Votre appel d’offres touche à sa fin. Le logiciel obtient de bons résultats sur les fonctionnalités, la démonstration a convaincu tout le monde, le prix est juste. Puis vient la question de la DSI ou du RSSI : où se trouvent physiquement les données contractuelles, et qui peut y accéder juridiquement ? Vous consultez la page du fournisseur. Elle indique seulement « hébergé en Europe ». Le fournisseur lui-même est américain. Et tout l’achat se bloque à cet instant.
Lorsqu’il s’agit de choisir un logiciel de gestion des contrats européen, la question ne se limite plus depuis longtemps à la langue et au support. La question qui doit venir en premier est la suivante : sous quelle loi vivent vos données contractuelles, et qui peut y accéder ? Pour les acheteurs et les gestionnaires de contrats du secteur public, de la santé et de l’enseignement, c’est devenu un critère d’achat, et non un détail.
« Européen » ne signifie pas ce que vous croyez
De nombreuses comparaisons assimilent un logiciel de gestion des contrats européen à un support dans votre langue et une assistance dans votre fuseau horaire. C’est agréable, mais cela ne dit rien de la juridiction. Un logiciel doté d’un support local peut tout de même avoir une société mère américaine relevant du droit américain.
La véritable distinction se situe à trois niveaux indépendants les uns des autres :
- Langue et support : dans quelle langue vous êtes assisté. Un confort, pas une protection.
- Résidence des données : l’emplacement physique des serveurs.
- Juridiction : sous quel droit relève le fournisseur, et donc qui peut exiger l’accès à vos données.
Ce dernier niveau est déterminant. Des serveurs à Francfort ne vous offrent aucune protection si le propriétaire du logiciel relève d’une loi qui impose l’accès à ces données. Choisir sur la langue, c’est choisir le confort. Choisir sur la juridiction, c’est choisir la maîtrise.
Où vivent réellement vos données contractuelles, et qui peut y accéder ?
Un système de gestion des contrats ne contient pas de métadonnées neutres. On y trouve des noms de fournisseurs, des accords tarifaires, des clauses d’indexation, des pénalités liées aux SLA et des exigences de sécurité issues de contrats externalisés. Pour un établissement de santé, cela inclut des informations sur la sécurité et la logistique des patients. Pour une collectivité, sur l’ensemble de la chaîne de fournisseurs. Ces données, vous ne voulez pas qu’elles échappent à votre contrôle.
C’est là qu’intervient le US Cloud Act. Cette loi américaine donne au gouvernement des États-Unis le droit de réclamer des données aux entreprises américaines, quel que soit l’emplacement des serveurs. Un centre de données situé en Europe n’y change rien si le fournisseur est une entité américaine. « Hébergé en Europe » répond donc à la mauvaise question. La question n’est pas de savoir où tourne le disque, mais quel gouvernement peut frapper à la porte du propriétaire.
Prenons une université dotée d’une politique explicite de souveraineté des données. Le RSSI fournit une liste d’exigences. Un logiciel international obtient de bons résultats sur les fonctionnalités, mais échoue sur la juridiction. La plus belle solution est alors écartée après coup, et la recherche recommence. C’est précisément l’ordre qu’il faut inverser : la propriété des données doit être une question de départ, non un point de clôture.
RGPD by design : un critère d’achat, pas une case cochée après coup
La conformité RGPD est souvent présentée comme une simple case à cocher sur une page commerciale. Mais il existe une différence entre une protection de la vie privée intégrée dès la conception et une protection ajoutée après coup. Avec le RGPD by design, la minimisation des données, la gestion des accès et le lieu de traitement sont des choix de conception dès la première ligne de code. Avec une protection ajoutée après coup, il s’agit de correctifs appliqués à un système qui n’a pas été conçu pour cela.
Pour vous, acheteur ou gestionnaire de contrats, cela se vérifie. Demandez le contrat de sous-traitance, la liste des sous-traitants ultérieurs et leur pays d’établissement, et qui dispose techniquement d’un accès aux données de production. Un fournisseur qui a intégré le RGPD dès la conception peut répondre immédiatement à ces questions. Un fournisseur qui l’a ajouté après coup vous renvoie vers une page de conformité générique. Cette différence se remarque en deux questions.
NEN-EN 18286:2026 et le règlement sur l’IA : qu’est-ce qui change ?
En 2026 a été publiée la norme NEN-EN 18286:2026, la première norme européenne alignée sur le règlement sur l’IA. Cela concerne directement la gestion des contrats dès que votre logiciel applique de l’IA à vos données contractuelles. Si une fonction d’IA analyse vos documents contractuels, la question du lieu de ce traitement et des conditions dans lesquelles il s’effectue devient aussi importante que celle du stockage.
KAIA, l’IA de GRIP, lit les documents contractuels et les convertit en données structurées : actions, KPI, échéances d’indexation. Ce traitement reste dans le cadre européen. GRIP ne rend personne « conforme à l’AI Act », telle n’est pas la promesse. En revanche, vous savez où l’IA traite vos données contractuelles, et c’est précisément l’élément que les logiciels internationaux explicitent rarement. GRIP est certifié ISO 9001 et ISO 27001, ce qui rend ce traitement vérifiable plutôt qu’une simple promesse.
