Messagerie conforme au GDPR pour les entreprises (2026) : ce que les éditeurs documentent réellement

« Quelle messagerie est conforme au GDPR ? » Aucun éditeur ne peut honnêtement répondre à cette question par « la nôtre ». Le GDPR place les obligations sur vous, le responsable de traitement : il vous faut un accord de traitement des données (art. 28), vous devez savoir où se trouvent les données et si elles passent dans un pays tiers, et vous devez pouvoir les supprimer et répondre aux demandes d'accès. Une messagerie peut rendre ces obligations réalisables ou non. Un badge sur une page d'accueil n'en dit pas davantage.

Ce guide fait donc autre chose que les listes habituelles. Il reprend six vérifications qu'un délégué à la protection des données (DPO) effectue de toute façon, et les applique à douze services : les messageries grand public sur lesquelles les entreprises s'appuient réellement (WhatsApp, Signal, Telegram), les messageries professionnelles suisses et allemandes (Threema Work, Teamwire, Wire, Stackfield), les plateformes auto-hébergées (Element, Mattermost, Rocket.Chat) et les deux suites (Microsoft Teams, Slack). Vient ensuite InterMIND, que nous développons, évalué selon les mêmes critères et avec la même règle de sourçage. Chaque affirmation provient de la documentation publique de l'éditeur, consultée en août 2026 et liée en fin d'article.

Une septième vérification s'y ajoute. Elle ne figure jamais dans les listes GDPR et compte pourtant tous les jours dans une équipe internationale : dans quelle langue chaque membre lit-il le canal ? Une messagerie qui ne conserve les messages que dans leur langue d'origine renvoie la traduction à chaque individu, et à des services qui traitent alors les données une nouvelle fois.

Les six vérifications

Le Commissaire fédéral allemand à la protection des données (BfDI) publie des critères de sélection pour les services de messagerie, la référence publique la plus exploitable. Il définit le chiffrement de bout en bout comme des messages « chiffrés sur l'appareil de l'expéditeur et déchiffrés uniquement sur l'appareil du destinataire », énumère des paramètres de confidentialité tels que l'accès au carnet d'adresses, la visibilité du profil, les accusés de lecture, les statistiques d'usage et les rapports d'erreurs, et exige une suppression de compte où les données sont « supprimées immédiatement ». Pour un usage en entreprise, les obligations de l'art. 28 s'y ajoutent. L'ensemble donne :

1. Accord de traitement des données (DPA). L'éditeur en propose-t-il un, et figure-t-il dans sa documentation ?
2. Entité et localisation des serveurs. Quelle société est votre cocontractant, où se trouvent les données, y a-t-il un transfert vers un pays tiers ?
3. Chiffrement. De bout en bout, ou en transit et côté serveur ? Les deux sont légitimes, à condition d'être nommés.
4. Métadonnées et carnet d'adresses. Le carnet d'adresses est-il téléversé ? Quelles données d'usage et d'appareil sont collectées, et avec qui sont-elles partagées ?
5. Suppression et conservation. Où vit l'historique, qui le supprime, que se passe-t-il quand un collaborateur quitte l'entreprise ?
6. Sous-traitants ultérieurs. Sont-ils publiés, y compris les services utilisés pour les fonctions d'IA et la traduction ?

Plus la septième : la langue par membre.

Les messageries grand public au travail

WhatsApp (et l'application WhatsApp Business)

