Un photobooth traite des données personnelles, et même les plus sensibles qu'on trouve à une fête : des visages. S'y ajoutent des adresses e-mail pour l'envoi et parfois des noms issus d'un formulaire invités. Le RGPD n'exige pas une thèse de doctorat pour cela, mais il exige quelques points qui doivent être réglés avant l'événement. Cette check-list les passe en revue un par un et précise à chaque étape ce que BoothDock apporte et ce qui reste de votre ressort.
1. Base juridique : le consentement sur l'appareil
Tout traitement a besoin d'une base juridique (art. 6 RGPD). Pour un photobooth, dans la pratique, c'est le consentement : l'invité décide de passer devant l'objectif et confirme avant la prise de vue que la photo sera enregistrée. Trois choses comptent : le consentement intervient avant la prise de vue, il est libre, et vous pouvez prouver par la suite qui a vu quel texte.
Les finalités qui vont au-delà de la photo elle-même, comme la publication sur le site de l'entreprise ou une prise de contact ultérieure, sont à traiter séparément. Chacune a besoin de sa propre case, que l'invité peut refuser sans renoncer à sa photo.
Dans BoothDock : L'écran d'avis avant la prise de vue s'active sous Système, Protection, Avis de confidentialité. L'enregistrement y est la case obligatoire ; la publication et la prise de contact sont des cases facultatives avec leur propre texte. Chaque consentement est inscrit dans le journal des consentements avec l'horodatage et le libellé exact affiché, et vous pouvez exporter ce journal sous forme de fichier.
2. Obligation d'information : l'avis avant la photo
Quiconque collecte des données doit informer les personnes concernées (art. 13 RGPD) : qui est responsable, à quelles fins les photos sont traitées, combien de temps elles sont conservées, qui les reçoit et quels droits a l'invité. Personne ne lit trois pages à une fête. Ce qui fonctionne : un texte court sur l'appareil, plus un panneau ou un lien vers l'information complète.
Dans BoothDock : Vous rédigez vous-même le texte de l'écran d'avis, dans chaque langue des invités. Seule une phrase neutre par défaut est fournie ; remplacez-la par votre nom, la finalité, la durée de conservation de la galerie et l'endroit où trouver l'information complète.
3. Contrat de sous-traitance avec l'éditeur du logiciel
Dès qu'un prestataire enregistre ou envoie des photos pour vous, il est sous-traitant, et cela exige un contrat (art. 28 RGPD). Sans contrat de sous-traitance, le prestataire n'a aucune base pour toucher aux photos des invités ; les clients professionnels le demandent avant d'accepter un devis.
Dans BoothDock : Le contrat de sous-traitance se trouve sur boothdock.cloud/avv et il est accepté lors de l'inscription au Hub. Si le texte change, le Hub vous le redemande avant de continuer. Vous n'avez rien à réclamer ni de signatures à collecter.
4. Lieu de stockage : des serveurs dans l'UE
L'endroit où les photos sont stockées décide si vous devez justifier un transfert vers un pays tiers. Si la galerie et le stockage sont dans l'UE, cette question disparaît, et votre devis pour un client professionnel gagne un paragraphe de moins.
Dans BoothDock : Le Hub, la galerie et le stockage des photos tournent sur des serveurs dans l'UE. La borne elle-même travaille en local et ne téléverse qu'une fois une connexion établie.
5. Durées de conservation : fixées à l'avance, pas improvisées après coup
Les données personnelles ne peuvent être conservées que le temps qu'exige la finalité. « On supprime à un moment donné » n'est pas une durée. Une galerie qui expire d'elle-même après un délai fixe est la forme la plus simple d'un concept de suppression, et ce délai a sa place dans votre devis et dans l'avis sur l'appareil.
Dans BoothDock : Par événement, sous Galerie et invités, vous réglez la conservation : 90 jours par défaut, 365 jours avec protection par PIN, 730 jours au maximum. Dans l'offre gratuite, la galerie reste en ligne 2 jours. Ensuite, elle expire automatiquement, sans que personne n'ait à y penser. Si vous voulez qu'un événement disparaisse plus tôt, supprimez-le dans le Hub.
6. Demandes de suppression des invités : à la borne et depuis la galerie
Les invités ont le droit d'obtenir l'effacement de leurs données (art. 17 RGPD). Avec un photobooth, il y a deux moments pour cela : juste après la prise de vue, quand la photo ne plaît pas, et des jours plus tard, quand quelqu'un découvre l'image dans la galerie. Les deux ont besoin d'une voie qui ne passe pas par votre boîte de réception.
Dans BoothDock : L'écran de résultat possède un bouton « Supprimer » que vous activez par borne. Il jette vraiment la prise, y compris de la galerie dans le Hub, après confirmation et seulement peu après la prise de vue. Dans la galerie, chaque invité peut demander la suppression de ses photos. La demande apparaît dans l'événement sous Demandes de suppression, et vous recevez un e-mail avec un lien de vérification. Si vous ne tranchez pas sous 30 jours, la photo est retirée automatiquement. Une demande oubliée ne reste donc jamais ouverte.
