§ Guide
n8n auto-hébergé ou cloud : que change le RGPD ?
Avec n8n Cloud, n8n héberge vos données de workflow et agit comme sous-traitant, avec un DPA intégré à ses conditions. En auto-hébergement, n8n n'est pas sous-traitant de ces données, mais la sécurité, la conservation et l'hébergeur deviennent votre travail. Ce guide n'est pas un avis juridique.
- Sources officielles
- Relevé le 15 octobre 2026
Réponse directe
n8n auto-hébergé est-il plus conforme au RGPD que n8n Cloud ?
Pas automatiquement. Les deux peuvent être conformes. Cloud déplace une partie du travail vers n8n, qui héberge dans l'Union (Francfort pour les offres hébergées) et fournit un DPA. L'auto-hébergement vous donne la maîtrise du lieu et des durées, mais n8n n'est plus sous-traitant de vos données de workflow : vous gérez la sécurité, les mises à jour, la purge des journaux et le contrat avec l'hébergeur.
En bref
- Cloud. n8n est à la fois responsable de traitement et sous-traitant selon les données ; un DPA avec clauses contractuelles types est intégré à ses conditions.
- Auto-hébergé. n8n n'est ni responsable ni sous-traitant pour vos données de workflow. Votre hébergeur, lui, l'est : il vous faut un contrat avec lui.
- Le point qui piège. Les journaux d'exécution gardent les données qui ont traversé vos workflows. Ils se purgent par réglage, et il faut le régler.
- La licence compte. L'édition Community est gratuite mais n'inclut ni SSO, ni stockage externe des secrets, ni diffusion des journaux.
Les faits de ce guide sont relevés le 15 octobre 2026 sur n8n.io (tarifs, sous-traitants, DPA) et dans la documentation officielle de n8n. Ils changent : n8n met ses pages à jour sans préavis. Ce guide n'est pas un avis juridique. Pour les tarifs, voir le guide prix de n8n ; pour le RGPD d'un agent, la checklist RGPD avant déploiement.
Où sont les données avec n8n Cloud, et avec n8n auto-hébergé ?
Sur les offres hébergées, n8n indique sur sa page de tarifs que les données sont hébergées dans l'Union, à Francfort. Sa page des sous-traitants cite Microsoft Azure pour l'infrastructure cloud, avec des régions de l'Union (l'Allemagne et la Suède sont données à titre d'exemples). En auto-hébergement, les données sont là où vous installez n8n : sur votre serveur, chez un hébergeur de votre choix, sur votre poste.
Deux flux existent dans tous les cas, quel que soit l'hébergement : les services que vos workflows appellent (un modèle d'IA, un CRM, une messagerie) et la télémétrie de n8n. Les premiers sont vos propres sous-traitants, à ajouter à votre registre. La seconde est traitée plus bas.
n8n Cloud et n8n auto-hébergé : qui porte quoi
| Sujet | n8n Cloud | n8n auto-hébergé | À retenir |
|---|---|---|---|
| Rôle de n8n | Responsable de traitement et sous-traitant selon les données ; DPA avec clauses types intégré aux conditions | Ni responsable ni sous-traitant pour les données de workflow | Cloud : DPA à contresigner via n8n. Auto-hébergé : contrat avec votre hébergeur |
| Lieu des données | Hébergé dans l'Union, à Francfort (page de tarifs) ; Azure, régions de l'Union (page des sous-traitants) | Où vous l'installez | Dans les deux cas, demandez et gardez la preuve du lieu |
| Journaux d'exécution | Durée maximale de 7 jours (Starter), 30 jours (Pro), illimitée (Enterprise), selon le tableau des offres | Réglée par variables ; purge activée par défaut à 336 heures, 10 000 exécutions | Sur auto-hébergé, vérifiez les valeurs : elles s'appliquent à vous |
| Sauvegardes et suppression | Suppression de compte traitée le jour même ; sauvegardes et journaux internes conservés 90 jours | À votre charge | Une demande d'effacement doit couvrir sauvegardes et journaux |
| Télémétrie | Non désactivable sur Cloud | Désactivable par variables d'environnement, sauf les comptages de licence payante | Documenter le flux dans le registre |
| Assistant IA de n8n | Actif par défaut : envoie le contexte du workflow (pas les données de sortie ni les identifiants) | Non précisé dans la documentation lue | Décider si on le laisse actif |
| Sécurité et mises à jour | Assurées par n8n | Assurées par vous : serveur, sauvegardes, accès, correctifs | Le vrai coût de l'auto-hébergement |
Que contiennent les journaux d'exécution, et comment les purger ?
