En bref
Depuis le 1er septembre 2023, la nouvelle loi fédérale sur la protection des données (nLPD) s'applique à toutes les données personnelles. Un message WhatsApp d'acheteur ou de locataire en contient presque toujours : nom, numéro, budget, situation familiale, parfois davantage.
Votre agence est responsable du traitement. Meta, votre hébergeur et votre fournisseur d'IA traitent aussi des données pour vous. Le bon réflexe consiste donc à savoir qui reçoit quoi, où, et pourquoi, puis à l'expliquer à vos prospects.
Cette page donne une information générale. Elle ne remplace pas l'avis d'un juriste pour votre situation.
Qui fait quoi dans une conversation WhatsApp ?
Votre agence
Elle décide pourquoi et comment les données des prospects sont traitées, et répond de ses obligations.
Meta (WhatsApp)
Transporte les messages et traite certaines données selon ses propres conditions.
Votre VPS
Stocke l'historique de votre messagerie partagée, chez l'hébergeur choisi par l'agence.
Votre fournisseur d'IA
Reçoit le texte des messages qu'il doit traiter pour proposer une réponse.
Les 7 points à vérifier
1. Informer vos prospects
La nLPD impose d'informer les personnes lors de la collecte de leurs données : identité de l'agence, finalités, destinataires et pays étrangers concernés. Une déclaration de confidentialité accessible depuis votre profil WhatsApp ou votre premier message répond à ce besoin.
2. Vérifier les communications à l'étranger
Meta et de nombreux fournisseurs d'IA sont établis hors de Suisse. Depuis le 15 septembre 2024, la Suisse reconnaît un niveau de protection adéquat aux entreprises américaines certifiées selon le Swiss-U.S. Data Privacy Framework. Vérifiez la certification ou les garanties contractuelles de chaque fournisseur, et mentionnez les pays concernés dans votre déclaration.
3. Ne demander que l'utile
Pour qualifier une demande, le budget, le secteur, la date et le type de bien suffisent souvent. Évitez de faire transiter par WhatsApp des copies de pièces d'identité ou des documents financiers si un canal plus adapté existe.
4. Sécuriser les accès
Un compte par conseiller, des mots de passe robustes, l'authentification à deux facteurs, des sauvegardes et des mises à jour régulières du serveur. Retirez les accès d'un collaborateur qui quitte l'agence.
5. Fixer des durées de conservation
Décidez combien de temps vous gardez les conversations d'un prospect sans suite, et supprimez-les ensuite. Une durée écrite et appliquée vaut mieux qu'un historique illimité.
6. Savoir si un registre est obligatoire
Les entreprises de moins de 250 collaborateurs sont dispensées du registre des activités de traitement, sauf si elles traitent des données sensibles à grande échelle ou pratiquent un profilage à risque élevé (art. 24 OPDo). Tenir une liste simple reste une bonne pratique.
7. Réagir en cas de violation
Si une violation de la sécurité entraîne vraisemblablement un risque élevé pour les personnes, elle doit être annoncée au Préposé fédéral à la protection des données et à la transparence (PFPDT) dans les meilleurs délais.
L'IA dans vos conversations
Indiquez clairement à vos prospects qu'un assistant automatisé leur répond et qu'un conseiller peut reprendre la conversation. Ne laissez pas l'IA prendre seule une décision importante pour une personne, comme écarter une candidature de location : la nLPD prévoit un devoir d'information pour les décisions individuelles automatisées, et la personne peut demander qu'un humain réexamine la décision.
Configurez l'IA pour qu'elle transmette les demandes sensibles ou inhabituelles à un conseiller. C'est ce que nous faisons lors de l'installation, à l'étape de qualification.
Ce qu'un serveur à votre nom change, et ce qu'il ne change pas
Avec SuperagentIA, la base de données de votre messagerie est installée sur un VPS dont votre agence détient les accès. Vous choisissez l'hébergeur et le pays du serveur, et vous ne dépendez pas d'un abonnement pour accéder à votre historique.
En revanche, les messages WhatsApp passent par Meta et les textes envoyés à l'IA passent par son fournisseur. Le VPS simplifie la maîtrise des données ; il ne dispense pas des points ci-dessus.
Que risque une agence ?
La nLPD prévoit des amendes pouvant atteindre 250 000 CHF. Elles visent les personnes physiques responsables, en cas de violation intentionnelle de certaines obligations, comme le devoir d'informer, les règles de communication à l'étranger ou les exigences minimales de sécurité.
Au-delà de l'amende, une fuite de conversations nuit surtout à la confiance de vos clients vendeurs et acheteurs.
Questions fréquentes
L'application WhatsApp sur le téléphone personnel d'un conseiller pose-t-elle problème ?
Elle mélange données privées et professionnelles et rend l'historique dépendant d'un seul téléphone. Une messagerie partagée avec un compte par conseiller facilite l'information, la sécurité et la reprise des conversations.
Faut-il le consentement du prospect pour lui répondre ?
Répondre à une demande qu'il vous a adressée ne nécessite en principe pas de consentement spécifique, à condition de l'informer. Pour lui envoyer des messages à votre initiative sur WhatsApp, Meta exige par ailleurs son accord préalable.
Une agence doit-elle nommer un conseiller à la protection des données ?
Non, ce n'est pas obligatoire pour une entreprise privée en Suisse. Désigner une personne de référence en interne reste utile.
SuperagentIA rend-il mon agence conforme à la LPD ?
Non. Nous installons l'outil sur votre serveur et documentons les fournisseurs utilisés. La conformité dépend aussi de vos pratiques, de votre déclaration de confidentialité et de vos contrats avec les fournisseurs.
Sources : Portail PME de la Confédération, nLPD · Conseil fédéral, Swiss-U.S. Data Privacy Framework · PFPDT. Information à jour au 30 octobre 2026.