Souveraineté
« Données hébergées en Europe » signifie que le prestataire annonce stocker certaines données dans des datacenters situés en Europe. La phrase est vraie ou fausse selon la liste des données qu’elle couvre. Elle ne dit pas quel droit s’applique à la société qui les détient.
La mention figure sur presque toutes les offres de messagerie et de stockage. Elle rassure, et c’est son rôle commercial. Pour un dirigeant, un DSI ou un DPO, elle n’est qu’un point de départ : le registre des traitements, un questionnaire de client ou un appel d’offres demanderont où sont les données, mais aussi qui y accède et depuis où.
Une phrase trop large crée deux risques. Le premier est de déclarer à tort qu’aucune donnée ne quitte l’Europe. Le second est de croire réglée une question qui ne l’est pas : celle de l’exploitant et du droit qui s’applique à lui. La page protéger une entreprise du CLOUD Act traite ce second point.
Les plaquettes mélangent quatre périmètres.
Ces distinctions ne sont pas des détails de juriste. Un appel d’offres qui exige un hébergement « dans l’Union européenne » n’est pas forcément satisfait par une offre qui annonce « l’Europe » et inclut la Suisse ou un autre pays de l’AELE. À l’inverse, un hébergement suisse peut convenir à une entreprise qui a vérifié le cadre applicable. L’erreur fréquente est de traiter le mot « Europe » comme une réponse, alors qu’il appelle une liste.
Lorsque vous lisez « Europe », demandez la liste des pays.
Une messagerie produit au moins six familles de données.
Beaucoup d’offres « hébergées en Europe » parlent de la famille 1, parfois de la 2. Les familles 3 à 5 sont celles qui partent le plus souvent ailleurs : support suivi du soleil (vos demandes passent d’une équipe à une autre à travers le monde selon le fuseau horaire), outil de tickets américain, sauvegarde chez un sous-traitant, antivirus dont les signatures ou les échantillons quittent la zone.
Ces familles ne sont pas secondaires. Les journaux disent qui travaille avec qui et à quelle heure. Une copie de boîte transmise au support pour un diagnostic contient autant que la boîte elle-même. Une sauvegarde est une seconde copie complète.
Microsoft documente, pour les services inclus dans l’EU Data Boundary, un stockage et un traitement dans l’UE et l’AELE des données client et des données personnelles pseudonymisées, ainsi qu’un stockage au repos des données de services professionnels, avec des transferts qui continuent : accès distant de personnel hors zone pour certains incidents, stockage hors zone de certains éléments de tickets escaladés, fonctions optionnelles activées par l’administrateur, clients Multi-Geo hors périmètre. Google documente des régions de données pour des contenus couverts (messagerie, agenda, fichiers, documents, selon l’édition). La documentation Google précise que des données non listées, comme certains journaux, ne sont pas couvertes par cette politique de région.
Ces deux éditeurs ont un mérite : ils publient ce qui est couvert et ce qui ne l’est pas. Un prestataire, quelle que soit sa nationalité, qui n’écrit rien sur ses sauvegardes, ses journaux et son support n’offre pas plus de garanties ; il en offre seulement moins à vérifier.
Lire la liste couverte prend une heure. C’est cette heure-là qui donne un sens à la phrase.
Une PME de services de 40 personnes, avec deux agences, compare deux offres de messagerie. Toutes deux annoncent « données hébergées en Europe ». En lisant la documentation, le DSI constate que la première couvre les boîtes et les fichiers, mais que l’outil de tickets du support est hébergé hors d’Europe et que les techniciens peuvent se connecter depuis plusieurs continents. La seconde précise le pays des boîtes, des sauvegardes et des journaux, et indique que le support intervient depuis le même périmètre, avec une trace de chaque accès.
Les deux phrases étaient vraies. Seule la seconde permet de remplir le registre sans approximation. Le choix final peut encore se faire sur d’autres critères, comme les fonctions ou le prix, mais il se fait en connaissance de cause.
Elle ne prouve pas que l’exploitant est européen. Un éditeur américain peut héberger en Irlande.
Elle ne prouve pas l’absence de transfert. Un mail envoyé à un correspondant hors d’Europe quitte l’Europe parce que l’expéditeur l’a voulu. Une pièce jointe ouverte dans un outil tiers quitte le périmètre. Enfin, si le client demande une copie de sauvegarde vers son propre coffre, la localisation et les conditions de stockage de cette copie dépendent de l’emplacement et des caractéristiques du coffre choisi par le client.
