Quand vous domiciliez votre siège chez un tiers, vous lui confiez des données personnelles : votre identité, celle de vos associés et bénéficiaires effectifs, vos pièces justificatives et tout le courrier que votre société reçoit. Le RGPD s’applique donc des deux côtés du contrat : le domiciliataire doit traiter ces données dans les règles, et vous devez vérifier qu’il le fait, tout en protégeant votre propre adresse personnelle. Voici ce qu’il faut contrôler, clause par clause, avant de signer.
En bref
- Le domiciliataire agréé collecte et conserve vos données d’identité, celles de votre société et de vos bénéficiaires effectifs, ainsi que votre courrier : il doit vous informer et sécuriser ces données.
- Le RGPD ne dépend pas de l’étiquette du contrat : la CNIL qualifie responsable de traitement ou sous-traitant selon les faits, c’est-à-dire selon qui décide des finalités et des moyens.
- Depuis le décret du 22 août 2025, un dirigeant peut demander la confidentialité de son adresse personnelle au RCS. La domiciliation reste la solution la plus simple pour ne pas l’exposer.
- Un domiciliataire sans agrément préfectoral s’expose à des sanctions pénales : vérifiez l’arrêté avant tout échange de pièces d’identité.
- Une adresse sérieuse, un contrat clair et un courrier bien géré servent aussi votre image auprès des clients, banques et fournisseurs.
Table des matières
- Pourquoi le RGPD concerne la domiciliation
- Qui est responsable : domiciliataire ou entreprise domiciliée ?
- Ce que la loi impose au domiciliataire
- Vos droits en tant que personne domiciliée
- Checklist avant de signer
- Protéger l’adresse personnelle du dirigeant
- Éviter les difficultés à l’immatriculation
- Domiciliation et image de marque
- Notre point de vue
- Trouver un domiciliataire dont l’agrément est vérifié
- FAQ
- Sources
Pourquoi le RGPD concerne la domiciliation
Une société de domiciliation n’est pas une simple boîte aux lettres. Pour fournir une adresse de siège social, elle ouvre un dossier client complet : pièce d’identité du représentant légal, extrait d’immatriculation ou projet de statuts, informations sur les bénéficiaires effectifs, coordonnées de contact. Elle réceptionne ensuite le courrier, parfois le numérise, le transfère ou le tient à disposition. Chaque étape est un traitement de données personnelles au sens du RGPD.
Ces données sont de natures différentes :
- Données d’identification : nom, date de naissance, adresse personnelle, téléphone, adresse électronique du dirigeant et des associés.
- Données sur la société : dénomination, forme, activité, bénéficiaires effectifs.
- Pièces justificatives : copie de pièce d’identité, justificatif de domicile, extrait Kbis.
- Données de courrier : expéditeur, contenu éventuel des plis ouverts ou numérisés, qui peuvent contenir des données fiscales, bancaires ou de santé de tiers.
Le dernier point est souvent oublié. Un courrier numérisé révèle des informations que ni vous ni votre domiciliataire n’avez choisies : un courrier de l’administration fiscale, un relevé, un courrier d’avocat. Cela justifie des règles d’accès strictes côté prestataire.
Qui est responsable : domiciliataire ou entreprise domiciliée ?
La réponse n’est pas toujours celle que l’on croit. Pour ses propres obligations légales (constitution du dossier client, vérifications d’identité, registre des personnes domiciliées), le domiciliataire décide lui-même pourquoi et comment il traite vos données : il agit en responsable de traitement. Pour le courrier que vous recevez et les données de vos propres clients ou salariés qu’il contient, il agit en revanche pour votre compte, ce qui le rapproche du sous-traitant.
La CNIL rappelle un principe qui évite les mauvaises surprises : la qualification dépend des faits réels, notamment de qui décide des finalités et des moyens du traitement, et non du libellé choisi dans le contrat. Un contrat qui annonce « sous-traitant » ne suffit donc pas si, dans les faits, le prestataire réutilise vos données pour son propre compte (prospection, revente de fichiers, par exemple).
La même page précise que le responsable de traitement doit s’assurer que son sous-traitant offre les garanties nécessaires et conclure avec lui un contrat écrit, précis, clair et contraignant. Quand vous êtes le responsable de traitement pour les données contenues dans votre courrier, c’est donc à vous de demander ce contrat.
