Carte de visite digitale et RGPD : les réponses de FreeCard aux questions de la DSI

Quelles questions une DSI pose-t-elle avant de valider des cartes de visite digitales ?

Une carte de visite digitale paraît anodine. Elle manipule pourtant des données personnelles à double titre : celles des collaborateurs affichées sur la carte, et celles des prospects qui laissent leurs coordonnées. Avant de valider l’outil, une DSI pose en général sept questions :

• Où sont hébergées les données, et par qui sont-elles traitées ?
• Quel cadre contractuel au sens du RGPD, et qui contacter ?
• Comment les collaborateurs se connectent-ils : SSO, SAML, provisionnement ?
• Que se passe-t-il au départ d’un salarié ?
• Peut-on récupérer et supprimer les données ?
• Quelles garanties pour les fonctions d’intelligence artificielle ?
• Quelles certifications et quels engagements formels ?

Les sections qui suivent répondent à chacune, avec la même règle : ce qui est publié ou vérifié dans le produit au 13/10/2026, et rien de plus.

Où sont hébergées les données FreeCard, et qui les traite ?

FreeCard publie un hébergement en Europe et des traitements réalisés exclusivement au sein de l’Espace économique européen. FreeCard ne publie pas le pays ni la ville du centre de données : si votre politique l’exige, demandez la précision par écrit.

Côté sous-traitants, la politique de confidentialité cite ceux qui interviennent pour l’intelligence artificielle (Google Cloud, API Gemini dans une offre professionnelle sans entraînement sur vos données, ou la passerelle IA de Lovable) et, avec consentement, les outils de mesure et de publicité du site. Elle ne publie pas de liste exhaustive de tous les sous-traitants techniques. Pour un dossier de conformité complet, demandez cette liste au délégué à la protection des données.

Sur le chiffrement, FreeCard annonce des données chiffrées et les échanges passent par HTTPS. Le détail du chiffrement au repos n’est pas documenté publiquement.

Quel cadre RGPD : sous-traitance, DPO, droits des personnes ?

• Contrat de sous-traitance. Une annexe « Contrat de sous-traitance (Article 28 du RGPD) » est intégrée à la politique de confidentialité, mise à jour le 6 septembre 2026.
• Délégué à la protection des données. Il est joignable à dpo@freecard.fr.
• Export. Dans Réglages → Exports, un utilisateur exporte son compte et un administrateur peut exporter l’organisation, en JSON ou en CSV (séparateur point-virgule, UTF-8 avec BOM). Un seul export peut être en cours, dans la limite de 3 demandes par jour.
• Suppression. Un compte gratuit est supprimé immédiatement. Avec un abonnement actif, un délai de grâce de 7 jours permet d’annuler. Un certificat de suppression est envoyé par email et reste téléchargeable 90 jours.
• Visiteurs des cartes. Un visiteur reste anonyme tant qu’il ne remplit pas volontairement le formulaire d’échange. Ce formulaire est protégé par un captcha et des limites d’envoi.
• Moteurs de recherche. Une carte n’est indexée par Google qu’avec l’accord de son titulaire.

SSO, SAML, SCIM : comment les collaborateurs se connectent-ils ?

FreeCard propose deux connexions fédérées, ouvertes à tous les comptes :

• Microsoft Entra ID, par le bouton « Microsoft » à l’inscription et à la connexion, en OAuth / OpenID Connect avec les seules portées openid, email et profile ;
• Google, par « Continuer avec Google », en OAuth.

Ce qui n’existe pas : pas de SAML, pas de SCIM, et pas de SSO d’entreprise imposé à tout votre domaine. Le provisionnement se fait autrement :

• invitations par email, valables 7 jours et renvoyables ;
• import CSV d’invitations, jusqu’à 1 000 lignes ;
• rattachement automatique à l’organisation des personnes de votre domaine, une fois celui-ci vérifié par DNS ou par un email à postmaster, admin ou webmaster (offre Team payante).