Pourquoi le secteur public, la santé et l’enseignement y attachent plus d’importance
Une PME commerciale peut accepter un risque qu’une collectivité n’a pas le droit de prendre. Les organisations publiques, de santé et d’enseignement ont une obligation de rendre des comptes, travaillent avec des données fournisseurs sensibles et sont liées par des exigences de marchés publics dans lesquelles la souveraineté des données devient de plus en plus souvent un critère éliminatoire.
À cela s’ajoute la loi néerlandaise sur la cybersécurité, transposition de NIS2, entrant en vigueur le 15 août 2026. Elle oblige environ 8 000 à 10 000 organisations à maîtriser de manière démontrable les cyberrisques dans la chaîne de fournisseurs. Vous devez savoir quels sont vos fournisseurs, quelles exigences de sécurité figurent dans les contrats externalisés et quels engagements restent en suspens. GRIP vous donne la maîtrise de ce volet contractuel du devoir de vigilance, non de l’ensemble de votre cybersécurité.
Critères de sélection : les questions à poser en amont
Inversez l’ordre. Posez ces questions avant la démonstration, et non après l’audit de sécurité :
- De quelle juridiction relève le fournisseur, et quelle est sa société mère ?
- Où se trouvent physiquement les données de production et de sauvegarde, et qui sont les sous-traitants ultérieurs ?
- Un gouvernement non européen peut-il accéder à mes données contractuelles via le propriétaire ?
- Le RGPD est-il intégré à la conception ou ajouté après coup ? Demandez des preuves.
- Si de l’IA traite mes données : où et dans quelles conditions ?
- Quelles certifications existent, et ont-elles été auditées récemment ?
La maîtrise de vos données contractuelles commence par savoir où elles se trouvent et qui peut y accéder. Cette information a sa place au même endroit que vos actions, vos KPI et les performances de vos fournisseurs : dans votre tableau de bord des contrats. Vous voulez voir comment GRIP traite concrètement la juridiction, la résidence des données et le traitement européen ? Découvrez comment GRIP résout cette question ou réservez une démonstration.
Questions fréquentes
Quelle est la différence entre un logiciel de gestion des contrats européen et international ?
La véritable différence ne réside pas dans la langue ou le support, mais dans la juridiction. Un logiciel européen relève du droit européen, ce qui protège vos données contractuelles contre l’accès des gouvernements non européens. Avec un logiciel international, la société mère peut relever d’un droit étranger, quel que soit l’emplacement des serveurs.
Que signifie la résidence des données pour la gestion des contrats ?
La résidence des données concerne l’endroit où vos données contractuelles sont physiquement stockées et traitées. Pour la gestion des contrats, cela signifie que les noms de fournisseurs, les accords tarifaires, les SLA et les exigences de sécurité restent au sein de l’UE, sous le droit européen. L’emplacement de stockage seul ne suffit pas : la juridiction du fournisseur pèse tout autant.
Pourquoi « hébergé en Europe » ne suffit-il pas ?
Des serveurs en Europe ne protègent pas vos données si le fournisseur est une entité américaine. Via le US Cloud Act, le gouvernement américain peut réclamer des données aux entreprises américaines, quel que soit l’emplacement des serveurs. La question déterminante est de savoir sous quelle loi relève le propriétaire, et non où tourne le disque.
Qu’est-ce que le RGPD by design dans un logiciel ?
Le RGPD by design signifie que la protection de la vie privée est un choix de conception dès la première ligne de code : minimisation des données, gestion des accès et lieu de traitement font partie des fondations. C’est différent d’une protection ajoutée après coup à un système existant. Demandez le contrat de sous-traitance et la liste des sous-traitants ultérieurs pour le vérifier.
Qu’est-ce que la norme NEN-EN 18286:2026 ?
NEN-EN 18286:2026 est la première norme européenne alignée sur le règlement sur l’IA, publiée en 2026. Cette norme est pertinente pour la gestion des contrats dès qu’un logiciel utilise l’IA pour analyser des données contractuelles, car vous devez alors savoir où et dans quelles conditions ce traitement s’effectue.
GRIP rend-il mon organisation conforme à NIS2 ?
Non. GRIP n’est pas un logiciel de cybersécurité ou de conformité et ne rend personne conforme à NIS2. GRIP vous donne la maîtrise du volet contractuel du devoir de vigilance : quels sont les fournisseurs, quelles exigences de sécurité figurent dans les contrats et quels engagements restent en suspens. C’est un élément de l’obligation plus large prévue par la loi sur la cybersécurité.
Pourquoi la souveraineté des données pèse-t-elle davantage dans le public, la santé et l’enseignement ?
Ces organisations ont une obligation de rendre des comptes, travaillent avec des données fournisseurs sensibles et sont liées par des exigences de marchés publics. La souveraineté des données y devient de plus en plus souvent un critère éliminatoire, renforcé par la loi sur la cybersécurité qui, à partir du 15 août 2026, exige une maîtrise démontrable de la chaîne de fournisseurs.