Notion, Airtable, Trello : ces SaaS US sont-ils RGPD compatibles pour mon business ?

Notion, Airtable, Trello : trois outils SaaS américains devenus quasi-omniprésents chez les solopreneurs et startups françaises depuis 2020. Ils sont productifs, ils ont des plans gratuits ou peu chers, et l'écosystème d'intégrations est mature. La question conformité commence dès que vous y stockez des données personnelles de prospects, de clients, ou d'employés. À ce moment-là, les trois sont juridiquement utilisables, mais sous des conditions précises, et avec une fragilité structurelle liée à la juridiction américaine et à Schrems II.

Cet article fait la cartographie. Il décortique la chaîne de sous-traitance Art. 28, le statut Data Privacy Framework, les transferts hors UE Art. 44-49, et propose des alternatives EU souveraines à valeur de remplacement équivalente. La logique n'est pas dogmatique — c'est une grille de décision basée sur le niveau d'usage EUDAI auquel vous opérez.

En résumé

• Notion, Airtable, Trello sont juridiquement utilisables avec DPA + CCT + TIA documentés.
• Tous trois sont US, soumis au CLOUD Act + FISA 702. Risque structurel d'accès gouvernemental.
• Data Privacy Framework (DPF) : Notion, Airtable et Atlassian (Trello) y sont listés → couverture transferts UE-US sous décision d'adéquation 2023/1795.
• Schrems III en préparation : risque que le DPF soit invalidé d'ici 2027-2028 (incertain mais réel).
• Alternatives EU : Outline (US/OSS), NocoDB (OSS), NextCloud Hub (DE), Plane (OSS), Bytebot (FR), Cryptpad (FR).
• Niveau 3 EUDAI (outil exposé aux clients via portail) : migration vers self-host EU prioritaire.

La grille Art. 28 + Art. 44-49 appliquée

Pour utiliser légalement Notion, Airtable ou Trello en stockant des données personnelles dessus, vous devez impérativement cocher les cinq cases suivantes.

Pour vérifier le statut DPF d'un fournisseur, allez sur dataprivacyframework.gov/list et cherchez le nom de l'entité légale. Si le fournisseur est listé et certifié « Active », vos transferts UE-US bénéficient de la décision d'adéquation 2023/1795. C'est juridiquement protecteur, mais cela ne neutralise pas les risques structurels du CLOUD Act et de la FISA 702 (cf. § Schrems II et III ci-dessous).

La fragilité structurelle : CLOUD Act, FISA 702, Schrems

Le CLOUD Act (Clarifying Lawful Overseas Use of Data Act, 2018) permet aux autorités fédérales américaines de demander à une entreprise US la communication de données stockées par celle-ci, même quand ces données sont physiquement hébergées en dehors des États-Unis. La FISA 702 (Foreign Intelligence Surveillance Act, section 702) permet la surveillance de communications électroniques de personnes non-US, sans notification.

C'est ce risque structurel qui a motivé l'arrêt Schrems II (CJUE C-311/18, juillet 2020) invalidant le Privacy Shield, et qui motive aujourd'hui la préparation d'un Schrems III par l'association noyb visant le Data Privacy Framework actuel. La date d'audience n'est pas fixée à ce jour, mais les juristes spécialisés estiment qu'un arrêt CJUE pourrait tomber d'ici 2027-2028.

Concrètement pour un solopreneur français en 2026 : tant que le DPF n'est pas invalidé, vous êtes juridiquement protégé en utilisant Notion / Airtable / Trello sous DPA + DPF + TIA. La probabilité d'un contrôle CNIL ciblé sur votre micro-usage est faible. Le risque est davantage commercial et stratégique : un client B2B EU sophistiqué (banque, secteur santé, défense, cabinet juridique sensible) peut vous demander dans son questionnaire fournisseur de prouver que vous n'utilisez aucun SaaS US pour traiter ses données. Et ce questionnaire est de plus en plus fréquent.

Les alternatives EU souveraines, équivalence fonctionnelle

Remplacer Notion (workspace tout-en-un)

Outline (US, OSS, BSL). Bizarrement nommé « US » alors qu'il est open-source et auto-hébergeable, Outline est une alternative wiki / workspace très propre, déployable en Docker sur n'importe quel serveur EU. Interface proche de Notion, recherche solide, intégrations Slack / GitHub / Figma. Code source sur github.com/outline/outline.

