SaaS de service client et RGPD : comment choisir et utiliser un outil réellement conforme ?

Le logiciel de service client contient probablement certaines des données personnelles les plus sensibles de votre organisation, juste après la paie : coordonnées, historiques d'achat, conversations, pièces jointes, réclamations et parfois des informations de santé ou financières communiquées volontairement par un client dans un champ libre. Une idée reçue est largement répandue : choisir un fournisseur « conforme au RGPD » ne transfère pas votre responsabilité vers ce dernier. Voici ce que vous devez vérifier dans le produit, le contrat et vos propres pratiques.

RGPD et SaaS de service client : qui est responsable des données clients ?

L'entreprise utilisatrice est généralement le responsable de traitement.

C'est le point de départ de toute la démarche et celui que les équipes achats sous-estiment le plus souvent. Dans ses lignes directrices publiées le 28 mai 2026 sur la qualification des acteurs du cloud computing, la CNIL pose le principe suivant : en règle générale, le client est le responsable de traitement pour les opérations qu'il effectue sur le service cloud, car il en détermine les finalités et les moyens essentiels. Il choisit son prestataire et décide quelles données sont traitées, comment le service est configuré, ce qui est supprimé et ce qui est sauvegardé.

L'exemple donné par la CNIL s'applique directement au service client : une entreprise qui utilise un CRM pour assurer le suivi de ses clients est responsable de traitement, tandis que le fournisseur du CRM est son sous-traitant.

Le fournisseur SaaS est un sous-traitant, sauf pour ses propres traitements

Le fournisseur agit en tant que sous-traitant lorsqu'il effectue des opérations sur vos données conformément à vos instructions. Mais la qualification n'est pas monolithique : un même prestataire peut être responsable de traitement pour certaines opérations qu'il décide seul, par exemple l'utilisation de données d'usage pour améliorer son produit, ou responsable conjoint lorsque l'amélioration profite aux deux parties et que les modalités sont définies conjointement.

La CNIL rappelle également que la qualification dépend des faits, et non d'un choix contractuel: signer un DPA désignant le fournisseur comme sous-traitant ne suffit pas si la réalité de la relation est différente.

‍

‍

SaaS de service client et RGPD : quelles données cartographier avant le déploiement ?

‍

Que fait transiter réellement un outil de service client ?

• nom, prénom, coordonnées et identifiant client ;
• échanges par e-mail, chat, WhatsApp, réseaux sociaux ou téléphone ;
• tickets, notes internes, et commentaires des conseillers ;
• pièces jointes fournies par le client ;
• historique des commandes, contrats ou abonnements ;
• données techniques, journaux de connexion et métadonnées ;
• enregistrements d'appels ou transcriptions, le cas échéant ;
• informations communiquées dans un champ de texte libre.

‍

Ce dernier point est le plus délicat et propre au support. Un client mécontent peut mentionner volontairement un problème de santé, une difficulté financière ou une situation familiale que vous n'aviez jamais eu l'intention de collecter. Ces données relèvent tout de même de votre responsabilité. Donnez des instructions explicites à vos conseillers et mettez en place une procédure de purge des champs de texte libre.

‍

SaaS de service client et RGPD : les clauses à vérifier dans le contrat et le DPA

L'accord de traitement requis par l'article 28

La relation entre le responsable de traitement et le sous-traitant doit être régie par un contrat écrit ou un autre acte juridique contraignant. La CNIL recommande également d'accorder une attention particulière au choix du fournisseur cloud et de prendre en compte l'ensemble de la chaîne des sous-traitants, et pas seulement les prestataires directs.

Vérification point par point : objet, durée, nature et finalités du traitement, catégories de données et de personnes concernées, obligation de respecter les instructions documentées, confidentialité du personnel, mesures de sécurité, assistance pour les demandes d'exercice des droits et les analyses d'impact, notification des violations, droits d'audit, et le sort des données à la fin du contrat.

Les sous-traitants ultérieurs, l'angle mort le plus fréquent

Un SaaS de service client s'appuie presque toujours sur d'autres prestataires : un hébergeur cloud, un service d'envoi d'e-mails, un fournisseur de stockage de fichiers, un outil d'analyse, un fournisseur de modèles d'IA, un service de transcription vocale ou un support technique externalisé.

Trois exigences minimales : une liste de sous-traitants accessible et à jour, un mécanisme de notification préalable en cas de changement, et un droit d'opposition raisonnable de votre côté. Une réponse évasive sur ce point est une raison suffisante pour rejeter un prestataire.

