AI Act et RGPD

No Code et conformité RGPD : comment construire un workflow sécurisé pour sa PME

Un workflow No Code devient un traitement de données dès qu'il manipule un nom ou un email. Pour le sécuriser : registre des traitements, sous-traitants sous contrat, région d'hébergement connue, minimisation des données.

Vous voulez automatiser vos processus avec des outils No Code, mais la question du RGPD vous arrête net. C'est une hésitation fréquente chez les dirigeants de PME, et elle est légitime. Cet article vous donne un cadre concret pour construire des workflows conformes, sans jouer aux apprentis sorciers avec les données de vos clients.

En bref : un workflow No Code devient un traitement de données personnelles dès qu'il manipule un nom, un email ou un numéro de téléphone. Pour le sécuriser, il faut inscrire chaque flux au registre des traitements, choisir des outils qui signent un accord de sous-traitance et dont vous connaissez la région d'hébergement, et ne faire transiter que les données nécessaires. Make, n8n et Zapier permettent tous de travailler ainsi, à condition de les paramétrer correctement.

Mise à jour : octobre 2026

Pourquoi la peur juridique freine-t-elle l'automatisation ?

Parce que le risque paraît flou : sanctions de la CNIL, transferts de données hors d'Europe. Cette prudence se comprend, mais l'inaction n'est pas une protection. Une PME qui automatise ses relances clients sans jamais vérifier où transitent les données de ses prospects s'expose davantage qu'une structure qui a pris le temps de cartographier ses flux et de documenter ses choix.

Quand un workflow devient-il un traitement de données ?

Dès qu'il manipule des informations qui permettent d'identifier une personne : nom, prénom, adresse email, numéro de téléphone, adresse IP, comportement sur un site. Concrètement, cela concerne :

l'envoi automatique d'emails de prospection depuis un CRM ;
la synchronisation de formulaires de contact vers une base de données ;
le déclenchement d'alertes à partir des actions d'un utilisateur identifié ;
la génération automatique de devis avec les coordonnées d'un client.

Trois obligations du RGPD structurent alors votre démarche :

Tenir un registre des activités de traitement (article 30). Selon la CNIL, l'obligation concerne tous les organismes qui traitent des données personnelles ; les structures de moins de 250 salariés bénéficient d'une exemption limitée, qui ne couvre pas les traitements réguliers, à risque ou portant sur des données sensibles.
Informer les personnes concernées de l'usage de leurs données (politique de confidentialité, mentions sur les formulaires).
Encadrer vos sous-traitants : l'article 28 impose qu'un traitement confié à un sous-traitant soit régi par un contrat, souvent appelé DPA (Data Processing Agreement).

Si vos workflows font intervenir de l'IA, notre réponse sur le déploiement de l'IA en PME sans risque RGPD complète ce cadre.

Comment auditer ses flux No Code ?

En quatre étapes, à appliquer à chaque workflow existant ou à créer.

Étape 1 : lister les outils connectés

Formulaire, CRM, emailing, tableur, outil d'automatisation : chaque connexion est un point de transit pour des données personnelles.

Étape 2 : localiser l'hébergement

La question centrale : vos données sortent-elles de l'Union européenne ?

Make vous fait choisir la région de votre organisation, États-Unis ou Union européenne, à sa création. Ce choix ne peut plus être modifié ensuite : décidez-le avant de construire vos scénarios.
n8n peut être auto-hébergé sur votre propre infrastructure, sur site ou dans un cloud privé, donc chez un hébergeur français ou européen de votre choix.
Zapier propose un accord de traitement des données accompagné de clauses contractuelles types. Vérifiez dans sa documentation la région d'hébergement applicable à votre compte avant d'y faire passer des données clients.

Notre réponse sur l'hébergement des données traitées par Make et n8n détaille ces points ; notre comparatif Make, n8n et Zapier compare les fonctionnalités.

