, la rectification, l'effacement dans de nombreux cas, la limitation, l'opposition et la portabilité. Prévoyez une procédure simple : qui reçoit les demandes, comment vérifier l'identité et comment retrouver les données du client dans vos différents outils. La réponse est en général due dans un délai d'un mois. Pouvoir exporter et supprimer les informations d'un client dans votre logiciel de réservation facilite beaucoup les choses.
Informer clairement les clients au moment de la réservation
La transparence est une obligation du RGPD : les personnes doivent savoir qui collecte leurs données, pourquoi, sur quelle base, qui les reçoit, combien de temps elles sont conservées et comment exercer leurs droits. Pour une activité sur rendez-vous, le moment naturel est la réservation elle-même. Une courte mention à côté du formulaire de réservation, avec un lien vers votre politique de confidentialité complète, couvre la plupart des situations.
Rédigez votre politique de confidentialité dans un langage simple, fidèle à ce que vous faites réellement. Citez les outils que vous utilisez pour les réservations, les rappels et la messagerie, et évitez de copier un modèle rempli d'activités que vous n'exercez pas. Relisez-la chaque fois que vous ajoutez un outil, commencez à envoyer un nouveau type de message ou modifiez la durée de conservation des informations.
Votre logiciel de réservation fait partie du tableau, mais la responsabilité des données de vos clients reste celle de votre entreprise. SkedEz, comme tout éditeur, publie sa propre politique de confidentialité et ses conditions, que vous devriez lire avant de décider ; si vous en avez besoin, demandez si l'éditeur propose un accord de traitement des données. Quel que soit l'outil choisi, combinez ses fonctionnalités avec vos propres habitudes et, en cas de doute, demandez à un professionnel de la protection des données de vérifier votre organisation.