調達の募集要項に「ソブリンクラウド」と書くことは、すべての応募者が「はい」と答える質問をするのと同じです。回答は比較できなくなり、選定は価格やプレゼンテーションの印象で決まってしまいます。
評価表は、すべての応募者に同じ問いへ、裏付け資料を添えて答えることを求めます。また、契約締結後も購入者を守ります。募集への回答に書面で記された約束は契約に盛り込むことができますが、形容詞は検証できないからです。概念そのものはソブリンクラウドとは何かで説明しています。このページは購買のためのものです。
次の定義を採用してください。
欧州の購入者にとって、デジタルサービスがソブリンとして扱われるのは、そのサービスを運用する会社が欧州の法律に服し、預けられたデータとそのバックアップが明示された地理的範囲内にとどまり、運用のためのアクセスが特定されており、かつ顧客がデータをエクスポートしたうえで削除させることができる場合です。
この文は実務上の道具です。EU一般データ保護規則（GDPR）の条文ではありません。同規則は、役割（管理者、処理者）、移転、個人の権利を定めています。「ソブリン」というラベルを付与するものではありません。
この文の各要素は、以下の基準の一つまたは複数に対応しています。それがこの定義を使えるものにしています。文を質問に分解し、回答を採点できるのです。
各基準は、形容詞ではなく文書によって証明されます。
10の基準の重みは、すべての購入者にとって同じではありません。メール（メールサービス）とファイル共有の場合、一般に基準1、3、4、5、9が商品間の差を生みます。基準10は、求められる場合には足切り条件となり、そうでなければ中立です。重み付けは、回答を開封する前に決めてください。開封した後ではありません。
場所は法律に代わらない。 米国企業が運用するフランクフルトのデータセンターは、依然としてその企業のサービスです。米国のCLOUD Actは、ディスクがどの国にあるかにかかわらず、米国の管轄に服するサービス提供者が保有するデータを対象としています。CLOUD Actから企業を守ると、比較ページ欧州のクラウドか米国のクラウドかをご覧ください。
欧州の法律は、命令がないことを意味しない。 フランス、ドイツ、オランダの裁判官は、自らの管轄に属する運用者に対してデータの開示を命じることができます。違いは、裁判官、手続、不服申立ての手段にあります。その逆を思わせるような評価表は、購入者を誤らせることになります。
ソフトウェアと運用事業者は別物である。 NextcloudはドイツのNextcloud GmbHが開発しています。Zimbraは米国のSynacorが開発しています。BlueMindはフランスの会社です。いずれの場合も、自社のサービスのソブリン性は、誰がそれをインストールし、誰がバックアップを取り、誰が電話に出るかによって決まります。ソフトウェアの開発元の国籍が重要になるのは、主に開発元がデータにアクセスできる場合です。その場合は基準7で扱います。
SecNumCloudは範囲が狭い。 これはANSSIによる商品ごとの認定であり、対象範囲と有効期限があります。国家の機微なデータについてはしばしば求められます。メール（メールサービス）とファイル共有を探している中小企業にとって、唯一の基準とするには過剰です。決定書を読まずに持ち出すのであれば、不十分です。
Microsoft 365のすべての用途をカバーする商品はない。 高度なExcel、Power BI、Teamsのエコシステム、業務用アドインには、欧州の運用者のもとで汎用的な代替がありません。ソブリンという基準はこの点を決着させるものではありません。それに加わるものです。これらの用途が中心的であれば、評価表の結果として、十分に理解したうえでMicrosoft 365を使い続けることもありえます。Microsoft 365とソブリンソリューションの比較をご覧ください。
「ソブリンクラウド」を10の基準に置き換え、それぞれに求める証拠を添えてください。そうすれば、欧州データ境界を備えたMicrosoftの商品、データリージョンを備えたGoogleの商品、Infomaniakのようなスイスの商品、フランスで運用される商品を比較できます。比較は形容詞の争いではなく、証拠を読むことになります。
| 基準 | 応募者への質問 | 求める資料 |
|---|---|---|
| 1. 運用会社 | どの会社がサービスを運用し、誰がその会社を支配していますか。 | 登記簿抄本、グループ組織図 |
| 2. 契約の準拠法 | どの法律、どの裁判所ですか。 | 一般利用規約およびデータ処理契約の条項 |
| 3および4. 範囲と場所 | どのカテゴリーのデータが、どの国にありますか。 | カテゴリー別の表：コンテンツ、バックアップ、ログ、サポート |
