RGPD et données clients en spa, love room et thalasso : ce que votre logiciel de réservation collecte vraiment (et comment rester en conformité)

Votre logiciel de réservation sait que Madame D. est allergique aux huiles essentielles d'eucalyptus, que Monsieur et Madame K. préfèrent les créneaux tardifs « pour des raisons de discrétion », et que telle cliente a demandé une cabine accessible lors de sa dernière venue. Ce sont des données personnelles — certaines même sensibles au sens juridique — et vous en êtes le responsable de traitement, qu'un litige survienne ou non. Depuis mai 2018, le RGPD a changé les règles du jeu, et la CNIL n'a cessé depuis de muscler ses contrôles. Ce guide ne cherche pas à vous faire peur : il vous donne les clés pour comprendre ce que collecte réellement votre logiciel, identifier les zones de risque propres au secteur du bien-être privatif, et mettre en place une conformité opérationnelle — sans y passer vos week-ends.

Le secteur du spa, de la love room et de la thalasso cumule des spécificités qui compliquent la lecture RGPD habituelle. D'abord, la nature des prestations : un soin implique fréquemment la collecte d'informations sur l'état de santé du client (contre-indications, grossesse, allergies, pathologies chroniques). Ensuite, le contexte intime de la love room crée une ambiguïté juridique sur les données pouvant indirectement révéler la vie sexuelle ou l'orientation sexuelle d'un client — catégorie explicitement protégée par l'article 9 du RGPD. Enfin, la multiplication des outils numériques — moteur de réservation, channel manager, CRM, séquences d'e-mails automatisées, paiement en ligne — fragmente la chaîne de traitement entre plusieurs prestataires, chacun potentiellement sous-traitant au sens du règlement.

L'enjeu n'est pas seulement légal. Un incident de sécurité — base de données clients exposée, e-mail envoyé au mauvais destinataire, données vendues à un tiers — peut détruire en quelques heures la réputation d'un établissement dont la promesse est précisément l'intimité et la discrétion. Traiter le RGPD comme une contrainte administrative serait donc passer à côté de sa valeur commerciale : la conformité est un argument de confiance, pas une paperasse.

1. Cartographie réelle des données collectées par un logiciel de réservation bien-être

Avant de parler de conformité, posez-vous une question simple : qu'est-ce que votre logiciel sait réellement de vos clients ? La réponse est souvent plus large que ce que les exploitants imaginent.

1.1 Les données d'identification et de contact

C'est la couche visible : nom, prénom, adresse e-mail, numéro de téléphone, parfois adresse postale pour les factures. Ces données sont incontournables pour confirmer une réservation et envoyer les communications pré-séjour. Elles sont régies par le RGPD au même titre que les autres, mais leur traitement repose en général sur une base légale solide : l'exécution du contrat (article 6.1.b du RGPD). En pratique, c'est la partie la moins problématique — à condition de ne pas les conserver indéfiniment après le dernier séjour.

1.2 Les données transactionnelles et comportementales

Votre logiciel enregistre l'historique des réservations (dates, durées, créneaux choisis, extras achetés, montants encaissés), les préférences déclarées ou déduites (salle préférée, heure habituelle, budget moyen), et parfois le canal de réservation (OTA ou direct). Ces données constituent un profil comportemental client. Si vous utilisez la conciergerie digitale et les séquences pré-séjour automatisées pour proposer des extras personnalisés, vous faites techniquement de la segmentation comportementale — ce qui requiert une finalité clairement déclarée dans votre registre des traitements.

1.3 Les données de paiement et de caution

La caution PLBS — préautorisation bancaire via Stripe ou Swikly — ne stocke pas les coordonnées bancaires complètes dans votre logiciel (c'est le rôle des prestataires de paiement certifiés PCI-DSS). Mais votre PMS conserve la trace de la transaction, le montant pré-autorisé, et parfois les quatre derniers chiffres de la carte. Ces données entrent dans le champ du RGPD. Pour tout ce qui touche à la gestion des acomptes et cautions bancaires, la base légale est l'exécution du contrat, mais la durée de conservation doit être bornée.

