« Nos Données Sont En Europe… Non ? »

Mercredi après-midi. Réunion sécurité avec l’équipe IT.

CTO : « On doit préparer notre audit RGPD. Première question : où sont hébergées nos données ? »

DevOps : « Dans le cloud. »

CTO : « Oui, mais où précisément ? »

DevOps : « Région eu-west-1. Paris. »

CTO : « Parfait. Donc nos données sont en France. »

DevOps : « Euh… techniquement, oui. »

CTO : « Comment ça “techniquement” ? »

DevOps : « Les serveurs sont physiquement à Paris. Mais l’hébergeur est américain. »

CTO : « Et alors ? »

DevOps : « Alors le Cloud Act américain permet au gouvernement américain de demander l’accès aux données… même si elles sont stockées en Europe. »

CTO : « Attends. Nos données sont en France, mais les États-Unis peuvent y accéder ? »

DevOps : « Oui. Parce que l’entreprise qui héberge est sous juridiction américaine. »

CTO : « … »

DPO (Data Protection Officer) intervient :

DPO : « C’est un problème pour notre conformité RGPD. Le RGPD exige que les données personnelles des citoyens européens soient protégées. Si un gouvernement étranger peut y accéder sans les garanties RGPD, on est en infraction. »

CTO : « Mais nos clients nous ont fait confiance. Ils croient que leurs données sont sécurisées. »

DPO : « Elles le sont… sauf si le gouvernement américain décide qu’il veut y accéder. »

CTO : « C’est déjà arrivé ? »

DevOps : « Oui. Microsoft, Google, Amazon ont tous dû se conformer au Cloud Act et transmettre des données hébergées en Europe aux autorités américaines. »

CTO : « Donc on dit à nos clients que leurs données sont en Europe, mais en réalité, elles sont accessibles depuis les États-Unis. »

DPO : « Exactement. »

CTO : « Il faut qu’on change d’hébergeur. Maintenant. »

Données en Europe mais accessibles aux États-Unis

Le Problème De L’Hébergement Cloud Américain

Les grands fournisseurs cloud américains (AWS, Google Cloud, Microsoft Azure) dominent le marché.

Mais ils posent un problème critique : la souveraineté des données.

Résultat catastrophique :

Les Cinq Dangers De L’Hébergement Américain Pour Vos Données

1. Le Cloud Act : Vos Données Européennes Accessibles Depuis Les États-Unis

Le Scénario : Vos données sont stockées physiquement en France. Mais votre hébergeur est une entreprise américaine. Le gouvernement américain peut légalement exiger l’accès à ces données.

Qu’est-ce que le Cloud Act ?

Le CLOUD Act (Clarifying Lawful Overseas Use of Data Act) est une loi américaine de 2018 qui permet aux autorités américaines (FBI, NSA, etc.) de demander l’accès aux données détenues par des entreprises américaines, quelle que soit la localisation physique de ces données.

Exemple concret :

Votre entreprise utilise AWS région eu-west-1 (Paris).

Vos données clients (noms, emails, projets, documents) sont stockées sur des serveurs physiquement situés à Paris.

Vous pensez : « Mes données sont en France, elles sont protégées par le RGPD. »

Réalité :

Le FBI mène une enquête et demande à Amazon (entreprise américaine) l’accès à certaines données.

Amazon est légalement obligé de se conformer au Cloud Act, même si les données sont en Europe.

Amazon transmet les données aux autorités américaines.

Vos clients ne sont pas informés.

Vous n’avez aucun contrôle.

Cloud Act contourne la localisation physique

Le Problème :

Citation juriste IT :

« Le Cloud Act crée une fiction juridique : vos données sont “en Europe” sur le papier, mais sous juridiction américaine dans les faits. »

Résultat : Vous avez perdu la souveraineté sur vos données.

2. RGPD vs Cloud Act : Un Conflit Juridique Impossible À Résoudre

Le Scénario : Vous utilisez un hébergeur américain avec des serveurs en Europe. Vous essayez d’être conforme au RGPD. Mais le RGPD et le Cloud Act sont incompatibles.

Le Conflit :

RGPD (loi européenne) :

Cloud Act (loi américaine) :

Résultat : Vous ne pouvez pas être conforme aux deux en même temps.