• Cocontractant : pour l'EEE, « WhatsApp Ireland Limited ».
• Chiffrement et stockage : les messages sont chiffrés de bout en bout ; « nous ne conservons pas vos messages dans le cadre normal de la fourniture de nos Services. Une fois vos messages remis, ils sont supprimés de nos serveurs. » L'historique se trouve donc sur les appareils des collaborateurs et dans leurs sauvegardes.
• Métadonnées : sont collectées des « informations sur votre utilisation de nos Services », des données d'appareil (« modèle de matériel, informations sur le système d'exploitation, niveau de batterie, puissance du signal ») et, en option, le carnet d'adresses (« importation des contacts … depuis le carnet d'adresses de votre appareil de manière régulière »). Les données sont partagées avec les « sociétés Meta aux États-Unis et en Irlande » et transférées « dans le monde entier ».
• DPA : la politique de confidentialité de l'application ne mentionne aucun accord de traitement des données pour les entreprises (consulté en août 2026). L'application Business est « conçue pour les propriétaires de petites entreprises ».
• Langue : depuis septembre 2025, un message peut être traduit par appui long, sur l'appareil (« les traductions s'effectuent sur votre appareil, où WhatsApp ne peut pas les voir ») ; Android peut traduire automatiquement des conversations entières (six langues au lancement), l'iPhone utilise la traduction d'Apple dans plus de 19 langues. Les messages vocaux et les appels ne font pas partie de l'annonce.

Signal

• Cocontractant : Signal Messenger LLC, Mountain View, Californie — une organisation à but non lucratif.
• Chiffrement : « Signal ne peut ni déchiffrer ni accéder d'une autre manière au contenu de vos messages ou de vos appels. »
• Métadonnées : inscription par numéro de téléphone ; les données techniques sont limitées « au minimum nécessaire pour faire fonctionner les Services ».
• DPA : aucun n'est documenté dans les documents juridiques de Signal (consulté en août 2026).
• Langue : aucune fonction de traduction documentée.

Telegram

• Cocontractant et localisation : « Telegram Messenger Inc. », avec « Telegram FZ-LLC, membre du groupe situé à Dubaï » ; pour les utilisateurs de l'UE/EEE, « vos données sont stockées dans des centres de données aux Pays-Bas ». Le représentant GDPR est l'European Data Protection Office (EDPO) à Bruxelles.
• Chiffrement : les conversations cloud sont chiffrées côté serveur — « toutes les données sont stockées sous forme fortement chiffrée et les clés de chiffrement sont, dans chaque cas, stockées dans plusieurs autres centres de données relevant de juridictions différentes » — et seules les conversations secrètes sont chiffrées de bout en bout : « Les conversations secrètes utilisent le chiffrement de bout en bout. »
• DPA : non documenté dans la politique de confidentialité (consulté en août 2026).
• Langue : « Tous les utilisateurs peuvent traduire des messages individuels » ; les utilisateurs Premium « peuvent traduire des conversations, groupes et canaux entiers en temps réel en appuyant sur la barre Traduire en haut de l'écran ».

Ces trois outils sont réellement utilisés par des équipes. Ils ont en commun que l'historique appartient à l'appareil ou au cloud de l'éditeur, pas à l'entreprise, et que le DPA exigé par l'art. 28 ne figure dans aucune des trois documentations.

Les messageries professionnelles suisses et allemandes

Threema Work

• Localisation : Suisse. L'éditeur indique qu'un transfert de données de l'UE vers la Suisse est juridiquement admissible sans examen supplémentaire.
• Métadonnées : Threema Work « ne requiert aucune donnée personnelle (comme un numéro de téléphone ou une adresse e-mail) » et « peut être utilisé sans accès au carnet d'adresses ».
• DPA : selon l'éditeur, Threema Work « satisfait aux exigences d'un traitement conforme à la protection des données pour le compte d'un responsable de traitement au titre du GDPR et de la DSG suisse ».
• Essai : « 30 jours, 30 utilisateurs. Pas de reconduction automatique. » Les prix par utilisateur ne figurent pas sur la page.
• Langue : aucune fonction de traduction documentée.

Teamwire

• Localisation : « cloud public allemand (IONOS, certifié C5) », « cloud privé dédié » ou « hébergement entièrement on-premise » ; « hébergement en Allemagne plutôt qu'aux États-Unis », « aucun stockage en dehors de l'UE ».
• Certifications : « ISO 27001, BSI C5, certifié TÜV » ; sont cités le GDPR de l'UE, le BDSG, le BSI IT-Grundschutz, NIS-2, DORA et CER.
• Métadonnées : « aucun accès au carnet d'adresses » et « aucune analyse des communications ».
• GDPR : l'éditeur se décrit comme « conforme à 100 % au GDPR » — une autodescription que le DPA doit confirmer au cas par cas. Aucun prix sur la page.
• Langue : aucune fonction de traduction documentée.

