Custom Actions et API Intercom : êtes-vous sous-traitant RGPD ?

Le cœur de votre valeur de consultant Intercom, c'est l'intégration : une Custom Action qui interroge le CRM du client, un webhook qui pousse un événement vers Slack, un appel API REST qui synchronise les attributs utilisateur, un Workflow qui enrichit une fiche. À chaque fois, vous faites circuler des données personnelles : nom, e-mail, historique d'achat, identifiants, parfois bien plus.

Beaucoup de consultants pensent « je configure un outil, ce n'est pas mon sujet RGPD ». C'est une erreur de qualification. Dès lors que vous définissez et mettez en œuvre des traitements pour le compte d'un client, le règlement européen vous attribue un rôle précis — et des obligations qui vont avec.

L'enjeu est d'autant plus réel que les clients exigeants — éditeurs SaaS, fintech, plateformes e-commerce — réclament désormais des preuves de conformité avant même de vous confier l'accès à leur instance. Un consultant incapable de produire un contrat de sous-traitance ou de décrire les flux qu'il met en place se disqualifie auprès de ces comptes. La maîtrise du RGPD n'est plus seulement une obligation légale : c'est un argument commercial et un facteur de confiance qui distingue le partenaire sérieux de l'intégrateur improvisé.

Le RGPD distingue deux statuts principaux, et un troisième mixte :

• Responsable de traitement : celui qui décide des finalités et des moyens. C'est presque toujours votre client : c'est lui qui décide d'utiliser Intercom pour son support et son marketing.
• Sous-traitant (article 28) : celui qui traite des données pour le compte du responsable. Quand vous paramétrez et opérez des flux de données sur instruction de votre client, c'est votre statut le plus fréquent.
• Responsable conjoint : plus rare, si vous co-décidez réellement des finalités avec le client.

La conséquence pratique est nette : si vous êtes sous-traitant, un contrat de sous-traitance écrit (le fameux DPA / accord article 28) doit lier votre prestation à celle de votre client. Sans lui, vous êtes tous deux en infraction, et votre responsabilité personnelle peut être recherchée en cas de contrôle ou de plainte.

Intercom est un éditeur américain qui héberge une partie des données sur des infrastructures situées aux États-Unis. Quand vous créez un webhook ou une Custom Action qui envoie des données utilisateur vers un service tiers, vous pouvez déclencher un transfert de données hors Union européenne — un sujet sous haute surveillance des autorités.

Vos obligations concrètes en tant qu'intégrateur :

• Cartographier les flux que vous créez : quelle donnée part où, vers quel pays, via quel connecteur ?
• Vérifier l'encadrement juridique du transfert (mécanisme de transfert et garanties contractuelles côté client).
• Minimiser la donnée : ne faites transiter par vos Custom Actions que les champs strictement nécessaires, jamais l'objet utilisateur complet par confort.
• Sécuriser les secrets : ne stockez jamais une clé d'API ou un token en clair dans une configuration partagée.

Un webhook anodin qui pousse l'e-mail et l'historique d'achat d'un utilisateur vers un outil hébergé hors UE est, juridiquement, un transfert international de données. Le configurer sans s'en soucier est une faute.

Deux types d'incidents reviennent chez les consultants Intercom et illustrent l'enjeu :

1. L'exfiltration accidentelle : une Custom Action mal cadrée envoie davantage de champs que prévu vers un endpoint tiers, exposant des données qui n'auraient jamais dû sortir. C'est une violation de données au sens du RGPD, avec obligation de notification sous 72 heures pour le responsable de traitement.
2. L'écrasement de données : un webhook ou une synchronisation API mal codée écrase ou désynchronise les attributs utilisateur entre Intercom et le CRM. Le préjudice est double : opérationnel (segments cassés, Series déraillées) et réglementaire (données inexactes).

Dans les deux cas, votre client peut se retourner contre vous au titre de votre prestation. Le coût d'une violation de données ne se limite pas à l'éventuelle sanction administrative : il faut souvent mobiliser un expert pour l'analyse forensique, rédiger et envoyer les notifications réglementaires, gérer la communication de crise et, parfois, indemniser les personnes concernées. Pour un freelance ou un cabinet de quelques personnes, ces montants cumulés peuvent menacer la pérennité de l'activité.

Les frais de gestion de crise — analyse forensique, notification, accompagnement juridique, voire sanction — sont précisément ce que prend en charge la cyber-assurance, tandis que la RC Pro couvre la faute professionnelle à l'origine de l'incident. Les deux garanties sont complémentaires : l'une traite la cause, l'autre les conséquences techniques et réglementaires.

Un angle souvent négligé : les attributs personnalisés que vous créez dans Intercom. Pour enrichir la segmentation et déclencher des Series pertinentes, il est tentant de stocker un maximum d'informations sur chaque utilisateur. Mais chaque attribut custom est une donnée personnelle de plus, soumise au principe de minimisation. Et certains champs peuvent, sans qu'on y prenne garde, virer à la donnée sensible au sens du RGPD.

Quelques exemples qui doivent déclencher votre vigilance lors d'une mission :

• Un attribut qui révèle un état de santé (déduit d'un produit médical acheté, par exemple).
• Un champ qui trahit une orientation, une appartenance syndicale ou une opinion.
• Des données de paiement ou des identifiants stockés en clair dans un attribut.

Le traitement de données sensibles est soumis à un régime juridique nettement plus strict. En tant qu'intégrateur, vous devez alerter le client dès que la structure de données que vous mettez en place risque d'en collecter, et l'orienter vers une configuration conforme. Garder le silence parce que « le client a demandé ce champ » ne vous exonère pas : le sous-traitant a un devoir d'alerte sur les instructions manifestement contraires au RGPD. Cette alerte, formulée par écrit, vous protège autant qu'elle protège le client.

Pour livrer une intégration Intercom propre et limiter votre exposition, ancrez ces réflexes dans votre méthode :

• Signer un DPA (accord de sous-traitance) avec chaque client avant de toucher à la moindre donnée.
• Documenter chaque flux créé : finalité, données concernées, destinataire, localisation.
• Appliquer la minimisation : ne faites transiter que le strict nécessaire.
• Tester en environnement maîtrisé avant de pousser une Custom Action en production sur des données réelles.
• Prévoir la réversibilité : que se passe-t-il pour les données et les connecteurs en fin de mission ?

Ces diligences ne sont pas qu'une protection juridique : elles font partie de ce qu'un client SaaS ou fintech exigeant attend désormais d'un partenaire Intercom certifié. Pour situer ces obligations dans l'ensemble des risques de votre activité, voyez la page consultant Intercom.

En adoptant ces réflexes, vous transformez une contrainte réglementaire en signe de professionnalisme. Le consultant qui arrive avec un modèle de DPA, une cartographie type des flux et une méthode de minimisation rassure immédiatement un client soucieux de sa conformité — et facture sa rigueur à sa juste valeur.