Messagerie conforme au GDPR pour les entreprises (2026) : ce que les éditeurs documentent réellement

« Quelle messagerie est conforme au GDPR ? » est une question à laquelle aucun éditeur ne peut honnêtement répondre par « la nôtre ». Le GDPR place les obligations sur vous, le responsable du traitement : il vous faut un accord de traitement des données (art. 28), vous devez savoir où se trouvent les données et si elles passent dans un pays tiers, vous devez pouvoir les supprimer et répondre aux demandes d'accès. Une messagerie peut rendre ces obligations réalisables — ou non. Un badge sur une page d'accueil n'en dit pas davantage.

Ce guide fait donc autre chose que les listes habituelles. Il reprend six vérifications qu'un délégué à la protection des données (DPO) demande de toute façon et les applique à douze services : les messageries grand public sur lesquelles les entreprises travaillent réellement (WhatsApp, Signal, Telegram), les messageries professionnelles suisses et allemandes (Threema Work, Teamwire, Wire, Stackfield), les plateformes auto-hébergées (Element, Mattermost, Rocket.Chat) et les deux suites (Microsoft Teams, Slack). Puis InterMIND, que nous développons — selon les mêmes critères et avec la même règle de sourcing. Chaque affirmation provient de la documentation publique de l'éditeur, consultée en août 2026 et liée en fin d'article.

Une septième vérification s'y ajoute, qui n'apparaît jamais dans les listes GDPR et compte chaque jour dans une équipe internationale : dans quelle langue chaque membre lit-il le canal ? Une messagerie qui ne stocke les messages que dans leur langue d'origine reporte la traduction sur chaque individu — et sur des services qui traitent alors les données une nouvelle fois.

Les six vérifications

Le Commissaire fédéral allemand à la protection des données (BfDI) publie des critères de sélection pour les services de messagerie, la référence publique la plus exploitable. Il définit le chiffrement de bout en bout comme des messages « chiffrés sur l'appareil de l'expéditeur et déchiffrés uniquement sur l'appareil du destinataire », énumère des paramètres de confidentialité tels que l'accès au carnet d'adresses, la visibilité du profil, les accusés de lecture, les statistiques d'usage et les rapports d'erreur, et exige une suppression du compte où les données sont « supprimées immédiatement ». Pour un usage en entreprise, les obligations de l'art. 28 s'y ajoutent. L'ensemble :

1. Accord de traitement des données (DPA). L'éditeur en propose-t-il un — et figure-t-il dans sa documentation ?
2. Entité et localisation des serveurs. Quelle société est votre cocontractant, où se trouvent les données, y a-t-il un transfert vers un pays tiers ?
3. Chiffrement. De bout en bout, ou en transit et côté serveur ? Les deux sont légitimes — il suffit qu'ils soient nommés.
4. Métadonnées et carnet d'adresses. Le carnet d'adresses est-il envoyé ? Quelles données d'usage et d'appareil sont collectées, et avec qui sont-elles partagées ?
5. Suppression et conservation. Où vit l'historique, qui le supprime, que se passe-t-il quand un collaborateur quitte l'entreprise ?
6. Sous-traitants ultérieurs. Sont-ils publiés — y compris les services utilisés pour les fonctions d'IA et la traduction ?

Plus la septième : la langue par membre.

Les messageries grand public au travail

WhatsApp (et l'application WhatsApp Business)

