InfoFlux et protection des données : RGPD et souveraineté numérique

Quand une entreprise choisit un CRM, elle confie à cet outil ses données clients les plus sensibles : noms, coordonnées, historiques d'échanges, montants de contrats, informations commerciales stratégiques. La question de savoir où ces données sont stockées, et par qui, n'est pas anecdotique — elle a des implications légales, contractuelles et commerciales.

InfoFlux est hébergé par Infomaniak, un acteur suisse du cloud indépendant. Voici ce que cela signifie concrètement pour votre conformité RGPD et votre posture de souveraineté numérique.

Où sont hébergées les données InfoFlux

Toutes les données InfoFlux sont stockées dans les datacentres d'Infomaniak, physiquement situés en Suisse et en France. Infomaniak Network SA est une entreprise genevoise, fondée en 1994, qui ne fait partie d'aucun groupe américain et n'est soumise à aucune juridiction américaine.

Ce point est important pour deux raisons :

Le Cloud Act américain : depuis 2018, les entreprises américaines (et leurs filiales) sont légalement contraintes de fournir aux autorités américaines les données qu'elles hébergent, quel que soit le pays où ces données se trouvent physiquement. Amazon (AWS), Google (GCP), Microsoft (Azure) et leurs clients sont soumis à cette loi. Infomaniak, en tant qu'entreprise suisse indépendante, ne l'est pas.

Le RGPD et les transferts hors UE : le RGPD impose des restrictions strictes au transfert de données personnelles hors de l'Espace Économique Européen. La Suisse bénéficie d'une décision d'adéquation de la Commission Européenne, qui reconnaît le niveau de protection des données suisse comme équivalent à celui de l'UE. Les données stockées par Infomaniak en Suisse ne constituent pas un "transfert hors UE" au sens du RGPD.

Ce que ça signifie pour votre conformité RGPD

Pas de transfert hors EU

Si votre entreprise utilise un CRM hébergé aux États-Unis (même avec des serveurs en Europe), les données peuvent techniquement être accessibles par la maison mère américaine, ce qui constitue un transfert potentiel hors UE à justifier dans votre registre de traitement.

Avec InfoFlux hébergé par Infomaniak, cette question ne se pose pas. Les données restent dans une juridiction reconnue comme adéquate par la Commission Européenne.

Accord de traitement des données (DPA)

Infomaniak met à disposition un Data Processing Agreement (DPA) conforme au RGPD, qui définit les obligations d'Infomaniak en tant que sous-traitant pour vos données personnelles. Ce document est nécessaire pour toutes les entreprises soumises au RGPD qui externalisent le traitement de données personnelles à un prestataire.

Registre de traitement

Votre registre de traitement (obligatoire pour les entreprises traitant des données à risque) doit mentionner vos sous-traitants et les garanties qu'ils offrent. InfoFlux/Infomaniak figure comme "sous-traitant de rang 1" avec localisation Suisse/UE — une mention simple et défendable.

Les fonctionnalités de conformité disponibles

Au-delà de l'hébergement, InfoFlux dispose de fonctionnalités qui facilitent la conformité opérationnelle :

Export des données

À tout moment, vous pouvez exporter l'ensemble de vos données InfoFlux en format standard (CSV, JSON). Ce droit à la portabilité est une exigence du RGPD : vos données vous appartiennent et doivent vous être accessibles. L'export n'est pas soumis à une demande spéciale — c'est une fonctionnalité self-service disponible depuis les paramètres.

Suppression des contacts

Quand un contact exerce son droit à l'effacement (article 17 du RGPD), vous pouvez supprimer définitivement sa fiche depuis InfoFlux. La suppression est propagée à l'ensemble des enregistrements liés (activités, notes, deals associés à ce contact uniquement).

Historique des accès

InfoFlux conserve un journal des connexions et des actions importantes effectuées dans votre espace, permettant de répondre à une question du type "qui a consulté la fiche de M. X ?" en cas de demande ou d'incident.

Contrôle d'accès granulaire

Les droits d'accès dans InfoFlux peuvent être configurés par utilisateur et par rôle : certains utilisateurs peuvent voir tout le CRM, d'autres seulement leurs propres contacts et deals. Ce contrôle granulaire limite l'exposition des données et permet d'appliquer le principe de moindre privilège recommandé par les guidelines RGPD.

L'argument commercial pour vos propres clients

Pour certaines entreprises, la souveraineté numérique est un argument commercial auprès de leurs propres clients. C'est particulièrement vrai dans les secteurs sensibles : services financiers, santé, juridique, administration.

Pouvoir dire à un prospect "notre CRM est hébergé par Infomaniak en Suisse, aucune donnée ne quitte l'Europe, nos données ne sont pas soumises au Cloud Act américain" est une réponse simple et vérifiable à une question fréquente dans ces secteurs.

Pour les entreprises qui répondent à des appels d'offres de collectivités locales, d'établissements de santé ou d'organismes publics, la localisation des données est souvent un critère d'évaluation. Infomaniak figure sur la liste des prestataires cloud qualifiés SecNumCloud (qualification ANSSI) pour certains de ses services — un référentiel reconnu par l'administration française.

Ce que la souveraineté numérique n'est pas

Un point d'honnêteté s'impose : choisir un CRM hébergé en Europe ne résout pas tous les enjeux de conformité RGPD. La conformité est un processus continu qui inclut aussi la formation des équipes, la gestion des consentements, la sécurité des accès, la documentation des traitements et les procédures de réponse aux demandes des personnes concernées.

InfoFlux et Infomaniak vous fournissent une infrastructure conforme. La conformité opérationnelle, elle, reste de votre responsabilité.

Démarrer avec un CRM hébergé en Europe →