Check-list : 10 points à vérifier dans l'accord de traitement des données (DPA) d'un SaaS de service client

1. Le DPA est-il fourni par défaut, ou devez-vous en faire la demande ?

1. Les instructions documentées correspondent-elles à votre usage réel ?

1. La liste des sous-traitants est-elle publique et datée ?

1. Comment êtes-vous informé(e) de tout changement de sous-traitant ?

1. Le lieu d'hébergement est-il contractuellement garanti, ou seulement mentionné sur le site web ?

1. Quels transferts hors UE existent, y compris pour le support et la maintenance ?

1. Dans quel délai le fournisseur vous notifie-t-il une violation de données personnelles ?

1. Quelle assistance concrète est fournie pour les demandes relatives aux droits des personnes concernées ?

1. Quelles dispositions d'audit sont réellement applicables, au-delà d'un questionnaire annuel ?

1. Que deviennent les données à la fin du contrat : format, délais, coûts et suppression des copies ?

SaaS de service client et RGPD : où vos données sont-elles hébergées et transférées ?

Le lieu d'hébergement et l'absence de transferts sont deux choses distinctes.

« Nos serveurs sont en Europe » est une réponse incomplète. Un hébergement européen n'exclut pas un accès distant depuis un pays tiers pour la maintenance, un sous-traitant technique établi hors UE, ou un flux de données vers un outil intégré au produit.

Cartographiez quatre éléments distincts : le lieu de stockage principal, le lieu des sauvegardes, les accès administrateur et support, et les flux sortants vers des composants tiers du produit, y compris les moteurs d'IA.

Transferts hors UE : où en est le Data Privacy Framework ?

Ce sujet mérite une réponse actualisée plutôt qu'une prise de position de principe. La décision d'adéquation du 10 juillet 2023 demeure juridiquement en vigueur, et le Tribunal de l'Union européenne a rejeté le recours en annulation formé à son encontre le 3 septembre 2025. Toutefois, un pourvoi a été déposé devant la Cour de justice de l'Union européenne le 31 octobre 2025 et reste en instance, tandis que plusieurs analyses situent une décision fin 2026 ou en 2027.

Un nouvel élément est entré en ligne de compte : une décision de la Cour suprême des États-Unis rendue le 29 juin 2026 concernant l'indépendance de la Federal Trade Commission a conduit plusieurs cabinets d'avocats à recommander aux entreprises de préparer une solution de repli dans l'éventualité où la décision d'adéquation serait finalement annulée, puisque cette décision repose en partie sur le rôle de la FTC en tant qu'autorité de contrôle indépendante.

Ce que cela implique pour votre choix d'outil

Trois conséquences pratiques :

• Le cadre de protection des données (Data Privacy Framework) ne couvre que les entités auto-certifiées, dont le statut doit être vérifié à chaque renouvellement de contrat.
• Une décision d'adéquation ne dispense jamais de la nécessité d'un contrat conforme à l'article 28 ni de mesures de sécurité ;
• Toute stratégie reposant exclusivement sur ce cadre comporte un risque de continuité. Fournir des clauses contractuelles types en guise de solution de repli, ou opter pour un hébergement européen, n'est pas une position idéologique mais une mesure de gestion des risques.

‍

‍

SaaS de service client et RGPD : quelles garanties de sécurité exiger du prestataire ?

Distinguer la sécurité du cloud de la sécurité dans le cloud

C'est la distinction la plus utile à garder à l'esprit lors d'un processus d'achat. La sécurité du cloud relève de la responsabilité du prestataire : infrastructure, hyperviseurs, réseau et résilience physique. La sécurité dans le cloud relève de votre responsabilité : configuration des rôles, gestion des permissions, choix des données que vous y déposez et contrôle des exportations.

La CNIL met également en garde contre plusieurs idées reçues, notamment supposer que l'obligation de sécurité incombe uniquement au fournisseur ou négliger la télémétrie et les données d'utilisation collectées par le fournisseur dans l'analyse des risques.

Mesures techniques à documenter

Chiffrement en transit et au repos, gestion des identités et authentification forte, rôles et permissions granulaires, journalisation des accès et des exportations, sauvegardes sur des sites géographiquement distincts, procédure de gestion des incidents, tests de sécurité réguliers, continuité d'activité, et plan de reprise d'activité.

