Alternatives à Formstack pour des données RH confidentielles

Les RH sont la catégorie de formulaires la plus difficile de ce marché, et la raison est structurelle plutôt que technique. Dans tout autre cas d’usage, « qui peut lire les données » signifie le fournisseur et votre informatique. En RH, cela signifie aussi le cadre nommé dans la doléance, la partenaire RH dont le département fait l’objet de l’entretien de départ, et l’administrateur assis à deux bureaux de la personne qui dépose le signalement. Un outil peut être de qualité entreprise, certifié et joliment chiffré et échouer malgré tout en RH parce qu’il n’a pas de réponse à cela.

Cette page évalue donc Formstack et cinq alternatives sur cinq critères seulement : qui peut lire les envois côté fournisseur, avec quelle finesse l’accès peut être séparé dans votre propre organisation, quels contrôles de conservation existent pour les doléances et les entretiens de départ, si l’hébergement est européen ou suisse, et s’il existe une trace de qui a consulté quoi. La largeur fonctionnelle, les modèles et les intégrations ne figurent délibérément pas sur la liste.

Les cinq critères qui décident d’un déploiement RH

1. Qui peut lire les envois côté fournisseur. Pour un canal de signalement anonyme, c’est la différence entre une promesse et une propriété. Le chiffrement au repos avec clés détenues par le fournisseur signifie qu’il peut déchiffrer ; le chiffrement de bout en bout signifie qu’il ne peut pas.
2. La séparation des rôles dans votre organisation. Peut-on empêcher la personne qui administre le compte de lire les réponses d’un formulaire précis ? Un enquêteur peut-il obtenir un accès en lecture sans droits d’édition ? La plupart des outils répondent « non » et « non ».
3. Les contrôles de conservation. Dossiers de doléances, entretiens de départ et pièces d’enquête ont des durées de vie. La question est de savoir si l’outil aide à les faire respecter ou si l’effacement dépend de la mémoire de quelqu’un.
4. Hébergement et juridiction. Pour un employeur suisse avec du personnel dans l’UE, ou un employeur européen soumis à la directive lanceurs d’alerte, l’emplacement des données détermine l’autorité et le mécanisme de transfert concernés.
5. La journalisation. Une enquête close, « qui a ouvert ce dossier, et quand » est une question à laquelle vous pourriez devoir répondre devant un tribunal, une représentation du personnel ou une autorité de contrôle.

Un point juridique se trouve sous ces cinq critères, et c’est la raison pour laquelle les employés suisses hésitent avant de déposer quoi que ce soit. Selon l’art. 336a CO, un licenciement abusif reste valable — les rapports de travail prennent fin — et l’indemnité est plafonnée à six mois de salaire, les montants alloués étant en pratique généralement bien inférieurs. Une personne qui pèse l’idée de signaler son supérieur pèse contre ce chiffre. Tout ce qui, dans votre processus, laisse l’identité découvrable est lu à cette aune. La position suisse complète est dans les lanceurs d’alerte en Suisse.

Formstack — et ce qui a changé avec Intellistack

Formstack est depuis longtemps la réponse par défaut pour les formulaires RH d’entreprise, et pour de vraies raisons : flux et circuits d’approbation profonds, génération de documents et signature électronique dans la même famille de produits, logique conditionnelle, et un dispositif de vente et de support que les services achats reconnaissent. Si votre collecte RH est un processus à plusieurs étapes avec approbations et documents générés, il fait ce travail correctement.

Trois points à avoir clairement en tête avant un déploiement RH. D’abord, l’hébergement est aux États-Unis : les documents de sécurité de Formstack identifient AWS aux États-Unis comme hébergeur, et nous n’avons trouvé aucune option publiée de résidence UE ou suisse. Pour un responsable du traitement suisse, c’est une communication à l’étranger au sens de l’art. 16 nLPD exigeant un mécanisme documenté — souvent disponible via le Swiss–U.S. Data Privacy Framework, mais il doit être consigné. Ensuite, les fonctions de conformité les plus fortes sont en haut de la grille tarifaire : la couverture HIPAA et un BAA relèvent d’accords de niveau entreprise, et le produit est modulaire, si bien qu’un flux couvrant formulaires, documents et signature accumule plusieurs abonnements. Enfin, le chiffrement est au repos avec clés détenues par le fournisseur — bonne pratique, et pas un obstacle pour le fournisseur lui-même.

Les recherches « formstack china » qui gravitent autour de ce produit ne parlent pas vraiment de la Chine, selon notre lecture. Elles sont la question que tout acheteur RH finit par poser sous une forme ou une autre : où vont ces données, et qui — support et ingénierie compris — peut les atteindre ? Cette question se règle avec une liste de sous-traitants et une politique d’accès du support, pas avec une devinette géographique. Demandez les deux par écrit ; un fournisseur qui les produit vite vous dit quelque chose d’utile. Notre vue détaillée est dans la comparaison avec Formstack.