Wire

• Localisation : « cloud, on-premises ou hybride ».
• Chiffrement : protocole MLS ; « les messages, fichiers et appels sont entièrement chiffrés de bout en bout par défaut » ; appels vidéo « jusqu'à 200 participants », chaque session étant chiffrée de bout en bout.
• Certifications : ISO 27001, ISO 27701, FedRAMP, FIPS 140-2.
• GDPR : « entièrement conforme aux réglementations strictes sur la protection des données, y compris le GDPR » (autodescription). Aucun prix par utilisateur sur la page.
• Langue : aucune fonction de traduction documentée.

Stackfield

• Localisation : « tout traitement de données est limité à l'UE, et les données elles-mêmes résident exclusivement dans des centres de données allemands » ; la société est soumise « exclusivement à la juridiction de l'Allemagne et de l'UE ».
• Chiffrement : « véritable chiffrement de bout en bout » pour les messages, fichiers et tâches.
• Certifications : ISO 27001, BSI C5.
• Réunions : conférences audio et vidéo incluses.
• Langue : aucune fonction de traduction documentée.

Ces quatre services répondent aux questions de localisation et de chiffrement aussi clairement qu'un éditeur peut le faire. Aucun ne documente en revanche une traduction qui permette à un collègue polonais, à un collègue portugais et à un collègue allemand de lire le même canal dans leur propre langue.

Les plateformes auto-hébergées

Element (Matrix)

• Chiffrement : « toute la plateforme est chiffrée de bout en bout par défaut » — y compris Element Call pour la voix et la vidéo.
• Exploitation : Community gratuit, auto-hébergé ; Enterprise par siège et par mois, auto-hébergé ; Sovereign par déploiement, en environnement isolé (air-gapped).
• Langue : aucune fonction de traduction documentée — avec le chiffrement de bout en bout, il n'existe pas d'emplacement côté serveur pour en héberger une.

Mattermost

• Exploitation : Professional et Enterprise en licences annuelles auto-hébergées, tarifs sur demande ; Mattermost Cloud Enterprise en offre mono-tenant.
• Langue : traduction automatique des canaux (bêta, depuis la v11.5) sur Enterprise Advanced : le back-end est « LibreTranslate : un moteur de traduction automatique open source et auto-hébergé » ou « Agents : utilise le plugin Mattermost Agents avec un backend LLM configuré » ; la langue cible d'un utilisateur « est déterminée par sa langue d'affichage dans Mattermost ». La traduction s'exécute sur votre serveur.

Rocket.Chat

• Exploitation : l'offre Starter est gratuite, « en autogestion, auto-hébergée », « pour l'évaluation technique ou les petites équipes jusqu'à 50 utilisateurs » ; les offres payantes sont Commercial, Government et Defense — on-premises, cloud privé ou air-gapped, tarifs sur demande.
• Langue : traduction automatique par salon — « chaque utilisateur reçoit les traductions dans la langue qu'il a choisie » — via DeepL, Google Translate, Microsoft Translator ou LibreTranslate, avec une clé d'API fournie par l'administrateur. Le texte des messages part donc chez le fournisseur que vous avez choisi, sauf s'il s'agit de LibreTranslate sur votre propre hôte.

Nextcloud Talk appartient au même groupe : « un service de communication audio/vidéo et de chat entièrement auto-hébergé, on-premises », avec transcription et traduction en direct sur votre propre matériel (détails dans le comparatif des outils de communication d'équipe).