Étape 3 : vérifier les bases légales

Pour chaque donnée traitée, identifiez la base légale : consentement, intérêt légitime, exécution d'un contrat, obligation légale. Elle doit figurer dans votre registre.

Étape 4 : documenter et dater

Une ligne par workflow suffit : finalité, données concernées, destinataires et sous-traitants, localisation, base légale, durée de conservation. Ce sont les rubriques que la CNIL attend dans un registre.

Que vérifier sur Make, n8n et Zapier ?

Point à vérifier	Make	n8n auto-hébergé	Zapier
Hébergement dans l'UE	Oui, si la région UE est choisie à la création de l'organisation	Oui, selon le serveur que vous choisissez	À vérifier dans la documentation de l'éditeur
Accord de traitement (DPA)	Oui, dans les conditions contractuelles	Sans objet pour l'éditeur : c'est vous qui hébergez	Oui, avec clauses contractuelles types
Sécurité du serveur et mises à jour	Assurées par l'éditeur	À votre charge	Assurées par l'éditeur
Minimisation des données	À configurer	À configurer	À configurer

La minimisation mérite une attention particulière : ne faites transiter que les champs nécessaires. Pour une relance de devis, transmettez l'email et le prénom, pas la fiche client entière.

Quels cas non conformes rencontre-t-on souvent ?

Un formulaire synchronisé vers un tableur partagé

Le problème : les données de prospects atterrissent dans un tableur accessible à toute l'équipe, sans contrôle d'accès ni durée de conservation. Or la CNIL rappelle que les données ne peuvent pas être conservées indéfiniment : c'est à vous de fixer une durée selon la finalité.

La solution : restreignez l'accès, ajoutez une colonne « date de suppression prévue » et un workflow de purge aligné sur la durée fixée. Notre article sur le pipeline de génération de leads de LinkedIn au CRM illustre cette approche.

Un emailing automatisé alimenté par une liste importée

Le problème : une liste achetée ou récupérée sans base légale alimente un workflow d'emails. Pour la prospection auprès de particuliers, la CNIL pose le principe du consentement préalable ; auprès de professionnels, le message doit concerner leur métier et les personnes doivent avoir été informées et pouvoir s'opposer facilement.

La solution : utilisez un champ de consentement horodaté dans votre CRM et conditionnez l'entrée dans le workflow à sa valeur.

Un chatbot IA qui stocke les conversations

Le problème : un chatbot envoie les messages des visiteurs vers un fournisseur d'IA sans qu'ils en soient informés. Voyez notre guide pour créer un chatbot IA pour son site sans coder.

La solution : informez avant le premier message, précisez la finalité, et choisissez une offre professionnelle ou une API dont le fournisseur signe un accord de traitement des données.

Une facturation automatisée vers un outil cloud

Un workflow qui exporte des données de facturation vers un service externe doit s'appuyer sur un prestataire qui signe un DPA. Notre article sur l'automatisation de la facturation avec n8n détaille le paramétrage, et celui sur la facturation électronique traite du passage aux nouveaux formats.

Quels réflexes techniques adopter ?

Secrets : ne stockez jamais de mot de passe ou de clé API en clair dans un scénario ; utilisez les connexions et identifiants gérés par l'outil.
Authentification : préférez OAuth aux identifiants et mots de passe partagés.
Moindre privilège : chaque connexion n'accède qu'aux ressources nécessaires au workflow.
Historique d'exécution : à purger selon votre politique de conservation.

La conformité RGPD n'est pas un obstacle à l'automatisation : c'est une contrainte de conception à intégrer dès le départ, ce que l'article 25 du RGPD appelle la protection des données dès la conception. Pour repérer vos workflows prioritaires, voyez notre méthode d'audit de maturité digitale.

Faire réaliser vos automatisations Make et n8n
Nous concevons, mettons en production et vous transmettons vos workflows, avec documentation et prise en main. Devis gratuit sous 2 jours ouvrés.
Découvrir l'offre d'automatisation