Logiciel événementiel/Comparatif/Français et RGPD

Guide

Hébergement en France et RGPD : protéger les données de vos participants

Pourquoi choisir un logiciel événementiel français, hébergé en France ? Une plateforme événementielle collecte des noms, des fonctions, des régimes alimentaires, parfois des numéros de passeport. Choisir un éditeur français qui héberge en France ne relève pas du patriotisme : c'est une façon simple de réduire un risque juridique que votre DPO, lui, a déjà identifié.

Par Ana d'EventdriveMis à jour en novembre 20269 min de lecture

Quand on compare les logiciels événementiels du marché, une question arrive souvent tard, au moment où le service juridique ou la DSI relit le contrat : où vont les données de nos participants, et qui peut y accéder ? Voici les réponses.

Quelles données personnelles un événement collecte-t-il ?

Un événement d'entreprise collecte bien plus de données personnelles qu'on ne l'imagine, et certaines sont sensibles au sens du RGPD. Le formulaire d'inscription d'un séminaire commercial de 300 personnes ressemble à une formalité. Pourtant, une fois l'événement passé, la base contient l'identité complète de chaque participant, son entreprise, son poste, son numéro de mobile, ses préférences de transport et d'hôtel, et souvent une information de santé déguisée en question logistique.

Voici les catégories que l'on retrouve sur la plupart des événements B2B :

Données d'identification : nom, prénom, e-mail professionnel, téléphone, entreprise, fonction.
Données logistiques : dates d'arrivée, chambre d'hôtel, numéro de vol, accompagnant.
Données de documents officiels : numéro de passeport ou de pièce d'identité pour un voyage à l'étranger ou l'accès à un site sécurisé.
Données sensibles : allergies, régime alimentaire lié à une religion, besoins d'accessibilité liés à un handicap.
Données comportementales : sessions suivies, heures d'arrivée à l'émargement, réponses aux enquêtes, interactions dans l'application.

Les deux dernières catégories changent la nature du sujet. Une allergie est une donnée de santé ; un repas halal ou casher peut révéler une conviction religieuse. Le RGPD les classe parmi les catégories particulières, dont le traitement est en principe interdit sauf exception, comme le consentement explicite de la personne. Votre outil doit donc savoir les isoler et les supprimer rapidement.

Pourquoi privilégier un hébergement en France ?

Un hébergement en France, chez un hébergeur français, place les données de vos participants sous le seul droit européen. C'est l'argument central, et il dépasse la question de la distance physique des serveurs. Un éditeur américain peut très bien héberger ses données à Francfort ou à Dublin : il reste soumis aux lois de son pays d'origine, dont le Cloud Act, qui permet aux autorités américaines de demander l'accès à des données stockées hors des États-Unis par une entreprise américaine.

Pour une direction événementielle, cela se traduit très concrètement au moment de l'achat. Avec un éditeur extra-européen, la DSI demande une analyse d'impact sur les transferts de données, le juridique ajoute des clauses contractuelles types, et le projet prend plusieurs semaines de retard. Avec un éditeur français hébergé en France, ces étapes se réduisent à la vérification du registre de traitement et du contrat de sous-traitance.

Il existe trois situations à distinguer :

Éditeur français, hébergeur français : la configuration la plus simple, aucun transfert hors de l'Union européenne.
Éditeur étranger, serveurs en Europe : les données sont en Europe, mais l'éditeur peut rester soumis à un droit extra-européen. À documenter.
Éditeur étranger, serveurs hors d'Europe : transfert de données à encadrer par des garanties spécifiques, souvent refusé par les grands groupes.

Il y a aussi un bénéfice moins juridique : le support. Un éditeur français répond aux heures de bureau françaises, dans votre langue, et connaît les usages du marché, du séminaire de direction à la convention d'entreprise.

Que dit le RGPD sur les données d'un événement ?

Le RGPD impose à l'organisateur, responsable du traitement, de ne collecter que les données nécessaires, de les conserver le temps strictement utile et d'en garantir la sécurité. L'éditeur de la plateforme, lui, agit comme sous-traitant : il doit vous donner les moyens techniques de respecter ces obligations. La CNIL publie le texte complet du règlement ainsi que des fiches pratiques par secteur.

