Résidence des données : comparatif des services de transfert

La résidence des données varie considérablement d'un service de transfert à l'autre. WeTransfer stocke les fichiers en Irlande et aux États-Unis, Smash héberge en France, SwissTransfer conserve tout en Suisse, et Dropbox Transfer répartit entre des régions américaines et européennes. Pour la conformité à l'article 44 du RGPD (transferts hors EEE), choisissez des services exclusivement en UE lorsque vous traitez des données personnelles. HexaTransfer héberge exclusivement sur des serveurs français, ce qui signifie que vos fichiers ne traversent jamais l'Atlantique. Cela compte pour les équipes de santé, juridiques et financières soumises à des règles strictes de souveraineté dans le cadre de l'arrêt Schrems II.

Pourquoi la résidence des données importe vraiment après Schrems II

La décision Schrems II de juillet 2020 a invalidé le Privacy Shield UE-États-Unis, laissant la plupart des transferts transatlantiques sur un terrain juridique fragile. Les clauses contractuelles types fonctionnent encore, mais uniquement associées à des mesures supplémentaires prouvant que les lois américaines sur la surveillance (FISA 702, décret 12333) ne compromettent pas les données. Une décision de la CNIL contre Google Analytics en février 2022 a rendu cela concret : des entreprises européennes ont été sanctionnées pour avoir acheminé des données de visiteurs vers des serveurs américains, même avec des CCT en place.

Pour les transferts de fichiers, les implications sont directes. Envoyer un contrat client via un service basé aux États-Unis peut déclencher un transfert transfrontalier nécessitant une analyse d'impact du transfert. L'envoyer via un service français ou suisse vous maintient dans des juridictions bénéficiant de décisions d'adéquation ou de cadres de protection plus solides.

WeTransfer : Irlande plus serveurs CDN aux États-Unis

Le stockage principal de WeTransfer se trouve en Irlande (AWS eu-west-1), ce qui maintient les données dans les frontières légales de l'UE. Mais leurs CDN couvrent le monde entier, et le routage des métadonnées passe par l'infrastructure de leur société mère. Depuis 2023, WeTransfer appartient à la société italienne Bending Spoons, qui a déplacé certaines opérations à Milan. Les fichiers restent en Irlande pour les utilisateurs européens, mais les journaux, les jetons d'authentification et les miniatures peuvent toucher des nœuds américains en transit.

Pour un cabinet d'avocats français envoyant des actes de procédure, cela crée une ambiguïté. Les fichiers sont techniquement résidents en UE, mais les métadonnées opérationnelles ne le sont pas. Les registres d'activités de traitement au titre de l'article 30 du RGPD devraient documenter cette nuance.

Smash : hébergement 100 % français chez OVH

Smash, le concurrent parisien, héberge exclusivement chez OVH à Roubaix et Gravelines, en France. Pas d'AWS, pas d'Azure, pas de Google Cloud. Cela leur permet de tenir un discours clair pour les clients du secteur public liés aux exigences SecNumCloud, qui excluent tout prestataire soumis au droit américain extraterritorial comme le CLOUD Act. Smash a publié en 2024 une page infrastructure détaillée confirmant l'absence totale d'implication américaine dans leur chemin de données.

La contrepartie est la performance. Les utilisateurs à Singapour ou à Sydney ressentent une latence plus élevée qu'avec un service géographiquement distribué. Pour les utilisateurs européens, c'est un avantage, pas un inconvénient.

SwissTransfer : les data centers suisses verts d'Infomaniak

SwissTransfer fonctionne sur l'infrastructure Infomaniak à Genève et dans le Jura suisse. La Suisse ne fait pas partie de l'UE, mais bénéficie d'une décision d'adéquation au titre du RGPD, ce qui signifie que les transferts UE-Suisse sont traités comme intra-EEE. La loi fédérale suisse sur la protection des données (LPD), mise à jour en septembre 2023 pour s'aligner sur le RGPD, ajoute une couche supplémentaire de symétrie juridique.

