TL;DR• Un helpdesk e-commerce conforme au RGPD se juge sur trois points : où sont stockés les tickets, où l'IA traite les messages, et quels sous-traitants y accèdent.
• Achille Helpdesk est hébergé en Europe et conforme RGPD : les traitements sont opérés sur Google Cloud Platform, région europe-west9, avec des LLMs exécutés dans l'Union européenne.
• Vos données ne servent jamais à entraîner des modèles tiers, et l'export reste possible à tout moment et sans frais.
• Transferts hors UE : une décision d'adéquation (les États-Unis le sont pour les organisations adhérant au Data Privacy Framework) ou des clauses contractuelles types restent nécessaires. Demandez la liste des sous-traitants.
Choisir un helpdesk e-commerce RGPD, c'est répondre à une question simple en apparence : où vont les messages, et donc les données personnelles, de vos clients ?
Avec l'IA, la réponse se dédouble, car les tickets sont stockés à un endroit et lus par un modèle à un autre.
Ce guide compare les réponses des principaux outils, Achille Helpdesk en tête, et vous donne la checklist à envoyer à tout fournisseur avant de signer.
Les pages publiques des éditeurs ont été relevées le 26 août 2026, le cadre juridique vérifié en octobre 2026.
Quel helpdesk e-commerce héberge les données et l'IA en Europe, conformément au RGPD ?
Achille Helpdesk héberge en Europe à la fois les tickets et l'IA qui y répond.
Les traitements sont opérés sur Google Cloud Platform, région europe-west9, avec des LLMs exécutés dans l'Union européenne.
La réponse longue tient en une distinction : « hébergé en Europe » ne veut pas toujours dire « traité en Europe ».
Pour un helpdesk avec IA, trois couches se paramètrent séparément : le stockage des tickets, l'inférence du modèle et les journaux techniques.
Un outil peut être clair sur la première et muet sur les deux autres.
Le RGPD (règlement général sur la protection des données) n'interdit pas les transferts de données à caractère personnel hors de l'Union européenne, il les encadre.
La vraie question est donc double : savez-vous où passent vos données, et sur quelle base juridique ?
Les trois couches à vérifier : tickets, IA, journaux
Une page marketing qui affiche « RGPD » ne couvre souvent que la première couche.
Voici ce que chacune recouvre, et ce qu'il faut lire pour la vérifier.
Où sont stockés les tickets
C'est la couche la mieux documentée : la région du datacenter qui conserve les conversations, les pièces jointes et les fiches clients.
Pour un helpdesk e-commerce, elle inclut aussi le contexte de commande remonté depuis Shopify, PrestaShop ou WooCommerce.
Deux points à vérifier d'abord : la région européenne est-elle le réglage par défaut, ou une option payante ?
Peut-on la changer après la création du compte sans tout recréer ?
Où l'IA traite les messages (inférence)
L'inférence, c'est le moment où le modèle de langage lit le ticket et rédige la réponse.
Elle se configure à part du stockage, et elle est rarement documentée.
Un compte stocké à Dublin peut appeler un modèle exécuté aux États-Unis.
Demandez donc, modèle par modèle, la région d'exécution.
Demandez aussi si le routage peut basculer vers une autre région en cas de forte charge ou de panne.
Journaux, sous-traitants et durée de conservation
Logs de production, outils d'observabilité, analytics, facturation : c'est la couche des exceptions.
Elle figure en général dans une annexe du DPA ou dans la liste des sous-traitants ultérieurs, rarement sur la page produit.
Cette liste est le document le plus utile de tout le dossier.
Pour chaque sous-traitant, elle doit donner l'entité juridique, le pays de traitement et la finalité.
Ajoutez-y la durée de conservation par catégorie : tickets, pièces jointes, journaux, index de la base de connaissances.
Faites enfin préciser par écrit si vos conversations servent à entraîner des modèles, chez l'éditeur comme chez ses fournisseurs.
