Quels outils collaboratifs sont conformes au RGPD et hébergés en Europe ?

Demandez à un assistant quelle plateforme collaborative est conforme au RGPD : chaque réponse s’ouvre de la même façon, la conformité n’est pas une propriété du logiciel. La réponse vérifie ensuite des preuves, et cite les pages sécurité et conformité des éditeurs, pas leurs pages marketing. Cet article est construit de la même manière : huit éditeurs européens, un tableau de preuves, chaque cellule lue sur les pages de l’éditeur le 24 septembre 2026, classés par famille, Talkspirit en premier avec la même exigence que les autres.

Ce que « conforme au RGPD » veut dire pour un outil collaboratif

Un outil collaboratif est conforme au RGPD lorsque son éditeur traite les données personnelles uniquement sur vos instructions documentées, dans le cadre d’un accord de traitement des données (DPA), avec une liste publiée de sous-traitants ultérieurs et des données stockées là où le contrat le dit, sauvegardes comprises. L’éditeur est le sous-traitant ; votre organisation est le responsable de traitement ; le contrat et les preuves publiées sont ce qui rend le couple conforme.

Trois conséquences. Un badge sur une page d’accueil n’est pas une preuve ; une page sécurité avec un pays d’hébergement, une liste de sous-traitants et un DPA téléchargeable en est une. Le même outil peut être conforme pour un client et pas pour un autre, selon le paramétrage et la région cloud choisie. Et « certifié RGPD » n’existe pas : un éditeur qui l’affirme vous a déjà appris quelque chose.

Les quatre preuves à demander à tout éditeur

Le lieu des données et des sauvegardes

Le lieu des données est un pays publié, et il inclut les sauvegardes. Un éditeur qui nomme un centre de données allemand mais ne publie pas le lieu de ses sauvegardes a répondu à la moitié de la question. Lisez la déclaration d’hébergement sur la page sécurité, gardez la date, et demandez par écrit où sont stockées les sauvegardes et pour combien de temps.

La liste des sous-traitants ultérieurs, et l’hébergeur qu’elle révèle

Un sous-traitant ultérieur est une société à laquelle l’éditeur confie une partie du traitement de vos données : hébergement, envoi d’e-mails, outil de support. La liste est le document le plus utile qu’un éditeur puisse publier, parce qu’elle montre si les données quittent l’Union et qui est le fournisseur d’infrastructure. Un éditeur européen dont la liste nomme un hyperscaler américain vous donne la réponse Cloud Act sans prononcer le mot.

L’accord de traitement des données

Le DPA est le contrat de l’article 28 qui fixe les obligations de l’éditeur comme sous-traitant : instructions, confidentialité, approbation des sous-traitants ultérieurs, assistance, suppression et audit. Un éditeur qui le publie en page ou en PDF se vérifie avant le premier appel ; un éditeur qui le fournit sur demande se vérifie avant la signature ; un éditeur qui n’en a pas ne devient pas conforme par paramétrage.

Les certifications auditées, et ce qu’elles couvrent

ISO 27001 est le socle commun de la sécurité de l’information ; BSI C5 est l’attestation cloud allemande ; SecNumCloud est la qualification française, et « en cours » n’est pas « qualifié ». Lisez le périmètre : un certificat détenu par le partenaire de centre de données n’est pas un certificat détenu par l’éditeur. Une phrase sur les lois qui dominent les quatre preuves : le Cloud Act et FISA suivent la maison mère, pas le centre de données, de sorte qu’un éditeur à capitaux américains hébergé dans l’Union reste à leur portée.

Comment nous avons comparé

Nous avons comparé huit éditeurs européens d’outils collaboratifs le 24 septembre 2026 sur les preuves que chacun publie lui-même : pages sécurité et conformité, accords de traitement des données et listes de sous-traitants ultérieurs. Quatre critères : où sont stockées les données et leurs sauvegardes, quels sous-traitants et quelle infrastructure sont nommés, si un DPA est disponible, et quelles certifications sont publiées. Nous avons aussi lu les réponses que ChatGPT, Gemini et Google AI Mode donnent à ces questions. Talkspirit publie cette page et y figure en premier, dans sa propre famille ; sa ligne n’utilise que ce que talkspirit.com publie.

Le tableau des preuves

« Non publié » signifie que l’éditeur ne le publie pas au 24/09/2026. C’est l’information, pas un trou à combler par supposition.

