RGPD pour un indépendant : le minimum utile, outil par outil

Publié le 30 octobre 2026 · Lecture : 7 min

Tu es freelance, tu as un fichier clients, une newsletter, un outil de prise de rendez-vous et un espace de stockage en ligne. Sans le savoir, tu tiens déjà plusieurs « traitements de données personnelles » au sens du RGPD, et chacun de tes outils est un sous-traitant. Ce guide te donne le minimum utile : un registre prérempli à adapter, ce qu'il faut vérifier chez chaque outil, et ce que ton site doit afficher.

Pourquoi le registre te concerne même seul

Le seuil de 250 salariés est souvent mal compris. En dessous, le registre des traitements reste obligatoire dès que tu fais un traitement non occasionnel : la gestion des clients, des prospects ou des fournisseurs en fait partie, de même qu'un traitement risqué pour les personnes ou portant sur des données sensibles (Service Public Entreprendre, fiche vérifiée le 26 avril 2024). Un indépendant qui suit ses clients d'une mission à l'autre est donc concerné.

Le registre n'a pas de format imposé : il doit être écrit, sur papier ou en fichier. Un tableur suffit. Tes outils, eux, tiennent leur propre registre en tant que sous-traitants, ce qui ne te dispense pas du tien.

Ton registre prérempli, traitement par traitement

Une fiche par traitement, avec ces rubriques : responsable (toi), personnes concernées, catégories de données, finalité, destinataires et sous-traitants, durée de conservation, mesures de sécurité, transfert hors UE. Voici une base pour un freelance type. Remplace les noms d'outils par les tiens et fixe toi-même les durées : aucune n'est donnée ici, car elles dépendent de ta situation.

Traitement	Personnes et données	Base légale	Sous-traitants à inscrire	À compléter
Gestion des clients, devis et factures	Clients et leurs contacts : identité, coordonnées, historique des missions, éléments de facturation	Exécution du contrat ; obligations légales pour la facturation	CRM, logiciel de facturation, stockage	Durée : celle de la relation, puis celle de tes obligations comptables (à vérifier avec ton comptable)
Prospection et newsletter	Prospects et abonnés : nom, e-mail, historique d'envoi et de désinscription	Consentement (sauf clients déjà acquis, pour des services similaires)	Outil d'e-mailing	Preuve du consentement, durée, transfert hors UE éventuel
Prise de rendez-vous	Personnes qui réservent : nom, e-mail, créneau, réponses au formulaire	Mesures précontractuelles à la demande de la personne	Outil de réservation, agenda connecté	Durée, questions du formulaire réellement utiles
Stockage des dossiers clients	Contacts présents dans les documents de mission	Exécution du contrat	Service de stockage en ligne	Qui a accès, sauvegardes, suppression en fin de mission
Formulaire de contact du site	Visiteurs : nom, e-mail, message	Réponse à leur demande	Hébergeur du site, outil de formulaire	Durée, interdiction de réutiliser l'e-mail pour ta newsletter sans accord

Les bases légales ci-dessus reprennent la logique de la fiche officielle : le consentement n'est pas systématique, mais il est requis pour la prospection électronique, sauf si la personne est déjà cliente et que tu lui proposes des services similaires (Service Public Entreprendre, 2024). La colonne « Sous-traitants » est celle qu'on oublie le plus : c'est elle qui te pousse à contrôler chaque outil.

Tes outils sont des sous-traitants : les 5 vérifications

Un hébergeur, un service d'envoi d'e-mails ou un outil de rendez-vous traite les données pour ton compte. Tu dois choisir des prestataires offrant des garanties suffisantes et être lié à eux par un contrat qui fixe l'objet, la durée, la finalité du traitement et les obligations de chacun (Service Public Entreprendre, 2024). Chez les éditeurs, ce contrat s'appelle souvent DPA (Data Processing Agreement).

Le contrat existe-t-il, et comment s'applique-t-il ? Intégré aux conditions d'utilisation, ou à signer à part. Garde une copie datée dans ton dossier RGPD.
Où sont hébergées les données ? Dans l'UE, ou dans un autre pays.
Si c'est hors UE, sur quelle base ? Décision d'adéquation de la Commission européenne, ou garanties comme les clauses contractuelles types. La CNIL publie la liste des pays adéquats.
Qui sont ses propres sous-traitants ? Ton prestataire doit t'en informer et te permettre de t'y opposer.
Que deviennent les données à la fin ? Le contrat doit prévoir leur restitution et leur destruction.

Quatre outils du catalogue passés au crible

Ce tableau reprend uniquement ce que les éditeurs indiquent sur leurs propres pages. Vérifie-le à nouveau au moment où tu t'abonnes : ces informations changent.

