Chat en direct sur un site web : les obligations RGPD avant d'installer un widget
Publie le 26/10/2026 · Temps de lecture : 10 min
Une petite bulle en bas a droite de l'ecran, une question « Besoin d'aide ? », et un visiteur qui tape son adresse email avant de poser sa question : le chat en direct (live chat) est devenu l'un des canaux de contact les plus utilises sur les sites de TPE et de PME, souvent installe en quelques minutes via un widget comme Crisp, Tawk.to, Zendesk Chat, Intercom ou LiveChat. Techniquement simple a mettre en place, ce widget n'en reste pas moins un traitement de donnees personnelles a part entiere : il collecte des messages, un email, parfois un nom, et transmet souvent ces informations a un prestataire situe hors de l'Union europeenne. Voici ce que le RGPD impose concretement avant d'en installer un.
Sommaire
- 1. Pourquoi un chat en direct est un traitement de donnees
- 2. Quelles donnees le widget collecte-t-il exactement ?
- 3. Chat en direct et cookies : consentement necessaire ou pas
- 4. Le prestataire est un sous-traitant : le contrat obligatoire
- 5. Transferts hors UE : le point sensible des outils americains
- 6. L'information a afficher avant l'ouverture du chat
- 7. Combien de temps garder l'historique des conversations
- 8. Checklist avant d'installer un widget
- Questions frequentes
1. Pourquoi un chat en direct est un traitement de donnees
Dès qu'un visiteur ecrit un message, qu'il renseigne son email pour recevoir la reponse, ou que le widget enregistre automatiquement la page visitee et l'heure de la conversation, il y a collecte de donnees se rapportant a une personne identifiee ou identifiable : la definition meme du traitement de donnees personnelles posee par l'article 4.1 du RGPD. Le fait que l'outil soit propose « gratuit » ou en quelques clics par un prestataire externe ne change rien a cette qualification : c'est l'editeur du site qui reste responsable de traitement, au sens de l'article 4.7 du RGPD, meme s'il n'a jamais acces au code du widget lui-meme.
Depuis l'entree en application du RGPD en 2018, aucune declaration prealable a la CNIL n'est plus necessaire pour ce type d'outil (les anciennes « normes simplifiees » ont ete supprimees). En contrepartie, le principe de responsabilite (accountability, article 5.2 du RGPD) impose a l'entreprise de pouvoir demontrer elle-meme sa conformite a tout moment, sans attendre un controle.
2. Quelles donnees le widget collecte-t-il exactement ?
Le contenu visible (le message tape par le visiteur) n'est qu'une partie de la collecte. La plupart des solutions de chat en direct enregistrent egalement, de maniere automatique et souvent peu visible dans l'interface de configuration :
- l'adresse IP du visiteur et sa localisation approximative ;
- le systeme d'exploitation, le navigateur et le type d'appareil ;
- les pages consultees avant et pendant la conversation ;
- un identifiant de visiteur qui peut persister entre deux visites si un cookie ou un stockage local est utilise ;
- le cas echeant, l'email ou le nom saisis dans le formulaire pre-chat.
Cette collecte « technique » associee au contenu d'une conversation constitue un profil assez complet du visiteur. C'est precisement ce cumul qui justifie que le chat en direct soit traite avec la meme rigueur qu'un formulaire de contact classique, voire davantage.
3. Chat en direct et cookies : consentement necessaire ou pas
La CNIL exempte de consentement prealable les cookies strictement necessaires a la fourniture d'un service explicitement demande par l'utilisateur. Un cookie qui se limite a memoriser l'identifiant de la conversation en cours, pour que le fil de discussion ne soit pas perdu en changeant de page, peut relever de cette exemption : le visiteur a lui-meme declenche le service en ouvrant le chat.
La situation change si le widget depose un identifiant de suivi avant toute ouverture de conversation, pour reconnaitre le visiteur sur de futures visites ou pour alimenter un outil de marketing automation (relance par email, scoring commercial). Ce type de cookie ne sert plus uniquement a fournir le service demande : il doit alors figurer dans la banniere de consentement, au meme titre qu'un cookie publicitaire ou de mesure d'audience non exempte.