Une exécution enregistre ce qui a traversé le workflow : un e-mail reçu, une fiche contact, la réponse d'un modèle. C'est donc de la donnée personnelle dès que le workflow en traite. La documentation de n8n sur le RGPD en auto-hébergement indique que c'est à vous de supprimer les données (supprimer l'exécution) et recommande de purger automatiquement avec EXECUTIONS_DATA_MAX_AGE.
Valeurs par défaut documentées (page des variables d'exécution) :
EXECUTIONS_DATA_SAVE_ON_ERROR=alletEXECUTIONS_DATA_SAVE_ON_SUCCESS=all: tout est enregistré, succès comme erreurs ;EXECUTIONS_DATA_SAVE_MANUAL_EXECUTIONS=true: les essais manuels aussi ;EXECUTIONS_DATA_PRUNE=true,EXECUTIONS_DATA_MAX_AGE=336(en heures, soit 14 jours) etEXECUTIONS_DATA_PRUNE_MAX_COUNT=10000;N8N_EXECUTION_DATA_STORAGE_MODE=database: le stockage par défaut est la base de n8n.
Rien n'oblige à garder 14 jours. Choisissez la durée la plus courte qui vous permet de déboguer, enregistrez moins quand un workflow manipule des données sensibles (ne pas sauvegarder les succès, par exemple), et ajoutez la base de n8n et ses sauvegardes à la liste de ce qu'une demande d'effacement doit couvrir. Cette durée entre dans votre registre et dans vos mentions d'information.
Où sont les identifiants, et comment sont-ils protégés ?
n8n chiffre les identifiants qu'il enregistre avec une clé d'encryption créée au premier lancement dans ~/.n8n. La documentation recommande de la fixer avec N8N_ENCRYPTION_KEY ; en mode queue, la même clé est obligatoire sur tous les workers. Perdre cette clé rend les identifiants illisibles ; la divulguer annule la protection. Conservez-la dans un coffre de secrets, hors du dépôt de code, avec une sauvegarde séparée de la base. Le stockage externe des secrets est une fonction de l'offre Enterprise.
Que collecte n8n par télémétrie, et peut-on la couper ?
La page de confidentialité de n8n distingue la télémétrie, pour laquelle n8n est responsable de traitement, de vos données de workflow. En auto-hébergement, elle se désactive avec des variables d'environnement, dont N8N_DIAGNOSTICS_ENABLED=false, N8N_VERSION_NOTIFICATIONS_ENABLED=false et N8N_TEMPLATES_ENABLED=false. Exception documentée : les comptages liés à une licence payante ne se désactivent pas. n8n précise aussi que la clé de licence Business ou Enterprise contacte son serveur de licence chaque jour avec le nombre d'exécutions de production. Sur Cloud, la télémétrie ne se désactive pas ; les enregistrements de session sont supprimés après 21 jours.
Quels sous-traitants n8n Cloud fait-il intervenir ?
La page sous-traitants de n8n (mise à jour le 22 septembre 2026) liste notamment :
- Microsoft Azure pour l'infrastructure cloud, régions de l'Union (Allemagne, Suède à titre d'exemples) ;
- des fournisseurs d'IA, avec des localisations aux États-Unis et dans l'Union selon le fournisseur ;
- des sous-traitants du service « n8n Gateway », situés aux États-Unis, dans l'Union et à Singapour selon l'entrée ;
- les filiales n8n US Inc. et n8n UK Ltd pour le support, et Hetzner Online GmbH (Allemagne) pour le forum communautaire.
