Ce que le RGPD demande à un salon de coiffure ou un institut

Presque tout ce que vous notez sur une cliente est une donnée personnelle : nom, téléphone, e-mail, historique des visites, notes sur ses préférences, réponses aux formulaires et paiements. Une coiffeuse avec 400 clientes régulières détient 400 petits dossiers clients, qu'ils soient dans un agenda papier, un tableur ou un logiciel de réservation.

Certaines notes sont plus sensibles. Une allergie à une coloration, un problème de peau avant un soin esthétique ou une blessure avant un massage sont des données de santé. Le RGPD classe les données de santé dans une catégorie particulière soumise à des règles plus strictes : ne les collectez que si vous en avez réellement besoin pour un soin sans risque.

• Généralement nécessaire : nom, téléphone ou e-mail, prestation réservée et horaire.
• Nécessaire seulement parfois : allergies ou contre-indications, date de naissance pour une prestation soumise à une limite d'âge.
• Rarement nécessaire : adresse postale, numéros de pièce d'identité, photos.

Des données se cachent aussi hors du logiciel de réservation : des photos de l'agenda sur votre téléphone, une conversation WhatsApp avec une cliente, un tableur des cartes cadeaux. Elles comptent aussi, d'où l'intérêt de garder les données clients dans le moins d'endroits possible.

Toute utilisation de données personnelles doit reposer sur une base légale. La Commission européenne en cite six. Le tableau montre où quatre d'entre elles peuvent intervenir dans un salon – à titre d'exemple, pas comme une analyse de votre cas :

C'est à vous, en tant qu'entreprise responsable des données, de décider quelle base convient à votre situation précise. En cas de doute, adressez-vous à l'autorité de protection des données de votre pays ou à un conseiller.

Exemple : une cliente réserve une coloration en ligne. Sans son nom, son téléphone et l'horaire, vous ne pouvez tout simplement pas exécuter la réservation. Savoir si elle veut recevoir des offres par e-mail est une autre question et, selon les conditions du consentement décrites par la Commission, un refus ne doit pas lui coûter sa réservation.

Le consentement n'est valable que si la cliente le donne activement pour une finalité précise, sait qui vous êtes et ce que vous ferez de ses données, et peut refuser sans en subir de désavantage. Concrètement : une case non cochée qu'elle doit cocher elle-même, une phrase claire à côté et une trace de la date. La Commission ajoute que retirer son consentement doit être aussi simple que de le donner.

Dans Resovu, vous réglez cela dans Paramètres → Consentements, avec tous les forfaits :

• Le Consentement marketing est une case distincte et facultative. Une cliente qui ne la coche pas peut quand même réserver.
• Vos propres consentements (par exemple pour les photos avant/après) s'ajoutent avec Ajouter un consentement, obligatoires ou facultatifs.
• Si et quand une cliente a donné son consentement RGPD et son consentement marketing s'affiche dans le Détail du client et, à partir du forfait Starter, aussi dans l'export CSV des clients.
• La Version de la politique de confidentialité que vous saisissez dans Paramètres → Protection des données / RGPD est enregistrée avec chaque consentement : vous pouvez ensuite montrer quel texte la cliente a accepté.

Les textes de consentement sont pré-remplis et modifiables ; leur formulation relève de votre responsabilité.

Une phrase de consentement marketing claire peut être courte : « Je souhaite recevoir par e-mail les nouveautés et les offres du Salon Iris. Je peux me désinscrire à tout moment. » Ne la mélangez pas avec les conditions de la réservation – une cliente qui veut une coupe ne devrait pas avoir à accepter une newsletter.

Le RGPD prévoit que les données personnelles ne sont pas conservées plus longtemps que nécessaire au regard de la finalité pour laquelle elles ont été collectées. Il ne fixe pas de nombre d'années : c'est à vous de décider, et vous devez pouvoir justifier ce choix. Les règles comptables et fiscales peuvent vous obliger à garder les factures plusieurs années ; les notes sur les clientes ont rarement besoin d'être gardées aussi longtemps.

Resovu transforme votre décision en réglage. Dans Paramètres → Protection des données / RGPD, saisissez la Durée de conservation des données personnelles en jours, de 30 à 3 650 (365 par défaut). Un traitement hebdomadaire ensuite :

• anonymise les clients dont la dernière réservation ou visite est plus ancienne que cette durée et qui n'ont ni carte cadeau active ni activité dans l'espace client,
• supprime les noms, coordonnées, notes et réponses aux formulaires des anciennes réservations,
• conserve les montants, dates et prestations, pour que vos rapports de chiffre d'affaires et les factures émises restent justes.

Exemple avec 365 jours : une cliente venue pour la dernière fois en octobre 2025, sans carte cadeau, est anonymisée lors du premier passage hebdomadaire après octobre 2026.

Vos clients peuvent demander une copie de leurs données, une rectification, un effacement, ou s'opposer au marketing. Selon la Commission, vous devez répondre dans les meilleurs délais et en principe dans un délai d'un mois, et traiter la demande gratuitement (sauf si elle est manifestement infondée ou excessive).

• Copie des données : ouvrez Clients, cliquez sur la cliente et choisissez Exporter les données (RGPD). Vous obtenez un fichier JSON à lui envoyer.
• Effacement : au même endroit, choisissez Effacer les données (RGPD). Nom, coordonnées, réponses aux formulaires, notes et points de fidélité sont supprimés définitivement ; vos factures et les montants anonymes des réservations restent.
• Leurs propres réservations et données de facturation : les clients voient leurs réservations à venir et passées dans l'espace client et peuvent enregistrer leurs coordonnées de facturation pour les factures dans Coordonnées.

L'export et l'effacement sont réservés au propriétaire du compte. Resovu n'envoie pas d'e-mail à la cliente au sujet de l'effacement : prévenez-la vous-même une fois que c'est fait.

Exemple : une cliente vous écrit le 3 mars pour savoir quelles données vous détenez sur elle. D'ici au 3 avril, vous lui envoyez l'export Resovu ainsi que tout ce que vous gardez en dehors du logiciel, comme des notes dans l'agenda ou des e-mails.

Si des enfants viennent pour une prestation, vous pouvez faire confirmer la réservation par un parent ou un tuteur. Dans Resovu, ouvrez Services, puis le service, et activez Ce service s'adresse à des mineurs. Le formulaire demande alors si le participant est en dessous de l'âge limite fixé dans votre pays, ainsi que le nom et l'e-mail du tuteur ; la réservation est confirmée quand le tuteur la confirme par e-mail, et la place est retenue 48 heures.

Limitez qui voit les données clients. Dans Resovu, chaque membre de l'équipe a un rôle (propriétaire, administrateur, employé ou lecture seule), et les coordonnées des clients ne sont visibles que par le propriétaire et les administrateurs.

En cas de fuite de données – par exemple si vous perdez un téléphone contenant les coordonnées de vos clientes –, la Commission indique qu'il faut notifier l'autorité de contrôle dans les meilleurs délais et au plus tard dans les 72 heures lorsque la violation est susceptible de présenter un risque pour les personnes, et informer les clientes elles-mêmes lorsque le risque est élevé.

Chaque page de réservation Resovu reçoit aussi une politique de confidentialité générée automatiquement, remplie avec les informations de votre entreprise et listant les sous-traitants auxquels Resovu fait appel. Considérez-la comme un point de départ et vérifiez qu'elle correspond à votre façon réelle de traiter les données. Les données sont hébergées dans l'UE (Francfort), et vous restez responsable du traitement des données de vos clients.