Automatisation & RGPD : héberger ses workflows en France

Ce que le RGPD exige vraiment quand vous automatisez

Rien de mystérieux : les règles sont les mêmes que pour le reste de votre informatique. Concrètement, quatre obligations vous concernent :

• Savoir où vont les données : chaque outil de votre chaîne d'automatisation est un sous-traitant, qui doit être listé dans votre registre de traitements.
• Un contrat de sous-traitance (DPA, article 28) avec chacun de ces outils. Les éditeurs sérieux en proposent un standard — encore faut-il l'avoir accepté en connaissance de cause.
• La minimisation : ne faire transiter que les données nécessaires au workflow. Pas la fiche client complète quand seul l'email sert.
• La durée de conservation : un workflow qui archive tout, pour toujours, dans un Google Sheet, c'est une bombe à retardement.

Le problème des outils américains

Zapier, Make (serveurs partiellement hors UE selon les plans), les modèles IA américains : dès qu'une donnée personnelle part vers les États-Unis, vous dépendez du cadre de transfert en vigueur — aujourd'hui le Data Privacy Framework, dont l'histoire récente (Safe Harbor invalidé, Privacy Shield invalidé) n'incite pas à bâtir dessus.

Ce n'est pas illégal en soi. C'est fragile. Et pour une PME, le plus simple n'est pas de suivre la jurisprudence : c'est de faire en sorte que les données ne partent pas.

L'auto-hébergement : la solution la plus simple, en fait

C'est là que n8n change la donne : l'outil s'installe sur votre propre serveur, chez un hébergeur européen (OVH, Scaleway, Hetzner…). Vos workflows tournent sur une machine dont vous connaissez l'adresse, vos données ne transitent par aucun cloud tiers, et votre registre de traitements devient beaucoup plus court.

Le coût ? 20 à 50 € par mois de serveur. Souvent moins cher que l'abonnement SaaS équivalent, pour un niveau de maîtrise incomparable.

Les modèles IA : le point de vigilance numéro un

Le vrai risque en 2026 n'est plus le connecteur, c'est le prompt. Envoyer le dossier d'un client à un modèle IA pour le résumer, c'est un transfert de données personnelles comme un autre.

Trois parades, par ordre de simplicité : n'envoyer au modèle que des données anonymisées ou pseudonymisées (le workflow retire noms et emails avant l'appel, les réinjecte après) ; choisir un fournisseur européen comme Mistral quand le cas d'usage le permet ; ou utiliser les offres des fournisseurs américains avec hébergement européen et clauses adaptées — en l'ayant vérifié, pas supposé.

La checklist pratique pour une PME

• Listez vos automatisations existantes et les données qui y circulent. Vous serez surpris.
• Vérifiez que chaque outil de la chaîne a un DPA signé et figure dans votre registre.
• Rapatriez les workflows sensibles sur une instance auto-hébergée en Europe.
• Coupez les données inutiles : chaque champ qui ne sert pas au workflow ne doit pas y entrer.
• Ajoutez une purge automatique : les logs et données temporaires de vos workflows doivent expirer.

Ce que nous mettons en place chez nos clients

Toutes nos automatisations tournent sur des instances n8n hébergées en Europe, avec purge automatique des données d'exécution et documentation des flux — de quoi remplir votre registre de traitements sans y passer un week-end. Ce n'est pas un supplément : c'est notre façon normale de travailler.

Si vous avez un doute sur vos automatisations actuelles, le premier échange de 30 minutes est gratuit. Apportez la liste de vos zaps, on la regarde ensemble.

Pour aller plus loin

Les sujets abordés ici sont détaillés sur nos pages dédiées :

• Intégration IA pour PME
• Agence n8n auto-hébergé
• n8n vs Make