1.4 Les données de santé et les données sensibles — le cœur du problème

C'est ici que la majorité des exploitants de bien-être sous-estiment leur exposition. Toute information relative à la santé physique ou mentale, passée, présente ou future, d'une personne physique constitue une donnée de santé au sens du RGPD. Concrètement, dans un contexte spa ou thalasso :

• Les contre-indications médicales renseignées lors du parcours de réservation (hypertension, grossesse, phlébite, pace-maker) sont des données de santé.
• Les fiches santé pré-soin remplies avant le protocole sont des données de santé.
• Les allergies cutanées ou alimentaires consignées pour personnaliser les extras le sont aussi, dès lors qu'elles révèlent un état de santé.

Par défaut, le traitement de données de santé est interdit par l'article 9 du RGPD. Des exceptions existent — notamment si la personne concernée a donné son consentement exprès, écrit, clair et explicite — mais ce consentement doit être collecté de façon distincte, documentée et facilement révocable. Une case pré-cochée dans un formulaire de réservation ne suffit pas.

S'ajoute un angle encore plus délicat pour le secteur de la love room : les données pouvant indirectement révéler la vie sexuelle ou l'orientation sexuelle d'une personne figurent également à l'article 9 parmi les catégories spéciales de données. La nature même de certaines réservations — couple non marié, réservation sous un seul nom, préférences d'extras — peut potentiellement entrer dans cette catégorie selon la façon dont les données sont structurées et utilisées. La prudence s'impose : moins vous en stockez, moins vous êtes exposé.

2. Les obligations concrètes qui s'appliquent à votre établissement

Le RGPD repose sur un principe clé : l'accountability. Depuis mai 2018, il n'y a plus d'obligation déclarative préalable auprès de la CNIL pour la plupart des traitements courants. En revanche, vous devez être en mesure de démontrer à tout moment votre conformité. C'est un changement de paradigme : on passe d'un contrôle ex ante à une responsabilité permanente.

2.1 Le registre des traitements : votre tableau de bord obligatoire

Le registre des traitements est le document central de votre conformité. Il recense, pour chaque traitement de données (gestion des réservations, envoi de newsletters, gestion des fiches santé, vidéosurveillance éventuelle, etc.) : la finalité, la base légale, les catégories de données concernées, les destinataires, les durées de conservation, et les mesures de sécurité en place. Ce n'est pas un document à rédiger une fois et à oublier : il doit refléter la réalité de vos pratiques à tout instant. Si la CNIL frappe à votre porte — et ses contrôles se sont intensifiés ces dernières années — c'est la première pièce qu'elle demande.

2.2 L'information des clients : mentions légales et politique de confidentialité

Chaque client doit être informé, au moment de la collecte, des finalités du traitement, de sa base légale, de sa durée de conservation et de ses droits (accès, rectification, effacement, limitation, portabilité, opposition). Cette information doit figurer de façon accessible dans votre tunnel de réservation — pas enfouie dans des CGV illisibles. Un lien « Politique de confidentialité » en bas de page ne suffit pas si le client n'est pas explicitement invité à en prendre connaissance avant de valider sa réservation.

2.3 Les durées de conservation : la règle de proportionnalité

Le principe de limitation de la conservation (article 5.1.e du RGPD) est limpide : on ne garde pas les données plus longtemps que nécessaire au regard de la finalité déclarée. Pour un exploitant de bien-être, cela se traduit concrètement ainsi :

• Les données de réservation active : conservation pendant la durée de la relation commerciale.
• Les données de prospection (anciens clients) : la durée de conservation doit être proportionnelle à la finalité déclarée ; au-delà de la période justifiée par cette finalité, les données doivent être supprimées ou anonymisées.
• Les fiches santé pré-soin : à supprimer dès qu'elles n'ont plus d'utilité pour la prestation — conserver indéfiniment une fiche santé remplie lors d'une visite unique trois ans plus tôt est une violation caractérisée.
• Les données de facturation : soumises aux délais fiscaux légaux, à archiver séparément des données actives.

