CRM RGPD : que vérifier avant d’y mettre des données clients

Un « CRM RGPD » n’est pas un produit avec un label. C’est un CRM plus les contrats, les réglages et les habitudes qui vous permettent de remplir vos propres obligations au titre du RGPD, et ces obligations pèsent sur vous en tant que responsable du traitement : une base légale pour chaque usage de données personnelles, un accord de traitement des données (DPA) avec le prestataire qui les stocke, une réponse aux personnes qui demandent ce que vous détenez sur elles, et la suppression des données dont vous n’avez plus besoin. Un éditeur de CRM peut vous faciliter ou vous compliquer la tâche, mais aucun CRM ne vous rend conforme à lui seul.

Ce guide présente les obligations qui comptent pour un CRM avec leurs articles, montre ce qu’il faut vérifier dans le contrat et la liste des sous-traitants de n’importe quel éditeur, déroule une demande d’accès et une demande d’effacement, et indique où se situe Customermates, y compris ce qu’il ne prétend pas. Customermates le publie et apparaît dans des sections signalées. Il s’agit d’une information générale, pas d’un conseil juridique : pour votre cas, interrogez un avocat ou votre délégué à la protection des données. Nous avons vérifié les sources du droit de l’UE et les textes juridiques de Customermates le 11 novembre 2026 ; ces textes évoluent, lisez donc le DPA et la liste des sous-traitants en vigueur avant de vous appuyer sur cette page.

Que demande le RGPD à un CRM ?

Le RGPD (règlement (UE) 2016/679, texte sur EUR-Lex) ne certifie aucun logiciel. Il encadre l’organisation qui décide des finalités et des moyens du traitement, le responsable du traitement, et le prestataire qui traite les données pour son compte, le sous-traitant. Un CRM rempli de noms, d’adresses e-mail et de conversations contient des données personnelles : vous êtes le responsable du traitement, et l’éditeur qui les stocke pour vous est un sous-traitant. Le tableau associe aux articles les obligations les plus importantes pour un CRM.

La Commission européenne présente les principes du RGPD en langage simple (en anglais), et les lignes directrices 07/2020 du Comité européen de la protection des données (en anglais) détaillent les rôles de responsable du traitement et de sous-traitant. Une base de données CRM pensée avec ces obligations commence par moins de champs et des responsables clairement désignés.

Existe-t-il un CRM conforme au RGPD ?

Aucun CRM n’est conforme au RGPD à lui seul. La conformité décrit la façon dont vous utilisez un outil : ce que vous collectez, sur quelle base, combien de temps vous le gardez et comment vous répondez aux demandes. Ce qu’un éditeur peut offrir honnêtement est plus étroit et vérifiable :

• un contrat de sous-traitance qui couvre l’art. 28, par. 3 ;
• une liste publique de sous-traitants et une procédure décrite pour les changements ;
• des informations claires sur le lieu du traitement et le mécanisme qui couvre un transfert hors de l’EEE ;
• des mesures de sécurité inscrites au contrat ;
• des fonctions pour retrouver, corriger, exporter et supprimer les données d’une personne ; et
• une porte de sortie : la restitution ou la suppression de vos données à la fin.

Considérez un label comme « conforme au RGPD » ou « fait en Europe » comme une affirmation commerciale. Le RGPD prévoit des certifications agréées (art. 42) : demandez donc quelle certification, délivrée par quel organisme, pour quel service. Customermates n’a aucune certification de conformité ; l’hébergement dans une région de l’UE est un fait d’hébergement, pas une certification.

Le siège de l’éditeur et l’emplacement des serveurs comptent-ils ?

Trois lieux se confondent facilement : où l’éditeur est établi, où tourne sa base de données et où tous les autres prestataires de la chaîne traitent les données. Le RGPD n’exige pas un hébergement dans l’UE. Il restreint les transferts hors de l’EEE (art. 44 à 46) et vous rend responsable de toute la chaîne. Un éditeur établi en Allemagne peut faire tourner son application chez un hébergeur américain, et un éditeur américain peut avoir une base de données à Francfort. C’est la vraie question derrière la recherche d’un CRM allemand ou européen : regardez les trois lieux, pas le titre.

Pour Customermates, les textes juridiques indiquent ceci (état au 11 novembre 2026) :

La liste des sous-traitants nomme chaque prestataire avec sa finalité, son lieu et sa base de transfert, et la documentation de sécurité explique l’isolation des tenants et l’endroit où se trouvent les identifiants. En résumé : un exploitant en Allemagne, une base de données dans une région de l’UE et des prestataires américains dans la chaîne, d’où l’importance de la liste plutôt que d’un nom de pays.

Que doit contenir un accord de traitement des données pour un CRM ?

L’art. 28, par. 3, énumère le contenu minimal d’un contrat de sous-traitance. Confrontez le contrat d’un éditeur aux points a à h. La colonne de droite montre le DPA de Customermates ; les numéros d’article renvoient au DPA publié.

