RGPD et données
de réservation de salles

Réponse courte : la plupart des plateformes de réservation de salles font transiter vos données d'agenda et de réunion par leurs propres serveurs cloud, ce qui ajoute un tiers — et une surface de conformité — à chaque réservation. Une application 100 % locale qui parle directement aux serveurs de Google ou de Microsoft depuis l'appareil lui-même supprime entièrement cette couche intermédiaire, ce qui simplifie considérablement le tableau RGPD pour les organisations basées dans l'UE ou servant des clients européens.

La protection des données est rarement l'argument phare du marketing des écrans de salle, mais pour les organisations soumises au RGPD, c'est une vraie question d'architecture qui mérite d'être comprise avant de s'engager sur une plateforme.

Comment fonctionnent réellement la plupart des SaaS de réservation de salles

Une plateforme cloud de réservation de salles typique fonctionne ainsi :

1. Votre plateforme d'agenda (Google Workspace ou Microsoft 365) détient les données de réservation réelles
2. Les serveurs du fournisseur de réservation se connectent à votre agenda via API, récupèrent les données et les stockent ou les mettent en cache sur leur propre infrastructure
3. Leurs serveurs poussent les données vers l'écran
4. Les analyses, l'historique d'enregistrement et les schémas d'utilisation sont souvent stockés sur les serveurs du fournisseur pour alimenter les tableaux de bord

C'est cette étape intermédiaire — des serveurs du fournisseur détenant une copie des données de réunion de votre organisation — qui concentre l'essentiel de la complexité RGPD : accords de traitement des données, listes de sous-traitants, questions de résidence des données et obligations de notification de violation remontent tous à ce tiers dans la chaîne.

Comment fonctionne une application 100 % locale

Une application véritablement locale saute entièrement le serveur intermédiaire :

1. L'appareil s'authentifie directement auprès de Google ou de Microsoft via OAuth
2. Il communique directement avec les propres API de Google ou de Microsoft pour lire et écrire les données d'agenda
3. Aucun serveur tiers du fournisseur ne détient ni ne traite jamais de copie de ces données — elles n'existent que sur l'appareil (brièvement, le temps de l'affichage) et dans les systèmes avec lesquels vous avez déjà une relation de traitement des données

Pourquoi c'est important, spécifiquement au regard du RGPD

Les obligations centrales du RGPD tournent en grande partie autour de qui traite les données personnelles, où, et sous quel accord. Les intitulés de réunion, les noms d'organisateurs et les listes de participants sont des données personnelles selon la plupart des interprétations. Chaque sous-traitant supplémentaire dans la chaîne, c'est :

• Un accord de traitement des données de plus à examiner et à maintenir
• Une entrée de plus dans vos évaluations de sous-traitants et de risque fournisseur
• Une partie de plus dont les pratiques de sécurité et l'historique de violations deviennent votre exposition
• Potentiellement une juridiction de plus à prendre en compte pour la résidence des données, selon la localisation des serveurs de ce fournisseur

Une architecture 100 % locale a, par construction, un sous-traitant de moins dans cette chaîne — parce que le « traitement » a lieu directement entre l'appareil et la plateforme d'agenda que vous avez déjà auditée et contractualisée (Google ou Microsoft), sans troisième intermédiaire.

Ce qu'il faut réellement vérifier avant de supposer « 100 % local »

Tout produit vendu comme simple ou léger n'est pas nécessairement 100 % local. Avant d'en faire un argument de conformité, vérifiez :

• La politique de confidentialité du fournisseur affirme-t-elle explicitement qu'il n'opère aucun serveur et n'a aucun accès à vos données ?
• L'authentification passe-t-elle par OAuth standard (jetons stockés de manière sécurisée sur l'appareil) plutôt que par un fournisseur détenant vos identifiants de compte de service ?
• Les fonctions d'analyse ou d'historique d'utilisation, s'il y en a, sont-elles calculées sur l'appareil plutôt qu'envoyées vers un tableau de bord du fournisseur ?

Le compromis à connaître

Une architecture 100 % locale signifie généralement l'absence de tableau de bord analytique centralisé hébergé par le fournisseur sur l'ensemble de votre parc de salles, puisqu'aucun serveur n'agrège ces données. Si des analyses d'espace de travail multi-sites sont une exigence, cela implique en général une plateforme cloud avec un accord de traitement des données en bonne et due forme — un choix légitime, simplement différent, avec une conversation de conformité différente à la clé.

FAQ

Utiliser une app de réservation de salles ajoute-t-il des obligations RGPD au-delà de Google ou Microsoft ? Seulement si l'app fait transiter vos données d'agenda par ses propres serveurs — une app 100 % locale qui parle directement aux API de Google ou de Microsoft n'introduit aucun sous-traitant supplémentaire.

Les données de réunion sont-elles des données personnelles au sens du RGPD ? En général, oui — les intitulés de réunion, les noms d'organisateurs et les informations sur les participants peuvent constituer des données personnelles, et c'est pourquoi le nombre de sous-traitants qui les manipulent compte.

Peut-on quand même obtenir des statistiques d'utilisation avec un écran 100 % local ? Souvent, oui, mais calculées et affichées sur l'appareil plutôt qu'agrégées sur un serveur du fournisseur — les tableaux de bord multi-sites nécessitent en général une plateforme cloud.

The Room Display fonctionne sans aucun serveur propre — il se connecte directement, d'appareil à appareil, à votre compte Google Workspace ou Microsoft 365, sans fournisseur intermédiaire.