Les droits reposent sur deux rôles, dirigeant et salarié. Le propriétaire ne peut pas être rétrogradé et l’organisation garde toujours au moins un dirigeant.

Que deviennent la carte et les contacts au départ d’un salarié ?

Sans SCIM, le départ d’un salarié dans FreeCard est une action à inscrire dans votre procédure de sortie. Une fois déclenchée par un administrateur :

• la carte reste à l’entreprise, à la même adresse et avec le même QR code, et devient vacante ;
• les contacts restent à l’entreprise et ne sont plus accessibles au partant ;
• les passes Apple Wallet et Google Wallet du partant sont désactivés ;
• les cartes NFC nominatives sont révoquées ;
• le partant conserve un compte personnel, détaché de l’organisation.

La carte vacante peut être réattribuée à un membre ou à une personne invitée, en cochant les contacts transférés. Les contacts sans titulaire apparaissent dans un onglet « Non attribués », visible des seuls administrateurs. Le détail est sur la page départ d’un collaborateur.

Quelles garanties sur les fonctions d’intelligence artificielle ?

Les fonctions d’IA sont optionnelles et réservées aux offres payantes, sauf le scanner (3 scans par mois en Gratuit). Les garanties vérifiables :

• Scanner de cartes papier : la photo est analysée par le modèle Gemini 2.5 Flash via la passerelle IA de Lovable, pour en extraire les coordonnées.
• Débrief vocal du Copilote : seul l’utilisateur dicte, son interlocuteur n’est jamais enregistré. L’audio est supprimé après transcription, sauf option de conservation de 30 jours avec purge automatique.
• Brouillon de relance : l’email et le téléphone du contact ne sont pas transmis au modèle, et FreeCard n’envoie rien lui-même.
• Connexion de Claude ou ChatGPT (MCP) : lectures sans email ni téléphone, aucun envoi d’email, consentement écran par écran, révocation, journal d’audit et données dans l’Union européenne. Voir la page connecter Claude ou ChatGPT.

Ce que FreeCard ne propose pas aujourd’hui

Pour arbitrer en connaissance de cause, voici les manques à connaître au 13/10/2026 :

• Pas de SAML ni de SSO imposé par domaine.
• Pas de SCIM : ni création ni désactivation automatique des comptes depuis votre annuaire.
• Aucune certification de sécurité annoncée. La politique de confidentialité cite des normes comme moyens de preuve possibles, sans certification obtenue.
• Pas de liste exhaustive publiée des sous-traitants techniques.
• Pas de localisation précise du centre de données publiée.
• Pas d’application native à distribuer par MDM : FreeCard est une application web, rien à installer sur iPhone, Android ou ordinateur.
• Pas de connecteur Salesforce actif : HubSpot, Pipedrive et Airtable sont natifs, le reste passe par webhooks.

Si l’un de ces points est bloquant pour votre politique de sécurité, mieux vaut le savoir avant la démonstration que pendant le déploiement.

Checklist de déploiement pour la DSI

• Relire l’annexe de sous-traitance et demander au DPO la liste des sous-traitants techniques.
• Choisir le mode de connexion recommandé (Microsoft Entra ID ou Google) et le communiquer aux équipes.
• Vérifier le domaine de l’entreprise pour activer le rattachement automatique.
• Nommer au moins deux dirigeants dans l’organisation pour éviter un point de blocage.
• Définir la charte : champs imposés et champs figés, voir charte graphique des cartes d’équipe.
• Décider des intégrations autorisées (CRM, webhooks, accès IA) et les règles internes d’usage.
• Ajouter l’étape « départ FreeCard » à la procédure de sortie des salariés.
• Tester un export de l’organisation et archiver le résultat.

Exigences DSI et réponses de FreeCard au 13/10/2026

Informations relevées dans le produit et sur freecard.fr le 13/10/2026.