Lisez aussi les limites. Le DPA dit ce qu’il ne peut pas promettre : pour les comptes connectés, Customermates n’a pas de droit contractuel de suppression par compte envers Unipile et ne peut que demander le retrait, et les enregistrements entrants bruts qui ne peuvent pas être attribués à un client sont conservés sans durée fixe pour l’analyse d’erreurs. Un DPA qui énonce ses limites est plus facile à évaluer qu’un DPA qui n’en énonce aucune.

Vérifiez aussi comment il est conclu. Publier un document ne le conclut pas : le DPA de Customermates prend effet pour un client lorsqu’un administrateur autorisé l’accepte, avec les conditions générales, lors de l’intégration, et une copie en forme écrite est disponible sur demande. Seule la version allemande fait foi ; les versions anglaise et française sont des traductions fournies à titre d’information.

Comment traiter une demande d’accès ou d’effacement dans un CRM ?

C’est l’épreuve de tout réglage de CRM : quelqu’un écrit « Que détenez-vous sur moi ? » ou « Supprimez mes données ». Les étapes ci-dessous utilisent Customermates ; l’ordre vaut pour n’importe quel outil.

1. Consigner la demande et vérifier l’identité

   Notez la date de réception : le délai d’un mois de l’art. 12, par. 3, court à partir de là. Vérifiez l’identité de façon proportionnée aux données, sans collecter plus de données que nécessaire pour cela.

2. Retrouver toutes les fiches

   Appuyez sur Cmd ou Ctrl et K. La recherche globale parcourt toutes les listes que vous pouvez lire et trouve un contact par n’importe quelle adresse e-mail ou numéro de téléphone de ses Coordonnées ; cherchez aussi le nom et ouvrez les organisations et les deals liés. Les conversations ne font pas partie de cette recherche : la boîte de réception, à partir de Pro avec un compte connecté, a sa propre recherche.

3. Rassembler les données

   Filtrez chaque liste sur la personne, puis choisissez Exporter en Excel ou Exporter en JSON dans Plus d’actions. L’export contient ce que la liste affiche avec vos filtres, jusqu’à 5 000 enregistrements, et seulement les champs que votre rôle peut lire. Customermates n’a pas d’export de tout le compte en une fois ; répétez donc l’opération pour chaque liste qui contient la personne, et ajoutez ce qui se trouve dans vos e-mails, vos tableurs et vos autres outils.

4. Corriger ce qui est faux

   Modifiez la valeur directement dans le champ. Cela répond à une demande de rectification au titre de l’art. 16 ; le journal d’activité consigne la modification avec l’ancienne valeur, son auteur et le moment.

5. Supprimer, puis vérifier les copies

   Supprimer déplace la fiche dans la corbeille et la retire des listes, de la recherche, des widgets et des exports. Ouvrez la corbeille et choisissez Supprimer définitivement pour supprimer tout de suite, ce qui efface aussi les valeurs des champs de la fiche de son historique ; sinon elle disparaît d’elle-même après 30 jours. Les messages d’une boîte de réception connectée sont des copies de messages de votre compte e-mail ou de messagerie : l’original appelle donc la même décision. Demandez comment votre éditeur traite les sauvegardes : le DPA de Customermates indique au plus 90 jours pour les suppressions qu’il couvre (article 11).

6. Répondre et consigner ce que vous avez fait

   Répondez dans le mois et conservez une note de la demande, de la décision et de la date, pour pouvoir le démontrer plus tard (art. 5, par. 2). Pour une opposition à la prospection (art. 21, par. 3), ajoutez un champ Oui/Non comme « Opposition à la prospection » et laissez ces fiches hors de toute liste d’envoi.

La documentation de la corbeille décrit la restauration et la suppression définitive, et la documentation des enregistrements les filtres, l’export et l’import.

Comment configurer un CRM en tenant compte du RGPD ?

Une checklist pour la première semaine, avant que de vraies données clients n’entrent :

1. Décider ce que chaque liste stocke

   Moins de champs, c’est moins à protéger, à communiquer et à supprimer (art. 5, par. 1, point c). Notez la finalité et la base légale de chaque liste dans sa description, et laissez de côté les catégories particulières de données, comme les données de santé (art. 9), tant que vous n’avez pas de fondement précis.

2. N’accorder que les accès nécessaires

   Les rôles accordent Créer, Modifier, Supprimer et Accès en lecture (Tous, Assignés ou Aucun) séparément pour chaque liste. Il n’existe pas de permissions au niveau du champ ; placez donc les informations sensibles dans une liste distincte à l’accès plus étroit.

3. Prévoir le départ des personnes

   Passer un membre sur Inactif bloque aussitôt son accès, ses clés API et ses connexions MCP pour l’espace de travail.

4. Conclure le DPA et lire la liste des sous-traitants

   Gardez votre copie de la version acceptée et relisez la liste quand un avis de changement arrive.

