Aller au contenu principal
Quel Logiciel Contrats

Éditeur américain : sur quelle base accepter le transfert ?

Un candidat sérieux stocke ou traite vos contrats aux États-Unis, votre DPO ou votre direction vous demande si c’est permis, et vous devez le garder ou l’écarter.

Le chemin le plus simple pour garder cet éditeur tient à deux conditions : vérifier que la société qui signe avec vous est bien inscrite au Data Privacy Framework (le cadre transatlantique qui permet ce transfert sans autorisation spécifique), et faire écrire au contrat un mécanisme de secours, par exemple des clauses contractuelles types (des clauses de transfert modèles adoptées par la Commission), pour le jour où ce cadre tomberait. S’il n’est pas inscrit, ces clauses restent possibles après une analyse d’impact des transferts, ou une région de l’Union écrite au contrat.

Ce cadre est valide au 5 novembre 2026 mais contesté : le Tribunal de l’Union a rejeté le recours de Philippe Latombe, et son pourvoi, un recours contre ce jugement, est en attente devant la Cour de justice. Si un client vous demande par écrit de rester dans l’Union, écartez cet éditeur ou obtenez une région de l’Union écrite au contrat.

Notre avis

Un éditeur américain ne s’écarte pas par principe. Il s’écarte quand il ne prouve pas sa base de transfert, ou quand un engagement écrit envers un client vous l’interdit. Une promesse sur un site ne suffit pas pour un cadre encore contesté.

Pourquoi

  • Le texte autorise ce transfert. Selon la Commission, les données peuvent circuler librement vers les entreprises américaines qui participent au cadre. Nous en déduisons qu’une entreprise non inscrite ne profite pas de ce régime : il faut alors un autre outil de transfert.
  • Les deux cadres précédents sont déjà tombés : la Cour a invalidé la décision de 2000 dans l’arrêt Schrems I, en 2015, et le Privacy Shield dans l’arrêt Schrems II, en 2020. Prévoir la suite relève de la prudence ordinaire.
  • « Conforme au RGPD » ne désigne pas une base. LinkSquares déclare une conformité et un hébergement aux États-Unis, Ironclad des clauses contractuelles types : ce sont deux réponses de nature différente, et seule la seconde nomme un mécanisme.

Ce qui change notre avis

Une exigence écrite d’un client de rester dans l’Union : écartez l’éditeur, ou exigez une région de l’Union au contrat, avec ce qui en sort encore. Une décision de la Cour annulant le cadre : le secours doit jouer, et faites vérifier sa solidité sans attendre.

L’ordre que nous conseillons

  1. L’inscription est vérifiée et le secours est écrit : gardez l’éditeur.
  2. L’éditeur n’est pas inscrit mais propose des clauses contractuelles types : gardez-le seulement après une analyse d’impact des transferts, avec votre DPO.
  3. Une région de l’Union est écrite au contrat : gardez-le, en notant ce qui peut quand même sortir (support, IA, données de transaction).
  4. Aucune base nommée, ou une exigence écrite d’un client vous l’interdit : écartez-le.

Quatre vérifications, dans cet ordre

Ce travail revient à votre délégué à la protection des données (DPO) s’il y en a un, sinon à la personne qui signe. Conservez les preuves datées avec le contrat, car elles changent.

  1. Identifiez qui signe et où vont les données. Faites écrire l’entité contractante, le pays de stockage, celui des sauvegardes, du support et de l’IA. Une filiale européenne qui signe peut encore faire traiter les données aux États-Unis. Un contrat qui contient le nom d’un signataire contient une donnée personnelle : le sujet vous concerne.
  2. Vérifiez l’inscription. Cherchez dans la liste officielle du cadre la société qui traitera les données, et non la marque. Regardez si l’inscription est active et ce qu’elle couvre, puis gardez une copie datée. Nous n’avons pas pu lire cette liste : ne vous fiez pas à la déclaration d’un site, même quand elle paraît claire.
  3. Écrivez le secours. Demandez que les clauses contractuelles types de la Commission s’appliquent si la décision d’adéquation est annulée, suspendue ou si l’éditeur perd son inscription. La CNIL publie un guide sur l’analyse d’impact des transferts, à lire avec ce choix.
  4. Écrivez la sortie. Si aucune base ne reste valable, vous devez pouvoir partir sans indemnité et récupérer vos contrats dans un délai fixé. Une clause de résiliation type peut sinon vous faire payer ce qui reste dû.

