Comités de crédit, salles de marchés, rendez-vous clients : dans la banque et l'assurance, un planning nomme des contreparties, des opérations, des échéances. Le secteur vit sous inventaire permanent de ses prestataires — chaque SaaS ajouté est une ligne de plus à documenter, auditer et résilier proprement.
Depuis l'arrêt Schrems II (CJUE, 2020), la tension entre le Cloud Act américain et le RGPD n'est pas résolue : les données détenues par un fournisseur sous juridiction américaine restent accessibles aux autorités américaines, même hébergées en Europe.
Le règlement (UE) 2022/2554 (DORA), applicable depuis le 17 janvier 2025, impose aux entités financières un registre de leurs prestataires TIC et une gestion formalisée du risque tiers. Un outil de réservation qui n'héberge aucune donnée de réservation chez l'éditeur allège d'autant l'analyse — la qualification exacte revient à votre fonction conformité.
La circulaire FINMA 2018/3 « Outsourcing » exige des banques et assurances suisses l'inventaire et l'encadrement de leurs externalisations essentielles. Moins de données confiées à des tiers, c'est un périmètre d'externalisation plus court à défendre en audit.
Depuis l'arrêt Schrems II (CJUE, 16 juillet 2020), la tension entre le Cloud Act américain de 2018 et le RGPD demeure : les données détenues par un fournisseur sous juridiction américaine restent atteignables par ses autorités, même hébergées en Europe. Des plannings qui ne quittent pas votre infrastructure sont hors de ce champ.
Comité de crédit, comité des risques, data room : l'objet, les participants et la récurrence de vos comités ne transitent par aucun tiers — la réservation reste dans vos calendriers.
Les agences réservent box et bureaux comme n'importe quel calendrier ; les demandes passent par vos administrateurs, chaque poste activé est tracé et révocable.
Client sobre : pas de télémétrie, pas d'analytics, pas de CDN. Ce que fait l'application se constate techniquement — un argument concret face à un auditeur interne ou externe.
Pour votre conformité : le périmètre détenu par l'éditeur se limite au compte de l'organisation (e-mails, licence, sièges, empreintes d'appareil hachées) — exportable et documenté par la fiche de conformité de l'espace client, avec finalités et durées de rétention datées.
L'externalisation se pilote par l'inventaire : chaque prestataire qui détient des données entre au registre DORA, dans l'inventaire FINMA, dans le plan d'audit. Un planning qui ne quitte pas votre infrastructure ne crée pas cette ligne : le portail de licence ne détient que le compte de l'organisation, et l'application ne parle qu'à vos calendriers. C'est une dépendance de moins à documenter, tester et résilier.
Plannings, participants et réservations vivent dans vos calendriers Zimbra/CalDAV et sur vos postes — pas chez l'éditeur, pas dans un cloud étranger soumis à des lois extraterritoriales.
La licence est un certificat signé, vérifié localement : l'application continue de fonctionner sans connexion, coupure réseau comprise.
Pas de trackers, pas d'analytics embarquée, pas de CDN : ce que fait l'application se vérifie, il n'y a rien à croire sur parole.
Ces éléments décrivent l'architecture du produit, pas une certification sectorielle. Ils ne constituent pas un avis juridique : faites valider votre conformité par un spécialiste. Contenu à faire relire par un juriste avant publication.