Critères d'inclusion

01 Siège dans l'UE

Le siège juridique doit se trouver dans un État membre de l'UE.

Pas la communication marketing, pas la présence opérationnelle — la personne morale réelle, immatriculée dans un registre public d'entreprises de l'un des 27 États membres. Nous vérifions les mentions légales, les CGV/CGU et le registre national compétent (ex. Handelsregister, Registre du Commerce, Registry of Estonian Businesses).

Cette règle existe parce que « une entreprise européenne » est l'une des affirmations marketing les plus étirées de la tech. Une C-Corp américaine avec un bureau berlinois n'est pas une entreprise UE. Une holding caïmane avec une filiale tallinnoise n'est pas une entreprise UE. La personne morale qui signe le contrat client — et qui répond légalement sous le droit de l'UE — est celle que nous listons.

Nous acceptons

SARL, SAS, GmbH, BV, OÜ, S.A., S.r.l. et formes juridiques équivalentes UE, immatriculées dans l'un des 27 États membres
Entreprises dont le siège est UE et qui ont des bureaux hors UE (un siège parisien avec un bureau commercial à NYC est OK)
Entreprises fondées hors UE qui ont réellement déplacé leur siège et leur résidence fiscale
Projets open source avec une organisation commerciale clairement immatriculée dans l'UE

× Nous refusons

Entreprises immatriculées en Suisse, au Royaume-Uni, en Norvège, en Islande ou au Liechtenstein — ce ne sont pas des États membres
Filiales UE de maisons-mères américaines, chinoises ou britanniques (la juridiction parente s'applique selon la plupart des contrats)
Entreprises « UE-friendly » dont le siège réel est au Delaware, aux Caïmans ou à Singapour
Projets open source sans personne morale commerciale (nous listons l'entreprise, pas le projet)

Cas particulier

Suisse : souvent perçue comme « équivalent UE » du fait de son régime de protection des données. Mais la Suisse n'est ni dans l'UE ni dans l'EEE, et les entreprises suisses restent soumises au droit suisse — y compris des accords de coopération de sécurité nationale et de renseignement qui ne s'appliquent pas aux entreprises UE. Nous pourrons ajouter ultérieurement un palier « EEE & adéquation » distinct, mais la Suisse ne sera jamais mélangée à la fiche UE principale.

02 Juridiction de l'UE

L'entreprise doit opérer exclusivement sous le droit UE.

Un siège UE est nécessaire mais pas suffisant. Nous vérifions également que l'entreprise n'est pas structurellement exposée à un droit hors UE — en particulier le CLOUD Act américain, qui permet aux autorités US d'obliger les entreprises US (et nombre de leurs filiales étrangères) à transmettre des données, même si elles sont stockées sur des serveurs UE.

Pour un acheteur d'un secteur régulé, « les données sont dans l'UE » signifie peu de chose si la maison-mère est légalement tenue de les remettre à la demande. Nous traitons cela comme une exclusion structurelle — pas comme un argument rassurant.

Ce que nous vérifions

Pour chaque fiche, la revue inclut :

Requis

Structure de propriété : aucune maison-mère US, britannique ou chinoise dominante
Aucun accord d'exploitation qui soumet l'entité UE au régime de conformité d'une maison-mère hors UE
Déclaration publique (politique de confidentialité ou DPA) que l'entreprise n'est pas soumise au CLOUD Act ou équivalent
Gouvernance UE : dirigeants et organes opèrent sous juridiction UE

× Motifs d'exclusion

Filiale UE d'une entreprise basée aux États-Unis (le CLOUD Act s'applique via la maison-mère)
Rachat récent par un acquéreur hors UE — fiche dépréciée sous 90 jours après clôture
Coentreprise dans laquelle un partenaire hors UE a des droits d'accès aux données
Recours à des sous-traitants américains pour les données de production sans mécanisme de transfert valide au titre de l'article 46

À propos de Microsoft Sovereign / AWS European Sovereign Cloud

Les offres « Sovereign Cloud » des hyperscalers américains ne remplissent pas nos critères. La personne morale qui fournit le service reste soumise au CLOUD Act, indépendamment de l'isolation opérationnelle des données. Résidence des données UE n'est pas juridiction de l'UE. Lire notre position complète →

03 Conforme RGPD

Conformité documentée et vérifiable au RGPD.

