WhatsApp Flows et RGPD : consentement et protection des données

SendSeven Team, Editorial Team

Quelles données un WhatsApp Flow collecte, qui les traite, quand il faut un consentement et que mettre dans votre politique de confidentialité et votre contrat de sous-traitance. Avec une checklist pour votre premier flow.

Quelles données un WhatsApp Flow collecte-t-il, et qui les traite ?

Un WhatsApp Flow collecte exactement les informations que vous demandez. S'y ajoutent le numéro de téléphone et le nom de profil que WhatsApp transmet de toute façon à chaque conversation. Les données sont traitées à trois endroits au plus : chez WhatsApp (Meta), qui transmet les réponses, chez SendSeven, où elles sont enregistrées dans le chat et sur le contact, et dans votre CRM si vous en connectez un.

Pour suivre un cas concret tout au long de l'article, prenons Cuisines Lemarié, un cuisiniste de Nantes. Dans un flow, ses clients peuvent demander un devis ou un rendez-vous au showroom, et s'inscrire en option à la newsletter.

• WhatsApp (Meta) : les messages transitent par WhatsApp (Meta), et Meta peut transférer des données vers les États-Unis. Pour cela, Meta s'appuie sur le cadre EU-US Data Privacy Framework et sur des clauses contractuelles types. Selon Meta, WhatsApp conserve les photos et documents envoyés, chiffrés, pendant 20 jours au maximum (documentation de Meta, en anglais).
• SendSeven : la plateforme est hébergée dans l'UE (Francfort) et directement connectée à WhatsApp en tant que Meta Business Partner. Les réponses apparaissent dans le chat, dans la boîte de réception. Les réponses que vous avez associées à un champ figurent aussi sur le contact, et les photos et documents sont joints au chat et au contact.
• Votre CRM : vous transmettez les réponses avec un webhook ou l'API REST, si vous le configurez. Sans connexion, elles restent dans SendSeven. Le guide de configuration des webhooks montre comment faire.

Dans la plupart des cas, c'est vous le responsable du traitement des données de vos clients, puisque vous décidez ce que vous demandez et pourquoi. SendSeven traite les données pour votre compte, en tant que sous-traitant. Pour comprendre comment fonctionne un WhatsApp Flow sur le plan technique, lisez notre article sur les WhatsApp Flows. Notre comparatif entre WhatsApp Flow, boutons de réponse et chatbot montre quand un flow convient mieux que des boutons.

Quand faut-il un consentement, et quand n'en faut-il pas ?

Pour la demande elle-même, vous n'avez en général pas besoin d'un consentement distinct. Pour le marketing et la newsletter, si. Un client qui vous écrit et demande un devis dans un flow veut que vous utilisiez ses informations dans ce but. La base légale est alors le plus souvent l'exécution de mesures précontractuelles prises à sa demande, au titre de l'art. 6, paragraphe 1, point b, du RGPD. Si vous voulez ensuite envoyer à la même personne des promotions, des remises ou une newsletter, il vous faut pour cela son consentement. Indépendamment de cela, Meta exige un opt-in avant que vous ne contactiez quelqu'un de votre propre initiative avec un modèle de message.

Chez Cuisines Lemarié, le client qui demande un devis ou un rendez-vous au showroom relève du premier cas. La newsletter avec les idées d'aménagement et les offres de la saison relève du second. Un flow est un bon endroit pour demander ce consentement, car votre client est actif à ce moment-là et vous maîtrisez le texte exact. Quatre points à surveiller :

• Un champ à part : demandez le consentement dans un champ d'opt-in distinct de la demande. Une case pré-cochée ne vaut pas consentement au sens du RGPD, comme l'a confirmé la Cour de justice de l'Union européenne dans l'arrêt Planet49 (C-673/17, 1er octobre 2019).
• Un choix libre : un client qui veut seulement un devis doit pouvoir envoyer sa demande sans s'inscrire à la newsletter. Ne rendez donc pas l'opt-in obligatoire.
• Un texte clair : dites ce que vous enverrez, par quel canal et comment se désabonner. Un lien « Lire la suite » sur le champ d'opt-in mène à votre politique de confidentialité.
• La formulation conservée : SendSeven enregistre le texte du consentement avec chaque opt-in. Si quelqu'un pose la question plus tard, vous voyez à quel texte la personne a donné son accord.

La CNIL explique sur sa page consacrée au consentement comment recueillir un consentement valable.

Dès Professional, une automatisation du Flow Builder gère l'inscription à la liste : le déclencheur qui s'active quand quelqu'un termine un WhatsApp Flow la lance, une condition vérifie le champ d'opt-in, et une étape supplémentaire ajoute le contact à votre liste de newsletter. Le cas d'usage du double opt-in montre comment se déroule une confirmation en deux étapes sur WhatsApp et pourquoi WhatsApp exige son propre consentement. Pour recruter des abonnés de façon loyale, lisez WhatsApp opt-in : 7 stratégies pour gagner des abonnés.

Comment appliquer la minimisation des données dans un flow ?

Appliquer la minimisation des données dans un flow, c'est ne demander que ce qui sert la finalité et ne conserver chaque réponse qu'à l'endroit où votre équipe en a besoin. Un flow facilite les choses par rapport à un chat ouvert, car vous fixez les questions à l'avance et pouvez proposer des choix plutôt que du texte libre.