Les suites : Microsoft Teams et Slack

Microsoft Teams

• DPA : « Lorsque vous souscrivez à un Produit selon les conditions du site Product Terms, les conditions de traitement et de sécurité des données sont définies dans le Microsoft Online Services Data Protection Addendum (DPA). »
• Localisation : les données Teams résident « dans la région géographique associée à votre organisation Microsoft 365 ou Office 365 » ; la résidence par pays (Allemagne, France, Italie, Norvège, Pologne, Suède, Suisse et autres) est « réservée aux nouveaux tenants », les tenants européens existants restant dans la région EMEA. L'EU Data Boundary engage Microsoft à stocker et traiter les Données client de Microsoft 365 au sein de l'UE/AELE — « sous réserve de circonstances limitées » assorties d'exceptions documentées ; les clients en Multi-Geo sont hors périmètre.
• Langue : les messages de chat et de canal se traduisent à la demande ou automatiquement (« Teams peut traduire automatiquement les messages reçus »), plus de 100 langues, sans licence mentionnée ; en réunion, les sous-titres traduits nécessitent la licence Teams Premium ou Copilot de l'organisateur, et l'agent Interpreter (10 langues) nécessite une licence Copilot par auditeur, 20 heures par mois. Détails : traduction en direct dans Teams.

Slack

• DPA : « Slack propose un Data Processing Addendum qui complète les Conditions de service client » — conclu via un formulaire, non intégré automatiquement.
• Localisation : résidence des données à partir de Business+ : Francfort, Paris, Stockholm, Zurich, Londres. Sont couverts : messages, canvas, fichiers et index de recherche ; ne sont pas couverts : profils des membres et statistiques d'usage. L'offre Free conserve 90 jours d'historique des messages.
• Langue : « Translate message » sur Business+ et Enterprise+, à la demande message par message ; « les traductions ne sont visibles que par vous, les autres personnes verront donc toujours le message original ».

InterMIND

Nous développons un espace de communication dans lequel chaque membre lit les réunions, le chat, les documents et leur historique dans sa propre langue — et nous le soumettons aux sept mêmes vérifications :

1. DPA : signé par client — conditions de sous-traitance de l'art. 28 avec un préavis de 30 jours pour tout nouveau sous-traitant ultérieur et un délai de notification de violation de 72 heures ; une copie signée est disponible pour les achats (/legal/dpa).
2. Entité et localisation : exploité par une société estonienne (OÜ) ; l'exécution se fait dans l'UE à chaque étape — traduction de la voix et du chat sur notre propre moteur, sur des serveurs dédiés en France, orchestration des réunions à Paris, base de données à Francfort, stockage et analytique résidant dans l'UE. La cartographie, fournisseur par fournisseur : où s'exécute réellement une réunion InterMIND.
3. Chiffrement : chiffrement en transit — audio et vidéo via DTLS/SRTP, chat et fichiers via HTTPS/WSS et chiffrés au repos sur nos serveurs. Pas de chiffrement de bout en bout : la traduction est un traitement, et il s'effectue sur notre moteur, pas chez un tiers. Si le chiffrement de bout en bout passe avant tout le reste pour vous, Element, Wire ou Threema conviennent mieux — nous le disons.
4. Métadonnées et carnet d'adresses : aucun téléversement du carnet d'adresses ; les participants rejoignent par lien, sans compte et sans numéro de téléphone.
5. Suppression et conservation : le critère de conservation est inscrit dans la politique de confidentialité — les données restent jusqu'à ce que vous ou le propriétaire de votre équipe les supprimiez ; supprimer un compte supprime ses données. Nous avons audité notre propre code au regard des obligations du GDPR et documenté ce que nous avons corrigé : audit GDPR.
6. Sous-traitants ultérieurs : publiés, avec la fonction et le siège de chaque fournisseur. Les étapes faisant appel à un modèle de langage (compte rendu, résumés de documents, assistant de rédaction, Ask AI) s'exécutent sur la passerelle IA choisie par l'organisation — Azure OpenAI dans l'EU Data Zone par défaut, Vertex AI UE ou Amazon Bedrock Francfort au choix — dans le tenant propre d'InterMIND, sans aucune conservation des données et sans entraînement sur le contenu des clients ; ces fournisseurs sont des sociétés américaines exploitant des régions européennes, ce qui est indiqué sur la page de confiance. La traduction des documents passe par DeepL, sous-traitant ultérieur européen nommément désigné.
7. Langue par membre : chat et notes en 23 langues, documents en 30, voix en direct pour chaque participant dans sa propre langue — comportement par défaut de la salle, sans modules complémentaires ni licences par auditeur. La qualité est publiée chaque mois par paire de langues : /benchmark.

