PDP qui protège vos données : ce que la DGFiP ne dit pas

Cent une plateformes ont reçu leur immatriculation PA (ex-PDP) auprès de la DGFiP. Toutes affichent les mêmes étiquettes : RGPD, ISO 27001, hébergement européen. Aucune n’explique vraiment ce qu’elle fait de vos données entre le moment où vous émettez la facture et celui où elle arrive chez votre client. La question posée par votre mot-clé tient en une phrase : une PDP protectrice se reconnaît à cinq critères concrets, qui ne sont ni tous exigés par l’agrément officiel, ni tous présents dans les contrats des grands éditeurs.

Le label Plateforme Agréée valide une base technique minimale. Il ne dit rien de la nationalité capitalistique de l’opérateur. Il ne dit rien du modèle économique de l’éditeur. Il ne dit rien du sort réservé à vos métadonnées une fois la facture acheminée. C’est l’angle mort que notre approche de conformité minimale cherche à éclairer. Entre subir la réforme et choisir ses contraintes, il y a la marge où se joue la souveraineté pratique de votre comptabilité.

La majorité des comparatifs classent les PDP par fonctionnalités, prix et intégration logicielle. Aucun ne classe par exposition juridique au Cloud Act. Aucun ne classe par engagement explicite de non-revente des données. Aucun ne classe par délai contractuel de notification d’incident. Nous prenons l’exercice à l’envers. Voici les questions que les éditeurs préfèrent ne pas voir figurer dans vos cahiers des charges.

I — Le label trompeurL’agrément DGFiP ne garantit pas une protection réelle de vos données.

L’immatriculation délivrée par le Service d’Immatriculation de la DGFiP atteste une chose : la plateforme dispose d’un système d’information capable d’émettre, transmettre et recevoir des factures électroniques conformes. Elle n’atteste ni la souveraineté juridique de l’opérateur, ni l’absence de monétisation indirecte des métadonnées. Le détail compte.

Ce que vérifie réellement le Service d’Immatriculation.

Le cahier des charges des PA couvre quatre blocs : capacité technique d’émission et de réception, interopérabilité avec le PPF, certification ISO/IEC 27001 sur le périmètre facturation, conformité RGPD documentée. L’immatriculation est valable 3 ans renouvelable. Plus de 100 opérateurs sont à ce jour immatriculés sous réserve, dans l’attente d’un rapport d’audit confirmant leur raccordement effectif au PPF. Ce socle vérifie la mécanique : les factures partent, arrivent, sont lisibles et archivables.

Ce socle ne dit rien sur trois points pourtant centraux. La nationalité juridique du capital, d’abord. L’usage que fait l’éditeur des données agrégées, ensuite. La capacité réelle à honorer une demande de réversibilité en moins de trente jours, enfin. Aucun de ces trois éléments n’est exigé pour obtenir l’agrément. Aucun n’apparaît dans l’attestation publiée sur impots.gouv.fr.

SecNumCloud : le critère absent du calendrier officiel.

La qualification SecNumCloud de l’ANSSI est l’étalon-or de l’hébergement sensible en France. Elle impose un capital européen majoritaire (pas plus de 24 % détenus individuellement et 39 % collectivement par des entités non-européennes), des datacenters localisés en France ou en UE, et une immunité juridique aux lois extraterritoriales. Le référentiel attendu pour les PDP la mentionne. Sauf qu’il la place explicitement en deuxième étape.

Concrètement, une plateforme peut être immatriculée au 1ᵉʳ septembre 2026 sans être qualifiée SecNumCloud, à condition d’engager la démarche. Cette nuance temporelle n’apparaît dans aucune communication grand public. Elle change pourtant tout : entre une PDP déjà SecNumCloud et une PDP qui s’y prépare, l’écart en matière de souveraineté concrète des données se compte en années. Pour une approche plus large des leviers d’économie sans renoncer à la sécurité, notre dossier sur comment éviter le coût d’une PDP d’entreprise pose les arbitrages.