La liste est longue et change : lisez-la avant de signer, et repérez ceux qui concernent les fonctions que vous activez. Le DPA de n8n est pré-signé par n8n ; vous devez le contresigner et l'archiver. En auto-hébergement, cette liste ne vous concerne pas pour les données de workflow ; la vôtre commence avec votre hébergeur et les services que vos workflows appellent.
Quel hébergeur européen choisir pour auto-héberger n8n ?
Trois options courantes, avec ce que leurs mentions légales établissent à la date de lecture :
- OVHcloud : OVH SAS, 2 rue Kellermann, 59100 Roubaix, France ;
- Scaleway : Scaleway SAS, Paris, France ;
- Hetzner : Hetzner Online GmbH, Gunzenhausen, Allemagne.
Ce sont des sociétés établies dans l'Union, ce qui ne dispense de rien : vérifiez le lieu du centre de données choisi, le contrat de sous-traitance proposé (article 28) et, pour des données de santé, un hébergement certifié HDS (article L1111-8 du code de la santé publique). Waimia n'a pas vérifié les certifications de ces trois hébergeurs ; demandez-les au contrat. Les sauvegardes et les journaux de l'hébergeur lui-même sont aussi à mettre dans votre registre.
Que change la licence Community, Business ou Enterprise ?
L'édition Community est gratuite, auto-hébergée, sous la Sustainable Use License. D'après la documentation et la page de tarifs :
- Community : sans partage de workflows et d'identifiants, sans SSO, sans environnements, sans Git, sans projets, sans secrets externes ni diffusion des journaux (la journalisation standard est incluse). La version Community enregistrée (gratuite) ajoute notamment des dossiers et la donnée d'exécution personnalisée ;
- Business : auto-hébergé uniquement, avec SSO et LDAP, environnements, Git et mode queue ; la page de tarifs le mentionne pour moins de 100 salariés (667 €/mois, 40 000 exécutions) ;
- Enterprise : sur devis, avec stockage externe des secrets, diffusion des journaux (log streaming), rétention étendue des données et support avec engagement de service.
La licence encadre aussi le prestataire. D'après la FAQ de la licence, un prestataire peut construire des workflows pour ses clients si ceux-ci ne peuvent pas les créer ni les éditer, facturer la création, la maintenance et la formation, et installer n8n chez le client s'il n'héberge pas lui-même. Il ne peut pas héberger n8n comme un service où les clients construisent, ni le revendre en marque blanche. C'est le cadre dans lequel Waimia livre des automatisations n8n.
Quand l'auto-hébergement vaut la peine
Lecture de Waimia : l'économie de licence ne suffit pas, c'est la capacité à exploiter et à prouver qui tranche.
- Vous devez choisir le lieu exact des données ou les garder dans votre périmètre (secteur régulé, exigence client).
- Quelqu'un peut tenir serveur, sauvegardes, correctifs et accès, avec une astreinte réelle.
- Vos workflows traitent des données que vous ne voulez pas confier à un sous-traitant de plus.
- Vous savez régler la purge des journaux et la clé de chiffrement dès le premier jour.
- Personne ne sera responsable du serveur : un n8n non mis à jour et exposé est un risque plus grand que l'hébergement chez n8n.
- Vos volumes sont modestes et vos données peu sensibles.
- Vous voulez un DPA unique et une assistance de l'éditeur, quitte à lire la liste de ses sous-traitants.
Neuf points pour n8n, quel que soit l'hébergement
- 01 Ajoutez n8n et chaque service appelé par vos workflows (IA, CRM, messagerie) à votre registre des traitements.
- 02 Cloud : contresignez et archivez le DPA de n8n, et relisez la liste de ses sous-traitants avant de signer.
- 03 Auto-hébergé : signez le contrat de sous-traitance avec l'hébergeur et notez le lieu du centre de données.
- 04 Réglez la conservation des exécutions (EXECUTIONS_DATA_MAX_AGE) à la durée la plus courte utile.
- 05 Fixez N8N_ENCRYPTION_KEY, rangez-la dans un coffre et testez la restauration d'une sauvegarde.
