Salesforce vs HubSpot en 2026 : deux géants américains, deux réponses à la souveraineté européenne
En 2021, Salesforce a présenté Hyperforce, une refonte complète de son architecture technique conçue pour offrir, pour la première fois, une zone d'exploitation européenne dans laquelle les données d'un client ne quittent ni Francfort ni Paris. Ce chantier d'ingénierie pluriannuel, l'entreprise le présente elle-même comme une réponse directe à la pression réglementaire européenne née de l'arrêt Schrems II de la Cour de justice de l'Union européenne. HubSpot, son rival le plus direct sur le segment des entreprises de taille intermédiaire, propose depuis 2021 un hébergement à Dublin, mais avec un périmètre fonctionnel plus restreint que celui d'Hyperforce. Les deux sociétés sont américaines, et les États-Unis obtiennent 7,85 à l'indice de démocratie de l'EIU. La différence ne tient donc pas au pays d'origine, mais au nombre d'ingénieurs et au budget que chacune a consacrés à la souveraineté des données européennes.
Ce comparatif ne cherche pas à savoir quel CRM compte le plus d'intégrations. Il examine ce qui se passe concrètement lorsque deux entreprises nées dans le même pays tentent de résoudre le même problème juridique, garder les données clients européennes dans l'UE, avec des moyens très différents. Pour les directions commerciales françaises, belges et suisses, qui confient désormais l'essentiel de leur relation client à des CRM dans le cloud, la réponse détermine la solidité de leur dossier de conformité en cas de contrôle.
Pourquoi l'origine démocratique compte pour un logiciel CRM
Un CRM accumule toute l'histoire commerciale d'une entreprise : contacts, e-mails, appels enregistrés, contrats et, souvent, données de navigation rattachées à l'identité du client. Avec le système de facturation, c'est le réservoir de données personnelles le plus sensible qu'une entreprise gère. La juridiction dans laquelle cet historique est traité détermine quelles autorités peuvent en demander l'accès, et selon quelle procédure. Pour un fournisseur américain, cela inclut le CLOUD Act de 2018, qui permet aux autorités des États-Unis d'exiger des données détenues par une société relevant de leur juridiction, même lorsque ces données sont stockées à l'étranger.
Cela ne place pas les États-Unis dans la même catégorie de risque que la Chine (2,12 à l'EIU) ou la Russie, où aucun juge indépendant ne contrôle les demandes des services de renseignement. Le cadre de protection des données UE-États-Unis, en vigueur depuis juillet 2023, prévoit un mécanisme de recours pour les citoyens européens et des limites de proportionnalité à la surveillance. Il impose néanmoins un examen lucide. Choisir un CRM, c'est décider quelle part des données clients reste durablement dans l'Union, quelles fonctions sortent de ce périmètre et quelles solutions de repli existent si le paysage transatlantique bascule à nouveau, comme lors de l'invalidation du Privacy Shield en 2020.
Salesforce : Hyperforce et la résidence européenne la plus complète
Salesforce a été fondée en 1999 à San Francisco par Marc Benioff, Parker Harris, Dave Moellenhoff et Frank Dominguez. Cotée à la Bourse de New York sous le symbole CRM, c'est aujourd'hui la première plateforme mondiale de gestion de la relation client, avec plus de 70 000 salariés et un chiffre d'affaires d'environ 38 milliards de dollars sur l'exercice 2025. Cette taille explique sa capacité à reconstruire son infrastructure pour l'Europe. Hyperforce fait tourner la quasi-totalité de la suite, Sales Cloud, Service Cloud et Marketing Cloud, dans une zone d'exploitation européenne adossée à des infrastructures à Francfort (Allemagne, 8,80 à l'EIU) et à Paris (France, 8,07), sans dépendre des centres de données américains pour le traitement quotidien.
S'y ajoute l'EU Operating Zone, par laquelle Salesforce s'engage à ce que les accès du support et les opérations soient eux aussi largement gérés depuis l'Europe. La suite d'IA Einstein, qui assure la notation des prospects, les prévisions de ventes et la rédaction assistée d'e-mails, est intégrée directement à Hyperforce. Avec son Einstein Trust Layer, Salesforce promet que les données envoyées aux modèles de langage externes sont masquées et ne servent pas à l'entraînement. Pour un délégué à la protection des données, ce n'est pas un blanc-seing, mais un point de départ nettement mieux documenté que chez beaucoup de concurrents. Le point faible tient au prix : la résidence européenne complète est surtout disponible dans les éditions les plus chères.
