Une coach professionnelle me contacte pour parler d'une refonte de son site. Elle est sur Squarespace depuis plusieurs années, avec formulaire de contact, prise de rendez-vous en ligne et newsletter. Au fil de la discussion, je lui pose une question simple : sait-elle où sont stockées les données de ses client·es ? Elle réfléchit, puis répond honnêtement qu'elle n'en a aucune idée.
Personne ne lui avait posé la question. Elle avait signé les conditions générales sans les lire, comme tout le monde, et activé les fonctionnalités parce qu'elles étaient pratiques et utiles pour son activité.
Ce n'est pas une faute. Ce n'est pas non plus un problème qui risque d'impacter son chiffre d'affaires ou la disponibilité de son site. Vos concurrents ne vont pas gagner des parts de marché parce que vos données sont stockées à Chicago plutôt qu'à Roubaix.
Alors pourquoi en parler ? Parce que c'est un choix. Et qu'un choix qu'on fait sans le savoir n'est pas vraiment un choix.
Où vivent vos données ?
Sur une plateforme clé en main, vos données de client·es sont stockées sur les serveurs de cette plateforme. C'est le principe même du SaaS. La question, c'est où se trouvent ces serveurs.
Petit tour d'horizon, sourcé sur la documentation officielle.
Wix utilise des centres de données situés aux États-Unis, en Irlande, en Corée du Sud, à Taïwan et en Israël. Shopify a récemment commencé à stocker les données des nouveaux marchand·es européen·nes en Europe par défaut, tout en précisant que certains traitements continuent de transiter par d'autres régions, dont les États-Unis. Squarespace et Webflow hébergent leurs données exclusivement aux États-Unis.
Dans tous les cas, sortir des données personnelles de l'Union européenne est encadré, c'est légal, et ça repose sur un accord entre l'Union européenne et les États-Unis qui autorise ces transferts.
Cet accord est le troisième du genre. Les deux précédents ont été cassés par la justice européenne, et le troisième est actuellement contesté devant la même juridiction. Si celui-là tombe, un autre suivra. Les plateformes trouveront une parade.
Mais posons quand même la question : est-ce que ça vous convient de dépendre d'un dispositif juridique qui doit être renégocié tous les cinq ans parce que la surveillance de masse américaine et le droit européen ne sont pas compatibles ? Vous avez le droit de répondre oui. Le problème, c'est qu'on ne vous ait jamais laissé le choix.
Ce que ces données peuvent devenir
Une fois les données stockées quelque part, la question devient : qui peut y accéder, et pour en faire quoi ? Trois niveaux méritent d'être distingués.
Le premier, c'est la plateforme elle-même. Les conditions générales que vous avez acceptées prévoient explicitement l'utilisation de vos données de vente, de vos client·es et de leur navigation pour améliorer les services, entraîner des algorithmes, alimenter des outils publicitaires ou analytiques.
Le deuxième niveau, c'est l'hébergeur d'infrastructure. Webflow est hébergé sur AWS, Shopify utilise Google Cloud Platform. Ces hébergeurs sont soumis à leurs propres politiques, et ils sont, comme les plateformes elles-mêmes, des entreprises américaines. Ce qui nous amène au troisième niveau.
Le troisième, c'est celui des autorités américaines. Plusieurs lois permettent l'accès aux données stockées par des entreprises sous juridiction américaine, y compris quand ces données sont en Europe. En juin 2025, le directeur juridique de Microsoft l'a reconnu sous serment devant le Sénat français : Microsoft ne peut pas garantir à ses client·es européen·nes la protection de leurs données contre les demandes du gouvernement américain.
C'est aussi une question de cohérence
Si vous êtes commerçant·e, artisan·e ou dirigeant·e d'une petite structure, vous défendez peut-être des valeurs de proximité, de production locale, de made in France. Et c'est d'ailleurs selon moi une bonne chose. Je pense qu'on ne construit pas une entreprise avec une visée uniquement mercantile, mais aussi avec des valeurs qui nous tiennent à cœur et qui résonnent chez nos client·es.
Il y a pourtant un vrai décalage, qu'on accepte souvent sans le voir. On défend une économie de proximité, et dans le même temps, on confie sans réfléchir sa présence en ligne, son fichier client, sa facturation et ses paiements à quatre ou cinq entreprises américaines. Des entreprises qui n'ont aucun intérêt particulier ni pour l'économie de notre pays, ni pour le respect de notre vie privée. Ce n'est pas une contradiction morale. Personne ne va vous jeter la pierre. Mais c'est une incohérence qui mérite d'être posée sur la table.
Le choix qu'on ne vous a pas laissé faire
Quand vous ouvrez un compte sur Wix ou Squarespace, personne ne vous dit "attention, vos données vont partir aux États-Unis, et voici ce que ça implique". Vous cochez une case sur des conditions générales de 40 pages. La documentation existe, elle est publique, mais elle est faite pour être conforme, pas pour être lue.
Vous portez peut-être un projet d'entreprise qui a du sens. Ce n'est pas anodin de le faire tourner sur une infrastructure dont les conditions générales prévoient explicitement la possibilité d'utiliser vos données de vente et celles de vos client·es pour améliorer ses services, ajuster son ciblage publicitaire, entraîner ses algorithmes. Cette possibilité, vous l'avez acceptée au moment de créer votre compte, sans doute sans la lire.
Vous restez responsable, même sans le savoir
Il y a une chose que les plateformes précisent noir sur blanc dans leur documentation, mais qui reste étonnamment mal comprise. Ce n'est pas Wix, Shopify ou Squarespace qui est responsable des données de vos client·es. C'est vous. La plateforme fournit une infrastructure, elle est votre sous-traitante. Le RGPD vous considère, vous, comme responsable de traitement.
Ça veut dire que la politique de confidentialité, le bandeau cookies, l'information sur les transferts hors Union européenne, la réponse aux demandes d'accès ou de suppression de vos client·es : tout ça, c'est votre responsabilité, pas celle de la plateforme. En cas de contrôle, c'est à vous que la CNIL s'adresse.
Et un site que vous possédez, ça change quoi ?
Vous restez responsable de traitement, le RGPD s'applique de la même manière, vous devez toujours choisir vos outils tiers en connaissance de cause. Ce qui change, c'est la marge de manœuvre.
Vous choisissez votre hébergeur. Français, européen, ou américain si vous le décidez en connaissance de cause. Vous choisissez vos outils périphériques. Si demain vous voulez rapatrier votre infrastructure en Europe, vous pouvez le faire sans refaire votre site. Vous êtes responsable, mais vous êtes aussi décisionnaire.
Je sais que cet article ne convaincra pas quelqu'un dont la seule préoccupation est le chiffre d'affaires. Mais je pense que les arguments qui y sont exposés parleront à des dirigeant·es qui accordent autant d'importance à leur manière de faire qu'au résultat.
C'est le troisième argument, à mon sens, qui justifie de sortir des plateformes clés en main pour un site qui doit durer. Le premier, c'était le coût réel sur la durée. Le deuxième, la propriété. Le troisième, celui-ci : le choix, en conscience, de qui héberge quoi.
Le quatrième et dernier touche à ce qui vous rend visible en ligne. Quand votre site est enfermé dans une plateforme, que se passe-t-il pour votre référencement le jour où vous voulez en sortir ? C'est le sujet du prochain et dernier article de cette série.
Publié le 01/07/2026