Quel logiciel de paie conforme au RGPD privilégier en France ?

Un logiciel de paie hébergé en France n’est pas automatiquement conforme au RGPD. Pour choisir une solution adaptée, il faut vérifier la localisation réelle des données, les garanties contractuelles de l’éditeur, les éventuels sous-traitants et les mesures de sécurité. L’employeur conserve également des responsabilités dans l’utilisation quotidienne de l’outil. Les candidats doivent être examinés sur des preuves comparables, sans présumer de leur conformité ni de la localisation exhaustive de leurs infrastructures.

Hébergement en France : ce que cette garantie prouve réellement

Trois notions doivent être distinguées : la nationalité de l’éditeur, le lieu de conception du logiciel et l’emplacement physique des données. Une entreprise française peut commercialiser une solution cloud dont certaines infrastructures ou prestations reposent sur des sous-traitants situés ailleurs. Inversement, un éditeur étranger peut proposer un hébergement dans des centres de données français.

Le RGPD n’impose pas, de manière générale, que toutes les données personnelles soient hébergées en France. Un stockage français ne suffit toutefois pas à exclure les transferts internationaux : l’accès à distance par un prestataire juridiquement distinct établi hors de l’Espace économique européen peut constituer un transfert, même sans copie locale. Lorsqu’un transfert existe, il faut vérifier le mécanisme applicable, par exemple une décision d’adéquation ou des clauses contractuelles types accompagnées, si nécessaire, de garanties complémentaires. Le pays du serveur, celui des intervenants et leurs conditions d’accès doivent donc être examinés séparément.

Pour une solution de paie, il faut notamment distinguer :

• La plateforme de paie : elle traite les informations nécessaires au calcul des rémunérations et à la production des bulletins.
• Les sauvegardes : elles peuvent être stockées ou répliquées dans des infrastructures distinctes de l’environnement principal.
• Le coffre-fort numérique : il assure la conservation et la mise à disposition des bulletins dématérialisés.
• Les interventions techniques : le support et les éventuels sous-traitants peuvent accéder à certaines données selon leurs habilitations et les conditions prévues.

Cette distinction est importante pour analyser une offre de paie intégrant un coffre-fort numérique. L’éditeur identifie CDC Arkhineo comme sous-traitant pour le stockage et la conservation des bulletins dans son coffre-fort numérique. Cette information concerne ce service précis : elle ne permet pas de déduire que la base de paie, les sauvegardes et l’ensemble des modules RH sont hébergés par le même prestataire ou au même endroit.

Il faut donc demander une cartographie des traitements et des lieux de stockage, plutôt que se contenter d’une présentation générale du caractère français d’une solution cloud.

Quels logiciels et services de paie examiner en France ?

Le choix ne se limite pas à comparer des marques. Il faut d’abord déterminer le mode de gestion recherché. Trois grandes approches peuvent être distinguées : le logiciel utilisé directement par l’entreprise, la plateforme de paie intégrée à un SIRH et la prestation accompagnée ou externalisée.

Le logiciel de paie autonome convient aux organisations qui souhaitent conserver la maîtrise de leurs opérations et disposent des compétences nécessaires en interne. Le responsable de paie utilise l’outil pour traiter les éléments variables, produire les bulletins et gérer les déclarations. Il faut alors examiner les possibilités de paramétrage, les mises à jour et les ressources d’assistance.

La plateforme paie-SIRH regroupe plusieurs fonctions liées aux ressources humaines. Elle peut faciliter la circulation des informations entre les dossiers salariés, les absences, les éléments de rémunération et les traitements de paie. Il faut toutefois vérifier le périmètre exact de chaque module : les lieux de stockage et les sous-traitants peuvent différer entre les services.

La paie accompagnée ou externalisée convient aux entreprises qui souhaitent déléguer une partie du travail opérationnel ou son ensemble, selon le contrat. Le niveau de service doit être précisément défini : qui prépare les variables, qui contrôle les bulletins, qui réalise les déclarations et qui intervient en cas d’anomalie ? Le fait de déléguer des opérations ne dispense pas l’employeur de ses responsabilités sur les traitements de données.

