outilspme

Loi 25 : où sont hébergées les données de vos outils SaaS

Niveau de preuve : C — faits vérifiés à la source, outils non testés par nous. Dernière vérification : 20 septembre 2026.

Outils comparés Slack HubSpot Zapier Calendly Mailchimp Make Notion Airtable monday.com Dropbox Shopify Stripe Microsoft Teams

En bref. Sur quinze outils SaaS courants, trois seulement déclarent une région d’hébergement canadienne : Slack (Montréal, à partir de Business+), HubSpot (Canada, comptes payants) et Microsoft 365 (Canada, avec le module payant Advanced Data Residency). Les douze autres — dont Zapier, Calendly et Mailchimp, qui n’offrent aucun choix — hébergent hors du Canada. La loi 25 n’interdit pas de sortir les données du Québec : elle exige une évaluation des facteurs relatifs à la vie privée avant de le faire.

Le critère mesurable de cette page est unique et vérifiable : le pays où les données sont hébergées, tel que déclaré officiellement par chaque éditeur sur ses propres pages de sécurité, de conformité ou de résidence des données. On ne classe pas les outils par qualité. On ne dit pas lesquels choisir. On a ouvert, une par une, les pages officielles de quinze outils utilisés couramment par les PME québécoises, et on a noté trois choses : les régions d’hébergement offertes, la possibilité ou non de choisir le Canada, et le plan exigé pour exercer ce choix. Sur les quinze, trois seulement déclarent une région canadienne. C’est un fait, pas un jugement. On rappelle ensuite ce que la loi 25 demande réellement quand les renseignements personnels sortent du Québec — et ce qu’elle ne demande pas.

Le tableau

OutilRégion par défautRégions offertesRégion canadienne ?Plan exigé pour choisirSource
ZapierÉtats-UnisÉtats-Unis seulementNonAucun choix offerthttps://zapier.com/legal/data-privacy
MakeChoisie à la création de l’organisationÉtats-Unis, Union européenneNonTous (choix au moment de créer l’organisation)https://help.make.com/organizations
NotionUS-West-2 (Oregon)Oregon, Francfort, Tokyo, SéoulNonEnterprisehttps://www.notion.com/help/data-residency
SlackÉtats-UnisFrancfort, Paris, Stockholm, Zurich, Tokyo, Mumbai, Singapour, Séoul, Sydney, Londres, Montréal, São PauloOui — MontréalBusiness+ et Enterprisehttps://slack.com/help/articles/360035633934-Data-residency-for-Slack
HubSpotAttribuée selon la géolocalisation IP à l’inscriptionUnion européenne, Canada, Australie, États-Unis (Ouest), États-Unis (Est)Oui — CanadaComptes payants (migration sans frais); comptes gratuits assignés aux États-Unishttps://www.hubspot.com/data-centers
AirtableÉtats-UnisÉtats-Unis, Europe, AustralieNonEnterprise Scalehttps://support.airtable.com/docs/data-residency-at-airtable
Monday.comÉtats-Unis pour l’Amérique du NordÉtats-Unis, Union européenne, APACNonUE : Enterprise, et Standard/Pro créés le 23 janvier 2023 ou aprèshttps://support.monday.com/hc/en-us/articles/4404392703250-Data-residency
Google WorkspaceAucune préférenceAucune préférence, États-Unis, EuropeNonBusiness Standard/Plus, Enterprise Standard/Plus, Frontline, Education Standard/Plus, Enterprise Essentials Plushttps://support.google.com/a/answer/7630496
Microsoft 365Selon le pays du locataire28 géographies locales, dont le CanadaOui — CanadaAdvanced Data Residency (module payant)https://learn.microsoft.com/en-us/microsoft-365/enterprise/o365-data-locations
DropboxÉtats-UnisÉtats-Unis, Australie, Union européenne, Japon, Royaume-UniNonStandard, Advanced, Business, Business Plus, Enterprise; min. 10 licences, facturation annuellehttps://help.dropbox.com/security/physical-location-data-storage
AsanaVirginie, États-UnisVirginie, Francfort, Tokyo, SydneyNonModule additionnel Enterprise; inclus dans Enterprise+https://help.asana.com/s/article/data-residency-for-asana
CalendlyÉtats-UnisÉtats-Unis seulementNonAucun choix publiéhttps://calendly.com/help/data-storage-and-international-data-transfers
MailchimpÉtats-UnisÉtats-Unis seulementNonAucun choix publiéhttps://mailchimp.com/help/mailchimp-european-data-transfers/
ShopifyPlusieurs régions Google Cloud PlatformEurope par défaut pour les nouveaux marchands de l’EEE, du R.-U. et de la Suisse; autres régions à vérifierÀ vérifierÀ vérifierhttps://help.shopify.com/en/manual/privacy-and-security/privacy/international-data-transfers/onward-transfers
StripeÉtats-Unis pour les résidents canadiensÉtats-Unis, IndeNonAucun choix publiéhttps://stripe.com/privacy

