Quels représentants UE une société SaaS ou app US doit-elle nommer ?

• Le GDPR Article 27, NIS2, Data Act et AI Act peuvent tous exiger des représentants UE pour les sociétés SaaS/app américaines.
• REP27 fournit tous ces rôles dans un seul contrat, avec des certificats vérifiables.
• Les concurrents couvrent souvent uniquement le GDPR ou des cadres individuels ; la couverture combinée est rare.
• Les prix annuels varient : REP27 à partir de 290 €/an (GDPR), 1 190 €/an (NIS2), AI Act à partir de 290 €/an.
• Les frais cachés, délais de préavis et étendue des services diffèrent selon les fournisseurs – voir comparaison détaillée.
• Toutes les sociétés ne nécessitent pas tous les représentants ; les obligations dépendent de l’activité et de la clientèle.

Mis à jour 1 novembre 2026 · 8 sources vérifiées

Prestataires comparés

Prix publiés sur le site de chaque prestataire le 1 novembre 2026, hors TVA sauf mention. Chaque ligne renvoie à sa source.

Ce que la loi exige : Articles et portée

Les sociétés SaaS ou app américaines ciblant des utilisateurs de l'UE font face à un cadre réglementaire complexe. Plusieurs lois européennes exigent que les entreprises hors UE nomment un représentant local ou un contact autorisé. Chaque loi cible des activités différentes et a ses propres règles de nomination :

• Article 27 GDPR : Toute entreprise hors UE offrant des biens ou services à des personnes dans l'UE, ou surveillant leur comportement, doit nommer un représentant UE. Cela s'applique à la plupart des sociétés SaaS et app avec utilisateurs UE, que le service soit gratuit ou payant. Le représentant est le contact principal pour les autorités de protection des données et les personnes (Art. 27 GDPR).
• Directive NIS2 : Les fournisseurs hors UE de services essentiels et importants — comme le cloud, les places de marché en ligne, DNS, CDN — doivent nommer un représentant dans un État membre où ils offrent des services. Cela concerne les fournisseurs SaaS et plateformes avec clients UE, surtout si leurs services sont des infrastructures critiques (NIS2 Art. 26).
• AI Act : Les fournisseurs hors UE mettant sur le marché des systèmes IA à haut risque doivent nommer un représentant autorisé établi dans l'UE avant de rendre le système disponible. Pertinent pour les sociétés SaaS/app offrant des solutions IA aux utilisateurs UE (AI Act Art. 54).
• Data Act : Les fabricants hors UE de produits connectés et services associés qui traitent des données utilisateur doivent nommer un représentant légal dans l'UE. Cela concerne les sociétés SaaS/app dont les services interagissent avec des objets connectés ou traitent des données de produits connectés (REP27 Data Act).

Chaque cadre a ses propres déclencheurs et portée. Par exemple, le GDPR s'applique si vous collectez des données personnelles d'utilisateurs UE, même via cookies ou analytics. NIS2 et Data Act sont plus spécifiques au type de service et gestion des données. L'AI Act cible les systèmes IA à haut risque, définis par le règlement. Toutes les sociétés SaaS/app ne nécessitent pas tous les représentants, mais beaucoup en auront besoin d'au moins un.

Le non-respect de la nomination correcte peut entraîner de lourdes sanctions, amendes et interdictions sur le marché UE. Comprendre quelles lois s'appliquent est la première étape vers la conformité.

Comment choisir un fournisseur de représentant UE

Choisir le bon fournisseur de représentant UE est crucial pour la conformité, l'efficacité opérationnelle et la gestion des risques. Voici comment aborder la décision :

• Couverture des cadres requis : Tous les fournisseurs ne couvrent pas toutes les lois pertinentes. Par exemple, REP27 propose la représentation pour GDPR, NIS2, Data Act, AI Act, et plus sous un seul contrat, tandis que la plupart des concurrents se concentrent sur le GDPR seul ou offrent d'autres cadres en options. Si vous avez besoin de plusieurs cadres, un fournisseur comme REP27 réduit la complexité.
• Simplicité du contrat : Gérer plusieurs contrats pour différents cadres augmente la charge administrative et le risque d'oublis. L'approche contrat unique de REP27 simplifie la conformité pour les sociétés nécessitant plusieurs représentants. Des concurrents comme Lionheart Squared offrent aussi un support multi-cadres, mais les détails et tarifs sont souvent sur demande.
• Preuve de nomination : Les autorités et places de marché peuvent exiger une preuve claire et vérifiable. REP27 délivre un certificat avec QR code et code de vérification pour chaque nomination, vérifiable en ligne. EU Shield et rep4eu fournissent des désignations signées, mais la vérification publique n'est pas toujours disponible.
• Transparence des prix : REP27, EU Shield et rep4eu publient leurs tarifs pour la représentation GDPR. Lionheart Squared et DataShield demandent un contact direct pour les prix, ce qui complique la budgétisation.
• Support et délai de réponse : Une nomination rapide est essentielle en cas d'audit ou demande urgente de conformité. REP27 examine les dossiers et signe les désignations sous 24 heures ouvrées. Les autres fournisseurs ne précisent pas toujours leurs délais.

