Une ETI française peut-elle utiliser Salesforce en respectant le RGPD et ses exigences d'hébergement ?

Pour une entreprise de taille intermédiaire française, adopter un CRM comme Salesforce soulève rapidement des questions qui dépassent le seul confort fonctionnel : où sont hébergées les données, comment le RGPD s'applique-t-il, qui porte la responsabilité en cas d'incident, et l'outil est-il compatible avec les attentes de clients ou de partenaires parfois exigeants sur la souveraineté ? Ces interrogations sont légitimes et méritent une réponse posée, distincte des messages promotionnels. Cette page propose un cadre de lecture neutre pour évaluer l'adéquation de la plateforme à un contexte d'ETI française, en insistant sur ce qui relève de la configuration et des pratiques plutôt que sur des promesses générales.

Ce que le RGPD exige, indépendamment de l'outil

Le RGPD s'applique au traitement de données personnelles, quel que soit l'outil utilisé. Il impose notamment une base légale pour chaque traitement, une information des personnes, le respect de leurs droits, une limitation des durées de conservation et des mesures de sécurité appropriées. Ces obligations pèsent sur le responsable de traitement, c'est-à-dire l'entreprise, et non sur le seul fournisseur de logiciel.

Autrement dit, aucun CRM n'est « conforme » ou « non conforme » dans l'absolu. La conformité résulte de la manière dont vous paramétrez l'outil, définissez vos finalités, gérez les consentements et organisez la gouvernance. Une plateforme peut offrir des fonctionnalités facilitant la conformité, mais elle ne s'y substitue pas. C'est un point structurant : le curseur se joue largement chez l'utilisateur.

Hébergement et localisation des données

La question de l'hébergement est centrale pour beaucoup d'ETI, notamment celles soumises à des exigences sectorielles ou contractuelles. Salesforce propose des options d'hébergement dans différentes régions, ce qui permet, selon les configurations retenues, d'orienter la localisation des données. Il est essentiel de vérifier, projet par projet, où les données seront effectivement stockées et traitées, y compris pour les sauvegardes et les environnements techniques annexes.

Cette vérification ne se limite pas à la région d'hébergement principale. Elle englobe les éventuels services complémentaires, les outils d'analyse, les intégrations tierces et les accès de support. Chacun de ces éléments peut introduire des flux de données qu'il faut cartographier. Une évaluation sérieuse passe par cette cartographie, plutôt que par une réponse binaire.

Transferts internationaux : un point de vigilance

Salesforce est un éditeur d'origine internationale, ce qui rend la question des transferts hors Union européenne particulièrement sensible. Le cadre juridique applicable aux transferts a évolué ces dernières années et continue de faire l'objet d'analyses. Pour une ETI, l'enjeu est de documenter les mécanismes encadrant d'éventuels transferts, d'examiner les garanties contractuelles proposées et d'apprécier les risques résiduels au regard de la nature des données traitées.

Ce travail relève généralement d'un dialogue entre les équipes juridiques, la direction des systèmes d'information et, le cas échéant, le délégué à la protection des données. Il ne peut pas être tranché par une simple affirmation commerciale. La prudence consiste à traiter ce sujet explicitement dès le cadrage, plutôt qu'à le découvrir après le déploiement.

Sécurité et gouvernance des données

Au-delà du strict RGPD, une ETI a intérêt à examiner les dispositifs de sécurité disponibles et la façon dont elle compte les mobiliser. Plusieurs dimensions méritent attention :

• Gestion des accès — définition fine des profils, des permissions et du principe de moindre privilège pour limiter l'exposition des données.
• Traçabilité — journalisation des accès et des modifications, utile pour la conformité comme pour la détection d'anomalies.
• Cycle de vie des données — règles de conservation, d'archivage et de suppression alignées sur vos finalités déclarées.
• Chiffrement et protection — recours aux options de protection adaptées à la sensibilité des données concernées.
• Sous-traitance — encadrement contractuel des tiers intervenant sur la plateforme ou ses connexions.

Ces éléments ne sont pas propres à Salesforce ; ils constituent une grille valable pour tout CRM. Leur mise en œuvre concrète est ce qui fait la différence entre un déploiement maîtrisé et une exposition mal évaluée.

Adéquation fonctionnelle à une ETI

Sur le plan des fonctionnalités, une plateforme comme Salesforce est en principe capable de couvrir des besoins étendus : gestion commerciale, service client, marketing, reporting, automatisation. Pour une ETI, l'enjeu n'est pas tant l'existence de ces capacités que leur juste calibrage. Un périmètre trop large dès le départ peut engendrer une complexité et des coûts disproportionnés ; un périmètre trop étroit peut brider les usages.

Le bon dimensionnement suppose de partir des processus réels et des priorités de l'entreprise, puis d'activer progressivement les briques utiles. Cette approche par étapes limite les risques et facilite l'appropriation par les équipes. Elle rejoint une logique de gouvernance saine, où l'outil s'adapte au besoin et non l'inverse.

Accompagnement et compétences internes

La réussite d'un déploiement dans une ETI dépend fortement des compétences mobilisées, en interne comme en externe. Les sujets de conformité, d'hébergement et de sécurité exigent un dialogue entre plusieurs métiers : juridique, informatique, direction opérationnelle. Un accompagnement extérieur peut aider à structurer ce dialogue, à condition qu'il traite ces questions de front plutôt que de les éluder.

Il est prudent de vérifier que le prestataire pressenti sait documenter ses choix, expliquer les paramétrages de conformité et transférer les compétences nécessaires à l'autonomie de vos équipes. La capacité à traiter les aspects réglementaires avec sérieux est un signal utile, au même titre que l'expertise technique.

Orientation

Évaluer l'adéquation de Salesforce à une ETI française revient à croiser des dimensions techniques, juridiques et organisationnelles qui dépassent le cadre d'un simple choix d'outil. Si vous souhaitez confronter votre situation à des retours concrets ou identifier des prestataires capables d'aborder sérieusement les enjeux RGPD et d'hébergement, une mise en relation neutre peut faciliter cette démarche. INTEGREER intervient comme tiers de confiance, sans lien de partenariat avec un éditeur : la plateforme aide à vous rapprocher d'interlocuteurs pertinents, sans engagement, pour que vous puissiez instruire ces questions à votre rythme et décider en connaissance de cause.