Les cinq alternatives

Jotform — l’étendue, avec HIPAA derrière un palier

Jotform est le remplaçant le plus proche fonctionnellement et nettement moins cher : des milliers de modèles, des approbations, la génération de PDF, des intégrations. Pour les RH, ce sont les paliers qui comptent — les fonctions HIPAA démarrent au niveau Gold à 129 USD par mois, et la résidence des données configurable est réservée à Enterprise, les réponses résidant sinon sur Google Cloud dans l’Iowa et à Francfort. Jotform propose aussi des agents IA face aux répondants ; les déployer sur un canal RH ajoute un fournisseur de modèle au parcours, ce que nous détaillons dans créateurs de formulaires IA : le comparatif.

Microsoft Forms — gratuit, déjà déployé, et généralement le mauvais choix ici

Il est dans le tenant, il ne coûte rien de plus, et pour une prise de température interne il convient. Pour une collecte RH confidentielle, il échoue le plus souvent dès le deuxième critère : les administrateurs du tenant atteignent les données de réponse, et dans la plupart des organisations ils siègent dans la même entreprise que le cadre signalé. Ajoutez qu’un tenant suisse (AELE) atterrit dans la macro-région européenne et que Forms ne porte aucun engagement spécifique de résidence — une validation Advanced Data Residency pour Exchange, SharePoint et Teams ne s’y étend donc pas. Détails dans Microsoft Forms est-il conforme au droit suisse.

Tally — hébergé dans l’UE et économique, sans contrôles RH spécifiques

Tally BV est belge, les données de formulaire sont chiffrées en transit et au repos et stockées en Europe, un contrat de sous-traitance est accepté à la création du compte, et l’offre gratuite est inhabituellement généreuse. Pour de l’administration RH ordinaire — inscription à une formation, demande de matériel, adhésion aux avantages sociaux — c’est une réponse sensée et peu coûteuse qui garde les données dans l’UE. Ce n’est pas conçu pour de la collecte confidentielle : lisez la liste de sous-traitants, qui dépasse seize entrées, et notez que le fournisseur peut lire les envois comme toute plateforme classique.

Auto-hébergé (Nextcloud Forms, LimeSurvey) — souveraineté sans confidentialité

Exploiter l’outil vous-même supprime totalement le fournisseur, ce qui a une vraie valeur — et, pour les RH, déplace le problème plutôt qu’il ne le résout. Les réponses sont en clair dans une base administrée par votre propre informatique, et les chiffrements côté serveur et de bout en bout de Nextcloud ne couvrent pas du tout les réponses de Forms, puisqu’il s’agit de données applicatives et non de fichiers. Pour une ligne de doléances, « seule notre informatique peut le lire » est souvent l’objection et non le réconfort. Le détail est dans Schweizerform vs Nextcloud Forms et Schweizerform vs LimeSurvey.

Schweizerform — conçu pour le cas où le lecteur est le risque

Les réponses sont chiffrées dans le navigateur du collaborateur ; le serveur stocke du chiffré et le déchiffrement a lieu dans le navigateur de qui détient la clé du coffre. C’est la propriété dont un canal anonyme a réellement besoin : non pas une politique promettant que les RH ne regarderont pas, mais une architecture où nous ne le pouvons pas et où seuls les détenteurs désignés de la clé le peuvent. L’accès dans votre organisation est séparé par rôles d’espace de travail — propriétaire, administrateur, membre et lecteur, ce dernier en lecture seule —, si bien qu’un enquêteur peut recevoir l’accès à un seul espace sans droits sur le reste. Les envois chiffrés sont stockés en Suisse, la page du formulaire ne porte ni traceur ni cookie, et une définition publie en FR, DE, IT et EN, ce qui compte pour tout employeur réparti sur les régions linguistiques.

Face à face sur les critères RH

La première colonne sépare un canal RH d’un formulaire RH. Tout le reste de ce tableau s’achète ou se configure ; la première colonne est une propriété de l’architecture et ne s’achète pas.

La conservation — le critère que tout le monde sous-spécifie

Dossiers de doléances, pièces d’enquête et entretiens de départ ont des durées de vie, et cette durée est rarement « pour toujours ». Le droit du travail, les accords avec la représentation du personnel et votre propre politique fixent la période ; l’échec pratique est que rien ne l’impose, si bien qu’un dossier d’entretiens de départ de 2019 reste lisible en 2026 par qui a hérité du compte. Posez deux questions à tout fournisseur : peut-on fixer une durée de conservation par formulaire, et l’effacement retire-t-il les données des sauvegardes et des exports autant que de l’interface ?

Notre propre position, formulée comme nous demandons aux fournisseurs de formuler la leur : nous ne proposons pas actuellement de règle de conservation automatique par formulaire. La suppression est une action que vous menez — à l’unité ou en lot — et quand vous la menez, c’est une suppression dure des enregistrements et des objets stockés, pas un drapeau caché. Ce que nous ne ferons pas, c’est laisser croire à une automatisation qui n’existe pas. Fixez la durée dans votre politique, mettez-la à l’agenda et utilisez la suppression en lot ; le cadre pour choisir des durées défendables est dans la conservation des données de formulaire, et ce que « supprimé » signifie réellement selon les plateformes dans exporter, migrer et supprimer vos données.

