Zapier est-il conforme au RGPD ?

Aucun outil n'est « conforme » à votre place : c'est votre usage qui doit l'être. Zapier indique héberger les données aux États-Unis, être certifié au cadre de protection des données UE–États-Unis, et proposer un accord de traitement des données contenant des clauses contractuelles types.

Peut-on héberger ses automatisations en Europe ?

Oui. Make propose un centre de données dans l'Union européenne, à choisir à la création de l'organisation. n8n Cloud indique héberger les données dans l'Union européenne. n8n et Activepieces peuvent aussi être installés sur un serveur que vous choisissez.

Zapier, Make, n8n et RGPD : où vont vos données

Un outil d'automatisation voit passer tout ce qu'il transporte : les mails qu'il trie, les formulaires qu'il recopie, les factures qu'il lit. Pour le règlement général sur la protection des données (RGPD), il agit donc le plus souvent comme sous-traitant de votre entreprise. Et quand une étape fait appel à un modèle d'intelligence artificielle (IA), les données passent aussi chez le fournisseur de ce modèle. Voici ce que disent les éditeurs sur l'endroit où ils hébergent les données, lu sur leurs pages le 15/11/2026, et les points à vérifier. Cette page explique les règles ; pour votre situation, voyez votre délégué à la protection des données ou un juriste.

Ce que dit le RGPD

L'article 28 du RGPD impose au responsable du traitement (votre entreprise) de faire « uniquement appel à des sous-traitants qui présentent des garanties suffisantes ». Le traitement par un sous-traitant est « régi par un contrat ou un autre acte juridique », qui prévoit notamment que le sous-traitant ne traite les données « que sur instruction documentée », assure leur sécurité, encadre le recours à d'autres sous-traitants, et supprime ou renvoie les données à la fin de la prestation.

Si les données sortent de l'Union européenne, il faut en plus un encadrement du transfert. La Commission nationale de l'informatique et des libertés (CNIL) cite d'abord la décision d'adéquation de la Commission européenne pour un pays, puis les clauses contractuelles types, dont les modèles ont été mis à jour le 04/06/2021.

Où les éditeurs hébergent les données

Outil	Ce que dit l'éditeur
Zapier	« Zapier hosts data in AWS servers located in the United States. » (AWS : Amazon Web Services) À la question d'un stockage limité à l'Union européenne : « Zapier does not support this option. » Zapier se dit certifié au cadre de protection des données UE–États-Unis (Data Privacy Framework) et son accord de traitement des données contient des clauses contractuelles types. Il ne signe pas les accords rédigés par d'autres entreprises.
Make	Deux centres de données, États-Unis ou Union européenne, à choisir à la création de chaque organisation. « You cannot change the location of the data center after you create the organization. »
n8n Cloud	« n8n cloud uses Microsoft Azure for hosting. » Le matériel et les données sont « currently hosted in the European Union », avec des sauvegardes dans une autre région du même pays. n8n publie un accord de traitement des données pré-signé.
n8n ou Activepieces auto-hébergés	Sur le serveur que vous choisissez : c'est vous qui en répondez.
Power Automate (Copilot)	Dans les régions sans processeurs graphiques, Microsoft active Copilot par défaut en activant le partage de données entre régions. On le désactive au niveau du client, dans le centre d'administration Power Platform.
Google Workspace Studio	Un agent n'accède qu'aux données auxquelles l'utilisateur a droit ; les données consultées ne servent pas à entraîner les modèles généraux de Google hors du domaine du client, selon la FAQ de la page.

Combien de temps elles restent

L'historique des exécutions contient souvent les données elles-mêmes. Zapier conserve jusqu'à 69 jours de contenu et d'historique des Zaps ; ses clients Company et Enterprise peuvent régler une durée de 7 à 30 jours. Sur n8n Cloud, les journaux sont gardés 7 jours en Starter et 30 jours en Pro (voir prix de n8n). En auto-hébergé, vous réglez vous-même ce qui est enregistré.

Le maillon qu'on oublie : le modèle d'IA

Une étape « résumer », « classer » ou « extraire » envoie le texte à un modèle d'IA. Deux cas :

l'outil fournit le modèle (AI by Zapier, fournisseur d'IA de Make, crédits d'IA de n8n) : les données passent par le prestataire choisi par l'éditeur, selon ses conditions ;
vous branchez votre propre clé : les données vont chez le fournisseur que vous avez choisi, selon le contrat que vous avez avec lui.

Dans les deux cas, ce fournisseur fait partie de la chaîne à documenter.

La liste de vérification

Cartographiez le flux : quelles données entrent, par quelles étapes elles passent, où elles finissent.
Minimisez : ne transmettez à l'étape d'IA que les champs dont elle a besoin (le texte d'une demande, pas le dossier client entier).
Choisissez la région quand l'outil le permet, avant de créer votre espace (Make ne permet pas d'en changer après).
Récupérez l'accord de traitement des données de l'outil et celui du fournisseur d'IA.
Réglez la conservation de l'historique au plus court utile.
Documentez le flux (données, outils, fournisseurs, durées) et tenez ce document à jour à chaque modification.
Limitez les accès : une connexion par boîte ou par dossier, pas un accès à tout le compte.

Pour la méthode générale d'évaluation d'un fournisseur, voyez qualifier un fournisseur d'IA et les points RGPD à vérifier sur un outil d'IA.