Souveraineté
LMS souverain : dix critères à vérifier, et nos réponses une à une
Un drapeau français sur une page d'accueil ne dit pas où partent vos données ni qui peut les demander. Voici les dix points à vérifier chez un éditeur, et ce qu'il en est chez nous.
Publié le
Qu’est-ce qu’un LMS souverain ?
Un LMS souverain est une plateforme de formation qui échappe aux lois étrangères à portée extraterritoriale. Ses données sont hébergées en France ou dans l’Union européenne, mais ce n’est qu’une partie du sujet. Il faut aussi que l’éditeur, son capital, son équipe et son contrat relèvent du droit français ou européen.
Pourquoi tout cela ? Parce qu’une loi comme le CLOUD Act américain (2018) permet aux autorités des États-Unis de demander des données à une entreprise soumise à leur droit, même quand ces données sont stockées en Europe. Un serveur à Paris, opéré par la filiale d’un groupe américain, ne protège donc pas de cette demande. C’est l’entreprise qui compte, pas seulement la salle des machines.
Une plateforme de formation contient plus de données qu’on ne le croit : l’organigramme, les noms et adresses de tous les collaborateurs, leurs résultats, leurs attestations, parfois leurs écarts de compétences. La souveraineté des données de formation, c’est savoir qui peut lire tout cela, et sous quel droit. Une DSI, un délégué à la protection des données ou un acheteur public a raison de poser la question. Un LMS français hébergé en France y répond en partie ; une plateforme de formation souveraine y répond sur toute la chaîne.
Cette page parle de la plateforme LMS E-TIPI LEARNING. E-TIPI LEADERS, la communauté managériale clé en main, tourne sur la même plateforme : tout ce qui suit vaut aussi pour lui.
Quels critères vérifier pour choisir un LMS souverain ?
Le mot « souverain » ne veut rien dire tant qu’on ne le découpe pas en questions précises. En voici dix, à poser à chaque éditeur, par écrit.
- Le siège. Où la société éditrice est-elle immatriculée ? Une filiale française d’un groupe étranger reste soumise au droit de sa maison mère.
- Le capital. Qui détient la société ? Un fonds étranger majoritaire, une levée de fonds en cours ou un rachat possible changent la réponse du jour au lendemain.
- L’équipe. Où travaillent ceux qui développent la plateforme et ceux qui accèdent aux données pour le support ?
- L’hébergement. Quel hébergeur, dans quel pays, dans quels centres de données ? Et cet hébergeur, à qui appartient-il ?
- Les sauvegardes et la reprise. Où partent les copies, et où redémarre la plateforme en cas de sinistre ? Une production en France avec des sauvegardes hors d’Europe ne règle rien.
- Les transferts hors UE. Quelles données sortent de l’Union européenne, par quel prestataire, dans quel cadre ? La bonne réponse est rarement « aucune » : demandez la liste.
- Les sous-traitants. La liste est-elle remise, avec le rôle et le pays de chacun ? Êtes-vous prévenu avant un changement, et pouvez-vous vous y opposer ?
- La réversibilité. Que récupérez-vous en partant, dans quels formats, et que deviennent vos données ensuite ?
- Le droit du contrat. Quelle loi s’applique, quel tribunal est compétent en cas de litige ?
- Le support. Dans quelle langue, et depuis quel pays ?
Un éditeur sérieux répond à chacune sans détour. Méfiez-vous des réponses qui tiennent en un mot sur une page commerciale, y compris la nôtre : demandez les pièces.
E-TIPI LEARNING est-il un LMS souverain, critère par critère ?
