RGPD et support client : la checklist que votre éditeur ne vous donne pas
Le délai de 72 heures ne court pas à la confirmation de l'incident. Il court à la prise de connaissance — et cette nuance change la première chose à faire.
Un outil de support contient, par construction, presque tout ce que le RGPD protège : des noms, des adresses, des numéros de téléphone, des captures d'écran où traînent des données de santé ou de paiement, et des conversations entières. C'est l'un des systèmes les plus sensibles d'une entreprise, et c'est l'un de ceux qu'on achète le plus vite.
Cette liste est écrite du point de vue de l'acheteur. Nous sommes éditeur, donc partie prenante : là où notre propre situation est incomplète, c'est dit.
D'abord : qui est quoi
La répartition des rôles décide de tout le reste, et elle est presque toujours la même :
- Vous êtes responsable du traitement. Ce sont vos clients, vos finalités, vos durées de conservation. Vous décidez.
- Votre éditeur de helpdesk est sous-traitant. Il traite pour vous, sur vos instructions, et n'a pas le droit d'utiliser ces données pour autre chose.
- Les fournisseurs de votre éditeur sont sous-traitants ultérieurs : hébergeur, routeur d'emails, fournisseur d'inférence pour l'IA. Ils sont dans votre chaîne même si vous ne les avez jamais choisis.
Les quatre pièces à exiger, avant de signer
| Pièce | À quoi elle sert | Le signal d'alarme |
|---|---|---|
| L'accord de sous-traitance (DPA) | L'article 28 l'exige. Sans lui, votre traitement est irrégulier dès le premier ticket | « C'est dans nos CGU » — un DPA a des mentions obligatoires que des CGU ne portent pas |
| La liste des sous-traitants ultérieurs | Votre chaîne réelle, avec la localisation de chacun | Une liste sans localisation, ou un « nos partenaires de confiance » |
| Les mesures de sécurité | Ce qui est chiffré, qui a accès, ce qui est journalisé | Une liste de certifications sans dire lesquelles couvrent le service que vous achetez |
| La procédure de notification | Comment et sous quel délai l'éditeur vous prévient d'une violation | Aucun délai chiffré. « Dans les meilleurs délais » ne vous permet pas de tenir vos 72 heures |
La quatrième est celle qu'on oublie et c'est la plus mécanique : vos 72 heures dépendent de la rapidité de votre sous-traitant à vous prévenir. Si son contrat ne l'engage sur aucun délai, votre engagement à vous est intenable et vous ne l'apprendrez que le jour où ça arrive.
L'horloge des 72 heures, et l'erreur que presque tout le monde fait
L'article 33 impose de notifier l'autorité de contrôle dans les 72 heures après en avoir pris connaissance. Trois précisions, qui sont l'inverse de ce qu'on lit habituellement :
- 1Le point de départ est la prise de connaissance, pas la confirmation. Dès qu'il y a un motif sérieux de croire qu'une donnée a été exposée, le compte à rebours court. Attendre d'être sûr est déjà être en retard.
- 2Une notification incomplète dans les délais vaut mieux qu'une notification complète en retard. Le règlement prévoit explicitement de compléter par la suite. La plupart des articles conseillent l'inverse.
- 3Ce ne sont pas des jours ouvrés. Un incident découvert un vendredi soir se notifie le lundi matin au plus tard, week-end compris.
La conséquence sur votre procédure interne est concrète et contre-intuitive : la première action d'un incident est de consigner, pas de comprendre. Ouvrir une ligne datée avec ce qu'on sait et ce qu'on ne sait pas, avant même de chercher la cause. C'est ce que fait notre propre procédure, et l'ordre des étapes y est écrit exprès dans ce sens.
L'IA change la chaîne, et il faut le regarder de près
Dès qu'un assistant lit vos tickets, des contenus de conversation sortent de l'infrastructure de votre éditeur pour aller chez un fournisseur d'inférence. C'est le seul traitement du produit où cela se produit, et c'est celui dont personne ne parle dans les plaquettes.
Cinq questions, dans l'ordre :
- Quel fournisseur, et où ? Un helpdesk hébergé en France dont l'assistant appelle un modèle outre-Atlantique n'est pas un helpdesk hébergé en France.
- Vos contenus entraînent-ils le modèle ? La réponse doit être non, et elle doit être contractuelle, pas verbale.
- Qu'est-ce qui est masqué avant l'envoi ? Chez nous, emails, cartes, IBAN et jetons sont rédigés avant l'appel, et le nombre de rédactions par type est journalisé à chaque appel — c'est une preuve vérifiable, pas une promesse.
- Que voit l'assistant ? Les notes internes doivent être fermées par défaut : ce sont elles qui contiennent les commentaires qu'on n'écrirait pas devant le client.
- Y a-t-il une trace par appel ? Le jour où un client demande ce qui est parti chez qui, la réponse doit être une requête.
Les durées de conservation, où l'outil décide à votre place
Vous êtes responsable des durées ; l'outil, lui, a des valeurs par défaut. Quatre à vérifier, parce qu'elles sont rarement alignées avec ce que vous avez écrit dans votre registre :
| Donnée | La question | Le piège fréquent |
|---|---|---|
| Tickets clos | Combien de temps, et effacés ou anonymisés ? | « Conservés indéfiniment » par défaut |
| Corbeille | Purge automatique après combien de jours ? | Une corbeille jamais vidée n'est pas une suppression |
| Journaux d'authentification | Combien de temps ? | Souvent plus longs que les données métier, sans raison écrite |
| Sauvegardes | Une suppression traverse-t-elle les sauvegardes ? | Presque jamais — et c'est la réponse honnête à donner à une demande d'effacement |
Où nous en sommes, y compris ce qui manque
Nous publions notre position parce qu'un éditeur qui exige de la transparence de ses fournisseurs sans en donner lui-même n'est pas crédible.
- Ce qui est en place : hébergement et traitements en Union européenne, rédaction des données personnelles avant tout appel au modèle avec journal des rédactions, chiffrement au repos, journal d'audit produit, sauvegardes restaurées et vérifiées, et 37 des 93 contrôles de l'annexe A ISO 27001 au vert avec une preuve rejouable pour chacun.
- Ce qui manque, et qui ne dépend pas de notre travail : les DPA avec nos propres fournisseurs ne sont pas signés, parce que la société n'est pas encore immatriculée. Le registre des traitements et les CGU sont à faire rédiger. Tant que c'est vrai, la chaîne contractuelle est rompue au premier maillon — et ça vaut aussi pour un client qui nous confierait ses données.
Nous le mettons noir sur blanc pour deux raisons. La première est qu'un acheteur a le droit de le savoir avant de signer plutôt que pendant un audit. La seconde est que c'est la seule affirmation de cette page qu'un concurrent ne peut pas copier : elle demande de publier ce qui manque.
Un éditeur qui n'a aucune non-conformité à montrer n'en a pas moins : il en parle moins.
Le code qui applique ces règles est lisible sous licence AGPL-3.0 — voir la page open source — et ce que fait l'assistant est décrit avec son journal, son coût et ses refus plutôt qu'avec des adjectifs. Pour le détail de ce que coûte cette IA, nous avons publié le journal d'appels.
Nous ne publions pas d'article sans un chiffre mesuré chez nous, du code qu'on peut aller lire, ou une limite avouée. C'est la seule façon d'écrire sur ce métier sans répéter ce que tout le monde écrit déjà.