Intercom et RGPD : Fin, hébergement et effacement

Dans Intercom, archiver un contact, supprimer une conversation et effacer les métriques sont des opérations différentes. Ajoutez les données transmises à Fin et aux applications connectées : la revue RGPD doit porter sur les usages réels et les réglages du workspace.

Séparer support, prospection et données du compte

Le DPA Intercom distingue les données clients traitées pour leur compte des données de compte pour lesquelles Intercom intervient comme responsable indépendant. Il faut donc éviter de qualifier indistinctement toutes les opérations de sous-traitance.

Pour votre usage, décrivez les objectifs : répondre aux demandes, administrer les comptes, analyser la qualité du support ou envoyer des offres. La base contractuelle de l’Art. 6(1)(b) suppose un traitement nécessaire au contrat avec la personne concernée. Elle ne couvre pas automatiquement toute analyse comportementale ou le suivi d’un salarié chez un client professionnel. Voir le RGPD, chapitre II.

Les règles CNIL de prospection électronique restent à appliquer aux campagnes concernées. Une demande de support n’est pas une inscription commerciale. Pour organiser cette séparation, consultez le guide email transactionnel et RGPD.

Confirmer la région de chaque workspace

Le programme Regional Data Hosting prévoit des régions États-Unis, Union européenne et Australie selon les conditions de l’offre. La documentation précise qu’un changement de région ne consiste pas en une migration directe de l’ancien workspace : un nouvel espace et un transfert des données et réglages sont nécessaires.

Intercom a également annoncé le traitement européen de Fin, Copilot et des fonctions IA de la boîte de réception pour les workspaces UE. Ne reprenez donc pas une ancienne documentation qui présente systématiquement l’IA comme un traitement américain.

Conservez la région confirmée, les conditions régionales et la liste des sous-traitants applicable. Vérifiez les exceptions, les connexions et les accès. Notre guide des transferts hors UE aide à documenter les flux qui restent concernés.

Distinguer l’IA tierce et l’amélioration des modèles Fin

La page sécurité d’Intercom indique que les fournisseurs tiers d’IA ne peuvent pas entraîner leurs modèles avec les données clients et décrit une absence de conservation après génération. Elle précise également que Fin peut employer des données présentées comme anonymisées pour ajuster ses modèles, avec une possibilité de refus et une suppression annoncée sous trente jours.

Ces engagements ne sont pas équivalents à « aucun usage de données clients pour aucun entraînement ». Demandez les informations utiles sur le périmètre, la préparation des données et les options de votre compte. L’étiquette « anonymisé » ne dispense pas d’apprécier si une réidentification reste raisonnablement possible.

Réduisez les sources accessibles : articles d’aide validés, données nécessaires à la réponse et actions autorisées. Contrôlez les identifiants, captures d’écran et attributs personnalisés transmis. Prévoyez une reprise humaine pour les cas qui le nécessitent et informez clairement les personnes de l’utilisation de l’IA.

L’Art. 35(1) du RGPD rend l’AIPD obligatoire lorsqu’un risque élevé est probable. L’activation d’une marque de chatbot ne suffit pas à conclure ; le contexte, les données et les effets comptent.

Choisir une suppression qui correspond au besoin

Intercom présente l’archivage d’un contact comme un retrait réversible de la visibilité et des statistiques. Ce n’est donc pas un effacement définitif.

Pour la suppression d’une conversation, la documentation distingue notamment conservation et retrait des métriques. Le comportement par défaut conserve les métriques ; la suppression avec retrait des métriques dispose de conditions techniques spécifiques. Faites préciser la procédure adaptée par l’administrateur et vérifiez sa version d’API avant de l’intégrer à un processus permanent.

Définissez les durées par besoin, puis contrôlez leur application. Il n’existe pas de durée RGPD générale de deux à trois ans pour tout support, ni de plafond universel d’un an pour toutes les conversations sensibles. Une prescription n’autorise pas à garder tous les échanges accessibles aux agents pendant cette période.

Coordonner les copies et les demandes de droits

Listez les exports, tickets, applications et notifications liés au contact. Limitez les permissions d’installation et les champs synchronisés. Pour une demande d’effacement, documentez ce qui a été supprimé, les éléments conservés pour un motif valable et leurs accès restreints.

Contrôlez enfin qu’une synchronisation ne réimporte pas le contact ou ses anciennes préférences. Le dossier de conformité doit permettre de comprendre le résultat obtenu, même si plusieurs équipes interviennent.

Construire une fiche de décision par usage

Pour rendre la revue exploitable, associez le responsable du support, l’administrateur et la personne chargée du RGPD. Ils ne répondent pas à la même question : utilité métier, fonctionnement effectif et justification juridique. Faites décrire un parcours complet, depuis l’arrivée d’un message jusqu’à son effacement ou son archivage justifié.

Une fiche peut comporter les rubriques suivantes :

Cette fiche est une proposition de travail, pas un formulaire officiel. Une même conversation peut contenir des éléments relevant de plusieurs lignes : cela n’autorise pas à conserver tout son contenu pour la durée la plus longue. Séparez ce qui reste nécessaire de ce qui peut être retiré, au regard des Art. 5(1)(c) et 5(1)(e).

