Passer au contenu principal Passer à la navigation Passer au pied de page
Temps limité : Programme Design Partner — plan BUSINESS à vie→
CONTRÔLE DU CHIFFREMENT

Souverain par architecture, pas par certificat.

Vous l'hébergez. Vous détenez les clés. Aucun prestataire sous juridiction américaine ne peut être contraint de remettre ce qu'il n'a pas.

Chaque hyperscaler commercialise la souveraineté. Aucun ne peut garantir que vos données restent hors de portée des tribunaux américains. Rediacc, si.

Devenir Design Partner Voir les fonctionnalités de souveraineté → →
Inspection de la chaîne de garde des clés pour tous les dépôts...
ID DE CLÉ GARDE HSM SÉQUESTRE JURIDICTION
prod-main-v3 client YubiHSM 2 NO locaux-client
prod-db-v2 client YubiHSM 2 NO locaux-client
staging-main-v1 client software NO locaux-client
backup-archive-v4 client YubiHSM 2 NO locaux-client

Sortie illustrative ; l’exécution réelle peut inclure plus de logs.

0
Clés déposées chez un prestataire
100%
Garde des clés par le client
EU-only
Juridiction de l'opérateur
LE PROBLÈME

Votre fournisseur cloud peut remettre vos données. Vous ne le saurez pas.

Les fournisseurs cloud sous juridiction américaine sont légalement tenus de se conformer aux ordonnances du CLOUD Act, y compris pour les données stockées dans des centres de données européens. Les engagements contractuels ne peuvent pas prévaloir sur la loi fédérale américaine. La question n'est pas de savoir si votre fournisseur le ferait. C'est de savoir s'il le pourrait légalement.

"Non, je ne peux pas le garantir" Le directeur des affaires publiques et juridiques de Microsoft France, sous serment, interrogé sur la protection des données des citoyens français dans les centres de données Microsoft européens face aux autorités américaines Sénat français, 18 juin 2025 [1]
€12,6 Mds Dépenses européennes en IaaS cloud souverain en 2026, en hausse à €23,1 Mds en 2027. Le marché a tranché : la souveraineté n'est pas optionnelle. Gartner, février 2026 [2]
0 primaire américain Cloud III : l'appel d'offres souverain de €180 M de la Commission européenne a été attribué à quatre consortiums européens. Aucun contractant principal américain. Commission européenne, 17 avril 2026 [3]
L'ANCIENNE FAÇON
Jour 1 Signature du contrat avec un fournisseur sous juridiction américaine
Mois 1 Le DPO signale le risque de transfert RGPD ; TIA requise
Mois 3 Le service juridique examine l'exposition au CLOUD Act ; aucune garantie possible
Mois 6 Audit réglementaire ; résidence des données confirmée, souveraineté non
Résultat Résidence, pas souveraineté. L'écart de conformité persiste.
AVEC REDIACC
Héberger sur votre infrastructure
Conserver vos propres clés
Le CLOUD Act ne peut pas vous atteindre
LE VÉRITABLE COÛT

Combien vous coûte l'exposition à la juridiction américaine ?

Déplacez les curseurs pour correspondre à votre environnement. Voyez le vrai coût des lacunes de souveraineté.

Calculateur d'exposition à la souveraineté

JURIDICTION AMÉRICAINE
Exposition au risque de transfert RGPD€5,000
Risque de pénalité de sortie Data Act 2027€50,000
Coût des tests DORA Article 12€8,000
Exposition annuelle à la souveraineté
€63,000
AVEC REDIACC
Exposition au risque de transfert RGPD€0
Risque de pénalité de sortie Data Act 2027€0
Coût des tests DORA Article 12€800
Exposition annuelle à la souveraineté
€800
Risque de transfert : enregistrements × €0,04 × 10 % de probabilité de contrôle réglementaire. Pénalité de sortie : 10 % des dépenses hyperscaler comme plafond estimé des coûts de migration conformément à l'article 25 du Data Act (échéance zéro frais : 12 janvier 2027). Tests DORA : heures × €200/h de coût ingénieur. Avec Rediacc : l'auto-hébergement élimine le risque de transfert ; le format ouvert élimine la pénalité de sortie ; le fork constant-time réduit les tests de reprise DORA à quelques minutes quelle que soit la taille du dépôt.
COMMENT ÇA MARCHE

Trois étapes. Une infrastructure souveraine.