| 5. 管理 | 誰が、どこから、どのような記録とともに管理していますか。 | チーム体制とログ記録の説明 |
| 6. 鍵 | 誰が、どのような場合に復号できますか。 | 暗号化方式の説明 |
| 7. 委託先 | 誰がコピーまたはアクセスを受け取りますか。 | 国名付きの名称一覧 |
| 8. 当局 | 要請を受けた場合、どう対応しますか。 | 書面化された手続 |
| 9. 可逆性 | どのようにすべてを取り戻せますか。どのくらいの期間がかかりますか。 | エクスポート手順、形式、試行 |
| 10. 認定 | 提案される商品は認定を受けていますか。 | 求められる場合、ANSSIカタログの参照 |
地理的な基準だけの詳細は、「欧州でホスティングされたデータ」とは実際に何を意味するのかで扱っています。
仮定の事例です。サービス業の中堅企業が、メール（メールサービス）とファイル共有を更新します。仕様書の最初の版では、「欧州でホスティングされたソブリンクラウドのソリューション」を求めています。3社の応募者はいずれも「はい」と答えます。
情報システム部門は、評価表を使って募集要項を書き直します。回答が読み取れるようになります。1社目は欧州でホスティングしていますが、米国法の対象となるグループに属しています。基準1は満たしておらず、基準3と4は十分に文書化されています。2社目は欧州の会社ですが、夜間サポートを区域外の委託先に任せています。基準5は交渉が必要です。3社目は法的な基準を満たしていますが、ある業務上の用途をカバーしていません。経営陣が判断しなければなりません。評価表が企業に代わって選んだわけではありません。選択を明確にしたのです。
いいえ。GDPRは「ソブリン」というラベルを付与していません。SecNumCloudはANSSIが付与する商品の認定であり、一般的な定義ではありません。ここで提案している定義は、購入者のための実務上の道具です。
一般的には満たしません。この基準は、運用する会社とその会社を支配する会社を対象としています。子会社は、ユーロで請求し欧州でホスティングしながら、米国法の対象となるグループに属していることがあります。この違いは欧州のクラウドか米国のクラウドかのページで詳しく説明しています。
比較可能な回答を得るために、すべての質問を投げかけるべきです。ただし、その重みはお客様のデータと義務によって異なります。重み付けを事前に決めておけば、評価表を意中の応募者に合わせて調整してしまうことを防げます。
はい。それこそがこの評価表の利点です。これらのソフトウェアの開発元によるデータ所在地の仕組みは、基準3と4で読み取れます。開発元の国籍は基準1で読み取れます。GDPRとMicrosoft 365とGDPRとGoogle Workspaceのページでは、これらの問いを適用しています。
Klyticは、評価表の一部を満たし、別の一部は満たしていません。運用事業者はフランス企業のDedicace Softwareです。顧客は、必要なサービスが利用可能であることを条件に、適用される管轄に対応するあらゆる地理的区域でKlyticのホスティングを選べます。たとえば欧州やモーリシャス、あるいは顧客のサーバー上です。メール（メールサービス）のソフトウェアの開発元は米国（Zimbra / Synacor）、文書のソフトウェアの開発元はドイツ（Nextcloud）であり、顧客ごとに専用のインスタンスが用意されます。
鍵の基準については、データは全面的に顧客自身によって、または顧客に代わってKlyticによって、適用される管轄に属する地理的区域内で保有されます。データはネイティブに、または顧客の選択に従って暗号化されます。鍵は顧客が保有するか、顧客のアカウント内に保管され、Klyticはその鍵にアクセスできません。暗号化をKlyticが管理する段階については、CLOUD Actから企業を守るのページで詳しく説明しています。契約には、この保有方法とこの暗号化が記載されていなければなりません。
KlyticはSecNumCloud認定を受けていません。それ以外の形で示すことは不正確です。
このページは一般的な枠組みを説明するものです。お客様の契約の分析に代わるものではありません。
2026年10月5日時点の法的状況。本文は契約内容の分析に代わるものではありません。EU・米国間の十分性認定（EU）2023/1795 は有効ですが、異議が申し立てられています。SecNumCloud については ANSSI のカタログが基準となります。
2026年10月に参照。
メール、ドキュメント、ビデオ会議、CRM、電話を、お客様の法域に対応する地域（例：欧州やモーリシャス）、またはお客様の拠点でホスティングします。