Conseil pratique : Faites la liste de toutes les lois UE pouvant s'appliquer à votre SaaS/app, puis vérifiez quel fournisseur les couvre toutes. Si vous avez besoin de plus que le GDPR, une solution fournisseur unique est généralement plus efficace et facile à gérer.

Ce que le prix inclut vraiment (et coûts cachés)

Comprendre ce que vous obtenez pour votre argent — et ce que vous pourriez payer en plus — est essentiel. Voici un résumé basé sur les informations publiées en octobre 2026 :

• REP27 : À partir de 290 €/an pour la représentation GDPR ou AI Act, 1 190 €/an pour NIS2. Tarifs Data Act sur demande. Le prix inclut une désignation signée, un certificat vérifiable, une vérification publique, et toute la correspondance conformité. Les conseils juridiques et litiges ne sont pas inclus.
• EU Shield : 490 €/an pour GDPR et GPSR. Inclut désignation, rédaction politique confidentialité, tenue registre Article 30, correspondance autorités. Ne couvre pas NIS2, AI Act ou Data Act. Services supplémentaires peuvent entraîner des frais.
• rep4eu : 348 €/an pour GDPR. Options DSA, NIS2, Data Act et e-Evidence sur demande, prix non publiés. Inclut réservation en ligne et désignation signée GDPR.
• Lionheart Squared : Prix sur demande. Couvre GDPR, AI Act, DSA, NIS2 avec support personnalisé. Détails sur services inclus et frais supplémentaires non publics.
• DataShield : Prix sur demande. Couvre uniquement la représentation AI Act, incluant documentation, contact autorités, support inscription. Autres cadres non inclus.

Coûts cachés possibles :

• Frais pour cadres ou services additionnels non inclus dans le prix de base.
• Charges pour revue de documents, correspondance avec autorités ou demandes urgentes.
• Délais de préavis pour annulation ou durée minimale de contrat.
• Limites ou exclusions de responsabilité pouvant affecter votre exposition au risque.

Demandez toujours une liste complète des prix et examinez le contrat pour exclusions et conditions avant de vous engager. Si vous avez besoin de plusieurs cadres, clarifiez si vous recevrez une seule facture et un seul certificat ou plusieurs, car cela impacte coûts et gestion de conformité.

Comment se déroule la nomination : étape par étape

Le processus de nomination d'un représentant UE est simple mais demande rigueur. Voici un guide pratique étape par étape basé sur le processus REP27 et les normes du secteur :

1. Identifier les obligations légales : Déterminez quelles lois UE s'appliquent à votre activité (GDPR, NIS2, AI Act, Data Act). Cela dépend de votre base d'utilisateurs, type de service et gestion des données.
2. Choisir un fournisseur : Sélectionnez un fournisseur couvrant tous les cadres requis. Si vous avez besoin de plusieurs cadres, un fournisseur unique comme REP27 simplifie la conformité.
3. Préparer la documentation : Rassemblez les informations sur votre société, nom légal, adresse, immatriculation, description des services et activités UE.
4. Soumettre votre dossier : Complétez le formulaire ou dossier du fournisseur. REP27 exige une revue humaine, généralement sous 24 heures ouvrées.
5. Revue et signature : Le fournisseur vérifie la complétude et exactitude. En cas de manques, vous serez contacté. Une fois validé, la désignation est signée.
6. Recevoir le certificat : Vous obtenez une lettre signée, un certificat avec QR code et code de vérification, et la formulation exacte à utiliser dans vos mentions légales. Le certificat REP27 est vérifiable en ligne.
7. Mettre à jour les mentions légales : Ajoutez les coordonnées du représentant dans votre politique de confidentialité, site web ou documentation produit selon la loi.
8. Vérification : Autorités, places de marché ou clients peuvent vérifier la nomination en ligne via le certificat ou code fourni.

Checklist à suivre dès aujourd’hui :

1. Évaluer quelles lois UE s'appliquent à votre SaaS/app.
2. Rassembler informations société et services.
3. Comparer fournisseurs et demander devis.
4. Soumettre dossier et finaliser onboarding.
5. Mettre à jour toute documentation avec les coordonnées du représentant.

La nomination en temps utile est cruciale — les retards peuvent entraîner des sanctions ou pertes d’opportunités, notamment si places de marché ou partenaires exigent une preuve de conformité.

Risques et amendes en cas de non-conformité

Le non-respect des obligations de représentant UE peut avoir de lourdes conséquences pour les sociétés SaaS et app :

• GDPR : Amendes pouvant atteindre 20 millions d'euros ou 4 % du chiffre d'affaires mondial, selon le plus élevé (Art. 83 GDPR). L'absence de représentant est une violation directe pouvant déclencher enquêtes, actions coercitives et atteinte à la réputation.
• NIS2 : La directive NIS2 impose amendes administratives et pénalités périodiques, montants fixés par chaque État membre. Le non-respect peut aussi entraîner des ordres de cessation d’activité ou restrictions de services dans l’UE (NIS2).
• AI Act : Amendes de 40 à 50 millions d'euros ou 2 % à 4 % du chiffre d'affaires mondial selon la violation. Pour les systèmes IA à haut risque, l'absence de représentant peut entraîner une interdiction sur le marché UE (AI Act).
• Data Act : Bien que les amendes spécifiques soient fixées par les États membres, l'application peut inclure sanctions administratives et ordres d'arrêt de traitement ou de fourniture de services dans l’UE.