- 06 Désactivez la télémétrie qui peut l'être et décidez de l'assistant IA de n8n.
- 07 Limitez les accès : un compte par personne, aucun secret dans les workflows partagés.
- 08 Écrivez la procédure d'effacement : exécutions, base, sauvegardes, journaux de l'hébergeur.
- 09 Contrôlez que la licence correspond à l'usage (interne ou prestataire) avant d'ouvrir à des clients.
Classez vos tâches avant de choisir le premier cas
Dix minutes, un classement par priorité en heures par mois : la grille vous le donne tout de suite, sans inscription. Vous pouvez ensuite la recevoir par e-mail pour la garder.
Sources, relevées le 15 octobre 2026
- n8n, tarifs et tableau comparatif des offres.
- n8n, documentation Privacy (rôles, RGPD en auto-hébergement, télémétrie).
- n8n, liste des sous-traitants (mise à jour du 22 septembre 2026) et DPA.
- n8n, variables d'environnement des exécutions et clé de chiffrement.
- n8n, fonctions de l'édition Community et FAQ de la licence.
- Mentions légales : OVHcloud, Scaleway, Hetzner.
- Légifrance, article L1111-8 du code de la santé publique (hébergement de données de santé).
Ce guide est une information générale, il n'est pas un avis juridique : pour votre cas, consultez votre délégué à la protection des données ou un avocat. Voir aussi la page conformité IA et, pour automatiser avec n8n, le service automatisation n8n.
n8n et RGPD : questions fréquentes
Q.01 n8n est-il conforme au RGPD ?
Un outil n'est pas conforme en soi : c'est votre usage qui l'est ou non. n8n fournit un DPA avec clauses contractuelles types pour Cloud et héberge les offres hébergées dans l'Union. En auto-hébergement, la conformité dépend de votre hébergeur, de la purge des journaux et de vos accès. Dans les deux cas, n8n et les services que vos workflows appellent vont dans votre registre.
Q.02 n8n auto-hébergé est-il sous-traitant de mes données ?
Non, d'après la documentation de n8n : en auto-hébergement, n8n n'est ni responsable de traitement ni sous-traitant pour les données de vos workflows. Votre hébergeur, lui, traite les données pour vous, donc vous signez avec lui. n8n reste responsable de sa télémétrie, qui se désactive en grande partie par variables.
Q.03 Combien de temps n8n garde-t-il les exécutions ?
En auto-hébergement, par défaut, la purge est activée avec un âge maximal de 336 heures (14 jours) et 10 000 exécutions, et tout est enregistré. Sur Cloud, le tableau des offres indique une durée maximale de journaux de 7 jours (Starter), 30 jours (Pro) et illimitée (Enterprise). Réglez la durée au plus court utile.
Q.04 Où n8n Cloud héberge-t-il les données ?
La page de tarifs de n8n indique un hébergement dans l'Union, à Francfort, pour les offres hébergées. La page des sous-traitants cite Microsoft Azure, avec des régions de l'Union. Certains sous-traitants listés (fournisseurs d'IA, services « n8n Gateway ») sont hors de l'Union : lisez la liste pour les fonctions que vous activez.
Q.05 Puis-je utiliser n8n Community pour des clients ?
Dans un cadre limité. D'après la FAQ de la licence, un prestataire peut construire des workflows pour ses clients si ceux-ci ne peuvent pas les créer ni les éditer, facturer création, maintenance et formation, et installer n8n chez le client s'il n'héberge pas lui-même. Héberger n8n comme un service où les clients construisent est exclu. Vérifiez avec la FAQ avant de vous lancer.
Q.06 Que manque-t-il à l'édition Community côté sécurité ?
D'après la documentation, l'édition Community n'inclut pas le SSO, les environnements, Git, les projets, le stockage externe des secrets ni la diffusion des journaux (log streaming). Le SSO et LDAP sont listés dans l'offre Business ; le stockage externe des secrets et la diffusion des journaux dans l'offre Enterprise.
Page mise à jour le par Simon Beros, fondateur de Waimia.