CRM français : hébergement, droit et support

« CRM français » désigne trois choses que les comparatifs mélangent : un éditeur installé en France, des données stockées en France et des prestataires techniques soumis au seul droit européen. Un CRM peut cocher la première case sans la deuxième, ou les deux premières sans la troisième. Un éditeur parisien peut louer sa base de données à un fournisseur américain, et un éditeur américain peut stocker vos fiches à Francfort. Les cinq premières pages de Google sur « crm français », lues le 26 octobre 2026 (Axonaut, Koban, Dimo, Initiative CRM, Visiativ), parlent du siège, de l'hébergement et du support. Aucune ne cite le Cloud Act ni la liste des sous-traitants, alors que c'est là que se joue la question du droit applicable. Avant de comparer des fonctionnalités, demandez donc à chaque éditeur lequel des trois faits il revendique, et sur quelle page il l'écrit.

Le lieu des serveurs ne dit pas quel droit peut atteindre les données : un prestataire soumis au droit américain le reste, quel que soit le pays où tournent ses serveurs. Le Cloud Act américain de 2018 oblige un fournisseur de communications électroniques ou de cloud soumis au droit des États-Unis à conserver ou communiquer sur réquisition les données en sa possession, sous sa garde ou sous son contrôle. L'obligation vaut « regardless of whether such communication, record, or other information is located within or outside of the United States » (18 U.S.C. § 2713). Un serveur à Paris loué à une société américaine reste donc à sa portée. Côté européen, la Commission a constaté le 10 juillet 2023 que les États-Unis assurent un niveau de protection « équivalent à celui de l'Union européenne » pour les organismes inscrits au Data Privacy Framework, selon la CNIL. Le transfert vers ces organismes est légal. La question devient pratique : voulez-vous qu'une autorité étrangère puisse réclamer vos fichiers clients à votre hébergeur, même si le RGPD autorise le transfert ?

Sellsy, par exemple, écrit sur sa propre page sécurité, lue le 26 octobre 2026 : « Notre infrastructure de production se situe en région parisienne, sous juridiction française » (Sellsy). La même page nomme l'hébergeur, Scaleway. Elle donne ainsi le lieu des serveurs et le droit qui s'applique à l'infrastructure, mais pas la liste de ses sous-traitants ultérieurs.

Responsable du traitement, vous choisissez l'éditeur de votre CRM et répondez de ce choix : aucun logiciel ne vous rend conforme au RGPD à votre place. Plusieurs pages en tête de Google sur « crm français » promettent l'inverse. Visiativ annonce une « Conformité RGPD automatique » (Visiativ, 2024), Dimo écrit que les CRM français « respectent nativement » le RGPD. Le règlement dit autre chose. Son article 28 impose au responsable du traitement de faire « uniquement appel à des sous-traitants qui présentent des garanties suffisantes ». Il ajoute que le sous-traitant « ne recrute pas un autre sous-traitant sans l'autorisation écrite préalable, spécifique ou générale, du responsable du traitement » (RGPD, article 28, texte de la CNIL). Votre CRM est un sous-traitant ; son hébergeur, son service d'emails et ses fournisseurs d'IA en sont d'autres. Un CRM français vous facilite la tâche quand sa chaîne entière est européenne, mais la liste écrite de ses sous-traitants reste à lire.

Un CRM qui propose de l'IA envoie une partie de vos données à un fournisseur de modèles, et ce fournisseur entre dans la chaîne des sous-traitants. Aucune des cinq pages en tête sur « crm français » ne pose la question, alors qu'elle change souvent la réponse : un éditeur hébergé en France peut appeler un modèle américain à chaque résumé d'email ou de réunion. Trois points méritent une ligne dans le contrat. Quel fournisseur reçoit le texte, et dans quel pays ? Le fournisseur peut-il entraîner ses modèles sur vos données ? Pouvez-vous choisir un modèle européen, ou couper l'IA sur certains dossiers ? Le nom du modèle ne suffit pas : un modèle français peut passer par un intermédiaire étranger, et il faut connaître la route. Un éditeur qui ne sait pas répondre à ces trois questions ne maîtrise pas sa propre chaîne.

Un support en français ne vaut que si la personne qui répond peut faire corriger le produit : la langue compte moins que la distance entre celle qui répond et celle qui corrige. C'est pourtant la langue que mettent en avant quatre des cinq premières pages de Google sur « crm français » (Axonaut, Dimo, Initiative CRM, Visiativ) : l'argument le plus facile à vérifier avant de signer, et le moins parlant. Un support de premier niveau qui transmet un ticket à une équipe produit à l'étranger répond en français mais corrige au rythme de l'autre équipe. Demandez qui répond, par quel canal, et si cette personne peut modifier votre configuration elle-même. Demandez aussi qui installe l'outil et reprend vos données : un éditeur qui le fait lui-même connaît vos fiches le jour où vous l'appelez.

Les CRM vendus comme français disent au mieux où sont leurs serveurs, rarement qui les exploite, et aucun de ceux relevés ici ne nomme le Cloud Act ni la liste de ses sous-traitants. Voici ce qu'on lit sur cinq d'entre eux, relevé le 26 octobre 2026, avec la page qui le porte ; la question du droit applicable reste à leur poser.

Avant de signer avec un éditeur de CRM, français ou non, posez-lui ces sept questions et demandez la page ou la clause qui porte chaque réponse. Elles couvrent le lieu des données, l'hébergeur, les sous-traitants ultérieurs, l'IA, la sortie, le support et la comptabilité. Une réponse orale ne vaut rien devant un contrôle ou un incident.

Standards est français par son éditeur et par le lieu de sa base et de ses fichiers, pas par le droit de tous ses prestataires. Il est édité par And You Create, une société dont le siège est à Paris, et agit comme sous-traitant au sens du RGPD : vous restez propriétaire et responsable de vos données. Sur notre cloud, la base et les fichiers sont stockés à Paris chez Supabase, un prestataire américain : le Cloud Act peut donc s'appliquer à cet hébergeur. Les agents de Standards appellent leurs modèles par la passerelle de Vercel, une société américaine elle aussi, réglée pour n'utiliser que des fournisseurs qui n'entraînent pas leurs modèles sur vos requêtes. Vous choisissez le modèle de chaque agent, dont ceux de Mistral, servis eux aussi par cette passerelle. Si votre base et vos fichiers doivent rester hors de tout prestataire américain, Standards s'installe sur une instance dédiée ou dans votre infrastructure, chez l'hébergeur de votre choix ; ses fonctions d'IA restent branchées sur Vercel.

Le texte de vos emails, historique compris, est aussi envoyé à un fournisseur de modèles par la passerelle de Vercel, pour la recherche par le sens ; un réglage le coupe. L'installation se fait avec nos ingénieurs, et le support tient dans un canal partagé où vous écrivez directement à l'équipe qui construit le produit.

Pour comparer ces réponses à celles d'autres outils, voyez nos comparaisons outil par outil, et pour un usage précis, les métiers que Standards équipe.