n8n

n8n GmbH est immatriculée à Novalisstr. 10, 10115 Berlin, Allemagne (Amtsgericht Charlottenburg HRB 212509 B, TVA DE327574983), avec son fondateur Jan Oberhauser comme unique Geschäftsführer. La politique de confidentialité et les Master Enterprise Terms désignent tous deux n8n GmbH comme responsable de traitement et partie au contrat. Les conventions clients (aussi bien les Self-Serve Terms que les Master Enterprise Terms) retiennent toutefois le droit d'Angleterre et Pays de Galles avec Londres comme juridiction exclusive -- il s'agit d'un choix de for, et non d'un changement d'applicabilité du droit de la protection des données. Les données personnelles européennes restent soumises au RGPD. Aucune filiale ni entité déclarante américaine n'est divulguée dans la mention légale, la liste des sous-traitants ou les conditions générales.

L'exposition est classée comme « partielle via les sous-traitants ». La structure corporative est entièrement européenne -- n8n GmbH (Berlin) contractualise directement avec les clients et il n'existe aucune filiale américaine. L'exposition passe par la chaîne de sous-traitants : les données de flux de travail des clients sont traitées sur Microsoft Azure (maison mère américaine ; régions UE à Francfort et en Suède), le trafic transite par Cloudflare (États-Unis), la télémétrie applicative est envoyée à Sentry (États-Unis, o1420875.ingest.us.sentry.io), et les intégrations IA -- lorsqu'elles sont activées par le client -- transmettent les invites et les réponses à OpenAI (États-Unis), Anthropic (contractualisé via Anthropic Ireland Ltd ; inférence en région américaine), Google Vertex AI (UE/États-Unis) et LangChain (États-Unis). Les transferts internationaux sont documentés au titre du Data Privacy Framework UE-États-Unis et des clauses contractuelles types prévues aux articles 44 et suivants du RGPD. Un déploiement auto-hébergé de l'édition Community supprime entièrement la chaîne de sous-traitants SaaS -- le client choisit son propre hébergement et ses propres fournisseurs IA.

n8n est à code disponible mais n'est PAS open source au sens de l'OSI. Le dépôt n8n-io/n8n est régi par une Sustainable Use License v1.0 sur mesure, complétée par une exception pour l'édition Enterprise -- les métadonnées de licence de GitHub renvoient à juste titre « Other » plutôt qu'une licence reconnue par l'OSI. Limitations textuelles de la licence : « Vous ne pouvez utiliser ou modifier le logiciel que pour vos propres besoins internes d'entreprise ou à des fins non commerciales ou personnelles. Vous ne pouvez distribuer le logiciel ou le fournir à des tiers que si vous le faites gratuitement et à des fins non commerciales. » Les fichiers de code source contenant .ee. dans leur nom ou .ee dans leur répertoire sont exclus de la Sustainable Use License et requièrent une licence Enterprise distincte. Le dépôt est passé d'Apache 2.0 + Commons Clause à la Sustainable Use License en mars 2022.

n8n Cloud est hébergé sur Microsoft Azure dans l'Union européenne -- la page tarifaire indique que les offres hébergées dans l'UE stockent les données à Francfort, en Allemagne, et la page sécurité précise que d'autres régions sont en préparation. Le chiffrement au repos est assuré côté serveur Azure en AES-256 (FIPS 140-2) ; le chiffrement en transit utilise TLS via Cloudflare (point de présence en périphérie à Francfort, observé dans les en-têtes cf-ray). La liste complète des sous-traitants (https://n8n.io/legal/sub-processors/) recense six entités autorisées : Microsoft Azure (maison mère américaine, résidence UE), Hetzner Online (Allemagne), OpenAI (États-Unis), Anthropic (Irlande), Google Vertex AI (UE/États-Unis) et LangChain (États-Unis). Les données de flux de travail des clients sont supprimées dans un délai d'environ six mois après désactivation du compte, sauf obligation légale contraire. Les déploiements auto-hébergés Community et Business conservent l'ensemble des données client au sein de l'infrastructure choisie par le client.

Non. Les AI Terms publiés sur https://n8n.io/legal/ai-terms/ énoncent deux interdictions contraignantes, mot pour mot : « n8n ne pourra pas : utiliser les données client pour entraîner des modèles d'IA exploités par n8n » et « n8n n'utilisera pas les sorties IA pour entraîner des modèles d'IA exploités par n8n ». La politique de confidentialité le confirme : « Aucune donnée personnelle utilisée pour l'entraînement de modèles d'IA ou de ML ». L'architecture IA est elle aussi simple par conception -- n8n n'exploite pas de services LLM en propre ; les AI Terms précisent au contraire que « le client configure les fournisseurs LLM (OpenAI, Anthropic, Google, etc.) avec ses propres identifiants d'API », ce qui signifie que la relation entre le client et le fournisseur de LLM est directe, et que les politiques de traitement des données de chaque fournisseur s'appliquent à ce niveau. La Customer Acceptable Use Policy (entrée en vigueur en mars 2026) interdit aussi explicitement « l'utilisation de composants IA pour entraîner des modèles concurrents ».