RGPD pour parcs de loisirs : ce qu'il faut savoir avant 2027

Le RGPD s'applique à tout parc qui tient un fichier clients, filme ses zones ou envoie des courriels. Voici le minimum vital à avoir en place.

1. Registre des traitements

Obligatoire dès le premier client. Un simple Google Sheet liste :

• Nom du traitement (ex : "CRM clients", "Vidéosurveillance")
• Finalité
• Base légale (contrat, consentement, intérêt légitime)
• Données collectées
• Destinataires
• Durée de conservation

15 min à rédiger, obligatoire en cas de contrôle.

2. Bandeau cookies conforme

Il FAUT :

• Un bandeau au premier affichage
• Un bouton "tout accepter" et un bouton "tout refuser" avec le même visuel
• Un lien "personnaliser"
• Aucun cookie tiers déposé avant le choix

Piège : beaucoup de parcs ont « accepter » en gros et « refuser » caché. C'est précisément ce que la CNIL sanctionne.

3. Mentions légales + politique de confidentialité

Pages obligatoires à jour. Mentions légales avec :

• Raison sociale, SIRET
• Adresse
• Directeur publication
• Hébergeur
• Délégué à la protection des données si votre activité l'exige (suivi à grande échelle, données sensibles)

4. Consentement email

Pas d'opt-in implicite. La case "je souhaite recevoir la newsletter" doit être :

• Décochée par défaut
• Distincte du CGV
• Conservée dans les logs

5. Données clients

• Durée de conservation à définir et à respecter (la CNIL recommande trois ans après le dernier contact pour un client inactif)
• Droit d'accès / rectification / effacement : à répondre en 30 jours
• Portabilité : export CSV client sur demande

6. Vidéosurveillance

• Affichette visible en entrée : "Zone sous vidéosurveillance"
• Durée max conservation : 30 jours
• Registre des visionnages
• Pas d'enregistrement dans les toilettes ou vestiaires

7. Paiement

• PCI-DSS géré par ton PSP (Stripe, Adyen) : OK
• Ne stocke JAMAIS un numéro de CB en base
• Log d'accès aux transactions

8. Waivers / décharges digitaux

Si tu fais signer une décharge (activité sportive, trampoline), stocke :

• Version PDF horodatée
• IP signataire
• Consentement explicite

Durée légale : 10 ans (responsabilité civile).

9. Violation de données

Si fuite → notification CNIL en 72h. Template à avoir sous le coude.

10. Sous-traitants

Contrat DPA signé avec CHAQUE sous-traitant qui touche aux données :

• Logiciel de réservation (le DPA Pulzar est public : pulzar.fr/dpa)
• Mailchimp / Brevo
• Google Analytics (via le GDPR addendum)
• Zapier

Sans DPA, tu es responsable à leur place.

Pulzar publie son accord de traitement des données (pulzar.fr/dpa), tient un fichier clients avec consentement tracé, et archive les décharges reliées au client.

Lire l'accord de traitement des données Pulzar →