Le poids, les mensurations et les blessures de tes clients sont des données de santé au sens du RGPD (CNIL, 2018), et c'est toi qui en réponds. Avant de choisir ton logiciel, vérifie six points : hébergement dans l'Union européenne, contrat de sous-traitance, consentement explicite du client, export et suppression, délai d'alerte, et ce que voit l'IA.
Pourquoi le poids de ton client est une donnée de santé
Camille coache à Lyon, 14 clients, la moitié en salle et l'autre à distance. Ses bilans arrivent par WhatsApp : une photo de la balance le lundi, un tour de taille en fin de mois, un vocal pour dire que le genou tire encore.
Mis bout à bout, c'est pourtant un dossier de santé sur 14 personnes, stocké sur un téléphone.
Tu n'es pas médecin, et personne ne te demande de le devenir. Mais la CNIL est précise sur ce point : une donnée devient une donnée de santé « par croisement », par exemple quand une mesure de poids est rapprochée d'autres informations comme le nombre de pas ou les apports caloriques (CNIL, 2018).
Un poids seul ne dit rien. Un poids, un tour de taille, un journal alimentaire et une blessure dans le même dossier, c'est exactement ce croisement.
Ces données relèvent de l'article 9 du RGPD, celui des catégories particulières. Leur traitement est interdit par défaut, sauf exceptions, et l'exception qui te concerne est le consentement explicite de la personne (RGPD, article 9). Ton client doit donc dire oui, spécifiquement, à la collecte de son poids et de ses mensurations, et pas seulement accepter des conditions générales.
Ce qui change tout dans ton choix de logiciel, c'est le rôle que tu joues.
Au sens du RGPD, tu es le responsable de traitement pour les données de tes clients, et le logiciel est ton sous-traitant. S'il perd les données, c'est ton nom qui apparaît dans la notification envoyée à la CNIL, et c'est à toi que tes clients demanderont des comptes. Choisir un outil, c'est choisir à qui tu confies une responsabilité que tu gardes.
Elle vient avec une obligation souvent crue réservée aux grandes entreprises : le registre des activités de traitement. L'allègement prévu pour les structures de moins de 250 salariés ne s'applique pas aux traitements qui portent sur des données sensibles (CNIL, 2018 ; RGPD, article 30), et ton suivi client en fait partie.
Le registre tient en une page écrite : la finalité, les catégories de données, qui y accède, où elles sont hébergées, combien de temps tu les gardes et comment elles sont protégées. Vingt minutes, à condition de savoir répondre à la question de l'hébergement.
Où vivent les données : hébergement, HDS et sous-traitants
La première chose à demander à un éditeur se résume à une question : où sont stockées les données ? La réponse utile n'est pas « sur le cloud » mais un pays et un fournisseur, écrits dans sa liste de sous-traitants.
Un hébergement dans l'Union européenne n'est pas une obligation légale en soi, mais il t'évite toute la question des transferts.
Dès qu'une donnée sort de l'UE, il faut un cadre. Pour les États-Unis, la Commission européenne a adopté le 10 juillet 2023 une décision d'adéquation : les données peuvent circuler vers les entreprises américaines certifiées au Data Privacy Framework, et les clauses contractuelles types restent l'outil pour les autres (Commission européenne, 2023).
Un éditeur sérieux te dit lesquels de ses outils sont américains, et sous quel cadre.
Vient ensuite la question qui embrouille tout le monde, la certification HDS. Le Code de la santé publique impose un hébergeur certifié pour les données de santé « recueillies à l'occasion d'activités de prévention, de diagnostic, de soins ou de suivi social et médico-social » (Code de la santé publique, article L1111-8, 2025).
Ton suivi de coaching n'est ni un diagnostic ni un soin. Un logiciel de coach n'a donc pas l'obligation d'être certifié HDS, et un vendeur qui te présente cette certification comme une obligation pour toi se trompe de cadre juridique.
Ce que tu peux exiger en revanche, c'est un hébergeur qui la détient sur la région où tournent les serveurs, parce que c'est un indicateur du niveau de sécurité de l'infrastructure.
La certification elle-même est délivrée par des organismes accrédités par le COFRAC, pas par l'éditeur qui l'affiche (Agence du Numérique en Santé, 2024). Distingue bien les deux phrases : « notre hébergeur est certifié HDS » se vérifie en deux clics ; « nous sommes conformes HDS » sur le site d'un logiciel de coaching ne veut en général rien dire de précis.
Écrit pour la France. En Belgique, c'est l'APD qui joue le rôle de la CNIL ; en Suisse, la nLPD s'applique hors du cadre européen, avec la même logique de vérification ; au Québec, c'est la Loi 25. Même grille, autre autorité.
