La question de la vie privée : réserver des transats sans observer les clients

Il y a trois façons de savoir si un transat est occupé. Vous pouvez le surveiller avec une caméra. Vous pouvez placer un capteur de pression sous le transat. Ou vous ne pouvez pas le mesurer du tout, et seulement suivre si un client l'a réservé. Les trois fonctionnent comme opérations de piscine. Seule la troisième évite d'observer les clients.

Les caméras résolvent le problème de l'occupation avec précision et à moindre coût, et elles introduisent également une surface de surveillance permanente dont un hôtel sera désormais responsable, dans chaque juridiction où il opère. Le RGPD n'est que la plus bruyante des contraintes ; la réalité culturelle est qu'une caméra pointée sur une terrasse de piscine est une caméra pointée sur des clients en maillot de bain. Même le déploiement le mieux intentionné finit par avoir un mauvais jour.

Les capteurs de pression et les capteurs PIR évitent l'imagerie mais suivent quand même les personnes : chaque fois qu'un client spécifique s'assoit, se lève ou passe, un événement est enregistré pour un transat. Ce journal est un enregistrement comportemental, et contrairement à une caméra, il est invisible pour le client. D'une certaine manière, c'est pire : il n'y a rien à refuser car rien ne semble surveiller.

La troisième approche, suivre la réservation et non l'occupation, c'est ce que fait SunDibs. Nous savons si un transat a été réservé. Nous savons si le client a confirmé son arrivée. Nous ne savons pas s'il est actuellement dessus. C'est la contrainte architecturale qui rend l'aspect confidentialité réel : nous ne pouvons pas vous dire qu'un transat est occupé car nous n'avons aucun moyen d'observer cela, et aucun changement de politique futur ne peut en ajouter un sans nouveau matériel.

Le compromis est que nous ne pouvons pas détecter un client qui s'assoit sans réserver, et nous ne pouvons pas détecter un client qui part pour un déjeuner de deux heures et revient. Nous traitons les deux cas de la même manière : la fenêtre d'arrivée est ce qui compte. Si le client a réservé et confirmé, le transat est le sien pour la journée. S'il ne l'a pas fait, quelqu'un d'autre le réservera. L'occupation à l'instant T n'est pas quelque chose que le système a besoin de savoir.

C'est la forme de confidentialité qui vaut la peine d'être recherchée : pas une politique qui peut être révisée dans un écran de paramètres, mais une conception qui rend l'option de surveillance indisponible. C'est la différence entre un verrou et une promesse.