「ソブリン」は販売上のうたい文句になりました。この言葉は、性質のまったく異なる商品に使われています。パリのデータセンターに設置されたメール（メールサービス）、欧州のデータリージョンを備えた米国のオフィススイート、オープンソースのソフトウェア、ANSSIの認定を受けたインフラなどです。これらの商品はいずれも優れた点を備えている可能性があります。しかし、同じ問いに答えているわけではありません。
経営者、情報システム責任者、DPOにとってのリスクは、中身を知らないままチェックボックスにチェックを入れてしまうことです。顧客から自社のデータがどこにあるのかを尋ねられたとき、監査人が処理活動記録簿を読み直したとき、あるいはサービス提供者の所有者が変わったとき、ラベルは何の役にも立ちません。意味を持つのは、書面による回答だけです。誰が運用しているのか、どの法律が適用されるのか、どのように引き揚げるのか、という回答です。
このページでは概念を説明します。入札のための評価基準表は定義、基準、限界にあります。欧州の運用事業者と米国のソフトウェアの開発元との比較は、欧州のクラウドか米国のクラウドかのページで扱っています。
企業は、メール、ファイル、顧客記録を第三者に預けます。その企業が知りたいことは三つあります。
契約がこの三点に答えていれば、「ソブリン」というラベルには中身があります。契約が「パリのデータセンター」や「フランクフルトのデータセンター」と述べるだけなら、それは場所を説明しているにすぎません。場所は、とりわけ処理活動記録簿のために役立ちます。しかし、誰がデータの提出を強制されうるのかは示していません。
欧州の入札では、この言葉は一般に五つの期待を指しています。
ANSSIが付与するフランスのSecNumCloud認定は、特定の商品について、これらの期待の一部を形式化したものです。この認定は、企業全体を認定するものではなく、また認定済みのインフラに設置されているというだけでアプリケーションを認定するものでもありません。商品ごとに、ANSSIのカタログが正式な根拠となります。中小企業にとってこの問題が生じるのは、主にデータの性質や発注者がそれを求める場合です。
ソブリンクラウドは免責ではありません。欧州の運用者も、自国の法律、国内の司法上の命令、そして司法共助協定の対象であり続けます。ソブリン性は法的な枠組みを変えます。あらゆるアクセス要求をなくすわけではありません。変わるのは、開示を命じることのできる裁判官、従うべき手続、そして運用者とその顧客が利用できる救済手段です。欧州の企業にとって、それは自社の法律顧問がよく知り、自ら行動できる枠組みです。
ソブリンクラウドは「オープンソース」の同義語でもありません。ソフトウェアは、誰がプログラムを書いたのかを示します。ソブリン性は、誰がデータを保有し、誰が鍵を保有するのかを示します。フリーソフトウェアであっても、外国の法律の対象となる会社によって運用されることがあります。外国のソフトウェアの開発元によるソフトウェアであっても、データの管理権を単独で保持する欧州の会社によって運用されることがあります。
Klyticでは、データは全面的に顧客自身によって、または顧客に代わってKlyticによって、適用される管轄に属する地理的区域内で保有されます。データはネイティブに、または顧客の選択に従って暗号化されます。鍵は顧客が保有するか、顧客のアカウント内に保管されます。Klyticはその鍵にアクセスできません。鍵を入手するには、Klyticが保有していないパスワードを破棄または変更する必要があり、顧客はそれに気づくことになります。
サービスがコンテンツを処理しなければならないため、一部の段階はKlyticによる暗号化のままです。フィルタリングによって隔離されたメール（データベース内で暗号化）と、CRMで処理されるメールおよび文書です。このうちメールだけは、顧客が自らの鍵による暗号化を有効にしている場合に例外となります。さらに、ファイルへのアクセスは限定されたアクセス権によって厳しく制限されており、接続の監査によって不正な試みがあった場合に警告が出されます。詳細はCLOUD Actから企業を守るのページにあります。契約には、この保有方法、この暗号化、これらの予防措置が記載されていなければなりません。
最後に、ソブリンクラウドは、Microsoft 365やGoogle Workspaceと同等の機能を約束するものでもありません。欧州の運用者でありながら、オフィス機能がそれほど充実していないこともあります。オフィス機能が非常に充実していながら、運用者が米国企業であることもあります。これらは二つの別々の判断です。
