Hébergé en France ne veut pas dire souverain
De nombreuses offres garantissent que vos données restent en France. C'est vrai, et c'est insuffisant. La souveraineté tient à la nationalité de l'éditeur du logiciel qui accède à vos données, pas à l'adresse du serveur.
Le marché français de la sauvegarde pour les entreprises est largement structuré autour d'un modèle : des prestataires français achètent des licences de logiciels de sauvegarde conçus par des éditeurs américains ou à contrôle américain, déploient ces logiciels sur des serveurs situés en France, et commercialisent le résultat en mettant en avant la localisation des données.
Ce modèle a une valeur réelle. Les données ne transitent pas vers des pays tiers, elles restent sous RGPD, et elles sont techniquement protégées par la loi française. Mais le logiciel qui traite ces données, qui y accède, qui les chiffre et les déchiffre, appartient à une entreprise soumise à la juridiction américaine. C'est ce maillon que le Cloud Act vise.
Qu'est-ce qui rend une sauvegarde réellement souveraine ?
Une sauvegarde est souveraine sur toute sa chaîne quand trois conditions tiennent ensemble : l'éditeur du logiciel est hors juridiction américaine, les données sont stockées sur le territoire national ou européen, et l'opérateur qui administre le service n'est soumis à aucune obligation légale étrangère. Retirez-en une, la souveraineté devient partielle.
Une donnée stockée en France par un logiciel américain peut faire l'objet d'une injonction adressée à l'éditeur américain, sans passer par les voies d'entraide judiciaire européennes. Le prestataire français qui revend ce logiciel n'a aucun moyen de s'y opposer : il n'est pas partie à l'injonction, et le plus souvent une clause de confidentialité l'empêche même d'en informer son client.
Le piège du reconditionnement
Une offre de sauvegarde reconditionnée fonctionne ainsi : le prestataire loue ou achète des licences d'un logiciel tiers, configure une instance sur ses serveurs français, et ajoute une couche de support et de facturation. Pour le client, l'interface est celle du prestataire français. Pour la réglementation américaine, le logiciel reste celui de l'éditeur américain.
Ce modèle est commercial, pas juridique. Il ne transfère pas la souveraineté : il la masque. La question à poser à tout prestataire est directe : 'Éditez-vous votre propre logiciel de sauvegarde, ou revendez-vous une licence ?' La réponse détermine qui contrôle réellement l'accès à vos données.
Questions à poser avant de signer
- Qui édite le logiciel de sauvegarde utilisé ? L'éditeur est-il français ou européen ?
- L'éditeur du logiciel a-t-il des actionnaires ou des entités de contrôle américains ?
- Le prestataire peut-il produire une chaîne complète éditeur-opérateur-stockage sans maillon américain ?
- En cas de demande d'une autorité étrangère, quelle est la procédure ? Qui est notifié ?
- Le chiffrement est-il par client, avec une clé que le prestataire ne peut pas déchiffrer sans vous ?
Le critère qui tranche : le contrôle capitalistique
Une souveraineté réelle suppose qu'aucune entité de contrôle extra-européenne ne puisse contraindre l'éditeur à livrer vos données. Cela se vérifie sur l'actionnariat, le siège social et la juridiction dont dépend l'éditeur du logiciel, pas seulement sur l'adresse du datacenter.
Un datacenter en France opéré par une société sous contrôle américain reste exposé à une injonction extraterritoriale. À l'inverse, un éditeur français qui héberge en France, sans investisseur de contrôle hors d'Europe, place vos sauvegardes hors d'atteinte de ces lois.
Questions fréquentes
Un datacenter ISO 27001 suffit-il à garantir la souveraineté ?
