CRM souverain : 8 points à vérifier avant de choisir votre solution

L’enjeu est concret pour un CRM. Il rassemble des données sensibles : coordonnées de citoyens, d’usagers, d’étudiants ou de donateurs, historiques d’échanges, informations sur les partenaires institutionnels, factures, documents. C’est la mémoire vivante de votre organisation, l’un de ses postes les plus exposés, et pourtant l’un des moins examinés sous l’angle de la souveraineté. On pense d’abord au cloud, à l’IA ou à la suite bureautique, et pas aux applications métier.

Or « données hébergées en France » ne suffit pas à sécuriser un CRM. La souveraineté se joue sur toute la chaîne : sauvegardes, support, lois applicables à l’éditeur et à l’hébergeur, sous-traitants, réversibilité des données, conditions tarifaires, car la dépendance est aussi économique. Chaque maillon compte,

Ce guide vous donne une grille de lecture : huit points vérifiables pour juger n’importe quel CRM qui se dit souverain, le nôtre comme les autres.

Qu’est-ce qu’un CRM souverain ?

Un CRM souverain, c’est une solution qui vous permet de garder la main : vous savez où sont vos données, qui peut les traiter, de quoi/de qui dépend le service et comment vous pourrez en changer. Et surtout, ces réponses sont écrites, prouvées, opposables.

Tout éditeur prend appui sur des hébergeurs, des composants technologiques, des prestataires. Pour évaluer le niveau réel de  souveraineté, il faut  identifier ces dépendances, les encadrer, pouvoir les remplacer et exiger qu’elles soient documentées. Cinq appellations sont souvent confondues, alors qu’elles recouvrent des réalités très différentes :

Pourquoi c’est devenu stratégique

Un CRM retrace le fil de vos relations dans la durée. Une collectivité y consigne les demandes d’usagers et leur historique. Une association y suit ses adhérents, ses bénéficiaires, ses donateurs. Un établissement d’enseignement supérieur y relie candidats, étudiants, diplômés et partenaires.

Si le service devient indisponible, si des données sont accessibles à des personnes non habilitées ou si elles ne peuvent pas être récupérées facilement pour changer de solution, la mission de l’organisation peut être directement affectée. La souveraineté protège donc trois choses très concrètes : la confidentialité des données, la continuité de l’activité et la liberté de changer de solution.

Le sujet est brûlant : plusieurs choix de CRM par de grands acheteurs publics ont récemment fait débat. Et les réponses officielles disent toutes la même chose : tout dépend du périmètre, de la sensibilité des données, de l’hébergement et des garanties contractuelles. Autrement dit : une étiquette « souverain / pas souverain » ne remplacera jamais une vraie grille d’analyse. La voici.

Les 8 points à vérifier pour choisir un CRM souverain

Voici les huit questions à poser, chacune avec la preuve à réclamer et le signal qui doit vous alerter. Gardez-les sous la main pour votre prochain appel d’offres ou votre prochaine démo.

1. Où sont hébergées les données de production ? Le pays, la région, les data centers, le nom de l’opérateur, et si l’éditeur peut changer de lieu, comment il vous préviendra. « Europe » tout seul ne veut rien dire : une bonne réponse nomme l’entité qui fournit l’infrastructure et décrit le périmètre (base active, fichiers, index, journaux, environnements temporaires). 

Preuve à demander : schéma d’architecture, annexe d’hébergement, liste des régions, clause d’information en cas de changement. 

Signal d’alerte : « vos données sont en Europe » sans opérateur nommé ni engagement contractuel.

2. Où sont les sauvegardes et le site de secours ? La production n’est que la partie visible. Sauvegardes, snapshots, répliques, journaux, environnements de reprise : tous contiennent aussi vos données, et doivent suivre la même règle. C’est aussi le moment de jauger la résilience. Retenez deux sigles : le RPO (au pire, combien de données vous acceptez de perdre) et le RTO (en combien de temps le service redémarre). 

Preuve à demander : politique de sauvegarde, cartographie des copies, tests de restauration, RPO/RTO, plan de reprise. 

Signal d’alerte : une localisation nette pour la production… et le silence sur les sauvegardes, les logs ou le secours.