4. Le prestataire est un sous-traitant : le contrat obligatoire
L'editeur du widget (Crisp, Tawk.to, Zendesk, Intercom ou tout autre) traite des donnees personnelles pour le compte de l'entreprise qui l'installe, selon ses instructions : il est donc sous-traitant au sens de l'article 28 du RGPD. Ce statut impose un contrat ecrit precisant notamment l'objet et la duree du traitement, la nature des donnees concernees, les obligations de securite du prestataire et les conditions dans lesquelles il peut lui-meme recourir a un autre sous-traitant.
En pratique, l'entreprise n'a generalement pas a rediger ce contrat elle-meme : les prestataires serieux publient leurs clauses de sous-traitance (souvent appelees Data Processing Agreement ou DPA) directement sur leur site, acceptees automatiquement a la creation du compte ou disponibles sur simple demande. L'important est de pouvoir produire ce document en cas de controle, et de verifier qu'il existe avant de choisir un outil. Le detail des clauses minimales a exiger de tout sous-traitant est explique dans notre article sur les clauses RGPD obligatoires d'un contrat de sous-traitance.
5. Transferts hors UE : le point sensible des outils americains
La majorite des solutions de chat en direct grand public sont editees par des societes americaines (Zendesk, Intercom, Drift, HubSpot) ou hebergent une partie de leur infrastructure aux Etats-Unis. Des que des donnees de visiteurs europeens transitent vers un serveur situe hors de l'Union europeenne, le Chapitre V du RGPD (articles 44 a 49) impose une garantie specifique : une decision d'adequation de la Commission europeenne, des clauses contractuelles types, ou l'adhesion du prestataire au Data Privacy Framework UE-Etats-Unis, le cadre adopte par la Commission europeenne en juillet 2023 pour succeder au Privacy Shield invalide en 2020.
Avant de choisir un outil, il faut donc verifier concretement ou sont hebergees les donnees (certains prestataires, dont Crisp, proposent un hebergement dans l'Union europeenne) et quelle garantie de transfert est mise en avant dans leur documentation RGPD. Notre article sur les transferts de donnees hors UE detaille ces garanties et leurs limites.
6. L'information a afficher avant l'ouverture du chat
L'article 13 du RGPD impose d'informer la personne au moment meme de la collecte, pas seulement dans une politique de confidentialite enfouie ailleurs sur le site. Concretement, un lien ou une mention courte doit etre visible pres du widget de chat (dans le formulaire pre-chat ou dans le premier message automatique), renvoyant vers une information complete : l'identite du responsable de traitement, la finalite exacte (repondre aux demandes des visiteurs), les destinataires des donnees (y compris le prestataire de chat), la duree de conservation et les droits dont dispose la personne.
Cette information peut etre integree a la politique de confidentialite generale du site, a condition que le lien soit accessible directement depuis l'interface de chat, et pas seulement dans le pied de page du site.
7. Combien de temps garder l'historique des conversations
Le RGPD n'impose pas de duree fixe, mais une duree proportionnee a la finalite poursuivie (article 5.1.e). Un echange de service client ponctuel, sans suite commerciale, n'a pas vocation a etre conserve indefiniment : une duree de quelques mois suffit generalement a traiter d'eventuelles reclamations. Si la conversation debouche sur une commande, les messages rattaches a cette commande peuvent suivre la duree de conservation applicable aux documents commerciaux.
Par defaut, de nombreux outils de chat conservent l'historique sans limite de temps definie, sauf parametrage manuel dans les reglages du compte. C'est donc une verification a faire systematiquement a l'installation, et non un point a laisser au reglage usine du prestataire.
Centralisez la conformite de tous vos outils tiers
ConformiteFacile vous aide a suivre vos sous-traitants, vos durees de conservation et votre banniere de consentement en un seul endroit, sans jargon juridique.
