Proton

Proton AG est détenue par la Proton Foundation (Fondation Proton), une fondation suisse à but non lucratif enregistrée sous le numéro CHE-418.863.304. La fondation est devenue actionnaire principal de Proton AG le 17 juin 2024 et a pour mission statutaire, selon ses propres termes, de « faire progresser la confidentialité, la liberté et la démocratie dans le monde ». La fondation peut bloquer les prises de contrôle hostiles, et Proton s'engage à reverser 1 % de son chiffre d'affaires net à la fondation lorsque les conditions le permettent. Le reste des actions est détenu par les salariés de Proton, la fondation genevoise d'innovation FONGIT et des utilisateurs individuels de Proton.

L'ensemble des contenus utilisateurs -- e-mails, fichiers, événements de calendrier, coffres-forts de mots de passe, données de session VPN -- est stocké sur du matériel propriété de Proton en Suisse. Le centre de données principal de Proton se trouve à Zurich. Le chiffrement de bout en bout avec architecture zero-access garantit que Proton elle-même ne peut pas lire le contenu des données utilisateurs ; seules des métadonnées comme la date de création du compte et l'adresse IP utilisée à l'inscription sont conservées, et ces métadonnées peuvent être omises en payant en espèces. La région n'est pas configurable par le client ; la Suisse est la seule juridiction.

Proton AG est domiciliée en Suisse, sans filiale américaine ni société mère basée aux États-Unis -- le CLOUD Act n'atteint donc pas directement Proton AG. Plusieurs sous-traitants commerciaux de Proton sont toutefois incorporés aux États-Unis et traitent des données opérationnelles limitées : Stripe, Chargebee et PayPal pour le traitement des paiements ; Zendesk pour le support client ; Calendly pour la planification de rendez-vous commerciaux. Aucun de ces sous-traitants n'a accès aux contenus utilisateurs chiffrés -- ils ne voient que les métadonnées nécessaires à leur fonction. L'article 271 du Code pénal suisse interdit en outre à Proton de répondre directement à des demandes d'autorités étrangères qui ne transitent pas par les autorités suisses.

La liste canonique des sous-traitants de Proton figure à la section 3.1 de la politique de confidentialité, sur https://proton.me/legal/privacy -- le Data Processing Agreement renvoie explicitement à cette section comme document de référence. Il n'existe pas de page de sous-traitants autonome (/legal/subprocessors renvoie une 404). Les sous-traitants actuellement nommés sont Stripe, Chargebee, PayPal, Zendesk et Calendly, tous limités aux données de paiement ou de support.

Proton AG détient la certification ISO/IEC 27001:2022 (certification initiale en mai 2024, accréditée ANAB, cycle de trois ans avec audits de surveillance annuels) et a finalisé sa première attestation SOC 2 Type II en juillet 2025, auditée par Schellman. Le cadre de conformité couvre en outre le RGPD, la nLPD suisse révisée, HIPAA, CCPA, CJIS et PCI. Des audits de code indépendants par des tiers ont été menés par Cure53 (le plus récent : Proton Pass, juillet 2023) et Securitum (le plus récent : audit no-logs du VPN Proton, août 2025 -- quatrième revue annuelle consécutive).

Oui. Toutes les applications client Proton sont open source sur deux organisations GitHub : github.com/ProtonMail (Mail, Drive, Calendar, Bridge, clients mobiles, ainsi que la bibliothèque cryptographique gopenpgp) et github.com/protonpass (Pass et l'Authenticator autonome). Les clients principaux sont sous licence GPL-3.0 ; les bibliothèques cryptographiques (gluon, go-proton-api, go-crypto, pmcrypto, gopenpgp) sont sous licence MIT ou BSD-3-Clause. Tous les clients ont fait l'objet d'audits indépendants par des tiers.