Normes
Éditeur américain : que vérifier sur les transferts ?
Vous envisagez un LMS (plateforme qui diffuse les formations et suit qui les a faites) édité ou opéré depuis les États-Unis, et on vous demande si les données de vos salariés peuvent y partir.
Vérifiez trois choses. L’inscription de l’éditeur au Data Privacy Framework (cadre de transfert UE–États-Unis) sur la liste officielle, avec l’entité exacte. Ce que cette inscription couvre, en particulier les données de ressources humaines. Et les clauses contractuelles types prévues au contrat, si le cadre tombe.
Le cadre est valide à ce jour : le Tribunal de l’UE a rejeté le recours Latombe le 3 septembre 2025. Mais un pourvoi formé le 31 octobre 2025 reste pendant devant la Cour de justice à la date de notre lecture. Nous ne le disons pas pour vous faire renoncer à un éditeur américain : nous vous conseillons seulement de ne pas tout faire reposer sur ce seul mécanisme.
Notre avis
Un éditeur américain reste un candidat normal. Exigez la preuve du mécanisme de transfert pour l’entité américaine qui recevra vos données, ainsi qu’une solution de repli au contrat. Nous n’achèterions pas sur la seule phrase « nous respectons le RGPD », ni sur le seul mot d’hébergement en Europe.
Pourquoi
- La décision couvre les transferts vers les organisations américaines qui figurent sur la liste du cadre. Identifiez le destinataire effectif des données et sa place dans la chaîne contractuelle : ce n’est pas nécessairement la société qui signe votre contrat.
- L’hébergement répond à une partie de la question. Une page d’Absorb le montre : données dans la région choisie, mais accès possible d’ailleurs pour le support et la sous-traitance.
- Les précédentes décisions sur les États-Unis ont été invalidées par la Cour, rappelle le communiqué du Tribunal. Le pourvoi en cours peut finir autrement, et avoir des clauses prêtes nous paraît coûter peu à la signature.
Ce qui change notre avis
Avec un hébergement dans l’UE écrit au contrat et aucun accès depuis l’extérieur, sous-traitants et IA compris, le sujet se réduit sans disparaître : il reste à vérifier cette promesse et le droit applicable à l’éditeur, que nous n’avons pas étudié.
Où passent vraiment les données
Ces lignes viennent des éditeurs. Aucune n’établit une conformité, et aucune n’a été vérifiée par nous. Elles illustrent des questions à poser à tous.
| Éditeur | Ce que dit la page | La question qui en sort |
|---|---|---|
| Absorb | Cinq régions AWS dont l’Irlande ; données et sauvegardes y restent, accès possible d’ailleurs pour support et sous-traitance | Depuis quels pays accède-t-on, et sous quel mécanisme pour chacun ? |
| Intellum | Se dit participant certifié au cadre ; hébergement en Irlande pour les clients européens, requêtes d’IA traitées aux États-Unis | Quelles données partent dans une requête d’IA, et peut-on la couper ? |
| LearnUpon | Lieux de données au choix : UE, États-Unis, Australie | Le choix est-il écrit, et que se passe-t-il pour le support ? |
| TalentLMS | Hébergé exclusivement sur AWS, sans région indiquée dans la page lue | Quelle région, et pouvez-vous la choisir ? |
Lire la liste du Data Privacy Framework
Nous n’avons pas pu ouvrir cette liste : la page ne nous a renvoyé que l’habillage du site. Faites ce contrôle vous-même, dans votre navigateur.
- Trouvez l’entité exacte. Demandez quelle entité américaine recevra effectivement les données, puis cherchez cette entité sur la liste et vérifiez sa place dans la chaîne contractuelle. Elle peut différer de la société qui signe le contrat ; un groupe peut compter plusieurs sociétés.
- Vérifiez le statut et la date. Actif, et date de recertification. Une page d’éditeur qui se dit certifiée n’en tient pas lieu.
- Regardez si les données RH sont couvertes. La décision demande à une organisation qui veut couvrir des données de ressources humaines reçues de l’Union, pour une relation de travail, de le mentionner dans son autocertification et de s’engager à coopérer avec les autorités européennes.
- Posez la question que le texte ne tranche pas. Un éditeur de LMS reçoit des données de salariés de ses clients sans être leur employeur. D’après ce que nous avons lu, rien n’établit si cette clause s’applique à lui. Demandez par écrit sous quelle catégorie il traite vos données.
