CRM, note-taker, LLM… comment construire une stack CS conforme au RGPD

Un prospect vous envoie son questionnaire sécurité. Question 12 : « Où sont hébergées les données de nos utilisateurs ? » Réponse réflexe : « En Europe. » Sauf que votre helpdesk résume les tickets avec un LLM appelé on ne sait où, et que le note-taker d'un de vos CSM enregistre vos QBR sur des serveurs américains. Personne ne ment, mais personne ne sait vraiment. Voici comment faire le tri, et construire une stack qui tient la route !

Dans un précédent article, nous avons regardé ce qui se passe quand on branche ses outils sur un LLM comme Claude : les données lues par l'IA sortent d'Europe, et y restent parfois longtemps. Mais le sujet ne s'arrête pas au LLM.

Une équipe Customer Success travaille avec un CRM ou une Customer Success Platform, un outil de ticketing, un note-taker, des enquêtes NPS, de l'analytics produit. Chacun de ces outils stocke des données personnelles. Et depuis deux ans, presque tous ont ajouté une couche d'IA qui envoie ces données à un modèle, quelque part.

Le vrai sujet n'est donc plus « mon LLM est-il conforme ? », mais « ma stack l'est-elle ? ». Nous avons passé au crible les outils les plus utilisés dans les SaaS B2B, sur trois niveaux : où la donnée est stockée, où tourne l'IA intégrée, et ce qui transite entre les outils.

Une stack CS, c'est 6 à 10 outils qui manipulent des données personnelles

Commençons par une précision pour éviter les malentendus. Le RGPD ne parle pas de PII mais de données personnelles : toute information qui concerne une personne identifiable, même indirectement. Un identifiant utilisateur pseudonyme, une adresse IP ou un historique d'usage nominatif en font partie.

Avec cette définition, la stack d'une équipe CS en contient partout :

• CRM : contacts, emails, téléphones, notes d'échanges, montants des contrats.
• Support : tickets, souvent nominatifs, parfois avec les données des clients de vos clients.
• Note-takers et visio : emails, enregistrements, transcriptions, voix, propos tenus.
• NPS et enquêtes : réponses et verbatims rattachés à un répondant.
• Analytics produit : qui fait quoi dans votre produit, quand, depuis quel appareil.
• CS Platform : tout ce qui précède, centralisé pour calculer un score de santé.
• Facturation : contacts de facturation, adresses, moyens de paiement (tokenisés).
• LLM : tout ce que vous lui faites lire et analyser.

Et ces outils ne vivent pas en vase clos. Le note-taker pousse ses comptes rendus dans le CRM, le CRM alimente la CSP, la CSP déclenche des alertes dans Slack. Chaque connexion est un flux de données personnelles, et chaque flux peut sortir d'Europe.

Une stack n'est donc conforme que si chaque maillon l'est. Il suffit d'un outil hébergé aux États-Unis pour que la promesse « vos données restent en Europe » ne tienne plus.

Héberger en Europe : presque toujours possible, mais rarement par défaut

Bonne nouvelle d'abord : la quasi-totalité des grands éditeurs américains propose aujourd'hui un hébergement dans l'Union européenne. HubSpot, Salesforce, Zendesk, Intercom, Freshdesk, Gong, Mixpanel ou Segment ont tous une région UE.

Seulement voilà : avoir une option UE ne veut pas dire que vos données y sont. Les pièges sont toujours les mêmes :

• La région se choisit à l'inscription. Chez Freshdesk, Mixpanel ou Chargebee, c'est au moment de créer le compte ou le projet. Si personne n'y a pensé, vous êtes aux États-Unis.
• Changer de région après coup est compliqué. Chez Intercom, Mixpanel ou Segment, il faut créer un nouvel espace et migrer les données, souvent à la main.
• L'option est réservée aux offres haut de gamme. Chez SurveyMonkey et Typeform, l'hébergement UE n'existe qu'en Enterprise. Chez Intercom, il passe par un contrat.

Et certains outils n'ont tout simplement pas d'option européenne. C'est le cas de Fathom ou de Granola, deux note-takers très répandus, hébergés uniquement aux États-Unis.

En pratique, la première question à vous poser n'est pas « cet outil propose-t-il l'option UE ? », mais « mon compte est-il réellement hébergé en UE ? ». La réponse est dans les paramètres de votre compte.

L'IA intégrée, le nouveau trou dans la raquette

C'est le point que la plupart des équipes ne voient pas. Et c'est là que tout se joue aujourd'hui.