• Cocontractant : pour l'EEE, « WhatsApp Ireland Limited ».
• Chiffrement et stockage : les messages sont chiffrés de bout en bout ; « nous ne conservons pas vos messages dans le cadre normal de la fourniture de nos Services. Une fois vos messages remis, ils sont supprimés de nos serveurs. » L'historique se trouve donc sur les appareils des collaborateurs et dans leurs sauvegardes.
• Métadonnées : sont collectées des « informations sur votre utilisation de nos Services », des données d'appareil (« modèle du matériel, informations sur le système d'exploitation, niveau de batterie, puissance du signal ») et, en option, le carnet d'adresses (« importation des contacts … depuis le carnet d'adresses de votre appareil de manière régulière »). Les données sont partagées avec les « entreprises Meta aux États-Unis et en Irlande » et transférées « dans le monde entier ».
• DPA : la politique de confidentialité de l'application ne mentionne aucun accord de traitement des données pour les entreprises (consultée en août 2026). L'application Business « est conçue en pensant au propriétaire de petite entreprise ».
• Langue : depuis septembre 2025, un message peut être traduit par appui long — sur l'appareil (« les traductions s'effectuent sur votre appareil, où WhatsApp ne peut pas les voir ») ; Android peut traduire automatiquement des conversations entières (six langues au lancement), l'iPhone utilise la traduction d'Apple dans plus de 19 langues. Les messages vocaux et les appels ne font pas partie de l'annonce.

Signal

• Cocontractant : Signal Messenger LLC, Mountain View, Californie — une organisation à but non lucratif.
• Chiffrement : « Signal ne peut pas déchiffrer ni accéder d'aucune autre manière au contenu de vos messages ou appels. »
• Métadonnées : inscription par numéro de téléphone ; les données techniques sont limitées « au minimum nécessaire pour faire fonctionner les Services ».
• DPA : aucun documenté dans les documents juridiques de Signal (consultés en août 2026).
• Langue : aucune fonction de traduction documentée.

Telegram

• Cocontractant et localisation : « Telegram Messenger Inc. », avec « Telegram FZ-LLC, un membre du groupe situé à Dubaï » ; pour les utilisateurs UE/EEE, « vos données sont stockées dans des centres de données aux Pays-Bas ». Le représentant GDPR est l'European Data Protection Office (EDPO) à Bruxelles.
• Chiffrement : les discussions cloud sont chiffrées côté serveur — « toutes les données sont stockées sous forme fortement chiffrée et les clés de chiffrement sont dans chaque cas stockées dans plusieurs autres centres de données relevant de juridictions différentes » — et seules les discussions secrètes sont de bout en bout : « Les discussions secrètes utilisent le chiffrement de bout en bout. »
• DPA : non documenté dans la politique de confidentialité (consultée en août 2026).
• Langue : « Tous les utilisateurs peuvent traduire des messages individuels » ; les utilisateurs Premium « peuvent traduire des discussions, groupes et canaux entiers en temps réel en appuyant sur la barre Traduire en haut de l'écran ».

Ce sont trois outils dans lesquels les équipes travaillent réellement. Ce qu'ils ont en commun : l'historique appartient à l'appareil ou au cloud de l'éditeur, pas à l'entreprise — et le DPA que l'art. 28 exige n'apparaît dans aucune des trois documentations.

Messageries professionnelles suisses et allemandes

Threema Work

• Localisation : Suisse. L'éditeur indique qu'un transfert de données de l'UE vers la Suisse est juridiquement admissible sans examen supplémentaire.
• Métadonnées : Threema Work « ne nécessite aucune donnée personnelle (comme un numéro de téléphone ou une adresse e-mail) » et « peut être utilisé sans accès au carnet d'adresses ».
• DPA : selon l'éditeur, Threema Work « satisfait aux exigences d'un traitement conforme à la protection des données pour le compte d'un responsable du traitement au titre du GDPR et de la DSG suisse ».
• Essai : « 30 jours, 30 utilisateurs. Pas de reconduction automatique. » Les prix par utilisateur ne figurent pas sur la page.
• Langue : aucune fonction de traduction documentée.

Teamwire

• Localisation : « cloud public allemand (IONOS, certifié C5) », « cloud privé dédié » ou « hébergement sur site complet » ; « hébergement en Allemagne plutôt qu'aux États-Unis », « aucun stockage en dehors de l'UE ».
• Certifications : « ISO 27001, BSI C5, certifié TÜV » ; GDPR de l'UE, BDSG, BSI IT-Grundschutz, NIS-2, DORA et CER sont cités.
• Métadonnées : « aucun accès au carnet d'adresses » et « aucune analyse de la communication ».
• GDPR : l'éditeur se décrit comme « conforme à 100 % au GDPR » — une autodescription que le DPA doit confirmer au cas par cas. Aucun prix sur la page.
• Langue : aucune fonction de traduction documentée.

