Salesforce est-il conforme au RGPD et comment garantir cette conformité dans votre projet CRM ?

Lorsqu'une ETI déploie Salesforce, la question de la conformité au Règlement général sur la protection des données (RGPD) revient systématiquement, notamment parce que le CRM concentre des données personnelles de clients, prospects et parfois de salariés. La bonne nouvelle : Salesforce met à disposition les outils contractuels et techniques pour un usage conforme. La nuance : la conformité n'est jamais garantie par le seul choix de l'outil, elle dépend de la façon dont vous le configurez et l'exploitez.

Une responsabilité partagée entre vous et l'éditeur

Le RGPD distingue le responsable de traitement (votre entreprise) et le sous-traitant (Salesforce, qui héberge et traite les données pour votre compte). Cette distinction est essentielle : Salesforce fournit une infrastructure et des garanties, mais c'est vous qui décidez quelles données collecter, dans quel but, pour combien de temps et qui y accède.

Concrètement, cela signifie que même avec un outil parfaitement outillé pour le RGPD, une mauvaise configuration (durées de conservation illimitées, absence de gestion du consentement, accès trop larges) peut créer une non-conformité dont vous restez seul responsable devant la CNIL.

Les engagements contractuels de Salesforce

Salesforce propose un cadre contractuel qui couvre les exigences du RGPD :

• Data Processing Addendum (DPA) : l'avenant de traitement des données qui encadre les obligations du sous-traitant, conformément à l'article 28 du RGPD.
• Clauses contractuelles types (CCT) : elles encadrent les éventuels transferts de données hors Union européenne, sujet devenu central depuis l'invalidation du Privacy Shield (arrêt Schrems II de la CJUE).
• Certifications et audits : Salesforce communique sur des certifications (ISO 27001, SOC 2, etc.) qui documentent son niveau de sécurité, sans se substituer à votre propre analyse.

Ces documents sont accessibles publiquement et doivent être revus par votre direction juridique ou votre DPO avant tout déploiement.

La question de la localisation des données

Un point de vigilance majeur pour les organisations européennes concerne l'endroit où les données sont hébergées et traitées. Salesforce propose des centres de données en Europe, mais l'hébergement européen ne suffit pas toujours : certains traitements, opérations de support ou fonctions annexes peuvent impliquer des accès depuis d'autres régions.

À vérifier lors du cadrage :

• La région d'hébergement effective de votre instance (à préciser au contrat).
• Les modalités d'accès aux données par les équipes de support de l'éditeur.
• Le recours à des fonctionnalités tierces ou d'intelligence artificielle susceptibles de transférer des données hors UE.

La CNIL recommande de documenter précisément ces flux dans votre registre des activités de traitement.

Les fonctionnalités qui aident à la conformité

Salesforce intègre nativement plusieurs mécanismes exploitables pour répondre aux obligations RGPD, à condition de les activer et paramétrer :

• Gestion des droits des personnes : outils pour retrouver, exporter, rectifier ou supprimer les données d'une personne (droit d'accès, de rectification, à l'effacement).
• Chiffrement : options de chiffrement des données au repos et en transit.
• Gestion fine des accès : profils, rôles et permissions pour appliquer le principe de minimisation et le besoin d'en connaître.
• Journalisation et audit : traçabilité des accès et modifications, utile en cas de contrôle.
• Gestion du consentement : champs et objets dédiés au suivi des préférences de communication.

Ces briques ne fonctionnent que si votre modèle de données et vos processus sont conçus dès le départ dans une logique de privacy by design, un principe imposé par l'article 25 du RGPD.

Les points à cadrer avec votre intégrateur

La conformité se joue largement lors de l'implémentation. Un bon cahier des charges doit intégrer les exigences RGPD au même titre que les besoins métier :

1. Cartographier les données personnelles présentes dans le CRM et leur finalité.
2. Définir les durées de conservation et automatiser les purges ou anonymisations.
3. Paramétrer les droits d'accès selon le principe de minimisation.
4. Vérifier la conformité des intégrations et flux avec d'autres outils (marketing, ERP, connecteurs tiers).
5. Associer votre DPO au projet dès la phase de conception.
6. Documenter le tout dans le registre des traitements.

Un intégrateur expérimenté saura traduire ces exigences en paramétrages concrets, mais la validation juridique reste de votre ressort. Attention aux prestataires qui présentent Salesforce comme « conforme RGPD » sans nuance : la conformité dépend de l'usage, pas seulement de l'outil.

En résumé

Salesforce fournit les garanties contractuelles (DPA, CCT), les certifications de sécurité et les fonctionnalités techniques nécessaires à un usage conforme au RGPD. Mais votre organisation demeure responsable de traitement : localisation des données, durées de conservation, gestion des droits et des accès relèvent de vos choix de configuration. La conformité est le fruit d'un cadrage rigoureux associant métier, DSI, DPO et intégrateur.

Pour vous entourer d'un intégrateur capable d'intégrer ces exigences dès la conception, INTEGREER peut vous orienter, en tant que tiers de confiance neutre, vers des prestataires adaptés à votre contexte, sans engagement de votre part.