Formulaires avec serveurs en Suisse : ce que cela apporte vraiment

« Nos données restent en Suisse » est l'une des affirmations les plus fréquentes et les moins vérifiées des achats informatiques suisses. C'est aussi trois affirmations dans un seul manteau. Un outil de formulaires peut être hébergé dans un centre de données suisse tout en étant exploité par une société sous contrôle étranger ; il peut être proposé par une société suisse irréprochable qui stocke chaque réponse chez Amazon en Irlande ; et il peut être suisse sur ces deux plans pendant que son équipe de support, ses courriels de notification et ses journaux d'erreurs déplacent discrètement le contenu des envois vers quatre autres pays.

Cet article traite du pourquoi. Si vous cherchez le qui — le panorama à jour, fournisseur par fournisseur, des outils de formulaires et de sondages qui stockent réellement les réponses en Suisse, avec la documentation à l'appui de chaque affirmation —, c'est notre panorama des outils de formulaires et de sondages hébergés en Suisse, vérifié en juillet 2026.

Trois affirmations qui sonnent comme une seule

Presque chaque puce « hébergement suisse » agrège trois faits indépendants. Les séparer est la chose la plus utile que vous puissiez faire dans une évaluation de fournisseur, car un prestataire peut satisfaire l'un et échouer aux deux autres sans rien dire de faux.

La troisième ligne est celle qu'on omet, et c'est elle qui détermine la valeur des deux autres. Le 18 U.S.C. § 2713, introduit par le CLOUD Act en 2018, oblige un fournisseur américain de services de communication électronique ou d'informatique à distance à conserver et divulguer les contenus et enregistrements en sa possession, sous sa garde ou son contrôle, que l'information soit située à l'intérieur ou à l'extérieur des États-Unis. Un centre de données suisse exploité par un prestataire sous contrôle américain règle donc la question de la localisation et laisse celle de la contrainte exactement où elle était.

Ce que l'hébergement suisse apporte réellement

Débarrassé du drapeau, il reste quatre bénéfices concrets, et tous ont une valeur financière.

1. Un transfert de moins à documenter. L'art. 16 nLPD autorise la communication à l'étranger lorsque le Conseil fédéral a constaté un niveau de protection adéquat — la liste figure à l'annexe 1 de l'ordonnance sur la protection des données — ou lorsque le transfert repose sur un traité, des clauses types de protection des données ou des règles d'entreprise contraignantes ; l'art. 17 ajoute des exceptions étroites. Rien de prohibitif, mais tout cela est de la documentation à tenir et à pouvoir produire. Une chaîne purement suisse supprime le point au lieu de le résoudre.
2. Une friction procédurale pour les autorités étrangères. Une autorité étrangère qui veut des données détenues par un exploitant suisse doit normalement passer par l'entraide judiciaire : lente, visible, contrôlable. Des données détenues par un fournisseur dans sa propre juridiction sont atteignables directement, et souvent confidentiellement. Cette différence est le cœur pratique de la souveraineté des données.
3. Une réponse plus simple pour les secteurs réglementés. Là où s'applique le secret professionnel de l'art. 321 CP — médecine, avocature, médecine dentaire, psychologie, pharmacie —, le devoir s'étend aux auxiliaires, ce qui inclut les personnes pouvant accéder à vos systèmes. Une chaîne de traitement courte et suisse rend ce devoir plus facile à respecter et beaucoup plus facile à expliquer. Les organes publics ont une couche supplémentaire : la résolution de privatim de novembre 2025 sur les services de cloud internationaux ne tient l'usage de prestataires exposés à un accès étranger pour admissible que dans des cas étroits — avec l'exception notable où l'organe public chiffre lui-même les données et où le fournisseur ne détient aucune clé.
4. La latence et la langue, prosaïquement. Les répondants suisses obtiennent un formulaire plus rapide, et un support suisse signifie un contrat, une facture et une voie d'escalade dans votre langue et votre fuseau horaire. Cela ne figure dans aucune revue de protection des données ; tout le monde le remarque à l'usage.