Le contrat qui te protège : DPA, consentement, suppression
Entre toi et ton logiciel, le RGPD exige un contrat écrit qui fixe l'objet et la durée du traitement, sa nature et sa finalité, le type de données et les catégories de personnes concernées (RGPD, article 28). En français, c'est un contrat de sous-traitance ; les éditeurs l'appellent DPA, pour data processing agreement.
Il engage le sous-traitant à n'agir que sur tes instructions, à sécuriser les données, à t'aider à répondre aux demandes de tes clients, et à supprimer ou te rendre les données à la fin du contrat.
Le premier test est simple : est-ce que ce document est public ?
Un DPA que tu peux lire avant de créer un compte vaut plus qu'un DPA « disponible sur demande ». Lis-le comme un client lirait ton contrat de coaching : qui fait quoi, dans quel délai, et ce qui se passe quand tu pars.
Deuxième test, le consentement. Puisque tes clients doivent consentir explicitement à la collecte de leurs données de santé, regarde où et comment ce consentement est recueilli. Le bon endroit, c'est le téléphone de ton client, avec une case séparée des conditions générales et la possibilité de le retirer depuis ses réglages.
Si le logiciel ne prévoit rien, c'est à toi de faire signer un document à chaque client et d'en garder la preuve, pour chacun des 14.
Troisième test, la fin de l'histoire. Les données ne peuvent pas être conservées indéfiniment, et c'est au responsable de traitement de fixer la durée en fonction de la finalité (CNIL, 2020).
Demande à l'éditeur ce qui se passe quand un client supprime son compte, quand tu supprimes un client depuis ta gestion de tes clients, et quand tu résilies. Une bonne réponse donne des délais en jours, distingue les données de santé des factures que la loi comptable impose de garder, et te laisse une fenêtre pour récupérer ton contenu.
Le jour où ça fuite, et ce que voit l'IA
Personne ne choisit son logiciel en pensant à la fuite de données, et c'est pourtant le scénario où la différence entre deux outils se voit le plus. En 2025, la CNIL a prononcé 83 sanctions pour un total de 486,8 millions d'euros, et la sécurité des données figure parmi ses trois principaux motifs, à côté des cookies et de la surveillance des salariés (CNIL, 2026).
La procédure simplifiée, réservée aux dossiers les moins complexes, a quand même servi 67 fois sur 83.
En cas de violation, tu dois notifier la CNIL dans les meilleurs délais, 72 heures au plus tard si possible, après en avoir pris connaissance, et informer tes clients si le risque pour eux est élevé (RGPD, articles 33 et 34 ; CNIL, 2024).
Ces 72 heures sont les tiennes. Si ton logiciel met une semaine à te prévenir, ton délai est dépassé avant que tu saches quoi que ce soit.
Ce qu'il faut lui demander ensuite : en combien de temps l'alerte arrive, et avec quoi ? Un engagement chiffré, écrit dans le DPA, avec les faits et les mesures prises, te permet de tenir ton propre délai. Une réponse du type « notre équipe prend contact dans les meilleurs délais » ne te permet rien du tout.
Dernier point, l'intelligence artificielle. Si l'outil génère des programmes ou analyse des bilans avec un modèle externe, demande ce qui sort de son infrastructure.
Le prénom ou le nom complet ? L'âge ou la date de naissance ? Les notes en texte libre, avec le numéro de téléphone qu'un client y a laissé ? Et surtout, est-ce que les données servent à entraîner le modèle ? La bonne réponse tient en deux mots, minimisation et non-entraînement, et elle doit être écrite quelque part où tu peux la montrer.
L'exemple chiffré : Camille compare trois configurations
Camille a noté chaque configuration de 0 à 2 sur chacune des six vérifications : 0 quand la réponse n'existe pas, 1 quand elle est vague ou « sur demande », 2 quand elle est écrite et publique. Douze points possibles, une heure de lecture.
Son fonctionnement actuel, WhatsApp et PDF, sert de point de départ. Total : 3 sur 12.
- Hébergement : des serveurs qu'elle ne choisit pas, 0
- Contrat de sous-traitance couvrant les données de santé : aucun, 0
- Consentement explicite recueilli : non, 0
- Export et suppression : elle efface de son côté, sans garantie chez le client ni export structuré, 1
- Alerte en cas de fuite : personne ne la préviendra, 0
- IA : elle n'en utilise pas, 2 par défaut
Le logiciel A, une application américaine connue, affiche une page « GDPR compliant ». Total : 5 sur 12.
- Hébergement : États-Unis, sous Data Privacy Framework, 1
- DPA : disponible sur demande, 1
- Consentement : une case dans les conditions générales, rien de séparé pour les données de santé, 1
- Export et suppression : possibles, délais non précisés, 1
- Alerte : « dans les meilleurs délais », 1
- IA : intégrée, politique d'entraînement introuvable, 0
Le logiciel B, un éditeur européen, obtient 12 sur 12, à condition que chaque ligne soit vérifiable dans un document, pas sur une page marketing.