2.4 La violation de données : 72 heures, pas une de plus

En cas de violation de données — accès non autorisé à votre base clients, envoi d'une confirmation à la mauvaise adresse, perte d'un ordinateur contenant des fiches clients — susceptible d'engendrer un risque pour les droits et libertés des personnes, vous devez notifier la CNIL dans un délai de 72 heures après en avoir pris connaissance. Si la violation est susceptible d'engendrer un risque élevé pour les droits et libertés des personnes concernées, vous devez également les notifier directement. Les sanctions en cas de non-conformité sont sérieuses : le manquement aux obligations de notification (articles 33 et 34 du RGPD) peut être sanctionné jusqu'à 10 millions d'euros ou 2 % du chiffre d'affaires annuel mondial (article 83§4) ; les violations portant sur les principes fondamentaux du règlement — bases légales, traitement de données sensibles, droits des personnes — relèvent d'un second palier pouvant atteindre 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial (article 83§5). Ces deux paliers correspondent à des manquements distincts.

3. Votre logiciel SaaS dans la chaîne RGPD : sous-traitant ou responsable ?

Cette question est au cœur de la conformité opérationnelle, et elle est trop souvent ignorée lors du choix d'un outil de gestion.

3.1 La distinction responsable de traitement / sous-traitant

En tant qu'exploitant, vous êtes le responsable de traitement : c'est vous qui définissez pourquoi les données sont collectées et comment elles sont utilisées. Votre logiciel SaaS de réservation est, lui, un sous-traitant : il traite les données pour votre compte, selon vos instructions. Le RGPD impose que cette relation soit formalisée par un contrat de sous-traitance (souvent appelé DPA — Data Processing Agreement) qui précise les obligations de chaque partie en matière de sécurité, de durée de conservation, de localisation des données et de gestion des incidents.

Si votre éditeur logiciel ne vous a jamais remis un tel document, c'est un signal d'alarme. Demandez-le explicitement avant toute signature d'abonnement. Pour consulter les fonctionnalités de votre moteur de réservation hybride et comprendre comment les données sont structurées dans le système, référez-vous à la documentation fournie par l'éditeur.

3.2 La localisation des données et l'hébergement en Union européenne

Le RGPD encadre strictement les transferts de données hors de l'Union européenne. Si votre logiciel SaaS héberge vos données clients sur des serveurs situés aux États-Unis ou dans un pays tiers sans décision d'adéquation de la Commission européenne, vous êtes en situation de non-conformité — même si l'éditeur est basé en France. Vérifiez systématiquement où sont hébergées physiquement vos données. Un hébergement en Union européenne est la garantie minimale exigible.

3.3 La chaîne des sous-traitants : OTA, passerelles de paiement, CRM

Votre logiciel n'est pas le seul maillon. Airbnb, Booking.com ou Expedia reçoivent des données clients via votre channel manager. Stripe ou Swikly traitent les données bancaires. Une solution d'e-mailing automatisée envoie vos séquences pré-séjour. Chacun de ces acteurs est un sous-traitant ultérieur. Vous n'avez généralement pas de contrat direct à négocier avec eux (leurs CGU valent DPA), mais vous devez vérifier qu'ils sont eux-mêmes conformes et que vos propres CGV informent les clients de ces transmissions.

Pour approfondir la valeur opérationnelle du fichier client dans votre PMS — au-delà de la seule conformité —, l'article sur le fichier client CRM enrichi dans votre PMS détaille comment exploiter légalement ces données pour personnaliser l'expérience sans franchir les lignes.

4. Les pratiques à risque spécifiques au secteur bien-être

Certaines habitudes du secteur créent des zones de vulnérabilité que les guides RGPD généralistes ne mentionnent jamais.

