CRM et RGPD : ce que votre éditeur doit vous garantir

Le CRM, cœur des données personnelles de l'entreprise

Un CRM centralise des noms, des adresses e-mail, des numéros de téléphone, parfois des historiques d'échanges complets avec des personnes physiques identifiables. C'est, dans la plupart des entreprises, l'outil qui concentre le plus de données personnelles après le système de paie. Le choix d'un éditeur de CRM est donc, de fait, une décision de conformité RGPD autant qu'une décision fonctionnelle. Pourtant, cette dimension est souvent traitée en dernier, une fois le contrat déjà négocié sur des critères commerciaux.

Le règlement général sur la protection des données ne se limite pas à une case à cocher sur un formulaire de contact. Il impose des obligations précises qui doivent se retrouver, concrètement, dans le fonctionnement quotidien du logiciel.

Les obligations qui touchent directement un CRM

Plusieurs droits et obligations du RGPD s'appliquent directement à la manière dont un CRM stocke et manipule les données de contact.

• Le consentement doit pouvoir être prouvé : à quel moment il a été donné, sur quel texte exact, et pour quelle finalité — pas seulement affirmé.
• Le droit d'accès et de portabilité impose de pouvoir exporter le dossier complet d'une personne dans un format lisible et structuré.
• Le droit à l'effacement doit pouvoir être exécuté sans laisser de traces identifiantes résiduelles, tout en conservant si nécessaire une preuve anonymisée de la demande.
• La durée de conservation des données doit être définie et appliquée, pas laissée à l'appréciation de chaque utilisateur.
• Toute modification apportée à une donnée personnelle devrait pouvoir être retracée dans un journal d'audit, pour répondre à un contrôle ou à un litige.

Ce qu'un éditeur doit prouver, pas seulement promettre

La plupart des éditeurs affirment être « conformes RGPD » dans leur documentation commerciale. Cette affirmation, en elle-même, ne dit presque rien : la conformité RGPD n'est pas une certification qu'on obtient une fois pour toutes, c'est un ensemble de garanties techniques et contractuelles à vérifier point par point.

Trois éléments méritent une vérification particulière. D'abord, l'accord de sous-traitance (le fameux DPA, Data Processing Addendum) : il doit être disponible, à jour, et préciser explicitement le rôle de chaque partie. Ensuite, la localisation réelle des données et de leurs sauvegardes : un hébergement annoncé « en Europe » doit couvrir l'infrastructure de production autant que les sauvegardes et les environnements de test. Enfin, les transferts hors Union européenne : certains outils, notamment analytiques ou publicitaires, connectés au CRM peuvent réexporter des données vers des pays tiers sans que cela soit visible pour l'utilisateur final.

Fonctionnalités RGPD natives ou modules complémentaires ?

Une distinction importante, souvent négligée : les fonctionnalités de conformité sont-elles construites dans le produit central, ou vendues comme un module complémentaire payant ? Un registre des consentements qui n'existe que dans une extension marketing coûteuse ne protège pas les données saisies ailleurs dans l'outil. De la même façon, un droit à l'effacement qui ne s'applique qu'à un seul objet (les contacts, par exemple) laisse subsister des données personnelles dans les tickets, les activités ou les documents liés.

La bonne question à poser n'est donc pas « êtes-vous conformes au RGPD ? », mais « quelles fonctionnalités précises du produit m'aident, moi, responsable de traitement, à répondre à mes propres obligations légales ? ».

La chaîne de sous-traitants, souvent invisible

Un CRM moderne s'appuie rarement sur un seul prestataire. Hébergement, envoi d'e-mails transactionnels, mesure d'audience, téléphonie intégrée : chacun de ces services peut constituer un sous-traitant au sens du RGPD, avec sa propre localisation et ses propres garanties. Un éditeur sérieux doit être capable de lister ces sous-traitants et de préciser où chacun héberge les données qu'il traite, pas seulement où se trouve le serveur principal de l'application.

Cette transparence a une conséquence concrète pour l'entreprise cliente : en tant que responsable de traitement, elle reste responsable devant la CNIL (ou l'autorité équivalente) même lorsque la faille de sécurité provient d'un sous-traitant qu'elle n'a pas choisi directement. Demander la liste des sous-traitants et leur localisation avant de signer n'est donc pas une formalité, c'est une vérification de risque.

Les questions à poser côté produit

• Un consentement enregistré est-il horodaté, sourcé, et rattaché au texte exact présenté à la personne ?
• Une personne peut-elle retirer son consentement, et cette action est-elle immédiatement appliquée dans tout le système ?
• L'export du dossier complet d'une personne est-il possible en un clic, dans un format structuré ?
• L'effacement d'une fiche anonymise-t-elle les données liées (activités, tickets, documents) ou se limite-t-il à la fiche principale ?
• Les durées de conservation sont-elles paramétrables par type de donnée, ou fixées globalement sans distinction ?
• Existe-t-il un journal d'audit consultable, retraçant qui a modifié quel champ et à quel moment ?

La localisation, un argument de vente légitime

Face à des éditeurs majoritairement nord-américains, l'hébergement européen n'est pas un détail technique secondaire : c'est un facteur direct de simplicité juridique. Un hébergement en Europe, sous droit européen, réduit les zones d'incertitude liées aux transferts internationaux de données et aux législations extraterritoriales. Ce n'est pas une garantie suffisante à elle seule, mais c'est un point de départ qui facilite tout le reste de l'analyse de conformité.

En pratique

La conformité RGPD d'un CRM ne se juge pas sur une ligne de la plaquette commerciale, mais sur des fonctionnalités précises, testables avant la signature. C'est le terrain sur lequel NexiaCX a construit son produit dès le départ : registre des consentements avec preuve, export du dossier complet, effacement tracé, durées de conservation paramétrables, journal d'audit et hébergement européen inclus sur tous les paliers, sans exception.