Vos données dorment chez Airtable aux États-Unis : le RGPD que le no-code oublie

Quand vous assemblez une solution no-code, vous ne faites pas que connecter des outils : vous créez un parcours pour les données personnelles du client et de ses propres clients. Un formulaire alimente une base Airtable, un scénario Zapier ou Make la lit, un connecteur d'e-mailing envoie un message, un outil d'analyse enregistre un comportement. À chaque étape, des noms, des e-mails, parfois des informations sensibles passent d'une plateforme à l'autre.

Le problème, c'est que ce parcours est presque invisible. On voit la fonctionnalité ("quand un prospect remplit le formulaire, il reçoit un e-mail"), pas le trajet réel des données ("le formulaire envoie à un serveur aux États-Unis, qui transmet à un automate hébergé ailleurs, qui appelle un service d'e-mailing tiers"). Or, du point de vue du RGPD, ce trajet est tout sauf anodin :

• Chaque plateforme traversée est un sous-traitant qui traite les données pour le compte du client.
• Beaucoup de ces plateformes hébergent ou transitent les données hors UE, ce qui déclenche des obligations spécifiques.
• Le no-codeur, en concevant et en branchant ce parcours, met en place le traitement et engage sa responsabilité.

Autrement dit : assembler vite des briques no-code, c'est aussi assembler une chaîne de responsabilités RGPD que beaucoup de prestataires découvrent au moment d'un incident.

Le RGPD distingue deux rôles. Le responsable de traitement décide pourquoi et comment les données sont traitées : c'est en général votre client, qui exploite l'application. Le sous-traitant traite les données pour le compte du responsable, selon ses instructions. Dans la grande majorité des projets no-code, le développeur agit comme sous-traitant, ou contribue directement à organiser la sous-traitance.

Cette qualification n'est pas un détail théorique : elle déclenche des obligations concrètes à votre charge :

• Un contrat de sous-traitance (ou des clauses dédiées) encadrant ce que vous faites des données.
• L'obligation de ne recourir à des sous-traitants ultérieurs (les plateformes que vous branchez) qu'avec l'autorisation du client et les mêmes garanties.
• Des mesures de sécurité adaptées (gestion des accès, chiffrement, journalisation).
• L'obligation d'assister le client en cas de demande d'une personne ou de violation de données.
• Le devoir de l'alerter si une instruction ou un montage vous paraît non conforme.

Le no-codeur croit souvent n'être qu'un "assembleur d'outils". Aux yeux du RGPD, il est fréquemment un sous-traitant à part entière, avec un cortège d'obligations. Ignorer cette qualification, c'est s'exposer sans le savoir.

Le point le plus piégeux concerne les sous-traitants ultérieurs : en branchant Airtable, Zapier ou un service tiers, vous faites appel à des sous-traitants du sous-traitant. Le RGPD exige que cette chaîne soit autorisée et encadrée, ce qui est rarement fait spontanément dans un projet livré à la va-vite.

La plupart des plateformes no-code populaires sont éditées par des sociétés non européennes et hébergent tout ou partie des données hors de l'Union. Or transférer des données personnelles hors UE n'est pas interdit, mais c'est strictement encadré. Le faire sans encadrement est l'un des manquements les plus fréquents, et les plus sanctionnés.

Concrètement, un transfert hors UE doit reposer sur un mécanisme prévu par le RGPD (décision d'adéquation, clauses contractuelles types, garanties appropriées). Brancher un outil américain sans vérifier ce point, c'est exposer le client, et vous, à un risque réel :

Ce qui rend ce risque particulièrement vicieux, c'est qu'il est latent : tout fonctionne, le client est content, et le problème ne se révèle qu'à l'occasion d'une plainte, d'un contrôle ou d'une fuite de données. À ce moment-là, on remonte la chaîne, et le prestataire qui a conçu le montage est en première ligne. Voir aussi notre éclairage sur la dépendance aux plateformes, dont le risque RGPD est le prolongement direct.

Face à cette complexité, un seul réflexe fait vraiment la différence : cartographier les flux de données dès la conception, et le formaliser par écrit. C'est l'équivalent RGPD de la matrice de dépendances technique, et c'est ce qui démontre que vous avez travaillé en professionnel conscient de ses obligations.

Pour chaque projet manipulant des données personnelles, documentez :

• Les données collectées et leur nature (ordinaires, sensibles).
• Chaque plateforme traversée, son rôle et son lieu d'hébergement.
• Les transferts hors UE et le mécanisme qui les encadre.
• Les mesures de sécurité en place (gestion des accès, des clés API, chiffrement).
• Le partage des responsabilités entre vous et le client (qui décide, qui exploite, qui notifie).

Cette cartographie a une triple valeur. Elle vous oblige à voir les transferts et les sous-traitants que vous auriez branchés à l'aveugle. Elle nourrit l'information que le client doit donner aux personnes concernées. Et, en cas de contrôle ou de litige, elle prouve votre diligence et clarifie qui répond de quoi. Sans elle, c'est le prestataire qui a tout conçu qui se retrouve, par défaut, désigné comme responsable du désordre.

La cartographie identifie le risque ; encore faut-il l'encadrer et couvrir ce qui peut malgré tout survenir. Trois leviers complètent votre protection.

1. Encadrer la chaîne par contrat. Mettez en place un contrat de sous-traitance (ou des clauses dédiées) avec votre client, et assurez-vous que les plateformes que vous branchez offrent elles-mêmes les garanties requises et les mécanismes de transfert appropriés. Faites valider par le client le recours à ces sous-traitants ultérieurs.

2. Sécuriser les accès. Une grande partie des incidents vient d'une gestion laxiste des accès et des clés API : clé partagée en clair, droits trop larges, comptes non révoqués. Le RGPD exige des mesures de sécurité adaptées, et c'est aussi le premier rempart contre la violation de données.

3. Assurer le risque résiduel. Même diligent, un prestataire n'est jamais à l'abri d'un incident : une fuite via une plateforme tierce, une violation de données, une mise en cause de votre conseil sur la conformité. C'est là qu'interviennent vos assurances. La garantie Cyber couvre les conséquences d'une violation de données (gestion de l'incident, notification, frais associés), tandis que la RC Professionnelle couvre les dommages immatériels causés au client par un manquement à votre devoir de conseil ou une faute dans la conception du traitement.

Le no-code rend la conformité RGPD plus facile à ignorer, pas plus facile à respecter. Plus vous assemblez d'outils, plus la chaîne de données s'allonge, et plus votre responsabilité de concepteur grandit. La cartographie et le bon couple d'assurances transforment ce risque diffus en risque maîtrisé.

Pour un développeur no-code, l'RC Pro démarre à 9,90 €/mois, et l'ajout d'une garantie Cyber est vivement recommandé dès que vos solutions manipulent des données personnelles. Le détail des garanties figure sur la fiche développeur no-code.