Loom et RGPD : ce que les agences européennes doivent vérifier

Loom peut être utilisé dans le respect du RGPD, mais vous devez vérifier vous-même quelques documents et réglages. Atlassian, propriétaire de Loom, applique automatiquement son Data Processing Addendum (DPA) et propose depuis mai 2026 la résidence des données dans l’UE pour les nouveaux espaces de travail, mais certains traitements (transcription, fonctionnalités d’IA, données de compte) impliquent des prestataires et des lieux situés hors de la région choisie. Tout ce qui suit vient des pages d’Atlassian, consultées en novembre 2026.

Nous développons un enregistreur d’écran concurrent de Loom : nous nous sommes donc limités strictement à ce qu’Atlassian publie, liens à l’appui. Quand Loom est le meilleur choix, nous le disons.

La réponse courte

Question	Ce que dit Atlassian	Où
Y a-t-il un DPA ?	✓ S’applique automatiquement avec l’Atlassian Customer Agreement	DPA d’Atlassian
Rôle d’Atlassian	Sous-traitant (ou sous-traitant ultérieur) de vos données	DPA, section 1.1
Résidence des données dans l’UE ?	~ Allemagne (Francfort) depuis mai 2026, nouveaux espaces uniquement	Résidence des données Loom
Changer de région plus tard ?	✗ Il faut un nouvel espace ; les vidéos ne peuvent pas être déplacées	Résidence des données Loom
Transferts hors de l’UE	Clauses contractuelles types de l’UE et EU-U.S. Data Privacy Framework	DPA
Sous-traitants ultérieurs	✓ Liste publique, préavis de 30 jours aux abonnés pour tout nouveau	Page Sub-processors, DPA section 4
Règles de conservation	~ Enterprise et Business + AI uniquement, dans les espaces gérés par Atlassian	Conservation des données Loom

D’après les pages d’Atlassian, consultées en novembre 2026. Loom est une marque d’Atlassian.

Qui est responsable de quoi

Le DPA d’Atlassian fixe les rôles : le client est responsable du traitement de ses données (ou sous-traitant agissant pour un autre responsable du traitement), et Atlassian est sous-traitant ou sous-traitant ultérieur. La politique de confidentialité d’Atlassian dit la même chose de l’autre côté : elle couvre ce qu’Atlassian fait en tant que responsable du traitement, comme les informations de compte, et ne s’applique pas quand Atlassian traite des données pour le compte de ses clients.

Pour une agence, cela fait deux niveaux. Votre agence est responsable des vidéos que vous enregistrez, et si elles contiennent des données de votre client, vous agissez peut-être pour le compte de ce client. Loom, via Atlassian, traite les vidéos pour vous. Nous expliquons simplement les rôles de responsable du traitement et de sous-traitant dans RGPD et vidéos clients.

Où Loom stocke vos données

Par défaut, Atlassian ne garantit pas de lieu d’hébergement précis : sa page RGPD indique que l’hébergement est choisi pour réduire la latence et améliorer les performances. Sa liste de sous-traitants mentionne le principal hébergeur, Amazon Web Services, avec des sites dans l’EEE (Suède, Irlande et Allemagne), au Royaume-Uni, en Suisse, aux États-Unis et dans plusieurs autres pays.

Pour rattacher les données à une région, il faut la résidence des données. Pour Loom, la page d’assistance d’Atlassian indique :

• Régions : Allemagne (Francfort) et États-Unis (Oregon), lancées en mai 2026.
• Dans le périmètre : vidéos, commentaires, transcriptions, contenus générés par l’IA comme les résumés et les documents, réglages de l’espace de travail, éléments de montage et fonctionnalités de collaboration sont stockés et traités dans la région choisie.
• Traité à l’échelle mondiale : authentification des utilisateurs, données de session, réglages et préférences des utilisateurs, appartenance à l’organisation, journaux d’audit (qui ne stockent que des identifiants) et fonctionnalités communes à plusieurs espaces comme les notifications, l’historique et « regarder plus tard ». Atlassian affirme ne pas exporter ni traiter le contenu brut des clients hors de la région pour le fonctionnement normal.
• Qui peut en bénéficier : les nouveaux espaces de travail Loom autonomes, les nouveaux clients Teamwork Collection et les clients Jira ou Confluence existants qui ajoutent un nouvel espace Loom. Les déploiements Loom existants sont listés comme « future release » (une version à venir) et les clients Loom Legacy comme « post-migration » (après la migration).
• Limites : la région est fixée à la création de l’espace de travail et ne peut pas être modifiée. Le contenu ne peut pas être transféré entre les espaces européens et américains.