Sur neuf critères, oui. Sur un, les transferts hors UE, la réponse dépend des réglages que vous choisissez. Voici le détail, tel qu’il est au 4 novembre 2026.
| Critère | Réponse d’E-TIPI | Niveau |
|---|---|---|
| Siège | myLittleTools, SARL de droit français, siège à Enghien-les-Bains (Val-d’Oise) | Oui |
| Capital | 100 % aux deux cofondateurs, Annabelle et Elian Chrebor ; jamais de levée de fonds | Oui |
| Équipe | plateforme conçue et développée en France, par l’équipe d’E-TIPI | Oui |
| Hébergement | en France, chez Ikoula (groupe Sewan), seul hébergeur | Oui |
| Sauvegardes et reprise | chiffrées, en France, dans un centre de données distinct de la production | Oui |
| Transferts hors UE | données, sauvegardes et reprise en France ; e-mails par un prestataire européen ou votre serveur d’envoi, sur demande ; IA inactive par défaut, puis Mistral (Union européenne) ou OpenAI, au choix | Selon vos réglages |
| Sous-traitants | liste remise dans l’accord de traitement des données, annexé au contrat | Oui |
| Réversibilité | CSV, fichiers d’origine, ZIP, modules en SCORM 2004 4e édition | Oui |
| Droit du contrat | droit français, tribunal de commerce de Paris | Oui |
| Support | en français, depuis la France | Oui |
L’éditeur : qui décide de la plateforme
E-TIPI est édité par myLittleTools, une SARL française créée en 2006. La plateforme E-TIPI est éditée depuis 2012. Le capital est détenu à 100 % par ses deux cofondateurs, Annabelle et Elian Chrebor. Nous n’avons jamais levé de fonds : l’entreprise vit sur ses fonds propres depuis le début.
Pour un acheteur, ce point compte plus qu’il n’y paraît. Un éditeur racheté par un groupe étranger change de droit applicable, parfois sans que ses clients le sachent avant la lettre d’information. Chez nous, personne n’a de rachat à préparer. Notre parcours est raconté sur la page Notre histoire.
La plateforme est conçue et développée en France, par notre équipe. E-TIPI est une marque déposée à l’INPI par myLittleTools.
Les données : où elles vivent, où elles sont copiées
La plateforme est hébergée en France chez Ikoula (Ikoula Net, groupe Sewan), notre seul hébergeur, dans deux centres de données distincts : l’un pour la production, l’autre pour les sauvegardes et la reprise en cas de sinistre. Les deux sont certifiés ISO/IEC 27001.
Les sauvegardes sont chiffrées, gardées en France et conservées 10 jours glissants. En cas de sinistre, un plan de reprise d’activité restaure la plateforme dans le second centre de données. Les données ne quittent pas la France pendant l’opération. Le rythme des sauvegardes, le chiffrement et les accès sont détaillés sur la page Sécurité et hébergement.
Le contrat et le support
Le contrat est soumis au droit français. En cas de litige, le tribunal de commerce de Paris est compétent. L’hébergement en France est écrit dans le contrat, pas seulement sur le site.
Le support répond en français, depuis la France, par e-mail à support@e-tipi.com et sur support.e-tipi.com.
Quelles données de formation sortent de l’Union européenne ?
Les données de la plateforme restent en France : comptes, parcours, résultats, attestations, organigramme, sauvegardes. Deux flux dépendent de vos choix.
Le premier, ce sont les e-mails de la plateforme : invitations, inscriptions, convocations, relances. Le prestataire d’envoi ne reçoit que l’adresse du destinataire et le contenu du message, jamais les résultats ni les parcours. Sur demande, les e-mails passent par un prestataire européen, ou par votre propre serveur d’envoi (SMTP).
Le second, c’est l’IA. Elle ne s’active jamais toute seule : c’est vous qui l’activez, fonction par fonction, et vous choisissez le fournisseur. Avec Mistral, le traitement reste dans l’Union européenne. Avec OpenAI, il peut avoir lieu aux États-Unis, dans le cadre de clauses contractuelles types. Si l’IA reste éteinte, aucun fournisseur d’IA n’intervient. Ce que fait l’IA, ce qu’elle reçoit et ses limites sont expliqués sur la page IA responsable.
En clair, un client qui fait partir ses e-mails par un prestataire européen ou par son serveur, et qui choisit Mistral ou laisse l’IA éteinte, garde ses données de formation dans l’Union européenne.