Ce que nous ne prétendons pas : détenir un certificat ISO que nous n'avons pas encore. Notre réponse à la liste de contrôle est architecturale et vérifiable dans le code ; les certifications figurent sur la feuille de route.

Vue d'ensemble

Quelle messagerie pour quel cas

• Le chiffrement de bout en bout est votre premier critère et la traduction n'a pas d'importance : Threema Work (Suisse, sans numéro de téléphone), Wire (MLS, appels inclus), Stackfield (centres de données allemands) ou Element (auto-hébergé, gratuit dans l'édition Community).
• Tout doit tourner sur vos propres serveurs, et vous avez les équipes pour cela : Rocket.Chat (gratuit jusqu'à 50 utilisateurs, traduction via la clé de votre fournisseur), Mattermost Enterprise Advanced (traduction de canal en bêta sur votre LibreTranslate ou votre LLM), Nextcloud Talk.
• Vous êtes de toute façon client de Microsoft ou de Slack : les deux documentent un DPA et une résidence dans l'UE — Teams via la région du tenant et l'EU Data Boundary, Slack à partir de Business+. La traduction se fait par lecteur, à la demande ; la langue de réunion dans Teams dépend des licences Copilot.
• L'équipe travaille dans WhatsApp, Signal ou Telegram : des services documentés pour la communication privée, en partie chiffrés de bout en bout — mais sans DPA documenté, avec l'historique sur les appareils ou dans le cloud de l'éditeur et, chez WhatsApp, des données d'usage et d'appareil transmises aux sociétés Meta aux États-Unis. Un DPO posera des questions auxquelles la documentation ne répond pas.
• Le canal est lui-même multilingue — collègues et clients qui se répondent en trois langues, invités sans vos licences, et une équipe conformité qui veut pouvoir nommer la localisation : c'est pour cela que nous développons InterMIND — chaque membre lit l'espace dans sa propre langue, les invités entrent par lien sans vos licences ; UE à chaque étape, DPA par client et sous-traitants ultérieurs publiés, c'est la ligne unique pour le DPO.

Voir plutôt que lire

• Essayer la démo en direct — sans inscription ; parlez, et écoutez la salle traduite pour chaque auditeur dans l'une des 23 langues.
• Consulter le benchmark — qualité de traduction mensuelle par paire de langues sur du trafic réel, avec une méthodologie publique.
• Lire la liste des sous-traitants ultérieurs — fonction et siège de chaque fournisseur, sans demande préalable.

FAQ

Quelles messageries sont conformes au GDPR ?

Aucune ne l'est à elle seule : les obligations incombent à l'entreprise. Ce que l'on peut vérifier, c'est si l'éditeur les rend réalisables : un DPA est documenté par Microsoft Teams (via les Product Terms), Slack (via un formulaire), Threema Work (éditeur : traitement conforme au GDPR/à la DSG) et InterMIND (par client, art. 28) ; Teamwire et Wire se décrivent comme conformes au GDPR. Pour WhatsApp, Signal et Telegram, la documentation ne mentionne aucun DPA (consulté en août 2026). Les services auto-hébergés — Element, Mattermost, Rocket.Chat, Nextcloud — déplacent la question vers votre propre exploitation.

Signal est-il conforme au GDPR ?

Signal documente le chiffrement de bout en bout (« Signal ne peut ni déchiffrer ni accéder d'une autre manière au contenu de vos messages ou de vos appels ») et des données techniques limitées au minimum ; le cocontractant est Signal Messenger LLC en Californie, l'inscription se fait par numéro de téléphone. Les documents juridiques ne mentionnent aucun accord de traitement des données pour les entreprises. L'usage privé est une tout autre situation que l'usage en entreprise, qui doit satisfaire à l'art. 28.

WhatsApp est-il conforme au GDPR pour un usage professionnel ?

