Aller au contenu principal
Quel Logiciel Contrats

Hébergement en France : exigence réelle ou argument ?

Votre DSI, un client ou un éditeur vous parle d’hébergement en France, et vous devez décider si ce critère élimine des candidats ou s’il sert surtout à vendre.

Sans exigence écrite d’un client, d’une autorité ou de votre secteur, demandez l’Union européenne avec la liste des sous-traitants : cela suffit. Dans les textes que nous avons lus, ni le RGPD ni DORA n’imposent la France, ni même l’Union en tant que telle. Le RGPD encadre les transferts hors de l’Union, et DORA, qui vise les entités financières, exige que le contrat dise où sont les données.

Exigez la France quand un document le demande : un marché, un contrat de client, une politique de groupe ou votre autorité. Dans ce cas, suivez le texte à la lettre et faites-le écrire au contrat. « Hébergé en France » sur un site peut désigner bien moins que ce que vous croyez, et c’est là qu’il faut regarder.

Notre avis

Ne payez pas pour la France par réflexe. Demandez où sont stockés les contrats, les sauvegardes et les traitements d’IA, et qui peut y accéder : ces réponses comptent plus que le mot « France ».

Pourquoi

  • Le RGPD ne distingue pas la France de l’Allemagne ou de l’Irlande : selon son article 1er, la libre circulation des données au sein de l’Union n’est ni limitée ni interdite pour des motifs liés à la protection des personnes.
  • Une promesse sur un site peut ne porter que sur une partie du chemin. La sauvegarde, le support ou l’IA peuvent passer ailleurs : Tomorro indique des sauvegardes à Francfort, et ses fonctions d’IA passent par Azure OpenAI, sans région dite.
  • L’offre française n’est pas toujours celle que vous verrez. Chez Legisway, les annexes lues donnent l’Allemagne pour l’une et la France pour l’autre selon l’édition.

Ce qui change notre avis

Une exigence écrite d’un client, d’une autorité ou d’un marché : suivez-la, même si elle vous paraît excessive. Entité financière soumise à DORA : le contrat doit dire les lieux de service et de données, et le prestataire doit vous prévenir avant d’en changer. Secteur réglementé, données de santé : c’est un autre sujet, à traiter avec votre conseil.

L’ordre que nous conseillons

  1. Une exigence écrite impose la France : exigez la France, avec les sauvegardes et le traitement d’IA au contrat.
  2. Une exigence écrite impose l’Union, ou vos clients la réclament : exigez une région de l’Union écrite, avec la liste des sous-traitants et les transferts éventuels.
  3. Aucune exigence écrite : demandez l’Union et la liste des sous-traitants, sans payer de supplément pour la France.
  4. Vous envisagez un éditeur dont le stockage est hors de l’Union : passez à la question de la base de transfert.

Ce que disent les textes lus

Le RGPD s’inquiète des pays tiers, pas des frontières internes. L’article 1er, paragraphe 3, protège la libre circulation au sein de l’Union, et les articles 44 et suivants encadrent les transferts vers les pays tiers. Docusign écrit lui-même que le RGPD n’exige pas de stocker les données seulement dans l’Union : c’est vrai du texte, à condition qu’une base de transfert existe.

DORA, pour les entités financières, précise que le règlement n’impose pas de localisation dans l’Union (considérant lu, à propos des prestataires critiques). Il demande en revanche que le contrat indique les régions ou les pays où les services sont fournis et où les données sont traitées, stockage compris, et que le prestataire informe l’entité avant de les changer (article 30).

Un autre texte cible une pièce précise : l’article L102 C du livre des procédures fiscales fixe des règles de stockage pour les factures. Il ne vise pas les contrats. Il peut compter si votre outil archive aussi des factures. Enfin, le référentiel SecNumCloud (une qualification de sécurité délivrée par l’ANSSI) n’a pas pu être lu : nous n’écrivons pas qu’il s’impose à un logiciel de contrats. Si un document vous le demande, partez de ce document.