101 plateformes agréées, et tous les modèles économiques ne se valent pas.

La liste publiée par impots.gouv.fr met sur le même plan des acteurs aux ADN très différents. On y trouve des éditeurs comptables historiques (Sage, Cegid, Pennylane, Indy), des opérateurs EDI installés, des banques en ligne, des fintech récentes, et même des filiales françaises de groupes mondiaux comme ClearTax. Tous portent le même tampon DGFiP. Tous n’ont pas la même structure capitalistique, ni le même intérêt commercial à conserver vos données au-delà du strict nécessaire.

Le sujet est documenté : l’agrégation des données comptables agrégées à grande échelle constitue un actif économique pour les éditeurs SaaS. Nous le démontons en détail dans notre enquête sur les pratiques de data mining des éditeurs comptables. Une PDP qui appartient au même groupe que votre logiciel de comptabilité voit passer beaucoup plus que vos factures : elle voit votre carnet de commandes, votre saisonnalité, votre marge brute, vos retards clients.

II — Les cinq critèresCe qui distingue une PDP protectrice d’une PDP simplement conforme.

Cinq questions précises font basculer le diagnostic. Elles tiennent en une page A4. Elles doivent être posées avant la signature du contrat, pas après. Aucune n’est facultative. Le partenaire qui rechigne à répondre clairement à l’une d’entre elles élimine de fait sa candidature.

Critère n°1 — La nationalité juridique de l’opérateur.

Une société de droit français ou européen, dont le capital n’est pas majoritairement détenu par une entité non-européenne, échappe aux requêtes émises au titre du Cloud Act américain. Une filiale française d’un groupe américain, même hébergée à Paris, reste exposée : c’est la maison-mère qui répond, pas la filiale. Cette nuance est centrale pour les administrations publiques, les avocats, les professions médicales, ou toute entreprise qui traite des données sensibles via ses factures.

Critère n°2 — L’hébergement physique et la qualification SecNumCloud.

La localisation des serveurs en UE est nécessaire mais insuffisante. Demandez la liste précise des hébergeurs et sous-traitants techniques. Vérifiez la qualification SecNumCloud actuelle ou la date de candidature ANSSI. Quelques opérateurs français pivotent sur des hébergeurs déjà qualifiés (Outscale, Cloud Temple, OVHcloud, Numspot). D’autres restent sur AWS Europe, Azure France ou Google Cloud Paris : techniquement français, juridiquement exposés.

Critère n°3 — Le périmètre du traitement et la non-revente.

L’article 28 du RGPD exige un contrat précis entre vous (responsable de traitement) et la PDP (sous-traitant). Ce contrat doit interdire explicitement la réutilisation des données à des fins de profilage, d’études sectorielles, de scoring commercial ou de revente à des tiers. Le silence du contrat sur ce point n’équivaut pas à une interdiction. À défaut de clause explicite, la PDP peut anonymiser et agréger sans vous demander votre avis. C’est légal. C’est exactement ce que les meilleures PDP gratuites de 2026 évitent par défaut, contrairement à certaines offres premium.

Critère n°4 — La réversibilité documentée.

Le contrat doit prévoir, en cas de changement de PDP, un export complet et exploitable de vos factures, dans un format structuré (UBL, CII, Factur-X), accompagné des métadonnées de cycle de vie. Le délai contractuel raisonnable est de 30 jours. Au-delà, le piège du verrouillage technologique s’installe. La réversibilité est aussi cruciale en cas de perte d’immatriculation : si la PDP perd son agrément, vous devez pouvoir basculer vers un autre opérateur sans perte d’historique.

Critère n°5 — La notification d’incident.

