Vos données en Europe, et comment les récupérer.

Dans un logiciel d’entreprise, le client est responsable de traitement. L’éditeur est sous-traitant, au sens de l’article 28 du RGPD. Ces deux rôles disent qui décide. Le client choisit à quoi servent les données, combien de temps elles sont gardées et qui les reçoit. L’éditeur exécute ses instructions et n’a pas le droit d’en sortir.

Trois conséquences en découlent, et elles se vérifient dans les documents plutôt que dans un argumentaire. L’accord de sous-traitance est un contrat à part, distinct des conditions générales. La liste des sous-traitants ultérieurs, les prestataires à qui l’éditeur confie à son tour vos données, vous est communiquée. Vous êtes informé avant tout changement. À la fin du contrat, l’éditeur vous rend les données ou les efface, sans en garder une copie pour lui.

Un éditeur qui utiliserait vos données pour son propre compte, pour du profilage ou pour entraîner un modèle, cesserait d’être sous-traitant. Il deviendrait responsable de ce traitement, et devrait en répondre. C’est ce qui donne du poids à la clause qui exclut ces usages. Notre politique de confidentialité la contient, et celle de chaque produit la reprend pour son périmètre.

Une région européenne garantit le lieu, pas la loi qui s’applique. Un fournisseur contrôlé par une société américaine peut être tenu de remettre des données qu’il détient, même stockées hors des États-Unis, en application de la loi américaine. Ni le bâtiment ni une mention « hébergé en Europe » sur une plaquette ne règlent la question.

Ce qui la règle, c’est de savoir avec quelle entité vous contractez, qui exploite les machines, et par quelles sociétés passent les données entre votre navigateur et le disque. Ces trois réponses diffèrent souvent. C’est acceptable, à condition que l’éditeur les écrive.

Nos plateformes tournent à Paris, dans la région eu-west-3 d’Amazon Web Services, un fournisseur américain. Nous contractons avec sa filiale luxembourgeoise. Le calcul, la base de données, les bulletins, les archives et les sauvegardes s’y trouvent, et nulle part ailleurs. Les noms de domaine et le réseau de diffusion passent par une autre société américaine. L’encaissement passe par la filiale irlandaise d’une troisième. L’hébergeur et le réseau sont nommés, avec leurs adresses, dans les mentions légales.

Nous ne prétendons pas à une souveraineté complète, ce serait faux. Les machines sont en France, mais les sociétés qui les exploitent appartiennent à des groupes américains. Nous disons où va chaque chose et qui l’exploite. Nous ne revendons pas vos données, nous ne faisons aucun profilage, et elles n’entraînent aucun modèle. Une entreprise qui a besoin d’une chaîne entièrement européenne doit le savoir avant de signer, pas le découvrir dans une annexe.

Il existe un cas où la question ne se pose pas du tout. Aucun serveur ne reçoit ce que vous saisissez dans Sheet. Le calendrier, les totaux et le PDF se fabriquent dans votre navigateur. Le lien de partage transporte la fiche dans la partie de l’adresse que le navigateur n’envoie jamais au serveur. Nous ne recevons rien, donc nous n’avons rien à perdre ni à promettre. Rempli, un modèle de compte rendu d’activité contient des noms de clients, des missions et des arrêts maladie. Rien de cela n’a de raison d’aller sur le serveur d’un éditeur pour qu’un tableau soit additionné.

Presque tous les contrats prévoient une restitution des données. Peu précisent quand, dans quel format, et avec quoi dedans. C’est toute la différence entre une clause sur le papier et une sortie qui fonctionne.

L’export doit rester ouvert en permanence. Un export qui ne se déclenche qu’à la résiliation se négocie au moment où vous avez le moins de poids. Un export en libre-service, disponible tous les jours, se vérifie le premier mois, quand la relation est bonne. Un client qui découvre le bouton le jour de son départ a fait confiance sans pouvoir vérifier.

L’archive doit prouver qu’elle n’a pas changé. Une archive de paie qui ne prouve rien quelques années plus tard ne servira pas le jour d’un contrôle ou d’un litige. Deux réponses tiennent. La première est un index qui nomme chaque pièce, sa période et son salarié. Chaque fichier y porte une empreinte numérique, qui change si le fichier change. La seconde est un stockage scellé, où chaque bulletin est écrit une fois sous un verrou que personne ne peut lever avant son terme, pas même l’éditeur. Demandez laquelle des deux on vous vend.

Les formats doivent être ouverts, historique compris. L’export doit rendre les bulletins en PDF, les données de paie dans un fichier structuré, les compteurs de congés, les déclarations et leur historique. Un export qui ne rend que le dernier état, sans l’historique, vous laisse avec des chiffres que vous ne pouvez plus expliquer.

Pendant l’abonnement, l’espace des salariés reste ouvert et les bulletins se téléchargent. Après une résiliation, le code du travail fixe la règle. L’article D. 3243-8 impose de prévenir chaque salarié au moins trois mois avant la fermeture d’un service qui met ses bulletins à disposition, pour qu’il ait le temps de les récupérer. C’est trois mois, pas les trente jours qu’on lit souvent. Passé ce délai, l’effacement est irréversible, parce qu’aucun texte n’impose au sous-traitant de garder davantage.

Un point est souvent mal compris. L’obligation de tenir un bulletin à disposition cinquante ans, ou jusqu’aux soixante-quinze ans du salarié, pèse sur l’employeur. Elle ne se transfère pas à l’éditeur, et aucun éditeur sérieux ne prétendra la porter à votre place. Ce que le bulletin doit contenir et combien de temps il se garde détaille cette obligation. Un espace ouvert le temps de l’abonnement est un service, pas une archive à cinquante ans. Lisez dans les conditions générales ce qui vous est vendu.