La réponse courte
Un CRM vraiment français et souverain remplit trois conditions : un éditeur de droit français ou européen, un hébergement dans l'Union chez un prestataire européen, et une IA qui ne passe pas par un fournisseur américain. Parmi les 12 CRM vérifiés, Sellsy (Scaleway), Axonaut (OVH, Hetzner) et Atome (UpCloud, Aiven) hébergent dans l'Union chez des prestataires européens. Plusieurs outils installés en Europe envoient leurs données d'IA à OpenAI ou Anthropic.
« CRM français » est l’une des recherches les plus fréquentes sur les CRM en France, et elle cache presque toujours une autre question : mes données restent-elles en Europe, et qui peut y accéder ? Les comparatifs en tête des résultats répondent surtout à la première moitié, avec la nationalité de l’éditeur. Ce guide vérifie aussi l’hébergeur et, ce que presque aucun ne fait, le fournisseur de l’IA.
Méthode et transparence : pour chaque CRM, nous avons lu les pages de l’éditeur lui-même (sécurité, politique de confidentialité, liste des sous-traitants, contrat de traitement) le 1er novembre 2026. Quand une page ne dit rien, le tableau l’indique. Nous éditons Atome, qui figure dans le comparatif.
Qu’est-ce qu’un CRM vraiment français ?
Trois conditions, cumulées :
- Un éditeur de droit français ou européen, sans maison mère soumise au droit américain.
- Un hébergement dans l’Union européenne, chez un prestataire européen.
- Une chaîne de sous-traitants européenne, IA comprise.
La nationalité de l’éditeur ne suffit pas. Un éditeur français peut héberger chez AWS, et un éditeur américain peut proposer un centre de données en Allemagne. C’est la combinaison des trois qui décide.
Pourquoi « hébergé en France » ne suffit pas : le Cloud Act
La loi américaine dite Cloud Act oblige un fournisseur soumis au droit américain à produire les données qu’il possède ou contrôle, qu’elles soient situées aux États-Unis ou ailleurs (18 U.S.C. § 2713). Le ministère américain de la Justice précise que cela vaut quelle que soit la structure du groupe, dès lors que l’entité visée contrôle les données (livre blanc du DOJ, 2019).
Côté européen, le comité européen de la protection des données estime qu’un fournisseur soumis au RGPD ne peut pas fonder une transmission de données sur une simple demande au titre du Cloud Act, en l’absence d’accord international (EDPB et EDPS, 2019). Aucun accord de ce type n’a été conclu entre l’Union et les États-Unis (DOJ).
Le conflit est réel : auditionné par le Sénat en juin 2025, le directeur des affaires publiques de Microsoft France a déclaré ne pas pouvoir garantir que des données ne seraient pas transmises aux autorités américaines sans l’accord des autorités françaises (Sénat).
Pour les transferts de données vers les États-Unis, le cadre de protection des données UE-États-Unis, adopté par la Commission en juillet 2023, reste en vigueur : un premier recours a été rejeté par le Tribunal de l’UE en septembre 2025, et un pourvoi est pendant devant la Cour de justice (Commission européenne, Next).
L’angle mort : l’IA de votre CRM
Les CRM ajoutent tous de l’IA : résumé de réunion, brouillon de relance, réponse aux questions sur un client. Pour le faire, l’IA reçoit vos e-mails, vos notes et vos comptes rendus. Si elle tourne chez OpenAI ou Anthropic, vos données y passent, même quand la base du CRM est hébergée en France ou en Irlande.
C’est la question à poser à chaque éditeur : quel fournisseur fait tourner l’IA, et où ? La réponse est dans sa liste de sous-traitants.
Les 12 CRM vérifiés
| CRM | Éditeur | Hébergement des données | Fournisseur de l’IA |
|---|---|---|---|
| Atome | France | Union européenne : UpCloud (serveurs, fichiers), Aiven en Allemagne (base) | Mistral AI (France), Cortecs (Autriche) |
| Sellsy | France | Scaleway, région parisienne | Non indiqué |
| Karlia | France | « Hébergé en France », prestataire non indiqué | Non indiqué |
| Axonaut | France | OVH et Hetzner, région parisienne et Allemagne | Non indiqué |
| noCRM.io | France (Groupe Positive) | AWS, Paris et Irlande | Pas d’IA listée hors support |
| Divalto Weavy | France | Non indiqué sur ses pages | Non indiqué |
| Teamleader | Belgique | AWS, Dublin | Aucune listée |
| Efficy | Belgique | Pages inaccessibles lors du relevé | Non vérifié |
| folk | Folk Inc., Delaware | AWS, Irlande | OpenAI, ElevenLabs, Perplexity |
| Pipedrive | Estonie et États-Unis | AWS, Francfort ou Dublin pour les clients européens | OpenAI, Anthropic, AWS, AssemblyAI, Recall.ai |
| HubSpot | États-Unis | Centre de données européen en Allemagne (AWS, Google, Snowflake) | OpenAI, AWS, Google, Baseten |
| Attio | Royaume-Uni | Google Cloud, région non précisée | OpenAI, Anthropic, Google, Baseten |
Deux autres cas utiles : Salesforce propose une zone européenne (Hyperforce EU Operating Zone) où les données sont stockées et traitées dans l’Union et en Suisse ; Zoho, éditeur indien, héberge ses clients européens à Amsterdam et Dublin et fait tourner son modèle d’IA dans ses propres centres de données. Les deux restent des groupes non européens.
