# Où vont vos données : RGPD et outils d’automatisation

Un outil d’automatisation est un sous-traitant. Hébergement de Zapier, Make, n8n et Power Automate, contrat à exiger, modules d’IA et journaux à régler.

Source : https://1001flows.com/guides/automatisation-rgpd/
Éditeur : 1001 Flows (1001flows.com). Publié le 2026-10-30.

Un flux d’automatisation copie des données d’une application vers une autre. Entre les deux, elles transitent par l’outil, qui les lit, parfois les stocke, souvent les journalise. Au sens du RGPD, l’éditeur de l’outil est un **sous-traitant** : vous restez responsable de ce qu’il fait de vos données, et vous devez pouvoir le prouver. Ce guide dit ce que ça implique, outil par outil, sans jargon.

État au 30 octobre 2026, d’après les pages publiques des éditeurs. Vérifiez avant de signer : ces pages changent.

## Ce que le RGPD demande, en trois points

1. **Un contrat de sous-traitance** (article 28), que les éditeurs appellent DPA. Il doit exister, être signé ou accepté, et dire où les données sont traitées, par qui, et avec quelles garanties.
2. **Savoir où les données vont.** Dans l’Union européenne, pas de question. Hors Union, il faut une base de transfert : clauses contractuelles types, ou cadre de protection des données UE–États-Unis pour les sociétés américaines certifiées.
3. **L’inscrire au registre** : l’outil, les données concernées, la finalité, la durée de conservation des journaux.

## Outil par outil

### Make

Le plus simple à cadrer. Le choix de la région, Europe ou États-Unis, se fait à l’inscription, sans offre entreprise ; un compte européen tourne sur des serveurs dans l’Union. L’éditeur appartient à Celonis, société allemande. Le contrat de sous-traitance est public et inclut les clauses types. Point d’attention : les journaux d’exécution conservent le contenu des données qui ont transité, pendant une durée réglable ; réduisez-la pour les flux qui manipulent des données personnelles.

### n8n

Société allemande, serveurs de n8n Cloud à Francfort. Contrat de sous-traitance disponible. En auto-hébergement, l’outil n’est plus un sous-traitant : les données ne quittent pas votre serveur, et c’est vous qui devez en assurer la sécurité, le chiffrement des identifiants et la purge des journaux. C’est le choix naturel pour les professions réglementées et les collectivités. Voir [n8n auto-hébergé, le coût réel](/guides/n8n-auto-heberge-cout/).

### Zapier

Société américaine. Le contrat de sous-traitance existe et s’appuie sur le cadre UE–États-Unis et les clauses types. L’hébergement des données en Europe suppose l’offre entreprise ; par défaut, les données sont traitées aux États-Unis. Même avec des serveurs en Europe, une société américaine reste soumise au droit américain, qui peut exiger l’accès aux données. Pour des données de santé, des données de mineurs ou des données financières, c’est une raison de préférer Make ou n8n.

### Power Automate

Microsoft traite les données dans la région de votre tenant Microsoft 365, l’Europe pour une entreprise française, avec le contrat de sous-traitance commun à tous les services Microsoft. Les mêmes réserves que pour Zapier s’appliquent sur le droit américain, atténuées par les engagements de Microsoft sur la frontière de données européenne. Pour une entreprise déjà sous Microsoft 365, ajouter Power Automate ne crée pas de nouveau sous-traitant.

## Les étapes qui envoient vos données ailleurs

Ce n’est pas l’outil qui pose le plus de questions, ce sont les modules qu’on y branche.

- **Les modules d’intelligence artificielle** : un résumé, une classification, une réponse rédigée, et le texte complet part chez OpenAI, Anthropic, Google ou Mistral. Chacun devient un sous-traitant ultérieur, à couvrir par un contrat, avec sa propre région. Mistral est français ; les autres sont américains, avec des options d’hébergement européen selon l’offre.
- **Les services d’enrichissement** (données d’entreprise, vérification d’adresses) : ils reçoivent les données de vos prospects, et parfois les gardent.
- **Les connecteurs vers des outils grand public** (tableurs partagés, messageries) : vérifiez qui a accès au document de destination.

Règle simple : chaque module d’un flux qui reçoit une donnée personnelle est un destinataire à inscrire au registre.

## Les journaux

Tous les outils conservent un historique des exécutions, avec les données qui ont transité, pour permettre le débogage. C’est utile et c’est un risque : un identifiant client dans un journal conservé un an, c’est une conservation sans finalité. Réglez la durée au minimum qui permet de déboguer, quelques jours à quelques semaines, et désactivez la conservation des données pour les flux qui n’en ont pas besoin. Make et n8n le permettent par flux.

## Ce qu’il faut faire, concrètement

1. Lister vos flux et, pour chacun, les données personnelles qui transitent.
2. Accepter le contrat de sous-traitance de l’outil, le dater, le ranger avec le registre.
3. Choisir la région Europe quand l’outil le propose.
4. Régler la conservation des journaux.
5. Pour chaque module tiers branché dans un flux, refaire les points 2 et 3.

Pour une analyse plus poussée, en particulier si des données sensibles transitent, les sites [audit-rgpd.eu](https://audit-rgpd.eu/) et [audit-pia.com](https://audit-pia.com/) du même éditeur détaillent le registre, le contrat de sous-traitance article par article et l’analyse d’impact.

*Informations relevées sur les pages juridiques et d’hébergement des éditeurs le 30 octobre 2026. Ce guide informe, il ne remplace pas l’avis d’un délégué à la protection des données. Aucun lien de cette page n’est rémunéré.*