Vos données

Concierge IA sur WhatsApp et protection des données : ce que l'hôtel doit savoir

Mis à jour le 15 octobre 2026

Quand un hôtel suisse confie ses conversations WhatsApp à un concierge IA, c'est l'hôtel qui reste responsable des données de ses clients au sens de la loi fédérale sur la protection des données (LPD) ; le fournisseur agit comme sous-traitant. L'hôtel doit donc savoir ce qui est conservé, combien de temps, qui y accède, où c'est traité, et l'annoncer à ses clients. Voici comment ces questions se posent, et comment Léon y répond.

En bref

Qui est responsable de quoi

La LPD révisée est en vigueur depuis le 1^er septembre 2023. Elle distingue deux rôles :

• le responsable du traitement, qui décide pourquoi et comment les données sont traitées. Pour les conversations avec ses clients, c'est l'hôtel ;
• le sous-traitant, qui traite les données pour le compte du responsable et selon ses instructions (art. 9 LPD). C'est le rôle de Léon.

Concrètement, l'hôtel répond aux demandes de ses clients et choisit ses prestataires ; Léon s'engage par contrat à ne traiter les données que pour le service, à les protéger et à aider l'hôtel à répondre à ces demandes.

Ce que Léon conserve, et combien de temps

Léon conserve ce dont il a besoin pour répondre et pour que l'équipe puisse reprendre une conversation : le numéro WhatsApp du client, son nom de profil et le contenu des échanges. Seul le nécessaire est conservé, pour une durée fixée avec l'hôtel dans le contrat ; à son terme, les données sont supprimées automatiquement.

Les journaux techniques du service masquent le texte des messages et les numéros de téléphone.

Qui y accède

• L'équipe de l'hôtel, depuis un espace protégé. La double authentification est obligatoire pour les comptes de gestion.
• L'équipe Léon, pour assurer la qualité des réponses et reprendre une conversation, dans les limites fixées par le contrat.

Prestataires et lieu de traitement

Un concierge IA sur WhatsApp fait intervenir au moins trois types de prestataires : la messagerie, l'hébergement du service et le fournisseur du modèle d'IA. Demandez toujours la liste nominative et les pays.

• Messagerie : WhatsApp (Meta Platforms), Union européenne et États-Unis.
• Intelligence artificielle : fournisseurs de modèles de langage, États-Unis et Union européenne.
• Hébergement du service : précisé dans le contrat, avec chaque prestataire et son pays, avant le lancement.

Lorsque des données partent dans un pays qui n'offre pas un niveau de protection jugé adéquat par le Conseil fédéral, Léon recourt aux garanties prévues par la LPD (art. 16), en particulier la certification du destinataire au Swiss-U.S. Data Privacy Framework ou des clauses contractuelles types.

Sécurité

• Connexions chiffrées.
• Sauvegardes chiffrées et restauration testée.
• Double authentification obligatoire pour les comptes de gestion.
• Minimisation : seul le nécessaire est conservé.

Les données sensibles (santé, données bancaires, documents d'identité) n'ont pas leur place dans une conversation WhatsApp ; nous recommandons aux hôtels de les traiter par leurs canaux habituels.

En cas de violation de la sécurité des données, le sous-traitant informe l'hôtel dans les meilleurs délais ; l'hôtel l'annonce au Préposé fédéral à la protection des données et à la transparence (PFPDT) si elle entraîne vraisemblablement un risque élevé pour les personnes concernées (art. 24 LPD).

Ce que l'hôtel doit annoncer à ses clients

La LPD impose d'informer les personnes au moment où l'on collecte leurs données (art. 19). Pour un concierge IA sur WhatsApp, l'hôtel indique au minimum dans sa politique de confidentialité :

• que les messages WhatsApp sont traités par un assistant automatisé ;
• la finalité : répondre aux demandes liées au séjour ;
• les destinataires et, le cas échéant, les pays étrangers où les données sont traitées ;
• la durée de conservation ;
• comment exercer ses droits.

Le PFPDT a rappelé que la LPD s'applique directement aux traitements reposant sur l'IA, et qu'il faut rendre transparent le fait qu'une personne échange avec une machine. Avec Léon, vos clients savent qu'ils échangent avec une IA et peuvent toujours joindre une personne.

Les règles de WhatsApp Business

WhatsApp impose ses propres règles aux entreprises, en plus de la loi :

• La fenêtre de 24 heures : quand un client écrit, l'entreprise peut lui répondre librement pendant les 24 heures qui suivent son dernier message. Au-delà, elle ne peut lui écrire qu'avec des messages modèles approuvés par Meta.
• L'accord du client : une entreprise n'écrit la première à un client que s'il a accepté de recevoir ses messages sur WhatsApp.
• Les assistants IA : Meta admet les assistants consacrés au service de l'entreprise, et non les assistants IA généralistes. Léon ne répond qu'à partir du carnet de l'hôtel.

Les droits des voyageurs

Un voyageur peut demander à l'hôtel l'accès à ses données (art. 25 LPD), leur rectification, leur effacement ou leur remise dans un format courant (art. 28 LPD). La réponse est due en principe dans les 30 jours.

Avec Léon, l'équipe de l'hôtel efface les données d'un voyageur depuis son espace, à partir de son numéro WhatsApp ou de sa réservation. Chaque effacement est consigné dans un journal qui ne contient pas les données effacées.

Fin du contrat

Le numéro WhatsApp et le carnet de la maison appartiennent à l'hôtel, y compris s'il arrête. Le sort des conversations (restitution et suppression) est fixé dans le contrat.

Questions à poser à tout fournisseur

1. Quel est votre rôle au sens de la LPD, et avez-vous un contrat de sous-traitance prêt à signer ?
2. Quels prestataires interviennent, et dans quels pays ?
3. Combien de temps conservez-vous les conversations, et qui peut les lire ?
4. Comment effacer les données d'un voyageur qui le demande ?
5. Le client sait-il qu'il parle à une IA ?
6. Que deviennent nos données et notre numéro si nous arrêtons ?

Pour choisir un outil au-delà des données, voir aussi notre guide Concierge IA sur WhatsApp : les questions à poser avant de choisir.