- Hébergement : pays et fournisseur publiés, 2
- DPA : lisible sans créer de compte, 2
- Consentement : spécifique, recueilli sur le téléphone du client, 2
- Export et suppression : délais écrits en jours, 2
- Alerte : engagement écrit en heures, 2
- IA : une page décrit ce qui sort de l'infrastructure et ce qui n'en sort jamais, 2
Refais la grille avec tes propres candidats, à partir de leurs pages légales. La note compte moins que les zéros : un zéro sur l'hébergement ou sur le contrat est un point que tu porteras toi-même le jour où un client, ou la CNIL, te posera la question.
Ce que ça change pour ton client, concrètement
Vu du client, tout ça se joue sur quelques écrans. Quand Léa rejoint le suivi client de Camille, elle installe Gymkee sur son téléphone, crée son compte et, avant de saisir son premier poids, elle voit une demande de consentement séparée pour ses données de santé, qu'elle pourra retirer plus tard depuis ses réglages.
Son poids, ses mensurations, ses séances et ses messages avec Camille sont stockés à Paris, chez Amazon Web Services dans la région eu-west-3, et la base de données tourne sur MongoDB Atlas dans l'Union européenne. Aucune donnée de production n'est stockée aux États-Unis.
Si Léa arrête son suivi, elle supprime son compte elle-même et ses données de santé sont effacées dans les 30 jours.
Camille, de son côté, retrouve tout ça écrit dans le contrat de sous-traitance de Gymkee, public, avec la liste des sous-traitants et un préavis de 30 jours avant l'ajout d'un nouveau. Le jour où quelque chose tourne mal, elle est prévenue sous 48 heures avec les faits et les mesures prises, ce qui lui laisse 24 heures de marge sur son propre délai légal.
Quand Camille pose une question sur les données, son e-mail arrive chez les fondateurs, pas dans une file de tickets : KEEZOKU, la société derrière Gymkee, est une SAS parisienne, soumise à la CNIL exactement comme toi. Tu peux le vérifier avec tes propres clients : 14 jours gratuits, sans carte bancaire.
FAQ
Est-ce que je dois être certifié HDS pour suivre le poids de mes clients ?
Non. La certification HDS du Code de la santé publique vise l'hébergement de données recueillies pour la prévention, le diagnostic, les soins ou le suivi médico-social. Un suivi de coaching n'entre pas dans ce cadre. Tes données restent des données de santé au sens du RGPD, avec consentement explicite et sécurité à la clé, mais tu n'as pas à chercher un hébergeur HDS. Si le fournisseur de ton logiciel est hébergé sur une région certifiée, c'est un bon signal de sécurité, pas une obligation.
Un logiciel hébergé aux États-Unis est-il interdit pour un coach français ?
Non. Un transfert vers les États-Unis est possible si l'entreprise qui reçoit les données est certifiée au Data Privacy Framework, ou si des clauses contractuelles types encadrent le transfert. Ce que tu demandes à l'éditeur, c'est donc sa liste de sous-traitants avec, pour chacun, le pays et le cadre utilisé. S'il ne peut pas te la donner, c'est la réponse. Un hébergement dans l'Union européenne te dispense simplement de cette vérification.
Qu'est-ce que je dois faire signer à mes clients ?
Un consentement explicite et séparé pour la collecte de leurs données de santé : poids, mensurations, blessures, nutrition. Il ne doit pas être noyé dans tes conditions générales et le client doit pouvoir le retirer. Si ton logiciel recueille ce consentement sur le téléphone du client et en garde la trace, tu n'as rien de plus à faire signer sur ce point. Sinon, un document par client, daté, que tu conserves.
Combien de temps je peux garder les données d'un ancien client ?
La loi ne fixe pas de durée pour un suivi de coaching : c'est à toi de la déterminer en fonction de la finalité, et de l'écrire dans ton registre. En pratique, les données de santé n'ont plus de raison d'exister une fois le suivi terminé, alors que les factures relèvent d'une obligation comptable de dix ans. Demande à ton logiciel de faire la même distinction, avec des délais en jours.
Et si je continue avec WhatsApp et des PDF ?
Tu peux, mais tout reste à ta charge : le registre, le consentement de chaque client, la suppression réelle des photos et des messages des deux côtés, et les transferts vers les serveurs d'une messagerie que tu ne choisis pas. Et personne ne te préviendra en cas de fuite. Refais la grille de l'article avec cette configuration : elle sort rarement au-dessus de 3 sur 12.