Côté offres : la page générale d’Atlassian sur la résidence des données range Loom parmi les produits avec des offres Standard, Premium et Enterprise, alors que la page de tarifs de Loom utilise d’autres noms (Starter, Business, Business + AI, Enterprise) et ne mentionne pas la résidence des données. Si la résidence dans l’UE est une exigence, demandez à l’équipe commerciale d’Atlassian quelle offre Loom il vous faut avant d’acheter.

Le DPA

Le DPA d’Atlassian (en vigueur depuis le 17 août 2026) est le contrat qui encadre le traitement de vos données par Loom. Les points à connaître :

• Pas de signature séparée. La FAQ d’Atlassian indique que le DPA s’applique automatiquement quand votre organisation accepte l’Atlassian Customer Agreement. Atlassian précise aussi ne pas pouvoir travailler à partir du modèle de DPA de votre organisation.
• Transferts. Pour les données qui quittent l’Europe vers un pays sans décision d’adéquation, les clauses contractuelles types de l’UE sont intégrées par référence, et les deux parties sont réputées les avoir signées. Atlassian adhère aussi à l’EU-U.S. Data Privacy Framework. Une copie présignée des clauses contractuelles types est disponible si vous voulez la garder dans vos dossiers.
• Sous-traitants ultérieurs. Atlassian prévient les clients abonnés au moins 30 jours avant qu’un nouveau sous-traitant ultérieur commence à traiter vos données, et vous pouvez vous y opposer pendant cette période.
• Suppression. À la fin du contrat, Atlassian doit supprimer vos données personnelles, mais peut les conserver lorsque la loi l’exige ou selon ses politiques standard de sauvegarde et de conservation des archives, tout en continuant à les protéger dans le cadre du DPA.

Atlassian publie aussi des documents pour aider ses clients à réaliser leurs analyses d’impact des transferts de données, accessibles depuis la page du DPA.

Les sous-traitants qui interviennent sur Loom

La liste des sous-traitants d’Atlassian (en vigueur depuis le 15 mai 2026) nomme les prestataires de chaque produit. Pour Loom, elle comprend entre autres :

Prestataire	Ce qu’il fait pour Loom	Lieu indiqué
Amazon Web Services	Hébergement cloud	EEE, Royaume-Uni, Suisse, États-Unis et autres
Speechmatics (Cantab Research Ltd)	Transcription	États-Unis
OpenAI	IA générative pour les fonctionnalités Loom AI	États-Unis
Twilio Segment	Analyse de données	États-Unis
Zendesk, PartnerHero	Support client	États-Unis ; Philippines, Roumanie, Afrique du Sud

Page Sub-processors d’Atlassian, en vigueur depuis le 15 mai 2026, consultée en novembre 2026. Loom est une marque d’Atlassian.

La liste évolue : consultez la page en ligne plutôt que ce tableau, et abonnez-vous aux notifications si vous dépendez de Loom.

Fonctionnalités d’IA et transcription

C’est là que se concentrent la plupart des questions, parce que les transcriptions contiennent tout ce que vous avez dit dans la vidéo.

La page Loom AI d’Atlassian indique :

• La transcription utilise les modèles GPT d’OpenAI et Gemini de Google, Whisper (open source) hébergé par Atlassian, et le prestataire de transcription Speechmatics. La page ne dit pas lequel traite une vidéo donnée.
• OpenAI reçoit le texte des transcriptions pour générer titres, résumés, chapitres et documents. Il ne reçoit ni la vidéo ni l’audio, et aucune donnée de transcription quand Loom AI n’est pas utilisé.
• Google Gemini reçoit la vidéo et l’audio pour générer les Action Plans for AI Agents.
• Conservation et entraînement : selon Atlassian, ni OpenAI ni aucun autre fournisseur de LLM ne conserve vos entrées et sorties, et ils ne les utilisent pas pour améliorer leurs services.
• Contrôles : les administrateurs des espaces Business + AI et Enterprise peuvent activer ou désactiver les réglages d’IA pour tout le monde ; chaque utilisateur peut aussi définir ses préférences par défaut ou désactiver des fonctionnalités pour une seule vidéo.

Les transcriptions sont disponibles sur toutes les offres Loom, y compris l’offre gratuite Starter. Deux points à concilier dans votre analyse : la page sur la résidence des données indique que transcriptions et contenus d’IA sont stockés et traités dans votre région, alors que la liste des sous-traitants situe Speechmatics et OpenAI aux États-Unis. Demandez à Atlassian comment cela fonctionne pour un espace hébergé dans l’UE, et obtenez la réponse par écrit. Si la question principale est de savoir où va votre voix, nous comparons les deux approches dans transcription locale ou dans le cloud.

