Adopter Salesforce, c'est centraliser une part importante des données personnelles de l'entreprise : prospects, clients, contacts, historiques d'échanges. Pour une ETI française, ce mouvement n'est pas seulement technique ou commercial, il est aussi juridique. Le RGPD ne se traite pas après la mise en production : il se cadre en amont, au moment où l'on décide quelles données entrent dans l'outil, où elles sont hébergées et qui y accède. Cet article passe en revue les points de conformité qu'un décideur d'ETI doit avoir tranchés avant le premier import.
Pourquoi le CRM concentre le risque RGPD
Un CRM comme Salesforce a vocation à rassembler des données personnelles issues de sources multiples : formulaires web, échanges commerciaux, imports de fichiers existants, connexions avec d'autres outils. Cette centralisation est précisément ce qui crée de la valeur métier, mais c'est aussi ce qui concentre le risque en matière de protection des données. Plus l'outil devient le référentiel unique de la relation client, plus une erreur de paramétrage ou un accès mal maîtrisé peut avoir des conséquences étendues.
Pour une ETI, l'enjeu n'est pas théorique. La donnée client est un actif, et sa mauvaise gestion expose à la fois à un risque réglementaire et à un risque de réputation. Le bon réflexe consiste à traiter la conformité comme une composante du cahier des charges, au même titre que les fonctionnalités commerciales attendues.
Les bases légales et la minimisation
Chaque traitement de données personnelles doit reposer sur une base légale claire : exécution d'un contrat, intérêt légitime, consentement selon les cas. Avant de peupler Salesforce, il faut savoir sur quel fondement repose chaque catégorie de données que l'on souhaite y stocker. Cette réflexion oriente ensuite le paramétrage : quels champs sont réellement nécessaires, quelles données peuvent être écartées.
Le principe de minimisation est central. La tentation, lors d'une migration, est d'importer l'ensemble des données existantes « au cas où ». Cette approche va à l'encontre du RGPD et alourdit inutilement la base. Un cadrage rigoureux consiste à identifier les données utiles au métier et à laisser de côté celles qui n'ont pas de finalité claire.
- Définir les finalités de chaque traitement avant l'import
- Documenter la base légale associée à chaque catégorie de données
- Limiter les champs collectés au strict nécessaire
- Prévoir la gestion des données sensibles, si elles existent, avec des garanties renforcées
Hébergement, localisation et transferts
La question de la localisation des données est récurrente pour les ETI françaises. Salesforce est un service hébergé, et il est légitime de s'interroger sur l'endroit où les données sont stockées et traitées, ainsi que sur d'éventuels transferts hors de l'Union européenne. Ces éléments doivent être clarifiés avec l'éditeur et documentés, car ils conditionnent une partie des garanties à mettre en place.
Le choix de la région d'hébergement, lorsqu'il est possible, ainsi que la compréhension des mécanismes de transfert encadrés, font partie des sujets à instruire. Ils n'ont pas de réponse universelle : ils dépendent de la nature des données et du niveau d'exigence de l'ETI, notamment dans les secteurs sensibles.
La localisation des données et les éventuels transferts hors UE doivent être vérifiés au cas par cas avec l'éditeur et le prestataire d'intégration. Ne considérez jamais ces points comme acquis : ils s'inscrivent dans votre documentation de conformité.
Sous-traitance : le rôle de l'intégrateur et de l'éditeur
Dans un projet Salesforce, plusieurs acteurs interviennent sur les données : l'éditeur qui fournit la plateforme, et l'intégrateur qui la paramètre et parfois y accède pendant la mise en œuvre. Ces relations relèvent de la sous-traitance au sens du RGPD et doivent être encadrées par des contrats appropriés, précisant les responsabilités de chacun, les mesures de sécurité et les conditions d'accès aux données.
Pour une ETI, il est important de ne pas déléguer aveuglément ce volet. Vérifier que l'intégrateur applique des pratiques de sécurité sérieuses, que les accès sont limités et tracés, et que la fin de mission prévoit la restitution ou la suppression des données, fait partie d'un cadrage sain.
Droits des personnes et durées de conservation
Le RGPD garantit aux personnes des droits : accès, rectification, effacement, opposition. Un CRM doit permettre d'y répondre concrètement. Cela suppose de savoir retrouver l'ensemble des données relatives à une personne, de pouvoir les corriger ou les supprimer, et d'avoir défini des durées de conservation cohérentes avec les finalités.
Ces durées ne doivent pas être laissées au hasard. Une politique de conservation, avec des règles d'archivage ou de purge, évite de conserver indéfiniment des données qui n'ont plus d'utilité. Le paramétrage de Salesforce peut soutenir cette politique, à condition qu'elle ait été définie en amont.
La conformité RGPD ne se réduit pas à un paramétrage technique : elle combine décisions organisationnelles, documentation et outillage. L'intégrateur met en œuvre, mais les arbitrages de fond relèvent de l'ETI, idéalement avec son DPO ou un conseil dédié.
Faire de la conformité un atout de cadrage
Intégrer le RGPD dès le cadrage n'est pas un frein au projet, c'est un moyen de le structurer. Poser les bonnes questions sur les finalités, les bases légales, l'hébergement et la sous-traitance permet aussi de clarifier le périmètre fonctionnel et d'éviter des reprises coûteuses par la suite. Une ETI qui aborde son projet Salesforce avec cette exigence gagne en sérénité et en crédibilité vis-à-vis de ses propres clients.
Le rôle d'un tiers de confiance neutre est ici précieux : aider à formuler les exigences de conformité, à les inscrire dans le cahier des charges, et à vérifier que les prestataires pressentis sont en mesure d'y répondre, sans intérêt commercial dans le choix final.