Données clients et IA dans un CRM : questions à poser

Un CRM contient les noms, les adresses, les échanges et les projets de vos clients. Quand l'éditeur ajoute une fonction d'IA, ces données peuvent passer par un autre traitement que la simple consultation. La question n'est donc plus seulement « où sont stockées mes données ? » mais aussi « qu'en fait l'éditeur quand il fait tourner son IA ? ».

Cette page résume ce que disent trois éditeurs dans leurs politiques de confidentialité, lues le 15/11/2026. Ce n'est pas un avis juridique. Elle sert à préparer les questions à poser avant de signer.

Ce que dit HubSpot

La politique de confidentialité de HubSpot, datée du 16/09/2026 (« Last Modified: September 16, 2026 »), contient trois passages qui comptent :

• Dans la section sur les traitements, HubSpot indique qu'il peut traiter des données personnelles « to develop, support, and improve HubSpot AI features », et « to train our AI models and similar products and services that rely on machine learning ».
• Pour les données de ses clients, HubSpot se présente comme sous-traitant : il stocke et traite les informations « about and on behalf of our customers ». La politique ne dit pas si les données clients peuvent servir à entraîner l'IA. Elle renvoie au client sur ce point.
• Les prestataires de HubSpot ne peuvent utiliser les données personnelles que pour les finalités prévues. La politique ne nomme pas de prestataire d'IA.

La politique ne prévoit pas d'option spécifique pour désactiver l'usage des données par l'IA. Le droit général d'opposition est mentionné, mais pour les données d'un client, la politique indique de contacter directement ce client.

Ce que dit Zoho

La politique de Zoho, dont la version lue est datée du 22/12/2025 (« Last updated on: 22nd Dec 2025 »), comporte une section sur l'automatisation et l'IA. Zoho y écrit qu'il fait « only the following limited use of service data for these technologies ». Il décrit deux usages :

• utiliser des extraits anonymisés de données de service pour améliorer ses algorithmes ;
• utiliser les données d'une organisation pour développer des modèles propres à cette organisation : « using your organization's data for developing models specific for your organization ».

Zoho indique aussi que ses technologies d'IA reposent surtout sur ses propres données internes. Il affirme que le client est propriétaire de ses données de service et qu'il ne les traite que selon ses instructions.

La politique ne cite pas le nom de l'assistant Zia. Elle ne dit pas explicitement si les données clients servent à entraîner des modèles généraux, ni si un refus est possible. Zoho indique pour ces questions l'adresse privacy@zohocorp.com.

Ce que dit Salesforce

La politique de confidentialité de Salesforce, en vigueur à compter du 19/05/2026, contient une phrase sur l'IA : Salesforce peut utiliser l'intelligence artificielle pour traiter les données personnelles qu'il traite en tant que responsable du traitement. La politique précise que ce passage ne s'applique pas aux données que le client soumet volontairement dans ses services.

Pour les données clients, Salesforce se présente comme sous-traitant, et renvoie à un addendum sur le traitement des données (DPA), qui n'est pas reproduit dans la page. La politique indique aussi que des prestataires peuvent fournir des capacités d'IA. Elle ne dit pas si les données clients servent à entraîner des modèles.

Ce que cela veut dire

Dans les trois cas, la réponse complète n'est pas dans la politique publique. Elle se trouve dans le contrat de sous-traitance (le DPA), dans les paramètres du compte, ou dans une réponse écrite de l'éditeur. Une politique générale ne suffit pas à dire que vos données ne serviront pas à l'IA.

Deux points sont à retenir :

• HubSpot dit clairement qu'il peut entraîner ses modèles avec des données personnelles qu'il traite ; la question pour vos clients est de savoir si cela inclut leurs données de CRM.
• Zoho décrit un usage limité et précise deux cas, dont l'un utilise les données d'une organisation pour un modèle propre à cette organisation. Demandez si ce modèle est partagé ou non.

Questions à poser avant de signer

Envoyez ces questions par écrit, et gardez la réponse :

1. Mes données clients servent-elles à entraîner les modèles d'IA de l'éditeur, ou seulement à me fournir le service ?
2. Puis-je désactiver les fonctions IA qui traitent mes données, par formule ou par fonction ?
3. Le contrat de sous-traitance (DPA) est-il signé avant l'activation, et où peut-on le lire ?
4. Quels prestataires d'IA interviennent, et dans quel pays sont hébergées les données ?
5. Quelle durée de conservation s'applique aux données de mon compte, et aux enregistrements de mes appels ou de mes échanges ?
6. Que se passe-t-il pour les données si je résilie le contrat ? Puis-je les exporter ?
7. Comment traitez-vous une demande d'effacement ou d'opposition de l'un de mes clients ?

Pour la durée de conservation, la CNIL rappelle, dans sa page sur le sujet lue le 15/11/2026, que « les données personnelles ne peuvent pas être conservées indéfiniment » et que la durée se fixe en fonction de la finalité. Cette règle s'applique à votre CRM comme à votre fichier papier.

Ce qu'on fait en interne

Même avec un éditeur sérieux, la protection des données dépend aussi de vos pratiques :

• ne saisissez pas de données sensibles dans les champs libres, comme un état de santé ou une situation familiale ;
• limitez les droits d'accès : un stagiaire n'a pas besoin de voir tout le fichier ;
• tenez un registre simple : quels traitements, quelles données, quelle durée ;
• formez l'équipe à ne pas coller les fiches clients dans un outil d'IA non validé.

Si un incident a déjà eu lieu, par exemple une fiche client collée dans le mauvais outil, prévenez le délégué à la protection des données sans attendre.

Ce que cette page ne dit pas

• Les réponses des éditeurs à nos questions : nous ne les avons pas, et nous ne les supposons pas.
• Les pratiques de Pipedrive : les adresses de politique de confidentialité testées renvoient une erreur lors de la lecture.
• Les obligations précises de votre entreprise. Pour cela, voir votre délégué à la protection des données.

Pour l'enrichissement des fiches, voir la page enrichissement de contacts et RGPD. Pour choisir l'outil, voir un CRM avec IA pour une PME.