RGPD et application no-code : les risques légaux pour PME en 2025

80 % des PME françaises qui lancent une application no-code ignorent où sont physiquement hébergées les données de leurs clients. Et pourtant, en cas de contrôle CNIL, c'est la première question posée. Bubble, Webflow, Airtable, Softr : ces outils ont démocratisé le développement d'applications, mais ils déplacent aussi la responsabilité RGPD directement sur vos épaules de dirigeant. À Annecy comme ailleurs, une PME sanctionnée peut se voir infliger jusqu'à 4 % de son chiffre d'affaires annuel. Voici ce qu'il faut savoir avant de mettre en production votre prochaine app no-code.

Pourquoi le no-code complique la conformité RGPD

Le no-code séduit parce qu'il permet de lancer une application en quelques semaines sans embaucher de développeur. Mais cette rapidité masque une réalité juridique : vous restez responsable de traitement au sens du RGPD, même si vous n'avez pas écrit une ligne de code. La plateforme no-code, elle, est sous-traitante — et pas toujours dans les meilleures conditions.

Le vrai problème : la localisation des serveurs

Bubble héberge par défaut ses données sur AWS aux États-Unis. Webflow fait de même. Airtable idem. Depuis l'invalidation du Privacy Shield par la CJUE (arrêt Schrems II, 2020), tout transfert de données personnelles vers les États-Unis nécessite des garanties supplémentaires : clauses contractuelles types, analyses d'impact, mesures techniques complémentaires. Peu de PME les mettent réellement en place.

Le mythe du « c'est la plateforme qui gère »

Non. En cas de fuite de données, la CNIL contacte votre entreprise, pas Bubble Inc. C'est à vous de prouver que vous avez :

• Signé un DPA (Data Processing Agreement) avec le fournisseur
• Tenu un registre des traitements à jour
• Informé vos utilisateurs de manière transparente
• Mis en place les mesures de sécurité proportionnées au risque

Audit de sécurité : les 7 points à vérifier sur votre app no-code

Avant toute mise en production, ou pour rattraper une application déjà en ligne, voici la checklist que nous appliquons systématiquement lors des audits pour nos clients à Annecy et en Haute-Savoie.

1. Cartographier les flux de données

Chaque champ collecté doit être justifié : nom, email, téléphone, adresse IP, données de paiement. Le principe de minimisation impose de ne collecter que ce qui est strictement nécessaire.

2. Vérifier la localisation des serveurs

Bubble propose depuis 2022 un plan « Dedicated » avec hébergement en Europe (Francfort). Webflow reste majoritairement US. Airtable stocke aux US. Notion aussi. Pour rester dans l'UE : privilégiez Xano (avec instance EU), Directus auto-hébergé, ou Supabase sur région européenne.

3. Chiffrer les données sensibles au repos

Le chiffrement TLS en transit ne suffit pas. Les mots de passe doivent être hashés (bcrypt, argon2), les données de santé ou bancaires chiffrées côté application.

4. Gérer les droits utilisateurs

Droit d'accès, de rectification, à l'effacement, à la portabilité : votre app doit techniquement permettre d'exporter et de supprimer les données d'un utilisateur en moins de 30 jours.

5. Politique de conservation

Un prospect qui n'a jamais converti après 3 ans ? Ses données doivent être supprimées ou anonymisées automatiquement. Peu de bases no-code intègrent nativement cette logique — il faut la scripter.

6. Registre des sous-traitants

Stripe, Mailchimp, Zapier, Make, Twilio : chaque intégration ajoute un sous-traitant. Chacun doit figurer dans votre registre et votre politique de confidentialité.

7. Analyse d'impact (AIPD) si nécessaire

Obligatoire si vous traitez des données sensibles à grande échelle, si vous faites du profilage, ou si vous surveillez des personnes. La CNIL fournit un logiciel gratuit (PIA).

Bubble et Webflow face aux alternatives CNIL-compatibles

Toutes les plateformes ne se valent pas sur le plan RGPD. Voici notre grille de lecture après une centaine d'audits menés depuis 2021.

Bubble : puissant mais américain

Idéal pour des applications métier complexes. Hébergement US par défaut. Plan Dedicated avec serveurs Frankfurt (AWS eu-central-1) accessible à partir de 529 $/mois. DPA signable sur demande. Verdict : acceptable pour données non sensibles ; à éviter pour la santé, les mineurs ou le juridique.

Webflow : parfait pour un site vitrine, limité pour les données

Excellent CMS marketing. Formulaires stockés aux US. Pour un site vitrine sans compte utilisateur, le risque est faible. Dès qu'il y a login ou espace client, il faut brancher un backend européen.

Les alternatives européennes crédibles

• Xano : backend no-code avec instances OVH ou AWS Paris
• Directus : open-source, auto-hébergeable chez Scaleway ou OVH
• Supabase : région eu-west-2 (Londres) ou eu-central-1
• Baserow : alternative à Airtable, hébergement européen
• WeWeb + Xano : combo front/back 100 % configurable en UE

Sanctions réelles : ce que risque une PME

La CNIL a prononcé plus de 40 sanctions publiques en 2023, dont plusieurs contre des PME de moins de 50 salariés. Les montants vont de 3 000 € à plusieurs centaines de milliers d'euros. Les motifs récurrents : cookies non conformes, durées de conservation excessives, absence de sécurité (mots de passe en clair, base de données publique).

Au-delà de l'amende, une notification de violation mal gérée peut détruire la confiance de votre clientèle en quelques heures. Nous avons documenté plusieurs cas dans nos études de cas clients, notamment sur des projets B2C où la conformité a été un facteur différenciant.

Notre méthode d'audit et de mise en conformité

Chez Fabrica Digitalis, à Annecy, nous auditons les applications no-code déjà en production et accompagnons les PME dès la phase de cadrage. Un audit RGPD complet inclut :

1. Cartographie des données et flux
2. Analyse de l'hébergement et des sous-traitants
3. Rédaction du registre des traitements
4. Refonte de la politique de confidentialité et des mentions
5. Plan de remédiation technique priorisé
6. Formation de l'équipe interne

Pour les projets neufs, nous intégrons la conformité dès la conception (privacy by design), ce qui coûte 5 à 10 fois moins cher qu'une remise à niveau après lancement. Découvrez le détail de nos services d'accompagnement no-code et nos offres packagées adaptées aux PME d'Annecy et de la région Auvergne-Rhône-Alpes.

Et après la mise en ligne ?

La conformité n'est pas un état figé. Nouvelle intégration, nouveau formulaire, nouvelle fonctionnalité : chaque évolution peut créer une brèche. C'est pourquoi nous proposons un suivi continu via nos forfaits de maintenance, qui incluent la veille réglementaire et les mises à jour de sécurité.

Passer à l'action

Le no-code reste une opportunité formidable pour les PME d'Annecy qui veulent digitaliser sans exploser leur budget. Mais entre une app conforme et une app à risque, la différence se joue souvent sur une poignée de choix techniques faits en amont. Si vous doutez de la conformité de votre outil actuel, ou si vous préparez un lancement, contactez notre équipe pour un audit initial. Une heure d'échange suffit souvent à identifier les 2 ou 3 corrections prioritaires qui vous mettent à l'abri.