Confidentialité et RGPD avec une assistante virtuelle : contrat, accès, transferts hors Union européenne et bonnes pratiques pour protéger les données de votre entreprise.
Confier ses données à une assistante virtuelle est possible en sécurité si trois conditions sont réunies : un contrat écrit avec clause de confidentialité et engagements RGPD, des accès limités et traçables aux seuls outils utiles, et des règles claires sur ce qui est partagé, où et pour combien de temps. Dès que l'assistante traite des données personnelles pour votre compte, le RGPD impose un contrat de sous-traitance. C'est un point à cadrer dès le départ, avant de travailler avec une assistante virtuelle, et il engage autant l'entreprise que la prestataire. Pour le cadre général du métier, voir l'assistante virtuelle pour PME et indépendants et le guide assistante virtuelle : définition, missions et avantages.
Quand on cherche « confidentialité assistante virtuelle » sur Google, on tombe surtout sur les politiques de confidentialité des sites d'assistantes, sur quelques pages qui présentent la clause de confidentialité signée par la prestataire, et sur des contenus consacrés à l'assurance responsabilité civile professionnelle. Très peu expliquent ce que le client doit lui-même prévoir. C'est l'objet de cet article.
Dans la logique du RGPD, votre entreprise est le responsable de traitement : elle décide pourquoi et comment les données sont utilisées. L'assistante qui intervient sur vos fichiers agit comme sous-traitante : elle traite les données uniquement selon vos instructions.
| Acteur | Rôle RGPD | Obligations principales |
|---|---|---|
| Votre entreprise | Responsable de traitement | Choisir les données confiées et leur finalité, informer les personnes concernées, tenir son registre des traitements, signer un contrat de sous-traitance, notifier une violation à la CNIL si nécessaire |
| L'assistante virtuelle | Sous-traitante | Traiter les données sur instruction documentée, garder la confidentialité, sécuriser ses accès, vous aider pour les demandes de droits, vous prévenir sans délai en cas d'incident, restituer ou supprimer les données en fin de mission |
| Vos outils (messagerie, CRM, stockage) | Sous-traitants ultérieurs | Choisir des éditeurs sérieux, vérifier l'hébergement des données et les conditions d'utilisation |
L'article 28 du RGPD liste le contenu minimal du contrat entre le responsable de traitement et son sous-traitant. Le détail du contrat de prestation est traité dans contrat de prestation avec une assistante virtuelle : les clauses essentielles ; voici les points qui concernent la protection des données.
Letitia est basée à Antsirabe (Madagascar) et travaille à distance pour des entreprises françaises. Pour le RGPD, l'accès depuis Madagascar à des données personnelles traitées pour votre compte est un transfert vers un pays hors de l'Union européenne. Le règlement l'autorise sous conditions : soit le pays bénéficie d'une décision d'adéquation de la Commission européenne, soit des garanties appropriées sont prévues, par exemple les clauses contractuelles types de la Commission. À notre connaissance, Madagascar ne figure pas parmi les pays reconnus adéquats : vérifiez la liste à jour sur le site de la CNIL et faites valider le dispositif par un juriste avant de confier des données sensibles.
Deux réflexes limitent le risque. D'abord, garder les données dans vos propres outils, hébergés dans l'Union européenne, et donner un accès à distance sans copie sur l'ordinateur de l'assistante. Ensuite, écrire le cadre du transfert dans le contrat. Le contrat proposé ici comprend une clause de confidentialité, comme le précise la page À propos ; la question des transferts se traite au cas par cas, avant le démarrage.
| Type de données | Exemples | Accès conseillé | Point de vigilance |
|---|---|---|---|
| Messagerie et agenda professionnels | Emails, invitations | Accès délégué depuis votre messagerie, sans partage du mot de passe | Exclure les dossiers privés ou sensibles |
| Documents partagés | Devis, contrats, modèles | Dossier dédié dans votre cloud, droits limités à ce dossier | Pas de copie locale, pas d'envoi par une messagerie grand public |
| CRM ou logiciel métier | Fiches clients, dossiers | Compte nominatif avec un rôle limité | Activer le journal des actions si l'outil le permet |
| Banque et paiements | Relevés, virements | Jamais d'identifiants bancaires : exports de relevés, validation des paiements par vous | Aucun pouvoir de signature |
| Données sensibles | Santé, opinions, biométrie | À éviter, ou à cadrer avec un juriste | Garanties renforcées exigées par le RGPD |
Exemple théorique, entièrement fictif. Une agence confie à une assistante les quittances et les relances de loyers. Les données concernées : noms, adresses, montants de loyers, historique de paiement.
