Planification conforme au GDPR, documents à l’appui
Chaque réservation est une donnée personnelle. Cal.com, Inc. les traite pour vous dans le cadre d’un accord de traitement des données, les envoie aux États-Unis au titre du cadre de protection des données UE–États-Unis, et les conserve dans l’Union européenne sur Cal.eu. Cette page présente le document derrière chaque étape, et pourquoi chacune compte pour la planification que vous gérez sur Cal.com.
Dernière révision le 11 novembre 2026. Cette page est fournie à titre informatif, pas comme un avis juridique.
Adopté par des entreprises en forte croissance dans le monde entier
Trois points que votre délégué à la protection des données peut vérifier
Le GDPR est une loi, pas un badge. Ce qui compte, c’est un contrat avec chaque sous-traitant, une voie licite pour les transferts et une sécurité appropriée. Chaque élément a son document.
01
Un accord de traitement des données
Notre accord de traitement des données est le contrat que l’article 28 du GDPR exige entre vous et un sous-traitant, avec les clauses contractuelles types en annexe.
02
Une voie licite vers les États-Unis
Cal.com est hébergé aux États-Unis, et Cal.com, Inc. est inscrite sur la liste du Data Privacy Framework. Depuis le 10 juillet 2023, cela rend le transfert licite au titre de l’article 45 du GDPR.
03
Ou aucun transfert du tout
Cal.eu est la même application, hébergée dans l’Union européenne, pour les organisations dont les contrats ou les politiques exigent la résidence des données.
Pourquoi le GDPR compte quand vous gérez votre planification sur Cal.com
Un outil de planification collecte des données personnelles auprès de personnes qui ne sont pas encore vos utilisateurs. Vous en êtes responsable.
01
Chaque réservation est une donnée personnelle
Un nom, une adresse e-mail et un créneau suffisent. Les questions de réservation, les notes et les listes de participants en ajoutent davantage, et dans certains domaines ces données sont sensibles.
02
Vous êtes le responsable du traitement
Vous décidez pourquoi les réservations sont prises ; les obligations du GDPR vous reviennent donc. Cal.com traite les données pour votre compte, et le DPA formalise cette relation par écrit.
03
Les données traversent l’Atlantique
Cal.com fonctionne aux États-Unis. Le transfert repose sur la décision d’adéquation pour le cadre de protection des données UE–États-Unis ; les clauses contractuelles types du DPA viennent en appui. Lire les détails.
04
La sécurité fait partie de la loi
L’article 32 du GDPR exige des mesures techniques et organisationnelles appropriées. Notre rapport SOC 2 Type II et notre certificat ISO/IEC 27001 en sont la preuve, sans réserve à chaque audit depuis 2022.
Cal.com avec le DPF, ou Cal.eu hébergé en Europe
Les deux sont licites au regard du GDPR, et les deux sont le même produit. Cal.eu répond à une autre question : où se trouvent les données.
| Fonctionnalité | Cal.com avec le DPF | Cal.eu, hébergé en Europe |
|---|---|---|
| Données | ||
| Où les données sont stockées et traitées | États-Unis | Union européenne |
| Base pour envoyer les données aux États-Unis | Article 45 du GDPR : décision d’adéquation pour le cadre de protection des données UE–États-Unis | Aucune nécessaire : les données restent dans l’UE |
| Deuxième outil de transfert | Clauses contractuelles types dans le DPA | Non nécessaire pour l’hébergement dans l’UE |
| Conformité | ||
| GDPR, SOC 2 Type II, ISO 27001 | ||
| Produit | L’application Cal.com complète | La même application |
Que faire avant votre revue
Trois étapes qui prennent un après-midi et répondent à la plupart des revues de protection des données.
01
Lire le DPA
Lisez le DPA et l’annexe des clauses contractuelles types, et classez-les avec votre registre des activités de traitement.
02
Vérifier l’entrée DPF
Ouvrez l’entrée de Cal.com, Inc. sur la liste du Data Privacy Framework. Notez le statut et la date : c’est votre preuve au titre de l’article 5(2) du GDPR.
03
Informez vos participants
Désignez Cal.com comme sous-traitant dans votre notice de confidentialité. Notre politique de confidentialité couvre les données que nous traitons pour notre propre compte.
Le reste de la conformité de Cal.com
Chaque cadre répond à une question différente. Ensemble, ils couvrent la sécurité du service, les lois applicables aux données qu’il contient et les destinations possibles de ces données.
01
SOC 2 Type II
Un auditeur indépendant teste chaque année, pendant plusieurs mois, nos contrôles de sécurité, de disponibilité et de confidentialité. Lire l’article sur SOC 2.
02
ISO/IEC 27001
Notre système de management de la sécurité de l’information est certifié selon la norme internationale et audité pour conserver cette certification. Lire l’article sur ISO/IEC 27001.
03
HIPAA
Pour les équipes du secteur de la santé qui traitent des informations de santé protégées : un accord de partenaire commercial signé et les garanties qui vont avec. Lire l’article sur HIPAA.
04
Cadre de protection des données UE–États-Unis
Cal.com, Inc. participe activement au programme, avec UK Extension. Voir l’entrée ou lire pourquoi c’est important.
Questions fréquentes sur le GDPR
Les réponses courtes sont ici. Pour le reste, posez votre question ci-dessous.
Poser une questionOui. Cal.com traite les données personnelles dans le cadre d’un Accord de traitement des données avec des clauses contractuelles types, les transfère vers les États-Unis dans le cadre du Cadre de protection des données UE–États-Unis, et est certifié SOC 2 Type II et ISO/IEC 27001. Cal.eu conserve les données dans l’UE.
Pour les réservations que vous recevez, Cal.com, Inc. est votre sous-traitant au titre du DPA. Pour ses propres comptes et son site web, il est responsable de traitement, comme l’explique sa politique de confidentialité.
Sur Cal.com, aux États-Unis. Sur Cal.eu, dans l’Union européenne.
Pas pour le transfert lui-même : la décision d’adéquation pour le Cadre de protection des données suffit pour les entreprises inscrites sur la liste. Le DPA inclut déjà les clauses contractuelles types comme second outil de transfert.
Oui. En vertu du GDPR, les personnes qui réservent avec vous peuvent demander l’accès, la rectification et la suppression de leurs données. Vous leur répondez en tant que responsable de traitement ; au titre de la section 7 du DPA, Cal.com vous assiste en tant que sous-traitant.
Lire les documents originaux
Tout ce qui précède provient de ces documents. Seuls les trois derniers sont les nôtres.
- Règlement (UE) 2016/679, le règlement général sur la protection des données : article 28 sur les sous-traitants, article 32 sur la sécurité, chapitre V sur les transferts.
- Décision d’exécution (UE) 2023/1795 de la Commission du 10 juillet 2023 : la décision d’adéquation pour le Cadre de protection des données UE–États-Unis.
- Cal.com, Inc. sur la liste du Data Privacy Framework, département du Commerce des États-Unis : l’entrée publique, EU-U.S. DPF et UK Extension.
- Accord de traitement des données et son annexe sur les clauses contractuelles types, Cal.com : le contrat pour les données que nous traitons pour vous.
- Politique de confidentialité, Cal.com : les données que nous traitons pour notre propre compte et les droits dont vous disposez sur celles-ci.
- Sécurité chez Cal.com : nos contrôles, nos tests d’intrusion et la divulgation des vulnérabilités.
Une planification que votre délégué à la protection des données peut valider
Un DPA, un transfert licite et une sécurité auditée pour Cal.com. Cal.eu pour les organisations qui conservent leurs données dans l’Union européenne.
CommencerVoir Cal.eu