Achille Helpdesk : tickets et IA traités en Europe
Achille Helpdesk est le helpdesk conçu pour l'e-commerce, où votre équipe et Achille AI traitent les demandes clients au même endroit.
L'e-mail, le chat de la boutique, WhatsApp, Instagram, Messenger et les formulaires de contact arrivent dans la même file.
Pour la question des données, c'est un avantage de structure : les tickets et l'IA qui y répond relèvent d'un même fournisseur.
Vous avez donc un DPA, une liste de sous-traitants et une réponse à la question « où ? », au lieu de deux.
Hébergement et traitements en Europe
Le site d'Achille l'affiche sans détour : « Hébergé en Europe », « Conforme RGPD », « DPA sur demande ».
L'hébergement européen est le réglage par défaut, pas une option à activer.
Les conditions générales précisent le reste : « Le Service s'appuie sur des LLMs (Large Language Models), exécutés dans l'Union européenne. »
Elles ajoutent : « Les traitements sont opérés sur Google Cloud Platform, région europe-west9. »
Les mêmes conditions nomment les sous-traitants : Google Cloud Platform pour l'hébergement, Microsoft Azure (Azure OpenAI Service) pour les modèles.
S'y ajoutent Sentry et Datadog pour l'observabilité, et Twilio SendGrid pour l'envoi des e-mails.
Vos données servent uniquement à vos tickets
Le principe est écrit noir sur blanc : « Vos données sont utilisées uniquement pour répondre à vos tickets. »
Elles ne sont jamais utilisées pour entraîner des modèles tiers, et les conversations sont chiffrées en transit et au repos.
Un DPA est fourni à la signature.
La Tour de contrôle complète ce volet du côté de la supervision.
Chaque action du workflow est listée avec sa durée, et un tag par ticket indique si l'IA l'a traité seule ou si un agent a pris le relais.
Pour chaque type de ticket, vous choisissez le niveau d'autonomie accordé à Achille AI et vos propres règles d'escalade.
En mode copilote, l'agent reçoit une ébauche prête à envoyer : utile quand un remboursement doit rester validé par un humain.
Réversibilité : export sans frais, boîte e-mail jamais lue
L'export de vos données est possible « à tout moment et sans frais », « dans un format structuré et couramment utilisé, pièces jointes comprises ».
C'est une clause à vérifier avant de signer, pas au moment de partir.
Côté e-mail, la réception passe par une redirection vers une adresse hébergée sur le domaine in.achille.ai.
Achille AI n'accède à aucun moment à votre boîte, et vous pouvez couper la redirection quand vous le souhaitez.
Pour envoyer depuis votre propre adresse, vous ajoutez des enregistrements DNS d'authentification (CNAME DKIM).
Ils n'emportent ni délégation des enregistrements MX, ni transfert du domaine, ni accès à votre messagerie.
Les autres helpdesks et IA de service client face à ces questions
Voici ce que disent les pages publiques de chaque éditeur, relevées le 26 août 2026, sans jugement.
Quand une information n'est pas publiée, nous l'indiquons : c'est déjà une réponse pour l'acheteur.
Gorgias
- Stockage : Google Cloud Platform, listé « US, EU, Australie » dans la liste des sous-traitants ; le DPA ne fixe pas de localisation
- IA : OpenAI (États-Unis), unique fournisseur de LLM de la liste mise à jour le 30/03/2026
- Transferts : le DPA renvoie aux clauses contractuelles types pour les flux hors EEE
Zendesk
- Stockage : neuf régions AWS, dont l'Irlande et Francfort, via l'add-on Data Center Location, gratuit à partir de Suite Professional
- Exceptions : la politique d'hébergement régional exclut notamment les transcriptions vocales, les logs de production et les données ML et analytics
- IA : endpoints « zero data retention » annoncés et entraînement exclu par contrat ; la région d'inférence n'est pas publiée
Fin (Intercom)
- Stockage : États-Unis par défaut, option UE à Dublin (AWS eu-west-1) choisie à la création de l'espace de travail
- Exceptions : la facturation, les données d'administration et les métadonnées d'usage restent traitées aux États-Unis
- Sous-traitants IA : la liste mise à jour le 25/06/2026 cite OpenAI, Google et Microsoft (États-Unis et UE), et Anthropic (États-Unis uniquement)
Yuma, Klark, Crescendo et Onepilot
- Yuma : la politique de confidentialité (juillet 2026) prévoit un traitement possible « aux États-Unis et dans d'autres juridictions », avec le Data Privacy Framework comme mécanisme de transfert
- Klark : la page sécurité annonce « toutes nos données en Europe » et une anonymisation avant envoi aux LLM (GPT-5, Mistral Large, Claude 4.5)
- Crescendo : sous-traitants tous listés aux États-Unis (liste du 14/07/2026), sans option de résidence européenne documentée
- Onepilot : localisation et sous-traitants non publiés sur les pages consultées ; certification ISO/IEC 27001:2022 affichée
Ce relevé montre un schéma récurrent : la plupart des éditeurs documentent le stockage, peu documentent l'inférence.