- Demandez la liste des sous-traitants américains. Et le mécanisme retenu pour chacun. Le cadre n’est valable que pour les organisations américaines qui y adhèrent ; un support au Royaume-Uni ou en Australie relève d’autre chose.
La solution de repli
La CNIL liste les outils juridiques qui encadrent un transfert : décision d’adéquation, clauses contractuelles types, règles d’entreprise contraignantes, dérogations limitées à des situations particulières. Elle publie aussi un guide sur l’analyse d’impact des transferts, que nous n’avons pas lu.
Notre conseil pratique : demandez que les clauses contractuelles types figurent au contrat ou s’activent si le cadre cesse de s’appliquer, et que l’éditeur s’engage à vous prévenir. Le texte ne l’impose pas sous cette forme ; c’est de la prudence d’acheteur. La sortie compte aussi : si le pourvoi changeait la donne, votre plan dépendrait de ce que vous pouvez exporter, et sous quel délai.
Le communiqué du Tribunal rappelle par ailleurs que la Commission suit l’application du cadre et peut le suspendre, le modifier ou l’abroger si le droit américain change. Une issue négative n’est donc pas la seule façon pour le cadre de bouger.
Les formules à ne pas prendre pour une réponse
« Données hébergées en Europe » ne parle pas de l’accès. « SOC 2 » ou « ISO 27001 » parlent de sécurité et ne disent pas quel mécanisme encadre un transfert. 360Learning décrit un hébergement sur Microsoft Azure dans des lieux « non soumis au Patriot Act », sans pays nommé sur la page lue : nous ne pouvons rien vérifier à partir de cette formule, et la même prudence vaut pour un éditeur français que pour un éditeur américain.
Le sujet ne s’arrête donc pas à la nationalité de l’éditeur. La liste de sous-traitants de Speach, par exemple, cite des prestataires d’IA aux États-Unis : lisez cette liste chez tout candidat, américain ou non.
Limites de cette page
Nous n’avons vérifié aucune inscription sur la liste officielle, et l’application de la clause sur les données RH à un éditeur sous-traitant n’est pas établie. Le statut du pourvoi est celui lu le 5 novembre 2026 : relisez la fiche de l’affaire avant de citer cette page. Nous traitons le mécanisme, pas la sécurité ni le déploiement dans d’autres pays. Pour un jeu de données sensible ou un doute sur la catégorie, demandez l’avis de votre DPO (délégué à la protection des données).
Preuves et sources
Le 5 novembre 2026, nous avons lu la décision d’adéquation (UE) 2023/1795 du 10 juillet 2023 sur ses passages relatifs aux données de ressources humaines, le communiqué du Tribunal de l’UE du 3 septembre 2025, la fiche de l’affaire C-703/25 P, la page de la CNIL sur les transferts (non datée) et des pages d’éditeurs. La liste officielle du Data Privacy Framework n’a pas pu être ouverte : nous n’y avons vérifié aucun éditeur. Le questions-réponses de la CNIL sur les États-Unis et l’arrêt lui-même n’ont pas été lus. Aucun de ces textes ne nomme un LMS.
Voir les 12 éléments : ce qui est un fait lu, une déclaration, notre déduction ou notre avis
Fait lu. La CNIL admet les transferts hors UE et EEE à condition d’un niveau de protection suffisant et approprié, encadrés par des outils juridiques : adéquation, clauses contractuelles types, règles d’entreprise contraignantes, dérogations.
Portée : Page CNIL non datée.
Réserve : L’outil annoncé par un éditeur reste à vérifier.
Relevé le 5 novembre 2026.
- CNIL : Transférer des données hors de l'UE Non datée. Lu le 5 novembre 2026. Document d’origine.
Fait lu. La décision du 10 juillet 2023 couvre les organisations américaines adhérant au cadre. Celles qui veulent l’étendre à des données de ressources humaines reçues de l’Union pour une relation de travail doivent le mentionner dans leur autocertification et s’engager à coopérer avec les autorités européennes.
Portée : UE–États-Unis ; décision (UE) 2023/1795, passages lus sur les ressources humaines.
Réserve : Application à un éditeur sous-traitant recevant les données RH de ses clients non établie. Aucune certification d’éditeur vérifiée.
Relevé le 5 novembre 2026.
- Commission européenne, JOUE : Décision d'exécution (UE) 2023/1795 (EU-US Data Privacy Framework) 10 juillet 2023. Lu le 5 novembre 2026. Document d’origine.
Fait lu. Le 3 septembre 2025, le Tribunal de l’UE a rejeté le recours Latombe contre cette décision (T-553/23), et un pourvoi formé le 31 octobre 2025 (C-703/25 P) est pendant au 5 novembre 2026.
