CLOUD Act : vos données d'entreprise sont-elles vraiment en sécurité ?

Vous utilisez Zapier pour automatiser vos processus. Vos devis, vos contacts clients, vos factures transitent par leurs serveurs. Vous pensez que ces données sont privées. Le CLOUD Act dit le contraire.

Qu'est-ce que le CLOUD Act ?

Le CLOUD Act (Clarifying Lawful Overseas Use of Data Act), adopté en 2018 aux États-Unis, autorise les autorités américaines à exiger l'accès aux données stockées par des entreprises américaines, même si ces données sont hébergées en dehors des États-Unis.

En clair : si votre plateforme d'automatisation est une entreprise américaine, le CLOUD Act permet aux autorités américaines d'exiger l'accès à des données hébergées par des entreprises US, via une procédure judiciaire américaine — sans passer par la justice française, et même si vos serveurs sont en Europe.

Ce n'est pas une hypothèse théorique. C'est la loi.

Quelles plateformes sont concernées ?

Toutes les entreprises américaines sont soumises au CLOUD Act. Dans le monde de l'automatisation, cela inclut :

Zapier (siège à San Francisco)
Make (anciennement Integromat, racheté par Celonis en 2020, entreprise allemande basée à Munich). Make propose un hébergement EU, mais la structure capitalistique reste européenne.
Microsoft Power Automate (Microsoft, Redmond)
Google Workspace et ses automatisations (Google, Mountain View)

Peu importe que ces entreprises hébergent vos données en Europe. Le critère n'est pas la localisation du serveur, c'est la nationalité de l'entreprise.

Pourquoi les PME du BTP devraient-elles s'en soucier ?

Vous pensez peut-être que vos données de chantier n'intéressent pas les autorités américaines. C'est probablement vrai. Mais le problème est plus large :

L'espionnage économique existe. Des appels d'offres, des prix de sous-traitance, des marges commerciales — ces informations ont de la valeur. Le CLOUD Act concerne les procédures judiciaires américaines (enquêtes criminelles). Le débat porte sur le périmètre réel de ces demandes et l'absence de contrôle européen.

Vos clients l'exigent. De plus en plus de donneurs d'ordres publics et de grands groupes du BTP imposent des clauses de souveraineté numérique dans leurs contrats. Utiliser Zapier peut vous exclure de certains marchés.

La confiance se construit sur la transparence. Pouvoir dire à vos clients "vos données restent en France, sur des serveurs français, gérés par une entreprise européenne" est un argument commercial concret.

Comment échapper concrètement au CLOUD Act ?

n8n est une plateforme source-available (fair-code) créée par une entreprise allemande (n8n GmbH, Berlin). Elle n'est pas soumise au CLOUD Act.

Deux options s'offrent à vous :

n8n Cloud EU : hébergement sur des serveurs en Allemagne, opérés par une entreprise européenne. Vos données sont protégées par le RGPD et hors de portée du CLOUD Act.

Auto-hébergement en France : installez n8n sur un VPS chez OVH, Scaleway ou Infomaniak. Vos données restent sur un serveur français, géré par une entreprise française. Souveraineté totale, et compatible avec notre catalogue d'outils connectables.

Le coût ? Un VPS capable de faire tourner n8n coûte entre 5 et 15 euros par mois. C'est moins cher qu'un abonnement Zapier de base. Ce coût n'inclut pas le temps de maintenance et d'administration du serveur, à prendre en compte.

Ce qu'il faut retenir

La question n'est pas de savoir si le CLOUD Act sera utilisé contre votre entreprise. La question est : pourquoi prendre ce risque quand des alternatives européennes existent, sont aussi performantes, et coûtent moins cher ?

La souveraineté numérique n'est pas un luxe réservé aux grandes entreprises. C'est un choix accessible à toute PME qui prend ses données au sérieux, et un pilier de notre méthode FlowMinds.

Note : cet article ne constitue pas un conseil juridique. Pour les questions spécifiques à votre situation, consultez un avocat spécialisé en protection des données.

Questions fréquentes

Qu'est-ce que le CLOUD Act et qui est concerné ?

C'est une loi américaine qui permet aux autorités des États-Unis de demander à un fournisseur soumis au droit américain de communiquer des données qu'il détient, y compris lorsque ces données sont stockées hors du territoire américain. Sont concernés les fournisseurs de droit américain et leurs filiales, ce qui inclut la plupart des grandes plateformes cloud et de nombreux outils d'automatisation. Le fait qu'un serveur soit physiquement situé en Europe ne suffit donc pas à écarter le sujet.

Le CLOUD Act est-il compatible avec le RGPD ?

C'est précisément le point de friction : le RGPD encadre strictement les transferts de données hors de l'Union, tandis que le CLOUD Act crée une voie d'accès qui échappe au contrôle européen. Les mécanismes successifs négociés entre les deux blocs ont tous été contestés. Pour une entreprise, la conséquence pratique est qu'un hébergement chez un fournisseur non soumis au droit américain est la seule façon de supprimer la question plutôt que de l'encadrer.

Une PME du BTP est-elle réellement exposée ?

Le risque d'être visée par une procédure américaine est faible pour une PME française. L'exposition réelle est commerciale : de plus en plus de donneurs d'ordres publics et de grands groupes inscrivent des clauses de souveraineté numérique dans leurs contrats, et l'usage d'un outil soumis au droit américain peut suffire à écarter une candidature. Le sujet se traite donc moins comme un risque juridique que comme une condition d'accès à certains marchés.

Comment échapper au CLOUD Act concrètement ?

En choisissant des fournisseurs qui n'y sont pas soumis. Pour l'automatisation, cela signifie un outil auto-hébergeable installé chez un hébergeur européen, et des services tiers eux-mêmes européens quand c'est possible. La limite est connue et il faut l'assumer : certains services n'ont pas d'équivalent européen crédible, notamment sur les modèles d'IA les plus performants. On traite alors le sujet par le périmètre, en ne faisant transiter par ces services que des données non sensibles.

Suffit-il d'un hébergement en Europe pour être souverain ?

Non. Le critère qui compte est le droit auquel est soumise l'entreprise qui exploite le service, pas la localisation du datacenter. Un fournisseur américain qui héberge en Irlande reste dans le champ du CLOUD Act. La question à poser à un prestataire est donc double : où sont mes données, et de quel droit relève l'entité qui les exploite.