Calendly est-il conforme au RGPD ? Ce que dit sa documentation

Ce que dit la documentation de Calendly

Calendly LLC est une société américaine ; c'est elle qui signe le contrat, d'après les conditions d'utilisation de Calendly. Son centre d'aide indique que les données des utilisateurs et des invités sont stockées dans des centres de données aux États-Unis, exploités par Google Cloud et AWS.

Le DPA de Calendly fonde les transferts vers les États-Unis sur le Data Privacy Framework UE-États-Unis. Si ce cadre cessait de s'appliquer, les clauses contractuelles types prendraient le relais. Calendly publie aussi la liste de ses sous-traitants.

Article 28 et chapitre V : deux questions différentes

On confond souvent les deux. L'article 28 du RGPD fixe le contenu du contrat entre le responsable de traitement et son sous-traitant : instructions, confidentialité, sécurité, sous-traitants ultérieurs, aide pour les droits des personnes, sort des données en fin de contrat. C'est le rôle d'un DPA. Il ne dit rien de la licéité d'un transfert hors de l'UE.

Les transferts relèvent du chapitre V du RGPD (articles 44 et suivants). Vers les États-Unis, la documentation de Calendly cite deux bases : la décision d'adéquation adoptée le 10 juillet 2023 pour le Data Privacy Framework (décision d'exécution (UE) 2023/1795, article 45), qui vise les entreprises américaines certifiées, et les clauses contractuelles types (article 46). Depuis l'arrêt Schrems II de la Cour de justice de l'UE (affaire C-311/18, 16 juillet 2020), un transfert fondé sur des clauses types suppose d'évaluer le droit du pays de destination : c'est l'analyse d'impact des transferts de données (AITD, ou TIA en anglais).

En France, l'autorité de contrôle est la CNIL, qui rassemble ses ressources sur le sujet dans sa page Transférer des données hors de l'UE.

Points à vérifier avant de choisir un outil de prise de rendez-vous

Commencez par l'hébergement et le contractant : dans quel pays tournent l'application et la base de données, et quelle société signe le contrat. Puis la liste des sous-traitants : chaque prestataire qui reçoit des données (paiement, envoi d'e-mails, suivi des erreurs, agendas connectés) est un destinataire à inscrire dans votre registre des traitements.

Regardez ensuite ce que demande le formulaire de réservation. Un nom, une adresse e-mail et l'objet du rendez-vous suffisent souvent ; chaque question ajoutée est une donnée de plus à justifier.

Enfin, la conservation et les droits des personnes : combien de temps gardez-vous les rendez-vous passés, et comment répondez-vous à un invité qui demande l'accès à ses données ou leur effacement ?

Données de santé : ce que le DPA de Calendly exclut

Certains rendez-vous en disent long à eux seuls : une consultation chez un psychologue, un dépistage, un entretien avec un délégué syndical. Ces informations relèvent de l'article 9 du RGPD. Le DPA publié par Calendly (annexe I, en vigueur depuis le 1er juin 2026) n'autorise pas le client à transmettre des catégories particulières de données, comme les données de santé. Une réservation qui révèle à elle seule une visite médicale ne devrait donc pas passer par Calendly sans l'avis préalable de votre DPO.

Limitez les questions, évitez un champ libre sur le motif du rendez-vous et choisissez une durée de conservation courte. Chez Kalendarius, nos conditions n'autorisent ce type de données qu'avec les offres Business ou Enterprise, accompagnées d'un DPA. Ce DPA est en cours de revue juridique : écrivez à info@kalendarius.com avant de collecter de telles données.

Ce que fait Kalendarius, et ce que l'hébergement ne couvre pas

Kalendarius est exploité par Ugur Akcelik, à Turin. L'application et la base de données tournent sur des serveurs Hetzner en Allemagne, à Nuremberg et à Falkenstein. Les centres de données de Hetzner sont certifiés ISO/IEC 27001 ; cette certification est celle de Hetzner, pas la nôtre. Un contrat de sous-traitance (DPA) pour les forfaits Business et Enterprise est en cours de revue juridique ; écrivez à info@kalendarius.com.

L'hébergement en Allemagne règle la question du stockage chez nous, pas le reste. Si vous connectez Google Agenda ou Outlook, Google et Microsoft traitent les données de votre agenda selon leurs propres conditions ; de notre côté, nous vérifions les plages occupées sans stocker les titres ni les descriptions de vos autres événements. Paddle encaisse les paiements en tant que merchant of record, un prestataire d'e-mails envoie confirmations et rappels, et Sentry signale les erreurs techniques. Vous restez responsable de traitement : la base légale, les questions du formulaire et la durée de conservation sont vos choix.

Les pages de réservation publiques ne chargent aucun traceur publicitaire ni outil de mesure d'audience (ni Google Ads, ni pixel Meta). Les rendez-vous terminés sont supprimés automatiquement après la durée que vous fixez, plafonnée à 90, 180 ou 365 jours selon le forfait. Si un invité demande l'effacement de ses données, écrivez à info@kalendarius.com : nous anonymisons ses réservations à partir de son adresse e-mail (nom, adresse e-mail, notes et horodatage du consentement sont supprimés). Le reste (horaire, statut, réponses à vos propres questions, motif d'annulation) est supprimé à la fin de cette durée de conservation. Les événements déjà inscrits dans un agenda connecté y restent. Nous pouvons aussi vous envoyer un export des réservations d'un invité. Fonctions et prix : voir notre alternative européenne à Calendly. Pour l'essayer sur vos propres rendez-vous, commencez gratuitement avec le forfait Personnel.