CLOUD Act
Oblige les fournisseurs établis aux États-Unis à remettre les données qu’ils contrôlent, quel que soit l’endroit du monde où elles sont stockées.
Ce que la souveraineté des données signifie vraiment pour votre équipe.
Chaque message, chaque tâche, chaque document de votre équipe réside sur les serveurs de quelqu’un, sous le droit de quelqu’un. Cette page explique qui peut accéder à ces données, les choix d’hébergement de notre cloud européen au mode entièrement hors ligne, et comment évaluer n’importe quel fournisseur, nous compris.Cadre juridique RGPDHébergement Cloud européen · Votre cloud · Vos serveursHors ligne Pris en charge
De quoi parle-t-on, et pourquoi maintenant
La souveraineté, c’est que vos données relèvent de votre droit.
US CLOUD Act · 2018
La souveraineté des données est le principe selon lequel les données sont régies par le droit du lieu où elles se trouvent, et maîtrisées par l’organisation qui les détient. Pour un espace de travail d’équipe, cela couvre chaque message, tâche, document, fichier et trace d’appel que produit votre entreprise.
La plupart des suites collaboratives appartiennent à des entreprises américaines. Le CLOUD Act américain (2018) permet aux autorités des États-Unis d’obliger tout fournisseur établi aux États-Unis à remettre les données qu’il contrôle, où qu’elles soient physiquement stockées. Un centre de données européen change la latence, pas la juridiction.
La tension n’a plus rien de théorique. Les autorités européennes de protection des données ont, à plusieurs reprises, signalé les transferts transatlantiques comme un risque de conformité, et l’Union européenne a annoncé des travaux sur un projet de règlement sur le développement du cloud et de l’IA (Cloud and AI Development Act) qui prendrait en compte la juridiction du fournisseur pour les charges de travail sensibles. Les équipes achats demandent de plus en plus où résident les données, et qui peut être contraint de les remettre.
La réponse durable est pratique, non contractuelle : choisir un logiciel que vous pouvez exploiter là où s’applique votre propre droit, jusque sur des serveurs qui vous appartiennent. C’est le principe sur lequel Polybase est construit : l’espace de travail souverain des équipes.
Transferts au titre du RGPD
Les données personnelles ne peuvent quitter l’Union européenne que moyennant des garanties juridiques définies.
Cloud and AI Development Act
L’Union européenne a annoncé des travaux sur des règles relatives au cloud qui prendraient en compte la juridiction du fournisseur pour les charges de travail sensibles. Proposé, non adopté.
Informations générales, ne constituant pas un conseil juridique.
Choix d’hébergement
De la simplicité au contrôle total.
La souveraineté n’est pas binaire. C’est un spectre : qui exploite le logiciel, qui détient les clés, et le droit de qui peut atteindre le résultat. Polybase fonctionne à chaque point de ce spectre.
01 · Cloud européen
Notre cloud européen
Nous exploitons Polybase dans des régions européennes pour vous. Les données restent dans l’Union européenne et le stockage est chiffré.
Clés de chiffrement : gérées par Polybase
02 · Cloud privé
Votre propre compte cloud
Polybase fonctionne dans votre compte cloud et votre région. Vous maîtrisez le réseau, le stockage et les accès.
Clés de chiffrement : celles de votre compte cloud
03 · Auto-hébergé
Vos serveurs
Fonctionne sur des serveurs qui vous appartiennent, sous votre juridiction. Vous détenez les données et les clés de chiffrement.
Clés de chiffrement : les vôtres
04 · Hors ligne
Entièrement hors ligne
Fonctionne sans connexion à Internet, sur des réseaux isolés. Polybase ne nous envoie rien sans configuration de votre part, et les appels vidéo restent dans votre réseau.
Clés de chiffrement : les vôtres
Évaluer un fournisseur
Sept questions à poser à tout fournisseur.
Appliquez aussi cette liste à notre propre cas. Un fournisseur qui prend la souveraineté au sérieux doit répondre par écrit à chaque question.
Sous quelle juridiction le fournisseur opère-t-il ?
L’appartenance du capital détermine quelles autorités peuvent exiger une divulgation : le CLOUD Act américain atteint les fournisseurs américains, où que les données soient stockées.
Où les données sont-elles physiquement stockées, et pouvez-vous choisir ?
