Données clients : ce qu'on garde, où, et combien de temps

Quatre familles d'informations circulent dans un studio. Les données d'identité et de contact, nom, date de naissance, téléphone, adresse. Les données de projet, motif, zone, prix, historique de séances. Les données de santé issues du questionnaire. Et les images, photos de zone avant et après, parfois du visage.

Le problème n'est presque jamais la collecte, qui est légitime, mais la dispersion. La même personne existe dans le téléphone, dans une conversation Instagram, sur un consentement papier et dans un tableur. Aucune règle de conservation ne tient sur quatre copies dont on a perdu la trace.

Un questionnaire de santé relève d'une catégorie particulière de données personnelles. Sa collecte se justifie par la sécurité de la prestation et suppose un accord explicite du client, écrit sur le document lui-même.

Trois conséquences concrètes. L'accès se limite aux personnes qui réalisent la prestation. La conservation est plus courte que pour de simples coordonnées. Et ces réponses ne se recopient nulle part, ni dans une note de rendez-vous, ni dans un message envoyé à un collègue.

Une photo prise pour documenter la séance et suivre la cicatrisation relève du dossier client. Une photo publiée en portfolio ou sur les réseaux relève d'un usage de communication. Ce sont deux finalités différentes, et un accord donné pour l'une ne vaut pas pour l'autre.

En pratique : une case pour l'usage interne, une case distincte pour la publication, datées, avec la possibilité de revenir sur la seconde. Un client qui demande le retrait d'une photo publiée doit obtenir une réponse, y compris quand la publication a bien marché.

Les photos de zones intimes méritent une règle explicite : accord écrit spécifique, cadrage non identifiant, et stockage séparé du reste.

La règle générale est simple à énoncer : une information se conserve le temps de la finalité qui a justifié sa collecte, puis se supprime. Elle est difficile à appliquer parce que personne n'a écrit la durée.

Le raisonnement se fait famille par famille. Les coordonnées et l'historique de projet servent au suivi du client et à la comptabilité, avec des durées différentes pour l'un et l'autre. Les documents de facturation suivent les obligations comptables et fiscales. Les questionnaires de santé et les consentements suivent la période pendant laquelle la responsabilité du studio peut être recherchée.

Durée retenue pour les consentements et questionnaires de santé : [à définir — durée de conservation des consentements, à faire arbitrer par un juriste]. Cette valeur doit être identique sur le document remis au client, dans la politique du studio et dans le réglage de purge de l'outil utilisé.

À vérifier — durée de conservation des consentements, à faire arbitrer par un juriste

Dans un studio à plusieurs, tout le monde n'a pas besoin de tout. L'artiste qui réalise la séance a besoin du questionnaire de santé ; la personne qui tient l'accueil a besoin du rendez-vous et du contact, pas du dossier médical.

Le moment critique est le départ d'un artiste ou d'un guest. Les accès se retirent le jour même, les copies locales se vérifient, et le retrait se note quelque part. Un compte partagé, avec un mot de passe connu de tous, rend cette opération impossible : c'est la raison principale d'y renoncer.

L'essentiel des échanges avec les clients passe par des messageries qui n'ont pas été conçues pour ça. Ce n'est pas interdit, et c'est même inévitable pour la prise de contact. La règle utile est de ne pas laisser l'information s'arrêter là.

Ce qui compte pour le dossier, coordonnées, projet, décisions, se recopie dans l'outil du studio. Ce qui relève de la santé ne transite pas par une conversation publique : le questionnaire se remplit sur un document dédié. Et le téléphone qui sert au studio se protège au minimum par un code et un chiffrement activé.

La demande peut arriver par n'importe quel canal, y compris un message privé. Vérifiez qu'il s'agit bien de la personne concernée, répondez dans un délai raisonnable, et fournissez ce que vous détenez sous une forme lisible.

L'effacement n'est pas absolu. Une facture ne s'efface pas, parce qu'une obligation comptable impose de la conserver. Un consentement lié à une séance réalisée non plus, tant que la période de responsabilité court. En revanche, les coordonnées utilisées pour la communication, les photos publiées et les informations sans obligation attachée se suppriment.

Répondez en distinguant ces deux ensembles, plutôt que par un refus global. C'est ce qui transforme une demande tendue en échange banal.

À vérifier — modèle de réponse type et délai retenu par le studio

Le réflexe est de reprendre le contrôle : changer les mots de passe, révoquer les sessions ouvertes, activer une double authentification si elle ne l'était pas. Ensuite seulement vient l'évaluation : quelles données étaient accessibles, combien de personnes sont concernées, et le risque pour elles.

Une fuite portant sur des données de santé est traitée avec une exigence renforcée, et peut imposer d'informer l'autorité compétente et les personnes concernées dans un délai court. Notez l'heure de la découverte et ce que vous avez fait : cette chronologie sera demandée.

À vérifier — procédure exacte de notification et délais applicables