RGPD restaurant : ce qu'il faut savoir sur les données client

Qu'est-ce que le RGPD (en 30 secondes)

Le RGPD (Règlement Général sur la Protection des Données) est une loi européenne de 2018 qui encadre la collecte et l'usage des données personnelles. Chaque fois qu'un restaurant collecte le prénom, email, téléphone ou date de naissance d'un client, il devient "responsable de traitement" et doit respecter certaines règles.

Le RGPD s'applique à toutes les entreprises françaises, y compris les restaurants indépendants d'une seule personne. Pas d'exception liée à la taille.

Ce qu'un restaurant peut / ne peut pas faire

✅ Ce que vous POUVEZ faire

• Collecter emails/téléphones via une roue cadeau, formulaire fidélité, réservation en ligne si le client a coché une case explicite.
• Envoyer des campagnes SMS/email si le client a consenti à recevoir des communications marketing.
• Conserver les données jusqu'à 3 ans après le dernier contact client.
• Segmenter vos clients selon leurs habitudes (végé, viande, boissons).
• Utiliser un CRM basé aux USA ou ailleurs si le fournisseur est conforme RGPD (contrat SCC signé).

❌ Ce que vous NE POUVEZ PAS faire

• Envoyer un email marketing à un client qui a laissé sa carte de visite sans consentement explicite.
• Vendre ou partager vos contacts avec un autre restaurant, une agence marketing, un tiers.
• Conserver la base client "au cas où" 10 ans après. Au-delà de 3 ans sans contact, obligation de supprimer.
• Utiliser une case pré-cochée pour le consentement. Le client doit activement cocher.
• Refuser un droit d'opposition ou de suppression demandé par un client.

Les 5 obligations concrètes du restaurateur

1. Le consentement explicite

Chaque fois qu'un client vous laisse un email ou un numéro, il doit avoir explicitement accepté :

• Une case à cocher (pas pré-cochée)
• Un texte clair : "J'accepte de recevoir les offres du restaurant Le Bistrot par SMS/email"
• La possibilité de refuser sans que ça bloque la participation à la roue ou au programme

2. La finalité claire

Vous devez dire précisément ce que vous allez faire des données. "J'accepte les CGV" ne suffit pas. Il faut détailler : "J'accepte de recevoir 1 à 2 SMS par mois pour être informé des nouveautés du restaurant et cadeaux anniversaire."

3. Le droit d'opposition

Chaque SMS/email envoyé doit permettre au client de se désinscrire facilement :

• SMS : ajoutez "STOP" ou un lien court en fin de message.
• Email : lien "Se désinscrire" en bas de chaque email.

Le désabonnement doit être effectif immédiatement — pas de "traité sous 30 jours".

4. La durée de conservation

Vous ne pouvez pas garder les données indéfiniment :

• Clients actifs (visite dans les 12 mois) : durée illimitée tant qu'ils reviennent.
• Clients dormants : maximum 3 ans après le dernier contact/visite.
• Après 3 ans : suppression obligatoire (ou anonymisation).

5. Le registre des traitements

C'est un document interne (Excel, Word) qui liste toutes les données que vous collectez et pourquoi. Exemple minimal :

Ce document reste chez vous. Il n'est fourni qu'en cas de contrôle CNIL. La bonne nouvelle : la CNIL fournit des modèles gratuits sur son site.

Ce qui se passe en cas de contrôle CNIL

La CNIL peut vous contrôler pour deux raisons :

• Plainte d'un client qui s'estime lésé (le cas le plus courant).
• Contrôle aléatoire ou thématique (plus rare pour un petit restaurant).

Le processus type :

1. Demande de renseignements : la CNIL vous envoie un courrier demandant des explications. Vous avez 1 mois pour répondre.
2. Mise en demeure si des manquements sont constatés : la CNIL vous donne 3-6 mois pour vous mettre en conformité.
3. Sanction uniquement si vous ne corrigez pas : avertissement public, amende (rare pour les petits restaurants).

Autrement dit : si vous êtes de bonne foi et que vous corrigez rapidement, le risque d'amende est très faible. Les amendes lourdes visent les entreprises qui refusent de coopérer.

Les 3 erreurs les plus fréquentes des restaurateurs

• Utiliser les emails collectés lors de réservations comme base marketing. Un client qui réserve une table n'a pas consenti à recevoir des campagnes. Envoi = infraction.
• Ne pas permettre la désinscription facile. Un lien caché ou un processus à 3 étapes = infraction. La désinscription doit être en 1 clic maximum.
• Garder la base après revente/fermeture du restaurant. Vos données appartiennent au restaurant, pas à vous. En cas de vente, elles sont soit transférées au repreneur (avec information des clients), soit supprimées.

Comment Speeneo gère le RGPD pour vous

Chez Speeneo, la conformité RGPD est intégrée par défaut :

• Consentement explicite collecté sur chaque roue cadeau avec case non pré-cochée et texte clair.
• Désinscription 1 clic dans chaque SMS ("STOP") et email (lien de désabonnement).
• Suppression automatique des clients dormants après 3 ans sans contact.
• Registre des traitements disponible en 1 clic depuis votre espace admin (à fournir en cas de contrôle).
• Hébergement en France (Supabase Paris) : pas de transfert de données hors UE.
• Contrat de sous-traitance RGPD fourni automatiquement (obligatoire quand vous utilisez un outil externe).

Restez conforme RGPD sans y penser

Consentement, désinscription, hébergement France. Tout est géré. 14 jours gratuits.

❓ Questions fréquentes

Articles liés