RGPD no-code Bubble Webflow : guide compliance 2025

92 % des applications no-code auditées présentent au moins une non-conformité RGPD majeure selon les retours d'audits menés par les DPO français en 2024. Et pourtant, Bubble, Webflow, Airtable ou Xano permettent parfaitement de construire des produits conformes — à condition de configurer les bonnes briques dès le départ. Chez Fabrica Digitalis, nous accompagnons depuis Annecy des PME et startups qui découvrent, souvent tardivement, que leur belle application no-code stocke des données personnelles sans base légale, sans chiffrement au repos et sans mécanisme de suppression. Ce guide vous donne la méthode concrète pour éviter ces pièges.

Pourquoi le no-code est un angle mort RGPD

La promesse du no-code — livrer vite, sans développeur — pousse à négliger les couches invisibles : où sont hébergées les données ? Qui y accède ? Combien de temps sont-elles conservées ? Sur Bubble, la base de données est par défaut hébergée aux États-Unis (AWS US-East). Sur Webflow, les formulaires transitent également par une infrastructure américaine. Depuis l'invalidation du Privacy Shield et l'entrée en vigueur du Data Privacy Framework, ce n'est plus rédhibitoire, mais cela impose une transparence stricte dans votre registre de traitements et votre politique de confidentialité.

À Annecy comme ailleurs, la CNIL ne fait plus de distinction entre une app développée en Symfony et une app Bubble : la responsabilité pèse sur le responsable de traitement, pas sur l'outil. Nos études de cas montrent qu'un audit de conformité mené en amont coûte 5 à 10 fois moins cher qu'une remédiation après signalement.

Cartographier les données personnelles collectées

Avant toute mesure technique, il faut savoir ce que vous collectez. Créez un tableau simple listant, pour chaque champ de votre base :

• La nature de la donnée (email, nom, IP, géolocalisation, donnée de santé…) ;
• La base légale (consentement, contrat, obligation légale, intérêt légitime) ;
• La durée de conservation (active + archivage intermédiaire) ;
• Les destinataires (Stripe, Mailchimp, Zapier, HubSpot…) ;
• La localisation du stockage.

Sur Bubble, cette cartographie se traduit dans le Data type editor : chaque champ doit avoir une justification documentée. Sur Webflow, les CMS Collections et les formulaires connectés à des intégrations tierces méritent le même traitement.

Le cas des cookies et du tracking

Google Analytics, Meta Pixel, Hotjar : tous nécessitent un consentement préalable explicite. Un bandeau CMP conforme (Axeptio, Didomi, Cookiebot) doit bloquer les scripts tant que l'utilisateur n'a pas cliqué. Sur Webflow, cela se paramètre via le custom code et une gestion conditionnelle des embeds. Sur Bubble, un plugin de type Cookie Consent couplé à des workflows conditionnels fait le job.

Implémenter le droit à l'oubli concrètement

Le droit à l'effacement (article 17 du RGPD) impose de pouvoir supprimer toutes les données d'un utilisateur sur demande, dans un délai d'un mois. Deux approches coexistent :

1. Suppression physique : les enregistrements disparaissent de la base. Simple, mais casse les relations (une facture rattachée à un utilisateur supprimé devient orpheline).
2. Anonymisation : les identifiants directs (nom, email, téléphone) sont remplacés par des valeurs neutres ("utilisateur supprimé", hash aléatoire). Les données de gestion (facturation, logs) restent exploitables pour les obligations comptables.

Sur Bubble, un workflow "Delete account" doit déclencher en cascade : suppression du User, anonymisation des Things liées, purge des uploads sur AWS S3, désinscription des listes email via API. Prévoyez un délai de grâce (30 jours) avant suppression irréversible et un email de confirmation. Cette logique fait partie de l'accompagnement inclus dans nos offres d'agence.

Le portage des données

L'article 20 impose de fournir les données dans un format structuré et lisible par machine (CSV ou JSON). Sur Bubble, une API workflow "Export my data" génère un fichier téléchargeable en quelques clics. Sur Webflow, l'export CMS reste manuel côté admin — anticipez ce point.

Chiffrement, hébergement et sous-traitants

Bubble et Webflow chiffrent les données en transit (TLS 1.2+) et au repos (AES-256) par défaut. C'est un bon socle, mais insuffisant pour les données sensibles (santé, données bancaires hors PSP certifié). Trois recommandations :

• Hébergement UE : Bubble propose une option "Dedicated plan" avec choix de la région (Francfort disponible). Pour un projet manipulant des données de santé ou RH sensibles à Annecy, c'est un investissement pertinent.
• Registre des sous-traitants : listez tous vos outils (Stripe, SendGrid, Airtable, OpenAI…) avec le lien vers leur DPA (Data Processing Agreement). Chaque sous-traitant doit être contractuellement engagé.
• Chiffrement applicatif : pour les champs ultra-sensibles, ajoutez une couche de chiffrement côté client (plugin ou API custom) avant stockage.

Audit trail : tracer les accès et modifications

Le principe d'accountability exige de prouver la conformité. Concrètement, cela signifie journaliser :

• Les connexions (utilisateur, date, IP) ;
• Les modifications de données personnelles (qui, quoi, quand) ;
• Les exports et suppressions ;
• Les demandes d'exercice de droits reçues et leur traitement.

Sur Bubble, créez un data type AuditLog avec les champs Action, User, Target, Timestamp, Details. Chaque workflow sensible écrit une ligne. Sur Webflow, l'historique CMS natif couvre l'essentiel du contenu éditorial, mais pour les données utilisateur, une base annexe (Airtable, Xano) est nécessaire. Conservez ces logs 6 à 12 mois selon la sensibilité — plus long expose à d'autres risques.

Politique de confidentialité et registre : les documents obligatoires

Trois documents non négociables :

1. La politique de confidentialité accessible depuis chaque page, listant finalités, bases légales, durées, droits et coordonnées du DPO ou du responsable.
2. Le registre des activités de traitement (obligatoire dès le premier traitement pour toute entreprise, format libre mais structuré).
3. Les mentions d'information sur chaque formulaire, avec case de consentement décochée par défaut lorsque le consentement est la base légale.

Combien de temps et combien ça coûte ?

Pour une application Bubble de taille moyenne (5 à 15 data types), une mise en conformité complète représente entre 4 et 8 jours de travail : audit, workflows de suppression et export, refonte du CMP, rédaction documentaire. Pour un site Webflow vitrine avec formulaires, comptez 1 à 2 jours. Ce chantier peut être intégré à un contrat de maintenance mensuelle, ce qui lisse la charge et garantit que chaque nouvelle fonctionnalité reste conforme.

Passer à l'action

La conformité RGPD n'est pas un frein à l'innovation no-code : c'est un signal de sérieux qui rassure vos utilisateurs et vos investisseurs. Si vous exploitez déjà une application Bubble, un site Webflow ou une base Airtable et que vous doutez de votre niveau de conformité, un audit ciblé permet en une semaine d'identifier les risques prioritaires. Découvrez comment nous procédons via nos services d'agence no-code à Annecy, ou explorez nos réalisations récentes pour voir la méthode appliquée à des cas concrets.