Vos conversations clients et la loi sur la protection des données personnelles : ce qui est réellement exigé

Dans la cinquième partie, nous avons tracé la frontière entre ce à quoi l'assistant répond et ce que traite un employé, et exigé un transfert qui emporte toute la conversation. Tout ce que nous avons construit jusqu'ici repose sur une seule chose : l'historique de vos conversations clients. Et cet historique n'est pas un fichier opérationnel : ce sont des données personnelles régies par la loi.

Cette partie n'est ni un texte alarmiste ni un exposé juridique. L'essentiel de ce dont une petite ou moyenne entreprise a besoin se résume à de simples décisions de gestion prises une fois, avant le lancement, qui coûtent une heure de réunion plutôt qu'un consultant. Les prendre après le lancement coûte bien plus cher.

Une conversation WhatsApp est une donnée personnelle, et vous en êtes responsable

La loi sur la protection des données personnelles (PDPL) du Royaume est en vigueur depuis le 14 septembre 2023, la période de grâce pour la mise en conformité a pris fin le 14 septembre 2024, et l'Autorité saoudienne des données et de l'intelligence artificielle (SDAIA) en est l'autorité de contrôle. Son champ d'application est plus large que ne le pensent de nombreux chefs d'entreprise : elle couvre tout traitement des données de personnes se trouvant dans le Royaume, par quelque moyen que ce soit, et s'étend aux entités situées hors du Royaume qui traitent des données de personnes qui s'y trouvent.

Lorsqu'une cliente envoie son nom, son numéro et son adresse pour réserver un créneau d'installation, il s'agit de données personnelles au sens de la loi, et non d'une simple discussion. Et ce que la plupart des gens négligent, c'est tout ce qu'une conversation contient réellement : des noms et des numéros, des photos de pièces d'identité ou de titres de séjour envoyées spontanément par les clients, des adresses personnelles, des images de documents et de factures, et parfois des informations de santé ou financières mentionnées au passage dans une réclamation. Un assistant IA ne crée pas ces données, mais il les rend stockées, indexées et consultables au lieu d'être perdues sur le téléphone d'un employé. C'est en soi une amélioration opérationnelle, et cela accroît aussi votre responsabilité.

La base légale et l'information du client

On ne traite pas de données personnelles sans raison légitime. Pour la plupart des entreprises, la base est simple : le client a lui-même engagé la conversation pour demander un service, et lui fournir ce qu'il a demandé exige de traiter ses données. C'est une base solide pour répondre à sa demande et préparer sa commande. Elle ne s'étend pas automatiquement à ce qu'il n'a pas demandé.

La distinction pratique mérite qu'on s'y arrête. Répondre à la demande d'un client est une chose ; ajouter son numéro un mois plus tard à une diffusion marketing de masse en est une tout autre. La première fournit ce qu'il a demandé ; la seconde est une nouvelle finalité qui exige son consentement explicite. C'est l'infraction la plus courante que nous observons sur le marché, précisément parce qu'elle paraît gratuite et inoffensive.

Quant à l'information, il en faut moins que vous ne l'imaginez : une courte ligne au début de la conversation, ou une politique de confidentialité sur votre site vers laquelle l'assistant renvoie, indiquant qui vous êtes, pourquoi vous collectez les données, combien de temps vous les conservez, avec qui vous les partagez et comment le client exerce ses droits. Rédigez-la dans une langue que votre client comprend, pas dans un jargon contractuel.

Collecter le minimum et supprimer ce qui a rempli son rôle

La règle la plus facile à appliquer de toute la loi : des données que vous n'avez jamais collectées ne peuvent pas fuir de chez vous et ne peuvent pas vous être réclamées. Le contrôle commence là, dans la formulation des questions de l'assistant lui-même.

• Ne demandez que ce dont le service a besoin. Si une réservation nécessite un nom, un numéro et un quartier, ne faites pas demander par l'assistant un numéro d'identité ou une date de naissance simplement parce que le champ existe sur votre ancien formulaire papier.
• Bloquez les documents sensibles dans la conversation. Les photos de pièces d'identité et de cartes bancaires ne se demandent pas sur WhatsApp. Ajoutez-les à la liste de refus que nous avons construite dans la quatrième partie, et orientez le client vers un canal approprié si c'est réellement nécessaire.
• Fixez une durée de conservation écrite. Choisissez-en une par type : les conversations de demande qui ne sont jamais devenues une commande, et les commandes terminées dont vous devez conserver les enregistrements à des fins comptables et réglementaires. L'essentiel est que la durée soit écrite et appliquée, et non laissée ouverte indéfiniment.
• Faites de la suppression une procédure, pas une intention. Une durée de conservation sans mécanisme derrière elle est une archive permanente sous un autre nom. Demandez à votre fournisseur comment supprimer une conversation ou un client entier, et quand il disparaît réellement de ses sauvegardes.

Qui dans votre équipe peut voir les conversations ?

Le plus grand risque pratique pour les données de vos clients n'est pas une intrusion externe : c'est un accès interne sans restriction. Lorsque les conversations se trouvent sur le téléphone personnel d'un employé, elles quittent l'entreprise avec lui le jour de sa démission, et vous n'en gardez ni copie ni contrôle. Déplacer les conversations dans un système central résout ce problème, à condition de maîtriser qui voit quoi.

