Plateforme agréée et sécurité des données : ce que vous devez vérifier (ISO 27001, SecNumCloud, RGPD)

Pourquoi la sécurité des données conditionne le choix d'une plateforme agréée

À partir du 1er septembre 2026, toute entreprise assujettie à la TVA devra pouvoir recevoir ses factures via une plateforme agréée de facturation électronique. L'émission suivra selon la taille de l'entreprise, avec une échéance fixée en septembre 2027 pour les TPE, les PME et les micro-entrepreneurs.

Ce changement réglementaire ne se limite pas à choisir un simple outil de facturation. La plateforme choisie devient un intermédiaire obligatoire entre l'entreprise et l'administration fiscale : elle collecte, transmet et conserve des informations fiscales, bancaires et parfois personnelles, pendant plusieurs années. Un opérateur mal sécurisé expose donc son client à un vrai risque : fuite de données, contrôle fiscal compliqué par des documents mal archivés, ou perte de la valeur probante d'une facture.

Le besoin de confiance est d'autant plus fort que le marché s'est ouvert à de nombreux acteurs. Aux côtés d'éditeurs français comme Tiime, de grands groupes proposent également leur propre plateforme agréée. Le niveau de certification varie d'un partenaire à l'autre, d'où l'intérêt de comparer avant de s'engager.

Bon à savoir : L'immatriculation par la DGFiP n'est pas un simple enregistrement administratif. L'opérateur doit prouver, pièces à l'appui, sa conformité RGPD et sa certification ISO 27001 avant même d'obtenir son numéro. Pour vous en assurer, consultez la liste officielle des plateformes agréées.

RGPD et facturation électronique : ce que la plateforme doit vous garantir

Une facture électronique contient souvent plus que des montants et une date. Nom du client, adresse, parfois numéro de téléphone ou coordonnées bancaires : ce sont des données personnelles au sens du RGPD, et leur traitement doit reposer sur une base légale claire pour être conforme.

Pour une plateforme agréée, cette base est en général l'obligation légale (la réforme elle-même) et l'exécution du contrat qui la lie à l'entreprise cliente. Le principe de licéité impose que chaque donnée collectée serve un objectif défini : émettre, transmettre ou archiver la facture, rien de plus. La plateforme doit aussi garantir la transparence sur l'usage fait de ces données et permettre aux individus concernés d'exercer leurs droits (accès, rectification).

Les données personnelles concernées par la facture électronique

Le champ couvert est plus large qu'on ne l'imagine :

• l'identité du client (personne physique ou représentant d'une entreprise) ;
• les coordonnées de facturation et de livraison ;
• les données de paiement transmises lors du traitement ;
• les métadonnées d'échange, comme l'horodatage, la signature électronique ou l'identifiant de transmission.
  
  

Toutes ces informations transitent par la plateforme, parfois par un intermédiaire technique issu du monde de l'EDI (échange de données informatisé), historiquement utilisé pour l'invoicing interentreprises avant que la réforme n'impose un cadre commun.

Durée de conservation et archivage

Le RGPD impose de ne pas garder une donnée personnelle plus longtemps que nécessaire. Mais la réglementation fiscale française impose de son côté une conservation des documents comptables et fiscaux sur une durée minimale de dix ans. Les deux obligations coexistent : la plateforme doit organiser un archivage sécurisé et une gestion documentaire rigoureuse, avec un accès restreint et une traçabilité complète des consultations.

Bon à savoir : un archivage conforme doit garantir l'intégrité du document dans le temps, c'est-à-dire prouver qu'aucune modification n'a eu lieu depuis l'émission. C'est ce qu'on appelle la valeur probante d'un document, un élément déterminant en cas de contrôle de l'administration fiscale.

ISO 27001, la certification socle des plateformes agréées

La certification ISO/IEC 27001 fait partie des pièces obligatoires du dossier d'immatriculation déposé auprès de la DGFiP. Sans cette attestation, en cours de validité, un opérateur ne peut pas prétendre au statut de plateforme agréée, quelle que soit la qualité de son outil.

