Aucun de ces outils n’est conforme au RGPD à lui seul : la conformité dépend de la façon dont votre entreprise les configure et les utilise. Si votre priorité est la simplicité et que vous êtes déjà chez Google, Google Drive reste défendable avec la bonne édition et un contrat adapté. Si vous voulez la maîtrise complète, Nextcloud est le plus souple, à condition d’avoir quelqu’un pour l’exploiter. Entre les deux, une solution européenne gérée comme kDrive d’Infomaniak évite l’administration d’un serveur. Voici comment trancher pour une TPE à Toulouse ou en Haute-Garonne.
Ce que le RGPD demande pour votre stockage
Le RGPD n’interdit aucun outil et n’impose pas d’hébergement en France. Il vous demande, en tant que responsable de traitement, de savoir où vont les données personnelles, de les protéger, et d’encadrer vos prestataires.
Pour un service de stockage, cela se traduit par quatre questions :
- Où sont les données ? Dans l’Union européenne, ou dans un pays reconnu comme offrant une protection adéquate, ou ailleurs avec des garanties ?
- Qui est le prestataire ? Un contrat de sous-traitance doit encadrer le traitement.
- Qui y accède ? Comptes nominatifs, droits limités, double authentification.
- Combien de temps ? Les données ne se gardent pas indéfiniment.
Votre choix d’outil répond à une partie de ces questions seulement. Le reste relève de votre organisation. Notre article RGPD et PME couvre le cadre général.
Google Drive : pratique, avec des nuances
Pour beaucoup de TPE, Google Drive est déjà là. L’outil est simple, connu des équipes, et sa collaboration en ligne fonctionne très bien.
Attention à bien distinguer deux offres. Le Drive gratuit, associé à un compte Gmail personnel, n’est pas adapté à un usage professionnel avec des données de clients. Google Workspace, l’offre payante, s’accompagne de conditions pour les entreprises et d’une administration des comptes.
La question des régions de données
Google permet de choisir où sont stockées certaines données, dont l’Union européenne. Cette option dépend de l’édition. D’après la documentation de Google, elle concerne notamment Business Standard, Business Plus et les éditions Enterprise. Business Starter n’y figure pas. Le traitement des données dans la région choisie est réservé à des éditions plus élevées, comme Enterprise Plus. Pour une TPE sur une petite édition, ce point mérite une vérification avant de vous dire que vos données restent en Europe.
La question américaine
Google est une entreprise américaine. Le Cloud Act permet aux autorités américaines de demander l’accès à des données détenues par des entreprises soumises à leur droit, y compris hébergées en Europe. Par ailleurs, la Commission européenne a adopté une décision d’adéquation pour les organisations américaines qui adhèrent au Data Privacy Framework. Le transfert est donc possible dans ce cadre, mais ce cadre reste dépendant de décisions politiques et juridiques qui peuvent évoluer. Pour une TPE sans données sensibles, ce risque est souvent acceptable. Pour un cabinet de santé, juridique ou un sous-traitant soumis à des clauses strictes, il l’est moins.
Nextcloud : la maîtrise, et ce qu’elle coûte
Nextcloud est une plateforme open source, développée par une société allemande, qui combine fichiers, partage et outils collaboratifs. Sa grande force : vous choisissez où elle tourne. Elle peut être installée sur votre propre serveur, chez un hébergeur de votre choix, ou utilisée via un fournisseur qui la gère pour vous.
Cette liberté a deux faces.
Le meilleur cas : un serveur hébergé en France, sous votre contrôle, sans dépendance à un éditeur et sans abonnement par utilisateur à l’éditeur pour la version communautaire. Vous décidez qui accède à quoi et où partent les sauvegardes.
Le revers : quelqu’un doit l’exploiter. Un serveur Nextcloud demande des mises à jour, une surveillance, des sauvegardes testées et une sécurisation. Une instance négligée, exposée sur Internet, devient plus risquée qu’un service géré par des professionnels. Vous êtes responsable de tout, y compris de ce qui se passe un samedi soir.