Ce qu'il n'apporte pas : l'immunité. La procédure pénale suisse permet aux autorités suisses d'ordonner la production ou le séquestre de données détenues en Suisse, et un fournisseur suisse capable de lire vos envois peut être contraint de les produire. Nous déroulons ce scénario, et ce que le chiffrement y change, dans injonctions, mandats et vos données de formulaires.

Les canaux annexes qui quittent la Suisse alors que la base reste

C'est la partie que presque aucune page de fournisseur n'aborde, et c'est par là que sortent la plupart des données réelles. Un formulaire n'est pas seulement une ligne de base de données. C'est une page chargée depuis quelque part, livrée par quelque chose, avec des notifications, des journaux et des outils de support attachés. Chacun de ces éléments est une communication à l'étranger potentielle à part entière.

• Le CDN devant le formulaire. Si la page du formulaire est servie par un réseau de diffusion étranger qui termine le TLS, ce réseau voit la requête — et, selon la configuration, les données envoyées. Une base suisse derrière un réseau de bordure américain n'est pas un chemin de données suisse.
• Les courriels de notification. De loin la fuite la plus courante. Une notification contenant les réponses crée une copie en clair de l'envoi dans chaque boîte destinataire et sur chaque serveur de messagerie traversé. Si votre boîte est dans un cloud étranger, votre formulaire hébergé en Suisse y est désormais aussi stocké.
• Polices, scripts et CAPTCHAs. Une police web, un extrait analytique ou un CAPTCHA tiers chargé depuis un hôte étranger communique à cet hôte l'adresse IP du répondant et le contexte de la page à chaque affichage du formulaire — avant même tout envoi.
• Surveillance des erreurs et des performances. Les rapporteurs de plantage et les outils de rejeu de session capturent régulièrement le contenu des champs dans leurs charges utiles. Un backend de supervision à l'étranger est un sous-traitant ayant accès aux données d'envoi, que ce soit voulu ou non.
• Accès du support et de l'administration. Où siège l'équipe de support, et que peut-elle voir ? L'administration à distance d'un centre de données suisse depuis l'étranger place un humain avec accès hors de la juridiction, alors que les disques n'ont jamais bougé.
• Les sauvegardes, et le second prestataire que vous n'avez pas remarqué. Les sauvegardes vivent parfois dans une autre région que la production ; prestataires de paiement, services de signature électronique, passerelles SMS et fonctions d'IA vivent souvent dans un tout autre pays. Chacun appartient à la liste des sous-traitants — et c'est sur cette liste que les affirmations de localisation se brisent d'ordinaire.

L'hébergement dans l'UE suffit-il ?

Juridiquement, le plus souvent oui — et c'est la réponse honnête. Les États de l'UE et de l'EEE figurent sur la liste suisse d'adéquation : stocker les données de répondants suisses à Francfort ou à Dublin est une communication à l'étranger licite qui n'exige ni clauses types ni analyse d'impact du transfert. Si votre seule préoccupation est la conformité à la nLPD, l'hébergement dans l'UE est un choix défendable et il n'y a aucune raison de prétendre le contraire.

Trois situations changent le calcul. D'abord, une couche sectorielle plus stricte que le droit de la protection des données : secret professionnel, règles cantonales pour les écoles et les hôpitaux, attentes de la FINMA en matière d'externalisation, gouvernance de la recherche. Ensuite, la question de la propriété — une grande partie de l'hébergement en région UE est fournie par des groupes sous contrôle américain, ce qui vous ramène au paragraphe CLOUD Act ci-dessus. Enfin, la question de la perception, non juridique mais réelle : la personne qui remplit un formulaire de signalement ou un questionnaire d'admission prend une décision de confiance, et « stocké en Irlande par une société américaine » est une phrase plus difficile à prononcer que « stocké en Suisse ». Là où tout l'intérêt du formulaire est que les gens répondent honnêtement, cela compte. Le test juridique complet, pays par pays, est dans quelles données de formulaires peuvent légalement quitter la Suisse.