Un partage des rôles à clarifier par écrit
Exigez que le contrat de domiciliation indique, noir sur blanc :
- les traitements que le domiciliataire effectue pour ses obligations légales, et ceux qu’il effectue pour votre compte ;
- les finalités et la durée de conservation de chaque catégorie de données ;
- les personnes ou services qui y accèdent (équipe, prestataire de numérisation, hébergeur) ;
- l’interlocuteur à joindre pour exercer vos droits.
Si votre domiciliataire agit pour votre compte, la CNIL indique que toute opération non prévue au contrat devrait, en principe, donner lieu à une renégociation préalable ou à des instructions écrites. Concrètement : si vous voulez ajouter la numérisation du courrier ou un transfert vers une adresse à l’étranger, cela se formalise.
Ce que la loi impose au domiciliataire
La domiciliation commerciale est une activité réglementée. D’après la fiche du greffe du tribunal de commerce d’Orléans, la société de domiciliation doit obtenir l’agrément du préfet avant son immatriculation au RCS. Elle doit aussi justifier être propriétaire des locaux ou titulaire d’un bail commercial, et mettre à disposition des personnes domiciliées des locaux dotés d’une pièce propre à assurer la confidentialité et la tenue, la conservation et la consultation des documents prescrits.
La confidentialité n’est donc pas qu’un sujet informatique : la loi demande une pièce physique adaptée. Le même document rappelle les sanctions : l’exercice sans agrément préalable est puni de six mois d’emprisonnement et de 7 500 € d’amende, et le domiciliataire qui manque à ses autres obligations s’expose à l’amende prévue pour les contraventions de 5e classe.
Le domiciliataire doit par ailleurs tenir à jour des informations sur ses clients et les communiquer à certaines autorités. Ce sont des communications légales encadrées, pas des fuites : elles doivent figurer dans la notice d’information que l’on vous remet. Notre guide sur les obligations du domiciliataire détaille cette liste, et celui sur le registre des clients domiciliés explique ce que le prestataire doit consigner et conserver.
Vos droits en tant que personne domiciliée
Le RGPD vous donne des droits sur vos données : accès, rectification, effacement dans certains cas, limitation, opposition. Ils connaissent des limites dans la domiciliation, car une partie des données est conservée en vertu d’une obligation légale. Un domiciliataire ne peut pas effacer votre dossier le lendemain de la résiliation si la loi lui impose de le garder. Il doit en revanche vous dire combien de temps, pourquoi, et supprimer ensuite.
Les droits ne s’exercent pas non plus tous de la même façon. Pour les données liées à la lutte contre le blanchiment, le droit d’accès passe en principe par la CNIL, un dispositif indirect que le domiciliataire doit mentionner dans sa notice. Si cette mention manque, ce n’est pas un détail : c’est le signe d’une documentation RGPD approximative.
La notice d’information au moment de la collecte
Avant ou au moment où vous remettez vos pièces, le prestataire doit vous fournir une information claire : identité du responsable, finalités, base légale, destinataires, durée de conservation, droits et possibilité de saisir la CNIL. En pratique, le contrat est souvent signé par voie électronique. Si vous devez retourner un contrat ou une notice annotée, signer un PDF en ligne sans envoyer le fichier sur un serveur évite de multiplier les copies de vos documents sur des services tiers.
Checklist avant de signer
Voici les points à vérifier, dans l’ordre où il vaut mieux les traiter :
- L’agrément. Demandez le numéro et la date de l’arrêté préfectoral, puis contrôlez-les. Notre guide vérifier l’agrément d’un domiciliataire explique la méthode. Ne transmettez aucune pièce d’identité avant.
- La notice RGPD. Elle doit exister, être accessible avant la signature et nommer un responsable identifiable.
- Les clauses de sous-traitance. Qui numérise votre courrier ? Où sont hébergées les données ? Le prestataire fait-il appel à des sous-traitants ultérieurs ?
- La durée de conservation. Une durée précise par type de donnée vaut mieux qu’une formule vague.
- La gestion du courrier. Qui ouvre les plis, qui y accède, comment les accès sont-ils tracés ?
- La procédure en cas d’incident. Le prestataire doit savoir comment il vous alerte si des données sont perdues ou consultées à tort.
- La sortie du contrat. Restitution du courrier restant, suppression ou archivage des documents, délai annoncé.
