Fichier clients de salon de coiffure et RGPD : le guide pratique

Nom, numéro de téléphone, historique des rendez-vous, formule de la couleur notée au dos de la fiche : votre fichier clients est plein de données personnelles. Le RGPD s'applique donc à votre salon de coiffure, même si vous travaillez seul, même si votre fichier tient dans un cahier.

Bonne nouvelle : contrairement à ce que répètent encore beaucoup de pages sur le sujet, il n'y a plus aucune déclaration à faire à la CNIL. Cette formalité a disparu en mai 2018 avec l'entrée en application du RGPD, remplacée par une logique de responsabilité : vous tenez votre propre documentation et vous appliquez quelques règles de bon sens. C'est précisément ce que ce guide détaille, source CNIL à l'appui pour chaque point.

Ce guide est publié par ViteUneCoupe, logiciel de réservation pour salons de coiffure, dont la version gratuite inclut un fichier clients avec historique des rendez-vous. Mais les règles ci-dessous valent pour tous les salons, quel que soit l'outil utilisé, cahier papier compris. Elles concernent les salons établis en France et dans l'Union européenne : si le vôtre est en Suisse, c'est la nouvelle loi sur la protection des données qui s'applique, et nous lui avons consacré un guide du fichier clients conforme à la nLPD.

Le RGPD s'applique-t-il à votre salon de coiffure ?

Oui, dès que vous conservez des informations sur des personnes identifiables. Un prénom associé à un numéro de téléphone suffit. La taille de l'entreprise ne change rien : le règlement s'applique aux indépendants comme aux groupes.

Ce qui a changé en 2018, en revanche, est important : les anciennes déclarations préalables de fichiers à la CNIL ont été supprimées pour les traitements courants, comme la gestion d'un fichier clients. La CNIL explique elle-même ce passage à une logique de conformité continue sur sa page ce qui change pour les professionnels. Si un prestataire vous propose, en 2026, de "déclarer votre fichier à la CNIL", méfiez-vous : cette démarche n'existe plus.

À la place, quatre réflexes couvrent l'essentiel pour un salon :

1. savoir quelles données vous détenez et pourquoi (le registre des traitements) ;
2. informer vos clients ;
3. ne pas garder les données éternellement ;
4. les sécuriser et répondre aux demandes d'accès ou de suppression.

Quelles données personnelles détient un salon de coiffure ?

Faites l'inventaire honnêtement, supports papier compris. Un salon détient typiquement :

• Coordonnées : nom, prénom, téléphone, email, parfois adresse.
• Historique des rendez-vous : dates, prestations réalisées, collaborateur, montants.
• Notes techniques : formule de couleur, oxydant, temps de pose, diagnostic capillaire, préférences.
• Notes libres : "préfère le bac du fond", "toujours en retard", remarques diverses.
• Parfois des photos : avant/après conservés dans la fiche ou publiés sur les réseaux.

Un point mérite une vigilance particulière : une note du type "allergie au PPD" ou "cuir chevelu traité pour psoriasis" touche à la santé. Or les données de santé font partie des données sensibles au sens du RGPD, soumises à un régime renforcé. En pratique, pour un salon : ne notez une allergie qu'avec l'accord de la cliente, parce que c'est nécessaire à sa sécurité (le test de sensibilité avant coloration a justement ce but), limitez la mention au strict nécessaire et ne la diffusez jamais.

Même logique pour les photos : conserver une photo avant/après dans la fiche et la publier sur Instagram sont deux usages différents, qui demandent deux accords distincts. Un "oui" verbal pour la fiche n'autorise pas la publication.

Enfin, les notes libres sont relisibles par la cliente si elle exerce son droit d'accès. Règle simple : n'écrivez jamais dans une fiche ce que vous ne pourriez pas montrer à la personne concernée.

Sur quelles bases légales reposent ces données ?

