Beaucoup d'offres annoncent des données hébergées en France. C'est souvent vrai, et presque jamais suffisant. Un centre de données situé en France peut être opéré par une entité soumise à un droit étranger, et cette entité peut recevoir une injonction à laquelle le client n'est même pas partie.
Les questions à poser
Où sont les données au repos, et où sont les sauvegardes. Les deux ne sont pas toujours au même endroit.
Quelle entité juridique opère le service, et de quel droit elle relève. Le nom commercial et la raison sociale ne coïncident pas toujours.
Qui détient les clés de chiffrement, et qui peut techniquement lire en clair. C'est la question la plus utile des trois, parce qu'elle ne se règle pas par une déclaration : elle se vérifie dans l'architecture.
Notre position
Les applications et les données que nous construisons sont hébergées en France, sur l'infrastructure de notre partenaire cloud. Nous posons la contrainte avant le chiffrage, et nous ne la rouvrons pas en cours de projet quand le budget se tend.
Nous ne revendiquons pas de qualification que nous n'avons pas. Quand un référentiel est visé et pas encore obtenu, nous le disons dans ces termes. Un interlocuteur qui recoupe verra la différence entre ce qui est acquis et ce qui est en cours.
Tous les articles