Le choix de la région compte pour la résidence des données et la latence, mais l’emplacement seul ne limite pas l’exposition juridique du fournisseur.
Pouvez-vous exploiter le logiciel sur une infrastructure qui vous appartient ?
Sur vos propres serveurs, sans service externe connecté, aucun tiers ne détient vos données : aucun ne peut donc être contraint de les remettre.
Qui détient les clés de chiffrement dans chaque mode de déploiement ?
Si le fournisseur détient les clés, il peut être sommé de s’en servir. La propriété des clés doit vous revenir avec le mode de déploiement.
Fonctionne-t-il sans connexion à Internet ?
Fonctionner hors ligne est la meilleure preuve que le produit ne dépend pas, de façon cachée, du cloud de son éditeur.
Pouvez-vous récupérer vos données, intégralement et dans des formats ouverts ?
La souveraineté inclut la sortie. Privilégiez les formats d’export standard plutôt que les archives propriétaires.
Que devient votre espace de travail si le fournisseur disparaît ?
Un logiciel que vous exploitez vous-même continue de fonctionner. Un simple abonnement SaaS s’arrête avec l’entreprise qui le vend.
Nos réponses : notre cloud européen, votre propre compte cloud ou vos propres serveurs, jusqu’au mode entièrement hors ligne si vous en avez besoin. Les clés de chiffrement suivent le mode de déploiement.
Des limites assumées
Ce que la souveraineté ne résout pas
Maîtriser votre infrastructure vous donne le contrôle juridique et opérationnel, mais cela ne fait pas disparaître les problèmes. Le dire clairement fait partie de la crédibilité :
- La souveraineté n’est pas la sécurité. Un serveur auto-hébergé aux mots de passe faibles est pire qu’un cloud bien exploité. Le durcissement, les mises à jour et le contrôle d’accès restent votre affaire en auto-hébergement.
- Ce n’est pas une conformité automatique. Vos propres serveurs règlent la question de la résidence des données, mais les obligations du RGPD (bases légales, registres, droits des personnes) restent les vôtres, où que le logiciel fonctionne. Polybase est conçu autour des principes du RGPD ; il ne peut pas être conforme à votre place.
- Ce n’est pas une certification. Polybase n’est pas encore certifié SOC 2 ni ISO 27001 : les deux figurent dans notre feuille de route. Nous répondons dès aujourd’hui aux questionnaires de sécurité et aux questions d’architecture.
- Le hors ligne a de vraies contreparties. Sans connexion à Internet, vous gérez vous-même les mises à jour et les sauvegardes, et les appels vidéo doivent aussi fonctionner dans votre réseau.
FAQ
Questions fréquentes
Qu’est-ce que la souveraineté des données ?
La souveraineté des données signifie que les données sont régies par le droit du pays où elles sont conservées et maîtrisées par l’organisation qui les produit. Pour un espace de travail d’équipe, c’est la question de savoir qui peut accéder à vos messages, tâches, documents et fichiers, les déplacer, ou être contraint de les divulguer.
Un hébergement dans un centre de données européen protège-t-il du CLOUD Act américain ?
Non. Le CLOUD Act s’applique aux fournisseurs établis aux États-Unis où qu’ils stockent les données : une région européenne exploitée par une entreprise américaine reste donc à la portée de la procédure judiciaire américaine. La juridiction suit le fournisseur, pas le centre de données.
Quelle différence entre résidence des données et souveraineté des données ?
La résidence, c’est l’endroit où les données sont physiquement stockées ; la souveraineté, c’est le droit et les décisions de qui les gouvernent. La région de Francfort d’un fournisseur américain vous offre la résidence sans la souveraineté. L’auto-hébergement sur votre propre infrastructure vous offre les deux.
Comment Polybase soutient-il la souveraineté des données ?
Polybase fonctionne dans notre cloud en région européenne, dans votre propre compte cloud ou sur vos propres serveurs, y compris entièrement hors ligne, sans connexion à Internet. Sur vos propres serveurs, sans service externe connecté, vous détenez les données et les clés de chiffrement : aucun tiers ne peut donc être contraint de remettre quoi que ce soit.
Prochaines étapes
Prêt à posséder votre espace de travail ?
Découvrez comment nous protégeons votre espace de travail, voyez Polybase en direct, ou devenez partenaire pour le mettre en place chez vos clients.