HubSpot : un hébergement à Dublin au périmètre plus étroit
HubSpot a été fondée en 2006 à Cambridge, dans le Massachusetts, par Brian Halligan et Dharmesh Shah, rencontrés au MIT, et est cotée sous le symbole HUBS. L'entreprise a popularisé l'inbound marketing et s'est développée grâce à un CRM gratuit qui permet aux petites équipes de démarrer sans licence. Son chiffre d'affaires atteignait environ 2,9 milliards de dollars en 2025, soit moins d'un dixième de celui de Salesforce. HubSpot a ouvert en 2021 son centre de données européen à Dublin (Irlande, 8,28 à l'EIU), où les clients de l'UE peuvent héberger les données essentielles de leur compte : contacts, transactions, tickets. Depuis 2024, un site à Francfort complète cette infrastructure européenne.
Plusieurs fonctionnalités récentes, en particulier les outils d'IA générative de l'assistant Breeze, s'appuient toutefois sur des sous-traitants externes dont le lieu de traitement n'est pas toujours garanti dans la région européenne. HubSpot documente cette limite dans sa liste publique de sous-traitants avec plus de transparence que bien des concurrents, mais elle subsiste en pratique. Quiconque utilise les résumés de conversation ou la rédaction assistée doit vérifier, fonction par fonction, où le traitement a réellement lieu. L'écart de moyens entre les deux groupes se lit ici sans détour : un chantier comme Hyperforce, qui a exigé plusieurs années de refonte de l'infrastructure, est difficilement reproductible à court terme pour une entreprise de la taille de HubSpot.
Les alternatives risquées : des CRM sous juridiction autoritaire
Pour les entreprises présentes en Asie ou au budget serré, des offres CRM meilleur marché apparaissent régulièrement dans les appels d'offres. Les plus problématiques sont celles qui tournent sur les clouds d'Alibaba ou de Tencent, ou dont la société mère est établie en Chine. La loi sur le renseignement national de 2017 y oblige les organisations à coopérer avec les services de renseignement, sans qu'un tribunal indépendant filtre ces demandes. Or un CRM ne contient pas seulement des données clients : il renferme la stratégie commerciale, les remises consenties et les notes de négociation d'une entreprise, autant d'informations précieuses pour des acteurs étatiques poursuivant des objectifs de politique économique.
Les extensions et modules d'IA proposés sur les places de marché posent un problème comparable lorsque leur éditeur ne dévoile pas une structure de propriété vérifiable. L'AppExchange de Salesforce, qui compte plus de 7 000 applications, comme la marketplace de HubSpot, contrôlent la sécurité, mais pas l'origine démocratique des développeurs. Democratic Market exclut les CRM et extensions dont l'entité juridique est établie dans un pays sous 6,0 à l'EIU, quel que soit le lieu d'hébergement annoncé. La raison est simple : celui qui accède au CRM connaît les relations commerciales d'une entreprise mieux que sa propre direction.
Comparatif : fonctionnalités, prix et profil démocratique
Salesforce domine en profondeur fonctionnelle et en personnalisation. Sa plateforme permet de bâtir des applications sur mesure au-dessus du cœur CRM, et l'AppExchange offre des milliers d'intégrations. Le prix démarre autour de 25 dollars par utilisateur et par mois pour l'édition d'entrée et dépasse aisément 300 dollars par utilisateur et par mois en configuration entreprise complète. Il faut y ajouter l'intégration : le déploiement dans une entreprise de taille moyenne prend généralement trois à six mois avec un intégrateur certifié, et ce coût dépasse souvent, la première année, celui des licences elles-mêmes.
HubSpot offre aux équipes commerciales de taille moyenne une entrée plus accessible, avec une offre gratuite fonctionnelle et des forfaits payants à partir d'environ 20 dollars par poste et par mois, dont le coût progresse plus graduellement à mesure que s'ajoutent les modules marketing, ventes et service. HubSpot est généralement opérationnel en quelques semaines, avec une courbe d'apprentissage bien plus douce pour les équipes sans expérience des CRM complexes. Sur le plan démocratique, égalité sur l'origine (États-Unis, 7,85). Salesforce marque un point pour l'étendue de sa résidence européenne et la couverture de ses fonctions d'IA, HubSpot pour la clarté de sa documentation et son accessibilité tarifaire. Pour qui préfère un éditeur européen, Pipedrive, aux racines estoniennes (Estonie, 7,96), ou le CRM libre SuiteCRM, auto-hébergeable chez OVHcloud ou Scaleway, méritent un examen.
Législation européenne 2026 applicable aux CRM
Le règlement européen sur l'IA impose, à partir d'août 2026, que les systèmes d'IA qui génèrent des contenus destinés aux clients, comme les assistants de rédaction d'e-mails commerciaux intégrés aux deux CRM, indiquent clairement qu'un contenu a été produit ou assisté par IA. Le RGPD exige toujours une analyse d'impact des transferts pour tout sous-traitant situé hors de l'Espace économique européen. Hyperforce allège fortement cette obligation en maintenant le traitement dans la zone européenne ; HubSpot l'allège pour les données CRM de base, mais pas toujours pour ses nouvelles fonctions d'IA. Les deux sociétés publient des rapports de transparence et des listes de sous-traitants à jour, une bonne pratique que le cadre UE-États-Unis ne remplace pas, d'autant qu'il fait face à de nouveaux recours devant la Cour de justice portés par les organisations qui ont déjà obtenu la chute du Safe Harbor et du Privacy Shield.