Ce que le label « swiss hosting » certifie — et ce qu'il ne certifie pas

Le label « swiss hosting », lancé par Swiss Made Software en août 2020, est ce qui ressemble le plus à un raccourci vérifiable. Il exige que l'entreprise soit de propriété suisse et ait son siège en Suisse, que les applications et les données personnelles ou d'entreprise soient hébergées dans un centre de données en Suisse, que la protection des données et la sécurité soient soumises au droit suisse, et que seuls le client et les autorités suisses puissent accéder aux données. Il couvre ainsi les trois affirmations distinguées plus haut — raison précise pour laquelle il est plus utile qu'une icône de drapeau.

Notez ce qu'il ne certifie toujours pas : si le fournisseur peut techniquement lire votre contenu. Schweizerform est hébergé chez Infomaniak — société suisse indépendante fondée à Genève en 1994, détenue majoritairement par ses employés, avec des sites à Genève et à Zurich, certifiée notamment ISO 27001:2022. C'est un solide dossier de localisation, et à lui seul il laisserait tout de même le fournisseur dans le périmètre de confiance. S'il n'y est pas, c'est pour une raison architecturale et non géographique, décrite sur notre page sécurité.

La localisation répond à « qui peut contraindre », pas à « qui peut lire »

Voici la phrase à retenir : l'emplacement du serveur dit quel État peut contraindre à l'accès ; l'architecture dit ce qu'il y a à donner. Presque tous les fournisseurs de ce marché chiffrent les données en transit et au repos avec des clés qu'ils détiennent eux-mêmes. C'est une mesure réelle et sensée contre le matériel volé et le stockage mal configuré. Ce n'est pas une barrière face au fournisseur, à ses outils de support, à ses sous-traitants ou à une injonction qui lui est adressée — puisqu'il détient la clé. La distinction est posée dans chiffrement au repos et de bout en bout.

Le chiffrement de bout en bout déplace l'objet de la question. Quand les réponses sont chiffrées dans le navigateur du répondant et que seul le détenteur de la clé peut les déchiffrer, une injonction au fournisseur produit du texte chiffré, une sauvegarde compromise produit du texte chiffré, et un ingénieur de support avec accès à la production voit du texte chiffré. La localisation devient alors une propriété utile de second ordre plutôt que la pièce porteuse — raison pour laquelle nous faisons les deux, et pour laquelle nous disons clairement que ne faire que la première donnerait un produit plus faible.

Vérifier une affirmation d'hébergement en quinze minutes

Quand l'hébergement suisse n'a vraiment aucune importance

Cela mérite d'être dit, car traiter chaque formulaire comme une question de souveraineté épuise la crédibilité dont vous aurez besoin pour ceux qui en sont vraiment une. Un sondage sur le repas de midi, une réservation de salle interne, une inscription publique avec un nom et une adresse électronique, une note de satisfaction sans identifiants : pour cela, un outil hébergé dans l'UE que votre organisation paie déjà est une réponse parfaitement raisonnable, et prétendre le contraire complique la discussion le jour où arrive un formulaire réellement sensible.

La limite se trace généralement par le contenu plutôt que par le volume. Les données sensibles au sens de l'art. 5 let. c nLPD, tout ce qui relève d'un devoir de secret, tout ce dont la sincérité de la réponse dépend de la confiance dans le canal, et tout ce sur quoi une autorité de surveillance pourrait un jour poser une question : voilà les formulaires pour lesquels localisation et architecture méritent leur prix. Notre panorama des outils de formulaires en ligne pour les entreprises suisses porte le même regard, les pieds sur terre, sur le marché.

L'essentiel

Posez trois questions au lieu d'une. Où se trouvent physiquement les réponses ? Qui détient et contrôle l'exploitant, et sous quel droit ? Et quelqu'un d'autre que vous peut-il lire un envoi ? La première est un fait que vous pouvez vérifier par écrit. La deuxième, un fait qui figure au registre du commerce. La troisième détermine la valeur des deux premières — et c'est celle que la plupart des pages de fournisseurs ne mentionnent jamais.

L'hébergement suisse est un avantage réel, dit honnêtement : moins de transferts à documenter, une friction procédurale pour les autorités étrangères, un récit plus simple pour les secteurs réglementés. Ce n'est pas une garantie de confidentialité — et toute page qui le présente comme telle, celle d'un concurrent comme la nôtre, doit être lue avec cela en tête.