Hébergement souverain pour PME : ce que ça garantit vraiment, et ce que ça ne garantit pas

Le mot recouvre trois réalités distinctes, souvent confondues dans les plaquettes.

• Localisation : les données sont physiquement stockées en France (ou dans l'UE). Nécessaire, mais insuffisant si l'opérateur est soumis à un droit étranger.
• Juridiction de l'opérateur : la société qui héberge est de droit français, à capitaux français, sans maison mère hors UE. C'est ce qui la met hors de portée des lois extraterritoriales.
• Qualification : SecNumCloud (ANSSI) impose un référentiel de sécurité et d'immunité juridique audité. C'est le niveau exigé pour certaines données de l'État et des OIV, pas pour la majorité des PME.

Une PME qui traite des données clients, RH ou financières a besoin des deux premiers niveaux. Le troisième n'est indispensable que si un donneur d'ordre ou un texte réglementaire l'impose explicitement.

Le CLOUD Act (2018) permet aux autorités américaines d'exiger d'un fournisseur soumis au droit des États-Unis la remise de données qu'il contrôle, où qu'elles soient stockées. Une « région Paris » d'un hyperscaler américain reste donc juridiquement exposée, même si les serveurs sont en Île-de-France. La section 702 du FISA autorise par ailleurs la collecte de données de personnes non américaines auprès de ces mêmes fournisseurs.

Le cadre européen (RGPD, arrêt Schrems II, Data Privacy Framework) encadre les transferts, mais un DPO passe un temps considérable à documenter ce qui devient trivial avec un opérateur de droit français : pas de transfert, pas de sous-traitant ultérieur hors UE, pas d'analyse d'impact sur le transfert à produire.

• Qui détient le capital de la société qui opère l'infrastructure, et où est son siège ?
• Où sont physiquement les datacenters, et quelles certifications sont auditées (ISO 27001, Tier) ?
• Quels sous-traitants ont accès aux données, et sont-ils listés dans l'accord de traitement (DPA) ?
• Comment récupère-t-on ses données si l'on part ? En combien de temps, dans quel format, à quel coût ?
• Qui a accès aux machines, et comment cet accès est-il tracé ?

Un hébergeur qui répond à ces cinq questions par écrit, sans détour, vous a déjà fait gagner une réunion avec votre DPO.

• Société : Hyperion Cloud SAS, droit français, capitaux français, siège à Paris, équipe technique en Normandie. Aucune entité hors UE dans la chaîne.
• Infrastructure : datacenters parisiens certifiés ISO 27001 (Tier III), matériel dont nous sommes propriétaires, données qui ne quittent pas la France.
• RGPD : nous agissons en sous-traitant au sens de l'article 28 ; DPA disponible sur demande, DPO joignable (dpo@hyperion.cloud), pas de sous-traitant ultérieur hors UE.
• Accès : personne n'accède à vos données sans votre accord explicite, hors réquisition judiciaire française et maintenance strictement nécessaire (CGUV, art. 7).
• Réversibilité : vos données, images et configurations restent les vôtres ; restitution dans un format standard, conservation 7 jours après échéance avant suppression.
• Sécurité opérée : durcissement à la livraison dès le niveau Assisté, EDR/SIEM Wazuh déployé en Managé et opéré en Mission Critique.

Nous ne sommes pas qualifiés SecNumCloud et nous ne sommes pas hébergeur de données de santé (HDS). Si votre activité exige l'une ou l'autre — données de santé à caractère personnel, systèmes d'information d'importance vitale, certains marchés publics — nous vous orienterons plutôt que de vous faire perdre du temps. Pour tout le reste (PME, ESN, éditeurs SaaS, collectivités hors périmètre HDS), une SAS française opérant ses propres machines dans des datacenters ISO 27001 répond aux exigences RGPD et aux audits clients que nous rencontrons.