Où sont stockées les données de votre logiciel ? Le RGPD expliqué simplement

Vous signez pour un logiciel de facturation. Vous cochez « J’accepte », vous importez votre fichier clients, et c’est parti. À aucun moment vous n’avez vu où atterrissent les coordonnées de ces clients, leurs RIB, vos chiffres de marge. Quelque part. « Dans le cloud. » C’est flou, et ce flou-là n’est pas un détail technique.

Savoir si un logiciel a ses données hébergées en Europe ou ailleurs, ce n’est pas une coquetterie de juriste. C’est une décision de risque, prise une fois, qui vous suit des années. Données en Europe : cadre clair, droit que vous connaissez. Mêmes données sur des serveurs à l’autre bout du monde : vous héritez de lois étrangères que vous ne maîtrisez pas et que, honnêtement, vous n’avez pas le temps de suivre. Vérifier ne demande ni DPO ni budget : trois questions à votre fournisseur, et vous savez où vous en êtes.

Ce que le RGPD demande vraiment à une TPE

On se figure le RGPD comme une montagne d’obligations pour grands groupes. C’est faux pour l’essentiel — et ça arrange surtout les vendeurs de « mise en conformité » qui facturent 3 000 € un PDF que vous auriez pu remplir vous-même.

Pour une TPE qui tourne avec des outils en ligne, le règlement tient en quelques principes de bon sens. Vous ne collectez que ce qui sert. Vous savez où ça vit. Vous pouvez l’exporter ou l’effacer. Et le point qu’on oublie toujours : vous restez responsable des données que vous confiez à un prestataire. Le terme juridique, c’est sous-traitant. Votre logiciel de facturation est votre sous-traitant. S’il fuit, c’est votre nom à vous qui part dans la déclaration à la CNIL — pas seulement celui de l’éditeur.

D’où le poids de la localisation. Le RGPD autorise le transfert de données personnelles hors Union européenne, oui, mais sous conditions, et ces conditions bougent au gré des décisions de justice (souvenez-vous du Privacy Shield, retoqué du jour au lendemain). À l’intérieur de l’Espace économique européen, le sol est stable. Dès que les données franchissent la frontière, vous récupérez une incertitude juridique qui n’est pas la vôtre à gérer.

Inutile de lire les 88 articles du règlement un dimanche soir. Une seule question, posée à chaque outil que vous utilisez, fait l’essentiel du travail : mes données restent-elles en Europe ?

Hébergement en Europe ou hors Europe : pourquoi ça change tout

Un serveur, ce n’est pas une abstraction. C’est une machine. Dans un bâtiment, dans un pays, soumise au droit de ce pays. Vos données « dans le cloud » dorment sur un disque bien réel, à un endroit précis du globe — et l’endroit décide de qui peut mettre la main dessus.

Mettons que votre fichier clients soit sur des serveurs à Dublin, Francfort ou Paris. Par exemple une région cloud comme eu-west-1, en Irlande. Ces données relèvent du droit européen. Si une administration française veut y accéder, elle passe par une réquisition judiciaire, avec un juge et un cadre. C’est lent, et vous seriez au courant.

Maintenant, les mêmes fichiers stockés en Virginie ou dans l’Oregon. Là, ils relèvent aussi du droit américain, et les règles d’accès ne sont plus les vôtres. Une autorité étrangère peut réclamer la communication des données sans que vous — ni parfois même l’éditeur du logiciel — soyez prévenus.

Une nuance, quand même : un hébergement européen ne vous rend pas « conforme RGPD » par magie. Un hébergeur européen peut très bien bâcler tout le reste. Mots de passe partagés sur un Post-it, base clients gardée dix ans sans raison, zéro contrat de sous-traitance signé avec ses prestataires. L’hébergement européen, c’est le socle ; il ne fait pas le reste, mais rien ne tient sans lui.

Les trois questions à poser à n’importe quel fournisseur

Avant de signer, ou pour faire le tri dans ce que vous utilisez déjà, envoyez ces trois questions au support. Un fournisseur sérieux répond en deux lignes ; celui qui noie le poisson vous a déjà répondu, en creux.