Comment sont encadrés nos sous-traitants ?
Notre hébergeur est Ikoula (Ikoula Net, groupe Sewan), en France. C’est notre seul hébergeur. Les journaux techniques de la plateforme restent sur nos serveurs : aucun service extérieur ne les reçoit par défaut.
La liste complète des sous-traitants, avec le rôle, le pays et le cadre de chacun, figure dans notre accord de traitement des données, annexé au contrat et remis à votre DSI. Avant tout ajout ou remplacement d’un sous-traitant, nous vous prévenons par écrit, et vous pouvez faire part de vos objections.
Comment sortir d’un LMS souverain avec toutes ses données ?
Un LMS souverain dont on ne peut pas sortir ne vous protège qu’à moitié : votre dépendance a seulement changé de pays. Le règlement européen sur les données (Data Act, règlement (UE) 2023/2854), applicable depuis le 12 septembre 2025, encadre d’ailleurs le changement de fournisseur de services cloud.
En fin de contrat, sur simple demande, nous vous remettons vos comptes, historiques, résultats, inscriptions, sessions, attestations, émargements et contenus déposés. Ils arrivent dans des formats que n’importe quel outil relit : fichiers CSV, fichiers d’origine, archives ZIP. Les modules créés dans E-TIPI s’exportent en SCORM 2004 4e édition, le format que lisent les autres LMS (voir le format SCORM).
Ensuite, vos données sont supprimées ou anonymisées, et une attestation de suppression peut vous être remise. Si vous changez d’outil, nous pouvons vous aider à reprendre vos données, sur devis. La liste détaillée est sur la page Sécurité et hébergement.
Que ne garantit pas la souveraineté d’une plateforme de formation ?
Un hébergement en France ne dit rien de la solidité d’un mot de passe. La souveraineté répond à la question « quel droit s’applique à mes données ». Elle ne répond pas à « mes données sont-elles bien gardées ». Ce sont deux examens différents, et il faut passer les deux.
La sécurité se vérifie à part : authentification unique en SAML 2.0 ou OpenID Connect, gestion des comptes par SCIM 2.0, chiffrement des échanges en TLS 1.2 au minimum, contrôle des fichiers déposés, droits d’accès par rôle, audit par un tiers. Tout est décrit sur la page Sécurité et hébergement, et le branchement à votre annuaire sur la page SSO et SCIM.
La souveraineté ne dit rien non plus de la façon dont la plateforme utilise l’IA, ni de son poids sur le réseau et les terminaux. Ces deux sujets ont leur page : IA responsable et numérique responsable.
Enfin, une plateforme française peut très bien être difficile à utiliser. Pour une collectivité ou une entreprise, la souveraineté est une condition d’achat. Elle ne remplace pas une démonstration avec vos propres cas.
Quelles pièces demander à un éditeur pour vérifier sa souveraineté ?
Une page web n’engage pas grand-chose. Ces documents, si.
- L’extrait d’immatriculation (Kbis ou attestation du registre national des entreprises) : siège et forme de la société.
- Les statuts à jour, si la répartition du capital compte pour vous : l’extrait ne liste pas les associés.
- L’accord de traitement des données, avec la liste des sous-traitants, leur rôle, leur pays et le cadre des transferts.
- Le certificat de l’hébergeur, avec le périmètre qu’il couvre.
- La clause de droit applicable et la clause de réversibilité du contrat.
- L’analyse de risques sur l’IA, si la plateforme en contient.
Votre DSI reçoit ces pièces avec nos réponses techniques. Elles sont aussi jointes à nos réponses aux appels d’offres. Les questions qu’elle pose le plus souvent sont rassemblées sur la page Les réponses pour la DSI.
Pour un acheteur public, E-TIPI est référencé au catalogue de l’UGAP : une collectivité ou un établissement public commande la plateforme sans mener sa propre mise en concurrence. La Région Hauts-de-France forme ainsi 9 000 agents sur E-TIPI. La démarche est expliquée sur la page Commander E-TIPI par l’UGAP.