Calendly et RGPD : guide de conformité 2026

Calendly équipe aujourd’hui plus de 20 millions d’utilisateurs et s’est imposé comme l’outil de prise de rendez-vous par défaut de milliers d’équipes commerciales, RH et de support en France. Le principe est imparable : vous partagez un lien, votre interlocuteur choisit un créneau, le rendez-vous s’inscrit dans votre agenda. Mais derrière cette simplicité, chaque réservation collecte des données personnelles — nom, e-mail, motif du rendez-vous, parfois bien davantage — et les transfère vers les États-Unis.

Contrairement à un éditeur français comme Pennylane, Calendly est une société américaine (basée à Atlanta) qui héberge ses données hors de l’Union européenne. Ce n’est pas rédhibitoire, mais cela déplace le centre de gravité de l’analyse RGPD vers la question des transferts internationaux. Voici ce qu’il faut comprendre — et ce qu’il faut faire.

Pour une vue d’ensemble de la conformité des outils SaaS, consultez notre guide RGPD par outil.

Qualification juridique : Calendly comme sous-traitant

Calendly agit en qualité de sous-traitant au sens de l’article 28 du RGPD. C’est votre organisation qui détermine les finalités (organiser des rendez-vous commerciaux, des entretiens de recrutement, des consultations) et les moyens essentiels du traitement (quels champs collecter, quels créneaux ouvrir, quelles données conserver). Calendly fournit la plateforme et traite ces données selon vos instructions. Vous restez responsable de traitement au sens de l’article 4(7).

Cette qualification implique une obligation contractuelle directe : vous devez disposer d’un acte juridique encadrant la sous-traitance, le fameux DPA (Data Processing Addendum). Calendly met le sien à disposition et y intègre les clauses contractuelles types de la Commission européenne ainsi qu’un addendum UK. Le premier réflexe, avant tout déploiement, consiste à récupérer ce DPA et à le rattacher à votre dossier de conformité. Sur la distinction entre les rôles, notre guide responsable de traitement et sous-traitant précise les frontières.

Les catégories de données traitées

Calendly traite des données qui paraissent anodines mais qui s’accumulent vite :

• Données des invités : nom, adresse e-mail, fuseau horaire, et toute information saisie dans les questions personnalisées du formulaire de réservation.
• Données de contexte : objet du rendez-vous, historique des réservations, parfois numéro de téléphone pour les rappels SMS.
• Données techniques : adresse IP, données de navigation liées au widget de réservation.
• Données issues de la synchronisation d’agenda : Calendly se connecte à votre Google Agenda ou Outlook pour vérifier vos disponibilités, ce qui suppose un accès — qu’il faut comprendre et cadrer — à votre calendrier.

Un point de vigilance majeur tient aux questions personnalisées. Rien n’empêche techniquement de demander à un invité l’objet médical d’une consultation ou un motif révélant un état de santé. Vous basculeriez alors dans le champ des données sensibles de l’article 9, avec un régime juridique nettement plus exigeant. La recommandation que je formule systématiquement : limiter le formulaire au strict nécessaire (principe de minimisation de l’article 5(1)©) et ne jamais collecter de donnée de santé via un simple champ libre.

Le cœur du sujet : le transfert de données vers les États-Unis

C’est l’élément qui distingue Calendly d’un outil européen et qui doit structurer votre analyse.

Un hébergement hors UE

Calendly stocke les données de ses utilisateurs et de leurs invités dans des centres de données situés aux États-Unis, opérés sur les infrastructures d’Amazon Web Services et de Google Cloud. À ce jour, l’éditeur ne propose pas d’option d’hébergement au sein de l’Espace économique européen. Toute réservation effectuée par une personne située dans l’UE constitue donc un transfert de données hors UE au sens du chapitre V du RGPD.

