Lucca
Synthèse de la propriété et de l’exposition au CLOUD Act.
-
Souverain UE Détenu et exploité dans l’UE/EEE/Suisse, sans exposition au CLOUD Act identifiée.
-
Basé UE Cette fiche Exploité dans l’UE, avec au plus une exposition américaine mineure ou transitoire.
-
Hébergé UE Hébergement UE disponible, mais une maison mère américaine ou un sous-traitant hyperscaler crée une exposition matérielle.
-
Lié aux US Exploité par une entité constituée aux États-Unis, directement soumise à la juridiction américaine.
French HR platform (Nantes / Paris, est. 2002); EU-owned, hosted on OVH in France and Germany; ISO 27001; 1M+ users incl. AXA, Deezer.
Lucca est un service européen hébergé en France, avec tout au plus une exposition américaine mineure et transitoire au titre du CLOUD Act. Référencé dans la catégorie RH & personnel.
Notes d’évaluation
Lucca (Nantes / Paris FR, founded 2002, 20+ years operational) is EU-owned and FR-hosted with no US-VC ownership identified and 1M+ users including Deezer / AXA / Pernod Ricard, which keeps it the strongest ownership story in the HR set. Two findings cap the score at 3: the SecNumCloud claim could not be substantiated (Lucca publishes ISO 27001, Qualiopi and EcoVadis only, and does not appear on the ANSSI qualified list; the SecNumCloud qualification belongs to its host OVHcloud, not to Lucca), and the DPA is available only by contacting the DPO, which the directory's rubric caps at 3/5. The published processor chain is OVH (FR + DE) and Scaleway (FR + NL) for EU customers, with Microsoft Azure and GCP used for Swiss-client hosting and backups, hence cloud_act_exposure: minor rather than none.
Constats
- CLOUD Act
- Exposition au CLOUD Act
Le degré d'exposition des données clients aux autorités américaines au titre du CLOUD Act (Clarifying Lawful Overseas Use of Data Act).
-
Aucune Opérateur UE, sans société mère ni sous-traitant américain notable.
-
Mineure Cette fiche Un sous-traitant américain transitoire (CDN, cartes) ; les données au repos restent dans l'UE.
-
Significative Société mère américaine, ou un sous-traitant central est un hyperscaler américain.
-
Directe L'opérateur lui-même est établi aux États-Unis.
-
- Actionnariat
- Propriété
Où se situe le contrôle ultime de la société exploitante.
-
Propriété UE Cette fiche Établie et contrôlée dans l'UE ; pas de participation américaine notable.
-
Siège UE, financement US Siège dans l'UE mais contrôlée par des capitaux américains (VC/PE).
-
Filiale UE, maison mère US Société d'exploitation européenne détenue par une société mère américaine.
-
Propriété US La société exploitante a elle-même son siège aux États-Unis.
-
Autre Une juridiction hors UE. La propriété suisse/EEE compte ici comme européenne ; le Royaume-Uni et d'autres non.
-
- Sous-traitants
- 4 · 2 US
Signaux vérifiés
-
Hébergement UE / adéquation: Oui
-
Opérateur UE / adéquation: Oui
-
Aucune exposition au CLOUD Act: Non évalué
-
DPA public: Non évalué
-
Sous-traitants divulgués: Oui
-
Clients open source: Non
-
Certification tierce: Oui
Aller à
À propos de Lucca
Lucca (Nantes and Paris, France, founded 2002) is a 20-year-old French HR-tech vendor with the strongest ownership story in this catalogue's HR set: ownership signal Propriété UE, ISO 27001 (obtained July 2022) and Qualiopi. Lucca itself holds no SecNumCloud qualification and does not appear on the ANSSI qualified list; that qualification belongs to its host OVHcloud, which holds it for specific offers, so it is a host-level credential rather than a vendor-level one. The modular product covers payroll (Pagga), time and absences (Timmi), talent and performance (Poplee), compensation, and expenses (Cleemy). 1M+ users including enterprise clients like AXA, Deezer, and Pernod Ricard. No US VC ownership identified; mostly profitable-and-bootstrapped trajectory. The published chain puts applications and personal data on OVH in France and Germany with encrypted backups on Scaleway in France and the Netherlands, while Microsoft Azure hosts Swiss clients and GCP holds their backups, so an EU customer's data stays on European infrastructure and a Swiss customer's does not; CLOUD Act exposure is recorded as Mineure on that basis. The DPA is obtained by contacting the DPO rather than published. For French and European procurement audiences this remains a strong pick, with those two caveats worth putting to the vendor.
