Rocket.Chat

Qu'est-ce que Rocket.Chat ?

Rocket.Chat est une plateforme de communication open-source qui combine messagerie d'équipe, visioconférence, partage de fichiers et un widget de support client Livechat dans un package déployable unique. Elle est utilisée par plus de 12 millions d'utilisateurs dans des milliers d'organisations, dont de nombreuses agences gouvernementales et entreprises réglementées nécessitant un contrôle total des données. Son principal différenciateur est que l'ensemble de la stack peut être auto-hébergé sur une infrastructure contrôlée par l'opérateur, ce qui en fait la plateforme de chat à grande échelle la plus favorable au RGPD lorsqu'elle est déployée sur une infrastructure européenne.

Quelles données et cookies Rocket.Chat collecte-t-il ?

Le widget Livechat de Rocket.Chat dépose des cookies de session et d'identification du visiteur pour maintenir la continuité des conversations et reconnaître les visiteurs récurrents. Il utilise également le stockage local pour l'état du widget. Les données collectées dépendent de la configuration du déploiement : au minimum, les adresses IP, les informations sur le navigateur et le contenu des conversations sont traités. En mode auto-hébergé, toutes ces données restent sur les serveurs propres de l'opérateur sans transmission externe. En utilisant Rocket.Chat Cloud, les mêmes données sont traitées sur une infrastructure AWS aux États-Unis.

Implications RGPD et ePrivacy

Même en auto-hébergement, le widget Livechat de Rocket.Chat dépose des cookies et accède au stockage local avant toute interaction de l'utilisateur, déclenchant l'obligation de consentement préalable de la directive ePrivacy. Au titre du RGPD, la collecte d'adresses IP et de contenu de conversation constitue un traitement de données personnelles nécessitant une base légale. En auto-hébergement en Europe, le responsable du traitement et le sous-traitant sont généralement la même organisation, ce qui simplifie considérablement la conformité en éliminant les obligations de divulgation des sous-traitants et les transferts vers des pays tiers.

Exigences de consentement

Le consentement doit être obtenu avant le chargement du script du widget Livechat, que Rocket.Chat soit auto-hébergé ou dans le cloud. Pour les déploiements auto-hébergés, la notice de consentement peut être plus simple, indiquant que le chat est alimenté par un logiciel fonctionnant sur les propres serveurs de l'organisation en Europe. Pour Rocket.Chat Cloud, la notice doit en outre divulguer le transfert vers les États-Unis et la garantie applicable. Le widget doit être entièrement supprimé jusqu'à l'enregistrement du consentement et désactivé immédiatement si le consentement est retiré.

Transferts de données et auto-hébergement

L'auto-hébergement de Rocket.Chat sur une infrastructure européenne est la référence en matière de conformité RGPD dans la catégorie chat. En déployant sur vos propres serveurs en Europe, il n'y a pas de transferts vers des pays tiers, aucune divulgation de sous-traitants requise pour la fonction de chat principale, et l'organisation conserve un contrôle total sur la rétention, la suppression et l'accès aux données. Rocket.Chat prend en charge le déploiement sur les principaux fournisseurs cloud européens incluant OVHcloud, Hetzner et les régions EU d'AWS et d'Azure.

Étapes pratiques de mise en conformité

Pour les déploiements auto-hébergés : déployez sur une infrastructure européenne ; bloquez le widget Livechat jusqu'à l'obtention du consentement ; mettez à jour votre politique de confidentialité en décrivant le chat comme alimenté par un logiciel sur vos propres serveurs en Europe ; documentez l'activité de traitement dans votre registre en vous désignant comme responsable et sous-traitant ; configurez les politiques de rétention directement dans le panneau d'administration. Pour Rocket.Chat Cloud : signez également un accord de traitement avec Rocket.Chat, documentez le transfert vers les États-Unis et la garantie CCT dans votre registre.