En France, la CNIL a publié des recommandations détaillées sur la prospection commerciale et sur la durée de conservation des données dans les fichiers clients, qui s'appliquent quel que soit l'éditeur du CRM. Le Data Act, applicable depuis le 12 septembre 2025, oblige les fournisseurs de services de traitement de données à faciliter le changement de prestataire et à supprimer totalement les frais de sortie d'ici janvier 2027 ; pour un client CRM, cela renforce le droit d'emporter contacts, transactions et paramétrages. Les entreprises du secteur financier doivent en outre respecter le règlement DORA, qui impose depuis janvier 2025 un registre des prestataires TIC et des plans de sortie documentés.
Comment Democratic Market évalue cette catégorie
Lorsque des CRM concurrents partagent le même pays d'origine, Democratic Market pondère trois facteurs. Le premier est l'étendue réelle de la résidence européenne : quelle part des fonctions du produit elle couvre vraiment, au-delà du simple stockage, en incluant sauvegardes, index de recherche, accès du support et traitements d'IA. Le deuxième est la transparence et la fraîcheur de la liste publique des sous-traitants, y compris l'information préalable des clients en cas de changement. Le troisième est le degré de contrôle laissé au client pour désactiver de manière sélective les fonctions d'IA qui reposent sur une infrastructure hors UE.
Un quatrième niveau concerne les certifications. Salesforce détient les certifications ISO 27001, ISO 27018 pour la protection des données personnelles dans le cloud et SOC 2 Type II sur la quasi-totalité de sa plateforme, zone européenne Hyperforce comprise, avec des audits indépendants renouvelés chaque année. HubSpot dispose de certifications équivalentes pour sa plateforme principale, mais précise moins clairement quelles parties de Breeze ces audits couvrent. Selon ces critères, Salesforce avec Hyperforce obtient la meilleure note de souveraineté, et HubSpot avec hébergement UE une note solide, assortie d'une réserve sur l'IA.
Guide d'achat pratique, étape par étape
Première étape : estimez la part de vos données clients qui passerait réellement par des fonctions d'IA générative. Si vos commerciaux veulent des résumés automatiques de leurs échanges, cette part est élevée ; si le CRM sert surtout de base de contacts, elle reste faible. Deuxième étape : avant de signer, exigez le contrat de sous-traitance, la liste actuelle des sous-traitants et une réponse écrite précisant quelles fonctions d'IA sont traitées hors de la zone de résidence européenne contractée. Cette seule question en dit plus sur le risque réel que n'importe quelle mention générique de conformité au RGPD sur le site de l'éditeur.
Troisième étape : calculez le coût total sur trois ans, intégration, formation et administration comprises, et pas seulement le prix de la licence. Quatrième étape : préparez la sortie avant d'entrer. Une migration entre HubSpot et Salesforce prend de plusieurs semaines à plusieurs mois selon le volume de données et la complexité des automatisations ; les exports CSV couvrent contacts et transactions, mais les workflows personnalisés doivent le plus souvent être reconstruits à la main. Cinquième étape : associez tôt le comité social et économique et votre délégué à la protection des données. En France, un outil qui permet de suivre l'activité des commerciaux doit faire l'objet d'une information et d'une consultation du CSE, et l'oublier peut retarder le déploiement de plusieurs mois.
Conclusion : ce que recommande Democratic Market
Salesforce et HubSpot partagent la même origine démocratique, les États-Unis à 7,85, de sorte que la décision ne peut pas reposer sur le pays d'immatriculation. La vraie différence réside dans l'étendue de la résidence européenne. Une banque régionale, un assureur ou un groupement hospitalier doté d'un service conformité et d'un budget pour une licence entreprise trouvera dans Salesforce avec Hyperforce, et Einstein activé dans la zone UE, l'option qui répond le plus directement à ses obligations de résidence, même si le coût par utilisateur est nettement supérieur.
Une PME du logiciel ou du commerce, avec une vingtaine de commerciaux et sans données particulièrement sensibles dans son CRM, trouvera dans HubSpot hébergé à Dublin ou à Francfort une solution tout aussi conforme au RGPD pour l'essentiel de ses besoins, pour une fraction du prix. Dans ce cas, Democratic Market recommande de désactiver les fonctions Breeze pour les échanges sensibles tant que HubSpot ne garantit pas un traitement intégralement européen. Et qui recherche une souveraineté maximale gagnera à évaluer un CRM libre hébergé en France, en sachant qu'il échange alors richesse fonctionnelle contre maîtrise.