Logiciel coaching, RGPD et sécurité : les points à vérifier

Un logiciel de coaching compatible avec le RGPD doit au minimum héberger vos données dans l'Union européenne ou avec des garanties équivalentes, les chiffrer en transit et au repos, les isoler de celles des autres utilisateurs, vous permettre de les exporter et de les supprimer, et publier une politique de confidentialité qui liste ses sous-traitants.

Mais l'outil ne fait pas tout : c'est vous qui décidez quelles informations vous collectez sur vos clients et ce que vous en faites. Cet article donne des repères généraux de bonne pratique ; il ne remplace pas un conseil juridique adapté à votre situation.

Pour les données de vos clients, vous êtes en règle générale le responsable de traitement : c'est vous qui choisissez de collecter un nom, un téléphone ou des notes de séance, et dans quel but. L'éditeur du logiciel agit alors comme sous-traitant : il traite ces données pour votre compte, selon vos instructions, et le RGPD (article 28) impose que cette relation soit encadrée par des engagements contractuels.

Pour les données de votre propre compte (votre nom, votre e-mail, votre abonnement), l'éditeur est responsable de traitement. Cette distinction vous aide à savoir quoi vérifier chez lui, et quoi organiser de votre côté.

Pour gérer une activité de coaching, vous avez besoin de peu de choses : identité et coordonnées, historique des rendez-vous, statut des paiements, et quelques notes utiles au suivi. C'est le principe de minimisation : ne collecter que ce qui sert réellement l'accompagnement.

Certaines catégories de données sont particulièrement protégées par le RGPD (article 9) : santé, origine ethnique, opinions politiques, convictions religieuses ou philosophiques, appartenance syndicale, données génétiques ou biométriques, vie ou orientation sexuelle. Un coach sportif, nutrition ou bien-être y est vite confronté. Si vous n'en avez pas un besoin strict et une base légale claire, ne les consignez pas dans vos outils de gestion.

Les réponses à ces questions se trouvent normalement dans la politique de confidentialité et la documentation de l'éditeur. Si elles sont introuvables ou floues, c'est déjà une réponse.

Étape 1 — Recensez vos traitements : quelles données, pour quoi, dans quels outils, pendant combien de temps. La CNIL propose un modèle de registre adapté aux petites structures.

Étape 2 — Informez vos clients : quelques lignes claires sur votre page de réservation ou dans vos conditions, indiquant quelles données vous collectez et pourquoi. La gestion des rendez-vous repose généralement sur l'exécution du contrat qui vous lie au client, pas sur son consentement.

Étape 3 — Fixez des durées de conservation et appliquez-les. Pour les prospects, la CNIL retient comme repère une conservation de 3 ans à compter du dernier contact ; pour les anciens clients, définissez une durée raisonnable et documentée, en tenant compte de vos obligations comptables.

Étape 4 — Sécurisez vos accès : mot de passe unique, double authentification sur votre messagerie, verrouillage de votre téléphone, aucun compte partagé.

Étape 5 — Préparez-vous aux demandes : un client peut demander l'accès à ses données ou leur suppression, et vous devez en principe répondre dans un délai d'un mois.

Étape 6 — Sachez réagir à un incident : en cas de violation de données présentant un risque pour les personnes, une notification à la CNIL est prévue dans les 72 heures.

Suivons une réservation type pour cartographier vos flux de données. Le client saisit son nom, son e-mail et son téléphone sur votre page de réservation, et accepte votre politique d'annulation. Ces données sont enregistrées dans votre logiciel, qui envoie une confirmation par e-mail via un prestataire d'envoi.

Si vous synchronisez votre agenda, un événement y est créé : vérifiez ce qu'il contient, car votre agenda est souvent partagé avec des proches ou des collègues. Si le client paie en ligne, ses données de carte sont saisies sur la page de paiement du prestataire et ne passent pas par vous. Cet exercice de dix minutes suffit à remplir l'essentiel de votre registre pour la partie réservation.

Les données de Grix sont hébergées dans l'Union européenne : base de données et fichiers chez Supabase, et application servie par Vercel depuis la région Paris. Elles sont chiffrées en transit et au repos, et une sécurité au niveau des lignes de la base garantit qu'aucun coach ne peut accéder aux données d'un autre. Les jetons de connexion à Google Agenda sont chiffrés (AES-256-GCM) ; Grix ne lit que vos plages occupées, jamais le titre ni les participants de vos propres événements, et les événements qu'il crée pour vos séances sont privés et ne contiennent ni les coordonnées de vos clients ni vos notes.

Depuis les paramètres, vous pouvez exporter toutes vos données en JSON ou en CSV, et supprimer votre compte : la suppression est immédiate et définitive. Un client supprimé passe d'abord par la corbeille, d'où vous pouvez le supprimer définitivement. L'acceptation de votre politique d'annulation par le client est enregistrée lors de la réservation. Les sous-traitants sont listés dans la politique de confidentialité. Grix n'est en revanche pas conçu pour héberger des données de santé : le contenu de vos notes reste sous votre responsabilité.

La plupart des risques ne viennent pas d'une attaque sophistiquée, mais d'habitudes quotidiennes.