Votre CRM contient des centaines, parfois des milliers de fiches contacts. Noms, emails, numéros de téléphone, historiques d’échanges, notes commerciales… Mais avez-vous vérifié que le stockage de ces données respecte bien le RGPD ? Pour une PME belge qui utilise ou envisage un CRM, la question de la conformité CRM RGPD n’est pas un détail administratif. C’est un risque concret — et un argument de choix décisif entre les outils disponibles sur le marché.
En 2026, les contrôles de l’APD (Autorité de Protection des Données belge) se multiplient. Les PME ne sont plus épargnées. Cet article vous explique ce que le RGPD impose à votre CRM, pourquoi l’hébergement de votre outil fait toute la différence, et comment Zoho CRM vous met en conformité — avec une checklist opérationnelle en 5 points.
Ce que le RGPD impose concrètement à votre CRM
Le Règlement Général sur la Protection des Données s’applique à tout traitement de données personnelles de résidents européens. Votre CRM, par définition, est un concentré de données personnelles. Il est donc directement concerné — quelle que soit la taille de votre entreprise.
Concrètement, le RGPD vous impose quatre obligations vis-à-vis de chaque contact dans votre CRM :
1. Une base légale pour chaque traitement
Vous ne pouvez pas stocker les données d’un contact sans raison légale. En B2B, les bases légales les plus courantes sont :
- L’intérêt légitime : vous avez eu un échange commercial avec ce contact
- L’exécution d’un contrat : ce contact est client ou fournisseur
- Le consentement : ce contact a explicitement accepté d’être dans votre base (newsletters, leads entrants via formulaire)
Importer une liste achetée ou scraper LinkedIn sans consentement n’est pas une base légale valide.
2. Une durée de conservation limitée
Vous ne pouvez pas garder un contact indéfiniment. En B2B, la règle générale est de 3 ans après le dernier contact actif pour un prospect. Pour un client, la durée est contractuelle, augmentée des obligations légales. Au-delà, les données doivent être supprimées ou anonymisées.
3. Le respect des droits des personnes
Chaque contact peut vous demander à tout moment :
- L’accès à ses données (droit d’accès)
- La correction d’informations inexactes (droit de rectification)
- La suppression de sa fiche (droit à l’effacement)
- La portabilité de ses données vers un autre outil
Votre CRM doit vous permettre d’exécuter ces demandes rapidement — et d’en garder une trace.
4. Un registre des traitements à jour
Toute entreprise de plus de 250 salariés doit tenir un registre des traitements. En dessous, c’est recommandé mais non obligatoire — sauf si les traitements présentent des risques élevés. Or, votre CRM est généralement l’un de vos principaux traitements de données personnelles.
Données clients : ce que vous pouvez (et ne pouvez pas) stocker
Le principe de minimisation est au cœur du RGPD. Vous ne collectez que les données strictement nécessaires à votre finalité. En pratique, dans un CRM B2B :
Ce que vous pouvez stocker sans risque
- Nom, prénom, fonction, coordonnées professionnelles
- Historique des échanges commerciaux (emails, appels, réunions)
- Devis, commandes, factures associées
- Notes commerciales liées à la relation d’affaires
- Préférences de contact déclarées par le contact lui-même
Ce qui est risqué ou interdit sans base légale solide
- Données comportementales collectées à l’insu du contact (tracking web non consenti)
- Opinions politiques, religieuses ou syndicales (données sensibles — interdites sauf exception)
- Données de santé
- Profils personnels non liés à la relation commerciale
- Données de prospects acquis par achat de fichiers non conformes
En revanche, annoter les préférences ou décisions d’un contact reste parfaitement légitime. Par exemple, noter qu’il préfère être contacté par email ou qu’il a refusé votre offre en décembre est directement lié à votre relation commerciale.
Zoho CRM et RGPD : pourquoi l’hébergement européen change tout
C’est ici que le choix de votre CRM devient stratégique. Tous les outils ne se valent pas face au RGPD. La différence se joue souvent sur un détail que peu de PME vérifient : où sont physiquement stockées vos données ?