Decouvrir les tarifs8. Checklist avant d'installer un widget de chat
- Verifier que le prestataire publie un contrat de sous-traitance (DPA) accessible ;
- Identifier le lieu d'hebergement des donnees et la garantie de transfert hors UE applicable ;
- Reduire la duree de conservation par defaut des conversations dans les reglages du compte ;
- Ajouter une mention d'information visible pres du widget, renvoyant vers la politique de confidentialite ;
- Classer les cookies deposes par le widget (exemptes ou soumis a consentement) et les integrer a la banniere si necessaire ;
- Ajouter le prestataire a son registre des traitements et a la liste des sous-traitants.
Questions frequentes
Un widget de chat en direct necessite-t-il un bandeau de consentement cookies ?
Cela depend de ce que fait le cookie depose par le widget. Un cookie qui se limite a memoriser l'identifiant de conversation en cours, pour permettre de reprendre l'echange en changeant de page, peut relever de l'exemption "service demande explicitement par l'utilisateur" prevue par la CNIL. En revanche, si le meme cookie sert aussi a suivre le visiteur avant toute conversation, a le reidentifier sur de futures visites ou a alimenter un outil marketing (relance automatique, scoring), il sort du cadre de l'exemption et doit etre inclus dans la banniere de consentement comme n'importe quel cookie non essentiel.
Puis-je utiliser Crisp, Tawk.to, Zendesk Chat ou Intercom sans risque particulier ?
Ces outils sont utilisables, mais aucun n'est "conforme RGPD" par defaut : la conformite depend de la maniere dont vous les configurez et dont vous informez vos visiteurs. Verifiez systematiquement trois points avant de choisir un prestataire : l'existence d'un contrat de sous-traitance (souvent appele Data Processing Agreement ou DPA, accessible dans les parametres du compte ou sur demande), le lieu d'hebergement des donnees, et la duree de conservation par defaut des conversations, que vous pouvez generalement raccourcir dans les reglages.
Dois-je signer un contrat specifique avec mon prestataire de chat en direct ?
Oui. L'editeur du widget traite des donnees personnelles (messages, email, parfois nom) pour votre compte : il est juridiquement votre sous-traitant au sens de l'article 28 du RGPD, meme si vous n'avez signe aucun papier specifique. En pratique, la plupart des prestataires serieux font accepter leurs conditions de sous-traitance automatiquement a la creation du compte, mais vous devez pouvoir produire ce document en cas de controle de la CNIL : il figure generalement dans une page "DPA" ou "Conformite RGPD" du site du prestataire.
Combien de temps conserver l'historique des conversations de chat ?
Le RGPD n'impose pas de duree chiffree uniforme : il impose une duree proportionnee a la finalite. Pour un simple echange de service client sans suite commerciale, quelques mois (par exemple 6 a 12 mois) suffisent generalement a traiter d'eventuelles reclamations. Si la conversation debouche sur une vente, les echanges rattaches a la commande peuvent suivre la duree de conservation applicable aux documents commerciaux et comptables. Dans tous les cas, la duree doit etre definie a l'avance et appliquee de maniere automatique, pas laissee par defaut au parametrage du prestataire.
Un chatbot avec intelligence artificielle change-t-il les regles applicables ?
Les obligations RGPD de base restent identiques : information des personnes, base legale, duree de conservation, contrat de sous-traitance. Un chatbot IA ajoute un point de vigilance supplementaire si les messages des visiteurs sont utilises pour entrainer un modele ou transmis a un fournisseur d'IA tiers : cela doit etre indique explicitement dans l'information donnee au visiteur, et le contrat avec le fournisseur doit preciser que les conversations ne servent pas a l'entrainement de modeles partages avec d'autres clients, sauf accord exprès.
A lire aussi
Hotjar, Microsoft Clarity : ce que le RGPD impose avant d'installer un outil d'enregistrement de session
Lire
Google Fonts, reCAPTCHA, cartes et videos integrees : les risques RGPD caches des scripts tiers
Lire