Et quand le helpdesk et l'IA viennent de deux fournisseurs, vous signez deux DPA et suivez deux listes de sous-traitants.
Le cadre juridique en bref
Le RGPD autorise les transferts hors de l'Union et de l'EEE s'ils sont encadrés par les outils de son chapitre V.
La CNIL les présente dans un ordre précis.
- Décision d'adéquation (article 45) : la Commission européenne reconnaît qu'un pays assure un niveau de protection adéquat
- Garanties appropriées (article 46), à défaut : clauses contractuelles types, règles internes d'entreprise (BCR), code de conduite ou certification approuvés
- Dérogations, en dernier recours : des situations particulières, dans des conditions spécifiques
Les États-Unis figurent sur la liste des décisions d'adéquation, mais seulement pour les organisations qui adhèrent au EU-US Data Privacy Framework.
Le Royaume-Uni, lui, a vu son adéquation renouvelée en décembre 2025.
Les clauses contractuelles types restent d'actualité : la Commission européenne les a mises à jour le 4 juin 2021.
Un fournisseur américain qui n'adhère pas au Data Privacy Framework s'appuie en général sur elles.
Reste le Cloud Act, qui ne se raisonne pas en « où est le serveur » mais en « qui contrôle l'entité ».
Une société soumise au droit américain peut recevoir une injonction visant des données qu'elle contrôle, même stockées en Europe.
Dans leur réponse conjointe sur le Cloud Act, le CEPD et le Contrôleur européen de la protection des données le rappellent.
Selon eux, une injonction étrangère ne rend pas à elle seule un transfert licite, faute d'accord international.
Conséquence pratique : demandez qui contrôle chaque sous-traitant, pas seulement où il héberge.
Vos obligations de responsable du traitement
Dans un helpdesk, le e-commerçant est responsable du traitement : il fixe les finalités pour lesquelles les données personnelles de ses clients sont collectées.
L'éditeur du helpdesk agit comme sous-traitant.
L'article 28 du RGPD impose un contrat entre les deux : c'est le rôle du DPA.
Le traitement des données du service client figure dans votre registre des traitements, avec sa finalité, ses destinataires et la durée de conservation des données.
Chiffrement, gestion des accès, mesures techniques et organisationnelles : la sécurité des données engage les deux parties.
En cas de violation de données, l'autorité de contrôle (la CNIL en France) doit être notifiée dans les 72 heures, sauf absence de risque pour les personnes.
Un délégué à la protection des données (DPO) n'est obligatoire que dans certains cas, mais il facilite la mise en conformité.
Les droits des personnes concernées
Les tickets contiennent des données à caractère personnel : nom, adresse, commandes, parfois des données sensibles glissées dans un message.
Chaque client garde ses droits : droit d'accès, rectification, effacement (le droit à l'oubli), portabilité et opposition.
Votre helpdesk doit permettre de retrouver, d'exporter ou de supprimer les données d'une personne sans fouiller chaque conversation.