5. Ne connecter que les canaux utilisés

   Chaque compte connecté ajoute un prestataire à la chaîne et une copie stockée de ses messages. Déconnecter un compte supprime les fils, messages, participants et données d’agenda stockés pour ce compte, comme le décrit le DPA.

6. Fixer une règle de conservation par liste et l’appliquer

   Enregistrez une vue des fiches non mises à jour depuis la durée que vous avez choisie, passez-la en revue à intervalle régulier et supprimez ce dont vous n’avez plus besoin. Le RGPD vous laisse choisir la durée (art. 5, par. 1, point e) ; si le droit fiscal ou commercial vous oblige à conserver un document, cette obligation s’y ajoute.

7. Tenir vos propres documents à jour

   Le registre des traitements (art. 30) et votre politique de confidentialité (art. 13 et 14) se trouvent dans votre dossier de conformité, pas dans les documents de l’éditeur du CRM.

Que changent les fonctions d’IA au regard du RGPD ?

Un assistant IA ajoute des prestataires à la chaîne et leur envoie du texte tiré de vos fiches. Pour chaque fonction d’IA, demandez quel prestataire reçoit quelles données, s’il figure dans la liste des sous-traitants, où il traite les données, s’il s’entraîne sur vos données et si vous pouvez laisser la fonction désactivée.

Pour Customermates Cloud, la liste des sous-traitants décrit Mate : une requête passe par Vercel AI Gateway vers les prestataires du tableau ci-dessus et ne contient que ce qui est nécessaire à la réponse. La liste indique, sur ce chemin de passerelle, un réglage sans conservation des données (Zero Data Retention) ; c’est un contrôle étroit et non une promesse de conservation pour le CRM lui-même. Les modèles Claude sont fixés sur une zone d’inférence de l’UE, alors que la recherche web et le modèle d’embeddings tournent aux États-Unis. Vous décidez quelles données une requête contient et restez responsable de la nécessité et de la base légale. Si vous connectez votre propre client IA par MCP, ce prestataire traite les données selon votre contrat avec lui. Les instances auto-hébergées n’ont pas Mate. Le guide du CRM avec IA compare les approches.

Customermates et le RGPD : ce qu’il offre et ce qu’il n’offre pas

Offert, d’après la documentation produit et les textes juridiques :

• le DPA et la liste des sous-traitants pour le cloud géré, avec la procédure de changement décrite plus haut ;
• des rôles par liste, un interrupteur pour désactiver les membres et une séparation des tenants par compte d’entreprise ;
• la recherche globale par adresse e-mail ou numéro de téléphone, la correction sur place, l’export Excel et JSON par liste et une corbeille avec suppression définitive ;
• un journal d’activité des modifications des fiches CRM et de la configuration de l’espace de travail, lisible par les rôles qui y ont accès ; et
• un cœur open source sous AGPL que vous pouvez auto-héberger.

Non offert, demandez-le donc ailleurs si vous en avez besoin :

• Customermates n’a aucune certification de conformité et aucune garantie contractuelle que toutes les données restent dans une seule région ;
• il n’a pas de permissions au niveau du champ ni d’export d’un compte entier en une seule étape ;
• son journal d’activité ne couvre ni les connexions, ni les clés API, ni le contenu de la boîte de réception, et il n’a pas de bouton d’export.

L’auto-hébergement déplace la responsabilité. Le cœur AGPL tourne avec Docker et PostgreSQL sur votre infrastructure, et le DPA ne couvre que le service géré : vous choisissez l’hébergement et les prestataires et vous détenez vos propres contrats au titre de l’art. 28 et vos garanties de transfert. TLS et chiffrement au repos sont à votre charge. L’auto-hébergement utilise l’ensemble de fonctions Starter, sans boîte de réception et sans Mate, et il n’est pas isolé du réseau : à la première saisie d’adresse pour un pays, l’instance télécharge le fichier public des codes postaux de ce pays depuis GeoNames, sauf si vous réglez POSTAL_CODE_DATA_URL sur off ou sur un miroir. Le guide d’auto-hébergement donne les détails, et la page sur le CRM open source explique la limite de licence.

Pour vérifier ces points sur votre cas, lisez d’abord le DPA et la liste des sous-traitants, puis démarrez votre essai de 14 jours : Pro, sans carte bancaire. Importez quelques fiches de test avant de vraies données clients et parcourez une fois les étapes de la demande d’accès.

Questions fréquentes sur le RGPD et le CRM

Droit et indications de tiers vérifiés le 11 novembre 2026 : règlement (UE) 2016/679 sur EUR-Lex, la directive vie privée et communications électroniques, les principes du RGPD de la Commission européenne et les lignes directrices 07/2020 du CEPD. Les indications sur Customermates proviennent de son DPA, de sa liste des sous-traitants et de sa documentation de sécurité dans leur état à cette date.