La liste des formalités de domiciliation complète cette vérification avec les pièces à fournir, ce qui permet de ne transmettre que le nécessaire. Le principe de minimisation du RGPD vaut pour vous aussi : si on vous réclame un document qui ne figure pas dans la liste légale, demandez pourquoi.
Protéger l’adresse personnelle du dirigeant
La domiciliation répond à une question de vie privée très concrète : où est publiée l’adresse de votre société ? Un entrepreneur qui installe son siège à son domicile voit cette adresse apparaître sur des sites de renseignements d’entreprise, dans les annonces légales et dans les bases accessibles au public. Pour un indépendant qui reçoit de la clientèle ou qui subit du démarchage, ce n’est pas anodin.
Plusieurs protections coexistent :
- Domicilier la société chez un prestataire agréé : l’adresse publique devient celle du domiciliataire, votre domicile n’apparaît pas comme siège. Notre article sur la domiciliation chez soi compare cette option avec le siège au domicile.
- La confidentialité de l’adresse au RCS : le décret du 22 août 2025 permet aux dirigeants de demander que les informations relatives à leur domicile personnel restent confidentielles. Infogreffe décrit la procédure d’occultation et le texte qui l’encadre, et le Conseil national des greffiers des tribunaux de commerce présente la nouvelle démarche.
Les deux mesures ne se remplacent pas. L’adresse du siège reste publique par nature, tandis que la confidentialité vise l’adresse de domicile du dirigeant qui figure dans les dossiers. Si vous êtes dirigeant, vous avez intérêt à cumuler : un siège domicilié et une demande de confidentialité sur votre adresse personnelle. Pour les conditions précises (qui peut demander, qui peut accéder aux informations), reportez-vous aux pages officielles ci-dessus, car le dispositif est récent et peut évoluer.
Domicile fiscal et siège : ne pas confondre
Choisir une adresse de siège n’a pas pour effet de changer votre domicile fiscal personnel. Ce sont deux notions distinctes, avec des conséquences différentes pour vos déclarations et votre lieu d’imposition. Notre article domicile fiscal et siège social pose la différence, utile pour éviter qu’une adresse choisie pour la confidentialité crée une difficulté déclarative.
Éviter les difficultés à l’immatriculation
Les refus de formalités liés à la domiciliation viennent presque toujours de la même source : une adresse que le greffe ne peut pas rattacher à un domiciliataire régulier. Pour éviter cela :
- vérifiez que le prestataire figure bien sur la liste des sociétés agréées avant de signer ;
- assurez-vous que le contrat de domiciliation porte le nom exact de votre société et la durée prévue ;
- gardez une copie du contrat et de l’attestation remise, avec ses mentions de date ;
- ne communiquez que les pièces nécessaires, par un canal sécurisé plutôt que par courriel simple.
Un dossier propre sur le plan RGPD est aussi un dossier propre sur le plan administratif : mêmes pièces, même vérification, même interlocuteur. Notre guide de l’agrément préfectoral explique ce que recouvre cet acte, et celui pour ouvrir une société de domiciliation intéressera les professionnels qui voudraient eux-mêmes exercer cette activité et se mettre en conformité.
Domiciliation et image de marque
L’adresse de votre société est lue par vos clients, vos fournisseurs, votre banque et vos futurs partenaires. Elle figure sur vos factures, vos devis, vos mentions légales, votre site et votre signature. Trois effets jouent sur votre image.
La crédibilité. Une adresse stable dans un quartier d’affaires ou une ville identifiable rassure davantage qu’un domicile dans une zone sans lien avec votre activité. Elle signale une entreprise structurée, surtout pour une startup ou une société de conseil qui travaille à distance.
La cohérence. L’adresse du siège doit correspondre à celle de vos mentions légales, de vos contrats, de vos pages de réseaux professionnels et de vos annuaires. Une incohérence éveille la méfiance, voire déclenche une vérification chez un partenaire bancaire.
La fiabilité perçue. Un domiciliataire qui respecte le RGPD vous évite des scénarios qui abîment la réputation : courrier égaré, plis ouverts par erreur, coordonnées de dirigeants circulant sur des listes de démarchage. À l’inverse, un prestataire dont les mentions de confidentialité sont absentes ou approximatives vous fait courir un risque que vos clients ne vous pardonneront pas.
Conseil pratique : choisissez l’adresse en fonction de ce que vos clients doivent comprendre de vous. Si vous recevez du public, la domiciliation seule ne suffit pas, il faut aussi un lieu d’accueil. Si vous travaillez en ligne, une adresse de siège professionnelle et un traitement soigné du courrier suffisent largement.