En cas de violation de données, vous disposez de 72 heures pour notifier la CNIL. Ce délai commence à courir dès que votre sous-traitant vous informe. Si la PDP elle-même met une semaine à vous prévenir, vous êtes hors délai par sa faute, et c’est vous qui payez. Le contrat doit fixer un délai de notification explicite. Un délai contractuel sous 24 heures constitue le seuil minimum acceptable. Tout ce qui se situe au-delà, ou n’est pas chiffré dans le contrat, doit être renégocié.

Ces trois chiffres encadrent le problème. Cent une plateformes vous laissent un choix réel, à condition de filtrer sur les bons critères. Dix ans de conservation rendent toute fuite irrécupérable bien après votre départ de l’éditeur. Soixante-douze heures donnent une marge nulle pour découvrir une intrusion : il faut un partenaire qui parle, vite et clair.

III — Le piège silencieuxComment certains éditeurs monétisent indirectement vos factures.

La revente directe de données nominatives serait illégale et tuerait commercialement l’éditeur. Le sujet n’est pas là. Le sujet est la zone grise des données agrégées et anonymisées, où la réglementation s’efface et où la valeur économique se construit. Une PDP qui voit transiter 10 millions de factures par mois dispose d’un capital informationnel considérable. La question n’est pas s’il sera exploité, mais comment et pour qui.

Le modèle d’agrégation indirecte.

Le scénario type tient en trois étapes. Étape 1 : la PDP traite les factures pour le compte de ses clients, en respectant le RGPD à la lettre. Étape 2 : les données sont anonymisées et agrégées en statistiques sectorielles (volumes de facturation moyens par secteur, délais de paiement médians par taille d’entreprise, saisonnalité par filière). Étape 3 : ces statistiques sont commercialisées sous forme de rapports payants, de produits scoring crédit, ou intégrées à des modèles d’IA proposés aux banques, assureurs, sociétés d’affacturage.

Aucune étape n’est illégale. Aucune n’est interdite par défaut dans les contrats type des PDP. C’est précisément pour cette raison que la clause explicite de non-réutilisation doit figurer dans votre annexe RGPD. Sans elle, vous êtes l’apport en données d’un modèle dont vous n’êtes ni l’actionnaire ni le bénéficiaire.

La frontière floue entre amélioration produit et exploitation commerciale.

Les conditions générales des grands éditeurs invoquent souvent une finalité « d’amélioration continue du service ». Sous cette étiquette, tout passe : entraînement de modèles internes, calibration d’algorithmes de relance, optimisation tarifaire, benchmark commercial vendu aux entreprises clientes. La clause est juridiquement valide tant qu’elle reste générale. Le piège est qu’elle couvre des usages économiques très éloignés du strict service de transmission des factures.

Il ne suffit pas de choisir une PDP à peu près conforme. Il faut s’assurer que ses propres sous-traitants le sont aussi. En cas de problème, c’est le responsable du traitement qui est exposé. — Eléonore Favero-Agostini, avocate au cabinet Adlane Avocats, propos publiés

IV — La pratiqueLa check-list anti-fuites de données avant signature.

Le passage de la théorie à la pratique tient en deux étapes : un interrogatoire commercial préalable, puis une lecture serrée du contrat de sous-traitance. Aucune des deux étapes ne demande de compétence juridique avancée. Toutes deux exigent un quart d’heure d’attention par PDP candidate.

Les sept questions à poser avant de signer.

Demandez par écrit, à chaque PDP shortlistée : la nationalité juridique de la société et de sa maison-mère, le nom de l’hébergeur final et son statut SecNumCloud, l’existence et la date de la certification ISO 27001 valide, la liste des sous-traitants techniques au sens article 28 RGPD, l’engagement formel de non-revente et non-réutilisation des données agrégées, le délai contractuel de notification d’incident, et les modalités précises de réversibilité avec format d’export. Un partenaire sérieux répond en moins de cinq jours ouvrés. Un partenaire qui esquive ou renvoie vers un commercial qui « doit en parler à l’équipe juridique » est déjà disqualifié.

Les clauses contractuelles non-négociables.