Où les éditeurs disent héberger vos contrats

Ce tableau reprend leurs déclarations, sans audit. Une case vide de région ne prouve rien : elle dit que nous n’avons pas lu de réponse.

Hébergement déclaré (lecture du 5 novembre 2026)
ÉditeurCe qu’il déclareCe qui reste à faire écrire
TomorroProduction en France chez AWS (Paris), sauvegardes à FrancfortRégion d’Azure OpenAI ; sous-traitants de l’annexe 2 ; pays de transfert
GinoFrance par défaut sur Azure, mais la même page parle aussi d’« Azure Europe » ; OVHcloud sur demande, qualifié SecNumCloud selon l’éditeur. L’accueil met en avant cet hébergement souverain, la page Sécurité le présente comme une optionPays exact sur Azure ; quelle offre, à quel prix, et l’attestation
LegiswaySelon l’annexe : Allemagne sur AWS avec sauvegarde en Irlande, ou France chez Claranet et Equinix pour l’édition EntrepriseLaquelle des annexes s’applique à votre édition
OneflowAWS en Irlande et en SuèdeListe complète des sous-traitants
JuriviewUnion européenne, hébergeur non nomméNom de l’hébergeur et attestations
DocusignCinq régions ; le CLM existe en Europe. Région fixée à la création du compte. Les données de transaction peuvent être répliquées hors région selon sa page Data residency, alors qu’un billet français parle de stockage exclusif en EuropeRégion au contrat avant création du compte ; sort des noms, e-mails et pistes d’audit
ConcordAWS aux États-Unis et en Europe ; choix du lieu annoncé, sans plan ni détailUne clause de résidence
IroncladProduction sur Google Cloud aux États-Unis ; plusieurs régions évoquées pour la résidence, sans région européenne nomméeExistence d’une région dans l’Union, et base de transfert
DiliTrust, MYLEGITECH, Juro, Icertis, SirionAucune région de la plateforme lueLa région de stockage et des sauvegardes

Quatre pièges derrière « hébergé en France »

Le premier piège : les mentions légales parlent du site web. Celles de Tomorro indiquent un site hébergé par AWS à Paris, celles de DiliTrust OVH à Roubaix, et MYLEGITECH OVH. Cela ne dit rien des contrats. Chez DiliTrust et MYLEGITECH, nous n’avons lu aucun lieu pour la plateforme.

Le deuxième : la sauvegarde. Chez Tomorro à Francfort, chez Legisway en Irlande selon l’annexe de mars 2025. Ce n’est pas un défaut si l’Union vous suffit, mais c’est une rupture si votre client exige la France seule.

Le troisième : l’IA et le support. Le contrat peut être stocké à Paris et lu ailleurs par un modèle. Docusign indique que son support peut venir d’autres régions, avec accès aux données de transaction, sans accès aux données d’accord. Posez la question séparément.

Le quatrième : le choix difficile à défaire. Docusign indique ne pas pouvoir déplacer les données d’accord après la création du compte, mentionne seulement un clonage de compte vers une autre région, et un client web reçoit une région selon sa localisation. Choisissez avec un représentant si la région compte pour vous, avant le premier document.

La phrase à faire écrire

Voici une proposition à soumettre à votre conseil ou à votre délégué à la protection des données (DPO), à adapter à l’exigence réelle : « Le prestataire stocke les contrats, leurs métadonnées et leurs sauvegardes dans [pays ou Union européenne]. Tout traitement hors de ce territoire, y compris par un sous-traitant, un service d’IA ou le support, figure à l’annexe et donne lieu à une information préalable du client. »

Prenez aussi la liste des sous-traitants. Le Comité européen de la protection des données (CEPD) précise qu’un simple accès à une liste mise à jour de temps à autre ne suffit pas à informer le client d’un changement. La suite de ce suivi après signature se trouve sur notre page consacrée aux sous-traitants de données.

Limites de cette page

Cette page ne qualifie aucun hébergement : elle reprend des déclarations et des annexes, sans vérification technique. Elle ne couvre ni les données de santé, ni les marchés de défense, ni les règles sectorielles que nous n’avons pas lues : Legisway précise par exemple que son hébergeur de l’édition Entreprise n’est pas agréé pour les données de santé.