Le RGPD exige que chaque usage de données repose sur une base légale. Pour un salon, trois cas couvrent la quasi-totalité des situations :

• L'exécution de la prestation : prendre un rendez-vous, rappeler la formule de couleur de la dernière visite, contacter la cliente si le salon doit déplacer le rendez-vous. Pas besoin de consentement spécifique pour cela, c'est la relation commerciale elle-même.
• L'obligation légale : conserver les pièces comptables. Les factures doivent être gardées 10 ans à compter de la clôture de l'exercice, comme le rappelle service-public.gouv.fr.
• Le consentement : envoyer des messages promotionnels, publier une photo, noter une information de santé. Le consentement doit être libre, spécifique et donné par un geste actif (case à cocher non pré-cochée, par exemple).

Informer vos clients : que dire, et où ?

Le RGPD impose une information claire au moment de la collecte : qui est responsable du fichier, pour quoi faire, combien de temps les données sont gardées, et quels sont les droits des personnes. La CNIL propose des exemples de mentions d'information prêts à adapter.

Pour un salon, deux supports suffisent en général :

• Au salon : un affichage simple à l'accueil ou à la caisse, du type "Nous conservons vos coordonnées et votre historique de prestations pour gérer vos rendez-vous. Vous pouvez y accéder, les corriger ou les faire supprimer en nous le demandant."
• En ligne : une mention ou une page dédiée sur votre page de réservation, visible au moment où la cliente saisit ses coordonnées.

L'information n'est pas un consentement : vous n'avez pas à faire signer un formulaire à chaque cliente pour tenir votre fichier. Vous devez simplement qu'elle puisse savoir, facilement, ce que vous faites de ses données.

Combien de temps conserver les données de vos clientes ?

Principe de base, posé par la CNIL : les données ne se conservent pas indéfiniment. C'est à vous, responsable du fichier, de fixer une durée cohérente avec chaque finalité, sauf quand un texte la fixe déjà (comme les 10 ans comptables).

Pour le fichier clients utilisé à des fins commerciales, la CNIL donne un repère précis dans son référentiel sur la gestion commerciale : les données d'un client peuvent être conservées pendant la relation commerciale, puis 3 ans à compter de la fin de cette relation ; celles d'un prospect, 3 ans à compter du dernier contact de sa part. Au terme de ce délai, l'organisme peut reprendre contact une fois pour demander si la personne souhaite encore recevoir des sollicitations ; sans réponse positive, les données sont supprimées ou archivées. Le détail figure dans les questions-réponses de la CNIL sur le référentiel gestion commerciale. Attention à la nuance : ce référentiel est une recommandation qui crée une forte présomption de conformité, pas un couperet légal au jour près. Vous pouvez retenir une autre durée si vous savez la justifier, mais le repère des 3 ans après le dernier rendez-vous est sain et simple à appliquer en salon.

En résumé :

Concrètement : une à deux fois par an, triez votre fichier sur la date de dernier rendez-vous et supprimez ou anonymisez les fiches dormantes depuis plus de 3 ans. Les données nécessaires à la comptabilité, elles, partent en archivage séparé jusqu'à l'échéance des 10 ans, puis sont détruites.

Le registre des traitements d'un petit salon

Le registre des activités de traitement est le document qui liste, traitement par traitement, ce que vous faites des données. La CNIL détaille son contenu sur sa page dédiée au registre des activités de traitement.

Les entreprises de moins de 250 salariés bénéficient d'une dérogation, mais elle est plus étroite qu'il n'y paraît : les traitements non occasionnels doivent quand même y figurer, et la gestion d'un fichier clients en fait partie. Un salon doit donc tenir un registre, mais rassurez-vous : le vôtre tiendra sur deux ou trois fiches. La CNIL publie un modèle de registre simplifié, pensé pour les petites structures et téléchargeable sur la même page (constaté en octobre 2026).

Pour un salon type, le registre contient :

• Gestion des clients et des rendez-vous : coordonnées, historique, notes techniques ; finalité : réaliser les prestations ; durée : relation + 3 ans ; destinataires : l'équipe du salon et l'éditeur du logiciel de réservation.
• Comptabilité et facturation : finalité légale ; durée : 10 ans ; destinataires : expert-comptable.
• Prospection (si vous en faites) : emails ou SMS promotionnels ; base : consentement ; durée : 3 ans après le dernier contact.
• Gestion du personnel (si vous employez) : paie, planning.

Remplir ce registre prend une après-midi, et c'est votre meilleure preuve de sérieux si une cliente ou la CNIL vous interroge un jour.

