Conditionnellement conforme·Transfert hors UE détecté
Mécanisme légal: Data Privacy Framework + SCC + DPA HubSpot. Hébergement EU optionnel (Frankfurt) recommandé.
Cookies déposés par cet outil
Liste détectée lors d'un usage standard. À déclarer dans votre politique cookies.
| Nom | Type | Finalité | Durée |
|---|---|---|---|
| hubspotutk | premier | Identification utilisateur cross-domain HubSpot | 6 mois |
| _hssc | premier | Compteur sessions HubSpot | 30 min |
| _hssrc | premier | Identifie nouvelle session | Session |
| __hstc | premier | Tracking visiteurs (visites, timestamp, source) | 6 mois |
Trackers associés:js.hs-scripts.comtrack.hubspot.comapi.hubapi.comforms.hubspot.com
Risques RGPD à connaître
- Tracking cookies HubSpot déclenchés par défaut avant consentement
- Hébergement US par défaut = transferts massifs
- Intégrations tierces (Zapier, Slack, OpenAI Content Assistant) multiplient chaînes de sous-traitance
- Lead scoring + tracking comportemental = profilage RGPD strict
- Workflows automatisés peuvent constituer décisions automatisées (Art. 22 RGPD)
Configurer HubSpot de manière conforme
Configuration RGPD-compliant pour HubSpot :
1. **Choisir l'hébergement EU à la souscription** : option payante mais essentielle pour souveraineté. Si déjà US : migration vers EU possible sous conditions.
2. **Activer GDPR Compliance Tools** : Settings > Privacy > GDPR. Active consentement granulaire forms, lawful basis tracking.
3. **Bloquer scripts tracking avant consentement** : utiliser CMP pour empêcher chargement js.hs-scripts.com. Tag Manager recommandé.
4. **Activer Cookie Banner HubSpot ou intégrer CMP tierce** : Settings > Tracking & Analytics > Cookie consent banner.
5. **Signer le DPA HubSpot** : Account > Account & Billing > Sign DPA. Disponible avec DPF mention.
6. **Auditer intégrations** : chaque app Marketplace = sous-traitant potentiel. Lister, signer DPA respectifs, mentionner dans politique.
7. **Encadrer fonctionnalités IA** : ChatSpot et Content Assistant envoient données vers OpenAI. Désactiver pour données sensibles client. Consentement client B2B si activé.
8. **Mentionner dans politique** : HubSpot comme sous-traitant principal, hébergement (US ou EU), DPF, cookies déposés, finalité tracking, droit opposition.
Alternatives RGPD-friendly à HubSpot
Solutions hébergées en UE ou avec un cadre légal solide.
Pipedrive
EstonieCRM européen, hébergement EU, conformité RGPD native. Plus simple que HubSpot. Tarifs : 14-99 €/mois/user.
Brevo CRM (ex-Sendinblue)
FranceCRM + marketing automation + email, hébergement EU, RGPD-friendly. Tarifs : 19-69 €/mois.
Salesflare
BelgiqueCRM B2B européen, hébergement EU, focus simplicité. Tarifs : 29-99 €/mois/user.
Cet outil est-il actif sur votre site ?
RGPDScan détecte automatiquement les 400+ outils SaaS sur votre site et vous alerte sur les risques RGPD associés.
Scanner mon site gratuitementQuestions fréquentes
HubSpot est-il conforme RGPD en 2026 ?
Conditionnellement oui : DPA signé, DPF actif, hébergement EU recommandé, blocage tracking avant consentement. Configuration par défaut non-conforme — paramétrage obligatoire.
Combien coûte l'hébergement EU HubSpot ?
Supplément variable selon volume (typiquement +10-25% sur licence). Disponible uniquement à la souscription ou via migration encadrée. Recommandé pour conformité.
Mon CRM HubSpot peut-il être audité par la CNIL ?
Oui en cas de plainte ou contrôle sectoriel. Contenu B2B audité (contacts, deals, emails). Vérifier durées conservation (3 ans après dernier contact pour prospects).
Quelle alternative française gratuite à HubSpot ?
Brevo CRM (gratuit jusqu'à 250 contacts), HubSpot CRM gratuit reste populaire malgré RGPD. EspoCRM (open-source self-hosted), SuiteCRM gratuit.
Les workflows HubSpot constituent-ils profilage automatique ?
Si décisions automatisées sans intervention humaine impactant fortement personne (Art. 22 RGPD) : oui. Lead scoring + envoi automatisé = limite. Audit recommandé.
Puis-je utiliser ChatSpot (IA HubSpot) en RGPD ?
Avec prudence : ChatSpot envoie données vers OpenAI USA. DPA OpenAI nécessaire. Pour données clients : anonymisation préalable ou désactivation recommandée.