« On auto-héberge n8n, donc on est conforme au RGPD. » La phrase revient souvent quand une PME choisit son outil d'automatisation. Elle est à moitié vraie, et la moitié fausse peut coûter cher. Le choix entre n8n Cloud et n8n auto-hébergé change qui est responsable de quoi. Il ne change pas le fait que vos workflows manipulent des données personnelles dont vous restez responsable.
Cet article pose le raisonnement dans l'ordre : ce que n8n documente publiquement, ce que le RGPD demande dans les deux cas, puis cinq points concrets à vérifier avant de décider. Les faits sur n8n et sur le RGPD viennent des sources citées en fin d'article ; l'analyse, elle, est la nôtre et ne remplace pas l'avis d'un juriste ou de votre délégué à la protection des données.
Ce que n8n documente publiquement
Trois éléments sont vérifiables sur le site de n8n.
L'hébergement de n8n Cloud. La page sécurité de n8n indique que « n8n cloud uses Microsoft Azure for hosting » et que le matériel physique et les données stockées par la plateforme sont « currently hosted in the European Union ». La page ne précise ni pays ni ville, et mentionne que n8n se prépare à héberger dans d'autres localisations. Ce n'est donc pas une garantie contractuelle de résidence : c'est une description publique, au présent, à relire avant de signer.
Un accord de sous-traitance prêt à signer. n8n propose sur sa page dédiée un accord de traitement des données (DPA) présenté comme « pre-signed » : il se télécharge, se contresigne et se renvoie. Une page « Trust Center » complète le dispositif pour les questions de conformité.
Une licence qui encadre l'auto-hébergement. Le logiciel est distribué sous la Sustainable Use License. Le texte de la licence autorise à utiliser ou modifier le logiciel « only for your own internal business purposes or for non-commercial or personal use », et à ne le redistribuer que gratuitement et sans but commercial. Les fichiers marqués « .ee. » relèvent d'une licence Enterprise distincte. Pour une PME qui automatise ses propres processus, l'usage interne est le cas courant. Pour un prestataire qui voudrait revendre une instance hébergée à ses clients, la question se pose autrement : elle doit être tranchée avant, pas après.
Ce que le RGPD demande dans les deux cas
Le raisonnement tient en quatre idées.
- Votre entreprise est responsable du traitement. Un workflow qui lit un formulaire de contact, met à jour un CRM ou envoie un e-mail traite des données personnelles pour votre compte et selon vos finalités. L'outil n'y change rien.
- Un prestataire qui traite ces données pour vous est un sous-traitant. Selon l'article 28 du RGPD, tel que rappelé par la CNIL, le responsable du traitement « fait uniquement appel à des sous-traitants qui présentent des garanties suffisantes », et le traitement par un sous-traitant « est régi par un contrat ou un autre acte juridique ».
- Le sous-traitant doit appliquer les mesures de sécurité de l'article 32, ce que le même article 28 inscrit dans le contrat.
- La sécurité reste votre sujet dès que vous exploitez vous-même le système : personne d'autre ne l'assure à votre place.
On en déduit la différence de fond entre les deux modes. Avec n8n Cloud, n8n héberge l'instance : le DPA devient le document central, et la question est celle de la confiance accordée à ce sous-traitant et à ses propres sous-traitants. Avec l'auto-hébergement, vous choisissez l'infrastructure : n8n n'héberge pas vos données d'exécution, mais l'hébergeur que vous retenez (un serveur loué, un cloud public, une machine interne) devient, lui, un sous-traitant à encadrer par contrat, et la sécurité, les mises à jour et les sauvegardes sont à votre charge.
Autrement dit, le RGPD ne se règle pas en cochant « auto-hébergé ». Il se règle en sachant où passent les données, qui y accède et sur quelle base contractuelle.
Les cinq points à vérifier avant de choisir
1. Quelles données personnelles traversent vos workflows ?
Faites l'inventaire avant de parler d'outil. Un scénario qui synchronise des références produits ne pose aucune question. Un scénario qui traite des CV, des échanges clients ou des données de santé en pose beaucoup. Notre comparatif n8n, Make et Zapier part de la même idée : la sensibilité des données est un critère de choix à part entière.
2. Vos workflows appellent-ils des services tiers ?
C'est le point le plus souvent oublié. Même sur une instance auto-hébergée, un workflow qui envoie un texte à un modèle d'IA, à un service d'e-mailing ou à un CRM transmet des données à un autre prestataire. Ce prestataire est lui aussi un sous-traitant, avec son propre contrat. L'auto-hébergement protège le moteur d'orchestration ; il ne rend pas les services appelés par ce moteur « locaux ». Pour un agent qui utilise des outils, le cadrage des droits décrit dans notre article sur la passerelle MCP et les actions d'un agent s'applique de la même façon.
3. Qui peut exploiter l'instance sérieusement ?
L'auto-hébergement suppose de gérer des mises à jour, de la supervision et des sauvegardes. La documentation d'hébergement de n8n décrit d'ailleurs des sections dédiées à la configuration, à la sécurité et à la maintenance en fonctionnement, et signale que l'installation par npm demande de gérer soi-même les versions de Node.js et les dépendances. Si personne dans l'équipe n'a le temps ni la compétence pour cela, une instance mal tenue est un risque de sécurité, donc de conformité. Dans ce cas, n8n Cloud avec un DPA signé peut être plus prudent qu'un serveur laissé sans suivi.
