Hébergé aux États-Unis. Conforme au GDPR.

Les deux sont tombés pour les mêmes raisons : le droit américain donnait aux agences de renseignement un accès étendu et n’offrait aucun recours juridictionnel aux personnes en Europe. L’Executive Order 14086 a modifié le droit américain sur ces deux points, et le Data Protection Review Court existe.

Le Tribunal de l’UE a examiné précisément ces points et confirmé la décision d’adéquation le 3 septembre 2025. L’affaire est désormais devant la Cour de justice (C-703/25 P), qui ne s’est pas encore prononcée. Jusqu’à ce qu’un tribunal en décide autrement, la décision est du droit de l’UE contraignant dans chaque État membre.

Ces deux lois existent, et nous ne prétendrons pas le contraire. La collecte au titre de la FISA Section 702 est désormais encadrée par l’Executive Order 14086 : liée à des objectifs définis, nécessaire, proportionnée et susceptible de contrôle par le Data Protection Review Court. La Commission l’a évalué dans sa décision d’adéquation.

Le CLOUD Act concerne les enquêtes pénales. Il fonctionne par procédure légale pour des comptes précis, comme un mandat ou une décision de justice, et non par collecte massive. Il s’applique à tout fournisseur relevant de la juridiction américaine, où que soient les serveurs. Comme toute entreprise, Cal.com peut être tenue de divulguer des données en réponse à des demandes légales d’autorités publiques.

Les transferts ont alors besoin d’un autre outil, comme le note la DSK dans ses Anwendungshinweise. Le nôtre est déjà en place : le DPA inclut les clauses contractuelles types de 2021, et elles s’appliquent à tout transfert non couvert par le cadre (section 12 du DPA).

Les garanties de l’Executive Order 14086 relèvent du droit américain. Elles s’appliquent à toutes les données envoyées aux États-Unis, quel que soit l’outil de transfert, comme le souligne le Comité européen de la protection des données. Les organisations qui ne veulent aucune question de transfert peuvent nous parler de Cal.eu.

Non. Une analyse d’impact du transfert (TIA) et des mesures supplémentaires concernent les transferts reposant sur des outils de l’article 46, comme les clauses contractuelles types. Pour les transferts vers des entreprises inscrites, la note d’information du Comité européen de la protection des données est explicite : pas d’outil de l’article 46, et pas de mesures supplémentaires.

Pas pour le transfert. L’article 45 du GDPR en est la base, donc l’exception de consentement de l’article 49 ne s’applique pas. La réservation elle-même nécessite une base légale au titre de l’article 6, comme avec tout outil de planification dans n’importe quel pays.

Dans le cadre, les données RH désignent les données personnelles relatives au propre personnel d’une entreprise certifiée, collectées dans le cadre de la relation de travail. La DSK note que c’est ainsi que la partie américaine interprète le terme. Cal.com traite des données de compte et de réservation comme service pour ses clients, ce qui constitue des données non RH.

Les autorités allemandes demandent aux exportateurs d’examiner de près les données d’employés envoyées dans un contexte d’emploi. Si vous adoptez l’approche la plus stricte, les clauses contractuelles types de notre DPA couvrent ce transfert.

Royaume-Uni : oui. Cal.com, Inc. est certifiée au titre de l’extension britannique du EU-U.S. Data Privacy Framework, en vigueur depuis le 12 octobre 2023. Suisse : Cal.com n’est pas certifiée au titre du Swiss-U.S. Data Privacy Framework. Les transferts depuis la Suisse reposent sur les clauses contractuelles types avec les amendements suisses, dans notre annexe SCC.

Écrivez d’abord à [email protected]. Nous répondons aux réclamations concernant le cadre sous 45 jours. Si cela ne résout pas la situation, Cal.com s’est engagée à coopérer avec le panel des autorités de protection des données de l’UE et à suivre son avis. C’est gratuit pour la personne qui porte réclamation.

Une réclamation concernant l’accès par les agences de renseignement américaines est adressée à votre autorité nationale de protection des données, qui la transmet via le Comité européen de la protection des données. Notre politique de confidentialité contient les détails.

Non. C’est notre lecture des sources publiques listées ci-dessous. La date du dernier examen se trouve en haut de cette page. Votre délégué à la protection des données décide pour votre organisation, et nous répondrons volontiers à ses questions à [email protected].