1

Héberger

Déploiement sur votre propre matériel, votre fournisseur IaaS européen ou toute combinaison. Rediacc OE est immatriculé en Estonie ; pas de société mère américaine, pas de plan de contrôle américain, pas de surface d'exposition au CLOUD Act.

2

Conserver les clés

Les clés de chiffrement ne quittent jamais votre garde. La dérivation des clés est côté client. Rediacc ne voit jamais le texte en clair. La chaîne de garde est auditable par clé via la CLI.

3

Le prouver

Générez un rapport signé de garde des clés en une commande. Aligné avec SecNumCloud 3.2, BSI C5:2026, la déclaration conjointe ANSSI-BSI et les recommandations EDPB 01/2020 Cas d'usage 2.

Hyperscaler américain Exposé au CLOUD Act
S3 Bucket Contrôlé par les US
KMS Key Détenu par le fournisseur
IAM Policy Régi par les US
Audit Log Accessible aux US
Résidence contractuelle Pas de souveraineté
Migrer
Format ouvert
Votre infrastructure souveraine Juridiction UE
Votre stockage Propriété du client
Vos clés HSM client
Votre politique Régi par l'UE
Chaîne d'audit Signé SHA-256
Souveraineté architecturale Immun au CLOUD Act
SOUS LE CAPOT

Pourquoi la résidence des données n'est pas la souveraineté des données

Un fournisseur sous juridiction américaine peut stocker vos données à Francfort et être quand même contraint par des tribunaux américains de les divulguer. L'architecture de Rediacc supprime entièrement le vecteur de contrainte : il n'y a pas de clés à remettre, et pas de canal de rappel à intercepter.

Fournisseur soumis à la juridiction américaine quel que soit l'endroit où le texte chiffré est stocké
Opérateur immatriculé en Estonie ; pas de société mère américaine, pas de surface de contrainte CLOUD Act
KMS géré par le fournisseur : celui-ci peut matérialiser le texte en clair sur demande légale
Dérivation de clés côté client : le fournisseur ne détient jamais les clés ; la contrainte est techniquement futile
Demandes de données transfrontalières enregistrées par le fournisseur, non visibles pour le client
Chaîne d'audit signée SHA-256 : chaque accès aux clés et chaque demande enregistrés, lisibles par le client
Format de backup propriétaire : la sortie nécessite une migration outillée par le fournisseur
Format ouvert (btrfs send, tar) : la sortie équivaut à un réplica fonctionnel, conforme au Data Act
Les tests de reprise DORA s'étirent avec le volume de données ; plusieurs jours pour les grands dépôts
Fork constant-time via btrfs reflink : 100 Go et 100 To se forkent dans les mêmes secondes
POURQUOI C'EST IMPORTANT

Ce que vous obtenez

Immunité au CLOUD Act par construction

Pas de société mère américaine. Pas de dépôt de clés chez le fournisseur. L'architecture est la défense. Le témoignage de Carniaux au Sénat (18 juin 2025) a clos tout argument résiduel selon lequel les contrats se substituent à l'immunité juridictionnelle.

Data Act européen 2027 prêt

Format de données ouvert et zéro frais de migration par construction. Chaque backup est un réplica portable et fonctionnel. Conformité complète aux articles 23-31 du Data Act avant l'échéance zéro frais du 12 janvier 2027.

