Souverain par architecture, pas par certificat.
Vous l'hébergez. Vous détenez les clés. Aucun prestataire sous juridiction américaine ne peut être contraint de remettre ce qu'il n'a pas.
Votre fournisseur cloud peut remettre vos données. Vous ne le saurez pas.
Les fournisseurs cloud sous juridiction américaine sont légalement tenus de se conformer aux ordonnances du CLOUD Act, y compris pour les données stockées dans des centres de données européens. Les engagements contractuels ne peuvent pas prévaloir sur la loi fédérale américaine. La question n'est pas de savoir si votre fournisseur le ferait. C'est de savoir s'il le pourrait légalement.
Voir la chronologie
Combien vous coûte l'exposition à la juridiction américaine ?
Déplacez les curseurs pour correspondre à votre environnement. Voyez le vrai coût des lacunes de souveraineté.
Trois étapes. Une infrastructure souveraine.
Héberger
Déploiement sur votre propre matériel, votre fournisseur IaaS européen ou toute combinaison. Rediacc OE est immatriculé en Estonie ; pas de société mère américaine, pas de plan de contrôle américain, pas de surface d'exposition au CLOUD Act.
Conserver les clés
Les clés de chiffrement ne quittent jamais votre garde. La dérivation des clés est côté client. Rediacc ne voit jamais le texte en clair. La chaîne de garde est auditable par clé via la CLI.
Le prouver
Générez un rapport signé de garde des clés en une commande. Aligné avec SecNumCloud 3.2, BSI C5:2026, la déclaration conjointe ANSSI-BSI et les recommandations EDPB 01/2020 Cas d'usage 2.
Pourquoi la résidence des données n'est pas la souveraineté des données
Un fournisseur sous juridiction américaine peut stocker vos données à Francfort et être quand même contraint par des tribunaux américains de les divulguer. L'architecture de Rediacc supprime entièrement le vecteur de contrainte : il n'y a pas de clés à remettre, et pas de canal de rappel à intercepter.
Pourquoi la résidence des données n'est pas la souveraineté des données
| Fournisseur américain | Rediacc (aucune clé à remettre) |
|---|---|
| Fournisseur soumis à la juridiction américaine quel que soit l'endroit où le texte chiffré est stocké | Opérateur immatriculé en Estonie ; pas de société mère américaine, pas de surface de contrainte CLOUD Act |
| KMS géré par le fournisseur : celui-ci peut matérialiser le texte en clair sur demande légale | Dérivation de clés côté client : le fournisseur ne détient jamais les clés ; la contrainte est techniquement futile |
| Demandes de données transfrontalières enregistrées par le fournisseur, non visibles pour le client | Chaîne d'audit signée SHA-256 : chaque accès aux clés et chaque demande enregistrés, lisibles par le client |
| Format de backup propriétaire : la sortie nécessite une migration outillée par le fournisseur | Format ouvert (btrfs send, tar) : la sortie équivaut à un réplica fonctionnel, conforme au Data Act |
| Les tests de reprise DORA s'étirent avec le volume de données ; plusieurs jours pour les grands dépôts | Fork constant-time via btrfs reflink : 100 Go et 100 To se forkent dans les mêmes secondes |
Ce que vous obtenez
Immunité au CLOUD Act par construction
Pas de société mère américaine. Pas de dépôt de clés chez le fournisseur. L'architecture est la défense. Le témoignage de Carniaux au Sénat (18 juin 2025) a clos tout argument résiduel selon lequel les contrats se substituent à l'immunité juridictionnelle.
Data Act européen 2027 prêt
Format de données ouvert et zéro frais de migration par construction. Chaque backup est un réplica portable et fonctionnel. Conformité complète aux articles 23-31 du Data Act avant l'échéance zéro frais du 12 janvier 2027.
Aligné SecNumCloud et C5:2026
La posture à quatre piliers correspond à la déclaration conjointe ANSSI-BSI du 17 novembre 2025 : localisation stricte des données, application exclusive du droit européen, absence d'accès extra-européen, et continuité d'activité sans dépendances non-UE.
Vous manquez de temps ?
Passez l'analyse approfondie. Téléchargez la version cinq minutes que votre équipe peut lire lors d'un stand-up.
Télécharger la note courte (PDF)La souveraineté comparée
La plupart des fournisseurs proposent la résidence des données. Aucun ne peut offrir ce que Rediacc délivre par architecture : garde des clés par le client, opérateur exclusivement européen, et immunité au CLOUD Act.