Appliqués à un événement, ces principes deviennent des règles opérationnelles que l'on peut vérifier dans l'outil :

Principe RGPD	Ce qu'il implique pour un événement	Ce que l'outil doit permettre
Minimisation	Ne demander le passeport qu'aux participants qui voyagent	Formulaires conditionnels, champs affichés selon le profil
Limitation de la conservation	Supprimer les allergies après le dîner de gala	Suppression automatique des données sensibles après l'événement
Consentement	Recueillir l'accord pour le droit à l'image ou les communications commerciales	Cases de consentement distinctes et horodatées
Droits des personnes	Répondre à une demande d'accès ou d'effacement	Export et suppression d'un participant en quelques clics
Sécurité	Éviter la fuite d'un fichier Excel de 2 000 invités	Base chiffrée, rôles et permissions, SSO

Le dernier point mérite qu'on s'y arrête. La première faille d'un événement n'est presque jamais le serveur de l'éditeur : c'est le fichier Excel exporté pour le traiteur, envoyé par e-mail puis oublié dans une boîte de réception. Un bon outil limite ces exports en donnant directement aux prestataires un accès restreint aux seules informations qui les concernent.

Quels points vérifier chez un éditeur ?

Avant de signer, demandez à l'éditeur des réponses écrites et précises, pas une simple mention « conforme RGPD » sur sa page d'accueil. Les éditeurs sérieux fournissent ces éléments sans difficulté, souvent dans un dossier sécurité prêt à transmettre à votre DSI.

Localisation et nom de l'hébergeur : pays, villes des centres de données, et nationalité de la société qui les exploite.
Contrat de sous-traitance : un accord conforme à l'article 28 du RGPD, avec la liste des sous-traitants ultérieurs.
Délégué à la protection des données : un DPO désigné et joignable.
Règles de suppression : délai de suppression des données sensibles et des comptes résiliés.
Chiffrement et cloisonnement : bases chiffrées, isolées d'internet, accès tracés.
Authentification : SSO compatible avec votre annuaire, désactivation automatique des comptes des collaborateurs qui partent.

Pour aller plus loin, notre page sur le SSO et les audits de sécurité détaille les questions que posent généralement les DSI.

Eventdrive, éditeur français hébergé en France

Eventdrive est édité par MYQAA, société française immatriculée à Paris, et ses données sont hébergées en France chez OVH, dans les centres de données de Roubaix, Gravelines et Strasbourg. Aucune donnée participant ne quitte donc le territoire européen, et l'éditeur n'est soumis à aucun droit extra-européen.

La plateforme est née en 2010 et s'adresse aux entreprises depuis 2016. Elle est utilisée par des directions événementielles de grands groupes et d'institutions publiques, dont la Présidence de la République pour l'accueil de 50 000 personnes. Ces organisations imposent des audits réguliers, et la sécurité a été construite pour y répondre :

Hébergement souverain en France, chez un hébergeur français.
Bases de données chiffrées dans un réseau isolé, inaccessible depuis internet.
Suppression automatique des données sensibles le lendemain de l'événement.
SSO en OpenID Connect, SAML v2 ou Azure AD, sur le back-office, l'application, les sites et les lives.
DPO désigné auprès de la CNIL et contact sécurité dédié.

Le détail de ces mesures est présenté sur la page sécurité et protection des données.

Questions fréquentes

Existe-t-il des logiciels événementiels français ?

Oui. Plusieurs éditeurs de logiciels événementiels sont français, dont Eventdrive, édité à Paris et hébergé en France chez OVH. Vérifiez toujours deux choses distinctes : la nationalité de l'éditeur et la localisation de l'hébergement.

Un hébergement en Europe suffit-il pour respecter le RGPD ?

Pas forcément. Un hébergement en Europe évite les transferts de données, mais un éditeur soumis à un droit extra-européen, comme le Cloud Act américain, peut être contraint de communiquer des données. Un éditeur européen hébergé en Europe supprime ce risque.

Combien de temps conserver les données des participants à un événement ?

Le temps strictement nécessaire à la finalité. Les données sensibles comme les allergies doivent être supprimées juste après l'événement ; les données d'identification peuvent être conservées plus longtemps si elles servent un intérêt légitime documenté, comme la relation commerciale.

Qui est responsable des données : l'organisateur ou l'éditeur ?

L'organisateur est responsable du traitement : il décide des données collectées et de leur usage. L'éditeur est sous-traitant : il doit garantir la sécurité et fournir les outils de conformité, dans le cadre d'un contrat conforme à l'article 28 du RGPD.

Collecter peu, supprimer vite, protéger bien

La conformité RGPD d'un événement repose sur ces trois piliers. Un éditeur français hébergé en France ne fait pas tout le travail à votre place, mais il supprime le sujet des transferts hors d'Europe et vous donne les outils pour appliquer les deux autres. Avant de comparer les fonctionnalités, ou de trancher entre une plateforme unique et plusieurs outils spécialisés, faites valider ces points par votre DPO : cela évite de découvrir un blocage juridique au moment de signer.