Les CRM d’éditeurs français, un par un
Atome
Atome réunit le CRM, la boîte mail partagée, un chat sur chaque fiche, l’agenda, l’enregistrement des réunions et les documents. Les données sont hébergées dans l’Union européenne et l’IA tourne sur Mistral AI en France et Cortecs en Autriche, sans fournisseur d’IA américain. La page des sous-traitants liste chaque prestataire. 49 € HT par utilisateur et par mois en annuel. Limites : pas de comptabilité, pas d’offre gratuite.
Sellsy
Éditeur rochelais, Sellsy réunit CRM, devis et facturation. Ses données sont hébergées chez Scaleway en région parisienne, avec une certification ISO 27001. Sa page ne nomme pas le fournisseur de son IA, mais précise que les données ne servent pas à entraîner de modèle. L’offre Vente démarre à 29 € HT par utilisateur et par mois en annuel.
Karlia
Éditeur toulousain, Karlia met en avant un hébergement en France. Son site ne nomme ni l’hébergeur ni un éventuel fournisseur d’IA : demandez la liste des sous-traitants avant de signer.
Axonaut
Axonaut s’adresse aux TPE avec un logiciel qui réunit CRM, facturation et trésorerie, au forfait de 97 € par mois avec un utilisateur inclus. Sa politique de confidentialité d’avril 2026 cite OVH et Hetzner, en région parisienne et en Allemagne, alors que sa page d’accueil parle de serveurs en France : les deux restent dans l’Union.
noCRM.io
noCRM, qui appartient au Groupe Positive, est hébergé chez AWS à Paris et en Irlande. Sa liste de sous-traitants mentionne aussi des services américains pour le suivi d’erreurs et la synchronisation des e-mails. Un éditeur français, donc, avec une chaîne technique en partie américaine.
Divalto Weavy
Le CRM de l’éditeur alsacien Divalto ne précise pas son hébergeur sur les pages que nous avons consultées. Demandez-le, ainsi que le fournisseur de l’IA.
Les CRM souvent présentés comme français, à tort
- Teamleader et Efficy sont belges : européens, donc, mais pas français. Teamleader héberge chez AWS à Dublin.
- folk est souvent cité comme français pour ses fondateurs ; sa politique de confidentialité désigne une société du Delaware, et son IA passe par OpenAI, ElevenLabs et Perplexity.
- Pipedrive est d’origine estonienne, avec une entité américaine, et son IA s’appuie notamment sur OpenAI et Anthropic.
Les CRM américains avec un centre de données en Europe
HubSpot, Salesforce, Pipedrive et Attio proposent un hébergement européen ou en Irlande. C’est un vrai progrès pour la latence et pour une partie des obligations du RGPD. Mais l’éditeur reste soumis au droit américain, et une partie de leur IA passe par des fournisseurs américains. Pour une entreprise qui a une exigence contractuelle de souveraineté, ce n’est pas l’équivalent d’un éditeur européen.
Comment vérifier vous-même en 10 minutes
- Trouvez la page des sous-traitants de l’éditeur. Un éditeur sérieux la publie, avec le nom, le rôle et le pays de chaque prestataire.
- Repérez l’hébergeur de la base et celui des fichiers : ils sont parfois différents.
- Cherchez les fournisseurs d’IA : OpenAI, Anthropic, Google, Mistral, ou un modèle interne.
- Vérifiez l’entité qui signe le contrat et sa maison mère.
- Lisez le contrat de traitement (DPA) : il doit reprendre ces engagements.
Faut-il un CRM français ?
Pas toujours. Si vos clients ne vous l’imposent pas et que vos données sont peu sensibles, un CRM américain hébergé en Europe peut suffire. Mais trois cas rendent un éditeur européen nettement préférable : des clients publics ou réglementés qui l’exigent dans leurs contrats, des données sensibles (santé, juridique, financier), et une IA qui lit tous vos échanges.
Pour choisir l’outil au-delà de la question des données, lisez notre guide Quel CRM choisir pour une PME en 2027 ? et notre comparatif Combien coûte un CRM pour une PME ?.
Sources
Pages des éditeurs consultées le 1er novembre 2026 : Sellsy, sécurité des données · Axonaut, politique de confidentialité · noCRM, sous-traitants · folk, politique de confidentialité · Teamleader, sous-traitants · Pipedrive, sous-traitants · HubSpot, sous-traitants · Salesforce, Hyperforce EU · Zoho, modèle d’IA · Attio, contrat de traitement · Karlia · Divalto, mentions légales. Textes et positions : 18 U.S.C. § 2713 · DOJ, livre blanc 2019 · EDPB et EDPS, 2019 · Sénat, 10 juin 2025 · Commission européenne, transferts UE-États-Unis.