Wire

• Localisation : « cloud, sur site ou hybride ».
• Chiffrement : protocole MLS ; « messages, fichiers et appels sont entièrement chiffrés de bout en bout par défaut » ; appels vidéo « jusqu'à 200 participants », chaque session chiffrée de bout en bout.
• Certifications : ISO 27001, ISO 27701, FedRAMP, FIPS 140-2.
• GDPR : « pleinement conforme aux réglementations strictes de protection des données, dont le GDPR » (autodescription). Aucun prix par utilisateur sur la page.
• Langue : aucune fonction de traduction documentée.

Stackfield

• Localisation : « tout le traitement des données est limité à l'UE, et les données elles-mêmes résident exclusivement dans des centres de données allemands » ; l'entreprise est soumise « exclusivement à la juridiction de l'Allemagne et de l'UE ».
• Chiffrement : « véritable chiffrement de bout en bout » pour les messages, les fichiers et les tâches.
• Certifications : ISO 27001, BSI C5.
• Réunions : audioconférence et visioconférence incluses.
• Langue : aucune fonction de traduction documentée.

Les quatre répondent aux questions de localisation et de chiffrement aussi clairement qu'un éditeur peut le faire. Ce qu'aucun ne documente : une traduction qui permette à un collègue polonais, à un portugais et à un allemand de lire le même canal dans leur propre langue.

Plateformes auto-hébergées

Element (Matrix)

• Chiffrement : « toute la plateforme est chiffrée de bout en bout par défaut » — y compris Element Call pour la voix et la vidéo.
• Exploitation : Community gratuit, auto-hébergé ; Enterprise par siège et par mois, auto-hébergé ; Sovereign par déploiement, isolé du réseau (air-gapped).
• Langue : aucune fonction de traduction documentée — avec le chiffrement de bout en bout, il n'existe pas d'emplacement côté serveur pour en héberger une.

Mattermost

• Exploitation : Professional et Enterprise en licences annuelles auto-hébergées, prix sur demande ; Mattermost Cloud Enterprise en offre mono-locataire.
• Langue : traduction automatique des canaux (bêta, depuis la v11.5) avec Enterprise Advanced : le moteur est « LibreTranslate : un moteur de traduction automatique open source et auto-hébergé » ou « Agents : utilise le plugin Mattermost Agents avec un backend LLM configuré » ; la langue cible d'un utilisateur « est déterminée par sa langue d'affichage Mattermost ». La traduction s'exécute sur votre serveur.

Rocket.Chat

• Exploitation : l'offre Starter est gratuite, « autogérée, auto-hébergée », « pour l'évaluation technique ou les petites équipes jusqu'à 50 utilisateurs » ; les offres payantes sont Commercial, Government et Defense — sur site, cloud privé ou air-gapped, prix sur demande.
• Langue : Auto-Translate par salon — « chaque utilisateur reçoit les traductions dans la langue qu'il a choisie » — via DeepL, Google Translate, Microsoft Translator ou LibreTranslate, avec une clé d'API fournie par l'administrateur. Le texte des messages part donc chez le fournisseur que vous avez choisi — sauf s'il s'agit de LibreTranslate sur votre propre hôte.

Nextcloud Talk appartient au même groupe : « un service de communication audio/vidéo et de chat entièrement auto-hébergé, sur site », avec transcription et traduction en direct sur votre propre matériel (détails dans la comparatif des outils de communication d'équipe).