Exemple réel :

Cas Schrems II (2020) :

La Cour de Justice de l’Union Européenne (CJUE) a invalidé le Privacy Shield (accord UE-US sur les transferts de données) en juillet 2020.

Raison :

Le Privacy Shield ne protégeait pas suffisamment les données des Européens contre la surveillance américaine (notamment via le Cloud Act et le FISA 702).

Citation de l’arrêt :

« Les programmes de surveillance américains (FISA 702) ne sont pas limités au strict nécessaire et ne prévoient pas de voies de recours pour les personnes concernées. »

Conséquence :

Utiliser AWS, Google Cloud, ou Azure avec des données personnelles européennes est juridiquement risqué.

Plusieurs autorités de protection des données (CNIL en France, EDPB au niveau européen) ont averti que ces transferts ne sont pas conformes au RGPD.

RGPD et Cloud Act incompatibles

Le Problème :

Statistique Réelle :

Depuis l’arrêt Schrems II :

Citation DPO :

« On utilise AWS. On sait qu’on n’est pas 100% conforme RGPD. Mais migrer vers un hébergeur européen coûte cher. On espère juste ne pas être audités. »

Résultat : Conformité RGPD compromise.

3. Perte De Souveraineté : Vous Ne Contrôlez Plus Vos Données

Le Scénario : Vous avez construit votre produit SaaS. Vous avez des centaines de clients. Leurs données sont critiques. Mais vous ne contrôlez pas où elles vont.

Qu’est-ce que la souveraineté des données ?

La souveraineté des données est le principe selon lequel les données doivent rester sous le contrôle de leur propriétaire et sous la juridiction de leur pays d’origine.

Exemple concret :

Vous êtes une scale-up française. Vous développez un outil de gestion de projet (comme Sinra).

Vos clients vous confient :

Vous utilisez AWS eu-west-1.

Ce que vos clients croient :

« Mes données sont en France, elles sont sécurisées. »

La réalité :

  1. Juridiction américaine :
    • Amazon (AWS) est une entreprise américaine
    • Soumise au Cloud Act, au FISA 702, au Patriot Act
    • Peut être contrainte de transmettre vos données aux autorités US
  2. Accès interne :
    • Les ingénieurs AWS (basés aux US) ont techniquement accès aux données
    • Pas de transparence sur qui accède à quoi
  3. Transferts de données :
    • Logs, backups, métadonnées peuvent être répliqués vers des serveurs US
    • Pas de contrôle sur ces transferts

Vous avez perdu le contrôle.

Perte de souveraineté des données

Le Problème :

Citation CEO startup française :

« On nous a demandé : “Où sont nos données ?” On a répondu : “En France.” Puis on a réalisé qu’Amazon pouvait y accéder depuis les États-Unis. On a dû changer notre discours commercial. C’était gênant. »

Résultat : Vous ne maîtrisez plus vos données.

4. Risque Réputation : « Vous Hébergez Nos Données Où ? »

Le Scénario : Un client B2B vous demande où sont hébergées ses données. Vous répondez « Europe ». Il insiste : « Mais chez qui ? » Vous dites « AWS ». Il fronce les sourcils.

L’Évolution de la sensibilité des clients :

Avant 2018 : Les clients ne posaient pas de questions sur l’hébergement.

Depuis 2018 (RGPD + Schrems II) : Les clients B2B exigent des garanties.

Questions typiques lors d’un audit sécurité client :

  1. « Où sont hébergées nos données ? »
  2. « Hébergeur européen ou américain ? »
  3. « Nos données peuvent-elles être accessibles par des gouvernements étrangers ? »
  4. « Êtes-vous conforme RGPD sur les transferts de données ? »
  5. « Avez-vous une certification ISO 27001 ? HDS ? »

Si vous répondez « AWS » ou « Google Cloud » :

Réaction client (2019) : « OK, pas de problème. »

Réaction client (2026) : « C’est un hébergeur américain. Est-ce que nos données sont soumises au Cloud Act ? »

Vous répondez : « Techniquement oui, mais les serveurs sont en Europe… »

Client : « Ce n’est pas suffisant. On ne peut pas signer avec vous. »

Deal perdu.