La souveraineté comparée
| Fonctionnalité | Veeam | Rubrik | AWS Sovereign | Microsoft Bleu | Keepit | Rediacc |
|---|---|---|---|---|---|---|
| Immunité au CLOUD Act (pas de société mère américaine) | ✗ | ✗ | ✗ | ✓ | ✓ | ✓ |
| Le client détient les clés (inintelligibilité technique) | ✗ | ✗ | ✗ | ✗ | ✗ | ✓ |
| Opérateur exclusivement UE (pas de société mère américaine) | ✗ | ✗ | ✗ | ✓ | ✓ | ✓ |
| Chemin d'attestation SecNumCloud / C5:2026 | ✗ | ✗ | ✗ | ✗ | ✗ | ✓ |
| Format de sortie ouvert (Data Act Art. 30) | ✗ | ✗ | ✗ | ✗ | ✗ | ✓ |
| Auto-hébergé sur infrastructure client | ✓ | ✗ | ✗ | ✗ | ✗ | ✓ |
| Résidence des données UE par défaut | ✗ | ✗ | ✓ | ✓ | ✓ | ✓ |
Références(13)
- Anton Carniaux, directeur des affaires publiques et juridiques de Microsoft France, audition du Sénat français sur la commande publique et la souveraineté numérique, 18 juin 2025 : "Non, je ne peux pas le garantir, mais, encore une fois, cela n'est jamais arrivé avant." Rapporté par The Register, 25 juillet 2025.
- Gartner, février 2026 : dépenses européennes en IaaS cloud souverain prévues à 12,6 Mds $ en 2026 et 23,1 Mds $ en 2027, dépassant l'Amérique du Nord en 2027.
- Commission européenne, "Commission Advances Cloud Sovereignty Through Strategic Procurement", 17 avril 2026. Appel d'offres Cloud III de €180 M attribué à Post Telecom + OVHcloud + CleverCloud, STACKIT, Scaleway, et Proximus + S3NS + Clarence + Mistral AI. Aucun contractant principal américain.
- CLOUD Act (Clarifying Lawful Overseas Use of Data Act), 18 U.S.C. 2713, 2018. Autorise les autorités américaines à contraindre les fournisseurs sous juridiction américaine à divulguer des données clients stockées n'importe où dans le monde.
- Recommandations EDPB 01/2020 sur les mesures complétant les outils de transfert pour assurer la conformité avec le niveau de protection de l'UE, version 2.0, juin 2021. Cas d'usage 2 : le chiffrement comme mesure supplémentaire exige une garde exclusive des clés par le client et l'inintelligibilité technique chez l'importateur.
- Keepit A/S, Copenhague. Backup SaaS uniquement pour Microsoft 365, Salesforce et Google Workspace. Immatriculé en UE, pas de société mère américaine. Ne sauvegarde pas les charges de travail auto-hébergées ou sur site.
- Exigences de qualification SecNumCloud 3.2 de l'ANSSI. Les fournisseurs doivent être majoritairement détenus par des Européens, avoir leur siège en UE et être à l'abri des lois extraterritoriales. Actionnaires non-UE plafonnés à 25 % individuellement et 39 % collectivement. AWS Sovereign Cloud et Microsoft Bleu ne sont pas éligibles.
- Data Act européen (Règlement (UE) 2023/2854), articles 23-31. En vigueur depuis le 12 septembre 2025. Interdiction complète des frais de migration à partir du 12 janvier 2027. Les fournisseurs doivent assurer l'équivalence fonctionnelle après migration.
- Veeam Backup and Replication prend en charge le déploiement auto-hébergé sur site. Veeam ne détient pas directement de certifications de souveraineté ; la stratégie de souveraineté UE dépend du partenaire IaaS (notamment OVHcloud).
- AWS European Sovereign Cloud, disponibilité générale le 15 janvier 2026. Opère sous quatre GmbH allemandes. La société mère américaine (Amazon.com Inc.) reste soumise au CLOUD Act.
- Déclaration conjointe ANSSI-BSI sur les critères de souveraineté cloud, 17 novembre 2025. Quatre critères disqualifiants : localisation stricte des données et du support, application exclusive du droit européen, absence d'accès non autorisé par des tiers extra-européens, et capacité à maintenir la continuité d'activité sans technologies non-UE.
- Autorités de surveillance européennes, "Designation of Critical ICT Third-Party Providers under DORA", 18 novembre 2025. Les 19 premiers CTPP désignés comprennent AWS, Microsoft Azure, Google Cloud, IBM, Oracle, SAP, Salesforce.
- Politique de résidence des données Keepit : données client stockées exclusivement dans des datacentres européens (Francfort, Amsterdam, Copenhague). Modèle SaaS uniquement, opérateur et stockage exclusivement européens.
Explorer d’autres solutions
Arrêtez de louer vos données à un fournisseur sous juridiction américaine.
Commencez avec l'édition Community gratuite. Effectuez votre premier audit de garde des clés en moins d'une minute.
Commencer gratuitement avec Community