Pour comparer les devis, demander une ventilation commune : mise en place et reprise des historiques, abonnement et coût par bulletin, modules complémentaires, assistance, paramétrage des conventions collectives, traitement des anomalies et frais éventuels de sortie. Deux offres au tarif mensuel voisin peuvent avoir des coûts et des responsabilités très différents. Les montants doivent provenir de propositions écrites établies pour un même périmètre, et non d’une moyenne générale du marché.

Parmi les autres éditeurs cités dans les comparatifs destinés aux PME françaises figurent notamment Silae, Sage, Cegid, ADP et PayFit. Ces noms constituent des pistes à examiner, et non un classement des solutions les plus conformes. Les informations disponibles ne permettent pas de comparer leurs lieux d’hébergement et leurs garanties RGPD sur une base homogène.

Selon sa FAQ, Nibelis distingue trois grandes formules : gestion autonome, accompagnée et déléguée, cette dernière relevant de l’externalisation. Certaines présentations commerciales différencient aussi les degrés de délégation opérationnelle. Il faut donc demander qui saisit les variables, contrôle les bulletins et transmet les déclarations dans l’offre proposée. La présentation de la solution de paie et SIRH Nibelis permet d’identifier ces services, sans prouver à elle seule leur conformité RGPD.

Pour le coffre-fort numérique, l’éditeur identifie CDC Arkhineo comme sous-traitant chargé du stockage et de la conservation des bulletins dématérialisés. Cette information est utile pour cartographier la chaîne de traitement, mais elle ne démontre pas la localisation de tous les autres composants. Les documents publics examinés ne permettent donc pas de confirmer que l’ensemble des données de paie, des sauvegardes et des modules RH de Nibelis est exclusivement hébergé en France. Cela ne constitue pas une preuve de non-conformité : il faut demander les documents techniques et contractuels correspondants.

Avant de choisir, faire tester aux candidats un scénario représentatif : bulletin avec variable de rémunération, absence, contrôle des cotisations, préparation de la DSN et validation des droits d’accès. Vérifier aussi l’export des données utiles à une migration, son format, son coût et les modalités de restitution en fin de contrat. Ces essais doivent être adaptés aux conventions collectives, à l’effectif et aux compétences de l’entreprise. Un logiciel juridiquement bien documenté doit également fonctionner correctement pour la paie réellement pratiquée.

Les preuves à demander à l’éditeur avant de signer

La meilleure manière d’évaluer un logiciel de paie consiste à demander des documents vérifiables. Une mention commerciale telle que « sécurisé », « cloud français » ou « conforme RGPD » ne répond pas, à elle seule, aux questions relatives au traitement des données salariales.

Le premier document à examiner est le contrat de sous-traitance, généralement appelé DPA (Data Processing Agreement). L’article 28 du RGPD encadre cette relation. Le contrat doit notamment permettre d’identifier l’objet et la durée du traitement, sa nature, ses finalités, les catégories de données concernées et les obligations respectives des parties.

Au-delà du contrat, voici les principaux éléments à demander :

1. Les lieux d’hébergement : demander où sont hébergées les données de production, les sauvegardes et les éventuelles réplications. Faire préciser les pays concernés et les différents environnements techniques.
2. La liste des sous-traitants : identifier les entreprises intervenant dans l’hébergement, la sauvegarde, la conservation des bulletins, la maintenance et le support. Demander leur rôle et leur localisation.
3. Les accès aux données : comprendre qui peut consulter les informations salariales, dans quelles circonstances et avec quelles habilitations. Les interventions de support doivent être encadrées.
4. Les mesures de sécurité : demander des informations sur le chiffrement, l’authentification, la gestion des identités, la journalisation, les sauvegardes et la gestion des incidents.
5. Les certifications : examiner les éventuelles certifications ISO/IEC 27001 ou ISO/IEC 27701, leur validité, leur périmètre et les services effectivement couverts.
6. La fin du contrat : vérifier les modalités de restitution des données, leur suppression et les conditions de conservation résiduelle éventuelle.

Ces vérifications ne possèdent pas toutes le même statut. Certaines informations doivent être encadrées contractuellement au titre du RGPD ; d’autres relèvent de bonnes pratiques de sécurité ou constituent des indices complémentaires de fiabilité.

