Agent IA et RGPD : où sont hébergées les données prospects ?

Les conversations d'un agent commercial contiennent des données personnelles dès qu'un visiteur laisse un nom, un courriel ou décrit sa situation professionnelle. Trois lieux distincts doivent être identifiés : le stockage des échanges, l'exécution du traitement, et les sous-traitants ultérieurs. Un éditeur qui ne répond pas précisément à ces trois questions ne permet pas de tenir un registre conforme.

Quelles données un agent commercial collecte-t-il réellement ?

Un agent commercial déployé sur un site web collecte trois catégories de données, dont deux échappent souvent à l'analyse initiale.

• Les données déclarées. Nom, courriel, téléphone, entreprise, fonction. Ce sont celles que le visiteur saisit volontairement. Leur statut est identique à celui d'un formulaire de contact classique.
• Le contenu des échanges. Les messages du visiteur décrivent un besoin, un budget, un calendrier, parfois une situation contractuelle avec un prestataire en place. Ce contenu constitue une donnée personnelle dès lors qu'il est rattaché à un identifiant. Il est souvent plus sensible commercialement que le formulaire lui-même.
• Les données techniques de session. Adresse IP, pages consultées avant la conversation, horodatage, terminal utilisé. Elles relèvent des règles applicables aux traceurs lorsqu'elles sont conservées.

Cette troisième catégorie détermine l'obligation de recueillir un consentement pour le dépôt de traceurs. Un agent qui ne dépose aucun traceur avant l'ouverture de la conversation par le visiteur simplifie sensiblement l'analyse.

Le choix des documents transmis à l'agent, et donc des données qu'il manipule, est traité dans notre article sur les documents à fournir à un agent commercial.

Où sont hébergées les données : les trois questions à poser

L'hébergement d'un agent conversationnel se décompose en trois localisations qu'un éditeur doit pouvoir documenter séparément.

1. Où sont stockées les conversations ? C'est la base de données qui conserve l'historique des échanges et les coordonnées transmises. La réponse attendue est un pays et un prestataire d'hébergement nommés, pas une région commerciale.
2. Où est exécuté le traitement des messages ? C'est le lieu où la requête du visiteur est traitée pour produire une réponse. Ce lieu peut différer du lieu de stockage. Un éditeur peut héberger sa base en France tout en faisant traiter les messages par un prestataire situé hors de l'Union européenne.
3. Qui sont les sous-traitants ultérieurs ? Hébergeur, fournisseur du moteur de traitement, outil de supervision, service de messagerie transactionnelle. La liste doit figurer au contrat, avec le pays de chacun.

Quel est le statut du Data Privacy Framework en 2026 ?

Le Data Privacy Framework est le mécanisme qui autorise le transfert de données personnelles depuis l'Union européenne vers des entreprises américaines auto-certifiées, sur le fondement d'une décision d'adéquation de la Commission européenne adoptée le 10 juillet 2023.

Cette décision reste en vigueur. Le Tribunal de l'Union européenne a rejeté le 3 septembre 2025 le recours en annulation formé par le député Philippe Latombe, et l'affaire fait l'objet d'un pourvoi devant la Cour de justice de l'Union européenne. Plusieurs autres recours restent pendants.

Un élément nouveau est apparu en 2026. À la suite d'une décision de la Cour suprême des États-Unis du 29 juin 2026 relative à la révocation des dirigeants d'agences fédérales indépendantes, trente-sept organisations et universitaires réunis autour d'EDRi ont adressé le 14 juillet 2026 un courrier à la Commission européenne demandant le réexamen de la décision d'adéquation. L'argument porte sur l'indépendance de la juridiction américaine de recours, l'un des piliers du dispositif. Aucune suspension n'est actée à ce stade.

La conséquence pratique pour une PME est double. Le recours à un prestataire américain certifié reste licite. Mais une entreprise qui déploie aujourd'hui un agent conversationnel a intérêt à savoir si sa chaîne de traitement supporterait une invalidation, comme celles du Safe Harbor en 2015 et du Privacy Shield en 2020. Un hébergement et un traitement intégralement européens rendent cette question sans objet.

Quelles clauses vérifier dans le contrat ?

Le contrat avec l'éditeur d'un agent conversationnel doit comporter les mentions imposées à tout contrat de sous-traitance de données personnelles. Six points méritent une lecture attentive.

1. La qualification des parties. L'entreprise qui déploie l'agent sur son site est responsable de traitement. L'éditeur est sous-traitant. Cette répartition doit être écrite.
2. La liste des sous-traitants ultérieurs, avec leur pays d'établissement et une obligation d'information préalable en cas de changement.
3. La durée de conservation des conversations, exprimée en mois, avec le mécanisme de suppression automatique. Une durée de treize mois pour les données de prospection est un repère courant.
4. L'usage des conversations par l'éditeur. Vérifiez l'existence d'une interdiction explicite d'utiliser vos échanges pour améliorer un moteur ou un service tiers. Cette clause est le point le plus souvent absent.
5. Les modalités d'exercice des droits. Comment une demande d'accès ou d'effacement transmise par un prospect est-elle traitée, et dans quel délai.
6. La réversibilité. Format et délai de restitution des données en fin de contrat, et preuve de suppression.

À titre d'exemple, les localisations et sous-traitants de Kortexe sont publiés sur la page sécurité du site : c'est le niveau de détail qu'un éditeur doit pouvoir fournir sans avoir à le demander.

Que doit voir le visiteur avant de converser ?

Le visiteur doit disposer, avant de saisir son premier message, de l'identité du responsable de traitement, de la finalité de la collecte et d'un lien vers la politique de confidentialité.

En pratique, trois éléments suffisent : une mention courte affichée à l'ouverture de la conversation, un lien vers la politique de confidentialité, et l'indication que l'échange sera transmis à l'équipe commerciale. Cette dernière précision relève autant de la conformité que de l'efficacité commerciale : un visiteur qui sait à qui il parle et pourquoi laisse ses coordonnées plus volontiers. Ce mécanisme est détaillé dans notre article sur les visiteurs qui ne remplissent jamais un formulaire.

Le traitement doit également être inscrit au registre des traitements de l'entreprise, avec sa finalité, sa base légale, les catégories de données et la durée de conservation.

À retenir

• Les conversations d'un agent commercial contiennent des données personnelles dès qu'un visiteur laisse des coordonnées ou décrit sa situation professionnelle.
• Le lieu de stockage des conversations et le lieu d'exécution du traitement peuvent être différents : les deux doivent être documentés séparément par l'éditeur.
• La décision d'adéquation du 10 juillet 2023 encadrant les transferts vers les États-Unis reste en vigueur en 2026, mais fait l'objet de recours et de demandes de réexamen.
• Le contrat doit interdire explicitement l'usage des conversations pour améliorer un moteur ou un service tiers : cette clause est fréquemment absente.
• Un hébergement et un traitement intégralement européens suppriment la question du transfert hors Union européenne et allègent la charge documentaire.