À remplir avant la première semaine, une ligne par outil :
À confier, avec des accès limités : la gestion de l'agenda, le tri de la messagerie professionnelle, la préparation des devis et des factures, la saisie de fiches contact, les relances, la préparation de dossiers. Sur la messagerie, les règles de sécurité sont détaillées dans déléguer la gestion de sa boîte mail : règles et sécurité.
À garder chez vous : la validation des paiements, les identifiants bancaires, la signature des contrats, les décisions juridiques, les accès administrateur de vos outils et toute donnée sensible qui n'est pas indispensable à la mission.
Une fois le cadre posé, la suite se prépare avec premier mois avec une assistante virtuelle : le plan d'intégration, et la méthode générale de déléguer à une assistante virtuelle : la méthode complète.
Réserver un appel découverte de 30 minutes ou écrire via la page contact : la question des données se traite dès le premier échange, et la réponse arrive sous 24 h ouvrées.
Elle l'est par le contrat de prestation, qui doit contenir une clause de confidentialité valable pendant et après la mission. Le contrat proposé ici en comprend une. Sans écrit, la protection de vos informations repose uniquement sur la confiance.
Oui, dès qu'elle traite des données personnelles pour votre compte : contacts clients, prospects, salariés, locataires. Votre entreprise est responsable de traitement, l'assistante est sous-traitante, et un contrat encadre cette relation.
La loi ne l'impose pas de façon générale entre deux entreprises, mais elle est fortement recommandée pour protéger vos informations. En revanche, dès qu'il y a traitement de données personnelles, le RGPD exige un contrat de sous-traitance avec des mentions précises.
Il vaut mieux l'éviter. Les données de santé, d'opinions ou biométriques exigent des garanties renforcées. Si la mission l'impose, faites valider le cadre par un juriste et limitez l'accès au strict nécessaire.
L'accès à distance à des données personnelles est alors un transfert hors Union européenne, qui doit être encadré, par exemple par des clauses contractuelles types. Letitia travaille depuis Madagascar : le sujet se traite au contrat avant le démarrage, avec l'appui d'un juriste si les données sont sensibles.
Le contrat doit prévoir leur restitution ou leur suppression, la révocation de tous les accès le dernier jour et une confirmation écrite. Au-delà de trois mois d'accompagnement, le préavis est de 15 jours : prévoyez cette étape dans le calendrier.
Demandez quels outils sont utilisés, comment les accès sont sécurisés, où sont stockés les fichiers de travail et ce qui se passe en cas d'incident. Complétez avec la fiche d'accès de cet article, revue une fois par trimestre.
Assistante virtuelle indépendante basée à Madagascar, je travaille à distance et en français pour des dirigeants de PME, agences immobilières, courtiers et conciergeries en France.
Comment calculer la rentabilité d'une assistante virtuelle : coût réel, temps libéré, valeur d'une heure de dirigeant, méthode en 5 étapes et exemple théorique chiffré.
Lire l’article : Calculer le retour sur investissement d’une assistante virtuelleAdjointe virtuelle et assistante virtuelle : le même métier sous deux noms. Définition, tâches confiées et critères pour choisir.
Lire l’article : Adjointe virtuelle, assistante virtuelle : le même métier sous deux nomsAssistante virtuelle haut de gamme : huit critères vérifiables pour reconnaître une prestation premium, au-delà du mot, avant de confier vos dossiers.
Lire l’article : Assistante virtuelle haut de gamme : reconnaître une prestation premiumAppel découverte gratuit de 30 minutes : on liste vos tâches, je vous dis ce que je peux prendre en charge et à quel tarif.
Réserver mon appel découverte