Sources : les URL de la colonne de droite, toutes consultées le 20 septembre 2026.

Trois outils sur quinze déclarent une région canadienne : Slack (Montréal), HubSpot (Canada) et Microsoft 365 (Canada). Les douze autres, non.

Ce que la loi 25 exige réellement

La loi 25 n’interdit pas d’héberger des renseignements personnels à l’extérieur du Québec. Il faut le dire clairement, parce que beaucoup de textes commerciaux laissent croire le contraire.

Ce que la loi exige, pour une entreprise privée, se trouve à l’article 17 de la Loi sur la protection des renseignements personnels dans le secteur privé (chapitre P-39.1). Avant de communiquer un renseignement personnel à l’extérieur du Québec, l’entreprise doit procéder à une évaluation des facteurs relatifs à la vie privée (EFVP). Cette évaluation doit tenir compte de quatre éléments :

  • la sensibilité du renseignement;
  • la finalité de son utilisation;
  • les mesures de protection, y compris celles qui sont contractuelles, dont il bénéficierait;
  • le régime juridique applicable dans l’État où il serait communiqué, notamment les principes de protection des renseignements personnels qui y sont appliqués.

La communication peut avoir lieu s’il ressort de l’évaluation que le renseignement bénéficierait d’une protection adéquate, au regard notamment des principes de protection généralement reconnus. Elle doit faire l’objet d’une entente écrite qui tient compte des résultats de l’évaluation et, le cas échéant, des mesures convenues pour atténuer les risques.

Le même article précise que ces obligations s’appliquent aussi quand l’entreprise confie à une personne ou à un organisme hors Québec la tâche de recueillir, utiliser, communiquer ou conserver des renseignements personnels pour son compte. C’est précisément la situation d’une PME qui met ses contacts clients dans un CRM américain.

Source : Loi sur la protection des renseignements personnels dans le secteur privé, RLRQ c. P-39.1, art. 17, https://www.legisquebec.gouv.qc.ca/fr/document/lc/p-39.1, consultée le 20 septembre 2026.

La Commission d’accès à l’information décrit la même mécanique sur sa page destinée aux entreprises privées, où elle écrit que « la communication pourra avoir lieu s’il est démontré que les renseignements bénéficieront d’une protection adéquate » et que « la communication à l’extérieur du Québec doit toujours faire l’objet d’une entente écrite ».

Source : Commission d’accès à l’information du Québec, « Utilisation et communication de renseignements personnels », https://www.cai.gouv.qc.ca/protection-renseignements-personnels/information-entreprises-privees/utilisation-communication-renseignements-personnels, consultée le 20 septembre 2026.

Conséquence pratique : le pays d’hébergement n’est pas une case à cocher, c’est un intrant de l’évaluation. Un outil hébergé aux États-Unis n’est pas hors-la-loi. Un outil hébergé à Montréal ne dispense pas d’une entente écrite avec son fournisseur. Ce que la colonne « région canadienne » du tableau change concrètement, c’est le volet « régime juridique applicable dans l’État où il serait communiqué » : si les données restent au Canada, il n’y a pas de communication hors Québec à évaluer sous l’article 17 pour ce transfert précis — mais il reste à vérifier où se trouvent les sous-traitants de l’éditeur, ce que peu de pages officielles détaillent région par région.

