Cloud souverain
Le cloud souverain est une infrastructure où la localisation des données, la juridiction légale qui les régit et l'entité exploitant les systèmes sont toutes contrôlées par une même autorité définie — typiquement un pays ou un bloc économique — plutôt que laissées aux conditions d'utilisation d'un fournisseur étranger. Il s'agit de savoir qui peut être contraint de livrer des données, pas seulement où se trouvent les serveurs.
Trois éléments distincts sont regroupés sous l'appellation « cloud souverain », et l'essentiel de la confusion vient du fait qu'on les confond : la résidence des données (dans quel pays se trouvent physiquement les octets), la juridiction légale (les tribunaux et autorités de quel pays peuvent contraindre l'accès à ces données, quel que soit l'endroit où elles se trouvent), et la souveraineté opérationnelle (qui — quelle entreprise, sous quelle structure juridique — exploite réellement l'infrastructure et peut subir des pressions, être racheté ou sanctionné). Un hyperscaler qui ouvre un centre de données basé dans l'UE ne satisfait que le premier critère. Cela ne résout pas le second : une entreprise dont le siège est aux États-Unis reste soumise au droit américain — y compris aux lois à portée extraterritoriale — quel que soit l'endroit où ses serveurs sont physiquement situés. C'est pourquoi les offres de « cloud souverain » des hyperscalers américains, aussi authentiquement exploitées dans l'UE que leurs filiales locales soient structurées pour l'être, sont examinées différemment d'une infrastructure exploitée de bout en bout par une entreprise constituée et ayant son siège dans la juridiction en question.
En pratique, la souveraineté est un continuum de choix, pas une certification qu'on détient ou pas. Une organisation régulée peut conserver ses charges de travail les plus sensibles sur site ou chez un fournisseur bare-metal physiquement situé dans le pays, faire tourner des charges moins sensibles chez un fournisseur cloud dont le siège est dans l'UE (Hetzner, OVHcloud, Scaleway et UpCloud sont des exemples couramment cités), et accepter un hyperscaler américain pour les charges où la résidence compte moins que la parité fonctionnelle. Ce qui compte pour une véritable revendication de souveraineté, c'est que le client puisse nommer, concrètement, quelle entité détient les clés de chiffrement, quel tribunal est compétent en cas d'assignation, et qui peut révoquer l'accès unilatéralement. Le terme « souverain » utilisé comme argument marketing sans répondre à ces trois questions est généralement emprunté à un terme qui décrivait à l'origine un dispositif précis et auditable.
Pourquoi c'est important
Pour les secteurs régulés et les organismes publics soumis au RGPD, à NIS2 ou à des règles sectorielles spécifiques, la souveraineté n'est pas une préférence abstraite — elle détermine quel système juridique tranchera réellement un litige, quelle autorité peut contraindre à la divulgation de données, et si une loi étrangère peut atteindre des données qui n'ont jamais physiquement quitté l'UE. Elle conditionne aussi l'opposabilité du contrat : un accord de traitement des données régi par le droit de l'UE et jugé devant un tribunal de l'UE constitue une garantie substantiellement différente du même document intégré au contrat-cadre régi par le droit américain d'un fournisseur mondial. NIS2 relève particulièrement le niveau d'exigence en matière de preuves — les registres d'incidents, les journaux d'accès et les déclarations de sous-traitants doivent tous résister à un contrôle réglementaire, ce qui est plus simple à garantir lorsque l'opérateur lui-même relève de la même juridiction que la réglementation.
Où se situe Sencai
Sencai est conçu et exploité par Sencai Tech s.r.o. à Prague, sous le droit de l'UE — et non par une filiale régionale d'une maison mère hors UE. Son modèle BYOC (bring-your-own-cloud) laisse le compte, le contrat et la facturation de chaque fournisseur connecté — y compris des options dont le siège est dans l'UE comme Hetzner, OVHcloud, Scaleway et UpCloud — entre les mains du client ; rien ne migre, et l'accès reste révocable chez le fournisseur à tout moment. Lorsque Sencai provisionne et facture la capacité directement, ce contrat relève du droit tchèque et européen. Sencai ne détient ni la certification ISO 27001 ni SOC 2, et le dit directement ; à la place, elle fournit les preuves qu'un audit de souveraineté exige — un journal d'audit exportable et chaîné par hachage, des registres de traitement, un registre des sous-traitants, une déclaration de résidence des données, et un accord de traitement des données publié.
Consulter le modèle de sécurité et de conformité de la plateforme →