4.1 Le questionnaire santé pré-soin intégré au formulaire de réservation

De nombreux établissements de thalassothérapie ou d'hôtels-spa incluent un formulaire de contre-indications directement dans le tunnel de réservation en ligne. C'est pratique, mais risqué : ce formulaire collecte des données de santé sensibles qui requièrent un consentement explicite distinct de la simple validation de la réservation. En pratique, il faut prévoir une case de consentement dédiée, non pré-cochée, avec une mention claire expliquant pourquoi ces données sont collectées, par qui, pour quelle durée et avec qui elles sont partagées (notamment les praticiens).

4.2 Le SMS de demande d'avis post-soin

Envoyer un SMS de demande d'avis deux heures après le soin est une pratique qui convertit bien — et c'est justement ce timing précis qui doit vous alerter sur le plan RGPD. Pour envoyer ce SMS, vous avez utilisé le numéro de téléphone collecté à la réservation. La finalité déclarée était-elle explicitement « vous contacter après le soin pour solliciter votre avis » ? Si la politique de confidentialité mentionne uniquement « confirmation de réservation et communication relative au séjour », vous êtes techniquement hors des finalités déclarées. La solution : mentionner explicitement la sollicitation d'avis comme finalité lors de la collecte du numéro.

4.3 La conservation des logs d'accès et codes dynamiques

Les codes d'accès dynamiques — uniques par réservation, expirant à l'heure de départ — génèrent des logs d'entrée et de sortie. Ces logs constituent des données de localisation temporelle qui permettent d'identifier à quelle heure un client est arrivé et reparti. Ce sont des données personnelles. Leur conservation doit être proportionnelle à une finalité légitime (sécurité de l'établissement, gestion des litiges) et bornée dans le temps. Les conserver indéfiniment par défaut est une pratique non conforme.

4.4 Les photos prises lors du home staging et les données visuelles

Si vous utilisez une caméra de surveillance à l'entrée ou dans les parties communes, vous traitez des données personnelles (images permettant d'identifier des personnes) soumises au RGPD, et devez afficher une signalétique réglementaire, déclarer le traitement dans votre registre et respecter des durées de conservation strictes (1 mois maximum pour les enregistrements de vidéosurveillance selon la recommandation CNIL, sauf procédure judiciaire en cours). Les images de vidéosurveillance ne constituent des données biométriques au sens de l'article 9 du RGPD — avec les obligations renforcées qui en découlent — que si elles sont traitées aux fins d'identification unique des personnes, par exemple via un dispositif de reconnaissance faciale. Dans l'espace privatif lui-même, la vidéosurveillance est bien entendu exclue.

5. La conformité RGPD comme argument commercial — et comment la mettre en scène

Jusqu'ici, on a parlé obligations et sanctions. Retournons la perspective.

Un client qui réserve une love room ou un créneau de spa privatif confie à l'établissement non seulement son argent, mais aussi son intimité. La discrétion est la promesse centrale du secteur. Afficher explicitement votre conformité RGPD — politique de confidentialité claire, consentement séparé pour les données de santé, absence de partage commercial des données avec des tiers —, c'est transformer une contrainte réglementaire en signal de confiance différenciateur.

Concrètement, voici les leviers actionnables :

• Dans le tunnel de réservation : une mention courte et rassurante — « Vos données sont traitées exclusivement pour gérer votre séjour et ne sont jamais revendues » — placée au moment de la saisie des coordonnées augmente la confiance sans alourdir le parcours.
• Dans les communications pré-séjour : rappeler que la réservation est nominative et que le code d'accès est unique et personnel renforce la perception de sécurité et de discrétion.
• Dans les CGV : une section RGPD lisible en langage clair (pas du jargon juridique) est un signe de maturité qui distingue les établissements professionnels des amateurs.
• Sur votre fiche Google Business Profile : la mention de la discrétion et de la protection des données dans vos réponses aux avis est lue par les futurs clients — et par les IA génératives qui synthétisent votre réputation.

La conformité RGPD n'est pas le sujet sexy du secteur. Mais dans un marché où l'intimité est le produit, elle est indissociable de la promesse client.

Questions fréquentes

Un spa privatif exploité en nom propre (micro-entreprise) est-il soumis au RGPD ?