WhatsApp Ireland documente le chiffrement de bout en bout et la suppression de ses serveurs des messages remis — et, en même temps, des données d'usage et d'appareil, un téléversement optionnel du carnet d'adresses et un partage avec les « sociétés Meta aux États-Unis et en Irlande ». La politique de confidentialité ne mentionne aucun DPA pour l'application ; l'application Business est, selon l'éditeur, conçue pour les propriétaires de petites entreprises. Quiconque utilise WhatsApp dans une entreprise doit lui-même justifier ces points auprès du DPO.

Telegram est-il conforme au GDPR ?

Telegram indique que les données de l'UE sont stockées aux Pays-Bas et désigne un représentant dans l'UE (EDPO, Bruxelles) ; les conversations cloud sont chiffrées côté serveur, avec des clés « dans plusieurs autres centres de données relevant de juridictions différentes », seules les conversations secrètes étant chiffrées de bout en bout. Aucun DPA n'est documenté. C'est une situation de données documentée, pas une conformité au GDPR au sens de l'art. 28.

Microsoft Teams est-il conforme au GDPR ?

Microsoft documente le DPA comme faisant partie des Product Terms, le stockage des données Teams dans la région du tenant — la résidence par pays uniquement pour les nouveaux tenants — et l'EU Data Boundary pour les clients Microsoft 365 établis dans l'UE/AELE, avec des exceptions documentées. Pour les entreprises déjà sur Teams, c'est une base solide ; les fonctions de traduction en réunion dépendent de licences Copilot par organisateur et par auditeur.

Que doit offrir une messagerie d'entreprise conforme au GDPR ?

Six réponses documentées plutôt qu'un badge : un DPA au titre de l'art. 28, une entité et une localisation de serveurs nommées, sans transfert vers un pays tiers inexpliqué, un modèle de chiffrement nommé, un contrôle du carnet d'adresses et des métadonnées, un dispositif de suppression qui couvre le départ d'un collaborateur, et une liste publiée des sous-traitants ultérieurs — y compris les services d'IA et de traduction. Pour les équipes internationales, un septième point s'ajoute : une messagerie qui ne conserve le canal que dans la langue d'origine renvoie la traduction à chaque individu.

Existe-t-il une messagerie d'entreprise gratuite et conforme au GDPR ?

Gratuits et auto-hébergés : Rocket.Chat Starter (jusqu'à 50 utilisateurs) et Element Community — les obligations du GDPR reposent alors entièrement sur votre propre exploitation. Threema Work propose 30 jours pour 30 utilisateurs sans coordonnées de paiement. Avec InterMIND, la participation est gratuite pour chaque participant — on rejoint par lien, sans compte — et la démo en direct ne demande aucune inscription ; c'est l'hôte qui paie la salle.

Sources : BfDI — Critères de sélection des services de messagerie (en allemand), WhatsApp — Politique de confidentialité (EEE), WhatsApp — Politique de confidentialité, Blog WhatsApp — Présentation des traductions de messages, Application WhatsApp Business, Signal — Conditions et politique de confidentialité, Telegram — Politique de confidentialité, Blog Telegram — Traduction en temps réel, Threema — Messagerie conforme au GDPR (en allemand), Teamwire — Messagerie conforme au GDPR (en allemand), Wire — Wire contre MS Teams (en allemand), Stackfield — Alternative à Microsoft Teams (en allemand), Element — Tarifs, Mattermost — Tarifs, Mattermost — Configurer la traduction automatique (bêta), Rocket.Chat — Nos offres, Rocket.Chat — Traduction automatique des messages, Nextcloud Talk, Microsoft — Products and Services Data Protection Addendum, Microsoft Learn — Emplacement des données dans Microsoft Teams, Microsoft Learn — Qu'est-ce que l'EU Data Boundary ?, Microsoft — Traduire un message dans Microsoft Teams, Microsoft — Interpreter dans les réunions et appels Teams, Slack — Data Processing Addendum, Slack — Résidence des données pour Slack, Slack — Tarifs, Slack — Guide des fonctions d'IA dans Slack. Les éditeurs modifient avec le temps leurs offres, leurs localisations, leurs fonctions et leurs autodescriptions ; consultez leurs pages pour connaître l'état actuel. Tous les faits ont été vérifiés en août 2026.