Les garanties mobilisées par Calendly

Deux mécanismes se cumulent pour encadrer ce transfert :

1. Le Data Privacy Framework (DPF). Calendly s’est auto-certifié auprès du Département du commerce américain au titre de l’EU-U.S. Data Privacy Framework, le cadre adopté par la décision d’adéquation de la Commission européenne du 10 juillet 2023, ainsi qu’au titre de l’extension UK et du cadre Swiss-U.S. Tant que cette certification reste active et que la décision d’adéquation n’est pas remise en cause, le transfert vers Calendly bénéficie d’un fondement juridique solide au sens de l’article 45.
2. Les clauses contractuelles types (CCT). En complément, le DPA de Calendly intègre les clauses contractuelles types de 2021. C’est une bonne pratique de « ceinture et bretelles » : si l’adéquation DPF venait à être invalidée — le souvenir de l’arrêt Schrems II invalidant le Privacy Shield en 2020 reste vif —, les CCT prendraient le relais comme garantie appropriée de l’article 46.

En pratique, le réflexe à adopter est double. D’abord, vérifier que Calendly figure bien sur la liste active des organisations certifiées DPF (consultable sur le site officiel dataprivacyframework.gov). Ensuite, conserver dans votre documentation la preuve de ces garanties et, idéalement, formaliser une analyse de transfert (TIA) tenant compte du risque d’accès par les autorités américaines au titre de législations comme le FISA. C’est exactement le type de cartographie que Legiscope automatise pour vos outils SaaS, mais vous pouvez aussi la mener manuellement à partir des documents publiés par l’éditeur.

Sécurité : une responsabilité partagée

Calendly met en avant une certification SOC 2 Type II, un chiffrement des données en transit et au repos, et la possibilité d’activer l’authentification unique (SSO) et l’authentification multifacteur sur les offres adaptées. Ce socle répond aux attentes de l’article 32 du RGPD en matière de mesures techniques et organisationnelles.

Mais la sécurité d’un SaaS est toujours partagée. Calendly sécurise l’infrastructure ; il vous revient de sécuriser les usages. Concrètement, votre part du travail comprend :

• La gestion des comptes : un compte par utilisateur, suppression des accès au départ d’un collaborateur, et activation du SSO/MFA lorsque l’offre le permet.
• Le paramétrage des intégrations : limiter les connexions tierces (CRM, visioconférence, paiement) à celles réellement utiles, chacune ajoutant un sous-traitant ultérieur à votre chaîne.
• La revue de la chaîne de sous-traitance : Calendly publie la liste de ses sous-traitants ultérieurs, conformément à l’article 28(2) et (4). Examinez-la, en particulier les acteurs situés hors UE.

En cas de violation affectant Calendly, l’éditeur doit vous notifier en tant que sous-traitant ; il vous appartient ensuite, en tant que responsable de traitement, d’apprécier l’obligation de notification à la CNIL sous 72 heures prévue par l’article 33. Ce point doit être réglé en amont dans le DPA.

Information des personnes et base légale

C’est l’angle le plus souvent négligé. Lorsqu’un prospect ou un candidat réserve un créneau via votre lien Calendly, vous êtes responsable de l’information qui lui est due au titre de l’article 13, pas Calendly.

Concrètement, votre page de réservation — ou la politique de confidentialité vers laquelle elle pointe — doit indiquer l’identité du responsable de traitement, les finalités (prise de rendez-vous), la base légale, les destinataires (dont Calendly et son hébergement aux États-Unis), la durée de conservation et les droits des personnes. Le widget Calendly permet d’ajouter une case de consentement ou un lien vers votre politique de confidentialité : utilisez-le.

Sur la base légale, deux situations se distinguent. Pour un rendez-vous commercial sollicité par le prospect lui-même, l’exécution de mesures précontractuelles ou l’intérêt légitime peut suffire. Pour des traitements annexes — rappels marketing, intégration à un outil de prospection —, un consentement distinct sera souvent nécessaire. Et si le widget dépose des cookies non strictement nécessaires, les règles de consentement aux cookies s’appliquent pleinement. Pour bâtir un formulaire conforme, inspirez-vous de notre guide sur le formulaire de contact RGPD.