3. Quelles lois s’appliquent à l’éditeur, à sa maison mère et à l’hébergeur ? L’adresse du serveur et la nationalité juridique de l’opérateur sont deux questions différentes. Concrètement, un éditeur soumis au droit américain (Cloud Act, FISA) peut être légalement contraint de donner accès aux données qu’il contrôle, même hébergées en Europe. Pour les traitements les plus sensibles, la CNIL recommande de privilégier des offres garantissant une immunité à l’égard des législations extraterritoriales non européennes. Salesforce, HubSpot, Microsoft sont des groupes américains : choisir une région européenne coche la case localisation, mais la question de la maison mère et des entités qui contrôlent la donnée reste entière. « Conforme au RGPD » et « souverain » répondent à deux questions distinctes. 

Preuve à demander : entité contractante, organigramme juridique utile, droit applicable, engagements sur les demandes d’autorités, rapport de transparence s’il existe. 

Signal d’alerte : une réponse limitée au siège commercial de la marque, sans un mot sur la maison mère ni l’hébergeur.

4. Qui traite vos données et assure le support, et depuis où ? L’accès humain compte autant que la localisation des serveurs. La nationalité des personnes habilitées à accéder aux données doit également être examinée. Dans certaines circonstances, un ressortissant américain travaillant en France peut être sommé par une juridiction américaine de produire des documents ou des données auxquels il a accès, même si ceux-ci sont hébergés en Europe. Admins, développeurs, support, maintenance, astreinte : tous peuvent intervenir sur la plateforme. Demandez si le support peut voir vos données de production, dans quelles conditions et combien de temps. Les accès sensibles devraient être nominatifs, limités, protégés par une double authentification et journalisés.

Preuve à demander : localisation des équipes, matrice d’habilitation, procédure d’accès exceptionnel, MFA, journaux d’administration et analyse des législations susceptibles de s’appliquer aux personnes habilitées.

Signal d’alerte : un support « local » alors que les niveaux 2 et 3 sont sous-traités, sans localisation ni traçabilité.

5. Quels sous-traitants interviennent vraiment ? Un CRM s’interface avec de nombreuses briques : emailing, SMS, signature, paiement, supervision, ticketing, analytics, IA… Chacune peut toucher vos données. La nationalité de l’éditeur ne garantit donc pas celle de toute la chaîne : un prestataire français peut lui-même sous-traiter hors d’Europe. 

Preuve à demander : liste des sous-traitants à jour, addendum de traitement (DPA), rôle et pays de chaque service, encadrement des transferts. 

Signal d’alerte : on vous cite l’hébergeur principal… et l’emailing, le support, l’analytics et l’IA disparaissent de la carte.

6. Quelles garanties de sécurité couvrent précisément le CRM ? Regardez le chiffrement (en transit et au repos), les contrôles d’accès, la journalisation, la gestion des failles, les tests d’intrusion, le PCA/PRA. Attention aux certifications : elles ont un périmètre. ISO 27001 porte sur ce qui est dans le certificat ; SecNumCloud qualifie une offre cloud précise. Et l’ANSSI le dit clairement : un service hébergé sur une offre SecNumCloud n’hérite pas automatiquement de la qualification. 

Preuve à demander : politique de sécurité, synthèse d’audit, fréquence des pentests, gestion des incidents, certificats complets avec périmètre et date. 

Signal d’alerte : un joli logo de certification… sans certificat, sans date, sans lien avec l’offre proposée.

7. L’éditeur joue-t-il la transparence ? C’est ce qui vous permet de vérifier tout le reste : architecture, composants critiques, flux, services tiers, API, formats. L’open source aide à auditer et à remplacer une brique, mais ne crée pas la souveraineté à lui seul (encore faut-il savoir la maintenir). Des API documentées et des formats standards, eux, réduisent vraiment la dépendance. 

Preuve à demander : dossier d’architecture, cartographie des dépendances, documentation API, formats d’échange, préavis en cas de changement majeur. 

Signal d’alerte : « secret industriel » servi à toutes les questions, y compris sur les flux, les sous-traitants et l’export.