Ajoutez les destinataires extérieurs. Une notification envoyée dans une messagerie ou une copie dans un outil de suivi peut conserver une donnée après son retrait du support. Pour chaque liaison, indiquez les champs transmis, le sens de la synchronisation et l’équipe capable d’intervenir. Ne présumez pas qu’un changement dans Intercom est immédiatement reproduit partout.

Préparer un changement de région sans perdre le suivi

La documentation régionale précise que l’historique des conversations ne se migre pas dans le nouvel espace ; un export peut servir à sa conservation séparée. Cette limite doit être examinée avant la fermeture de l’ancien workspace, avec les conditions de l’offre effectivement souscrite.

Le projet doit donc distinguer les contacts à reprendre, les échanges encore nécessaires et les données devenues inutiles. Un export de précaution contenant tous les anciens échanges recréerait un stock à gérer : accès, durée, recherche et suppression. Définissez son utilité avant de le produire, puis désignez qui en répondra après le départ de l’équipe projet.

Préparez aussi le traitement des demandes reçues pendant la transition. Une personne peut écrire depuis une ancienne notification alors que les nouvelles demandes arrivent ailleurs. Votre procédure doit permettre de retrouver le bon périmètre et de rapprocher les identifiants, sans imposer à la personne de connaître l’organisation de vos espaces. Une migration commerciale ne suspend pas les obligations de réponse de l’Art. 12(3) du RGPD.

Vérifier une procédure d’effacement avant de l’utiliser

Préparez un dossier de démonstration avec des données entièrement fictives. Créez les objets représentatifs de votre usage : contact, échange, pièce jointe sans donnée réelle et copie dans un connecteur de démonstration. Le but est de vérifier une procédure ; aucune réussite ne peut être présumée à partir de la documentation.

Avant l’action, faites décider son périmètre : profil, conversation, données de reporting et copies externes. Notez séparément les éléments éventuellement conservés pour une raison précise. L’Art. 17(3)(e) peut justifier les données nécessaires à un contentieux ; il ne crée pas une réserve générale pour tous les échanges du support. Le guide du droit à l’effacement développe les conditions à examiner.

Après l’exécution de la démonstration, consignez uniquement les résultats réellement observés. Une disparition dans la boîte de réception ne démontre pas la disparition des données dans les autres périmètres. Recherchez les objets concernés avec les identifiants connus et contrôlez le comportement des synchronisations suivantes. Si un contrôle reste impossible, indiquez cette limite et demandez au fournisseur les précisions nécessaires au lieu de conclure à un effacement complet.

Pour une demande réelle, appliquez également l’Art. 19 : les destinataires concernés doivent être informés des rectifications, effacements ou limitations prévus par ce texte, sauf impossibilité ou efforts disproportionnés. La liste des connexions sert ainsi à agir, pas seulement à compléter une documentation.

Organiser les responsabilités après le paramétrage

La mise en service ne clôt pas la revue. Désignez qui autorise une nouvelle source pour Fin, un attribut supplémentaire ou une application connectée. Exigez que la modification soit décrite avant activation : données ajoutées, destinataires, durée et effet sur les procédures de droits. Un accès autrefois justifié peut devenir trop large lorsqu’un nouveau service rejoint le même espace.

Le dossier fournisseur doit contenir la version contractuelle applicable, les instructions et les éléments utiles à l’examen des garanties de l’Art. 28(1) et (3). Le DPA prévoit notamment une information sur les changements de sous-traitants avec un mécanisme d’objection. Affectez la réception et l’analyse de ces avis à une personne joignable ; une boîte surveillée uniquement lors de l’achat laisse cette procédure sans responsable.

Enfin, prévoyez les événements qui imposent une nouvelle revue : extension de l’IA, changement de région, incident, nouveau connecteur ou modification des règles de conservation. L’Art. 32(1)(d) demande une évaluation régulière de l’efficacité des mesures. Votre compte rendu doit distinguer ce qui a été vérifié, ce qui repose sur un engagement fournisseur et ce qui reste à établir.

Ce qu’il faut retenir

• Distinguez les finalités et les rôles selon les données concernées.
• Confirmez la région du workspace et les conditions propres aux fonctions IA.
• Vérifiez séparément les usages des tiers et l’amélioration de Fin.
• Ne confondez pas archivage, suppression et conservation des métriques.

FAQ

Fin traite-t-il forcément les données aux États-Unis ?

Non. Intercom documente désormais des fonctions IA traitées dans l’UE pour les workspaces européens concernés. Vérifiez la région effective et les exceptions applicables.

Un contact archivé est-il effacé ?

Non. L’archivage est réversible. La procédure de suppression doit correspondre au droit exercé et aux données réellement concernées.

Quel délai appliquer aux conversations ?

Déterminez une durée liée à leur utilité et aux obligations applicables. Séparez les échanges utiles au support des preuves à conserver dans un accès restreint.

Recevez nos analyses pratiques sur la conformité : inscrivez-vous à la newsletter.

Thiébaut Devergranne est docteur en droit et fondateur de donneespersonnelles.fr. Il travaille depuis plus de vingt ans sur le droit des technologies et la protection des données personnelles.