Pour une TPE sans compétence informatique en interne, l’auto-hébergement n’a de sens qu’avec un prestataire qui en prend la responsabilité. L’option intermédiaire est une offre Nextcloud gérée par un hébergeur : vous gardez le logiciel libre et la possibilité de partir, sans administrer le serveur.
kDrive : l’option européenne gérée
kDrive est le service de stockage d’Infomaniak, un hébergeur suisse. Il s’utilise comme un Drive classique, sans serveur à gérer, et s’intègre à une suite complète : messagerie, visio, édition en ligne.
La Suisse n’est pas dans l’Union européenne, mais elle fait partie des pays reconnus par la Commission européenne comme offrant une protection adéquate. Le transfert de données personnelles vers la Suisse est donc possible sans garanties supplémentaires. Infomaniak n’est pas une entreprise américaine, ce qui réduit l’exposition au Cloud Act.
Ses limites sont d’ordre pratique. L’écosystème est moins riche que celui de Google, avec moins de connecteurs vers d’autres applications. La migration demande aussi une préparation, en particulier si vos équipes utilisent intensivement Google Docs et Sheets.
Le comparatif en un tableau
| Critère | Google Drive (Workspace) | Nextcloud | kDrive |
|---|---|---|---|
| Éditeur | Google, États-Unis | Nextcloud GmbH, Allemagne | Infomaniak, Suisse |
| Lieu des données | Selon l’édition et le réglage de région | Celui que vous choisissez | Suisse |
| Logiciel | Propriétaire | Open source | Propriétaire |
| Administration | Faible | Élevée en auto-hébergement, faible en offre gérée | Faible |
| Collaboration en ligne | Très aboutie | Bonne, selon la configuration | Bonne |
| Point de vigilance | Cloud Act, édition choisie | Exploitation et sécurité du serveur | Migration, écosystème plus restreint |
Quel choix selon votre situation ?
Vous êtes déjà sur Google et vos données sont peu sensibles
Restez-y, mais faites-le proprement : édition professionnelle, région de données si votre édition le permet, double authentification, droits de partage restreints et sauvegarde indépendante. Changer d’outil n’a de valeur que si le risque le justifie.
Vous manipulez des données sensibles ou des clauses de confidentialité
Regardez d’abord les exigences de vos clients et de votre profession. Une solution hébergée en Europe, par un acteur non soumis au droit américain, simplifie les réponses à leurs questionnaires. Nextcloud géré et kDrive sont alors tous deux pertinents. C’est le cas typique des cabinets d’expertise comptable, tenus au secret professionnel : voyez notre infogérance pour cabinets comptables.
Vous voulez garder la main sur tout
Nextcloud est le bon outil, si un prestataire assure l’exploitation au quotidien. Sans ce suivi, le choix se retourne contre vous.
Vous ne voulez pas de serveur et vous sortez de Google
kDrive est le chemin le plus direct : pas d’administration, une suite complète, un prix par utilisateur à vérifier sur le site de l’éditeur.
Les réflexes valables pour les trois
Le choix de l’outil ne fait pas tout. Quelle que soit la solution retenue :
- Comptes nominatifs avec double authentification.
- Droits par dossier : chacun accède à ce dont il a besoin, pas plus.
- Liens de partage avec une expiration, et une vérification régulière de ceux qui restent ouverts.
- Sauvegarde séparée : un fichier supprimé ou chiffré par un ransomware est répliqué partout. La synchronisation n’est pas une sauvegarde.
- Procédure de départ pour fermer l’accès d’un salarié, comme le détaille notre checklist du départ d’un salarié.
- Registre des traitements à jour, avec le nom du prestataire.
Si vous débutez, commencez par notre article sur le stockage partagé, qui explique comment organiser les dossiers d’une petite équipe.
Ce qu’ISNAN fait pour vous
- Le Pack Indépendance Numérique : migration de Google Drive vers kDrive, configuration de la suite Infomaniak et formation de vos utilisateurs.
- Une sauvegarde complète de vos données avant toute bascule.
- Un seul interlocuteur après la migration pour gérer les comptes et les droits.
Besoin d’y voir clair ?
Dites-nous quels outils vous utilisez et quelles données vous manipulez : nous vous dirons si un changement se justifie.