8. Pouvez-vous récupérer toutes vos données, vite et à un prix connu ? La souveraineté se vérifie aussi le jour du départ. Un bouton « export CSV » ne suffit pas toujours : il vous faut les données, mais aussi les relations entre elles, les historiques, les consentements, les pièces jointes, les droits. Le Data Act européen, applicable depuis le 12 septembre 2025, encadre davantage le changement de prestataire de traitement de données. Le contrat reste essentiel pour préciser les modalités : formats, délais, accompagnement et suppression des copies. 

Le meilleur test : réclamer un export de démo avant de signer, et l’ouvrir dans un environnement neutre. 

Preuve à demander : exemple d’export complet, dictionnaire de données, clause de réversibilité, grille tarifaire, délai, preuve de suppression. 

Signal d’alerte : export partiel, format propriétaire, pièces jointes exclues, coût « sur devis », aucun calendrier de suppression.

La checklist à emporter

La note d’Eudonet, CRM souverain

Les acteurs du secteur public, les établissements d’enseignement supérieur, les associations et les fondations nous confient des données sensibles, liées à des missions d’intérêt général. Ils attendent de leur CRM une protection solide, une continuité de service et une réponse précise à leurs réalités métier. Eudonet a construit son approche autour de ces exigences, avec une solution française et une maîtrise de l’ensemble de la chaîne.

Cette grille s’applique aussi à nous. Voici comment nous répondons à ces huit points.

1. Hébergement : nous hébergeons en France ou en Europe, dans un cadre juridique européen ; le pays et l’offre sont précisés au contrat.
2. Sauvegardes : leur localisation fait partie de nos engagements souverains ; notre architecture est répartie sur plusieurs zones et data centers pour la continuité.
3. Droit applicable : nos contrats SaaS français sont régis par le droit français ; nous privilégions des acteurs français et européens pour l’infrastructure et les composants critiques.
4. Équipes : notre code est développé et maîtrisé en interne ; le support est assuré par des équipes en France et en Europe.
5. Sous-traitance : chaîne resserrée, partenaires français ou européens privilégiés, avec une vigilance sur l’emailing, le support, l’observabilité et l’IA.
6. Sécurité : chiffrement des données, contrôle des accès, journalisation, audits, tests d’intrusion, PCA/PRA, DPO dédié ; chaque certification reste rattachée à son périmètre réel.
7. Transparence : nous pouvons fournir un document d’architecture recensant nos dépendances et proposons des API REST documentées ; briques européennes ou open source quand elles renforcent la maîtrise.
8. Réversibilité : en fin de contrat, nous exportons vos données en CSV et archivons vos pièces jointes, puis supprimons les environnements et les sauvegardes ; délai et conditions précisés au contrat.

Ce qui fait la différence. Elle se mesure à la capacité de documenter ces huit points, et de traduire les engagements annoncés dans l’architecture et le contrat.

Notre souveraineté tient à un ensemble de choix cohérents : données et opérations dans un cadre européen, code maîtrisé, sous-traitance resserrée, composants remplaçables, architecture résiliente, API ouvertes, sortie prévue dès le contrat. Logique, quand on sert des organisations d’intérêt public (secteur public, enseignement supérieur, associations, fondations) dont les données de citoyens, d’adhérents, d’étudiants ou de donateurs ne tolèrent pas l’à-peu-près

Choisir un CRM souverain, preuve par preuve

La souveraineté d’un CRM se lit dans une architecture, un contrat, une liste de sous-traitants, une doc de sécurité et un scénario de sortie. Huit vérifications suffisent à révéler l’écart entre la promesse marketing et la vraie maîtrise.

Commencez par la sensibilité de vos données. Puis examinez la localisation, les lois applicables, les accès humains et techniques, la résilience et la réversibilité. Le CRM est une plateforme stratégique, car certaines des données les plus sensibles de l’organisation y transitent et y sont conservées. Sa souveraineté doit donc être évaluée avec la même exigence que celle du cloud ou des outils bureautiques.

Pour aller plus loin.

Le livre blanc Eudonet « Mettre en place sa souveraineté numérique : la méthode en 6 étapes » vous aide à cartographier vos dépendances, évaluer vos applications métier et bâtir une feuille de route réaliste.

• Diagnostiquer vos dépendances
• Évaluer la souveraineté de vos applicatifs
• Mettre en place votre souveraineté 

Télécharger le guide