Souveraineté numérique : vos données GRC stockées en France

Trois exigences distinctes sont souvent confondues. La localisation : où les données sont stockées et traitées. La juridiction : de quel droit relève l'entité qui exploite le service, ce qui ne suit pas l'adresse des serveurs. La réversibilité : votre capacité à récupérer vos données dans un format exploitable et à changer de fournisseur. Un contrat peut régler la première et laisser les deux autres ouvertes. Les examiner séparément évite de se rassurer à bon compte.

Non. Le lieu de stockage et le droit applicable au prestataire sont deux questions différentes. Le CLOUD Act américain, adopté en 2018, permet aux autorités des États-Unis d'exiger d'un fournisseur soumis à leur juridiction la communication de données qu'il détient, y compris lorsqu'elles sont stockées ailleurs. Ce qui compte n'est donc pas seulement l'adresse du centre de données, mais l'entité qui exploite le service, son actionnariat et la chaîne de sous-traitants qui y ont accès.

Non, et la confusion est fréquente. Le RGPD ne fixe aucune règle de localisation : il encadre les transferts hors de l'Espace économique européen, qui restent licites lorsque le pays de destination est couvert par une décision d'adéquation, ou sous garanties appropriées comme les clauses contractuelles types. Les exigences de localisation viennent d'ailleurs : réglementations sectorielles, doctrine de l'État sur le cloud pour ses données sensibles, ou clauses que vous imposez vous-même à vos fournisseurs. Vailor stocke les données de son SaaS en France par choix, pas parce qu'un texte l'ordonne.

Six questions suffisent à faire le tri. Quelle entité signe le contrat, et de quel droit relève-t-elle ? Qui détient son capital ? Où sont hébergées les données, les sauvegardes et les journaux ? Quels sous-traitants y accèdent, et depuis quels pays ? Que fait le fournisseur s'il reçoit une réquisition d'une autorité étrangère ? Dans quel format et dans quel délai récupérez-vous vos données le jour où vous partez ? Exigez ces réponses par écrit, y compris de notre part.

Non. Open-weight signifie que les poids du modèle sont publiés et peuvent être téléchargés, puis exécutés sur une infrastructure que vous choisissez. Open source, au sens strict, suppose en plus la publication du code d'entraînement et d'informations sur les données utilisées, ce que peu de modèles font. La distinction compte pour la souveraineté : un modèle open-weight peut tourner dans une infrastructure européenne sans appel à une API externe, et vous savez quel modèle traite vos analyses.

SecNumCloud est une qualification délivrée par l'ANSSI aux prestataires de services d'informatique en nuage. Son référentiel reprend les exigences de sécurité habituelles et y ajoute des critères sur l'implantation et le contrôle du prestataire, destinés à le placer hors de portée des droits extra-européens. Elle qualifie le service du prestataire, pas votre conformité. Vailor n'est pas qualifiée SecNumCloud. Son SaaS stocke les données en France (AWS, région Paris), elle s'installe aussi chez vous, et une offre sur hébergement qualifié SecNumCloud est prévue.

Parce qu'un fichier circule. Une analyse de risque tenue dans un tableur finit dupliquée dans des pièces jointes, des postes de travail et un espace de partage dont l'opérateur ne relève pas forcément du droit européen, et vous perdez la trace de qui détient la dernière version et de qui l'a lue. Ce qui voyage ainsi, c'est votre cartographie d'actifs et vos vulnérabilités. Une plateforme garde ces données à un seul endroit, sous contrôle d'accès et avec un historique. Avec Vailor, vous choisissez aussi cet endroit : notre SaaS, avec des données stockées en France, ou votre propre infrastructure.