Noms, adresses, téléphones, dates de mariage, playlists, échanges par mail, parfois même le budget du couple : sans vous en rendre compte, vous détenez des centaines de fiches de données personnelles. Et le RGPD — le règlement général sur la protection des données — s'applique à vous exactement comme aux grandes entreprises. Bonne nouvelle : pour un prestataire événementiel, la conformité tient moins à des procédures lourdes qu'à quelques réflexes d'organisation. Voici ce que vous collectez vraiment, sur quelles bases, combien de temps le garder, et comment répondre le jour où un client exerce ses droits. Le site de la CNIL reste la référence pour approfondir chaque point.
Ce que vous collectez sans vous en rendre compte
Faites l'inventaire honnêtement : formulaire de contact du site, devis et contrats, échanges mail et SMS, questionnaires pré-événement (qui contiennent noms d'invités, contacts de témoins, parfois des informations sensibles comme des régimes alimentaires ou des situations familiales), photos de prestations, avis clients, listes de diffusion. Chacune de ces collectes est un « traitement de données personnelles » au sens du RGPD. Ce n'est pas grave — c'est votre métier — mais cela crée des obligations : savoir ce que vous détenez, pourquoi, et pour combien de temps.
Les bases légales : pourquoi vous avez le droit de collecter
Le RGPD exige que chaque traitement repose sur une base légale. Pour un prestataire, trois couvrent l'essentiel :
- L'exécution du contrat : tout ce qui est nécessaire pour réaliser la prestation — coordonnées, informations logistiques, échéancier. Pas besoin de consentement spécifique : c'est le contrat qui justifie la collecte.
- L'intérêt légitime : la gestion commerciale raisonnable — conserver l'historique d'un prospect, relancer une demande de devis.
- Le consentement : indispensable pour ce qui dépasse la prestation — newsletter, publication de photos, prospection au-delà de la relation existante. Il doit être libre, spécifique et révocable.
Le piège classique : tout fonder sur le consentement alors que l'exécution du contrat suffit — puis se retrouver bloqué quand un client « retire son consentement » pour des données dont vous avez besoin pour le facturer.
Combien de temps garder les données
Le RGPD impose une durée de conservation proportionnée à la finalité. En pratique, trois horizons : les données des prospects qui n'ont jamais signé se conservent généralement jusqu'à trois ans après le dernier contact ; les données contractuelles (devis, contrats, factures) suivent leurs obligations légales propres — jusqu'à dix ans pour les pièces comptables, ce qui prime sur l'effacement ; les données « de confort » (playlists, questionnaires, échanges) n'ont plus de raison d'être conservées longtemps après l'événement — définissez une règle simple, par exemple un archivage à un an, et tenez-la. L'important n'est pas la durée exacte, c'est d'avoir une règle et de pouvoir l'expliquer.
La conformité RGPD d'un petit prestataire se résume en une phrase : savoir ce qu'on détient, pourquoi on le détient, et être capable de le montrer — ou de l'effacer — quand on vous le demande.
Informer vos clients : la transparence minimale
Vos clients doivent savoir ce que vous faites de leurs données. Concrètement : une mention d'information dans vos documents (devis, contrat, formulaire de contact) indiquant qui collecte, pourquoi, pour combien de temps et comment exercer ses droits ; et une politique de confidentialité sur votre site. Inutile d'un texte de dix pages — la clarté prime. Cette information se distingue de vos CGV : les CGV encadrent la vente, la mention RGPD encadre la donnée. Les deux cohabitent dans vos documents sans se confondre.
Les droits de vos clients (et comment y répondre)
Accès, rectification, effacement, opposition, portabilité : tout client ou prospect peut exercer ces droits, et vous avez en principe un mois pour répondre. Le jour où arrive un « supprimez toutes mes données », la question n'est pas juridique, elle est organisationnelle : êtes-vous capable de retrouver tout ce qui concerne cette personne ? Si vos données vivent éparpillées entre une boîte mail, trois tableurs et un carnet, la réponse honnête est non. Si tout est centralisé dans une gestion clients unique, la réponse prend cinq minutes — en gardant ce que la loi vous oblige à conserver (les factures, par exemple), et en le disant clairement au demandeur.
Sous-traitants et outils : la responsabilité partagée
Votre logiciel de gestion, votre hébergeur de site, votre outil d'emailing, votre stockage cloud : tous traitent des données pour votre compte. Le RGPD vous demande de choisir des sous-traitants qui présentent des garanties — en pratique, des outils sérieux qui affichent leur conformité et hébergent les données dans l'Union européenne quand c'est possible. Vérifiez ce point pour chaque outil de votre chaîne, y compris les emails groupés que vous envoyez à vos clients : un désabonnement doit être possible et respecté. Et bannissez les pratiques à risque : le fichier Excel de clients qui circule par mail, la clé USB non chiffrée, le partage de listes entre confrères sans consentement.
Le minimum vital, en pratique
Pour une activité comme la vôtre, la CNIL n'attend pas une armée de juristes. Le socle raisonnable : un registre des traitements simplifié (un tableau : quelle donnée, pourquoi, combien de temps, où), des mentions d'information à jour, une règle de conservation appliquée, des outils sérieux et sécurisés, et la capacité de répondre à une demande d'exercice de droits. Le tout tient sur une page et se met en place en une soirée — à condition que vos données soient déjà organisées, et non éparpillées.
Conclusion : la conformité est un sous-produit de l'organisation
Le RGPD n'est pas votre ennemi : un prestataire organisé est presque conforme sans effort supplémentaire, parce que la centralisation, les durées de conservation et la traçabilité sont exactement ce qu'une bonne gestion produit naturellement. Faites l'inventaire, écrivez vos règles, centralisez vos données — et le RGPD passera du sujet anxiogène à la simple bonne pratique.
My Projekt centralise vos données clients par événement, avec archivage maîtrisé et suppression propre : de quoi répondre en quelques minutes à n'importe quelle demande. Centralisez proprement et gérez vos données l'esprit tranquille.