Outil par outil : ce que disent les pages officielles

Zapier. La page Data Privacy indique que les données sont hébergées sur des serveurs AWS situés aux États-Unis, et que Zapier ne prend pas en charge une option de stockage exclusivement européen. La région AWS exacte n’est pas publiée. Aucune région canadienne. Site officiel

Make. La documentation des organisations indique deux emplacements de centre de données : États-Unis (US) et Union européenne (EU). Le choix se fait au moment de créer l’organisation et détermine où les données sont stockées et traitées. La page sécurité précise que l’infrastructure réside dans des instances privées AWS EC2 (Amazon VPC), déployées sur deux zones. Les villes exactes ne sont pas publiées. Aucune région canadienne. Site officiel

Notion. Quatre régions de résidence des données : US-West-2 (Oregon), EU-Central-1 (Francfort), AP-Northeast-1 (Tokyo) et AP-Northeast-2 (Séoul). La fonction est réservée au plan Enterprise; la migration d’un espace de travail existant passe par l’équipe de compte. Aucune région canadienne.

Slack. La page de résidence des données liste douze emplacements, dont Montréal, Canada. La fonction exige un forfait Business+ ou Enterprise; les forfaits gratuit et Pro doivent être mis à niveau. C’est le seul des quinze outils à nommer une ville canadienne.

HubSpot. La page des centres de données liste l’Union européenne, le Canada, l’Australie, les États-Unis (Ouest) et les États-Unis (Est). Les nouveaux clients payants se voient attribuer un emplacement selon la géolocalisation de leur adresse IP à l’inscription; les clients payants existants peuvent migrer leurs données vers un autre centre depuis les paramètres du compte, sans frais. Les comptes qui n’utilisent que les services gratuits sont assignés aux États-Unis. HubSpot s’appuie sur AWS. La ville canadienne exacte n’est pas publiée. Site officiel

Airtable. Trois régions : États-Unis (par défaut), Europe, Australie. Disponibilité annoncée pour le plan Enterprise Scale. Aucune région canadienne.

Monday.com. Trois régions de données : États-Unis, Union européenne, APAC, toutes sur AWS. La page précise que les clients situés en Amérique du Nord ou du Sud voient leurs données stockées dans la région États-Unis. La région UE est offerte aux plans Enterprise, et aux plans Standard et Pro créés le 23 janvier 2023 ou après. Aucune région canadienne.

Google Workspace. Les options de région de données pour les données au repos sont « Aucune préférence », « États-Unis » et « Europe ». La fonction est réservée à une liste précise d’éditions (Business Standard et Plus, Enterprise Standard et Plus, Frontline Starter/Standard/Plus, Education Standard et Plus, Enterprise Essentials Plus); les utilisateurs d’une édition non prise en charge ne sont pas couverts par une politique de région, même si elle est appliquée à leur unité organisationnelle. Aucune région canadienne.

Microsoft 365. La documentation des emplacements de données nomme le Canada parmi les géographies régionales locales admissibles à Advanced Data Residency (ADR), aux côtés de 27 autres pays. Les services admissibles à l’ADR incluent Exchange Online, Microsoft Teams, SharePoint et OneDrive, Microsoft 365 Copilot, les applications web Microsoft 365 et certains services Microsoft Purview. L’ADR est un module additionnel : les engagements de résidence par service pour un locataire canadien sans ADR sont à vérifier service par service dans les pages dédiées de Microsoft.

Dropbox. Les serveurs de stockage se trouvent dans des centres de données aux États-Unis; des serveurs sont aussi offerts en Australie, dans l’Union européenne, au Japon et au Royaume-Uni pour les clients admissibles. Le déplacement d’une équipe vers une autre région exige un plan Standard, Advanced, Business, Business Plus ou Enterprise, au moins dix licences, une facturation annuelle, une adresse de facturation dans une région différente de l’emplacement actuel des données, et une demande examinée au cas par cas. Aucune région canadienne.