Exigez des preuves plutôt que des déclarations : rapports d'audit, certifications à jour et description du processus de gestion des vulnérabilités.

Appliquez le principe du moindre privilège aux équipes de support

Six questions à examiner au sein de votre propre organisation, indépendamment du fournisseur :

• Un conseiller de premier niveau a-t-il besoin de voir l'intégralité du dossier client ?
• Les pièces jointes sont-elles visibles par toutes les équipes ?
• Les administrateurs peuvent-ils lire les conversations sans traçabilité ?
• Les exportations en masse sont-elles restreintes et journalisées ?
• À quelle vitesse les comptes des employés ayant quitté l'entreprise sont-ils désactivés ?
• Les prestataires externes ont-ils le même niveau d'accès que vos équipes internes ?

‍

La plupart des incidents observés dans les opérations de service client ne proviennent pas d'une vulnérabilité du fournisseur mais d'autorisations trop larges laissées en place pendant des années.

RGPD et SaaS de service client : droits des clients, incidents et réversibilité

Permettre l'accès, la rectification et l'effacement

Votre outil doit vous permettre de répondre aux demandes des personnes concernées dans les délais impartis. Fonctionnalités à tester lors d'une démonstration, plutôt que de simplement les lire dans une brochure : recherche d'une personne sur tous les canaux, exportation structurée de ses données, rectification, suppression, limitation du traitement et anonymisation lorsque la suppression complète n'est pas possible.

‍

Attention aux données dispersées dans les tickets et les pièces jointes

Supprimer une fiche contact ne suffit pas si les mêmes informations subsistent dans un ticket archivé, le corps d'un e-mail, une pièce jointe, une exportation créée par une équipe, une sauvegarde ou un outil connecté. Une demande d'effacement mal gérée est une cause fréquente de plaintes, précisément parce que l'entreprise est sincèrement convaincue d'avoir satisfait la demande.

Testez le scénario complet avant la mise en production : une demande d'effacement fictive suivie d'une recherche sur tous les canaux et tous les lieux de stockage.

Organiser la réponse à une violation de données personnelles

Le contrat et vos procédures internes doivent préciser qui détecte la violation, qui alerte qui, dans quel délai, quelles informations sont transmises, comment les preuves sont conservées, et quelle assistance le prestataire fournit pour vous permettre de respecter vos propres obligations. Un délai de notification vague dans l'accord de traitement des données est un signal d'alerte sérieux.

Préparez la réversibilité avant la signature, pas au moment de la résiliation

Format et périmètre d'exportation de ce qui peut réellement être exporté (tickets, conversations, pièces jointes, notes internes, métadonnées), délais de restitution, coûts éventuels, assistance à la migration et délais de suppression des copies résiduelles et des sauvegardes. Ces points se négocient facilement avant la signature, mais deviennent presque impossibles à obtenir par la suite.

‍

‍

Alcmeon, le SaaS de service client conçu pour les exigences élevées

‍

Hébergement souverain et maîtrise des flux de données

‍

Alcmeon est la plateforme conversationnelle utilisée par les grandes marques B2C et les services publics français, notamment SNCF Connect, Carrefour, Fnac Darty et Le Bon Marché. L'hébergement est assuré en France et dans l'Union européenne, ce qui simplifie considérablement le volet « transferts internationaux » de votre analyse et réduit votre exposition aux incertitudes qui pèsent actuellement sur les cadres d'adéquation transatlantiques.

Gouvernance des traitements et de l'IA

La plateforme anonymise les données sensibles avant leur envoi vers les moteurs d'IA, et fonctionnalités d'IA peut être configuré au cas par cas plutôt que d'être activé globalement. Connecteurs CRM natifs permettent de n'exposer aux conseillers et aux systèmes automatisés que les informations nécessaires au traitement de la demande. Pour aller plus loin sur ce sujet, consultez notre guide sur la gouvernance de l'IA pour le service client.

‍

Une console unique, condition pratique de la conformité

‍

Répondre à une demande d'effacement est simple lorsque toutes les conversations d'un client sont centralisées, et très complexe lorsqu'elles sont éparpillées entre une boîte mail, un compte Instagram, un outil de chat et un tableur. Laconsole unique d'Alcmeon rassemble plus de quinze canaux, rendant la recherche, l'export et la suppression pratiques sur l'ensemble du parcours. Consultez notre guide sur la centralisation des conversations clients.

‍

Demandez une démo d'Alcmeon et laissez nos équipes tester votre checklist RGPD.