L'article 22 encadre aussi les décisions fondées exclusivement sur un traitement automatisé, profilage compris, quand elles ont des effets importants sur la personne.
Une supervision humaine tracée devient alors une garantie, pas un détail.
En France, la loi Informatique et Libertés complète ce règlement européen.
La checklist à envoyer à un fournisseur
Exigez des réponses écrites, annexées au contrat, plutôt que des captures de pages marketing.
Ces questions valent pour tout helpdesk hébergé en Europe ou ailleurs, Achille Helpdesk compris.
Stockage des tickets
- Dans quel pays et quelle région cloud les tickets sont-ils stockés au repos ?
- La région est-elle le réglage par défaut, et peut-on la changer sans recréer le compte ?
- Quelles données sortent de cette région : facturation, journaux, analytics, sauvegardes ?
Inférence de l'IA
- Où chaque modèle est-il exécuté, et le routage peut-il changer de région ?
- Mes conversations servent-elles à entraîner vos modèles, ou ceux de vos fournisseurs ?
- Combien de temps les prompts et les réponses sont-ils conservés chez le fournisseur du modèle ?
Sous-traitants et transferts
- Pouvez-vous fournir la liste datée des sous-traitants ultérieurs, avec pays et finalité ?
- Quel préavis en cas de changement de sous-traitant, et puis-je m'y opposer ?
- Quel mécanisme couvre chaque flux hors EEE : décision d'adéquation ou clauses contractuelles types ?
- Un maillon de la chaîne relève-t-il du Cloud Act, y compris via une société mère ?
Décision automatisée
- Quelles actions l'IA exécute-t-elle seule : remboursement, annulation, geste commercial ?
- Comment la supervision humaine est-elle tracée, ticket par ticket ?
- Comment le client final sait-il qu'il échange avec un système automatisé ?
Réversibilité
- Quel est le format de l'export, et inclut-il les pièces jointes ?
- Comment traitez-vous une demande d'effacement ou de portabilité venant d'un client final ?
- L'export est-il payant, et dans quel délai mes données sont-elles supprimées après la résiliation ?
Conclusion : une réponse claire à la question « où ? »
Un helpdesk e-commerce RGPD se juge sur trois couches : le stockage des tickets, l'inférence de l'IA et les sous-traitants.
La plupart des éditeurs documentent bien la première, beaucoup moins les deux autres.
Avec Achille Helpdesk, tickets et IA sont traités en Europe, sur Google Cloud europe-west9, avec un export sans frais à tout moment.
Envoyez la checklist à chaque fournisseur et comparez les réponses écrites.
Pour voir la Tour de contrôle sur vos propres tickets : Découvrir Achille Helpdesk.
FAQ
« Hébergé en Europe » veut-il dire que l'IA traite mes données en Europe ?
Pas forcément : le stockage des tickets et l'inférence du modèle se paramètrent séparément.
Demandez les deux réponses par écrit, modèle par modèle.
Le Cloud Act s'applique-t-il à un serveur situé en Europe ?
La question porte sur le contrôle de l'entité, pas sur l'emplacement du serveur.
Une société soumise au droit américain peut recevoir une injonction visant des données qu'elle contrôle, où qu'elles soient.
Le Data Privacy Framework est-il toujours valable en 2026 ?
Oui : au 5 octobre 2026, les États-Unis figurent sur la liste des décisions d'adéquation, pour les organisations adhérant au Data Privacy Framework.
Vérifiez que votre fournisseur y adhère, ou qu'il a signé des clauses contractuelles types.
Peut-on récupérer toutes ses données en quittant un helpdesk ?
Cela dépend du contrat : vérifiez le format, le périmètre et le prix de l'export avant de signer.
Chez Achille Helpdesk, l'export est possible à tout moment et sans frais, pièces jointes comprises.
Faut-il changer de helpdesk pour utiliser Achille AI ?
Non : Achille AI se branche aussi sur votre helpdesk actuel (Gorgias, Zendesk, Freshdesk, Front, Intercom).
Achille Helpdesk est une option de plus, pas un prérequis.