L'exposition américaine des plateformes européennes de signature électronique, état 2026

Plateformes européennes de signature électronique totalement à l'abri de l'exposition américaine : 0 sur 7

Nous avons contrôlé chaque plateforme de signature électronique de notre annuaire contre sa propre liste de sous-traitants publiée, son DPA et ses registres de propriété, puis classé chacune sur notre échelle CLOUD Act à quatre niveaux (aucune, mineure, significative, directe). La revérification de juillet 2026 a nettement changé cette catégorie : deux prestataires de services de confiance qualifiés qui paraissent irréprochables en termes marketing, Signaturit et Universign, sont passés à significatif une fois leur structure de groupe et les annexes de sous-traitants de la plateforme lues contre les sources primaires. La revérification d'août 2026 en a déplacé deux autres : Yousign vers significatif au vu de ses sous-traitants cloud publiés, et Skribble d'aucune vers mineure, ce qui laisse la catégorie sans option totalement à l'abri.

Exposition CLOUD Act	Plateformes
Aucune	0
Mineure	1
Significative	5
Directe	1
Toute exposition	7

Chaque plateforme, et où entre l'exposition

Plateforme	Pays	Propriété	Hébergement	Exposition CLOUD Act	Où elle entre
Skribble	Suisse	Autre	Suisse	Mineure	Société suisse, signatures qualifiées ancrées par Swisscom sous ZertES et eIDAS, sans fournisseur détenu aux États-Unis dans le chemin at rest, mais le DPA publié nomme cinq sous-traitants constitués aux États-Unis autour de ce noyau, dont Cloudflare
Yousign	France	Siège UE, financement US	France	Significative	QTSP français supervisé par l'ANSSI, mais la liste de sous-traitants publiée en juillet 2026 nomme AWS, Microsoft Azure et Google pour l'infrastructure cloud et le stockage, aux côtés du français OVH, avec Auth0 pour l'authentification ; un fonds de growth equity américain a par ailleurs mené la série A de 2021
Universign	France	Siège UE, financement US	France	Significative	Désormais partie du groupe Signaturit (Namirial), dont la maison mère a été rachetée par Bain Capital (États-Unis) en 2025 ; la plateforme commune stocke les données at rest sur AWS, avec Twilio et SendGrid pour les OTP et les e-mails
Signaturit	Espagne	Siège UE, financement US	Espagne	Significative	Groupe co-contrôlé par Bain Capital et PSG Equity (deux fonds de private equity américains) ; le DPA de la plateforme mentionne AWS at rest (région UE) ainsi que Twilio et SendGrid
Signicat	Norvège	Autre	EEE (multi-cloud)	Significative	Chaîne de sociétés entièrement UE/EEE, mais la plateforme tourne en multi-cloud sur Google Cloud, AWS et Azure (résidence EEE), avec Mailchimp pour certaines notifications
Tresorit eSign	Suisse	Autre	Irlande	Significative	Détenue par la Poste suisse, chiffrement zero-knowledge de bout en bout, mais le stockage at rest repose sur Microsoft Azure (région UE) ; les certificats qualifiés viennent d'Evrotrust (Bulgarie)
Eversign	Autriche	Propriété US	États-Unis	Directe	Rachetée par Apryse (Denver, États-Unis) en 2022 et rebaptisée Xodo Sign ; la société exploitante répond à une maison mère américaine

Le schéma rejoint ce que nous observons dans tout l'annuaire : le drapeau affiché sur le site est rarement la source de l'exposition. La signature électronique est même la catégorie où l'Europe détient un avantage juridique structurel, car une signature électronique qualifiée ne peut être délivrée que par un prestataire de services de confiance supervisé dans un État membre de l'UE (ou son équivalent suisse ZertES). La couche de confiance qualifiée est européenne par construction.

L'exposition entre autour de cette couche. Les documents attendent en stockage avant et après la signature, les pistes d'audit et les fichiers de preuve s'accumulent, les demandes de signature partent par e-mail, les mots de passe à usage unique par SMS, et les vérifications d'identité appellent des prestataires externes. Chacune de ces étapes peut relever d'un sous-traitant constitué aux États-Unis, quelle que soit l'origine du certificat de signature. Et la propriété compte en elle-même : la consolidation du groupe Signaturit sous Namirial en 2025 a placé deux fonds de private equity américains au contrôle de ce qui se lisait comme un portefeuille de QTSP purement européen. C'est ce qui a fait basculer Signaturit et Universign lors de notre revérification de juillet 2026.

Notre classification à quatre niveaux consigne si les données clients pourraient tomber sous la portée extraterritoriale américaine : aucune (opérateur UE/EEE/suisse, pas de maison mère américaine, pas de sous-traitant américain notable), mineure (un sous-traitant américain transitoire comme un CDN, les données at rest restant dans l'UE), significative (une maison mère américaine ou un hyperscaler détenu aux États-Unis dans le chemin de données central) et directe (l'opérateur lui-même est constitué aux États-Unis). Pour la signature électronique, le chemin de données que nous lisons est spécifique : stockage des documents avant et après signature, couche de piste d'audit et de preuves, envoi des OTP et des e-mails, et vérification d'identité.

Les sources sont les documents publiés par les éditeurs eux-mêmes : listes de sous-traitants, annexes DPA et registres de propriété, recontrôlés chaque trimestre. Chaque chiffre et chaque verdict de cette page sont rendus en direct depuis le jeu de données ; la page se met donc à jour lorsqu'une revérification change une classification. Le tableau transversal se trouve dans notre analyse de l'exposition au CLOUD Act ; les plateformes qui franchissent la barre la plus stricte sont listées sur signature électronique sans sous-traitants américains ; toutes les fiches détaillées sont sur la page de la catégorie signature électronique.

Les chiffres de cette page peuvent être republiés avec attribution. Citez "Source : EU Vetted, vérifié juillet 2026" et faites un lien vers cette page. Les chiffres sont rendus en direct depuis notre jeu de données et changent lorsqu'une revérification trimestrielle modifie une classification ; la référence durable est donc le lien, pas un chiffre copié.