Nous n’avons pas lu de texte imposant la France à une PME ordinaire, ce qui ne prouve pas qu’aucun n’existe pour votre activité. La phrase proposée est un point de départ, pas un conseil sur un contrat donné. Si un client important dépend de ce point, faites valider votre clause.

Et maintenant ?

Cherchez d’abord si un document écrit vous impose un lieu. S’il l’impose, reprenez-le à la lettre au contrat ; sinon, demandez l’Union européenne, la liste des sous-traitants, et les lieux de sauvegarde, d’IA et de support. Pour un stockage hors de l’Union, vérifiez aussi la base de transfert. Si vous êtes une entité financière soumise à DORA, faites écrire les lieux de service et de données et l’obligation de vous prévenir avant d’en changer. Pour des données de santé ou un secteur réglementé, voyez cela avec votre conseil : cette page ne le couvre pas.

Preuves et sources

RGPD, DORA, pages de sécurité et annexes de traitement des éditeurs lus le 5 novembre 2026. Le référentiel SecNumCloud (la qualification de sécurité de l’ANSSI pour les services cloud) n’a pas pu être lu. Aucun logiciel testé, aucun audit d’hébergement réalisé.

Voir les 16 éléments : ce qui est un fait lu, une déclaration, notre déduction ou notre avis

  • Notre avis. Sans exigence écrite, l’Union européenne et la liste des sous-traitants suffisent ; la France n’a de sens que sur demande d’un client, d’une autorité ou d’un marché.

    Portée : PME et ETI hors secteur réglementé.

    Réserve : Avis fondé sur les textes lus.

    Relevé le 5 novembre 2026.

  • Fait lu. Selon l’article 1er, paragraphe 3, du RGPD, la libre circulation des données à caractère personnel au sein de l’Union n’est ni limitée ni interdite pour des motifs liés à la protection des personnes physiques ; les articles 44 et suivants encadrent les transferts vers les pays tiers.

    Portée : Union européenne, version initiale du texte lue.

    Réserve : D’autres textes nationaux ou sectoriels peuvent poser des règles propres.

    Relevé le 5 novembre 2026.

  • Déclaration de l’éditeur. Docusign écrit que le RGPD n’exige pas que les données personnelles de personnes de l’Union soient stockées seulement dans l’Union.

    Portée : Page « Data residency », mise à jour le 14 avril 2026.

    Réserve : Lecture d’un éditeur qui y a intérêt.

    Relevé le 5 novembre 2026.

  • Fait lu. DORA dit ne pas imposer de localisation des données dans l’Union, à propos des prestataires tiers critiques, et exige que les accords indiquent les régions ou pays où les services sont fournis et où les données sont traitées, stockage compris, avec information préalable en cas de changement.

    Portée : Entités financières ; considérant sur les prestataires critiques et article 30, paragraphe 2.

    Réserve : Ne vise pas une PME non financière.

    Relevé le 5 novembre 2026.

  • Fait lu. L’article L102 C du livre des procédures fiscales fixe des règles de stockage des factures, avec un stockage électronique hors de France soumis à conditions et à déclaration.

    Portée : Factures des assujettis.

    Réserve : Vise les factures, pas les contrats.

    Relevé le 5 novembre 2026.

  • Déclaration de l’éditeur. Tomorro déclare héberger sa production en France chez AWS, région de Paris, avec des sauvegardes à Francfort ; ses conditions IA indiquent des fonctions d’IA fournies avec Azure OpenAI, sans préciser la région.

    Portée : Page sécurité en anglais ; conditions IA en version du 25 avril 2025.

    Réserve : Une version plus récente des conditions IA n’a pas été lue séparément.

    Relevé le 5 novembre 2026.

  • Fait lu. Les conditions générales de Tomorro prévoient des transferts possibles hors de l’Union vers des pays listés en annexe 2, avec garanties appropriées.

    Portée : Conditions générales, version du 29 juillet 2026.

    Réserve : Le contenu de l’annexe 2 n’a pas été capturé.

