WhatsApp est-il conforme au RGPD pour une salle de sport ?

Classez ce que votre salle envoie en trois groupes. Seul le troisième demande un consentement avant l'envoi.

1. Les réponses. Quelqu'un vous écrit et vous répondez. Lisa Dubois demande s'il reste de la place au cours du mardi soir, et vous le lui dites.
2. Les messages liés à l'abonnement. Confirmations de réservation, un cours déplacé, un rappel pour un cours réservé, une question sur un paiement refusé.
3. Les offres. Tout ce qui vend : une carte de dix séances, un forfait de coaching personnel, une remise d'été, un événement payant.

Le critère, c'est le but du message. Tout message qui fait la promotion de vos services compte comme une offre.

En France, une offre par WhatsApp, SMS ou e-mail à un particulier demande son accord avant l'envoi, selon la CNIL, l'autorité française de protection des données.

Une exception convient bien aux salles de sport. Vous n'avez pas à demander d'accord avant d'envoyer à un client existant une offre pour vos propres services similaires.

Pour une salle, cela peut couvrir une carte de séances, un forfait de coaching ou un abonnement supérieur proposé à un adhérent actuel. Cela ne vaut que si :

• La personne est cliente. Elle vous a acheté un abonnement, une carte de séances ou un autre service.
• L'offre porte sur votre propre service, similaire. Le produit d'un partenaire ne compte pas. Savoir si une offre est « similaire » reste une question d'appréciation.
• Elle a pu refuser dès le départ, et peut refuser dans chaque message. La personne doit savoir que vous lui enverrez des offres, et pouvoir refuser facilement quand vous recueillez le numéro, puis dans chaque offre.

Toute offre, quel que soit le destinataire, doit aussi indiquer le véritable expéditeur (le nom de votre salle, pas un pseudonyme) et donner un moyen simple de refuser les suivantes.

Oui, au sujet de ce qu'il a demandé, s'il a accepté de recevoir les messages de votre salle. Si Lisa Dubois réserve une séance d'essai gratuite sur votre site, lui répondre sur l'horaire et sur ce qu'elle doit apporter, c'est répondre à sa propre demande.

Les offres, c'est autre chose. L'exception ne vaut que si la personne vous a acheté quelque chose ; créer un compte ne suffit pas. Un prospect venu d'un formulaire d'essai gratuit n'est probablement pas un client. Un prospect n'entre donc pas dans votre liste d'offres sans un oui : demandez-le sur le formulaire. La séance d'essai payante reste une zone grise ; si vous vous fondez sur ce cas, demandez à un juriste.

La loi est un premier verrou. WhatsApp en ajoute un second. Sa Business Messaging Policy, qui couvre l'application Business et la plateforme, dit qu'une entreprise ne peut contacter que les personnes qui lui ont donné leur numéro et ont accepté de recevoir ses messages.

C'est plus strict que la loi. Une confirmation de réservation ne demande pas de consentement marketing, mais WhatsApp attend tout de même un opt-in avant que vous lanciez une discussion. Un adhérent qui écrit le premier a lancé la discussion. Pour savoir quand vous pouvez écrire en premier, voyez la règle des 24 heures de WhatsApp.

L'opt-in demande moins qu'on ne le croit souvent. Meta indique qu'il peut être général et n'a pas à citer WhatsApp, mais qu'il doit montrer clairement que la personne accepte de recevoir des messages de votre entreprise, et nommer l'entreprise. Il peut être recueilli en ligne, en personne ou sur papier.

Un seul formulaire peut couvrir les deux verrous avec deux questions distinctes. Exemple de texte pour un formulaire d'inscription ou de séance d'essai, sans garantie de conformité :

☐ Oui, [nom de la salle] peut m'écrire sur WhatsApp au sujet de ma séance d'essai, de mes réservations et de mon abonnement. Je peux demander d'arrêter à tout moment.

☐ Oui, envoyez-moi aussi les offres de [nom de la salle] sur WhatsApp, comme les cartes de séances et les événements. Je peux répondre STOP à toute offre.