Quatre clauses doivent figurer noir sur blanc dans votre annexe RGPD. Première clause : interdiction explicite de toute réutilisation des données, même anonymisées, à des fins autres que la transmission et l’archivage des factures. Deuxième clause : exclusion de la protection des données personnelles du plafond de responsabilité contractuelle (les amendes RGPD pouvant dépasser ce plafond largement). Troisième clause : droit d’audit annuel du sous-traitant et de ses propres sous-traitants. Quatrième clause : engagement de localisation européenne du traitement, sans transfert hors UE même pour la maintenance technique.

Si le rapport de force commercial est défavorable (vous êtes seul face à un grand éditeur), la stratégie est différente : comparer les PDP anti-SaaS minimalistes pour identifier celles qui acceptent ces clauses par défaut, sans négociation.

Le choix se résume rarement à une option idéale : le bon arbitrage dépend de votre profil. Une TPE qui facture une dizaine de clients par mois n’a aucune raison d’accepter le périmètre étendu d’une PDP agrégatrice. Une PME structurée avec besoin d’intégration comptable poussée peut accepter le compromis, à condition de verrouiller les clauses de non-réutilisation.

Questions fréquentes

Le PPF gratuit de l’État protège-t-il mieux mes données qu’une PDP privée ?

Le PPF est opéré par l’administration fiscale et ne traite vos données qu’au titre de l’obligation légale. Il n’a aucun intérêt commercial à les agréger ou à les revendre. En revanche, son périmètre fonctionnel est strictement limité à l’annuaire et à la concentration des données : pas d’intégration comptable, pas de workflow de validation, pas de relances automatisées. Le PPF est plus protecteur par construction, moins fonctionnel par mission. Notre comparatif détaillé PPF gratuit de l’État vs PDP privée détaille les arbitrages.

SecNumCloud sera-t-il obligatoire pour les PDP au 1ᵉʳ septembre 2026 ?

Non. La qualification SecNumCloud est placée en deuxième étape du référentiel d’agrément. Une PDP peut être immatriculée sans cette qualification, à condition d’avoir engagé la démarche auprès de l’ANSSI. La date butoir d’obtention effective n’est pas publique. Cette zone grise explique pourquoi certaines plateformes communiquent sur SecNumCloud « en cours de qualification » plutôt que « qualifié » : la nuance reste juridiquement valide pour l’agrément.

Que se passe-t-il si ma PDP perd son immatriculation ?

Le scénario est prévu par l’administration. En cas de non-renouvellement de l’agrément (valable 3 ans), une période de carence est accordée pour basculer vers une autre plateforme agréée. Sa durée précise n’a pas été fixée publiquement. C’est précisément pour ce cas que la clause de réversibilité dans votre contrat compte : sans procédure d’export documentée, vous risquez de perdre l’accès à votre historique de facturation à un moment critique.

Une PDP étrangère immatriculée peut-elle traiter mes factures françaises ?

Oui, plusieurs opérateurs immatriculés sont des filiales françaises de groupes étrangers. L’immatriculation valide la conformité technique et l’engagement RGPD, pas l’indépendance capitalistique. Vous restez juridiquement libre de choisir une PDP à capitaux étrangers. Vous restez aussi pleinement responsable, en tant que responsable de traitement, de l’exposition de vos données aux lois extraterritoriales applicables à la maison-mère de la PDP.

Mon expert-comptable peut-il consulter mes factures via la PDP ?

Cela dépend de la PDP. Toutes les plateformes n’offrent pas le même niveau d’accès aux tiers autorisés. Avant de signer, vérifiez les modalités d’accès délégué (création de comptes secondaires, partage en lecture seule, périmètre temporel) et la traçabilité des accès du cabinet. Sur ce point, les PDP issues du monde comptable (Pennylane, Tiime, Indy) offrent une intégration native plus fluide que les PDP pures opérateurs EDI. La contrepartie est l’agrégation potentielle des données, à vérifier au contrat.