Non. La certification ISO 27001 atteste qu'une organisation gère la sécurité de son information selon un système de management documenté : analyse des risques, contrôles, amélioration continue. C'est un gage de rigueur opérationnelle, pas une qualification de souveraineté. Un éditeur américain peut être parfaitement certifié ISO 27001 tout en restant soumis au Cloud Act. La norme ne dit rien de la nationalité de l'éditeur, de son actionnariat, ni de la juridiction dont il dépend : elle certifie comment les données sont protégées, pas qui peut légalement les réclamer. Pour la souveraineté, la bonne question n'est pas « ce prestataire est-il certifié », mais « qui édite le logiciel qui accède à mes données, et de quel droit dépend cette entreprise ». ISO 27001 et souveraineté répondent à deux préoccupations distinctes : la première rassure sur les processus, la seconde sur la juridiction. Les deux comptent, aucune ne remplace l'autre.
Un RGPD DPA avec un prestataire français suffit-il si le logiciel est américain ?
Non. Un accord de traitement des données organise la relation contractuelle entre vous et votre prestataire au sens du RGPD : rôles, sécurité, sous-traitance ultérieure, gestion des incidents. Il ne crée aucun bouclier contre le droit américain. Si le logiciel de sauvegarde vient d'un éditeur américain, une injonction Cloud Act s'adresse directement à cet éditeur, pas à votre prestataire français, et votre DPA n'y est pas opposable. Le prestataire qui a signé le contrat avec vous n'est même pas partie à la procédure : il ne peut ni s'y opposer ni, souvent, vous en informer. Un bon DPA reste nécessaire pour la conformité RGPD, mais il ne transforme pas un logiciel américain en solution souveraine. Seule la juridiction dont dépend l'éditeur le fait. La question précède le contrat : qui écrit le logiciel, et où cette entreprise répond-elle de ses actes.
Kryolys édite-t-il son propre logiciel ?
Oui. Kryolys développe et opère sa propre plateforme de sauvegarde, sans revendre ni intégrer de moteur tiers américain dans la chaîne qui traite vos données. L'éditeur, l'opérateur et le stockage relèvent du même acteur français. Concrètement, le logiciel qui lit, chiffre, transporte et restaure vos données est écrit et maintenu en France, et aucune licence d'un éditeur soumis au Cloud Act n'intervient dans ce parcours. Le chiffrement se fait par organisation, avec une clé propre à chaque client, que Kryolys ne peut pas déchiffrer seul. C'est la différence entre une offre reconditionnée, qui pose une couche française par-dessus un moteur étranger, et une plateforme réellement éditée en France : sur la première, la souveraineté est un argument commercial ; sur la seconde, elle tient à la structure même de la chaîne.
Kryolys couvre Microsoft 365, Google Workspace, IMAP, VM, serveurs et postes avec une plateforme développée en France, hébergée en France, sans maillon américain dans la chaîne. Le chiffrement est par organisation, avec une clé propre à chaque client. Voir ce que recouvre une sauvegarde souveraine pour les entreprises.
Un compte Microsoft 365, Google Workspace ou IMAP. Facturé au siège, quel que soit le volume sauvegardé.
- Mails, fichiers, agendas et contacts
- Snapshots datés, restauration ciblée
- 365 jours d'historique inclus
Une VM, un serveur ou un poste, agent léger inclus. Facturé au volume.
- Facturation au Go au-delà du premier To
- Restauration jusqu'à la machine entière
- 365 jours d'historique inclus
Un bucket S3 ou compatible, chez votre fournisseur ou chez vous. Facturé au volume, dès le plus petit bucket.
- Facturation au Go au-delà du premier To
- Restauration vers le bucket d'origine ou un autre
- 365 jours d'historique inclus
Qui édite le logiciel qui traite vos données ?
Rejoignez la beta.
Kryolys ouvre progressivement. Laissez votre adresse, nous vous prévenons dès que votre accès est prêt, avec une période d'essai gratuite.
L'inscription demande JavaScript. Vous pouvez aussi nous écrire à support@kryolys.com, nous vous ajouterons à la liste.
C'est noté. Vérifiez votre boîte mail pour confirmer votre inscription.
Une erreur est survenue. Réessayez dans un instant, ou écrivez-nous directement.