Label de souveraineté des logiciels SaaS : niveaux et critères
Pourquoi ce label
Les données confiées à un logiciel SaaS ne sont pas toutes logées à la même enseigne. Être conforme au RGPD est une obligation légale minimale, respectée aussi bien par un éditeur français que par un géant américain : cela ne dit rien de l'endroit où vivent vos données, ni du droit auquel elles sont soumises. Un hébergement en Europe ne suffit pas non plus. Si l'éditeur ou sa maison mère relève du droit américain, le CLOUD Act peut contraindre l'accès à vos données, même stockées dans l'Union européenne. Notre label sert à rendre ces distinctions lisibles, en trois niveaux clairs.
Les trois niveaux
Du plus exigeant au moins exigeant.
Le plus haut niveau. Un logiciel édité par une société de droit français ou européen, dont les données clients sont hébergées exclusivement dans l'Union européenne, et qui n'est ni contrôlé par une société mère soumise à une législation extraterritoriale, ni dépendant d'un sous-traitant exposé au CLOUD Act pour le stockage de ces données.
Critères d'attribution
- Éditeur immatriculé en France ou dans l'Union européenne
- Données clients hébergées exclusivement dans l'Union européenne
- Pas de contrôle par une société mère soumise à une législation extraterritoriale, comme le CLOUD Act américain
- Aucun sous-traitant soumis au CLOUD Act dans la chaîne de stockage des données clients
- Conformité au RGPD documentée
Un logiciel dont l'éditeur et l'hébergement se situent dans l'Union européenne, sans exigence sur la structure du capital.
Critères d'attribution
- Siège social de l'éditeur dans l'Union européenne ou l'EEE
- Données hébergées dans des centres de données situés dans l'Union européenne
- Contrat de sous-traitance conforme à l'article 28 du RGPD
- Interface et support disponibles dans au moins une langue de l'Union
Un logiciel qui documente publiquement sa conformité au Règlement général sur la protection des données, quelle que soit sa nationalité.
Critères d'attribution
- Politique de confidentialité publique et à jour
- Accord de sous-traitance (DPA) accessible
- Registre des sous-traitants ultérieurs publié
- Garanties encadrant les transferts hors Union européenne
- Procédure documentée d'exercice des droits des personnes
Comment nous évaluons
Nous attribuons les badges à partir d'informations publiques : sites des éditeurs, politiques de confidentialité, accords de sous-traitance, registres officiels, communications sur les levées de fonds et les rachats. Notre évaluation est faite de bonne foi et au mieux des informations disponibles. Ce n'est pas un audit de sécurité ni une certification officielle.
Ce que le label ne garantit pas
- Ce n'est pas une certification officielle type SecNumCloud ou ISO 27001. Quand un éditeur détient une telle certification, nous le mentionnons dans sa fiche.
- Ce n'est pas un audit de la sécurité technique du logiciel.
- C'est une photographie à un instant donné. Un rachat, un changement d'hébergeur ou d'actionnariat peut faire évoluer le niveau d'un éditeur. Nous mettons à jour les fiches dès que nous en avons connaissance.
Signaler une erreur
Vous êtes éditeur et estimez que le niveau attribué à votre logiciel est inexact ? Vous avez repéré une information erronée ? Écrivez-nous, nous vérifions et corrigeons rapidement. La fiabilité de ce label repose aussi sur vos retours.
Nous écrireDernière mise à jour : septembre 2026