Le problème du Cloud Act américain
HubSpot, Salesforce, monday.com ou Pipedrive sont des entreprises américaines. Or, le CLOUD Act américain (2018) autorise les autorités américaines à accéder aux données de ces entreprises — même si elles sont stockées sur des serveurs européens. Elles n’ont pas besoin de passer par les autorités européennes pour le faire.
Cela crée une tension directe avec le RGPD. En effet, ce règlement interdit les transferts de données vers des pays tiers sans garanties adéquates. En cas de contrôle, cette situation peut exposer votre PME à un risque de non-conformité — même si vous n’avez rien fait de mal.
Zoho : une société indienne, des serveurs européens, sans lien américain
Zoho est une entreprise privée indienne (Zoho Corporation, Chennai), cotée nulle part, sans investisseurs américains. Elle n’est donc pas soumise au CLOUD Act. Par conséquent, ses données hébergées en Europe restent sous juridiction européenne.
Pour les clients européens, Zoho héberge les données dans ses datacenters aux Pays-Bas et en Irlande. Ces deux sites sont situés dans l’Union européenne et pleinement soumis au RGPD.
Les fonctionnalités RGPD natives de Zoho CRM
Au-delà de l’hébergement, Zoho CRM intègre nativement des fonctionnalités de conformité :
- Gestion du consentement : chaque contact peut avoir un statut de consentement documenté (opt-in, opt-out, date, source)
- Droit à l’effacement : suppression définitive d’une fiche en un clic, avec confirmation dans les systèmes liés
- Portabilité : export des données d’un contact en format standard
- Journaux d’audit : historique complet des accès et modifications sur chaque fiche
- Gestion des rôles et accès : définissez précisément qui peut voir, modifier ou exporter quelles données
- DPA disponible : accord de traitement des données conforme RGPD, signable depuis votre espace client
Ces fonctionnalités sont incluses dans toutes les formules Zoho CRM — pas réservées aux plans Enterprise. Ainsi, même une PME de 5 personnes dispose des outils nécessaires pour être conforme.
Checklist conformité RGPD en 5 points pour votre PME belge
Voici les 5 vérifications à faire dans votre CRM dès aujourd’hui :
✅ 1. Documenter la base légale de chaque type de contact
Créez un champ personnalisé dans Zoho CRM : « Base légale » avec les valeurs intérêt légitime / contrat / consentement. Remplissez-le pour chaque segment de votre base : prospects, clients, ex-clients, partenaires.
✅ 2. Définir et automatiser les durées de conservation
Dans Zoho CRM, paramétrez des alertes ou des workflows pour identifier les contacts inactifs depuis plus de 3 ans. Vous pouvez automatiser ces nettoyages périodiques avec les outils natifs — sans intervention manuelle.
✅ 3. Tester la procédure de droit à l’effacement
Simulez une demande d’effacement. Mesurez le temps nécessaire pour supprimer définitivement un contact et toutes ses données liées : emails, devis, notes. Le RGPD impose un délai de réponse d’un mois maximum. Si ce processus prend plus de 30 minutes, il doit être documenté et simplifié.
✅ 4. Signer le DPA avec Zoho
Connectez-vous sur votre espace Zoho et signez le Data Processing Agreement. C’est obligatoire. En tant que responsable du traitement, vous devez signer un contrat avec votre sous-traitant (ici, Zoho) encadrant le traitement des données. Sans DPA signé, vous n’êtes pas en conformité — même si l’outil est hébergé en Europe.
✅ 5. Mettre à jour votre registre des traitements
Ajoutez une ligne « CRM commercial » dans votre registre des traitements. Indiquez-y la finalité (gestion client), les catégories de données, la base légale, la durée de conservation, les destinataires (Zoho, votre ERP) et la localisation des données (UE — Pays-Bas / Irlande).
Que se passe-t-il en cas de contrôle de l’APD ?
L’APD (Autorité de Protection des Données) est l’autorité belge chargée de contrôler le respect du RGPD. Elle peut agir sur plainte d’un particulier ou de sa propre initiative.