Où en est le cadre au 5 novembre 2026

La Commission a adopté le 10 juillet 2023 la décision d’adéquation, qui reconnaît un niveau de protection adéquat aux entreprises participantes. Philippe Latombe en a demandé l’annulation, et le Tribunal de l’Union a rejeté son recours le 3 septembre 2025 (affaire T-553/23). Il a formé un pourvoi le 31 octobre 2025 (C-703/25 P), affiché comme pendant sur le site de la Cour à la date de lecture. Nous ne connaissons pas son issue, et nous ne la prédisons pas.

La Commission indique aussi que les garanties américaines en matière de renseignement s’appliquent à tous les transferts vers les États-Unis, quel que soit l’outil utilisé, ce qui facilite selon elle les clauses contractuelles types et les règles d’entreprise contraignantes. Nous en déduisons une limite à garder en tête : si une décision future remet en cause ces garanties, le secours devra être réexaminé à son tour. Écrire des clauses ne dispense donc pas de suivre l’affaire. Mettez une date de contrôle dans votre registre, par exemple chaque trimestre.

Ce que les éditeurs déclarent sur leur base

Ces lignes viennent de leurs pages, sans vérification. Elles montrent surtout la diversité des réponses, et ce qu’il vous reste à demander.

Déclarations sur l’hébergement et le transfert (lecture du 5 novembre 2026)
ÉditeurCe qu’il déclareQuestion à poser
ConcordCertification au Data Privacy Framework et à ses extensions ; AWS aux États-Unis et en Europe, avec un choix du lieu de stockage annoncé sans détailPeut-on imposer l’Europe seule ? Quelle société figure dans la liste ?
IroncladProduction sur Google Cloud aux États-Unis ; clauses contractuelles types et accord de traitement. Une aide signale un transfert vers les États-Unis aux clients européens pour une option de journalisationUne région dans l’Union existe-t-elle ? L’inscription au cadre existe-t-elle aussi ?
DocusignRégion Europe possible ; données de transaction répliquées hors région avec des garanties « approuvées » non nommées sur cette page. Un billet français parle de stockage exclusif en EuropeLaquelle des deux pages fait foi pour votre compte ? Quelle garantie, précisément ?
LinkSquaresAWS aux États-Unis, conformité RGPD déclarée, sans base nomméeQuel mécanisme de transfert ?
AgiloftAWS « aux États-Unis ou en dehors », sans région de l’Union nomméeOù, et sur quelle base ?
Icertis et SirionAucune région ni base lue pour un client européenRégion, sous-traitants, mécanisme

Une région dans l’Union règle-t-elle tout ?

Elle règle le stockage, et cela peut suffire à une exigence écrite. Elle ne règle pas forcément le reste. Docusign écrit que des noms, des adresses e-mail et des pistes d’audit peuvent être copiés entre régions, et que le support d’autres régions peut y accéder, sans accéder aux documents. Si un client vous demande de rester dans l’Union, montrez-lui ce détail, et laissez-le dire si cela lui convient.

Gino cite le Cloud Act comme une raison de préférer un hébergement souverain. C’est l’argument d’un vendeur qui propose cette option. Nous n’avons pas lu ce texte américain et nous n’en disons rien ici : si cette question compte pour vous, faites-la instruire par un conseil, car elle porte sur l’accès par des autorités, pas sur la base de votre transfert.

N’oubliez pas non plus votre confidentialité commerciale. Le Data Privacy Framework parle de données personnelles. Il ne dit rien du secret de vos prix ou de vos clauses : cela se règle dans les clauses de confidentialité du contrat.

Les éditeurs non américains posent aussi la question

Le sujet ne s’arrête pas aux marques américaines. Les conditions générales de Tomorro permettent des transferts hors de l’Union vers des pays listés en annexe, avec garanties appropriées, et ses fonctions d’IA passent par Azure OpenAI, sans région indiquée. Nous n’avons pas pu lire cette annexe. Juro est britannique : la CNIL indique que la Commission a reconnu au Royaume-Uni un niveau de protection équivalent, ce qui relève d’une autre décision, à contrôler de même. Posez donc les mêmes quatre questions à tous vos candidats.

Limites de cette page

Cette page résume des textes lus à une date et n’est pas un avis sur un transfert donné : le responsable de traitement reste vous, et un DPO ou un conseil est utile si les contrats portent des données sensibles ou un enjeu important. Elle n’a pas analysé les motifs de l’arrêt T-553/23 et ne prédit pas la décision de la Cour.