Stockage en Europe, IA ailleurs

Quand vous utilisez la fonction IA d'un outil (résumer un ticket, synthétiser un appel, analyser des verbatims NPS), l'éditeur envoie le contenu concerné à un modèle de langage. Le ticket, la transcription ou les réponses à l'enquête partent donc chez un tiers.

Que l'éditeur utilise OpenAI, Anthropic ou Google plutôt que ses propres modèles n'a rien d'anormal. Presque tout le monde fait comme ça. La vraie question, c'est où tourne l'appel au modèle. Un outil peut stocker vos données à Francfort et envoyer chaque requête IA à un modèle qui tourne aux États-Unis.

Tout dépend de la façon dont l'éditeur appelle le modèle : via un point d'accès régional européen (Azure OpenAI en Europe, AWS Bedrock ou Google Vertex AI en région UE), ou via un point d'accès « global » qui peut traiter la requête n'importe où.

Trois cas de figure

En épluchant la documentation des éditeurs, on retrouve toujours les mêmes situations :

• L'IA est traitée en UE, et c'est documenté. HubSpot, Zendesk, Intercom, Freshdesk, Modjo, Leexi ou Noota précisent où tournent leurs modèles pour les comptes européens.
• L'IA passe par des points d'accès globaux ou américains. Attio l'écrit noir sur blanc dans sa politique IA. Les modèles hébergés par Atlassian tournent aux États-Unis.
• L'éditeur ne dit rien. C'est le cas le plus fréquent, y compris chez des éditeurs européens hébergés en UE.

Attention : « non documenté » ne veut pas dire « hors UE ». Cela veut dire que vous ne pouvez pas l'affirmer à vos clients. Et si vos CGV promettent un traitement en Europe, c'est déjà un problème.

Les autres pièges de l'IA

La localisation n'est pas le seul sujet. Trois points reviennent régulièrement :

• L'entraînement des modèles. Certains note-takers, comme Fathom ou Granola, utilisent par défaut des données désidentifiées ou anonymisées pour améliorer leurs modèles maison. Il faut aller désactiver l'option.
• La conservation chez le fournisseur du modèle. Chez Help Scout, les données envoyées à OpenAI peuvent être conservées jusqu'à 30 jours.
• Les fonctions annexes. Chez HubSpot, l'IA est traitée en Europe pour les comptes UE, mais la recherche web qu'elle utilise passe par des services américains.

Autrement dit, pour chaque fonction IA, il faut savoir quel modèle est utilisé, où il tourne, combien de temps les données sont conservées et si elles servent à entraîner quoi que ce soit.

Catégorie par catégorie : où en sont les outils ?

Nous avons vérifié la documentation publique des outils les plus utilisés dans les SaaS B2B : pages de sous-traitants, DPA, centres d'aide. Les tableaux reflètent l'état au 7 novembre 2026. Ces informations évoluent vite : vérifiez toujours la situation de votre propre compte.

CRM

Support

Note-takers et visio

C'est la catégorie la plus contrastée. Et c'est aussi la plus sensible, puisqu'elle enregistre la voix et les propos de vos clients.

Le note-taker installé sans validation

Le vrai risque, ce n'est pas toujours l'outil choisi par l'entreprise. C'est celui qu'un CSM installe seul, en version gratuite, parce qu'il gagne une heure par jour. Il l'invite dans ses appels clients, accepte des conditions qu'il n'a pas lues, et les enregistrements partent sur des serveurs dont personne ne connaît l'adresse.

Sans règles claires, chaque CSM fait sa vie. Quelques garde-fous suffisent :

• une liste d'outils validés, connue de toute l'équipe ;
• pas de compte gratuit ou personnel pour enregistrer des appels clients ;
• l'information, voire le consentement, des participants avant chaque enregistrement ;
• l'entraînement des modèles désactivé dans les paramètres ;
• une durée de conservation des enregistrements définie.

NPS, CSAT et enquêtes

L'hébergement en Europe est facile à obtenir : beaucoup d'acteurs sont européens. L'IA, en revanche, est presque toujours une boîte noire, alors que l'analyse automatique des verbatims est la fonction la plus mise en avant.

Analytics produit

Un identifiant utilisateur, même pseudonyme, reste une donnée personnelle. Et l'usage nominatif est justement ce qui alimente un score de santé. Bonne nouvelle : ici, l'IA est encore peu présente, et l'enjeu porte surtout sur l'hébergement.

Customer Success Platforms

Nous avons consacré un comparatif complet aux Customer Success Platforms européennes et au RGPD. En résumé :

LLM

Nous l'avons détaillé dans notre article sur les LLM et les données clients : ni claude.ai ni l'API d'Anthropic ne proposent de résidence UE aujourd'hui. ChatGPT Enterprise, Gemini et Copilot le permettent sur leurs offres haut de gamme, à condition de bien les configurer. Pour un usage avec des données clients, la voie la plus sûre reste un modèle appelé via Vertex AI ou AWS Bedrock en région européenne.