Aligné SecNumCloud et C5:2026

La posture à quatre piliers correspond à la déclaration conjointe ANSSI-BSI du 17 novembre 2025 : localisation stricte des données, application exclusive du droit européen, absence d'accès extra-européen, et continuité d'activité sans dépendances non-UE.

L'ÉCART

La souveraineté comparée

La plupart des fournisseurs proposent la résidence des données. Aucun ne peut offrir ce que Rediacc délivre par architecture : garde des clés par le client, opérateur exclusivement européen, et immunité au CLOUD Act.

Fonctionnalité VeeamRubrikAWS SovereignMicrosoft BleuKeepit Rediacc
Immunité au CLOUD Act (pas de société mère américaine) ✗[4] ✗[4] ✗[4] ✓ ✓ ✓
Le client détient les clés (inintelligibilité technique) ✗ ✗[5] ✗[5] ✗ ✗ ✓
Opérateur exclusivement UE (pas de société mère américaine) ✗[4] ✗[4] ✗[4] ✓ ✓[6] ✓
Chemin d'attestation SecNumCloud / C5:2026 ✗ ✗ ✗[7] ✗ ✗ ✓
Format de sortie ouvert (Data Act Art. 30) ✗[8] ✗[8] ✗[8] ✗ ✗[8] ✓
Auto-hébergé sur infrastructure client ✓[9] ✗ ✗ ✗ ✗ ✓
Résidence des données UE par défaut ✗ ✗ ✓[10] ✓ ✓[13] ✓
Après le témoignage de Carniaux au Sénat en juin 2025, notre comité d'audit SecNumCloud a posé une seule question : pouvez-vous prouver que votre fournisseur de backup ne peut pas être contraint de divulguer des données de patients aux autorités américaines ? Avec Microsoft Azure Backup, nous ne pouvions pas répondre. Avec Rediacc, la réponse est architecturale : les clés ne quittent jamais notre HSM, l'opérateur n'a pas de société mère américaine, et nous pouvons générer un rapport de garde signé en trente secondes. C'est la seule réponse qui satisfait l'ANSSI.
→
Microsoft Azure Backup remplacé - Garde des clés : fournisseur vers client - Audit ANSSI : réussi

Arrêtez de louer vos données à un fournisseur sous juridiction américaine.

Commencez avec l'édition Community gratuite. Effectuez votre premier audit de garde des clés en moins d'une minute.

Devenir Design Partner
$ rdc audit log --limit 50

Vous manquez de temps ?

Passez l'analyse approfondie. Téléchargez la version cinq minutes que votre équipe peut lire lors d'un stand-up.

Télécharger la note courte (PDF)
Auto-hébergez chaque charge de travail, gardez chaque clé
Bases de données, serveurs de messagerie, CI/CD, ERP, CMS et stockages de modèles IA : chaque charge de travail souveraine, chaque clé vous appartient.

Explorer d'autres solutions

Encryption Control

Chiffrement que vous contrôlez

Vos clés. Votre chiffrement. Sans exception.

→ Encryption Control

Piste d'audit

Chaque action enregistrée. Rien de caché.

→ Encryption Control

Sécurité de migration

Migrez sans risquer vos données

→ Ransomware Survival

Backups immuables

Des backups que les rançongiciels ne peuvent pas atteindre

→ Multi Cloud

Protection contre les pannes cloud

Quand AWS tombe, pas vous

→ Verified Backups

Libération des dépendances fournisseur

Quittez n'importe quel fournisseur. Gardez vos données.