Autres risques :

• Les places de marché (Amazon, Shopify) peuvent suspendre vos annonces si vous ne fournissez pas la preuve d’un représentant UE valide.
• Perte d’opportunités commerciales ou de partenariats pour non-conformité.
• Atteinte à la réputation et perte de confiance client.

Nommer le représentant adéquat n’est pas une formalité juridique — c’est une étape critique de conformité qui protège votre entreprise contre des risques financiers et opérationnels majeurs.

Matrice de décision : Qui a besoin de quoi ?

Utilisez cette matrice pour déterminer quels représentants votre société doit nommer, selon votre modèle d’affaires et activités :

Conseils pratiques :

• Examinez votre base d’utilisateurs et offre produit/service pour déterminer les obligations applicables.
• Si vous traitez des données personnelles d’individus UE, l’Article 27 GDPR s’applique.
• Si vous offrez des services cloud, place de marché ou services numériques critiques à l’UE, vérifiez l’applicabilité NIS2.
• Si vous fournissez des systèmes IA à haut risque, le représentant AI Act est requis.
• Si votre service interagit avec des objets connectés ou traite des données IoT, vérifiez les exigences Data Act.

En cas de doute, consultez les textes officiels ou demandez un contrôle de conformité à votre fournisseur choisi.

Ce que les fournisseurs ne disent généralement pas

Il existe des détails importants et exclusions que beaucoup de fournisseurs ne mettent pas en avant :

• Limites des cadres : Beaucoup ne couvrent que le GDPR, pas NIS2, Data Act ou AI Act. Si vous avez besoin d’une couverture multi-cadres, vous devrez peut-être plusieurs contrats — sauf avec un fournisseur comme REP27.
• Délais de préavis et termes contractuels : Les délais d’annulation et durées minimales sont souvent dans les petites lignes. Cela peut limiter votre capacité à changer de fournisseur ou résilier.
• Limites de responsabilité : Les fournisseurs peuvent limiter leur responsabilité en cas d’échec de conformité ou restreindre leur champ d’action. Vérifiez toujours le contrat.
• Frais à la demande : Certains facturent en plus pour correspondance avec autorités, revue documentaire ou demandes urgentes. Ces frais ne sont pas toujours clairement affichés.
• Preuve de nomination : Tous ne fournissent pas de certificat vérifiable ou page de vérification publique. Cela peut poser problème avec autorités ou places de marché exigeant une preuve.
• Exclusions : Conseil juridique, contentieux et consulting approfondi ne sont généralement pas inclus dans les services standards. Attendez-vous à des coûts supplémentaires ou à engager un conseil séparé.

Avant de signer, demandez le contrat complet, interrogez sur tous les frais possibles et clarifiez l’étendue des services. Pour les sociétés SaaS/app avec besoins complexes, un fournisseur transparent et tout-en-un réduit les risques cachés et la charge administrative.

Scénarios réalistes : Quelles obligations s’appliquent ?

• Scénario 1 : SaaS US avec utilisateurs UE
  Une société SaaS américaine propose un outil de gestion de projet à des entreprises et particuliers UE. Elle collecte des données utilisateurs et fournit de l’hébergement cloud. Cette société a besoin d’un représentant GDPR Article 27 (pour le traitement des données), d’un représentant NIS2 (pour les services cloud), et si elle propose des fonctionnalités IA, d’un représentant AI Act. Si le SaaS s’intègre à des objets IoT ou traite des données de produits connectés, un représentant Data Act est aussi requis. La solution la plus simple est de nommer REP27, qui couvre tous ces rôles sous un contrat unique, avec un certificat unique et une vérification publique.
• Scénario 2 : Vendeur chinois sur Amazon
  Un vendeur basé en Chine liste des produits électroniques sur Amazon.de et collecte des données clients UE. Il a besoin d’un représentant GDPR (pour le traitement des données) et d’une personne responsable GPSR (pour la sécurité produit). REP27 et EU Shield proposent ces services. Si le vendeur cible aussi le Royaume-Uni, REP27 peut fournir un représentant UK dans le même processus.
• Scénario 3 : Boutique en ligne UK vendant à l’UE
  Un détaillant en ligne britannique vend des cosmétiques aux consommateurs UE post-Brexit. Il a besoin d’un représentant GDPR Article 27 (car le RU est hors UE) et d’une personne responsable cosmétiques. REP27 peut couvrir les obligations UE et UK, en émettant deux certificats et une seule facture.

Ces scénarios illustrent l’importance de cartographier vos activités aux obligations UE pertinentes. Utiliser un fournisseur couvrant tous les cadres requis simplifie la conformité et réduit la charge administrative.