Automatisation et RGPD : où vont vos données, et qui peut les voir

Quand on connecte votre logiciel de devis à votre facturation, puis à votre comptable, une question revient presque toujours, souvent posée à la fin de l'audit, un peu gênée : « Et mes données, elles vont où ? »

C'est la bonne question, et elle mérite une réponse précise. La voici, en trois phrases : vos données restent dans vos logiciels. Ce qui transite entre eux passe par des serveurs en Europe, avec des accès limités et révocables. Et la personne qui installe tout ça est tenue par un contrat, parce que le RGPD l'exige. Le reste de l'article explique chaque phrase.

Où sont vos données, concrètement ?

Une automatisation n'est pas un nouveau logiciel qui stocke vos informations. C'est un facteur. Il prend une lettre à un endroit et la dépose à un autre.

Prenons une relance de devis automatique :

• Le devis et le client sont dans votre logiciel de devis. Ils y restent.
• L'automatisation regarde, une fois par jour, quels devis attendent depuis plus de trois jours.
• Pour chacun, elle lit le nom et l'adresse e-mail, prépare le message, et l'envoie depuis votre messagerie.
• Elle note qu'elle l'a fait, pour ne pas recommencer le lendemain.

À aucun moment votre fichier client n'est copié ailleurs. Ce qui transite, c'est le nom et l'adresse e-mail d'un client, le temps de l'envoi. C'est très différent d'un prestataire qui vous demanderait « envoyez-moi votre base clients ».

Les serveurs où ça tourne

Le facteur a besoin d'un endroit pour travailler : un serveur qui exécute l'automatisation. Chez moi, ces serveurs sont hébergés en Europe, chez des hébergeurs soumis au droit européen. Ce n'est pas un détail : c'est ce qui garantit que le RGPD s'applique tout au long du chemin, et pas seulement dans vos logiciels.

Les accès

Pour lire vos devis, l'automatisation a besoin d'une clé que vous lui donnez dans votre logiciel. Deux règles :

• Le strict nécessaire. Si l'automatisation doit lire les devis, elle n'a pas accès aux factures. Si elle doit envoyer des e-mails, elle ne lit pas votre boîte de réception.
• Révocable en quelques minutes. Chaque clé peut être coupée depuis votre logiciel, par vous, sans me demander. Si vous arrêtez tout demain, tout s'arrête.

Qu'est-ce que le RGPD exige exactement ?

Le RGPD, c'est le règlement européen sur les données personnelles. Il ne vous interdit pas d'automatiser. Il vous demande de savoir ce que vous faites des données de vos clients, et d'encadrer ceux qui y touchent pour vous.

Trois points vous concernent directement.

Vous restez responsable

Même si un prestataire installe vos automatisations, c'est votre entreprise qui est « responsable du traitement ». Autrement dit : c'est à vous de pouvoir dire où vont les données et pourquoi. Un bon prestataire vous donne ces réponses par écrit, sans que vous ayez à les chercher.

Le prestataire est un sous-traitant

Le règlement, à son article 28, prévoit que toute personne qui traite des données pour votre compte est un sous-traitant, et qu'un contrat écrit fixe ses obligations : n'utiliser les données que pour la mission, les protéger, ne pas les conserver au-delà, vous aider si un client exerce ses droits. Ce contrat, je le fournis avant tout démarrage. Si un prestataire ne vous en propose pas, demandez-le.

Une durée de conservation

Ce qui transite par une automatisation ne doit pas rester indéfiniment. Les traces d'exécution (« relance envoyée le 12 mars à ce client ») sont utiles pour vérifier que tout fonctionne, puis supprimées après un délai fixé au contrat. Vos données, elles, ont leur propre durée de conservation, dans vos logiciels, selon vos obligations commerciales et comptables.

Les cinq questions à poser à n'importe quel prestataire

Que ce soit moi ou quelqu'un d'autre, posez-les. Les réponses doivent être claires et tenir en une phrase chacune.

1. Où sont hébergés les serveurs qui exécutent mes automatisations ? La réponse attendue : en Europe, chez un hébergeur nommé.
2. Quelles données transitent, et lesquelles sont stockées ? La réponse attendue : seulement ce qui est nécessaire à chaque tâche, et rien n'est stocké durablement en dehors de vos logiciels.
3. Comment je coupe les accès si je veux arrêter ? La réponse attendue : vous-même, depuis vos logiciels, en quelques minutes.
4. Avez-vous un contrat de sous-traitance conforme à l'article 28 ? La réponse attendue : oui, le voici.
5. Si vous utilisez de l'IA, mes données servent-elles à l'entraîner ? La réponse attendue : non, avec un engagement écrit de l'éditeur de l'outil.

Un prestataire qui hésite sur l'une de ces questions n'est pas forcément malhonnête. Mais il ne sait pas, et c'est votre responsabilité qui est engagée.

Et l'IA, dans tout ça ?

C'est le point qui mérite le plus de vigilance, parce que c'est le plus nouveau.

Les outils d'IA grand public, dans leur version gratuite, peuvent utiliser ce que vous leur écrivez pour s'améliorer. Coller la fiche d'un client, un contrat ou une liste de salariés dans ce genre d'outil, c'est transmettre ces données à un tiers sans contrat ni contrôle. Ne le faites pas, et dites-le à votre équipe, parce que la tentation est grande quand on veut aller vite.

Quand une automatisation utilise l'IA, pour lire un e-mail de prospect ou rédiger une relance, je choisis des outils dont l'éditeur s'engage par contrat à ne pas réutiliser vos données pour entraîner ses modèles, et à les traiter dans les mêmes conditions que le reste. C'est un critère de sélection, pas une option. Et l'IA ne voit que ce dont elle a besoin pour sa tâche : l'e-mail à lire, pas votre base entière.

Cette précaution ne vous empêche pas d'utiliser l'IA. Elle vous permet de le faire sans mettre vos clients en risque, et sans avoir à y repenser à chaque fois.

Ce qu'il faut retenir

Automatiser ne rend pas vos données moins sûres. Dans beaucoup de petites entreprises, c'est même l'inverse : moins de fichiers recopiés dans des tableurs, moins de pièces jointes qui circulent par e-mail, et des accès enfin listés quelque part. Ce qui change tout, c'est la façon dont c'est fait, et le contrat qui l'encadre.

Si vous voulez comprendre ce qu'on automatise avant de vous demander où vont les données, commencez par ce que l'automatisation est vraiment, et ce qu'elle n'est pas. Et pendant l'audit d'une heure, posez-moi les cinq questions : vous aurez les réponses par écrit dans le diagnostic.