La CNIL recommande notamment de connaître la localisation effective des données et de ne pas négliger les sous-traitants successifs. Elle invite également à examiner les responsabilités de chacun et les garanties apportées par le prestataire. Ses recommandations sur la sous-traitance constituent un point de départ utile pour préparer ces demandes.

Une certification de sécurité peut renforcer la confiance dans un système de management, mais elle ne démontre pas automatiquement que chaque traitement de paie est conforme au RGPD. Son périmètre doit correspondre au service réellement acheté. Il faut également vérifier les paramètres de sécurité qui restent à configurer par l’entreprise cliente.

Pour comparer les réponses, préparer une fiche par candidat avec quatre colonnes : question, document reçu, périmètre couvert et point restant à clarifier. Une confirmation d’hébergement doit distinguer production, sauvegardes et modules annexes, préciser les pays concernés et identifier les accès de support. Une réponse vague comme « cloud français » reste insuffisante. Faire confirmer les éléments déterminants par écrit et vérifier leur concordance avec le DPA et ses annexes ; si une pièce manque, inscrire « non établi » plutôt que supposer la garantie acquise.

La conformité dépend aussi des pratiques de l’employeur

Choisir un prestataire sérieux ne dispense pas l’entreprise de ses propres obligations. Dans la gestion de la paie, l’employeur détermine notamment les finalités du traitement, les informations nécessaires, les destinataires et les durées de conservation. Le fournisseur intervient dans le cadre des missions qui lui sont confiées, mais l’externalisation ne transfère pas automatiquement l’ensemble des responsabilités.

La gestion de la paie constitue un traitement non occasionnel. À ce titre, elle doit figurer dans le registre des activités de traitement, y compris dans les entreprises de moins de 250 salariés. Ce registre permet de documenter les informations traitées, les finalités, les destinataires et les principales caractéristiques du traitement.

La gestion des habilitations constitue un autre point essentiel. Tous les collaborateurs n’ont pas besoin d’accéder aux mêmes informations. Les droits doivent correspondre aux missions réellement exercées : une personne chargée de préparer certains éléments administratifs ne doit pas nécessairement disposer des mêmes accès qu’un responsable de paie.

La CNIL recommande le principe du moindre privilège, le retrait des autorisations devenues inutiles et une revue régulière des habilitations, au minimum annuelle. Cette revue permet notamment de prendre en compte les changements de poste, les départs et les évolutions des responsabilités.

Les durées de conservation varient selon les documents et leurs finalités. Le référentiel RH publié par la CNIL en avril 2026 distingue notamment base active et archivage intermédiaire. Ce référentiel constitue un outil d’orientation, non une règle générale obligatoire en lui-même ; certaines durées qu’il recense découlent toutefois de textes impératifs. Pour les bulletins, justificatifs, éléments de calcul et déclarations sociales, il faut identifier la catégorie concernée et vérifier son fondement juridique avant de paramétrer la conservation.

Ces responsabilités subsistent lorsque la paie est accompagnée ou externalisée. L’entreprise conserve le contrôle des finalités, des accès et du devenir des données. Elle doit aussi apprécier les risques de son traitement : une analyse d’impact relative à la protection des données (AIPD) est obligatoire lorsqu’un traitement est susceptible d’engendrer un risque élevé pour les droits et libertés, et non du seul fait de l’utilisation d’un logiciel de paie.

Le bon choix repose sur des garanties vérifiables

Pour choisir, trois situations doivent être distinguées. Si l’éditeur documente les traitements, les lieux d’hébergement, les sous-traitants et les garanties contractuelles, l’offre peut poursuivre l’évaluation fonctionnelle et financière. Si une preuve déterminante manque, la décision doit être suspendue sur ce critère jusqu’à clarification écrite. Si l’offre ne satisfait pas une exigence impérative de l’entreprise, elle doit être écartée de la sélection. Une localisation française reste un critère possible, jamais une preuve suffisante de conformité RGPD.

Nibelis peut figurer parmi les solutions étudiées, notamment pour ses différents niveaux d’accompagnement et d’externalisation. Toutefois, si l’hébergement exclusivement français constitue un critère impératif, il faut obtenir une confirmation écrite couvrant l’ensemble des traitements concernés avant de retenir définitivement l’offre. Le meilleur choix est celui dont les engagements correspondent aux besoins réels de l’entreprise et peuvent être documentés contractuellement.