TrustArc

Ce que c’est

TrustArc est la plateforme de gestion de la confidentialité née en 1997 sous le nom de TRUSTe, le sceau de confidentialité pour sites web. Elle vend aujourd’hui deux moitiés sur une seule plateforme. Le Privacy Studio couvre le travail tourné vers le client : Cookie Consent Manager, Consent & Preference Manager, Individual Rights Manager pour les demandes des personnes concernées (DSAR) et un Trust Center public. La Governance Suite couvre le programme : PrivacyCentral, Data Mapping & Risk Manager, Assessment Manager et Nymity Research, une bibliothèque réglementaire de plus de 50 000 références rédigées par des experts couvrant plus de 140 juridictions. À côté se trouvent les certifications TRUSTe ainsi que les services de vérification et de règlement des litiges de l’EU-U.S. Data Privacy Framework, qu’aucun autre éditeur de plateforme n’opère.

C’est ce qui ressemble le plus à OneTrust à plus petite échelle. Bregal Sagemount l’a cédée au fonds de private equity néerlandais Main Capital Partners en octobre 2025, à des conditions non divulguées. Deux mois plus tard, le 18 décembre 2025, TrustArc a rendu Arc disponible pour tous : une interface reconstruite, une Evidence Library partagée et Arc Intelligence, une couche d’IA dont l’assistant Ask Arc répond aux questions réglementaires avec citations. Le 8 octobre 2026, TrustArc a rendu Ask Arc agentique. Il peut désormais lire, créer, modifier et supprimer des enregistrements (une fiche fournisseur, une entrée de la cartographie des données, une évaluation des risques fournisseur à partir d’un modèle approuvé), une personne approuvant chaque écriture. La même version a ajouté MCP dans les deux sens : Arc lit depuis Salesforce, Atlassian et d’autres outils MCP, et les équipes confidentialité peuvent interroger Arc depuis Claude, ChatGPT ou Microsoft 365 Copilot.

Pourquoi elle apparaît dans les stacks Legal Ops

• C’est le deuxième devis habituel face à OneTrust. La plupart des suites de confidentialité s’achètent lors d’un renouvellement OneTrust, et TrustArc est celle dont la couverture de modules est comparable ; elle fixe donc le plafond de prix dans cette négociation.
• La recherche est intégrée. Nymity Research se trouve à côté des évaluations : une AIPD au titre du GDPR ou une nouvelle loi d’un État américain amène l’exigence juridique sur le même écran que les preuves. Les petites équipes confidentialité qui ne peuvent pas payer un abonnement de recherche séparé s’en servent beaucoup.
• La certification est un atout face aux acheteurs. Si votre équipe commerciale répond à des questions de confidentialité lors des revues de sécurité, un sceau TRUSTe ou la vérification DPF y répond en une ligne. Le rapport annuel DPF 2025 de TrustArc recense 246 participants vérifiés.

Prix réel

Il n’y a ni grille tarifaire publique ni offre en libre-service ; tout passe par « book a demo ». Le guide d’achat de Vendr de février 2026 situe le contrat médian à 15 120 $ par an, avec des transactions allant d’environ 8 200 $ à 43 800 $. Cette médiane reflète surtout des contrats à un ou deux modules. Les estimations par module du même guide sont plus élevées : 15 000–40 000 $ par an pour le consentement aux cookies sur 1–5 domaines et 30 000–70 000 $ pour le risque fournisseurs sur 50–200 fournisseurs, avec une mise en œuvre de 10 000–50 000+ $ et des hausses annuelles de 3–7 %. La page de Vendr est elle-même incohérente sur le nombre de contrats et les paliers ; retenez la médiane comme chiffre fiable et les fourchettes par module comme borne haute.

Notre estimation de travail à partir de ces chiffres : environ 15 000 $ par an pour un seul module et 40 000–90 000 $ par an pour un programme de gouvernance à trois ou quatre modules dans une entreprise de taille moyenne. Vendr rapporte 20–35 % de remise sur le prix catalogue pour les contrats pluriannuels ou mis en concurrence, et l’exercice fiscal de TrustArc se clôt en décembre : les devis de fin d’année offrent le plus de marge.

Idéal pour

Les responsables confidentialité d’entreprises de 500 à 5 000 salariés soumises au GDPR et à plusieurs lois d’États américains, avec une équipe confidentialité d’une à cinq personnes, qui ont besoin du consentement, des DSAR, de la cartographie des données et des évaluations dans un seul système et veulent la recherche réglementaire incluse. Elle convient aussi aux entreprises qui doivent présenter à leurs clients une certification reconnue ou la vérification DPF.

Ne l’achetez pas si votre programme de confidentialité se résume à un bandeau cookies sur un ou deux sites ; un outil de consentement dédié coûte une fraction du contrat médian. Ne l’achetez pas non plus si l’ingénierie doit porter le consentement et la suppression dans les systèmes de production ; un outil API-first convient mieux à ce modèle.

Face aux alternatives

OneTrust est le leader du marché avec une large avance (IDC lui attribuait 29,7 % de part en 2022). Choisissez OneTrust quand il vous faut le catalogue de modules le plus large, le risque tiers à l’échelle enterprise ou une gouvernance de l’IA reliée à l’inventaire de confidentialité. Choisissez TrustArc quand le programme repose sur les évaluations et la recherche et que vous voulez des prix catalogue plus bas ; Vendr estime que OneTrust affiche des prix catalogue 10–25 % plus élevés à périmètre comparable.

Securiti, rachetée par Veeam en décembre 2025, l’emporte quand le vrai travail est la découverte des données dans les stockages cloud et que la sécurité partage le budget.

DataGrail, Ketch et Transcend sont les challengers mid-market qui avancent vite ; chacun a livré des agents IA et la prise en charge de MCP en 2026. Choisissez DataGrail pour une petite équipe qui doit mettre en place rapidement les DSAR et la cartographie des données, Ketch pour le consentement marketing et l’application des opt-out, et Transcend quand l’ingénierie intègre la confidentialité dans le code.

Vanta convient quand le moteur est la preuve pour SOC 2 ou ISO 27001 plutôt que le droit de la confidentialité.

Points de vigilance

• Nouveau propriétaire, nouvelles incitations tarifaires. Main Capital détient TrustArc depuis un an, et un nouveau propriétaire peut revoir les prix de renouvellement ou retirer les modules les moins dynamiques. Garde-fou : plafonnez les hausses annuelles à 5 % dans le bon de commande, ajoutez un droit de résiliation en cas de changement de contrôle et limitez la durée à 24 mois.
• La réactivité du support est inégale. G2 note TrustArc 4,2 sur 328 avis, mais une quinzaine d’avis citent des réponses lentes du support et des retours restés sans suite. Garde-fou : inscrivez des engagements de délai de réponse dans le contrat et obtenez un customer success manager nommément désigné avant de signer.
• Les fonctions agentiques sont récentes. Ask Arc agentique et MCP sont sortis en octobre 2026, avec trois témoignages clients et aucune donnée d’usage publiée. Garde-fou : achetez sur la base des modules dont vous avez besoin aujourd’hui, testez Ask Arc sur un seul workflow (par exemple des fiches fournisseurs qui alimentent la skill de due diligence fournisseurs) et vérifiez à quels enregistrements un assistant externe peut accéder avant d’activer MCP.
• La qualité de la cartographie des données décide de tout. Le traitement des DSAR, comme le flux d’intake DSAR, ne vaut que ce que vaut la cartographie derrière. Garde-fou : désignez un responsable de la cartographie des données et planifiez une revue trimestrielle avant le déploiement.