La méthode pour construire une stack conforme

Pas besoin de tout remplacer du jour au lendemain. En revanche, il faut savoir où vous en êtes. Et ça se fait en cinq étapes.

1. Cartographier les outils et les flux

Listez tous les outils qui touchent des données clients, y compris ceux installés par les équipes sans passer par l'IT. Puis notez les connexions entre eux : qui pousse quoi vers qui. C'est souvent à cette étape qu'on découvre le note-taker gratuit ou l'automatisation bricolée qui exporte tout vers un serveur aux US.

2. Classer par niveau de sensibilité

Tous les outils ne se valent pas. Une transcription d'appel ou une boîte mail contient bien plus de données personnelles qu'un tableau de bord d'usage agrégé. Concentrez vos efforts sur les outils les plus sensibles : note-takers, support, CRM.

3. Poser les bonnes questions à chaque éditeur

Pour chaque outil, cinq questions suffisent :

• Où sont stockées les données de mon compte ?
• Pour chaque fonction IA : quel modèle, appelé où, conservé combien de temps, et utilisé ou non pour l'entraînement ?
• Quels sous-traitants interviennent, et dans quels pays ?
• Quelles données sortent malgré tout de la région (support, facturation, monitoring) ?
• Combien de temps les données sont-elles conservées, et qui peut régler cette durée ?

Si l'éditeur ne sait pas répondre sur l'IA, c'est déjà une réponse.

4. Configurer vos outils au démarrage

Une grande partie de la conformité se joue dans les paramètres. Choisissez la région UE dès la création du compte. Activez l'IA en connaissance de cause, et seulement là où elle est traitée en Europe si vos engagements l'exigent. Désactivez l'entraînement des modèles. Réglez les durées de conservation.

5. Documenter et encadrer

Mettez à jour votre registre des traitements et votre liste de sous-traitants. Préparez des réponses types pour les questionnaires sécurité de vos clients. Et surtout, donnez des règles claires à vos équipes : quels outils sont autorisés, pour quels usages, avec quelles données. Sans ça, la cartographie de l'étape 1 sera périmée dans trois mois.

Ce que nous avons fait chez Skalin

Une Customer Success Platform centralise justement les données les plus sensibles de vos clients : usage, tickets, échanges, contrats. Nous ne pouvions donc pas nous contenter d'un hébergement en Europe pour les données, et d'une IA traitée on ne sait où.

Concrètement :

• Les données sont hébergées sur Google Cloud, en Belgique.
• Les fonctions d'IA utilisent Claude, appelé via Google Vertex AI en région Europe. Les requêtes sont traitées dans l'Union européenne et ne passent pas par l'infrastructure d'Anthropic aux États-Unis.
• Avant d'être envoyés au modèle, les contenus des emails et des tickets sont pseudonymisés : nous retirons les noms de famille, les numéros de téléphone, les adresses email et les secrets.
• Les données de nos clients alimentent nos modèles internes de scoring, mais ne servent jamais à entraîner les LLM.

C'est exactement la solution que nous décrivions pour les LLM : utiliser un modèle de pointe, mais l'appeler là où vos engagements l'autorisent. La puissance de l'IA et la conformité ne sont pas incompatibles, à condition de les penser ensemble dès le départ.

Conclusion

Il y a encore deux ans, la conformité d'une stack se résumait à une question : où sont hébergées les données ? Avec l'IA intégrée partout, il en faut une deuxième : où sont-elles traitées quand l'IA s'en sert ?

La bonne nouvelle, c'est qu'il existe des réponses dans chaque catégorie. Des CRM, des outils de support, des note-takers et des CSP savent aujourd'hui garder à la fois les données et l'IA en Europe. Mais rarement par défaut, et rarement sans y penser.

Alors avant d'ajouter un nouvel outil à votre stack, ou d'activer la dernière fonction IA de celui que vous utilisez déjà, posez les cinq questions. Vos clients vous les poseront de toute façon !

Pour aller plus loin :

• LLM et RGPD : arrêtez de faire n’importe quoi avec vos données clients !
• Non, Claude ne va pas remplacer votre Customer Success Platform !
• Les outils indispensables du Customer Success Manager
• Data Act et SaaS B2B : ce que les Customer Success Managers doivent savoir
• CSAT, CES, NPS : quel indicateur de satisfaction choisir ?
• L’Intelligence Artificielle au service du Customer Success