7. Protection de l'accès à la galerie
Une galerie accessible par une adresse devinable ou par un moteur de recherche est une violation de données qui n'a simplement pas encore été remarquée. Le lien doit être long et aléatoire.
Dans BoothDock : La galerie n'est jamais découvrable publiquement. Par événement, vous choisissez entre un lien secret et un code PIN supplémentaire. Avec la portée « par session », chaque invité ne voit que ses propres photos ; le QR code sur le tirage mène exactement là. Une adresse erronée affiche une page neutre, sans aucune indication sur l'événement. Les détails sont dans le wiki sous Protéger l'accès.
8. Ne transmettre les données des invités qu'avec consentement
L'hôte veut souvent les adresses e-mail des invités pour ses propres invitations. Il ne peut les obtenir que si l'invité y a expressément consenti, à cette transmission, à ce destinataire, pour cette finalité. Une adresse que l'invité saisit uniquement pour recevoir sa photo n'est pas un consentement marketing.
Dans BoothDock : L'adresse de la fenêtre « Recevoir par e-mail » sert uniquement à envoyer cette photo ; le Hub ne l'enregistre pas, et vous ne la voyez pas non plus. Si l'hôte doit recevoir des adresses, utilisez le formulaire de données invités avec sa propre case facultative, dont vous rédigez le texte. Elle n'est jamais obligatoire et jamais précochée. L'export « Exporter uniquement avec consentement marketing » produit un fichier CSV contenant exclusivement les invités qui ont coché la case. Seule cette liste va au client. Le guide : Photos par e-mail uniquement.
9. Qui est responsable : vous, le client ou les deux ?
C'est la question le plus souvent laissée ouverte. Si vous louez la borne à un couple de mariés, ils agissent à titre privé ; la responsabilité du traitement vous revient alors généralement en tant qu'exploitant, car vous fournissez l'appareil, le logiciel et la galerie et décidez des finalités et des moyens. Avec un client professionnel qui reçoit les photos pour ses propres fins ou obtient la liste des invités, cela peut être différent : soit vous êtes tous deux responsables conjoints, soit vous agissez comme sous-traitant pour l'entreprise et avez besoin d'un contrat de sous-traitance avec le client, pas seulement avec l'éditeur du logiciel.
Le rôle applicable dépend de qui décide de quoi, et cela relève d'un conseil juridique. Quoi qu'il en soit : nommez le rôle dans votre devis et réglez-le avant l'événement, pas après.
10. Tirage et galerie : deux sorties, les mêmes règles
Le tirage quitte la salle avec l'invité. Pour la galerie, tout ce qui précède s'applique : conservation, protection de l'accès, voie de suppression. Si les invités peuvent téléverser leurs propres photos de téléphone, activez la modération dans BoothDock ; les envois n'apparaissent alors qu'après votre validation.
La check-list à cocher
- Écran d'avis avant la prise de vue activé, texte avec votre nom, la finalité et la durée de conservation ?
- Publication et prise de contact en cases séparées et facultatives ?
- Information complète sur la protection des données sous forme de panneau ou de lien à l'appareil ?
- Contrat de sous-traitance avec l'éditeur du logiciel accepté et archivé ?
- Lieu de stockage des photos connu et nommé dans le devis ?
- Conservation de la galerie réglée par événement et communiquée au client ?
- « Supprimer » sur l'écran de résultat activé, demandes de suppression dans le Hub sous surveillance ?
- Galerie avec lien secret ou PIN, portée « par session » là où c'est pertinent ?
- Données des invités exportées et transmises uniquement avec la case marketing ?
- Rôle vis-à-vis du client (responsable, conjoint, sous-traitant) clarifié ?
Écran d'avis, journal des consentements, suppression à la borne, demandes de suppression et lien de galerie protégé font partie de chaque offre, y compris la gratuite. La conservation de la galerie au-delà de 2 jours et l'export des données invités dans le Hub relèvent de l'offre payante ; les différences sont sur la page des tarifs.
Questions fréquentes
Ai-je besoin d'un consentement pour chaque photo d'invité ?
Pour un photobooth, le consentement est la voie habituelle, car l'invité décide lui-même de passer devant l'objectif. Il doit être recueilli avant la prise de vue et consigné. Savoir si l'intérêt légitime pourrait s'y ajouter dépend du cas concret et relève d'un conseil juridique.
Combien de temps puis-je garder les photos des invités dans la galerie ?
Aussi longtemps que la finalité l'exige, et cette durée doit être fixée à l'avance. Dans BoothDock, vous réglez la durée de conservation par événement : 90 jours par défaut, 365 avec un code PIN, 730 au maximum. Ensuite, la galerie expire d'elle-même.
Puis-je transmettre les adresses e-mail des invités au client ?
Uniquement si l'invité y a expressément consenti, destinataire et finalité nommés. Dans BoothDock, une case facultative existe pour cela dans le formulaire de données invités, et l'export « uniquement avec consentement marketing » ne contient que ces invités.
Essayer BoothDock gratuitement →
Cet article décrit les fonctions de BoothDock et ne constitue pas un conseil juridique. Quelle base juridique, quel rôle et quels délais s'appliquent à votre modèle d'activité, c'est à clarifier avec un conseiller en protection des données.