Credentials API et données qui transitent : l'angle mort RGPD du consultant Boomi

Un réflexe répandu chez les intégrateurs : « je ne suis pas hébergeur, je ne stocke rien, donc le RGPD ne me concerne pas ». C'est une lecture incomplète. Le règlement européen ne s'intéresse pas seulement au stockage : il vise tout traitement, et la définition du traitement inclut explicitement la collecte, l'organisation, la structuration, la transmission et la mise à disposition de données personnelles.

Or c'est exactement ce que fait une intégration Boomi : elle lit des fiches clients dans un CRM, les transforme dans un mapping, les enrichit, et les pousse vers un ERP ou un outil marketing. Noms, e-mails, adresses, parfois données de santé ou bancaires : ces données transitent par vos process, vos atoms, et parfois par les logs que vous générez pour déboguer.

En concevant le flux et en définissant le mapping, vous décidez de la manière dont ces données sont traitées techniquement. Cela ne fait pas de vous un responsable de traitement, mais cela vous place clairement dans la chaîne de responsabilité.

Et le périmètre est plus large qu'on ne le croit. Les données qui transitent ne sont pas seulement celles du formulaire de commande : ce sont aussi les messages d'erreur qui embarquent un identifiant client, les fichiers de rejet stockés temporairement sur un atom, les caches intermédiaires que vous créez pour optimiser un flux. Autant de points de contact avec la donnée personnelle que le RGPD considère comme du traitement.

L'article 28 du RGPD encadre la figure du sous-traitant : toute entité qui traite des données pour le compte d'un responsable de traitement. Selon la nature de votre mission, vous pouvez tomber dans cette catégorie — par exemple si vous opérez des flux en production qui manipulent en continu des données personnelles pour le compte du client.

Cette qualification n'est pas neutre. Elle implique notamment :

• un contrat de sous-traitance (ou des clauses RGPD dans votre contrat de mission) précisant l'objet, la durée et les finalités du traitement ;
• une obligation de mettre en œuvre des mesures de sécurité appropriées : gestion des secrets, chiffrement des flux, minimisation des données loguées ;
• une obligation d'alerter le responsable de traitement en cas de violation, et de l'assister dans ses obligations de notification.

Beaucoup de consultants iPaaS signent des contrats où ces clauses sont présentes sans en mesurer la portée. En cas d'incident, ce sont pourtant elles qui serviront de base à la mise en cause.

Le risque de violation de données, pour un consultant Boomi, ne vient pas d'un pirate mythique, mais de pratiques techniques banales qui dérapent :

• Les credentials en clair : un token d'API ou un mot de passe de connecteur laissé dans une propriété de process non chiffrée, ou pire, commité dans un export de configuration partagé.
• Les logs trop bavards : un atom configuré pour tracer l'intégralité des payloads écrit dans ses journaux des données personnelles complètes, accessibles à toute personne ayant accès à la console.
• L'exposition d'API non contrôlée : un listener Boomi publié sans authentification robuste, ou un endpoint de test laissé ouvert après une recette.
• Le mauvais destinataire : un mapping qui route des données vers le mauvais environnement (prod au lieu de sandbox, ou un tenant client différent).

Dans chacun de ces cas, la donnée n'a pas été « volée » : elle a été exposée par configuration. Et au regard du RGPD, une exposition par négligence est une violation au même titre qu'un piratage.

Quand une fuite est détectée, l'addition ne se limite jamais à « réparer le connecteur ». Une violation de données personnelles enclenche une mécanique réglementaire et opérationnelle lourde :

1. Notification à la CNIL sous 72 heures par le responsable de traitement, qui se retourne vers vous pour comprendre l'origine technique.
2. Analyse forensique pour déterminer l'étendue de l'exposition : quelles données, combien de personnes, sur quelle durée.
3. Information éventuelle des personnes concernées, avec son coût et son impact réputationnel.
4. Mise en cause de votre responsabilité si la cause technique vous est imputable, assortie d'éventuelles sanctions répercutées.

Une RC Pro classique couvre la faute professionnelle, mais pas toujours la gestion de crise cyber dans toute son ampleur. C'est précisément l'objet de l'option Cyber : prendre en charge les frais de notification, l'expertise forensique, l'accompagnement juridique RGPD et la responsabilité en cas de violation de données.

La bonne nouvelle, c'est que la majeure partie de ce risque se maîtrise par des pratiques d'ingénierie sobres :

• Stockez les credentials dans les composants de connexion sécurisés de la plateforme, jamais dans des propriétés de process en clair.
• Appliquez la minimisation : ne faites transiter et ne loguez que les champs strictement nécessaires au flux.
• Désactivez le logging des payloads sensibles en production, ou masquez les champs personnels.
• Documentez par écrit les mesures de sécurité mises en place : en cas d'audit ou de litige, cette traçabilité démontre votre diligence.

Cette documentation n'est pas que de la conformité : c'est aussi votre meilleure pièce de défense. Un consultant qui peut prouver qu'il a appliqué les règles de l'art déplace la discussion sur le terrain du client (était-ce bien à vous de gérer cet accès ?) plutôt que sur celui de sa propre négligence.

Un dernier réflexe, trop souvent oublié : le nettoyage après recette. Combien d'endpoints de test, de comptes de service temporaires ou de jeux de données de production copiés en sandbox restent actifs des mois après la mise en service ? Chacun est une porte d'exposition. Intégrez la suppression de ces éléments à votre checklist de fin de phase, et tracez-la : c'est une preuve de diligence supplémentaire et un risque en moins.

Pour un consultant qui touche à des données personnelles en production — et c'est le cas de la quasi-totalité des missions iPaaS — la réponse est clairement oui. La RC Pro seule couvre les dommages immatériels classiques, mais une violation de données mobilise des compétences et des coûts (forensique, notification, juridique RGPD) qui débordent ce socle.

L'enjeu est d'autant plus fort que vous disposez souvent d'accès privilégiés aux systèmes critiques de vos clients : ces accès font de vous une cible et un maillon sensible. Un attaquant qui compromet votre poste ou vos identifiants Boomi n'accède pas seulement à vos données, mais potentiellement à plusieurs environnements clients — un effet de propagation que les assureurs cyber connaissent bien et qui justifie une attention particulière sur ce métier.

Une couverture Cyber renforcée est, dans ce contexte, moins une option qu'un standard professionnel. Au-delà de l'indemnisation, elle vous donne accès à une cellule de gestion de crise joignable en urgence : le bon réflexe quand vous découvrez une exposition un vendredi soir et que le compteur des 72 heures de notification a déjà commencé à tourner. Vous pouvez en retrouver le détail sur notre page assurance Consultant Boomi.