Notre point de vue
Nous répertorions des sociétés de domiciliation depuis les actes officiels, pas depuis leurs déclarations. Ce parti pris vaut aussi pour le RGPD : avant de parler de clauses, de durées de conservation ou de notices, la première question est de savoir si votre interlocuteur a le droit d’exercer. Un prestataire sans agrément ne protège ni votre adresse ni vos données, et aucune politique de confidentialité soignée n’y change rien.
Nous constatons que les entrepreneurs consacrent beaucoup de temps au tarif et très peu à ce qu’ils remettent en échange : une copie de pièce d’identité, des informations sur les bénéficiaires effectifs, un courrier qui peut contenir des données de tiers. Notre conseil est simple : comparez d’abord sur le statut d’agrément, puis sur la clarté de l’information RGPD, puis sur le prix. Un prestataire sérieux répond sans embarras à vos questions sur la conservation, l’accès au courrier et la sortie du contrat.
Nous ne prétendons pas certifier les pratiques RGPD de chaque domiciliataire : cela relève de la CNIL et de votre propre vigilance. Notre rôle est de vous donner une base solide, un statut d’agrément vérifié et la source administrative qui le soutient, pour que vous puissiez poser vos questions en connaissance de cause.
— Aimen
Trouver un domiciliataire dont l’agrément est vérifié
Notre annuaire recense les sociétés de domiciliation agréées en France. Chaque fiche indique le statut d’agrément à jour et la source administrative sur laquelle il repose, ce qui vous permet de commencer par le critère qui compte avant de transmettre vos pièces. Consultation et guides sont gratuits pour les entrepreneurs et les PME.
Parcourez l’annuaire des sociétés de domiciliation agréées, ou lisez d’abord le guide complet de la domiciliation d’entreprise pour préparer vos questions.
FAQ
Le domiciliataire est-il soumis au RGPD ?
Oui. Dès qu’il collecte et conserve des données d’identification, des pièces justificatives et du courrier concernant des personnes physiques, il traite des données personnelles. Il doit donc informer les personnes, sécuriser les données, limiter leur conservation et respecter leurs droits, en plus de ses obligations propres de domiciliataire agréé.
Dois-je signer un contrat de sous-traitance RGPD avec ma société de domiciliation ?
Cela dépend des faits. Selon la CNIL, la qualification dépend de qui décide des finalités et des moyens, et lorsqu’un prestataire traite des données pour votre compte, un contrat écrit et précis est nécessaire. Demandez à votre domiciliataire comment il qualifie chaque traitement, et faites figurer les clauses dans le contrat.
Mon adresse personnelle est-elle visible si je domicilie mon entreprise ?
L’adresse du siège publiée est celle du domiciliataire, pas la vôtre. Votre adresse personnelle peut toutefois figurer dans certains dossiers d’immatriculation. Depuis le décret du 22 août 2025, les dirigeants peuvent demander la confidentialité de ces informations : consultez la page officielle d’Infogreffe pour la démarche.
Que risque un domiciliataire non agréé ?
D’après la fiche du greffe du tribunal de commerce d’Orléans, l’exercice sans agrément préalable est puni de six mois d’emprisonnement et de 7 500 € d’amende. Pour vous, le risque est surtout une immatriculation compromise et des données remises à un acteur qui n’est pas contrôlé.
Une adresse de domiciliation nuit-elle à l’image de mon entreprise ?
Non, si elle est cohérente avec votre activité et utilisée partout de la même façon. Ce qui nuit, c’est une adresse imprécise, qui change souvent, ou un courrier mal traité. Une adresse stable chez un domiciliataire agréé renforce en général la confiance de vos interlocuteurs.
Sources
- CNIL : responsable du traitement, sous-traitants, comment bien identifier son rôle
- CNIL : responsable de traitement et sous-traitant, 6 bonnes pratiques
- Greffe du tribunal de commerce d’Orléans : obligations des sociétés de domiciliation commerciale et des domiciliés
- Service-public Entreprendre : le dirigeant peut protéger les informations relatives à son domicile
- Infogreffe : occultation de l’adresse du dirigeant au RCS
- CNGTC : nouvelle procédure d’occultation des adresses personnelles
- FlowPDF : signer un PDF en ligne
