Checklist RGPD pour un SAV automatisé

1. Où sont hébergées les données ?

Première question à poser à tout prestataire : sur quel territoire sont stockés les tickets, les messages clients et les données de commande transitant par l'agent ? Un hébergement en France ou dans l'UE évite les transferts hors UE et les clauses contractuelles types à négocier avec un sous-traitant américain — c'est le choix par défaut de notre logiciel de SAV e-commerce. Demandez l'adresse physique du datacenter, pas seulement le nom du cloud utilisé — certains fournisseurs annoncent « région Europe » tout en repassant par une infrastructure soumise au droit américain (Cloud Act).

2. Le prestataire est-il un sous-traitant identifié, avec un DPA signé ?

Tout prestataire qui traite des données personnelles pour votre compte est un sous-traitant au sens du RGPD (article 28). Vous devez pouvoir produire un accord de traitement des données (Data Processing Agreement) signé, listant : la nature des traitements, les catégories de données concernées, la durée, et les obligations de sécurité du sous-traitant. Sans ce document, vous ne pouvez pas démontrer votre conformité en cas de contrôle CNIL — même si le prestataire est sérieux par ailleurs.

3. Les données servent-elles à entraîner un modèle tiers ?

Point souvent négligé : certains fournisseurs de modèles de langage réutilisent par défaut les données envoyées via leur API pour améliorer leurs modèles, sauf option de désactivation explicite. Vérifiez dans les conditions du fournisseur d'IA utilisé si vos échanges clients (messages, adresses, numéros de commande) peuvent être exploités à des fins d'entraînement, et exigez, si ce n'est pas déjà le cas, une clause de non-réutilisation contractuelle. C'est une question à poser explicitement, pas à supposer réglée.

4. Les droits des personnes sont-ils exerçables sur les données passées par l'IA ?

Un client peut demander l'accès à ses données ou leur suppression (articles 15 et 17 du RGPD) — y compris celles échangées avec l'agent IA. Vérifiez que vous pouvez, techniquement, retrouver et supprimer l'historique des conversations d'un client précis, pas seulement ses données de commande dans votre CMS. Si l'agent stocke des logs de son côté, demandez comment une demande de suppression y est répercutée.

5. Quelle est la durée de conservation des tickets et des logs ?

Le RGPD impose une conservation limitée à la finalité du traitement. Pour un SAV, une durée courante est de quelques mois à trois ans selon les obligations comptables ou contractuelles applicables — mais la durée doit être définie et documentée, pas laissée par défaut à l'infini par le prestataire. Demandez la politique de purge : est-elle automatique, sur quelle base, et couvre-t-elle aussi les journaux techniques (logs d'appels API, historiques de debug) qui contiennent souvent des données personnelles sans qu'on y pense.

6. La transparence sur l'usage de l'IA est-elle assurée (AI Act, article 50) ?

L'article 50 du règlement européen sur l'IA impose d'informer les personnes qu'elles interagissent avec un système d'IA, sauf si c'est déjà manifeste du contexte. Concrètement pour un SAV : une mention claire (« vous échangez avec un assistant IA ») en début de conversation, et un chemin simple vers un humain si le client le demande. Ce n'est pas une option esthétique — c'est une obligation qui s'applique à partir du 2 août 2026 et qu'il vaut mieux traiter dès la mise en place plutôt que de la retrofitter sous pression.