ClickUp

Qu'est-ce que ClickUp ?

ClickUp est une plateforme SaaS de productivité et de gestion de projet exploitée par Mango Technologies, Inc. (San Diego, Californie). Fondée en 2017 par Zeb Evans, elle est devenue l'un des plus grands outils all in one, utilisée par des dizaines de milliers d'organisations pour tâches, docs, sprints, objectifs, OKRs, time tracking, chat et dashboards. ClickUp est livré comme application web et mobile hébergée, avec des clients iOS, Android et desktop. Sur un site public, ClickUp apparaît soit en SaaS interne utilisé par les employés, soit sous forme de formulaires embarqués, dashboards publics ou liens de partage exposant du contenu à des audiences externes.

Usage workplace vs usage public

En usage interne, ClickUp traite des données employés : nom, email professionnel, photo de profil, IP, heures de connexion, contenu des tâches (titres, descriptions, commentaires, pièces jointes), time tracking, mentions, champs personnalisés et toutes données ajoutées par les employés. L'opérateur est responsable, ClickUp est sous traitant. En usage public (ClickUp Forms embarqué sur une page marketing, dashboards publics partagés par lien), ClickUp charge des scripts et dépose des cookies sur clickup.com, et trace les évènements de soumission.

Implications RGPD et ePrivacy

En usage workplace, l'opérateur traite les données employés sous RGPD avec une base légale qui dépend de l'activité (nécessité contractuelle pour la fourniture du service, intérêt légitime pour sécurité et audit). ClickUp agit comme sous traitant au titre de son DPA. Pour les formulaires ou dashboards embarqués sur des pages publiques, l'art. 5(3) ePrivacy exige un consentement avant chargement des scripts et cookies ClickUp. La soumission d'un formulaire ClickUp par un visiteur est son propre traitement avec sa propre base (typiquement consentement pour les formulaires marketing, nécessité contractuelle pour les demandes de support).

Résidence US et analyse de transferts

ClickUp traite les données clients sur AWS aux États-Unis. Pas d'option de résidence UE en 2025. ClickUp s'auto certifie sous le EU US Data Privacy Framework et propose des CCT. Les opérateurs européens doivent conduire une analyse d'impact des transferts axée sur l'exposition au CLOUD Act US et au FISA 702, documenter les mitigations (chiffrement at rest, MFA, RBAC, accès admin limité, journaux d'audit) et déterminer si le risque résiduel est acceptable pour leur secteur. Les déploiements en secteur public et santé doivent évaluer des alternatives basées en UE.

Intégrations et flux de données

ClickUp s'intègre à Slack, Microsoft Teams, Google Drive, OneDrive, GitHub, GitLab, Jira, Figma, Salesforce, HubSpot, Zapier et bien d'autres. Chaque intégration crée un flux additionnel à inscrire au registre. Les opérateurs doivent vérifier quelles intégrations sont actives, si elles propagent des données personnelles, quelle est la résidence du partenaire et si la base consentement ou contrat de ClickUp s'étend au partenaire.

Mise en pratique

Signer le DPA et les CCT ClickUp. Inscrire ClickUp au registre des traitements avec catégories de données, durées, intégrations et mécanisme de transfert US. Conduire une analyse d'impact des transferts avec mitigations documentées. Pour les formulaires ou dashboards embarqués sur pages publiques, les gater derrière une CMP et lister les cookies clickup.com dans la politique cookies. Informer les employés via la politique de confidentialité workplace et consulter le CSE si requis. Pour les contextes sensibles, évaluer des alternatives européennes.