Pour la seconde case, le consentement doit être un vrai choix : une case non cochée par défaut, et pas une clause cachée dans vos conditions générales. La personne doit pouvoir le retirer à tout moment. C'est à vous de prouver le consentement : gardez une trace de qui a coché quoi, et quand. Si vous vous appuyez sur l'exception pour les adhérents, ajoutez une case « je ne souhaite pas recevoir d'offres » et gardez une trace montrant que le numéro vient d'un achat.

Que l'équipe écrive aux adhérents depuis ses propres téléphones n'est pas interdit en soi, mais votre salle répond de ces discussions. Cela pose trois problèmes :

• Les discussions partent avec la personne. Quand un coach s'en va, les numéros et l'historique des adhérents partent avec lui.
• Une demande d'effacement doit atteindre chaque téléphone. Si Lisa Dubois vous demande d'effacer ses données, vous ne pouvez pas le faire sur un téléphone que vous ne contrôlez pas.
• Un téléphone perdu peut être une violation de données. Vous devrez peut-être la notifier dans les 72 heures ; prévoyez de pouvoir effacer à distance les données de la salle sur le téléphone.

Les groupes WhatsApp de cours en ajoutent un : chaque adhérent voit le numéro de tous les autres.

La solution pratique est un seul numéro de la salle sur lequel l'équipe travaille, sur des appareils de la salle ou dans une boîte de réception, plutôt que des coachs sur leur propre téléphone. Activez l'authentification multifacteur. Pour savoir comment une équipe partage un seul numéro, voyez WhatsApp Business à plusieurs utilisateurs.

Les blessures et les notes médicales sont des données de santé, une catégorie particulière au sens du RGPD : mieux vaut les garder hors des discussions, sauf base claire. Ne demandez jamais de numéro de carte, de compte bancaire ou de pièce d'identité sur WhatsApp ; sa propre politique l'interdit.

Toute personne peut s'opposer à la prospection à tout moment. Votre salle doit alors arrêter, et la personne n'a pas à dire pourquoi. Le RGPD prévoit aussi que vous signaliez ce droit au plus tard lors de votre premier message.

Quand un adhérent répond « stop » à une offre, il veut que les offres s'arrêtent, pas que vous cessiez de répondre à ses questions de réservation. Notez-le, retirez la personne de votre liste d'offres et continuez à gérer l'abonnement.

Les personnes peuvent aussi vous demander d'effacer leurs données. Ces données doivent disparaître quand vous n'en avez plus besoin pour leur finalité ; pour les offres, dès que la personne retire son consentement ou s'oppose à la prospection.

Votre politique de confidentialité doit dire que votre salle utilise WhatsApp, et pour quoi faire ; le RGPD vous demande d'indiquer les finalités et la base légale au moment de la collecte.

Un logiciel qui traite les messages des adhérents pour vous (une boîte de réception, un agent IA, un outil de réservation qui envoie des messages WhatsApp) fait de son éditeur un sous-traitant, et le RGPD impose un contrat de sous-traitance avec lui. Les conditions de traitement de WhatsApp couvrent WhatsApp, pas l'entreprise qui se trouve entre les deux.

Posez quatre questions :

1. Pouvez-vous me transmettre votre contrat de sous-traitance ?
2. Où sont stockées les données de nos adhérents, et combien de temps ?
3. Qui, chez vous, peut voir nos discussions ?
4. Comment effacer partout les données d'une personne quand elle le demande ?

Sur la plateforme, Meta agit aussi comme sous-traitant, et précise que ses clients doivent respecter leurs propres obligations au titre du RGPD. Pour l'application et la plateforme au quotidien, voyez WhatsApp Business : application ou API.

Notre outil fonctionne sur la plateforme officielle WhatsApp Business. Voici le contrat de sous-traitance de Regymo.

1. Classez ce que vous envoyez : réponses, messages liés à l'abonnement, offres.
2. Ajoutez deux cases distinctes à vos formulaires d'inscription et d'essai.
3. Nommez votre salle et donnez un moyen d'arrêter dans chaque offre ; notez chaque stop.
4. Sortez les discussions avec les adhérents des téléphones de l'équipe pour les mettre sur un seul numéro de la salle, avec l'authentification multifacteur.
5. Supprimez les discussions dont vous n'avez plus besoin, partout où elles se trouvent.
6. Obtenez un contrat de sous-traitance de chaque prestataire ; mentionnez WhatsApp dans votre politique de confidentialité.