Les droits de vos clientes sur leurs données

La CNIL récapitule les droits des personnes sur leurs données. Pour un salon, quatre demandes peuvent arriver :

• Accès : "Qu'avez-vous sur moi ?" Vous communiquez la fiche complète, notes libres incluses.
• Rectification : un numéro de téléphone erroné, un nom mal orthographié, vous corrigez.
• Effacement : "Supprimez ma fiche." Vous supprimez coordonnées et historique, mais vous conservez ce que la loi vous impose de garder, comme les factures à son nom pendant la durée comptable.
• Portabilité : la cliente peut demander une copie de ses données dans un format réutilisable, par exemple pour les transmettre à un autre salon.

Le RGPD (article 12) vous laisse un mois pour répondre, prolongeable de deux mois pour les demandes complexes, ce qui sera rarement le cas en salon ; le texte complet est consultable sur EUR-Lex. Aucun formalisme n'est exigé de la cliente : une demande orale au bac est valable, même si une trace écrite vous facilitera la vie.

Confirmations de rendez-vous ou messages marketing : deux régimes différents

C'est la confusion la plus fréquente, et elle mérite d'être levée clairement.

Les notifications de service (confirmation du rendez-vous, rappel la veille, message pour prévenir d'un changement d'horaire) font partie de l'exécution de la prestation. Ce sont d'ailleurs ces rappels qui font le plus pour réduire les rendez-vous non honorés au salon. Pas besoin d'un consentement marketing pour les envoyer : la cliente a pris rendez-vous, vous l'informez sur ce rendez-vous. C'est ce que font les emails de confirmation et de rappel du plan Standard de ViteUneCoupe (à partir de 29 € HT/mois, sans engagement) : des notifications liées au rendez-vous, pas des publicités.

La prospection commerciale (promotion sur les colorations, offre d'anniversaire, relance "on ne vous a pas vue depuis longtemps, -10 %") obéit à l'opt-in. La règle CNIL pour la prospection par courrier électronique : consentement préalable, recueilli par un geste actif, avec une exception notable pour les clients existants, que vous pouvez prospecter pour des services analogues à ceux déjà achetés, à condition qu'ils aient été informés au moment de la collecte et puissent s'opposer. Dans tous les cas, chaque message doit identifier l'expéditeur et permettre de se désinscrire simplement et gratuitement.

Le piège classique : recycler les numéros collectés pour les rendez-vous en liste de diffusion promotionnelle sans avoir rien prévu. Si vous comptez faire des campagnes, ajoutez la case d'accord dès la prise de coordonnées, et gardez la preuve.

Sécuriser le fichier clients : les bases

La CNIL résume les règles essentielles de sécurité des données. Traduction pour un salon :

• Un accès par personne : chaque collaborateur a son propre identifiant sur le logiciel, pas un compte partagé affiché sur un post-it.
• Des mots de passe solides et différents de vos comptes personnels.
• Des sauvegardes : un cahier papier unique peut brûler, être volé ou rester dans un salon dont vous perdez l'accès ; un fichier Excel sur un seul PC sans sauvegarde ne vaut guère mieux.
• Des appareils verrouillés : la tablette de l'accueil se verrouille quand on la pose.
• Le tri des départs : quand un collaborateur quitte le salon, son accès est coupé le jour même. Un fichier clients qui part avec un salarié, c'est à la fois un problème RGPD et un problème commercial.

Si une violation sérieuse survient (vol du fichier, piratage), le RGPD prévoit une notification à la CNIL sous 72 heures lorsque la violation présente un risque pour les personnes.

Que vérifier chez votre logiciel de réservation ?

Dès que votre fichier clients vit dans un logiciel, l'éditeur traite des données pour votre compte : c'est un sous-traitant au sens du RGPD, et vous restez responsable du fichier. Trois questions à poser avant de signer, ou à vérifier chez votre prestataire actuel :

1. Où sont hébergées les données ? Un hébergement dans l'Union européenne simplifie tout : pas de transfert hors UE à encadrer. Les données des salons ViteUneCoupe sont hébergées en Europe.
2. Pouvez-vous récupérer votre fichier ? Vous devez pouvoir obtenir vos données clients si vous changez d'outil, et en supprimer une fiche quand une cliente le demande. Un prestataire qui verrouille votre fichier vous met en difficulté vis-à-vis de vos propres obligations.
3. À qui appartient la relation client ? Certaines plateformes s'intercalent entre le salon et ses clients, qui deviennent aussi les utilisateurs de la plateforme ; nous avons détaillé ce point dans notre comparatif des alternatives à Planity pour les coiffeurs. Le principe défendu par ViteUneCoupe est inverse : le fichier clients appartient au salon, sans place de marché entre vous et vos clientes.