Les suites : Microsoft Teams et Slack

Microsoft Teams

• DPA : « Lorsque vous souscrivez un Produit selon les conditions du site Product Terms, les conditions de traitement et de sécurité des données sont définies dans l'avenant de protection des données (DPA) des Microsoft Online Services. »
• Localisation : les données de Teams résident « dans la région géographique associée à votre organisation Microsoft 365 ou Office 365 » ; la résidence par pays (Allemagne, France, Italie, Norvège, Pologne, Suède, Suisse et autres) est « réservée aux nouveaux tenants », les tenants UE existants restant dans la région EMEA. L'EU Data Boundary engage Microsoft à stocker et traiter les données client de Microsoft 365 dans l'UE/AELE — « sous réserve de circonstances limitées » avec des exceptions documentées ; les clients en Multi-Geo sont hors périmètre.
• Langue : les messages de discussion et de canal se traduisent à la demande ou automatiquement (« Teams peut traduire automatiquement les messages reçus »), plus de 100 langues, sans licence indiquée ; en réunion, les sous-titres traduits nécessitent la licence Teams Premium ou Copilot de l'organisateur, et l'agent Interpreter (10 langues) nécessite une licence Copilot par auditeur, 20 heures par mois. Détails : traduction en direct dans Teams.

Slack

• DPA : « Slack propose un Data Processing Addendum qui complète les Conditions générales du client » — conclu via un formulaire, non intégré automatiquement.
• Localisation : résidence des données à partir de Business+ : Francfort, Paris, Stockholm, Zurich, Londres. Sont couverts : les messages, les canvases, les fichiers et l'index de recherche ; ne sont pas couverts : les profils des membres et les statistiques d'usage. L'offre Free conserve 90 jours d'historique de messages.
• Langue : « Translate message » avec Business+ et Enterprise+, à la demande message par message ; « les traductions ne sont visibles que par vous, les autres personnes verront donc toujours le message original. »

InterMIND

Nous développons un espace de communication dans lequel chaque membre lit les réunions, le chat, les documents et leur historique dans sa propre langue — et nous l'évaluons selon les mêmes sept vérifications :

1. DPA : signé par client — conditions de sous-traitant de l'art. 28 avec un préavis de 30 jours pour tout nouveau sous-traitant ultérieur et un délai de notification de violation de 72 heures ; un exemplaire signé est disponible pour les achats (/legal/dpa).
2. Entité et localisation : exploité par une OÜ estonienne ; l'exécution se fait dans l'UE à chaque étape — traduction de la voix et du chat sur notre propre moteur, sur des serveurs dédiés en France, orchestration des réunions à Paris, base de données à Francfort, stockage et analytique résidant dans l'UE. La carte, éditeur par éditeur : où tourne réellement une réunion InterMIND.
3. Chiffrement : chiffrement en transit — audio et vidéo via DTLS/SRTP, chat et fichiers via HTTPS/WSS et chiffrés au repos sur nos serveurs. Pas de chiffrement de bout en bout : la traduction est un traitement, et il s'effectue sur notre moteur, pas chez un tiers. Si le chiffrement de bout en bout passe avant tout le reste pour vous, Element, Wire ou Threema conviennent mieux — nous le disons.
4. Métadonnées et carnet d'adresses : aucun envoi du carnet d'adresses ; les participants rejoignent par lien, sans compte et sans numéro de téléphone.
5. Suppression et conservation : le critère de conservation est inscrit dans la politique de confidentialité — les données restent jusqu'à ce que vous ou le propriétaire de votre équipe les supprimiez ; supprimer un compte supprime ses données. Nous avons audité notre propre code au regard des obligations du GDPR et documenté ce que nous avons corrigé : audit GDPR.
6. Sous-traitants ultérieurs : publiés, avec la fonction et le siège de chaque prestataire. Les étapes à base de modèles de langage (compte rendu, résumés de documents, assistant d'écriture, Ask AI) s'exécutent sur la passerelle d'IA que l'organisation sélectionne — Azure OpenAI dans l'EU Data Zone par défaut, Vertex AI UE ou Amazon Bedrock Francfort au choix — dans le tenant propre d'InterMIND, avec zéro conservation des données et sans entraînement sur le contenu des clients ; ces prestataires sont des sociétés américaines qui exploitent des régions européennes, ce qui est indiqué sur la page de confiance. La traduction des documents passe par DeepL, sous-traitant ultérieur européen nommé.
7. Langue par membre : chat et notes en 23 langues, documents en 30, voix en direct pour chaque participant dans sa propre langue — comme comportement par défaut de la salle, sans modules complémentaires ni licences par auditeur. La qualité est publiée chaque mois par paire de langues : /benchmark.

