Cloud souverain français, ce que ça veut dire vraiment

L’expression « cloud souverain français » est partout, souvent vidée de sens. Avant de choisir un hébergeur sur ce critère, mieux vaut comprendre ce que la souveraineté protège réellement, et ce qu’un prestataire peut honnêtement revendiquer.

Ce que la souveraineté recouvre

La souveraineté d’un hébergement se joue sur plusieurs plans distincts :

• la localisation physique des serveurs et des sauvegardes ;
• la nationalité de l’opérateur et de sa maison mère ;
• le droit applicable aux données, qui dépend surtout de qui contrôle l’entreprise ;
• l’autonomie technique : matériel, logiciels et chaîne d’approvisionnement.

Un serveur situé en France mais exploité par une filiale d’un groupe américain n’est pas à l’abri du droit américain. La localisation seule ne suffit donc pas.

Pourquoi le Cloud Act change tout

Le CLOUD Act (2018) permet aux autorités américaines de réclamer à une entreprise soumise au droit des États-Unis les données qu’elle détient, y compris quand ces données sont stockées à l’étranger. Le critère décisif n’est pas l’emplacement du serveur, mais le lien de l’opérateur avec la juridiction américaine.

Conséquence directe : héberger « en France » chez un fournisseur contrôlé depuis les États-Unis n’écarte pas ce risque juridique. La souveraineté réelle suppose un opérateur qui n’est pas soumis à ce droit extraterritorial.

Ce qu’un hébergeur peut, et ne peut pas, revendiquer

Un hébergeur honnête distingue ses offres :

• notre infrastructure managée (web, WordPress, gaming) tourne sur notre propre matériel, en France ;
• nos VPS et serveurs dédiés reposent sur une infrastructure Hetzner en Union européenne (Allemagne, Finlande), opérée par une société européenne, hors du champ du Cloud Act.

Ce que nous ne revendiquons pas : ni label SecNumCloud, ni « souverain certifié », ni conformité que nous n’avons pas fait auditer. Ces mentions ont un sens précis et se vérifient.

Comment vérifier une promesse

Avant de signer, contrôlez quatre points :

• qui contrôle l’entreprise (capital, maison mère, juridiction de rattachement) ;
• où sont les données et les sauvegardes, région par région ;
• quelles certifications sont réellement détenues, avec leur périmètre exact ;
• qui exploite le matériel au quotidien.

Un prestataire transparent répond sans détour à ces questions. Le flou est déjà une réponse.

Pour comprendre notre positionnement offre par offre, voir notre page souveraineté. Pour les serveurs concernés, voir nos VPS.