RGPD et hébergement UE pour un chatbot de collectivité

Un chatbot déployé par une structure publique relève du RGPD au même titre que n'importe quel autre traitement de données. Cette page décrit factuellement ce que SAWL fournit en matière de conformité, les données effectivement collectées lors d'une conversation, et la répartition des responsabilités entre la collectivité responsable de traitement et SAWL en tant que sous traitant technique.

Hébergement en Union européenne, cadre souverain

Premier point de conformité, l'hébergement. SAWL est hébergé en Union européenne (Allemagne), et le modèle d'IA générative mobilisé est fourni par un éditeur français. Ce choix, plus contraignant que le minimum imposé par le RGPD, présente plusieurs avantages concrets pour une collectivité : simplification de la démonstration de conformité, absence de question sur les transferts hors UE, cohérence avec les attentes croissantes des directions achat publiques sur la localisation des données, et lisibilité immédiate auprès des élus et des citoyens.

Aucune donnée, ni aucun échange, ne transite par un territoire hors Union européenne au cours de son cycle de vie normal dans la plateforme. Ce point est à garder en tête lorsque la collectivité remplit son registre de traitements ou lorsque le DPO prépare une analyse d'impact si elle est jugée nécessaire. Pour le cadre de référence détaillé, voir la page sécurité et RGPD.

Quelles données sont effectivement collectées

Le périmètre des données effectivement collectées lors d'une conversation est volontairement limité : la question posée par le visiteur, la réponse renvoyée par le chatbot et un identifiant technique de session qui permet de relier les messages d'une même conversation entre eux. Aucun nom, aucune adresse, aucun numéro de téléphone, aucune donnée sensible n'est demandé ou collecté par défaut. Le visiteur n'a pas à s'identifier pour dialoguer avec l'assistant.

La CNIL publie des ressources dédiées aux collectivités territoriales qui aident à qualifier ce type de traitement dans leur registre. Les échanges peuvent être consultés dans l'espace client de la collectivité pour l'audit interne et la boucle éditoriale, mais ils ne sont jamais utilisés pour entraîner un modèle public ni transmis à un tiers. La posture de non hallucination du chatbot (préférer dire qu'il ne sait pas plutôt que d'extrapoler) limite également le risque de diffusion d'informations inexactes auprès des visiteurs.

Responsable de traitement, sous traitant, DPO

Dans la configuration habituelle, la collectivité est responsable de traitement au sens du RGPD : elle détermine les finalités (accueil des visiteurs, information touristique), les moyens, le périmètre éditorial exposé et les modalités d'information des personnes concernées. SAWL est sous traitant au sens du RGPD : l'éditeur fournit l'outil technique, l'hébergement, la synchronisation avec les sources et l'espace client, sans déterminer de manière autonome les finalités du traitement.

Le DPO de la collectivité (ou son référent RGPD) est associé au cadrage du projet pour qualifier le traitement, l'inscrire au registre et, si besoin, évaluer la nécessité d'une analyse d'impact. Pour les petites communes qui ne disposent pas d'un DPO interne, il est fréquent de mutualiser cette fonction avec le centre de gestion ou l'EPCI de rattachement. La page chatbot pour commune et mairie traite plus en détail ce cas.

Registre des traitements côté collectivité

La tenue du registre des traitements est une obligation propre au responsable de traitement. Elle n'est ni déléguée au sous traitant, ni dispensée par le choix d'un outil conforme. La collectivité doit qualifier le traitement associé au chatbot (finalités, base légale, catégories de données, destinataires, durée de conservation, mesures de sécurité) et l'inscrire dans son registre. Cette démarche est facilitée par le périmètre restreint des données effectivement collectées et par la clarté de l'hébergement.

Les éléments nécessaires au remplissage du registre sont disponibles dans la documentation contractuelle fournie par SAWL. La CNIL met également à disposition des modèles génériques et des ressources spécifiques pour les collectivités territoriales. L'accompagnement du DPO local reste néanmoins recommandé pour qualifier précisément le traitement dans le contexte de chaque structure.

Réversibilité en fin de contrat

La réversibilité est un point souvent négligé au cadrage mais essentiel en pratique. En fin de contrat, la collectivité doit pouvoir récupérer les éléments utiles à la continuité de son service et s'assurer de la suppression des données hébergées par le sous traitant. SAWL prévoit une réversibilité claire : export des historiques de conversations disponibles dans l'espace client, arrêt du widget, suppression des données après un délai raisonnable. Aucune donnée n'est retenue au delà de ce qui est nécessaire à la bonne fin du contrat.

La réversibilité n'est pas une simple clause contractuelle : elle est cohérente avec l'architecture du produit. Les sources restent celles de la collectivité (Apidae, pages du site officiel, PDF, documents internes), et rien n'est dupliqué dans un silo parallèle qu'il faudrait ensuite reconstituer. L'arrêt du service ne prive la collectivité d'aucun contenu éditorial, il ne retire que l'assistant conversationnel qui les interroge.

Transferts hors UE, sous traitants techniques, chaîne de confiance

Un point fréquemment soulevé par les services juridiques est la question des sous traitants techniques : qui est dans la chaîne de confiance, où sont leurs infrastructures, existe t il un transfert hors Union européenne direct ou indirect. Pour SAWL, la règle est simple : pas de transfert hors UE dans le fonctionnement courant du service. L'hébergement principal est en Union européenne (Allemagne), et les composants techniques mobilisés pour la conversation restent dans un cadre maîtrisé, sans exposer la collectivité à une problématique de clause contractuelle type ou d'invalidation d'accord de transfert.

Pour le détail opérationnel, le service juridique ou le DPO de la collectivité peut se reporter à la documentation contractuelle SAWL et à la page sécurité et RGPD. La CNIL publie par ailleurs des ressources spécifiquement dédiées aux collectivités territoriales, utiles pour cadrer la démarche interne.

Rédigé par l'équipe Digitz, intégrateurs Apidae depuis 2014. Plus de 25 plateformes Apidae déployées pour les collectivités. Dernière mise à jour : 11 avril 2026.