Oui, sans exception. Le RGPD s'applique à toute entité qui traite des données personnelles de résidents européens, quelle que soit sa taille ou sa forme juridique. Un auto-entrepreneur gérant une seule salle privatée qui stocke des noms, numéros de téléphone ou e-mails clients est un « responsable de traitement » au sens du RGPD. Être une micro-entreprise ne supprime ni le registre des traitements ni l'obligation d'informer les clients de leurs droits.

Le formulaire de santé pré-soin rempli par le client en version papier est-il soumis au RGPD ?

Oui. Le RGPD couvre les traitements de données personnelles quel que soit leur support — numérique ou papier —, à partir du moment où les données sont structurées dans un fichier (classeur, archive, cahier organisé par client). Une fiche santé papier classée par client constitue un fichier structuré soumis au RGPD. Elle doit mentionner les droits du client, être conservée uniquement le temps nécessaire, et être détruite de façon sécurisée (broyage) en fin de période de conservation.

Peut-on partager les données d'un client avec un partenaire extérieur (fleuriste, traiteur, chauffeur) qui prépare un extra pour son séjour ?

Oui, mais pas sans encadrement. Ce partenaire devient un sous-traitant au sens du RGPD dès lors qu'il traite des données personnelles pour votre compte (nom, heure d'arrivée, préférences). Vous devez avoir conclu avec lui un contrat de sous-traitance mentionnant explicitement les finalités, les types de données transmises et les obligations de sécurité. Transmettre un prénom et une heure d'arrivée à un fleuriste local sans contractualisation est une violation formelle du RGPD, même si le risque réel est faible.

Combien de temps peut-on conserver les données d'un ancien client qui n'est jamais revenu ?

Le RGPD ne fixe pas de durée universelle : la conservation doit être proportionnelle à la finalité. Pour un client de spa ou de love room, la durée de prospection active communément admise court à compter du dernier contact (dernière réservation ou dernier achat) ; passé ce délai, les données doivent être supprimées ou anonymisées. Au-delà, les données doivent être supprimées ou anonymisées. Les données de facturation, elles, répondent à des obligations fiscales spécifiques dont les délais sont fixés par la réglementation fiscale française, et peuvent être conservées plus longtemps sous réserve d'être archivées séparément des données actives.

Les photos ou vidéos de l'espace prises par un client et publiées sur les réseaux sociaux engagent-elles la responsabilité de l'exploitant ?

Pas au sens strict du RGPD, car l'exploitant n'est pas à l'origine du traitement : c'est le client qui publie ses propres données. En revanche, si d'autres clients ou membres du personnel apparaissent reconnaissables sur ces images, le droit à l'image (article 9 du Code civil) peut être invoqué. La bonne pratique consiste à mentionner dans les CGV ou le règlement intérieur que l'espace est réservé à l'usage privatif et que les prises de vue impliquant des tiers sont soumises à leur accord. Cela ne relève pas du RGPD mais du droit commun à la vie privée.

Conclusion

Le RGPD n'est pas une formalité réservée aux grandes entreprises : il s'applique dès le premier client, dès la première fiche santé remplie, dès le premier SMS de demande d'avis envoyé. Pour un exploitant de spa, de love room ou de thalasso, les zones de risque sont bien identifiées — données de santé, données pouvant révéler l'intimité des clients, chaîne de sous-traitants numériques — et les obligations concrètes sont accessibles : registre des traitements à jour, consentements explicites distincts pour les données sensibles, politique de confidentialité lisible, et choix d'un logiciel SaaS qui formalise son rôle de sous-traitant avec un DPA en bonne et due forme. La bonne nouvelle : un logiciel de réservation bien conçu, hébergé en Europe et contractuellement transparent, prend en charge la majorité de la mécanique — ce qui vous laisse vous concentrer sur ce qui compte vraiment, remplir vos créneaux et fidéliser vos clients.

Si vous souhaitez voir comment Simply Spa structure la collecte et la gestion des données clients dans un environnement conforme, testez gratuitement la solution et évaluez par vous-même l'architecture du moteur de réservation.