Elle ne prouve pas qui peut lire. Le chiffrement de transport (TLS) protège le trajet. Le chiffrement au repos protège le disque volé. Tant que l’exploitant détient la clé pour rendre le service, il peut techniquement accéder au contenu. C’est le cadre habituel d’une messagerie, chez un acteur américain comme chez un acteur européen. L’enjeu est alors la règle d’accès, la trace, et le droit qui s’applique à l’exploitant.
Le cadre change lorsque la clé est détenue par le client, ou conservée dans son compte derrière un mot de passe que l’exploitant ne possède pas : l’exploitant ne peut plus lire le contenu sans un geste que le client remarquerait. C’est le choix de Klytic, décrit plus bas.
Elle ne prouve pas la réversibilité. Des données hébergées à Marseille que vous ne pouvez pas exporter restent difficiles à quitter.
Ces questions se posent par écrit pour une raison simple : la réponse peut être reprise dans le contrat ou dans le registre.
Les pages RGPD et Microsoft 365 et RGPD et Google Workspace appliquent ces questions aux deux suites les plus répandues. Pour la messagerie seule, voir choisir une messagerie professionnelle européenne.
Géographiquement, oui. Juridiquement, la Suisse n’est pas dans l’Union européenne, mais la Commission a adopté une décision d’adéquation à son égard. Si votre contrat ou un appel d’offres exige l’Union européenne, il faut le vérifier avant de signer.
Pas sans vérifier. Les sauvegardes, les journaux, les tickets de support et les fonctions optionnelles suivent souvent d’autres règles que les boîtes. Microsoft liste lui-même des transferts qui continuent malgré sa frontière européenne des données.
La question est mal posée. Le lieu de stockage n’est qu’un élément ; comptent aussi le fondement des transferts, les sous-traitants et l’accès du support. Le lieu ne dit rien, en outre, du droit qui s’applique à l’éditeur.
Il protège le trajet et le disque. Il ne rend pas les données illisibles pour l’exploitant qui détient la clé. Ce qui compte est donc qui détient la clé, ce que le contrat en dit, et à quelles fonctions le chiffrement s’applique.
Lorsque le service est hébergé par Klytic pour un client européen, les données le sont en Europe. Pour un client de la zone Maurice, l’hébergement annoncé est Maurice ou Europe. Pour les autres clients, l’hébergement est assuré dans une zone géographique conforme à la juridiction applicable, sous réserve de la disponibilité des services requis. Le client peut aussi faire héberger chez lui. Pour la téléphonie, le serveur dédié est hébergé dans un cloud européen, à Maurice ou dans une zone géographique conforme à la juridiction applicable, selon la demande ou le besoin du client. Les sauvegardes suivent le même exploitant : chaque heure pour la messagerie, les documents et le CRM, chaque jour pour la téléphonie, conservation 30 jours.
Chez Klytic, la clé de chiffrement est détenue par le client, ou conservée dans son compte. Klytic n’y a pas accès : pour l’obtenir, il lui faudrait détruire ou changer le mot de passe du compte, qu’il ne possède pas, et le client s’en rendrait compte. Les étapes où le chiffrement est géré par Klytic (quarantaine du filtrage, traitement dans le CRM, mails lorsque le client n’a pas activé sa propre clé) sont détaillées dans la page protéger une entreprise du CLOUD Act. Le contrat doit décrire cette détention et ce chiffrement. Les détails publiés figurent sur les pages hébergement et souveraineté et foire aux questions.
Cette page décrit un cadre général. Elle ne remplace pas l’analyse de votre contrat.
Point juridique au 5 octobre 2026. Ce texte ne remplace pas l’analyse d’un contrat. La décision d’adéquation UE–États-Unis (UE) 2023/1795 est en vigueur. Elle est contestée. Le catalogue ANSSI fait foi pour SecNumCloud.
Consultées en octobre 2026.
Messagerie, documents, visioconférence, CRM et téléphonie, hébergés dans la zone qui correspond à votre juridiction, par exemple en Europe ou à Maurice, ou chez vous.
Offre de bienvenue
Offre d'essai sans engagement. Un conseiller vous rappelle pour comprendre vos besoins et préparer votre espace Klytic.