Nous n’avons pas pu lire la liste officielle du cadre : aucune inscription citée n’est vérifiée, et celle de Concord est une déclaration de l’éditeur. Les fiches détaillées de la CNIL sur les transferts et le texte de la décision sur le Royaume-Uni n’ont pas été lus : pour un éditeur britannique, faites contrôler ce point à part. Le CLOUD Act (la loi américaine sur l’accès des autorités aux données) n’a pas été lu non plus : si c’est la question de votre DPO, cette page ne la tranche pas, et il faut la faire analyser à part.

Et maintenant ?

Demandez l’entité contractante et la base de transfert, cherchez cette entité dans la liste officielle du cadre, faites écrire le mécanisme de secours (par exemple des clauses contractuelles types) et la sortie, et notez une date de contrôle sur l’affaire C-703/25 P. Si un client exige par écrit de rester dans l’Union, écartez l’éditeur ou obtenez une région de l’Union écrite, puis vérifiez ce qui en sort encore.

Preuves et sources

RGPD, page de la Commission européenne sur les transferts, arrêt T-553/23, fiche de l’affaire C-703/25 P, page de la CNIL et pages de sécurité d’éditeurs lus le 5 novembre 2026. La liste officielle du Data Privacy Framework n’a pas pu être lue, et nous n’avons vérifié aucune inscription. Le CLOUD Act n’a pas été lu.

Voir les 20 éléments : ce qui est un fait lu, une déclaration, notre déduction ou notre avis

  • Notre avis. Un éditeur américain reste acceptable si l’inscription au Data Privacy Framework est vérifiée et qu’un mécanisme de secours est écrit ; il s’écarte s’il ne prouve aucune base ou si un client exige par écrit de rester dans l’Union, sauf région de l’Union écrite.

    Portée : Achat d’un logiciel de contrats par une PME ou une ETI.

    Réserve : Avis général, pas un avis sur un transfert donné.

    Relevé le 5 novembre 2026.

  • Fait lu. La Commission a adopté le 10 juillet 2023 une décision d’adéquation : les données peuvent circuler librement depuis l’Union vers les entreprises américaines qui participent au Data Privacy Framework.

    Portée : Union vers États-Unis, entreprises participantes seulement.

    Réserve : Un prestataire américain non inscrit n’en bénéficie pas.

    Relevé le 5 novembre 2026.

  • Fait lu. Selon l’article 45 du RGPD, un transfert fondé sur une décision d’adéquation ne nécessite pas d’autorisation spécifique.

    Portée : UE, article 45, paragraphe 1.

    Relevé le 5 novembre 2026.

  • Fait lu. Le Tribunal de l’Union a rejeté le recours de Philippe Latombe contre cette décision le 3 septembre 2025 ; un pourvoi formé le 31 octobre 2025 (C-703/25 P) est affiché pendant au 5 novembre 2026.

    Portée : Droit de l’Union ; statut lu sur le site de la Cour.

    Réserve : Motifs de l’arrêt non analysés ; aucune issue connue. Le cadre peut encore être remis en cause.

    Relevé le 5 novembre 2026.

  • Fait lu. L’arrêt Schrems I du 6 octobre 2015 a déclaré invalide la décision 2000/520/CE ; la CNIL rappelle que l’arrêt Schrems II du 16 juillet 2020 a invalidé le Privacy Shield.

    Portée : Rappels dans l’arrêt T-553/23 et sur la page de la CNIL.

    Réserve : Cités pour l’historique du cadre.

    Relevé le 5 novembre 2026.

  • Fait lu. La Commission indique que les garanties américaines en matière de renseignement s’appliquent à tous les transferts vers les États-Unis au titre du RGPD, quel que soit l’outil, et facilitent le recours aux clauses contractuelles types et aux règles d’entreprise contraignantes.

    Portée : Page de la Commission, non datée.

    Réserve : Position de la Commission, non d’un juge.

    Relevé le 5 novembre 2026.

  • Notre déduction. Si une décision future remet en cause ces garanties, des clauses contractuelles types écrites en secours devront être réexaminées.

    Portée : Notre raisonnement.

    Réserve : Aucun texte lu ne le dit ainsi ; à valider avec un conseil.

    Relevé le 5 novembre 2026.

  • Fait lu. La CNIL présente comme outils de transfert l’adéquation, les règles d’entreprise contraignantes et les clauses contractuelles types, et publie un guide d’analyse d’impact des transferts.

    Portée : France, page de synthèse.

    Réserve : Fiches détaillées non lues.

    Relevé le 5 novembre 2026.

  • Notre déduction. La liste officielle du Data Privacy Framework n’a pas pu être lue le 5 novembre 2026 : aucune inscription d’éditeur n’est vérifiée ici.