Carte des sous-traitants · 4
-
Google Cloud Platform USSuisse
Encrypted backups for Swiss clients only; not in the chain for EU customers
-
Microsoft Azure USSuisse
Hosting for Swiss clients only; not in the chain for EU customers
-
OVH EUFrance
Hosting of the applications and personal data (data centres in France and Germany)
-
Scaleway EUFrance
Encrypted backups only (data centres in France and the Netherlands)
| Prestataire | Pays | Finalité | Propriétaire |
|---|---|---|---|
| Google Cloud Platform | Suisse | Encrypted backups for Swiss clients only; not in the chain for EU customers | US |
| Microsoft Azure | Suisse | Hosting for Swiss clients only; not in the chain for EU customers | US |
| OVH | France | Hosting of the applications and personal data (data centres in France and Germany) | EU |
| Scaleway | France | Encrypted backups only (data centres in France and the Netherlands) | EU |
Source : liste publiée des sous-traitants de l’éditeur, lue le 26 août 2026.
Référentiels & certifications
Matrice de fonctionnalités
Tableau 2Fonctionnalités de Lucca
Intégration & accès
Conformité & gouvernance
Tarifs & paliers
Documents publics
-
sur demandeContrat de sous-traitance (DPA)— sur demande
-
OuvrirListe des sous-traitantswww.lucca.fr/rgpd…
Alternatives dans cette catégorie
-
Espagne · 7 €/moisHébergé UEExposition au CLOUD Act
Le degré d'exposition des données clients aux autorités américaines au titre du CLOUD Act (Clarifying Lawful Overseas Use of Data Act).
-
Aucune Opérateur UE, sans société mère ni sous-traitant américain notable.
-
Mineure Un sous-traitant américain transitoire (CDN, cartes) ; les données au repos restent dans l'UE.
-
Significative Cette fiche Société mère américaine, ou un sous-traitant central est un hyperscaler américain.
-
Directe L'opérateur lui-même est établi aux États-Unis.
DPA public: Non Sous-traitants: Oui Open source: Non -
-
Royaume-UniHébergé UEExposition au CLOUD Act
Le degré d'exposition des données clients aux autorités américaines au titre du CLOUD Act (Clarifying Lawful Overseas Use of Data Act).
-
Aucune Opérateur UE, sans société mère ni sous-traitant américain notable.
-
Mineure Un sous-traitant américain transitoire (CDN, cartes) ; les données au repos restent dans l'UE.
-
Significative Cette fiche Société mère américaine, ou un sous-traitant central est un hyperscaler américain.
-
Directe L'opérateur lui-même est établi aux États-Unis.
DPA public: Non évalué Sous-traitants: Oui Open source: Non -
-
AllemagneHébergé UEExposition au CLOUD Act
Le degré d'exposition des données clients aux autorités américaines au titre du CLOUD Act (Clarifying Lawful Overseas Use of Data Act).
-
Aucune Opérateur UE, sans société mère ni sous-traitant américain notable.
-
Mineure Un sous-traitant américain transitoire (CDN, cartes) ; les données au repos restent dans l'UE.
-
Significative Cette fiche Société mère américaine, ou un sous-traitant central est un hyperscaler américain.
-
Directe L'opérateur lui-même est établi aux États-Unis.
DPA public: Oui Sous-traitants: Non Open source: Non -
| Produit | Souveraineté | CLOUD Act | Signaux | À partir de |
|---|---|---|---|---|
Factorial
Espagne
|
Hébergé UE | Exposition au CLOUD Act
Le degré d'exposition des données clients aux autorités américaines au titre du CLOUD Act (Clarifying Lawful Overseas Use of Data Act).
|
DPA public: Non
Sous-traitants: Oui
Open source: Non
|
7 €/mois |
HiBob
Royaume-Uni
|
Hébergé UE | Exposition au CLOUD Act
Le degré d'exposition des données clients aux autorités américaines au titre du CLOUD Act (Clarifying Lawful Overseas Use of Data Act).
|
DPA public: Non évalué
Sous-traitants: Oui
Open source: Non
|
— |
| Personio Allemagne | Hébergé UE | Exposition au CLOUD Act
Le degré d'exposition des données clients aux autorités américaines au titre du CLOUD Act (Clarifying Lawful Overseas Use of Data Act).
|
DPA public: Oui
Sous-traitants: Non
Open source: Non
|
— |