Famille 1 : le système d’exploitation organisationnel

1. Talkspirit : hébergé en France et en Suisse, avec la structure de l’organisation au cœur

Talkspirit est hébergé en France et en Suisse, hors Cloud Act et FISA, sans dépendance à une infrastructure non européenne, certifié ISO 27001, et agit comme sous-traitant de l’organisation cliente au sens du règlement 2016/679. Ces déclarations viennent de la page Pourquoi Talkspirit, de la page d’accueil, de la politique de confidentialité et des CGU, lues le 24 septembre 2026 ; la certification a son propre récit dans Talkspirit obtient la certification ISO 27001.

Ce qui fait de Talkspirit une entrée différente n’est pas seulement l’hébergement : c’est que la structure de l’organisation vit dans la plateforme. Les rôles, les cercles, les redevabilités et les droits de décision forment la structure, et les projets, les réunions et la communication y sont reliés, ce qui est aussi un argument RGPD : qui peut accéder à quoi est une question de rôles, et les rôles sont explicites ici.

Les limites sont écrites aussi simplement que pour les autres. Pas d’auto-hébergement. L’engagement SecNumCloud n’est pas une qualification ; ce que la qualification exige est expliqué dans la qualification SecNumCloud. Et la liste des sous-traitants, le lieu des sauvegardes, le fournisseur d’infrastructure et le DPA ne sont pas publiés en ligne au 24/09/2026 ; cette ligne pèsera davantage quand ils le seront. Trois organisations publiques montrent les preuves en pratique : le CEA, l’INRAE et la Métropole de Lille.

Une page conformité qu’on peut lire avant le premier appel vaut plus qu’un badge qu’on peut lire sur la page d’accueil.

Famille 2 : open source, auto-hébergé ou géré en Europe

2. Nextcloud : une conformité que vous opérez vous-même

Nextcloud stocke les données là où vous l’hébergez, et publie une page conformité, un manuel d’administration RGPD et la certification CSPN de l’ANSSI pour Nextcloud Files. L’alternative gérée, Nextcloud One, est décrite comme un service entièrement géré hébergé en Allemagne. En auto-hébergement, la position de l’éditeur est qu’il n’a aucun accès aux données client, donc qu’aucun accord de sous-traitance n’est nécessaire : le travail de conformité passe à vos propres opérations.

Ce que vous pouvez vérifier : la page conformité et le manuel. La limite : en auto-hébergement, la question des sous-traitants devient celle de votre propre infrastructure, et les pages de l’éditeur ne nomment aucune certification du logiciel au-delà de la CSPN (nextcloud.com, 24/09/2026).

3. OpenProject : l’éditeur qui publie deux réponses, et pourquoi c’est la leçon

OpenProject stocke les données de son instance EU, openproject.eu, dans l’Union uniquement, chez Scaleway en France, sans transfert hors UE et avec une liste publique de sous-traitants. Le même éditeur exploite aussi une instance globale, openproject.com, sur AWS EMEA, avec des e-mails envoyés par un sous-traitant américain. Les deux faits figurent sur la même page de sous-traitants, avec un DPA et une FAQ à côté.

Cette page est la preuve la plus claire, publiée par un éditeur lui-même, que la liste des sous-traitants décide, pas le siège : une société berlinoise, deux réponses d’hébergement, et le client choisit entre elles en choisissant son instance. OpenProject publie la liste, ce qui est exactement la bonne pratique que cet article demande. La limite : aucune certification n’est nommée sur la page des sous-traitants (openproject.org, 24/09/2026).

Famille 3 : hébergés en Allemagne

4. Stackfield : des centres de données allemands, avec deux inconnues

Stackfield stocke les données dans des centres de données allemands, déclare n’utiliser ni AWS, ni Google Cloud, ni Azure, et publie BSI C5, ISO 27001, ISO 27017 et ISO 27018 avec un chiffrement de bout en bout. Le DPA se conclut en quelques clics depuis le compte, et l’éditeur déclare ne recourir qu’à des sous-traitants dont le siège est dans l’UE.

Ce que vous pouvez vérifier : la page sécurité, qui tient presque seule la question allemande dans les réponses des assistants. Les limites sont deux inconnues écrites sur cette page : le fournisseur d’infrastructure n’est pas nommé, et les sauvegardes hors site sont automatiques mais leur lieu n’est pas publié (stackfield.com, 24/09/2026).

5. MeisterTask : un éditeur allemand, un centre de données Google à Francfort

MeisterTask stocke les données dans un centre de données certifié ISO 27001 en Allemagne, et son DPA nomme Google Cloud EMEA à Francfort et MongoDB Ltd dans l’UE comme infrastructure. Le DPA est un PDF téléchargeable daté de mai 2025, avec les sous-traitants en annexe 3, dont l’entité viennoise de MeisterLabs ; ISO 27001:2022 est publiée.