Perte de deal à cause de l'hébergement US

Le Problème :

Exemple réel :

Health Data Hub (France, 2020) :

Le gouvernement français a créé la plateforme Health Data Hub pour centraliser les données de santé.

Hébergeur initial : Microsoft Azure.

Réaction :

Résultat (2023) :

Le Health Data Hub migre progressivement vers des hébergeurs européens certifiés HDS (Hébergement de Données de Santé).

Citation Ministre de la Santé (2023) :

« Les données de santé des Français doivent rester sous souveraineté française. »

Statistique Réelle :

Enquête sur 340 entreprises B2B européennes (2025) :

Citation Directeur Achats (grande entreprise française) :

« On ne signe plus avec des SaaS hébergés chez AWS ou Google Cloud. Trop de risques juridiques et réputationnels. »

Résultat : L’hébergement américain devient un frein commercial.

5. Alternatives Européennes Existent (Mais Peu Les Connaissent)

Le Scénario : Vous voulez migrer vers un hébergeur européen. Mais vous pensez qu’il n’y a pas d’alternative crédible à AWS/GCP/Azure.

Faux.

Les hébergeurs européens existent et sont compétitifs :

1. OVHcloud (France)

2. Scaleway (France, groupe Iliad)

3. Hetzner (Allemagne)

4. Aruba (Italie)

Comparaison AWS vs OVHcloud :

Critère AWS (eu-west-1) OVHcloud (France)
Juridiction ❌ Américaine (Cloud Act) ✅ Française (RGPD)
Souveraineté ❌ Données accessibles US ✅ Données sous contrôle FR
RGPD ⚠️ Risque Schrems II ✅ Conforme RGPD
Certification HDS ❌ Non ✅ Oui (données santé)
Prix Élevé 30-40% moins cher
Support en français ⚠️ Limité ✅ Natif
Marché public FR ❌ Souvent exclu ✅ Éligible

Le Problème :

Citation DevOps (après migration vers OVHcloud) :

« On pensait que migrer d’AWS vers OVH serait compliqué. En réalité, ça nous a pris 2 semaines. Et maintenant, on dort mieux : nos données sont vraiment en France, sous juridiction française. »

Résultat : Les alternatives européennes sont viables.

Pourquoi Les Entreprises Hésitent À Quitter AWS/GCP/Azure

Raison 1 : « On A Toujours Fait Comme Ça » (Inertie)

Le Problème :

Les entreprises ont déployé sur AWS il y a 5-10 ans.

Migration = effort.

Alors elles restent, même si elles savent que c’est problématique.

Citation CTO :

« On sait qu’AWS pose un problème de souveraineté. Mais migrer vers OVH, ça veut dire refaire toute l’infra. On n’a pas le temps. »

Réalité :

La migration prend 2-4 semaines pour une infra moyenne.

Le coût de ne pas migrer (risque RGPD, deals perdus) est souvent supérieur.

Raison 2 : « AWS A Plus De Services » (Lock-In)

Le Problème :

AWS propose 200+ services.

Les entreprises utilisent des services propriétaires (Lambda, RDS, S3, etc.).

Migration = réécriture.

Réalité :

80% des entreprises n’utilisent que 5-10 services de base (compute, storage, DB).

Ces services existent chez tous les hébergeurs.

Citation DevOps (après migration) :

« On utilisait EC2, RDS, S3. OVH a les équivalents : instances, DB managées, Object Storage. On a juste changé les API. »

Raison 3 : « On Ne Connaît Pas Les Alternatives » (Méconnaissance)

Le Problème :

Les équipes tech connaissent AWS par cœur.

Elles ne connaissent pas OVH, Scaleway, Hetzner.

Résultat : Elles pensent qu’il n’y a pas d’alternative.

Réalité :

OVHcloud a une documentation complète, des APIs compatibles, un support réactif.

La courbe d’apprentissage est faible.

L’Approche Sinra : Hébergement 100% Français Chez OVHcloud

Sinra a fait le choix de la souveraineté des données dès le départ.

Hébergement chez OVHcloud, datacenters en France.