Infomaniak publie son empreinte carbone et fonctionne entièrement à l'énergie hydraulique renouvelable. Pour les organisations soucieuses du développement durable, c'est un avantage qui s'ajoute à la question de la résidence. Les fichiers expirent après 30 jours, avec AES-256 au repos.

Dropbox Transfer : américain par défaut, européen en option

Dropbox Transfer, inclus dans les plans Dropbox payants, utilise par défaut le stockage américain. Les clients entreprise peuvent opter pour la résidence en UE moyennant un supplément, acheminant les données vers des régions AWS allemandes. Mais le plan de contrôle (métadonnées de compte, facturation, journaux d'audit) reste hébergé aux États-Unis. C'est le modèle que suivent la plupart des hyperscalers : plans de données régionaux, plans de contrôle centralisés.

Sous le cadre de protection des données UE-États-Unis (juillet 2023), Dropbox est certifié, ce qui fournit une base légale pour les transferts. Mais ce cadre est déjà contesté devant les tribunaux, et un arrêt Schrems III pourrait l'invalider dans les deux ans. Les contrats long terme devraient intégrer ce risque.

HexaTransfer : simplicité d'une juridiction unique

HexaTransfer stocke tout sur des serveurs français sans réplication hors UE. Les fichiers sont chiffrés côté client avec AES-256-GCM avant l'envoi, ce qui signifie que même l'infrastructure française ne détient que du texte chiffré. La dérivation de clé utilise PBKDF2 avec 600 000 itérations, et l'URL de téléchargement contient la clé de déchiffrement sous forme de fragment d'URL (jamais transmis au serveur).

Pour les finalités de l'article 32 du RGPD (sécurité du traitement), cette architecture combine minimisation des données, chiffrement et hébergement dans une juridiction unique en un seul package. Une analyse d'impact du transfert devient triviale : il n'y a aucun transfert international.

Tableau comparatif

| Service | Emplacement principal | Emplacements secondaires | Statut RGPD | Zero-knowledge | |---------|----------------------|--------------------------|-------------|----------------| | WeTransfer | Irlande (AWS) | CDN américains | Résident UE | Non | | Smash | France (OVH) | Aucun | Résident UE | Non | | SwissTransfer | Suisse | Aucun | Adéquation | Partiel | | Dropbox Transfer | US par défaut, UE en option | Global | Certifié DPF | Non | | HexaTransfer | France | Aucun | Résident UE | Oui | | Tresorit | Irlande, Suisse | US (opt-out entreprise) | Résident UE | Oui |

Considérations sectorielles

Les établissements de santé traitant des données patients en Europe verront la résidence en UE devenir un prérequis sous le RESI (Règlement européen sur l'espace européen des données de santé, applicable en 2026). Les équipes juridiques envoyant des .pdf et .docx à des confrères à l'étranger doivent vérifier les règles déontologiques locales. Les avocats français sous le RGPD adoptent la position inverse des barreaux américains : c'est l'hébergement américain qui nécessite une justification.

Les services financiers soumis au DORA (Digital Operational Resilience Act, applicable depuis janvier 2025) doivent cartographier tous les prestataires ICT tiers et leurs chaînes de sous-traitants. Un service hébergé dans un seul pays chez un seul fournisseur est plus simple à documenter qu'une infrastructure multi-régions couvrant cinq sous-traitants.

Ce qu'il faut demander à votre prestataire actuel

Avant de renouveler tout contrat de transfert de fichiers, demandez l'accord de traitement des données et vérifiez trois points. Premièrement, la liste des sous-traitants et leurs pays. Deuxièmement, le schéma de flux de données montrant où le contenu et les métadonnées transitent. Troisièmement, la posture de chiffrement — en particulier si le prestataire détient des clés lui permettant de déchiffrer vos fichiers sur injonction judiciaire.

Si les réponses révèlent des surprises, le changement est simple pour le transfert éphémère de fichiers (contrairement à la migration d'une archive cloud). Vous n'avez pas besoin de déplacer des données historiques ; il suffit de changer le point de téléversement.

Essayez sur hexatransfer.com — gratuit, sans compte, jusqu'à 10 Go.