    Portée : Seul le titre de la page s’est affiché.

    Réserve : Vérification à faire par le lecteur, sur l’entité qui signe.

    Relevé le 5 novembre 2026.

  • Déclaration de l’éditeur. Concord déclare être certifié au Data Privacy Framework et à ses extensions britannique et suisse, et héberger sur AWS aux États-Unis et en Europe.

    Portée : Page mondiale, non datée.

    Réserve : Déclaration non vérifiée dans la liste officielle ; la page annonce le choix du lieu de stockage (« You can choose where your data is stored »), sans dire si l’Europe seule est possible : à faire écrire.

    Relevé le 5 novembre 2026.

  • Déclaration de l’éditeur. Ironclad déclare une production sur Google Cloud aux États-Unis et un programme RGPD fondé sur des clauses contractuelles types et un accord de traitement.

    Portée : Page mondiale.

    Réserve : Ne prouve ni n’exclut une région de l’Union disponible.

    Relevé le 5 novembre 2026.

  • Déclaration de l’éditeur. L’aide d’Ironclad signale un transfert de données vers les États-Unis aux clients européens pour la diffusion du journal d’audit vers un outil externe.

    Portée : Aide d’Ironclad, module payant.

    Réserve : Ne décrit pas le stockage principal d’un client européen.

    Relevé le 5 novembre 2026.

  • Déclaration de l’éditeur. La page « Data residency » de Docusign dit que des données de transaction (noms, e-mails, pistes d’audit) peuvent être copiées entre régions avec des garanties de transfert approuvées, et que le support d’autres régions y accède sans accéder aux données d’accord ; son billet français du webinaire de janvier 2026 dit que documents et données de transaction sont stockés exclusivement en Europe.

    Portée : Pages de l’éditeur.

    Réserve : Conflit non tranché : faire écrire la réponse au contrat. Garanties non nommées sur cette page.

    Relevé le 5 novembre 2026.

  • Déclaration de l’éditeur. LinkSquares déclare héberger sur AWS aux États-Unis et une conformité RGPD et CCPA ; Agiloft un hébergement AWS « aux États-Unis ou en dehors », sans région de l’Union nommée.

    Portée : Pages mondiales.

    Réserve : La conformité déclarée ne dit pas où sont stockées les données d’un client français.

    Relevé le 5 novembre 2026.

  • Déclaration de l’éditeur. Aucune page lue d’Icertis ni de Sirion ne nomme une région d’hébergement pour un client européen.

    Portée : Pages lues ; page sécurité de Sirion inaccessible.

    Réserve : Une absence sur ces pages n’est pas une absence : à demander.

    Relevé le 5 novembre 2026.

  • Déclaration de l’éditeur. Gino cite le Cloud Act et le renforcement du cadre européen pour présenter la localisation des données comme une question centrale, et propose un hébergement souverain via OVHcloud.

    Portée : Page de l’éditeur, France.

    Réserve : Argument commercial ; le texte américain n’a pas été lu.

    Relevé le 5 novembre 2026.

  • Fait lu. Les conditions générales de Tomorro prévoient des transferts possibles hors de l’Union vers des pays listés en annexe 2 avec garanties appropriées ; ses conditions IA indiquent des fonctions fournies avec Azure OpenAI, sans région.

    Portée : Conditions générales du 29 juillet 2026 ; conditions IA du 25 avril 2025.

    Réserve : Contenu de l’annexe 2 non capturé.

    Relevé le 5 novembre 2026.

  • Fait lu. La CNIL indique que la Commission a constaté que le Royaume-Uni assure un niveau de protection substantiellement équivalent, ce qui permet les transferts depuis l’Union vers ce pays.

    Portée : France, résumé sur la page de synthèse.

    Réserve : La décision et sa durée n’ont pas été lues : à contrôler.

    Relevé le 5 novembre 2026.

  • Fait lu. Le traitement par un sous-traitant est régi par un contrat écrit qui fixe notamment le sort des données en fin de prestation.

    Portée : UE, article 28, paragraphes 3 et 9.

    Réserve : Délai d’exécution non fixé par le texte.

    Relevé le 5 novembre 2026.

  • Déclaration de l’éditeur. Juro est présenté comme une société britannique, Juro Online Limited, et ne nomme aucune région d’hébergement sur la page lue.

    Portée : Page de sécurité de Juro.

    Réserve : Une option peut exister : à demander.

    Relevé le 5 novembre 2026.

Notre méthode