Trois décisions de gestion suffisent : chaque employé voit les conversations qui lui sont assignées ou qui concernent son travail plutôt que tout ; chaque utilisateur a un compte nominatif plutôt qu'un identifiant partagé que l'équipe se passe, afin que vous sachiez qui a consulté quoi ; et l'accès est révoqué le jour même de la fin de la relation de travail, et non des semaines plus tard. Ajoutez à vos contrats de travail et à vos procédures une clause interdisant l'exportation des données clients ou leur sortie du système.

Quand les conversations quittent le Royaume

C'est la partie que les chefs d'entreprise ignorent complètement, parce qu'elle est invisible. Un assistant IA fonctionne sur un modèle de langage, et ce modèle peut être hébergé hors du Royaume, ce qui signifie que le texte de la conversation de votre client peut franchir la frontière pour générer la réponse.

Le transfert de données personnelles hors du Royaume est limité par la loi à des cas et des contrôles définis, et n'est pas laissé à l'appréciation d'un fournisseur. Vous n'avez pas besoin d'être juriste : vous devez poser trois questions écrites à tout fournisseur et conserver les réponses documentées :

• Où mes conversations clients sont-elles stockées et où sont-elles traitées ? Les données quittent-elles le Royaume à un moment quelconque ?
• Si elles le quittent, sur quelle base et sur quels contrôles vous appuyez-vous pour le transfert ?
• Utilisez-vous les conversations de mes clients pour entraîner vos modèles, ou à toute autre fin qui vous est propre ?

La troisième question est la plus importante commercialement et la moins souvent posée. Les données de vos clients vous appartiennent, et le fait qu'un fournisseur les détienne pour fournir un service ne l'autorise pas à les utiliser à une autre fin. Rendez l'interdiction explicite dans le contrat plutôt que sous-entendue par le contexte.

Les droits du client, et où s'arrête votre responsabilité et où commence celle de votre fournisseur

La loi accorde à la personne concernée des droits clairs : être informée que ses données sont collectées et pourquoi, y accéder et en obtenir une copie, en demander la rectification, et en demander la destruction lorsque leur finalité ne s'applique plus. Ce ne sont pas des textes théoriques : ce sont des demandes qui peuvent un jour arriver dans la même conversation WhatsApp. Votre équipe doit donc savoir quoi faire lorsqu'une telle demande arrive, et votre système doit disposer d'un bouton qui l'exécute plutôt que d'un processus manuel laborieux.

Reste le point qui tranche la plupart des discussions avec les fournisseurs : vous êtes le responsable du traitement, car vous déterminez la finalité et les modalités du traitement, et le fournisseur de l'assistant IA est un sous-traitant qui agit pour votre compte. La responsabilité juridique envers votre client reste la vôtre, même lorsque la défaillance est technique et vient de votre fournisseur. Exigez donc un contrat écrit qui précise ce qu'il peut et ne peut pas faire de vos données, l'oblige à vous informer sans délai de toute violation, et définit ce qu'il advient de vos données le jour où la relation prend fin : restituées intégralement, puis détruites de son côté.

Le regard d'Origami

Dans Mahir, l'assistant IA d'Origami pour WhatsApp, l'assistant fonctionne sur le numéro existant de votre entreprise, sans nouveau numéro ni application supplémentaire sur le téléphone de l'employé, et la liaison se fait par un scan unique de QR code : vos conversations clients restent ainsi dans un système de l'entreprise plutôt que dispersées sur des appareils personnels qui partent avec leurs propriétaires. L'entraînement commence en lui donnant le lien de votre site web pour qu'il le lise et complète vos informations, puis vous ajoutez les services, les prix et les questions fréquentes avec des réponses que vous approuvez. Il propose deux niveaux entre lesquels vous choisissez, Malik pour les questions directes rapides et répétitives et Mahir pour les longues conversations, les demandes complexes et les objections, et vous pouvez changer à tout moment sans nouvelle liaison ni perte d'entraînement ; l'essai est gratuit. Quant aux six questions de cette partie sur le lieu de stockage, les transferts hors du Royaume et l'utilisation des données pour l'entraînement : posez-les par écrit à tout fournisseur que vous envisagez, nous compris, et inscrivez la réponse dans le contrat.

Conclusion

Ce qui est exigé de vous est moins que ce qui vous effraie : une base légale claire, une information courte et compréhensible, la collecte du strict nécessaire, une durée de conservation écrite suivie d'une suppression effective, un accès maîtrisé au sein de votre équipe, des réponses documentées sur l'endroit où se trouvent les données, la façon dont elles circulent et leur utilisation, et un contrat écrit avec votre fournisseur dans lequel chaque partie connaît son rôle. Prenez ces décisions avant le lancement : c'est bien plus facile que de les corriger ensuite. Reste la dernière question du chef d'entreprise : qu'est-ce que tout cela rapporte, et comment le déployer en une seule semaine ? C'est l'objet de la septième partie, qui conclut la série.

Sources

• Autorité saoudienne des données et de l'intelligence artificielle (SDAIA) : la loi sur la protection des données personnelles (PDPL) et son règlement d'application : champ d'application, base légale du traitement, droits des personnes concernées et obligations des responsables du traitement et des sous-traitants.
• SDAIA : le règlement sur le transfert des données personnelles hors du Royaume et les contrôles associés.
• SDAIA : les guides et outils de conformité publiés à l'intention des responsables du traitement sur les plateformes de l'Autorité.
• Vision saoudienne 2030 : l'économie numérique et le renforcement de la confiance des consommateurs dans les transactions numériques.