Ce que l’APD vérifie en priorité
- L’existence d’une base légale pour chaque traitement
- La présence d’un DPA signé avec vos sous-traitants
- La capacité à répondre aux demandes des personnes concernées
- La politique de conservation des données
- La sécurité des accès (qui peut voir quoi dans votre CRM)
Les sanctions possibles
Les amendes RGPD peuvent atteindre 4 % du chiffre d’affaires annuel mondial, ou 20 millions d’euros — le montant le plus élevé des deux s’applique. En pratique, pour une PME belge, les sanctions les plus fréquentes sont des amendes entre 5 000 et 50 000 €. Elles s’accompagnent généralement d’une injonction de mise en conformité sous 30 jours.
Cependant, l’APD tient compte de la bonne foi et des efforts de mise en conformité. Une PME qui a signé son DPA, documenté sa procédure d’effacement et hébergé ses données en UE sera toujours mieux positionnée. En revanche, une entreprise qui n’a rien documenté s’expose à des sanctions bien plus lourdes.
Comment Zoho CRM facilite un audit APD
En cas de contrôle, Zoho CRM vous permet d’exporter rapidement :
- Le journal d’audit complet (qui a accédé à quoi, quand)
- La liste des consentements documentés
- La preuve de suppression des données effacées
- Le DPA signé avec Zoho Corporation
Vous pouvez ainsi présenter ces éléments à l’APD en quelques heures — pas en quelques semaines.
FAQ — Zoho CRM et RGPD
Zoho est-il certifié RGPD ?
Le RGPD n’est pas une certification mais un règlement. Zoho est conforme au RGPD. Ses datacenters européens sont certifiés ISO 27001, il propose un DPA, et ses fonctionnalités couvrent tous les droits des personnes concernées. Consultez zoho.com/privacy pour les détails.
HubSpot n’est-il vraiment pas conforme au RGPD ?
HubSpot propose des mesures de conformité RGPD et dispose de serveurs en Europe. Cependant, en tant qu’entreprise américaine soumise au CLOUD Act, un risque résiduel de transfert vers les États-Unis demeure. Ce n’est pas une non-conformité automatique. C’est néanmoins un point de vigilance sérieux, notamment depuis l’invalidation du Privacy Shield en 2020. Pour une comparaison complète, consultez notre article Zoho CRM vs HubSpot.
Dois-je informer mes contacts que leurs données sont dans mon CRM ?
Oui. Le principe de transparence du RGPD vous oblige à informer les personnes concernées du traitement de leurs données. En B2B, cela se fait généralement via votre politique de confidentialité et une mention dans vos CGV ou emails commerciaux.
Mon CRM contient des contacts depuis 10 ans. Que dois-je faire ?
Identifiez les contacts inactifs depuis plus de 3 ans (sans échange commercial). Pour chacun, vous devez soit supprimer la fiche, soit obtenir un consentement renouvelé via un email de réactivation. Zoho CRM permet de filtrer et traiter ces contacts en masse. Si vous êtes également en train de changer d’outil, c’est le moment idéal pour effectuer ce nettoyage : notre guide sur la migration CRM vous explique comment éviter les pièges.
Conclusion
Le RGPD n’est pas un obstacle à votre CRM. C’est un cadre qui vous protège, vous et vos clients. En choisissant un outil hébergé en Europe, sans dépendance au CLOUD Act, vous transformez une contrainte réglementaire en avantage concurrentiel.
Pour une PME belge, Zoho CRM coche toutes les cases. Hébergement EU, DPA disponible, gestion du consentement intégrée, droits des personnes exécutables en quelques clics : tout est là. De plus, il s’intègre nativement dans l’écosystème Zoho One pour une conformité cohérente sur l’ensemble de vos outils.
En définitive, si vous n’avez pas encore vérifié la conformité RGPD de votre CRM actuel, c’est le bon moment. Commencez par la checklist en 5 points ci-dessus — et si vous n’avez pas encore de CRM, c’est peut-être l’un des 5 signes qu’il est temps d’agir.
Vous voulez mettre en place Zoho CRM dans votre PME belge en étant conforme RGPD dès le départ ? Contactez Amadeus Concept pour un audit gratuit et une démonstration personnalisée.
Pour relier cette conformité CRM à l’ensemble de vos outils, notre page accompagnement Zoho One pour PME détaille le cadrage, les automatisations et la formation.