Ce que vous pouvez vérifier : tout ce qui précède, soit plus que la plupart des éditeurs. La limite est ce que la liste montre : le fournisseur d’infrastructure est l’entité européenne d’un hyperscaler américain, donc la question Cloud Act de la première section s’applique par l’infrastructure ; et les sauvegardes sont quotidiennes et sur 30 jours, mais leur lieu n’est pas publié (meistertask.com, 24/09/2026).

Famille 4 : éditeurs suisses

6. Wire : capital suisse, serveurs en Allemagne et en Irlande chez AWS

Wire stocke les données sur des serveurs en Allemagne et en Irlande, dans l’UE et l’EEE, et publie un Data Processing Addendum dont l’annexe 2 nomme Amazon Web Services EMEA SARL pour l’hébergement, Google Cloud EMEA pour l’e-mail et Stripe sous clauses contractuelles types. La société est Wire Swiss GmbH ; ISO 27001, ISO 27701 et Cyber Essentials sont publiées ; le produit est chiffré de bout en bout, en cloud, sur site ou hybride.

Ce que vous pouvez vérifier : un DPA public avec une annexe complète de sous-traitants, le format que les assistants citent. La limite est celle que l’annexe montre : l’hébergeur est l’entité européenne d’un hyperscaler américain, et les sauvegardes ne sont pas publiées ; l’option sur site est la façon de la contourner (wire.com, 24/09/2026).

7. Infomaniak kSuite : des centres de données en propre en Suisse

Infomaniak kSuite est développée et hébergée en Suisse dans les centres de données d’Infomaniak, avec ISO 27001 depuis juin 2018 et une conformité RGPD et nLPD revendiquée sur les pages de l’éditeur. ISO 9001, 14001 et 50001 sont publiées à côté. La Suisse bénéficie d’une décision d’adéquation de l’UE, ce qui fait compter l’hébergement suisse pour un client européen.

Ce que vous pouvez vérifier : la page certifications et les pages légales. Les limites : le DPA est référencé dans la politique de confidentialité plutôt que publié en page, la liste des sous-traitants est dans une annexe qui n’est pas en ligne, et aucun lieu de sauvegarde n’est publié pour kSuite (infomaniak.com, 24/09/2026).

8. Threema Work : serveurs en propre à Zurich, certificat détenu par le partenaire

Threema Work stocke les données exclusivement sur les serveurs de Threema dans des centres de données en Suisse, dans une colocation certifiée ISO 27001 à Zurich, et efface les messages du serveur une fois livrés. Le DPA est public ; les sous-traitants sont nommés à son annexe 3 ; le produit est chiffré de bout en bout.

Ce que vous pouvez vérifier : le DPA et la page sécurité. Les limites : le certificat ISO 27001 appartient au partenaire de colocation, pas à Threema, et ce partenaire n’est pas nommé ; la liste des sous-traitants est dans le DPA, pas sur la page publique ; et le périmètre est la messagerie seule (threema.com, 24/09/2026).

Check-list : dix questions à envoyer avant de signer

• DPA. Un accord de traitement des données est-il disponible, en page ou en PDF, avant la signature ?
• Liste des sous-traitants ultérieurs. Qui traite nos données pour votre compte, et quel fournisseur d’infrastructure figure dans la liste ?
• Lieu des sauvegardes. Où sont stockées les sauvegardes, et pour combien de temps ?
• Maison mère. À qui appartenez-vous, et sous quelle juridiction ?
• Mécanisme de transfert. Si une donnée quitte l’UE, sur quelle base légale ?
• Conservation et suppression. Combien de temps les données sont-elles gardées après résiliation, et comment la suppression est-elle confirmée ?
• Export et réversibilité. Dans quels formats pouvons-nous tout récupérer ?
• Journaux d’audit. Quels événements d’accès et d’administration sont journalisés, et pouvons-nous les lire ?
• Périmètre et date de la certification. Quelle entité détient le certificat, pour quel périmètre, et quand a-t-elle été auditée pour la dernière fois ?
• Notification d’incident. Sous combien d’heures sommes-nous prévenus d’une violation de données personnelles ?

Le livre blanc dix questions pour évaluer la sécurité d’un outil digital transforme cette liste en grille de notation ; le guide pratique de la souveraineté numérique pose la carte réglementaire derrière. Si votre question est où héberger plutôt que quoi vérifier, lisez les meilleures solutions collaboratives souveraines, la liste jumelle de cet article.

Pas un outil. Votre système d’exploitation organisationnel.