Asana. Quatre régions : Virginie (États-Unis, par défaut), Francfort, Tokyo et Sydney. La résidence des données s’achète en module additionnel pour les organisations Enterprise et est incluse dans les niveaux Enterprise+. Toutes les données d’un client doivent résider dans une seule région. Aucune région canadienne.

Calendly. La page sur le stockage des données indique que les données des utilisateurs et des invités sont conservées dans des centres de données situés aux États-Unis, gérés par Google Cloud Services et Amazon Web Services. Aucune option régionale n’est publiée.

Mailchimp. La page sur les transferts de données européennes indique que le siège social et les serveurs sont situés aux États-Unis, et que les données traitées peuvent y être transférées, stockées ou traitées. Aucune option régionale n’est publiée.

Shopify. La page sur les transferts subséquents indique l’utilisation de plusieurs régions Google Cloud Platform, et que les nouveaux marchands en Europe ont par défaut leurs données de boutique, de commandes et leurs renseignements personnels de clients stockés au repos en Europe. Aucune liste complète de régions offertes n’est publiée sur cette page, et aucune option canadienne n’y est nommée : à vérifier. Site officiel

Stripe. La politique de confidentialité indique que, lorsque Stripe recueille des renseignements personnels de résidents canadiens, y compris québécois, ces données sont transférées vers des centres de données situés aux États-Unis. Elle mentionne aussi des transferts vers les États-Unis et l’Inde. Aucune option de résidence des données n’est publiée. Site officiel

Ce qui reste à vérifier

  • Make : les villes ou régions AWS exactes des zones « US » et « EU ».
  • Zapier : la région AWS exacte aux États-Unis.
  • HubSpot : la ville ou la province du centre de données canadien; les plans payants précis qui donnent accès à la migration.
  • Microsoft 365 : les engagements de résidence par service pour un locataire canadien sans le module Advanced Data Residency.
  • Shopify : la liste complète des régions Google Cloud Platform utilisées, et l’existence ou non d’une résidence canadienne pour les marchands canadiens.
  • Notion, Airtable, Asana, Monday.com, Dropbox, Slack, Google Workspace : la localisation des sous-traitants de chaque éditeur, région par région, qui n’est pas détaillée sur les pages de résidence consultées.
  • Tous les outils : le prix exact des modules de résidence des données, quand ils sont vendus séparément. Aucun des éditeurs consultés ne publie ce chiffre sur la page de résidence.

Méthode

Les quinze fiches ont été lues le 20 septembre 2026 sur les pages officielles des éditeurs — pages de résidence des données, de sécurité, de confidentialité ou de centres de données — dont les URL figurent dans la colonne « source » du tableau et dans chaque section. Aucun chiffre ni aucune région n’est cité de mémoire. Quand une information n’est pas publiée sur la page officielle, elle est inscrite « à vérifier » plutôt qu’estimée.

Le volet juridique s’appuie sur l’article 17 de la Loi sur la protection des renseignements personnels dans le secteur privé (chapitre P-39.1) sur legisquebec.gouv.qc.ca, et sur la page de la Commission d’accès à l’information destinée aux entreprises privées, consultées le même jour.

Ce que cette page ne fait pas : elle ne teste aucun outil, ne compare aucune interface, n’émet aucune recommandation et ne constitue pas un avis juridique. Le classement porte sur un seul critère mesurable — le pays d’hébergement déclaré — et sur rien d’autre. Une évaluation des facteurs relatifs à la vie privée est un exercice propre à chaque entreprise, à chaque type de renseignement et à chaque contrat; ce tableau n’en remplace aucune étape.

Ce site peut toucher une commission si vous vous abonnez à un outil par un de nos liens. Ça ne change ni les prix affichés, ni le contenu de cette page, qui ne contient aucune recommandation.

À lire aussi

À lire ensuite