Cette norme internationale, devenue un standard de référence dans le secteur financier comme dans l'administration publique, encadre la mise en place d'un système de gestion de la sécurité de l'information. Elle ne certifie pas un logiciel en particulier, mais l'ensemble des processus de l'entreprise qui l'exploite : gestion des accès, chiffrement des échanges, plan de continuité en cas d'incident, formation des équipes.

Ce que couvre la certification

Concrètement, une entreprise certifiée ISO 27001 a mis en place :

• une cartographie des risques liés au traitement de la donnée ;
• des procédures de contrôle d'accès et de chiffrement ;
• un plan de réponse en cas d'incident de sécurité ;
• un audit externe renouvelé tous les trois ans.
  
  

Ce dernier point est important : la certification n'est jamais acquise définitivement. Un audit de suivi vérifie chaque année que les engagements pris sont bien tenus, ce qui constitue un gain de confiance mesurable pour l'entreprise cliente comme pour sa direction financière.

Comment vérifier qu'une plateforme est bien certifiée

Le plus simple reste de demander l'attestation directement à l'opérateur, avec sa date de délivrance et son organisme certificateur. Vous pouvez aussi consulter la liste des plateformes agréées publiée par la DGFiP, qui recense les opérateurs immatriculés à jour de leurs obligations RGPD et de sécurité.

SecNumCloud, un niveau de sécurité supplémentaire pour l'hébergement

Le SecNumCloud est une qualification délivrée par l'ANSSI, l'Agence nationale de la sécurité des systèmes d'information. Elle vise spécifiquement les fournisseurs d'hébergement et de services cloud, et constitue un gage de confiance supplémentaire pour les entrepreneurs soucieux de la localisation de leurs données.

La différence avec l'ISO 27001

Là où l'ISO 27001 porte sur l'organisation globale d'une entreprise, le SecNumCloud se concentre sur l'infrastructure technique qui héberge les données. Il impose que l'hébergeur soit une entité de droit européen, avec des capitaux majoritairement européens, et que les données ne puissent pas être soumises à une loi extraterritoriale comme le Cloud Act américain.

Est-ce obligatoire pour toutes les plateformes agréées ?

Non, le cadre juridique exige un hébergement sécurisé au sein de l'Union européenne, avec la qualification SecNumCloud requise dès lors que la plateforme fait appel à un hébergeur externe. Une plateforme qui héberge elle-même son infrastructure en France, avec les certifications appropriées, peut répondre à l'exigence sans passer par cette qualification supplémentaire. Dans les deux cas, l'objectif reste le même : empêcher qu'une administration étrangère puisse accéder aux données fiscales françaises.

Bon à savoir : demandez toujours où sont situés les serveurs de votre plateforme, et sous quel droit l'hébergeur opère. Une plateforme française, opérée depuis la France, simplifie ce point et rassure sur la confidentialité des données transmises.

Checklist : les points à vérifier avant de signer

Avant de vous engager, prenez le temps de comparer les garanties proposées par chaque opérateur.

Ce tableau ne remplace pas une lecture attentive du contrat, mais il donne une base solide pour comparer plusieurs opérateurs sans se perdre dans les argumentaires commerciaux. Pour aller plus loin sur les autres critères de choix d'une plateforme, notre guide pour bien choisir sa plateforme de facturation électronique détaille les questions à poser côté fonctionnalités et tarification, offre gratuite comprise.

Bon à savoir : Tiime a obtenu son immatriculation en tant que plateforme agréée, avec les certifications requises par la réforme (SecNumCloud et ISO27001). La conformité est incluse dès la formule gratuite.

Sources & Références 

• Facturation électronique et plateformes agréées – impots.gouv.fr
• Procédure d'immatriculation d'une plateforme agréée – Ma facture électronique
• Liste des plateformes agréées immatriculées – Pennylane
• Choisir sa plateforme de facturation électronique en 2026 – Libeo