Conservation et suppression

Le RGPD vous demande de ne pas conserver les données personnelles plus longtemps que nécessaire. Dans Loom, la suppression automatique passe par une règle de conservation des données, et la page d’Atlassian indique :

• Les règles de conservation sont disponibles sur les offres Enterprise et Business + AI, et uniquement pour les espaces gérés par Atlassian (pas ceux encore sur l’ancienne console d’administration Loom).
• Les administrateurs peuvent garder les vidéos indéfiniment ou fixer une durée en jours ou en années, pour l’espace de travail ou par espace.
• La durée court à partir de la date de création de la vidéo.
• La suppression couvre enregistrements, transcriptions, résumés d’IA et commentaires, et elle est définitive. Jusqu’à 2 000 vidéos par espace de travail sont supprimées par jour.

Sur les offres Starter et Business, les vidéos restent donc jusqu’à ce que quelqu’un les supprime. C’est le modèle de bibliothèque permanente dont nous parlons dans pourquoi les liens vidéo qui expirent sont plus sûrs.

Les questions à poser à tout outil vidéo

Les mêmes vérifications valent pour Loom, pour JustRec et pour tout autre outil que votre agence utilise pour envoyer des vidéos à ses clients. Chaque réponse se trouve dans un document que l’éditeur devrait publier.

Question	Pourquoi c’est important	Où chercher
Y a-t-il un DPA pour ce produit ? Dois-je le signer ?	L’article 28 du RGPD impose un contrat avec chaque sous-traitant	DPA ou page juridique
L’éditeur est-il sous-traitant pour mes vidéos ? Que fait-il en tant que responsable du traitement ?	Détermine qui répond de quoi	DPA (rôles), politique de confidentialité
Où sont stockés vidéos, transcriptions et commentaires ? Puis-je choisir l’UE ?	Un hébergement dans l’UE évite un transfert à cette étape	Documentation sur la résidence des données ou la sécurité
Qu’est-ce qui est traité hors de cette région, et par qui ?	Transcription et IA sont souvent le point de sortie des données	Liste des sous-traitants
Suis-je prévenu avant l’arrivée d’un nouveau sous-traitant ultérieur ?	Vous voudrez peut-être vous y opposer, ou prévenir vos clients	Liste des sous-traitants, DPA
Quel mécanisme couvre les données qui sortent de l’UE ?	Il figure dans votre registre des activités de traitement	DPA (transferts)
Ma voix est-elle envoyée à un prestataire de transcription ou d’IA ? Puis-je le désactiver ?	Une transcription contient tout ce que vous avez dit	Documentation IA ou transcription
Mon contenu sert-il à entraîner des modèles, chez l’éditeur ou ses prestataires ?	Les données de votre client pourraient finir dans un jeu d’entraînement	Documentation IA, conditions d’utilisation
Combien de temps les vidéos partagées sont-elles conservées ? Peut-on les supprimer automatiquement ?	Les données personnelles ne doivent pas être conservées plus longtemps que nécessaire	Documentation sur la conservation, comparatif des offres
Que deviennent mes données si je résilie ?	La suppression ou la restitution en fin de contrat fait partie du contrat de sous-traitance	DPA (suppression)
La page vidéo dépose-t-elle des cookies ou piste-t-elle les spectateurs ?	C’est votre client qui est pisté	Politique cookies, la page vidéo elle-même

Notez les réponses : elles ont leur place dans votre registre des activités de traitement, et vos clients pourraient vous les demander.

Quand Loom est le meilleur choix, et quand il ne l’est pas

Loom fait beaucoup de choses qu’un petit enregistreur ne fait pas : une vidéothèque d’équipe, des commentaires, des intégrations avec Jira, Confluence et Slack, des résumés et documents générés par l’IA, des contrôles d’administration et un contrat entreprise avec un DPA et une liste de sous-traitants publiés. Si votre agence vit dans les outils Atlassian, ce sont de vrais avantages.

Il convient moins si vous voulez que les vidéos restent en ligne seulement le temps dont le client a besoin, si vous préférez que votre voix ne soit pas transcrite par un tiers, ou si vous êtes sur un espace de travail existant qui ne peut pas passer à la résidence dans l’UE. Notre comparatif JustRec vs Loom met les deux côte à côte, et la page alternative à Loom pour Mac explique ce que nous avons fait autrement.