Durées de conservation et droits des personnes

Calendly conserve l’historique des rendez-vous tant que vous ne le supprimez pas. Or l’article 5(1)(e) impose de ne pas conserver les données au-delà de ce qui est nécessaire. Le réflexe à adopter : définir une durée de conservation pour les données de réservation (par exemple, suppression des rendez-vous passés au-delà de X mois pour les prospects non convertis), la documenter dans votre registre des activités de traitement au titre de l’article 30, et mettre en place une routine de purge. Notre guide sur les durées de conservation détaille les principaux délais à retenir.

Côté droits des personnes, un invité peut exercer son droit d’accès ou demander l’effacement de ses données de réservation. Votre paramétrage de Calendly doit vous permettre de retrouver et d’extraire les données d’une personne pour répondre dans le délai d’un mois. C’est un test simple à mener avant tout déploiement : sauriez-vous, aujourd’hui, retrouver toutes les réservations d’un invité donné ?

Ce qu’il faut retenir

• Calendly est un sous-traitant au sens de l’article 28 : votre organisation reste responsable de traitement et doit récupérer et conserver le DPA, qui intègre les clauses contractuelles types.
• Le sujet central est le transfert hors UE : Calendly héberge aux États-Unis et s’appuie sur le Data Privacy Framework (décision d’adéquation du 10 juillet 2023) complété par les CCT. Vérifiez la certification DPF active et documentez le transfert.
• L’information des invités relève de vous : votre page de réservation doit délivrer l’information de l’article 13, mentionner Calendly et l’hébergement américain, et gérer le consentement des traitements annexes.
• Attention aux questions personnalisées : ne collectez jamais de donnée sensible (article 9) via un champ libre ; appliquez la minimisation.
• Pilotez la conservation : définissez une durée pour les données de rendez-vous et inscrivez ce traitement à votre registre.

FAQ

Calendly est-il conforme au RGPD ?

Calendly fournit les garanties attendues d’un sous-traitant : DPA avec clauses contractuelles types, certification au Data Privacy Framework, chiffrement et certification SOC 2. Mais la conformité de votre traitement dépend aussi de vous : signature du DPA, information des invités au titre de l’article 13, minimisation des champs collectés et gestion des durées de conservation. Aucun outil ne rend une organisation « conforme » à lui seul.

Où sont hébergées les données de Calendly ?

Calendly stocke les données aux États-Unis, sur les infrastructures d’Amazon Web Services et de Google Cloud. Il n’existe pas, à ce jour, d’option d’hébergement dans l’Union européenne. Chaque réservation par une personne située dans l’UE constitue donc un transfert hors UE encadré par le Data Privacy Framework et les clauses contractuelles types.

Quelle base légale pour utiliser Calendly ?

Pour un rendez-vous sollicité par la personne elle-même, l’exécution de mesures précontractuelles ou l’intérêt légitime peut fonder le traitement. Pour les usages annexes — prospection, rappels marketing, intégration CRM —, un consentement distinct est généralement nécessaire, et le dépôt de cookies non essentiels par le widget suit les règles de consentement de la CNIL.

Faut-il signer un contrat spécifique avec Calendly au titre du RGPD ?

Oui. L’article 28 impose un acte juridique encadrant la sous-traitance. Calendly met à disposition un DPA intégrant les clauses contractuelles types et un addendum UK. Récupérez-le, vérifiez la liste des sous-traitants ultérieurs et conservez ces éléments dans votre documentation de conformité.

---

Recevez nos analyses conformité chaque semaine. Décryptages RGPD, décisions CNIL, échéances réglementaires : abonnez-vous à notre newsletter pour garder une longueur d’avance.