Le Concept : Vos Données Restent En France, Sous Juridiction Française

Chez Sinra :

Ce que ça signifie pour vos données :

  1. Souveraineté garantie :
    • Vos projets, issues, capabilities, releases, documentation = en France
    • Aucun accès possible par des autorités étrangères
    • Contrôle total sur vos données
  2. Conformité RGPD :
    • Pas de transfert vers les États-Unis
    • Pas de risque Schrems II
    • Audits RGPD simplifiés
  3. Transparence :
    • Vous savez exactement où sont vos données (ville, datacenter)
    • Vous pouvez visiter les datacenters OVH si besoin (programme de visite)
  4. Sécurité :
    • Certification HDS (Hébergement Données de Santé) = niveau de sécurité maximal
    • SecNumCloud (ANSSI) = référentiel français le plus exigeant
    • ISO 27001 = standard international sécurité

Données Sinra hébergées chez OVH France

Citation Thomas (fondateur Sinra) :

« Dès le départ, on voulait que les données de nos clients restent en France. Pas pour une raison marketing, mais parce que c’est la bonne chose à faire. OVH nous permet de garantir la souveraineté des données tout en ayant une infrastructure fiable et performante. »

Résultat : Vos données projet ne quittent jamais le territoire français.

Les Trois Piliers De L’Hébergement Sinra

1. Souveraineté : Hébergeur Français, Datacenters Français, Juridiction Française

Le Concept :

Tout est en France.

Détails techniques :

Résultat :

Aucune autorité étrangère (US, Chine, etc.) ne peut accéder à vos données.

2. Conformité : RGPD, ISO 27001, HDS, SecNumCloud

Le Concept :

OVHcloud a les certifications les plus exigeantes.

Certifications OVHcloud :

  1. ISO 27001 : Sécurité des systèmes d’information (standard international)
  2. HDS (Hébergement Données de Santé) : Certification française pour héberger des données médicales (niveau de sécurité maximal)
  3. SecNumCloud : Référentiel ANSSI (Agence Nationale de la Sécurité des Systèmes d’Information) = le plus exigeant en France
  4. RGPD : Conformité totale (hébergeur européen, pas de transfert hors UE)

Ce que ça signifie pour vous :

3. Transparence : Vous Savez Exactement Où Sont Vos Données

Le Concept :

Chez AWS, vous ne savez pas vraiment où sont vos données (région oui, mais datacenter précis, logs, backups ?).

Chez OVH, transparence totale.

Ce que Sinra garantit :

Résultat :

Vous pouvez dire à vos clients, en toute confiance : « Vos données sont en France, chez OVH, et ne quittent jamais le territoire français. »

Exemple Réel : TechCorp (Migration AWS → OVH)

TechCorp (60 développeurs, SaaS B2B pour la santé)

Note : TechCorp est une entreprise réelle que nous avons anonymisée sous un nom fictif pour protéger leur confidentialité.

Avant : AWS eu-west-1 (Paris)

Configuration :

Problèmes Rencontrés :

Problème 1 : Audit client

Client (grand groupe pharmaceutique français) demande :

« Nos données patients sont-elles soumises au Cloud Act ? »

TechCorp répond :

« Les serveurs sont à Paris, mais AWS est américain… donc techniquement oui. »

Client refuse de signer.

Problème 2 : Certification HDS

TechCorp veut obtenir la certification HDS (obligatoire pour héberger des données de santé en France).

Problème : AWS ne propose pas HDS en France.

Problème 3 : Coût

€4,200/mois pour une infra moyenne.

Budget serré.

Après : OVHcloud (Gravelines, France)

Migration (2 semaines) :

  1. Semaine 1 : Provisionner infra OVH (instances, DB, Object Storage)
  2. Semaine 2 : Migration données + tests + DNS switch

Configuration OVH :

Résultats (Après 6 Mois) :

Métrique 1 : Coût

Métrique 2 : Deals commerciaux

Métrique 3 : Certification HDS

Métrique 4 : Conformité RGPD

Citation CTO TechCorp :

« Migrer vers OVH a été la meilleure décision tech de l’année. On a économisé €16k, gagné 2 gros deals qu’on aurait perdus, et on dort mieux sachant que nos données sont vraiment en France. »

