L'exposition américaine des plateformes européennes de signature électronique, état 2026

Sur 7 plateformes européennes de signature électronique, 1 est totalement à l'abri de l'exposition américaine

Nous avons contrôlé chaque plateforme de signature électronique de notre annuaire contre sa propre liste de sous-traitants publiée, son DPA et ses registres de propriété, puis classé chacune sur notre échelle CLOUD Act à quatre niveaux (aucune, mineure, significative, directe). La revérification de juillet 2026 a nettement changé cette catégorie : deux prestataires de services de confiance qualifiés qui paraissent irréprochables en termes marketing, Signaturit et Universign, sont passés à significatif une fois leur structure de groupe et les annexes de sous-traitants de la plateforme lues contre les sources primaires.

Exposition CLOUD Act	Plateformes
Aucune	1
Mineure	1
Significative	4
Directe	1
Toute exposition	6

Chaque plateforme, et où entre l'exposition

Plateforme	Pays	Propriété	Hébergement	Exposition CLOUD Act	Où elle entre
Skribble	Switzerland	Autre	Switzerland	Aucune	Société suisse, signatures qualifiées ancrées par Swisscom sous ZertES et eIDAS ; aucune couche américaine documentée dans le chemin des documents ou des preuves
Yousign	France	Siège UE, financement US	France	Mineure	QTSP français supervisé par l'ANSSI ; la réserve se trouve dans la table de capitalisation, où un fonds de growth equity américain a mené la série A de 2021
Universign	France	Siège UE, financement US	France	Significative	Désormais partie du groupe Signaturit (Namirial), dont la maison mère a été rachetée par Bain Capital (États-Unis) en 2025 ; la plateforme commune stocke les données at rest sur AWS, avec Twilio et SendGrid pour les OTP et les e-mails
Signaturit	Spain	Siège UE, financement US	Spain	Significative	Groupe co-contrôlé par Bain Capital et PSG Equity (deux fonds de private equity américains) ; le DPA de la plateforme mentionne AWS at rest (région UE) ainsi que Twilio et SendGrid
Signicat	Norway	Autre	EEE (multi-cloud)	Significative	Chaîne de sociétés entièrement UE/EEE, mais la plateforme tourne en multi-cloud sur Google Cloud, AWS et Azure (résidence EEE), avec Mailchimp pour certaines notifications
Tresorit eSign	Switzerland	Autre	Ireland	Significative	Détenue par la Poste suisse, chiffrement zero-knowledge de bout en bout, mais le stockage at rest repose sur Microsoft Azure (région UE) ; les certificats qualifiés viennent d'Evrotrust (Bulgarie)
Eversign	Austria	Propriété US	United States	Directe	Rachetée par Apryse (Denver, États-Unis) en 2022 et rebaptisée Xodo Sign ; la société exploitante répond à une maison mère américaine

Le schéma rejoint ce que nous observons dans tout l'annuaire : le drapeau affiché sur le site est rarement la source de l'exposition. La signature électronique est même la catégorie où l'Europe détient un avantage juridique structurel, car une signature électronique qualifiée ne peut être délivrée que par un prestataire de services de confiance supervisé dans un État membre de l'UE (ou son équivalent suisse ZertES). La couche de confiance qualifiée est européenne par construction.

L'exposition entre autour de cette couche. Les documents attendent en stockage avant et après la signature, les pistes d'audit et les fichiers de preuve s'accumulent, les demandes de signature partent par e-mail, les mots de passe à usage unique par SMS, et les vérifications d'identité appellent des prestataires externes. Chacune de ces étapes peut relever d'un sous-traitant constitué aux États-Unis, quelle que soit l'origine du certificat de signature. Et la propriété compte en elle-même : la consolidation du groupe Signaturit sous Namirial en 2025 a placé deux fonds de private equity américains au contrôle de ce qui se lisait comme un portefeuille de QTSP purement européen. C'est ce qui a fait basculer Signaturit et Universign lors de notre revérification de juillet 2026.

Notre classification à quatre niveaux consigne si les données clients pourraient tomber sous la portée extraterritoriale américaine : aucune (opérateur UE/EEE/suisse, pas de maison mère américaine, pas de sous-traitant américain notable), mineure (un sous-traitant américain transitoire comme un CDN, les données at rest restant dans l'UE), significative (une maison mère américaine ou un hyperscaler détenu aux États-Unis dans le chemin de données central) et directe (l'opérateur lui-même est constitué aux États-Unis). Pour la signature électronique, le chemin de données que nous lisons est spécifique : stockage des documents avant et après signature, couche de piste d'audit et de preuves, envoi des OTP et des e-mails, et vérification d'identité.

Les sources sont les documents publiés par les éditeurs eux-mêmes : listes de sous-traitants, annexes DPA et registres de propriété, recontrôlés chaque trimestre. Chaque chiffre et chaque verdict de cette page sont rendus en direct depuis le jeu de données ; la page se met donc à jour lorsqu'une revérification change une classification. Le tableau transversal se trouve dans notre analyse de l'exposition au CLOUD Act ; les plateformes qui franchissent la barre la plus stricte sont listées sur signature électronique sans sous-traitants américains ; toutes les fiches détaillées sont sur la page de la catégorie signature électronique.

Les chiffres de cette page peuvent être republiés avec attribution. Citez "Source : EU Vetted, vérifié juillet 2026" et faites un lien vers cette page. Les chiffres sont rendus en direct depuis notre jeu de données et changent lorsqu'une revérification trimestrielle modifie une classification ; la référence durable est donc le lien, pas un chiffre copié.