Le questionnaire de due diligence demande : « Vos données sont-elles soumises au Cloud Act ? » Le commercial répond « Nos datacenters sont en Europe. » Faux problème, fausse réponse. Le Cloud Act américain peut obliger un fournisseur américain à produire des données hors territoire US si elles sont sous son contrôle.
La bonne question contractuelle : quelle entité signe, qui contrôle le groupe, et que promet le contrat si une autorité américaine frappe ?
Cloud Act en une phrase opérationnelle
Loi américaine permettant aux autorités de demander à certains fournisseurs cloud US — ou sous juridiction US — l'accès aux données qu'ils détiennent, indépendamment du lieu de stockage physique. Conséquence directe : une épingle « région France » sur la carte ne signifie pas absence de risque juridictionnel.
Réponses vagues versus clauses exploitables
| Réponse marketing | Ce qu'il faut exiger |
|---|---|
| « Datacenter France » | Entité contractante plus pays du siège social |
| « Conforme RGPD » | DPA plus mécanisme de transfert plus TIA |
| « Partenaire de confiance » | Liste sous-traitants plus nationalité |
| « Chiffrement » | Qui détient les clés — client ou prestataire |
Clauses utiles lorsque négociables : notification client avant divulgation sauf interdiction légale expresse ; droit de contester la demande dans les limites du droit américain ; engagement à livrer le minimum légalement requis ; chiffrement avec clés chez le client pour les données les plus sensibles.
EU-only, SecNumCloud, hébergeur suuisse
Un acteur européen sans maison mère américaine réduit le risque Cloud Act — attention aux sous-traitants. SecNumCloud offre un cadre renforcé de souveraineté pour périmètres qualifiés ; consultez SecNumCloud critères. La Suisse est hors UE mais pas automatiquement hors portée américaine si le groupe est contrôlé depuis les États-Unis.
Construire un questionnaire due diligence crédible
Avant signature, envoyez au prestataire une liste fermée : identité légale contractante, liste des filiales impliquées dans l'exploitation, politique de réponse aux demandes gouvernementales, nombre de demandes reçues l'an dernier si rapport public, mécanisme de notification client, possibilité de chiffrement avec clés détenues par le client. Archivez les réponses dans le dossier conformité — pas dans un fil email perdu.
Un hébergeur sérieux répond avec des documents ; un hébergeur qui boucle sur « nos datacenters sont en Europe » mérite une short-list alternative. Croisez les réponses avec votre registre des traitements et votre analyse de transfert Schrems II.
Le sommet : la juridiction se lit dans le contrat
Décider et avancer sans angle mort
Identifiez l'entité signataire et la structure du groupe — registre, rapport annuel —, demandez le rapport de transparence sur les demandes gouvernementales du fournisseur, croisez avec Schrems II et hébergement et votre analyse de transfert, puis envisagez SecNumCloud si secteur public ou santé sensible. Consultez les guides et l'annuaire pour comparer les acteurs européens sans contrôle américain documenté.
Questions fréquentes
Cloud Act si datacenter en France ?
Oui si l'entité contractuelle est américaine ou contrôlée depuis les États-Unis — le lieu de stockage physique ne suffit pas à écarter le risque. Demandez toujours qui signe le contrat de sous-traitance et quelle maison mère peut être contrainte par une autorité US.
Que demander au commercial ?
L'identité légale contractante, la maison mère du groupe, la politique de réponse aux demandes gouvernementales, la notification client avant divulgation si possible, et qui détient les clés de chiffrement. Refusez les réponses limitées à la carte des régions cloud.
SecNumCloud évite-t-il le Cloud Act ?
SecNumCloud vise un périmètre renforcé de souveraineté opérationnelle — pas une exemption automatique pour tout client. Vérifiez l'attestation ANSSI, le produit acheté et les sous-traitants hors périmètre qualifié.
Hébergeur suisse ou européen pur ?
Mieux sans contrôle américain documenté — mais vérifiez sous-traitants, CDN, support offshore et backups. Un siège zurichois avec maison mère californienne ne change rien au Cloud Act via le groupe.
« Où sont les serveurs ? » est la mauvaise question. La bonne : qui signe le contrat et que fait-il quand Washington appelle ?