Pourquoi choisir un hébergement souverain pour vos données ?

« Vos données sont hébergées en France. » La phrase rassure, et elle figure aujourd'hui sur beaucoup de sites de logiciels en ligne. Elle ne dit pourtant qu'une partie de l'histoire. Ce qui compte n'est pas seulement l'endroit où se trouvent les serveurs, mais aussi le droit auquel est soumis celui qui les opère, et celui de chacun de ses prestataires.

C'est tout l'enjeu d'un hébergement souverain. Pour une PME qui confie à un logiciel les données de ses collaborateurs ou de ses clients, la question mérite quelques minutes.

Localisation et juridiction : deux choses différentes

Deux notions sont souvent confondues :

• La localisation : le pays où se trouvent physiquement les serveurs et les sauvegardes.
• La juridiction : le droit auquel est soumise l'entreprise qui exploite ces serveurs, ou qui y a accès.

Une entreprise américaine peut exploiter un centre de données à Paris. Les données sont alors localisées en France, mais l'entreprise reste soumise au droit américain, y compris pour les données stockées hors des États-Unis. Un hébergement souverain, au sens où on l'entend généralement, combine les deux : des données en Europe, chez des prestataires qui ne relèvent pas d'une loi étrangère à portée extraterritoriale.

Ce que disent les lois américaines

On cite souvent le Patriot Act. Les textes à connaître aujourd'hui sont surtout deux autres.

Le CLOUD Act (2018)

Le Clarifying Lawful Overseas Use of Data Act, adopté en mars 2018, a précisé que les fournisseurs de services de communication ou de stockage soumis à la juridiction américaine doivent remettre, sur demande légale des autorités américaines, les données qui sont en leur « possession, garde ou contrôle », où que ces données soient situées. Le critère n'est donc pas l'emplacement du serveur, mais le contrôle qu'exerce le prestataire sur les données.

La section 702 du FISA

La section 702 du Foreign Intelligence Surveillance Act, introduite en 2008, permet aux services de renseignement américains de cibler les communications de personnes non américaines situées hors des États-Unis, en s'appuyant sur les fournisseurs de services américains, sans décision de justice individuelle. Elle a été prolongée à plusieurs reprises par le Congrès, et son renouvellement fait encore débat en 2026.

Les conséquences en Europe

C'est notamment en raison de ces programmes de surveillance que la Cour de justice de l'Union européenne a invalidé le Privacy Shield, l'accord qui encadrait les transferts de données vers les États-Unis, par l'arrêt Schrems II du 16 juillet 2020. Un nouveau cadre, le Data Privacy Framework, a été adopté par la Commission européenne le 10 juillet 2023. Il reste contesté, et de nombreuses entreprises préfèrent ne pas faire dépendre leurs données d'un équilibre juridique qui a déjà été remis en cause deux fois.

Pourquoi un hébergement souverain compte pour une PME

On pourrait penser que ces questions ne concernent que les grands groupes ou les données sensibles. Pourtant :

• le RGPD vous rend responsable des données que vous confiez à vos prestataires, y compris de leurs éventuels transferts hors de l'Union européenne ;
• vos clients et donneurs d'ordre posent de plus en plus la question, notamment dans les appels d'offres publics ;
• les données de vos collaborateurs et de vos prospects (coordonnées, organisation, contacts commerciaux) ont une valeur concurrentielle réelle ;
• la cohérence compte : il est difficile de vanter sa rigueur sur les données tout en confiant celles de ses équipes à des outils dont on ignore l'hébergement.

Les questions à poser à un éditeur de logiciel

Avant de choisir un outil en ligne, posez ces questions, et attendez des réponses précises :

1. Où sont hébergés l'application, la base de données, les fichiers et les sauvegardes ? Les sauvegardes sont souvent oubliées.
2. Qui est l'hébergeur, et de quel droit relève-t-il ? Un nom, un pays, une région.
3. Quels sont les autres sous-traitants ? Envoi d'emails, paiement, support, outils d'analyse : chacun est un maillon de la chaîne.
4. La liste des sous-traitants est-elle publiée, et datée ? Un éditeur sérieux la tient à jour et prévient de ses changements.
5. Y a-t-il des transferts hors de l'Union européenne ? Si oui, sur quelle base juridique ?
6. De quel droit relève le contrat, et que deviennent vos données à la fin de l'abonnement ?

Les limites honnêtes de la souveraineté

Une souveraineté totale est rare, et il vaut mieux s'en méfier quand elle est promise sans nuance. Quelques exemples concrets :

• Les cartes Apple Wallet et Google Wallet impliquent nécessairement Apple et Google, puisque la carte vit dans leur application.
• Le paiement par carte bancaire passe souvent par des prestataires internationaux.
• L'envoi d'emails transactionnels (codes de connexion, notifications) repose souvent sur des services spécialisés, pas toujours européens.

L'important est que ces dépendances soient connues, limitées au strict nécessaire, et écrites noir sur blanc.

Et chez Profiles Flow ?

Profiles Flow est édité par une société française, et ses contrats relèvent du droit français. Voici la situation telle qu'elle est, maillon par maillon :

• Hébergement de l'application, de la base, des fichiers et des sauvegardes : Scaleway, hébergeur français, dans des centres de données en France.
• Emails transactionnels (codes de connexion, notifications de leads) : Scaleway, en France.
• Paiement : Stripe, par carte bancaire ou prélèvement SEPA. Profiles Flow ne voit jamais les numéros de carte ni les coordonnées bancaires.
• Facturation : Sellsy, éditeur français.
• Cartes Wallet : Apple et Google, nécessairement, pour la carte elle-même.

Côté données, plusieurs choix limitent ce qui circule : statistiques sans cookie et sans adresse IP stockée, connexion sans mot de passe, mot de passe de l'annuaire Active Directory chiffré et jamais réaffiché, délégation Google Workspace sans aucun accès aux messages. La liste des sous-traitants est publiée et datée sur la page légale dédiée. Le détail est sur la page cloud souverain, et les engagements contractuels dans les CGV.

Questions fréquentes

Envie de voir comment sont traitées vos données ? Profiles Flow est en essai gratuit 30 jours, sans carte bancaire.