Chatbot en marque blanche hébergé en Europe : qui le dit ?

Ce site est édité par IArche, qui édite ALMA, une plateforme d'assistants IA proposée en marque blanche (forfait WL). Elle ne figure pas dans le tableau : pour ses données, voir sa politique de confidentialité.

Parmi les onze autres plateformes de chatbot en marque blanche dont nous avons lu la page officielle le 15/11/2026, une seule écrit héberger les données en Europe : Crisp, « sur des serveurs européens ». ALMA n'entre pas dans ce décompte : sa politique de confidentialité est liée plus haut. Une autre, CustomGPT.ai, écrit le contraire. Les autres ne donnent pas de lieu sur les pages lues. Si l'hébergement en Europe compte pour vos clients, c'est une question à poser à chaque éditeur, pas une case à cocher sur un comparatif.

Ce que chaque page déclare

Relevé le 15/11/2026 sur la page indiquée. « Non indiqué » veut dire que la page lue n'en parle pas, pas que l'éditeur n'a pas de réponse.

Deux sigles reviennent : le RGPD est le règlement général sur la protection des données, le texte européen qui encadre les données personnelles ; SOC 2 est un référentiel d'audit américain sur la sécurité et la confidentialité. Ni l'un ni l'autre n'indique à lui seul où sont les serveurs.

Ce que dit la CNIL sur les transferts hors de l'Union

La page de la CNIL (Commission nationale de l'informatique et des libertés) consacrée aux transferts, lue le 15/11/2026, pose le principe : les responsables de traitement et les sous-traitants peuvent transférer des données hors de l'Union européenne et de l'Espace économique européen « à condition d'assurer un niveau de protection des données suffisant et approprié ». Elle liste les outils qui encadrent ces transferts :

• une décision d'adéquation de la Commission européenne pour le pays de destination ; la CNIL cite celle des États-Unis, adoptée le 10/07/2023 ;
• les clauses contractuelles types, des modèles de contrat adoptés par la Commission européenne ;
• les règles d'entreprise contraignantes, propres à un groupe ;
• des dérogations prévues par l'article 49 du RGPD, réservées à des situations particulières.

Elle rappelle aussi que l'arrêt « Schrems II » de la Cour de justice de l'Union européenne, du 16/07/2020, a invalidé le précédent régime entre l'Union et les États-Unis, le « Privacy Shield ». Si un éditeur s'appuie sur une certification américaine, demandez-lui sur quel outil juridique repose son transfert.

Pour les obligations qui pèsent sur vous en tant que revendeur, ce site ne donne pas d'avis juridique : faites-vous accompagner par un juriste ou un avocat. Comment repérer et encadrer les transferts chez chaque maillon de la chaîne est expliqué dans la page sur les transferts hors UE dans la chaîne d'un assistant IA.

Les questions à poser à chaque éditeur

1. Dans quel pays sont stockés les documents, la base de connaissances et les conversations ?
2. Le modèle d'IA qui génère les réponses tourne-t-il au même endroit ? Sinon, où ?
3. Quelle est la liste de vos sous-traitants, et où sont-ils établis ?
4. En cas de transfert hors de l'Union, quel outil l'encadre (adéquation, clauses contractuelles types) ?
5. Puis-je choisir la région d'hébergement, et sur quelle offre ?
6. Combien de temps les conversations sont-elles conservées, et puis-je régler cette durée ?

La question 2 est souvent oubliée : une plateforme peut stocker les données en Europe et appeler un modèle d'IA ailleurs. Demandez une réponse écrite pour chaque étape. Le choix du modèle lui-même est comparé sur la page dédiée. Le reste de la grille de choix est sur la page des critères.