Toute entreprise UE est formellement soumise au RGPD — mais c'est une affirmation bien plus faible que de remplir le standard qu'attend réellement une équipe d'achats ou un DPO. Nous exigeons pour chaque fiche trois artefacts concrets.

Les trois artefacts que nous vérifions

Politique de confidentialité publiée

Accessible sans authentification ; identifie le responsable du traitement, la base légale, les durées de conservation et le représentant UE.

DPA disponible

Pré-signé dans l'espace client ou disponible sur demande sous 5 jours ouvrés. Conforme à l'article 28.

Liste des sous-traitants

Liste publique de tous les sous-traitants avec localisation, rôle et catégories de données. Mises à jour communiquées aux clients.

Résidence des données indiquée

Bonus, non obligatoire : engagement explicite à un stockage exclusivement UE. La plupart des produits remplissant nos autres critères le proposent de toute façon.

Entreprises « badge RGPD »

Étonnamment beaucoup de produits se présentent comme « conformes RGPD » sans proposer de DPA, de liste de sous-traitants ni de politique nommant le responsable du traitement. Nous ne les listons pas. Les déclarations marketing ne sont pas des preuves.

04 Processus de vérification

Comment nous vérifions vraiment une fiche.

Chaque fiche suit le même processus en quatre étapes du début à la fin. Première vérification : 30 à 90 minutes par produit. Revue : 15 à 30 minutes.

ÉTAPE 01

Identifier la personne morale

Mentions légales + vérification du registre du commerce. Doit être une entreprise immatriculée dans un État membre UE.

ÉTAPE 02

Vérifier propriété & juridiction

Maison-mère, conseil, parts de contrôle. Disqualification si maison-mère US/UK/CN ou exposition CLOUD Act.

ÉTAPE 03

Auditer les artefacts RGPD

Lire la politique de confidentialité. Confirmer la disponibilité du DPA. Vérifier la liste des sous-traitants pour exposition hors UE.

ÉTAPE 04

Apport éditorial

Rédiger la description. Ajouter les alternatives « remplace ». Fixer la date de revue et épingler si pertinent.

Cycle de revue

Chaque fiche est revue au moins tous les six mois. La revue couvre les mêmes quatre étapes plus une recherche d'actualités (rachats, changements de direction, incidents de sécurité) susceptibles d'affecter l'éligibilité.

Routine : tous les 6 mois

Cycle standard. La rédaction repasse les quatre étapes pour chaque fiche active.

Déclenché : signalements communautaires

Toute personne peut signaler. Tri sous 48 heures ; les signalements sérieux déclenchent une revue hors planning.

Déclenché : veille presse

Acquisitions, changements de propriété, procédures pour amendes RGPD — ces événements marquent automatiquement les fiches concernées pour revue.

Date de revue publique

Chaque fiche affiche sa dernière date de revue. Si vous voyez quelque chose de daté, le système a échoué — signalez-le.

05 Dépréciation

Ce qui mène à la dépréciation.

Si une fiche échoue à la revue — ou plus tôt si l'actualité l'exige — elle est marquée comme dépréciée. Les fiches dépréciées restent accessibles à leur URL d'origine avec un bandeau d'avertissement clair, mais sont retirées de la recherche, des pages catégorie et des pages pays.

La page de la fiche dépréciée documente la raison, la date et une note éditoriale courte. Nous ne supprimons pas silencieusement.

Trois règles. Sans exception.

Siège juridique dans un État membre de l'UE

Opère exclusivement sous le droit de l'UE

Conformité documentée et vérifiable