« Souverain » est devenu un argument de vente, et comme tout argument de vente il a perdu son sens. Un prestataire peut écrire « hébergement souverain » sur son site sans que cela engage quoi que ce soit.
Quatre éléments, en revanche, s'écrivent dans un contrat et se vérifient avant signature. Ce sont les seuls qui comptent.
L'essentiel
- Localisation : des villes, pas une « région Europe ». Atalios héberge chez OVHcloud à Roubaix et Strasbourg.
- Droit applicable : le CLOUD Act suit la nationalité de l'entreprise qui opère le service, pas l'emplacement des machines.
- Sous-traitants : une liste nominative, annexée au contrat, avec information préalable en cas de changement.
- Réversibilité : un format, un délai, un coût. Export complet et gratuit à tout moment chez Atalios.
- Un logiciel libre ne suffit pas : il supprime la dépendance à l'éditeur, pas celle à l'hébergeur.
Les quatre questions, et la réponse acceptable
| Question | Réponse inacceptable | Réponse acceptable |
|---|---|---|
| Où sont mes données ? | « En Europe » | Des villes nommées, pour les données et les sauvegardes |
| Quel droit s'applique à l'hébergeur ? | « Nous sommes conformes RGPD » | Un droit, et une société immatriculée |
| Qui sont vos sous-traitants ? | « Sur demande » | Une liste nominative, consultable avant signature |
| Comment je récupère tout ? | « Nous fournissons vos données » | Un format, un délai, un coût |
La colonne du milieu n'est pas caricaturale : ce sont des réponses que nous entendons régulièrement rapporter par des entreprises en train de comparer des offres. Chacune est une non-réponse polie.
Pour notre part : OVHcloud, Roubaix et Strasbourg ; droit français, société immatriculée sous le SIREN 109 570 358 ; liste des sous-traitants annexée au DPA ; export complet et gratuit à tout moment, prévu aux CGV.
Pourquoi la localisation ne suffit pas
C'est le point le plus contre-intuitif, et celui qui invalide la plupart des raisonnements : un centre de données situé en France ne met pas vos données hors de portée d'un droit étranger.
Le CLOUD Act américain suit la nationalité de l'entreprise qui opère le service. Une filiale française d'un groupe américain peut être tenue de communiquer des données hébergées à Paris.
Le critère utile n'est donc pas géographique, il est juridique : quelle entreprise, soumise à quel droit, opère le service ? C'est une question à poser, et la réponse figure dans les mentions légales.
Voir le CLOUD Act et les données d'une entreprise française.
La chaîne de sous-traitance, maillon oublié
Un service peut être français, opéré par une société française, et reposer sur un stockage objet ou un service d'envoi de courriels situé hors d'Europe. La chaîne est aussi souveraine que son maillon le plus faible.
Les endroits où cela se produit le plus souvent, et qu'il faut regarder nommément :
- L'envoi des courriels transactionnels — factures, relances, notifications. Très souvent délégué à un service tiers.
- Le stockage des fichiers joints, parfois distinct de la base de données.
- La supervision et les journaux techniques, qui contiennent plus d'informations qu'on ne le croit.
- Les sauvegardes, dont la localisation diffère parfois de celle des données vives.
La quatrième est la plus fréquente et la plus gênante : des données en France, des sauvegardes ailleurs. C'est précisément pour cela qu'il faut poser la question pour les deux, séparément.
Souveraineté, RGPD, sécurité : trois choses différentes
| Ce que c'est | Ce que ce n'est pas | |
|---|---|---|
| RGPD | Un cadre de traitement des données personnelles | Une garantie de localisation |
| Sécurité | Chiffrement, correctifs, sauvegardes testées | Une garantie d'indépendance |
| Souveraineté | Une maîtrise de votre dépendance juridique | Un label, ni une nationalité de marque |
On peut être parfaitement conforme au RGPD sans être souverain, et parfaitement sécurisé sans être ni l'un ni l'autre. Ces trois exigences se posent séparément, et un prestataire qui répond à l'une en pensant répondre aux trois n'a pas compris la question.
Voir les obligations RGPD d'une PME qui héberge un ERP.
Le critère qui se teste tout de suite
Trois des quatre critères se lisent dans un contrat. Le quatrième se teste, et c'est le seul qui ne se raconte pas.
Demandez un export complet de vos données — base, fichiers joints, configuration — avant d'en avoir besoin. Le temps que cela prend, et la forme de ce que vous recevez, vous disent exactement ce qui se passera le jour où vous voudrez partir.
La réversibilité est le seul critère de souveraineté qui se vérifie en une journée, et c'est celui que personne ne vérifie.
Chez nous, cet export est gratuit et disponible à tout moment, et comme Odoo Community est sous licence libre, vous pouvez remonter l'instance ailleurs sans rien racheter. Voir sortir d'un logiciel : la réversibilité en pratique.
Questions fréquentes
Un hébergeur français garantit-il la souveraineté ?
Pas à lui seul : il faut aussi vérifier le droit applicable à la société qui opère le service, la chaîne de sous-traitance, et la localisation des sauvegardes — souvent distincte de celle des données vives. Une marque française adossée à des sous-traitants extra-européens ne répond pas au critère.
Le RGPD suffit-il à protéger mes données ?
Non, ce n'est pas son objet. Le RGPD encadre le traitement des données personnelles, quel que soit le pays de l'hébergeur. Il ne garantit ni la localisation, ni l'indépendance juridique. On peut être pleinement conforme au RGPD et entièrement dépendant d'un droit étranger.
Un logiciel libre est-il souverain par nature ?
Il supprime une dépendance — celle à l'éditeur — et rend la réversibilité réelle. Il ne dit rien de l'hébergeur : un Odoo Community hébergé chez un fournisseur extra-européen n'est pas souverain. Les deux questions se traitent séparément.
Que doit contenir le contrat ?
Trois clauses au minimum : la localisation des données et des sauvegardes, la liste des sous-traitants avec un droit d'information préalable en cas de changement, et les conditions de réversibilité — format, délai, coût. Si l'une des trois renvoie à « sur demande », c'est le moment de demander.
Comment tester la réversibilité avant d'en avoir besoin ?
Demandez un export complet maintenant : base de données, fichiers joints, configuration. Chronométrez, et regardez la forme de ce que vous recevez. C'est le seul critère de souveraineté qui se vérifie en une journée, et c'est celui que presque personne ne vérifie.
Pour aller plus loin
- Le CLOUD Act et les données d'une entreprise française
- Les obligations RGPD d'une PME qui héberge un ERP
- Les quatre critères d'un ERP souverain
En résumé
Quatre critères, tous contractuels : des villes pour les données et les sauvegardes, un droit applicable à l'hébergeur, une liste nominative de sous-traitants, et une réversibilité chiffrée. Trois se lisent, le quatrième se teste — demandez l'export avant d'en avoir besoin. Posez-nous les quatre questions.