Anonymat : ce que les formulaires RH exigent vraiment

Deux choses différentes s’appellent anonymes, et les confondre est la façon dont les promesses RH se brisent. Anonyme signifie que rien de collecté ne peut identifier la personne, métadonnées et texte libre compris. Pseudonyme signifie que l’identité existe mais est séparée — un numéro de cas, un canal de réponse, la possibilité de relancer. Les canaux d’alerte ont généralement besoin du second, car un signalement qu’on ne peut pas clarifier est souvent impossible à instruire ; les enquêtes de personnel du premier. Choisissez mal et vous ne pourrez ni agir sur les signalements ni tenir votre promesse. La distinction est dans formulaires anonymes ou pseudonymes.

Quel que soit votre choix, trois choses brisent l’anonymat en pratique, par fréquence décroissante : les ventilations démographiques dans les rapports, où de petites équipes croisées par ancienneté et fonction produisent des cellules d’une personne ; le texte libre, où les gens décrivent des incidents que seuls eux ont vécus ; et les métadonnées, où un horodatage et une adresse IP suffisent à savoir qui a déposé à 23 h 14 depuis le réseau du bureau. L’arithmétique est dans combien de réponses avant que l’anonymat tienne, et la question des métadonnées — y compris ce que nous stockons par envoi et ce que nous ne stockons délibérément pas — dans les adresses IP et les métadonnées de formulaire.

Prix — et pourquoi la tarification modulaire fait mal en RH

Formstack se positionne nettement au-dessus du marché général des créateurs de formulaires et se vend de façon modulaire : un flux RH couvrant formulaires, documents générés et signature peut finir avec plusieurs abonnements ; la couverture HIPAA et les contrôles entreprise les plus forts sont en haut de gamme et se devisent plutôt qu’ils ne s’affichent. Vérifiez la structure actuelle directement, en particulier compte tenu de la transition vers Intellistack. Les fonctions HIPAA de Jotform démarrent à Gold à 129 USD par mois, la résidence des données restant réservée à Enterprise. Tally coûte 24 USD en Pro et 74 USD en Business. Microsoft Forms est inclus dans un abonnement que vous détenez déjà. L’auto-hébergement coûte l’infrastructure plus le temps humain nécessaire à l’exploiter en sécurité.

Schweizerform propose Gratuit, Pro à 19 CHF par mois et Business à 49 CHF par mois, avec chiffrement de bout en bout, stockage en Suisse des envois chiffrés et le modèle de rôles d’espace sans négociation entreprise. Nous ne sommes pas le produit de workflow le plus capable — nous sommes celui où la propriété de confidentialité n’est pas un palier. Les limites actuelles sont sur la page des tarifs.

Quelle alternative pour quelle tâche RH

Restez sur Formstack quand

• la valeur est le flux : approbations à plusieurs étapes, documents générés, signature électronique et intégration à un SIRH
• les formulaires sont administratifs plutôt que confidentiels — dossiers d’intégration, matériel, avantages sociaux, formations
• l’hébergement américain est documenté et accepté dans votre analyse de transfert, et le contrat au nouveau nom d’entité est en place

Passez à Jotform ou Tally quand

• le coût est le moteur et les données relèvent de l’administration RH ordinaire
• vous voulez un hébergement européen sans négociation entreprise — Tally en particulier
• vous avez lu la liste de sous-traitants et acceptez que le fournisseur puisse lire les envois

Passez à Schweizerform quand

• le canal est une ligne de doléances, une collecte de signalements, un rapport de harcèlement, un entretien de départ ou une déclaration de santé
• la personne contre laquelle le formulaire protège les collaborateurs pourrait plausiblement disposer d’un accès administrateur à l’outil
• vous voulez que les collaborateurs croient à la promesse d’anonymat — et « chiffré dans votre navigateur ; personne ici ne peut le lire » est la phrase qui les convainc
• il vous faut le même canal en FR, DE, IT et EN sur les régions linguistiques
• des envois chiffrés en Suisse comptent pour votre représentation du personnel, votre délégué à la protection des données ou votre service juridique

La réponse réaliste : scinder le parc

Personne ne devrait migrer tout un parc de formulaires RH pour satisfaire trois formulaires, et personne ne devrait faire tourner un canal d’alerte sur le même outil que la demande de place de parc parce que la consolidation avait l’air propre. Gardez le produit de workflow pour le workflow — intégration, approbations, documents, signature — et placez la collecte confidentielle sur une plateforme où la confidentialité est structurelle. Dans la plupart des organisations, cela représente trois à six formulaires sur soixante, et c’est la réduction de risque la moins chère que la technologie RH puisse offrir. La vue sectorielle est dans le cas d’usage RH et lanceurs d’alerte, et les obligations européennes — accusé de réception à 7 jours, retour à 3 mois, collecte multilingue — dans la directive européenne sur les lanceurs d’alerte.