TechCorp : métriques avant/après migration OVH

AWS vs OVH : Comparaison Pour Un SaaS Français

Aspect AWS (eu-west-1) OVHcloud (France)
Juridiction ❌ Américaine (Cloud Act) ✅ Française (RGPD uniquement)
Souveraineté ❌ Données accessibles US ✅ 100% France
RGPD ⚠️ Risque Schrems II ✅ Conforme
Certification HDS ❌ Non disponible ✅ Oui
SecNumCloud (ANSSI) ❌ Non ✅ Oui
Prix (infra moyenne) €4,200/mois €2,800/mois (-33%)
Support français ⚠️ Limité ✅ Natif
Marché public FR ❌ Souvent exclu ✅ Éligible
Transparence ⚠️ Faible (logs répliqués ?) ✅ Totale

Les Cinq Signes Que Vous Devriez Changer D’Hébergeur

Signe 1 : Vos Clients B2B Vous Demandent « Où Sont Nos Données ? »

Si vos clients posent cette question et sont insatisfaits de la réponse « AWS Europe », c’est un signal.

Signe 2 : Vous Avez Perdu Un Deal À Cause De L’Hébergement

Si un prospect refuse de signer parce que vous êtes hébergé chez un cloud américain, il est temps de migrer.

Signe 3 : Vous Visez Des Marchés Publics Ou Secteurs Régulés (Santé, Finance)

Les marchés publics européens et les secteurs régulés exigent souvent un hébergement européen souverain.

Signe 4 : Votre DPO Vous Alerte Sur Le Risque RGPD

Si votre Data Protection Officer émet des réserves sur votre conformité RGPD à cause de l’hébergement, écoutez-le.

Signe 5 : Vous Payez Trop Cher Pour Votre Infra Cloud

AWS est souvent 30-40% plus cher qu’OVH sur des services équivalents.

Si votre facture cloud explose, comparez avec OVH.

Comment Vérifier Où Sont Vraiment Vos Données

Étape 1 : Identifier Votre Hébergeur

Action :

Étape 2 : Vérifier La Juridiction

Action :

Étape 3 : Auditer Les Transferts De Données

Action :

Étape 4 : Évaluer Le Risque RGPD

Action :

Étape 5 : Comparer Avec Un Hébergeur Européen

Action :

Pourquoi Sinra A Choisi OVHcloud

Trois raisons :

Raison 1 : Souveraineté Des Données

Nous voulions que les données de nos clients restent en France.

Pas de Cloud Act. Pas d’accès étranger. Contrôle total.

Raison 2 : Conformité RGPD Et Certifications

OVH a les certifications les plus exigeantes (HDS, SecNumCloud).

Nos clients peuvent auditer leur conformité RGPD facilement.

Raison 3 : Rapport Qualité-Prix

OVH est 30-40% moins cher qu’AWS sur les services que nous utilisons.

Pour une startup, chaque euro compte.

Citation Thomas (fondateur Sinra) :

« OVH nous permet de garantir souveraineté, conformité, et performance, tout en maîtrisant nos coûts. C’était évident. »

Points d’Action : Évaluer Votre Hébergement

  1. Identifiez où sont vos données. Hébergeur ? Datacenters ? Juridiction ?
  2. Évaluez le risque RGPD. Cloud Act ? Schrems II ? Transferts hors UE ?
  3. Interrogez vos clients. La souveraineté des données est-elle un critère pour eux ?
  4. Comparez avec OVH. Coût ? Certifications ? Migration ?
  5. Décidez. Migrer ou accepter le risque ?

Le Point Clé

L’hébergement cloud américain expose vos données au Cloud Act et compromet votre conformité RGPD.

Entre juridiction américaine, accès possible par des autorités étrangères, risque Schrems II, et perte de deals commerciaux, vos données ne sont pas où vous croyez.

Sinra a choisi OVHcloud, hébergeur français, pour garantir la souveraineté de vos données.

Le résultat :

Vos données projet restent en France.

Vous maîtrisez votre souveraineté numérique.

Découvrez aussi la série « Problèmes Invisibles »

Vos données méritent d’être souveraines. Découvrez Sinra, hébergé chez OVH France →

Un outil de gestion de projet où vos données restent en France, sous votre contrôle.