→ Verified Backups

Conformité de rétention

Respectez chaque obligation de rétention automatiquement

→ Development Environments

Clonage d'environnement

Clonez la production en 60 secondes

→
Sources et références
  1. Anton Carniaux, directeur des affaires publiques et juridiques de Microsoft France, audition du Sénat français sur la commande publique et la souveraineté numérique, 18 juin 2025 : "Non, je ne peux pas le garantir, mais, encore une fois, cela n'est jamais arrivé avant." Rapporté par The Register, 25 juillet 2025. www.theregister.com
  2. Gartner, février 2026 : dépenses européennes en IaaS cloud souverain prévues à 12,6 Mds $ en 2026 et 23,1 Mds $ en 2027, dépassant l'Amérique du Nord en 2027. www.gartner.com
  3. Commission européenne, "Commission Advances Cloud Sovereignty Through Strategic Procurement", 17 avril 2026. Appel d'offres Cloud III de €180 M attribué à Post Telecom + OVHcloud + CleverCloud, STACKIT, Scaleway, et Proximus + S3NS + Clarence + Mistral AI. Aucun contractant principal américain. commission.europa.eu
  4. CLOUD Act (Clarifying Lawful Overseas Use of Data Act), 18 U.S.C. 2713, 2018. Autorise les autorités américaines à contraindre les fournisseurs sous juridiction américaine à divulguer des données clients stockées n'importe où dans le monde. www.justice.gov
  5. Recommandations EDPB 01/2020 sur les mesures complétant les outils de transfert pour assurer la conformité avec le niveau de protection de l'UE, version 2.0, juin 2021. Cas d'usage 2 : le chiffrement comme mesure supplémentaire exige une garde exclusive des clés par le client et l'inintelligibilité technique chez l'importateur. www.edpb.europa.eu
  6. Keepit A/S, Copenhague. Backup SaaS uniquement pour Microsoft 365, Salesforce et Google Workspace. Immatriculé en UE, pas de société mère américaine. Ne sauvegarde pas les charges de travail auto-hébergées ou sur site. keepit.com
  7. Exigences de qualification SecNumCloud 3.2 de l'ANSSI. Les fournisseurs doivent être majoritairement détenus par des Européens, avoir leur siège en UE et être à l'abri des lois extraterritoriales. Actionnaires non-UE plafonnés à 25 % individuellement et 39 % collectivement. AWS Sovereign Cloud et Microsoft Bleu ne sont pas éligibles. www.ssi.gouv.fr
  8. Data Act européen (Règlement (UE) 2023/2854), articles 23-31. En vigueur depuis le 12 septembre 2025. Interdiction complète des frais de migration à partir du 12 janvier 2027. Les fournisseurs doivent assurer l'équivalence fonctionnelle après migration. eur-lex.europa.eu
  9. Veeam Backup and Replication prend en charge le déploiement auto-hébergé sur site. Veeam ne détient pas directement de certifications de souveraineté ; la stratégie de souveraineté UE dépend du partenaire IaaS (notamment OVHcloud). helpcenter.veeam.com
  10. AWS European Sovereign Cloud, disponibilité générale le 15 janvier 2026. Opère sous quatre GmbH allemandes. La société mère américaine (Amazon.com Inc.) reste soumise au CLOUD Act. aws.amazon.com
  11. Déclaration conjointe ANSSI-BSI sur les critères de souveraineté cloud, 17 novembre 2025. Quatre critères disqualifiants : localisation stricte des données et du support, application exclusive du droit européen, absence d'accès non autorisé par des tiers extra-européens, et capacité à maintenir la continuité d'activité sans technologies non-UE. www.bsi.bund.de
  12. Autorités de surveillance européennes, "Designation of Critical ICT Third-Party Providers under DORA", 18 novembre 2025. Les 19 premiers CTPP désignés comprennent AWS, Microsoft Azure, Google Cloud, IBM, Oracle, SAP, Salesforce. www.eiopa.europa.eu
  13. Politique de résidence des données Keepit : données client stockées exclusivement dans des datacentres européens (Francfort, Amsterdam, Copenhague). Modèle SaaS uniquement, opérateur et stockage exclusivement européens. www.keepit.com
Les estimations du calculateur utilisent des modèles de coût standard du secteur ; l'exposition réelle varie selon la juridiction, la structure contractuelle et le scénario de violation.