Usage	Outil	Contrat de sous-traitance	Hébergement	À noter dans ton registre
E-mailing	Brevo	Section DPA en fin de ses conditions générales d'utilisation	Serveurs situés dans l'Union européenne, selon son centre d'aide	Pas de transfert hors UE annoncé pour le stockage
Prise de rendez-vous	Calendly	DPA publié sur son site, intégré à ses conditions clients, avec clauses contractuelles types	Centres de données aux États-Unis	Transfert hors UE à mentionner ; l'éditeur fournit sur demande une FAQ pour l'analyse d'impact du transfert
CRM	HubSpot	DPA publié sur son espace juridique	Centres de données dans l'UE, au Canada, en Australie et aux États-Unis. Les comptes n'utilisant que l'offre gratuite sont affectés aux États-Unis	Vérifie l'emplacement dans les paramètres du compte (rubrique « Account Defaults », onglet « Data Hosting » dans l'interface en anglais) ; la migration est gratuite pour les clients payants
Stockage	kDrive (Infomaniak)	Accord sur le traitement des données décrivant ses engagements de sous-traitant	Centres de données situés exclusivement en Suisse	La Suisse est hors UE : vérifie son statut sur la liste des pays adéquats de la CNIL ; un DPO est joignable chez l'éditeur

Le cas HubSpot illustre un piège fréquent : beaucoup d'indépendants démarrent avec l'offre gratuite d'un outil américain et supposent que l'option d'hébergement européen s'applique à eux. Regarde le réglage de ton compte plutôt que la page marketing.

Ce que ton site doit afficher

Les mentions légales

Ton identité (nom et prénom avec la mention « EI » si tu es en entreprise individuelle, ou dénomination, forme et capital pour une société), tes coordonnées, ton numéro d'immatriculation, ton numéro de TVA s'il s'applique, et le nom, l'adresse et le téléphone de ton hébergeur. L'absence de ces mentions est punie de 75 000 € d'amende pour une entreprise individuelle et de 375 000 € pour une société (Service Public Entreprendre, fiche vérifiée le 13 octobre 2026).

La politique de confidentialité

Une page distincte de tes CGV ou CGU, accessible depuis chaque page, qui reprend en clair ton registre : qui tu es, quelles données, pourquoi, sur quelle base, qui les reçoit (tes sous-traitants), combien de temps, les droits des personnes et comment les exercer, le droit de saisir la CNIL, et les transferts hors UE, par exemple vers ton outil de rendez-vous. Ne pas informer les personnes est puni d'une amende pénale de 1 500 € pour un entrepreneur individuel et de 7 500 € pour une société (Service Public Entreprendre, 2024).

Les cookies des outils intégrés

Un module de réservation ou un lecteur vidéo intégré à ton site peut déposer ses propres cookies. Recense-les, demande l'accord avant ceux qui l'exigent, rends le refus aussi simple que l'acceptation et laisse un lien « Gérer mes cookies » sur toutes les pages (Service Public Entreprendre, fiche vérifiée le 13 octobre 2026).

Quand quelqu'un exerce ses droits

Pour une demande d'accès, tu as 1 mois à compter de sa réception pour répondre, gratuitement, même si tu n'as aucune donnée sur la personne (Service Public Entreprendre, 2024). Avec plusieurs outils, l'enjeu est de savoir où chercher : ton registre sert alors de carte. Note dans chaque fiche comment exporter ou supprimer un contact dans l'outil concerné.

Les erreurs fréquentes

Croire que le registre ne vise que les grandes entreprises. Un fichier clients suivi dans la durée suffit à le rendre obligatoire.
Oublier les outils gratuits. Une offre gratuite reste un sous-traitant, avec parfois un hébergement différent de l'offre payante.
Réutiliser les e-mails du formulaire de contact pour la newsletter. Ce sont deux finalités différentes.
Copier une politique de confidentialité générique. Elle doit citer tes vrais sous-traitants et tes vrais transferts hors UE.
Ne pas garder trace du contrat accepté. Les conditions évoluent ; conserve la version en vigueur quand tu t'es abonné.
Mélanger mentions légales et confidentialité dans les CGV. La politique de confidentialité doit être une page à part.

Pour faire le point en quelques minutes, l'administration propose EvalRGPD, un autodiagnostic gratuit, et la CNIL met à disposition des modèles de registre.

Sources officielles

Ce guide est informatif et ne remplace pas l'avis d'un professionnel. Les règles et les montants évoluent : vérifie sur les sites officiels avant toute démarche. Dernière vérification : 30 octobre 2026.