Ce que nous ne revendiquons pas : un certificat ISO que nous ne détenons pas encore. Notre réponse à la liste de vérification est architecturale et vérifiable dans le code ; les certifications figurent sur la feuille de route.

Vue d'ensemble

Quelle messagerie pour quel cas

• Le chiffrement de bout en bout est votre premier critère et la traduction n'a pas d'importance : Threema Work (Suisse, sans numéro de téléphone), Wire (MLS, appels inclus), Stackfield (centres de données allemands) ou Element (auto-hébergé, gratuit dans l'édition Community).
• Tout doit tourner sur vos propres serveurs, et vous avez les équipes pour cela : Rocket.Chat (gratuit jusqu'à 50 utilisateurs, traduction via la clé de votre fournisseur), Mattermost Enterprise Advanced (traduction de canaux en bêta sur votre LibreTranslate ou LLM), Nextcloud Talk.
• Vous êtes de toute façon client de Microsoft ou de Slack : les deux documentent un DPA et une résidence dans l'UE — Teams via la région du tenant et l'EU Data Boundary, Slack à partir de Business+. La traduction se fait par lecteur, à la demande ; la langue en réunion dans Teams dépend des licences Copilot.
• L'équipe travaille dans WhatsApp, Signal ou Telegram : des services documentés pour la communication privée, en partie chiffrés de bout en bout — mais sans DPA documenté, avec l'historique sur les appareils ou dans le cloud de l'éditeur, et, chez WhatsApp, des données d'usage et d'appareil transmises aux entreprises Meta aux États-Unis. Un DPO posera des questions auxquelles la documentation ne répond pas.
• Le canal lui-même est multilingue — collègues et clients qui se répondent en trois langues, invités sans vos licences, et une équipe conformité qui veut pouvoir nommer la localisation : c'est pour cela que nous développons InterMIND — chaque membre lit l'espace dans sa propre langue, les invités entrent par lien sans vos licences ; l'UE à chaque étape, un DPA par client et des sous-traitants ultérieurs publiés tiennent en une ligne pour le DPO.

Voyez-le plutôt que de le lire

• Essayer la démo en direct — sans inscription ; parlez, et entendez la salle traduite pour chaque auditeur dans l'une des 23 langues.
• Consulter le benchmark — qualité de traduction mensuelle par paire de langues, sur du trafic réel, avec une méthodologie publique.
• Consulter les sous-traitants ultérieurs — fonction et siège de chaque prestataire, sans demande à formuler.

FAQ

Quelles messageries sont conformes au GDPR ?

Aucune ne l'est par elle-même — les obligations reposent sur l'entreprise. Ce qui peut être vérifié, c'est si l'éditeur les rend réalisables : un DPA est documenté par Microsoft Teams (via les Product Terms), Slack (via un formulaire), Threema Work (éditeur : traitement conforme au GDPR/DSG) et InterMIND (par client, art. 28) ; Teamwire et Wire se décrivent comme conformes au GDPR. Pour WhatsApp, Signal et Telegram, la documentation ne mentionne aucun DPA (consultée en août 2026). Les services auto-hébergés — Element, Mattermost, Rocket.Chat, Nextcloud — déplacent la question vers votre propre exploitation.

Signal est-il conforme au GDPR ?

Signal documente un chiffrement de bout en bout (« Signal ne peut pas déchiffrer ni accéder d'aucune autre manière au contenu de vos messages ou appels ») et des données techniques limitées au minimum ; le cocontractant est Signal Messenger LLC en Californie, l'inscription se fait par numéro de téléphone. Les documents juridiques ne mentionnent aucun accord de traitement des données pour les entreprises. L'usage privé n'est pas comparable à l'usage en entreprise, qui doit satisfaire à l'art. 28.

WhatsApp est-il conforme au GDPR pour un usage professionnel ?