Changer d'outil : que deviennent les données ?

Un changement de logiciel est un moment sensible pour la conformité, mais il se gère bien en trois étapes :

1. Exportez votre fichier depuis l'ancien outil (coordonnées, historique) avant de résilier. Faites-le pendant que votre compte est actif : après résiliation, c'est souvent plus compliqué. Notre guide pour changer de logiciel sans perdre vos données détaille la marche à suivre.
2. Demandez la suppression de vos données chez l'ancien prestataire une fois la migration vérifiée. En tant que sous-traitant, il n'a plus de raison de les conserver pour votre compte.
3. Mettez à jour votre information : si votre affichage ou votre page de réservation nomme le prestataire ou le lieu d'hébergement, actualisez-les.

Le transfert du fichier vers votre nouvel outil ne requiert pas de re-consentement de chaque cliente : la finalité reste la même, gérer les rendez-vous de votre salon. Informer vos clientes du changement reste une bonne pratique, ne serait-ce que parce que l'adresse de la page de réservation change souvent à cette occasion.

Questions fréquentes

Faut-il déclarer son fichier clients à la CNIL ?

Non. L'obligation de déclaration préalable a disparu en mai 2018 avec le RGPD, qui l'a remplacée par une logique de responsabilité : vous tenez un registre des traitements, vous informez vos clients et vous sécurisez les données. Toute page qui vous parle encore de "déclaration CNIL" pour un fichier clients est obsolète.

Un salon sans salarié doit-il tenir un registre des traitements ?

Oui. La dérogation pour les entreprises de moins de 250 salariés ne couvre pas les traitements non occasionnels, et la gestion d'un fichier clients en est un. En pratique, le registre d'un salon indépendant tient sur quelques fiches, et la CNIL fournit un modèle simplifié gratuit.

Combien de temps garder la fiche d'une cliente qu'on ne voit plus ?

Le repère donné par la CNIL dans son référentiel gestion commerciale est de 3 ans après la fin de la relation commerciale, donc en pratique 3 ans après le dernier rendez-vous ou le dernier contact. Les factures, elles, se conservent 10 ans pour la comptabilité, dans un archivage séparé.

Puis-je envoyer des promotions par email à mes clientes ?

Oui, sous conditions. Pour vos clientes existantes, vous pouvez promouvoir des services analogues à ceux qu'elles ont déjà achetés, si elles ont été informées et peuvent s'opposer facilement. Pour toute autre personne, il faut un consentement préalable explicite. Chaque message doit inclure un moyen simple et gratuit de se désinscrire. Les confirmations et rappels de rendez-vous, eux, ne sont pas de la prospection et ne nécessitent pas cet opt-in.

Que risque un salon qui ne respecte pas le RGPD ?

La CNIL dispose d'une palette graduée : rappel aux obligations, mise en demeure, puis sanctions administratives pouvant aller, pour les cas les plus graves prévus par l'article 83 du RGPD, jusqu'à des amendes élevées. Pour une petite entreprise de bonne foi, le vrai risque du quotidien est ailleurs : une cliente mécontente qui exerce ses droits et ne reçoit pas de réponse, ou un fichier qui fuite. Tenir le registre, trier le fichier une fois par an et répondre aux demandes dans le mois couvre l'essentiel.

Le cahier papier à l'accueil est-il concerné par le RGPD ?

Oui. Le RGPD couvre aussi les fichiers papier structurés : un répertoire ou un cahier de fiches clientes en fait partie. Les mêmes règles s'appliquent : information des clientes, durées de conservation, sécurité (le cahier ne reste pas ouvert sur le comptoir) et droit d'accès ou de suppression.