両者を分けて扱うことで、対称的な二つの誤りを避けられます。業務が依存しているツールを原則論だけで手放してしまうこと、あるいはツールがチームに好評だからといって法的な問題を退けてしまうことです。Microsoft 365に固有の判断の分かれ目については、Microsoft 365とソブリンソリューションの比較で詳しく説明しています。
仮定の事例です。従業員25名の会計事務所が、製造業の顧客から簡単な質問を受けます。「当社の会計書類はどこにあり、誰がアクセスできるのですか」。この事務所が利用しているメール（メールサービス）とファイル共有サービスのパンフレットには、「フランスでホスティング」と記載されています。
三つの問いに沿って確認していくと、パートナーは次のことに気づきます。請求を行う会社はフランス企業ですが、運用とサポートは外国グループの子会社が担っており、バックアップは、契約に国名が記載されていない委託先に任されているのです。パンフレットは誤りではありませんでした。ただ、顧客の質問には答えていなかったのです。
事務所には二つの合理的な選択肢があります。サービス提供者から書面による回答を得て記録に保管するか、納得できる回答を示す運用事業者を選ぶかです。いずれの場合も、事務所は形容詞ではなく事実によって顧客に答えることになります。
パンフレットではなく、四つの文書を求めてください。
サービス提供者がこれらの情報を書面で提供できないのであれば、それ自体がすでに一つの情報です。次に、回答を自社の処理活動記録簿の記載内容と照らし合わせてください。食い違いが見えてくるのはそこです。
欧州連合域外への移転に関する法的枠組みについては、CLOUD Actに関するページと、欧州でホスティングされたデータに関するページをご覧ください。購買基準の一覧については、定義、基準、限界をご覧ください。
いいえ。GDPRは、役割、EU域外への移転、個人の権利を定めています。「ソブリン」という言葉を定義しておらず、欧州の運用者を選ぶことも義務づけていません。一方で、データがどこへ、どのような根拠で送られるのかを把握することは義務づけており、これはこのページの問いの多くと重なります。
必ずしもそうではありません。場所は求められる回答の一つですが、唯一のものではありません。どの会社がサービスを運用しているのか、その会社にどの法律が適用されるのか、誰がデータにアクセスできるのか、どのようにデータを取り戻すのかも知る必要があります。
データの性質や発注者がそれを求める場合は、はい。その場合、商品名がANSSIのカタログに掲載されている必要があります。中小企業のメール（メールサービス）やファイル共有では、一般に、運用事業者、アクセス、可逆性に関する問いのほうが判断の決め手になります。
いいえ。オープンソースはコードを読むことを可能にし、ホスティング事業者の変更を容易にします。しかし、誰がデータを保有し、誰が鍵を保有するのかは示しません。
いいえ。欧州の運用者も、自国の法律とその国の裁判官による命令の対象であり続けます。違いは、裁判官、手続、救済手段にあります。
Klyticは、フランス企業であるDedicace Softwareによって運用されています。サービスは、実績のあるソリューションやオープンソースのソリューション、そしてKlyticが開発したモジュールとサービスに基づいています。これらのサービスの分離は、この用途のために開発されたKlyticのサーバーによって確保され、制御されています。
ホスティングは、必要なサービスが利用可能であることを条件に、適用される管轄に対応するあらゆる地理的区域で可能です。たとえば欧州やモーリシャス、あるいは顧客のサーバー上です。詳細はホスティングとソブリン性のページにあります。
KlyticはSecNumCloud認定を受けた商品ではありません。他のフランスの運用者と同様に、フランス法の対象であり続けます。
このページは一般的な枠組みを説明するものです。お客様の契約の分析に代わるものではありません。
2026年10月5日時点の法的状況。本文は契約内容の分析に代わるものではありません。EU・米国間の十分性認定（EU）2023/1795 は有効ですが、異議が申し立てられています。SecNumCloud については ANSSI のカタログが基準となります。
2026年10月に参照。
メール、ドキュメント、ビデオ会議、CRM、電話を、お客様の法域に対応する地域（例：欧州やモーリシャス）、またはお客様の拠点でホスティングします。