4. Que gardez-vous dans l'historique d'exécution ?
n8n conserve les données des exécutions pour que vous puissiez déboguer, et ces données contiennent souvent exactement ce que traite le workflow : noms, e-mails, contenus de messages. La documentation indique que le nettoyage automatique est activé par défaut, avec un âge maximal par défaut de 336 heures (14 jours), et qu'on peut ne pas enregistrer les exécutions réussies (EXECUTIONS_DATA_SAVE_ON_SUCCESS=none, ou un réglage par workflow). Choisissez une durée cohérente avec votre besoin de débogage et avec le principe de ne pas conserver les données plus longtemps que nécessaire. Ce réglage compte autant que le lieu d'hébergement.
5. Le contrat et la documentation sont-ils en place ?
Quel que soit le mode, trois documents font la différence en cas de question d'un client ou d'un contrôle : le contrat de sous-traitance avec chaque prestataire concerné (n8n pour le Cloud, l'hébergeur pour l'auto-hébergement, les services appelés par les workflows), la mention de ces traitements dans votre registre des activités de traitement, et une description simple des flux. Ce n'est pas du formalisme : c'est ce qui permet de répondre en une heure plutôt qu'en une semaine.
Quel mode pour quelle situation ?
Voici une lecture pratique, à adapter à votre contexte :
| Situation | Mode à étudier en premier | Pourquoi |
|---|---|---|
| Peu de données personnelles, aucune compétence d'exploitation en interne | n8n Cloud avec DPA signé | Moins de charge d'exploitation, contrat de sous-traitance clair |
| Données sensibles, exigence de maîtrise du lieu d'hébergement, compétence d'exploitation disponible | Auto-hébergement chez un hébergeur sous contrat | Vous choisissez l'infrastructure, mais vous en assumez la sécurité |
| Volume d'exécutions qui grandit | Comparer le coût sur l'ensemble de la charge | L'argument économique s'ajoute, il ne remplace pas l'analyse RGPD |
| Workflows qui envoient des données à des services d'IA externes | Quel que soit le mode, traiter ces services comme sous-traitants | Le moteur local ne change pas la destination des données |
Notre pratique, quand nous accompagnons une PME, est de ne pas trancher sur le seul outil : nous partons du processus, des données qu'il touche et des prestataires qu'il appelle, comme le décrit notre méthode.
Ce que cet article ne couvre pas
Il ne dit pas si votre cas précis est conforme : cela dépend de vos données, de vos finalités et de vos contrats, et relève d'un avis juridique. Il ne traite pas des transferts de données hors de l'Union européenne en détail. Il ne remplace pas la lecture du DPA de n8n, de sa page sécurité à jour et, si vous auto-hébergez, des conditions de votre hébergeur.
Questions fréquentes
n8n auto-hébergé est-il conforme au RGPD par défaut ?
Non. L'auto-hébergement vous donne la maîtrise de l'infrastructure, mais la conformité dépend de vos pratiques : contrats avec l'hébergeur et les services appelés, sécurité, durée de conservation, registre des traitements.
n8n Cloud stocke-t-il les données dans l'Union européenne ?
La page sécurité de n8n indique que le matériel et les données de la plateforme sont actuellement hébergés dans l'Union européenne, sur Microsoft Azure, sans préciser le pays. Vérifiez la page à jour et le contenu du DPA au moment de votre décision.
Faut-il un contrat avec n8n si j'utilise n8n Cloud ?
Si n8n traite des données personnelles pour votre compte, le RGPD demande un contrat ou un autre acte juridique encadrant ce traitement. n8n met à disposition un accord de traitement des données à contresigner.
Que se passe-t-il si mon workflow envoie des données à un modèle d'IA ?
Le fournisseur du modèle traite alors ces données pour votre compte : il doit être pris en compte comme sous-traitant, avec ses propres conditions. Cela vaut pour n8n Cloud comme pour une instance auto-hébergée.
Combien de temps n8n conserve-t-il les exécutions ?
D'après la documentation de n8n, le nettoyage est activé par défaut et l'âge maximal par défaut est de 14 jours (336 heures). Vous pouvez le modifier, ou choisir de ne pas enregistrer les exécutions réussies.
Cadrer le choix avec nous
Vous hésitez entre n8n Cloud et une instance à vous, ou vous voulez vérifier que vos workflows existants ne transmettent pas plus de données que nécessaire ? Décrivez-nous le processus : nous identifions avec vous les données concernées, les prestataires impliqués et le mode d'hébergement adapté. Nos offres détaillent les formats d'accompagnement, et vous pouvez nous contacter directement.
Sources
- n8n, Security, page consultée le 12 octobre 2026.
- n8n, Data Processing Agreement, page consultée le 12 octobre 2026.
- n8n, LICENSE.md (Sustainable Use License), consulté le 12 octobre 2026.
- n8n, Hosting et Execution data, documentation consultée le 12 octobre 2026.
- CNIL, Règlement européen sur la protection des données, chapitre IV (articles 28 et 32), consulté le 12 octobre 2026.