• Justifier chaque question : pour chaque question, écrivez une phrase qui dit à quoi sert la réponse. Si rien ne vous vient, supprimez la question. Pour chiffrer une cuisine, Cuisines Lemarié a besoin de la configuration de la pièce, de ses dimensions approximatives et d'un code postal, pas d'une date de naissance. Notre article sur la qualification des prospects avec un WhatsApp Flow montre quelles informations suffisent en général pour un devis.
• Des choix plutôt que du texte libre : dans un champ de texte libre, les gens écrivent souvent plus que ce que vous voulez savoir, jusqu'à des informations de santé ou financières. Un choix limite la réponse à ce dont vous avez besoin. Si vous tenez à un champ libre, par exemple pour des remarques, précisez ce qui y a sa place et ce qui n'en a pas, comme « Merci de n'indiquer aucune information de santé ».
• Peu de champs obligatoires : ce qui n'est pas strictement nécessaire reste facultatif.
• Enregistrer à bon escient : un réglage sur chaque champ vous permet de décider si la réponse va dans un champ de contact, dans un champ personnalisé ou sous forme de tag sur le contact, ou si elle reste seulement dans les réponses du flow. Ce dont vous n'avez besoin que pour cette demande peut rester dans les réponses du flow, plutôt que d'être enregistré durablement sur le contact.
• Marquer les champs sensibles : les champs que vous marquez comme sensibles sont masqués dans le tableau des analyses, l'API et les webhooks sortants. Votre équipe voit toujours la réponse dans le chat et peut ainsi traiter la demande.
• Des photos seulement quand elles aident : une photo montre souvent plus que prévu, par exemple des personnes ou des courriers posés sur un plan de travail. Ne demandez une photo, comme celle de la pièce à aménager, que si la demande l'exige vraiment, et précisez ce qu'elle doit montrer.

Décidez aussi combien de temps vous conservez les demandes, et consignez-le dans votre registre des activités de traitement. Si vous voulez demander des catégories particulières de données, par exemple sur la santé, clarifiez-le d'abord avec votre délégué à la protection des données ou votre conseil. Pour un traitement à plus grande échelle, une analyse d'impact relative à la protection des données (AIPD) peut en outre être nécessaire.

Que doivent contenir votre politique de confidentialité et votre contrat de sous-traitance ?

La politique de confidentialité dit à vos clients ce qu'il advient de leurs informations, et le contrat de sous-traitance (DPA) fixe la manière dont SendSeven traite les données pour votre compte. Les deux devraient être en place avant la mise en ligne de votre premier flow. Pour des WhatsApp Flows, votre politique de confidentialité couvre en général :

• la finalité des questions et la base légale, séparément pour la demande et pour le marketing,
• WhatsApp (Meta) comme canal par lequel transitent les données, avec une mention du transfert possible vers les États-Unis,
• SendSeven comme prestataire qui traite les données pour votre compte,
• un CRM connecté et les autres destinataires,
• la durée pendant laquelle vous conservez les informations,
• les droits de vos clients et la façon dont ils retirent leur consentement.

Placez le lien vers cette politique là où vous collectez les données : sur « Lire la suite » dans le champ d'opt-in, ou dans le message qui envoie le flow.

Nous mettons le contrat de sous-traitance à disposition sur demande. La façon dont SendSeven traite lui-même les données, et la manière de nous contacter à ce sujet, figurent dans notre politique de confidentialité. Les conditions de Meta pour WhatsApp s'appliquent également. Si des prospects vous contactent après avoir vu une publicité, Click-to-WhatsApp Ads et RGPD détaille la chaîne de données.

À quoi faut-il faire attention avec les modèles et le builder IA ?

Les modèles et le builder IA font gagner du temps à la création, mais la responsabilité des questions et des textes reste la vôtre. Vérifiez chaque flow avant de le publier, comme vous vérifieriez un nouveau formulaire sur votre site.

• Modèles : SendSeven propose des modèles de flow prêts à l'emploi, notamment pour la capture et la qualification de leads, les demandes de devis et les demandes de rappel. Leurs textes de consentement ne sont que des exemples : adaptez-les à votre politique de confidentialité et faites-les relire avant de les utiliser.
• Builder IA : dès Professional, le builder IA crée un flow statique à partir de votre description. Il utilise des crédits IA, uniquement pour les exécutions réussies, et le traitement par l'IA a lieu dans l'UE. Le builder n'a besoin que de votre cas d'usage : n'écrivez donc pas de vraies données clients dans la description.
• Avant de publier : les questions, les champs obligatoires et la destination de chaque réponse sont-ils les bons ? L'opt-in est-il facultatif et son texte adapté ? Si votre politique de confidentialité change plus tard, modifiez le flow et publiez-le de nouveau. Si vous l'envoyez via un modèle de message avec bouton Flow, soumettez ensuite le modèle une nouvelle fois à Meta, sinon il continuera d'ouvrir l'ancienne version.

En bref : un WhatsApp Flow est un formulaire comme un autre. Ne demandez que le nécessaire, obtenez un consentement distinct pour le marketing, liez votre politique de confidentialité et signez le contrat de sous-traitance.

Pour une vue d'ensemble des fonctionnalités, consultez la page WhatsApp Flows. Le cas d'usage conformité des abonnés montre comment les équipes suivent le consentement par contact et par canal, et les entrées du glossaire sur la messagerie et le RGPD et sur les WhatsApp Flows expliquent les bases.

Pour aller plus loin :

• WhatsApp Flows : des formulaires dans le chat pour les petites entreprises
• Qualifier des prospects avec un WhatsApp Flow : toutes les infos d'un coup
• Click-to-WhatsApp Ads et RGPD 2026 : chaîne de données, DPA, bannière cookies
• WhatsApp opt-in : 7 stratégies pour gagner des abonnés en 2026

Questions fréquentes