NextCloud Hub (DE). L'éditeur allemand NextCloud propose Hub, une suite collaborative (fichiers, talk, deck, calendar, mail, contacts) qui couvre 80 % des cas d'usage Notion. Self-host sur Hetzner, OVH, Scaleway, ou hébergé chez Infomaniak / The Good Cloud. Maturité enterprise éprouvée, certifications BSI allemandes.

Whaller (FR). Plateforme française de collaboration structurée en sphères. Plus orienté communauté / réseau interne d'entreprise que workspace pur, mais sérieux pour la productivité, la documentation et la conversation. Établissement principal France.

Remplacer Airtable (base relationnelle / tableurs avancés)

NocoDB (OSS, AGPL v3). L'alternative open-source la plus aboutie à Airtable. Auto-hébergeable en Docker, interface très proche, API REST, GraphQL, automation, formulaires. Communauté active. Code source github.com/nocodb/nocodb. Equipe internationale (basée en Inde initialement, OSS pur, à auditer juridiction au cas par cas).

Baserow (NL, OSS, MIT). Concurrent direct de NocoDB, basé aux Pays-Bas, juridiction EU pure. Interface moderne, automation, fields formulas. Plans cloud EU à partir de 5 €/mois.

Plane (OSS, AGPL v3). Plus orienté gestion de projets que tableurs, mais excellente alternative pour les workflows produit / engineering. Self-host Docker. plane.so.

Remplacer Trello (kanban / tâches)

Wekan (OSS, MIT). Kanban open-source mûr, auto-hébergeable. Interface qui ressemble à du vieux Trello mais fonctionnel. Communauté active, déploiement Docker en 5 minutes.

Focalboard (OSS, par Mattermost). Alternative open-source de Trello / Notion plus moderne, intégrée à Mattermost si vous utilisez déjà cette suite. Source : github.com/mattermost/focalboard.

Kanboard (OSS, MIT). Kanban PHP minimaliste, ultra-léger, parfait pour solopreneur qui veut quelque chose qui marche sans complexité. Source : kanboard.org.

Remplacer Loom / partage vidéo (souvent associé)

Tella (US, mais EU data region disponible) ou Cryptpad (FR, OSS) pour les notes vidéo / collaboratif chiffré. Pour la visio synchro : Tixeo (FR, certifié SecNumCloud), Olvid (FR, ANSSI qualifié), kMeet Infomaniak (CH), Jitsi self-host.

Tableau de décision rapide

Le piège oublié : les intégrations en chaîne

Quand vous utilisez Notion, Airtable ou Trello, vous activez souvent des intégrations Zapier, Make, n8n, Slack, Stripe, etc. Chacune de ces intégrations ajoute un sous-traitant ultérieur à votre chaîne Art. 28. Et chaque sous-traitant ultérieur doit être documenté dans votre registre Art. 30.

Si votre flux est : « lead arrive dans Airtable via formulaire Tally, Zapier l'envoie vers Notion, puis vers Slack pour notif équipe », vous avez quatre sous-traitants à documenter (Tally, Airtable, Zapier, Slack — Notion n'est plus de la sous-traitance pour cette donnée précise, c'est de la diffusion interne). Et tous les quatre sont US. Et tous les quatre doivent avoir DPA signé + DPF listing vérifié + TIA documenté.

C'est précisément ce flux qu'EuTrustedIA, via POSITRONIA-CORE, scannera en analysant un export JSON Zapier / Make / n8n via son module Auditeur SaaS + Workflows IA (Phase B été 2026). Le module détecte les flux de données, identifie chaque sous-traitant, marque les transferts hors UE, et produit un PDF AIPD pré-rempli.

Conclusion

Notion, Airtable, Trello sont utilisables, sous DPA + DPF + TIA, en Niveau 2 EUDAI. La fragilité Schrems III et la pression commerciale des clients B2B EU sophistiqués motivent une migration progressive vers des alternatives EU self-host (NextCloud Hub, NocoDB, Baserow, Outline, Wekan, Plane). Pour les usages Niveau 3 et les données Art. 9, la migration est prioritaire et non-négociable.

Notre page de recommandations 12 outils liste les alternatives EU validées. Pour un audit cartographié de votre stack SaaS avec chaîne Art. 28 mappée + détection transferts hors UE, voir nos plans POSITRONIA-CORE.

---

Cet article a été rédigé par Claude Opus 4.7 sur la base du Framework EUDAI v1. Relecture humaine Laurent SOUHY. Vos retours : contact@eutrustedia.eu.