    Relevé le 5 novembre 2026.

  • Déclaration de l’éditeur. Gino indique héberger les contrats en France, par défaut sur Azure, et proposer aux clients qui l’exigent un hébergement souverain via OVHcloud, qualifié SecNumCloud selon l’éditeur ; son accueil se présente comme le premier CLM en France à proposer un tel hébergement.

    Portée : Pages de Gino, France.

    Réserve : Conflit de présentation entre les deux pages : nous retenons Azure par défaut et OVHcloud sur demande, d’après la page Sécurité, qui parle aussi d’Azure Europe. Aucune attestation lue.

    Relevé le 5 novembre 2026.

  • Fait lu. L’annexe de mars 2025 de Legisway indique un hébergement en Allemagne sur AWS Europe avec sauvegarde en Irlande ; l’annexe de l’édition Entreprise indique un hébergement par Claranet dans des centres Equinix en France, et précise que l’hébergeur n’est pas agréé pour les données de santé.

    Portée : Annexes de traitement ; l’édition de la première n’est pas nommée.

    Réserve : L’édition Entreprise n’apparaît pas sur la page de prix. Demander quelle annexe s’applique.

    Relevé le 5 novembre 2026.

  • Déclaration de l’éditeur. Oneflow déclare héberger sur AWS dans des régions de l’Union européenne, en Irlande et en Suède.

    Portée : Pages mondiales.

    Réserve : Liste des sous-traitants lue partiellement.

    Relevé le 5 novembre 2026.

  • Déclaration de l’éditeur. Juriview annonce des données hébergées dans l’Union européenne chez un hébergeur certifié non nommé.

    Portée : France.

    Réserve : Hébergeur et certifications non nommés.

    Relevé le 5 novembre 2026.

  • Déclaration de l’éditeur. Docusign indique stocker les données d’accord dans l’une de cinq régions, proposer le CLM en Europe, ne pas pouvoir déplacer ces données après la création du compte, et que les clients web reçoivent une région selon leur localisation, un représentant permettant de la choisir.

    Portée : Page « Data residency », mise à jour le 14 avril 2026.

    Réserve : La page ne nomme pas les pays de la région Europe.

    Relevé le 5 novembre 2026.

  • Déclaration de l’éditeur. La page « Data residency » de Docusign dit que des données de transaction (noms, e-mails, pistes d’audit) peuvent être copiées entre régions et que le support d’autres régions y accède sans accéder aux données d’accord ; son billet français du webinaire de janvier 2026 dit que documents et données de transaction sont stockés exclusivement en Europe.

    Portée : Les deux pages de l’éditeur.

    Réserve : Conflit non tranché par l’éditeur : faire écrire la réponse au contrat.

    Relevé le 5 novembre 2026.

  • Déclaration de l’éditeur. Concord déclare un hébergement AWS dans des centres aux États-Unis et en Europe ; Ironclad une production sur Google Cloud aux États-Unis, avec plusieurs régions évoquées pour la résidence, sans région européenne nommée.

    Portée : Pages mondiales.

    Réserve : Ne prouve ni n’exclut une région de l’Union disponible : à demander.

    Relevé le 5 novembre 2026.

  • Notre déduction. Aucune région d’hébergement de la plateforme n’est lue pour DiliTrust, MYLEGITECH, Juro, Icertis et Sirion ; les mentions légales de Tomorro, DiliTrust et MYLEGITECH décrivent l’hébergement de leur site web.

    Portée : Pages lues. Pour Sirion, la page sécurité est inaccessible.

    Réserve : Une absence sur ces pages n’est pas une absence : demander la documentation sécurité.

    Relevé le 5 novembre 2026.

  • Fait lu. Selon le CEPD, un accès à une liste de sous-traitants mise à jour de temps à autre ne suffit pas à informer le responsable d’un changement.

    Portée : Lignes directrices 07/2020, paragraphe 128 et note 54.

    Réserve : Le CEPD interprète ; un juge peut trancher différemment.

    Relevé le 5 novembre 2026.

Notre méthode