• Où sont physiquement hébergées mes données ? Vous attendez un pays ou une région, pas un « dans le cloud ». Une bonne réponse, c’est « serveurs en Irlande » ou « datacenter à Paris ». Si on vous lâche « chez AWS » sans préciser, relancez : AWS héberge aussi bien à Paris qu’en Virginie, et ce n’est pas le même droit qui s’applique.
• Qui peut accéder à ces données, et sous quelle loi ? Vous cherchez à savoir si l’éditeur, sa maison mère ou un sous-traitant lointain peut consulter votre base. Et de quel pays relève la société. Une entreprise américaine reste soumise au droit américain même quand ses serveurs sont en Europe.
• Comment je récupère et je supprime tout, et en combien de temps ? L’export complet et l’effacement de vos données sont des droits, pas des faveurs. Un bon outil vous donne un bouton ou un délai chiffré. Un mauvais reste vague sur le délai et vous laisse deviner que partir sera pénible.

Gardez les réponses par écrit. Un mail suffit, classé dans un dossier « RGPD ». Le jour où un client réclame de savoir où sont ses données, ou si la CNIL frappe, vous sortez le mail et vous avez fait le travail.

Les SaaS américains : ce que le Cloud Act change pour vous

Beaucoup d’outils du quotidien, et parmi les meilleurs, sont édités par des sociétés américaines. Personne ne prétend ici qu'« américain = mauvais ». Ce qui compte, c’est une loi précise : le Cloud Act.

Cette loi permet aux autorités américaines d’exiger d’une entreprise relevant du droit US la communication des données qu’elle détient — y compris quand ces données sont stockées sur des serveurs en Europe. Autrement dit, la localisation physique ne suffit pas toujours : ce qui compte aussi, c’est la nationalité de l’entreprise qui tient le serveur.

Concrètement, pour une TPE, cocher « serveurs en Europe » sur la fiche d’un éditeur américain ne ferme pas complètement la porte. C’est mieux que des serveurs au Texas, d’accord. Mais l’entreprise, elle, reste sous une législation qui peut entrer en conflit avec le RGPD.

Faut-il fuir tout outil américain pour autant ? Non : la moitié de votre journée numérique y passerait. La vraie question se calibre sur la sensibilité des données. Un outil qui stocke des photos de chantier, le risque est théorique — qui irait réquisitionner ça. Celui qui héberge vos bulletins de paie, des données de santé au travail ou tout votre fichier clients, l’arbitrage mérite trente secondes. Et pour ces données-là, il existe souvent une alternative européenne équivalente. Vous choisissez en connaissance de cause.

Comment vérifier concrètement où vivent vos données

La méthode qui suit se mène un vendredi de fin de mois, entre deux dossiers.

D’abord, listez les logiciels qui touchent des données personnelles : clients, salariés, fournisseurs. Pas tous vos outils, seulement ceux qui manipulent des noms, des coordonnées, des RIB, des numéros de SIRET. Vous en trouverez sans doute entre cinq et quinze du premier coup, et il vous en reviendra deux ou trois le lendemain, par exemple l’outil de signature électronique que plus personne n’ouvre mais où dorment encore vos contrats.

Pour chacun, trois endroits à regarder :

• La page « Sécurité », « Confidentialité » ou « RGPD » du site de l’éditeur. Les sérieux y affichent leur hébergeur et la région. Quand c’est introuvable, c’est déjà un signal.
• Les CGU ou la politique de confidentialité. Cherchez les mots « hébergement », « transfert », « États-Unis », « clauses contractuelles types ». Pénible, oui, mais un Ctrl+F règle ça en deux minutes.
• Le support, avec les trois questions du dessus, quand le site reste muet.

Notez le résultat dans un tableau tout bête : nom de l’outil, pays d’hébergement, nationalité de l’éditeur, type de données. Une demi-journée de travail, et vous tenez une cartographie qui vous servira des années — et qui forme, au passage, une bonne partie de votre registre des traitements, ce fameux document que la CNIL peut vous demander. Les outils d’IA entrent aussi dans ce tableau. Voyez ce qu’il faut confier à ChatGPT.

Ce choix, nous l’avons fait en amont, justement pour vous l’épargner : les données de nos modules sont stockées en Europe, en Irlande, et nous ne gardons que le strict nécessaire au fonctionnement de chaque outil. Il y a une exception, et nous préférons l’écrire. Quand le module de rapprochement ne parvient pas à prouver seul les montants d’une facture, il en envoie le texte à un modèle d’intelligence artificielle hébergé aux États-Unis, pour relecture. Le fichier, lui, reste en Europe. Notre politique de confidentialité nomme chaque prestataire et ce qu’il reçoit.

Pour une TPE, le RGPD se ramène à une question de bon sens à laquelle il faut savoir répondre sans hésiter : si un client me demande où sont ses données, est-ce que je peux le lui dire ? Posez les trois questions, gardez les réponses, et vous aurez fait l’essentiel.