Portée : UE ; communiqué de presse n° 106/25 et fiche de l’affaire.
Réserve : Communiqué lu, pas l’arrêt. Le cadre est valide à date ; l’issue du pourvoi est inconnue.
Relevé le 5 novembre 2026.
- Cour de justice de l'UE : Communiqué de presse n° 106/25, affaire T-553/23 Latombe/Commission 3 septembre 2025. Lu le 5 novembre 2026. Document d’origine.
- Cour de justice de l'UE : Affaire C-703/25 P Latombe/Commission, liste des documents non datée. Lu le 5 novembre 2026. Document d’origine.
Fait lu. Le communiqué rappelle que la Cour a invalidé deux précédentes décisions d’adéquation sur les États-Unis, et que la Commission peut suspendre, modifier ou abroger la décision ou en restreindre le champ si le droit américain change.
Portée : Communiqué n° 106/25.
Relevé le 5 novembre 2026.
- Cour de justice de l'UE : Communiqué de presse n° 106/25, affaire T-553/23 Latombe/Commission 3 septembre 2025. Lu le 5 novembre 2026. Document d’origine.
Déclaration de l’éditeur. Absorb propose cinq régions AWS dont l’Irlande, où restent données et sauvegardes ; elles peuvent être consultées d’ailleurs pour le support, la maintenance et la sous-traitance.
Portée : Aide de l’éditeur, non datée.
Réserve : Une garantie de résidence n’est pas un accès restreint à l’UE.
Relevé le 5 novembre 2026.
- Absorb Software : Data Hosting Locations and AWS Regions non datée. Lu le 5 novembre 2026. Page de l’éditeur.
Déclaration de l’éditeur. Intellum se dit participant certifié au Data Privacy Framework, déclare héberger en Irlande pour ses clients européens et traiter les requêtes d’IA aux États-Unis.
Portée : Page de l’éditeur.
Réserve : Inscription non vérifiée sur la liste officielle.
Relevé le 5 novembre 2026.
- Intellum : llms.txt non datée. Lu le 5 novembre 2026. Page de l’éditeur.
Déclaration de l’éditeur. LearnUpon propose trois lieux de données (UE, États-Unis, Australie) sur AWS.
Portée : Pages de l’éditeur.
Réserve : Traitements hors région non établis dans cette lecture.
Relevé le 5 novembre 2026.
- LearnUpon : Data residency options for LearnUpon « 1 year ago ». Lu le 5 novembre 2026. Page de l’éditeur.
- LearnUpon : Security non datée. Lu le 5 novembre 2026. Page de l’éditeur.
Déclaration de l’éditeur. TalentLMS se dit hébergé exclusivement sur AWS, sans région indiquée dans la page lue.
Portée : Page de l’éditeur, non datée.
Réserve : Pas de garantie de résidence en UE lue.
Relevé le 5 novembre 2026.
- Epignosis : Data Security in LMS non datée. Lu le 5 novembre 2026. Page de l’éditeur.
Déclaration de l’éditeur. 360Learning décrit un hébergement sur Microsoft Azure, dans des lieux présentés comme non soumis au « Patriot Act », sans pays nommé dans la page lue.
Portée : Page de l’éditeur, non datée.
Réserve : Formule non vérifiée ; elle n’établit ni la localisation ni l’absence d’exposition à un droit étranger.
Relevé le 5 novembre 2026.
- 360Learning : Privacy & Security | 360Learning non datée. Lu le 5 novembre 2026. Page de l’éditeur.
Déclaration de l’éditeur. La liste de sous-traitants de Speach cite d’autres prestataires d’IA aux États-Unis.
Portée : Page de l’éditeur, mise à jour le 1er octobre 2026.
Réserve : Le choix de la région pour un client français n’est pas établi.
Relevé le 5 novembre 2026.
- Speach : Discover Speach's Subprocessors mise à jour du 1er octobre 2026. Lu le 5 novembre 2026. Page de l’éditeur.
Notre avis. Prévoir des clauses contractuelles types de repli et ne pas s’en tenir à l’hébergement est notre conseil d’acheteur ; le texte lu ne l’impose pas sous cette forme.
Relevé le 5 novembre 2026.
Notre méthode. Le contrôle de la liste en cinq étapes est notre méthode, à exécuter par le lecteur.
Réserve : Liste officielle non ouverte par nous.
Relevé le 5 novembre 2026.