WhatsApp Ireland documente un chiffrement de bout en bout et la suppression de ses serveurs des messages remis — et, en même temps, des données d'usage et d'appareil, un envoi optionnel du carnet d'adresses et un partage avec les « entreprises Meta aux États-Unis et en Irlande ». La politique de confidentialité ne mentionne aucun DPA pour l'application ; l'application Business est, selon l'éditeur, conçue pour les propriétaires de petites entreprises. Quiconque utilise WhatsApp dans une entreprise doit justifier lui-même ces points auprès du DPO.

Telegram est-il conforme au GDPR ?

Telegram indique que les données de l'UE sont stockées aux Pays-Bas et nomme un représentant dans l'UE (EDPO, Bruxelles) ; les discussions cloud sont chiffrées côté serveur, avec des clés réparties « dans plusieurs autres centres de données relevant de juridictions différentes », seules les discussions secrètes étant de bout en bout. Aucun DPA n'est documenté. C'est une situation documentée en matière de données, pas une conformité au GDPR au sens de l'art. 28.

Microsoft Teams est-il conforme au GDPR ?

Microsoft documente le DPA comme partie intégrante des Product Terms, le stockage des données de Teams dans la région du tenant — la résidence par pays uniquement pour les nouveaux tenants — et l'EU Data Boundary pour les clients Microsoft 365 établis dans l'UE/AELE, avec des exceptions documentées. Pour les entreprises déjà sur Teams, c'est une base solide ; les fonctions de traduction en réunion dépendent de licences Copilot par organisateur et par auditeur.

Que doit offrir une messagerie conforme au GDPR pour les entreprises ?

Six réponses documentées plutôt qu'un badge : un DPA au titre de l'art. 28, une entité et une localisation de serveurs nommées, sans transfert vers un pays tiers inexpliqué, un modèle de chiffrement nommé, un contrôle du carnet d'adresses et des métadonnées, un concept de suppression qui couvre le départ d'un collaborateur, et une liste publiée des sous-traitants ultérieurs — y compris les services d'IA et de traduction. Pour les équipes internationales, un septième point s'y ajoute : une messagerie qui ne stocke le canal que dans la langue d'origine reporte la traduction sur chaque individu.

Existe-t-il une messagerie gratuite conforme au GDPR pour les entreprises ?

Gratuits et auto-hébergés : Rocket.Chat Starter (jusqu'à 50 utilisateurs) et Element Community — les obligations du GDPR reposent alors entièrement sur votre propre exploitation. Threema Work propose 30 jours pour 30 utilisateurs sans coordonnées de paiement. Avec InterMIND, la participation est gratuite pour chaque participant — rejoindre par lien, sans compte — et la démo en direct ne demande aucune inscription ; c'est l'hôte qui finance la salle.

Sources : BfDI — Critères de sélection des services de messagerie (en allemand), WhatsApp — Politique de confidentialité (EEE), WhatsApp — Politique de confidentialité, Blog WhatsApp — Présentation de la traduction des messages, Application WhatsApp Business, Signal — Conditions d'utilisation et politique de confidentialité, Telegram — Politique de confidentialité, Blog Telegram — Traduction en temps réel, Threema — Messagerie conforme au GDPR (en allemand), Teamwire — Messagerie conforme au GDPR (en allemand), Wire — Wire vs. MS Teams (en allemand), Stackfield — Alternative à Microsoft Teams (en allemand), Element — Tarifs, Mattermost — Tarifs, Mattermost — Configurer la traduction automatique (bêta), Rocket.Chat — Nos offres, Rocket.Chat — Traduction automatique des messages, Nextcloud Talk, Microsoft — Avenant de protection des données des produits et services, Microsoft Learn — Emplacement des données dans Microsoft Teams, Microsoft Learn — Qu'est-ce que l'EU Data Boundary ?, Microsoft — Traduire un message dans Microsoft Teams, Microsoft — Interpreter dans les réunions et appels Teams, Slack — Data Processing Addendum, Slack — Résidence des données pour Slack, Slack — Tarifs, Slack — Guide des fonctions d'IA dans Slack. Les éditeurs modifient leurs offres, localisations, fonctions et autodescriptions au fil du temps ; consultez leurs pages pour connaître l'état actuel. Tous les faits ont été vérifiés en août 2026.