Un cabinet genevois promet à ses clients que « tout est en Suisse ». L'audit découvre des sauvegardes listées en Allemagne, un CDN américain et des courriels transactionnels routés via un SaaS californien. Le drapeau croix blanche tenait pour le site WordPress — pas pour la chaîne complète.
La Suisse reste attractive : stabilité, discrétion, acteurs transparents comme Infomaniak, datacenters documentés, et cadre nLPD (nouvelle loi suisse sur la protection des données). Mais confidentialité ≠ absence de contrat. Hors UE, les transferts et la sous-traitance demandent la même discipline que pour Paris ou Francfort.
Suisse et UE : adéquation, pas fusion
La Commission européenne reconnaît un niveau de protection adéquat pour les transferts vers la Suisse — sous réserve de respecter vos obligations RGPD côté UE : base légale, information des personnes, accord de sous-traitance avec l'hébergeur, registre.
Points de vigilance : la nLPD n'est pas le RGPD mot pour mot — alignez les clauses contractuelles. Les services tiers (analytique, paiement) peuvent ressortir hors Suisse. Le HDS France : la Suisse ne remplace pas un hébergeur HDS pour un dossier santé français.
Lire un hébergeur suisse : Infomaniak et au-delà
Infomaniak illustre le modèle documenté : datacenters suisses, rapport d'impact public, résidence claire. Avant de généraliser à « la Suisse », posez ces questions :
| Question | Pourquoi |
|---|---|
| Où sont prod, staging, backups ? | Une région DE backup change le récit |
| CDN inclus ou tiers ? | Périphérie hors CH possible |
| Support : accès aux données ? | Admin depuis l'étranger à encadrer |
| Courriel, DNS, paiement | Souvent hors hébergeur web |
Demandez un schéma — pas une phrase « 100 % Suisse ».
Confidentialité marketing vs réalité opérationnelle
La Suisse vend de la confiance institutionnelle. Elle ne garantit pas un WordPress non patché, des mots de passe faibles, un prestataire sans ISO ou sans accord de sous-traitance, ni l'absence de Cloud Act si un tiers américain lit vos journaux.
Pour l'écologie documentée chez Infomaniak, voir Infomaniak et l'écologie. Pour la conformité générale, croisez avec RGPD, HDS, SecNumCloud.
Quand choisir la Suisse — et quand éviter
Bon choix : clientèle romande ou suisse exigeant résidence CH ; projet où Infomaniak ou un cloud suisse documenté couvre toute la pile ; volonté de sortir du discours « hyperscaler américain » sans HDS.
À éviter : obligation HDS ou SecNumCloud France ; audience cent pour cent France métropolitaine sans contrainte CH ; besoin d'écosystème cloud qualifié ANSSI.
Pour une PME romande qui vend en Suisse et en France, la Suisse peut être un compromis crédible : adéquation UE, latence faible vers Genève et Lausanne, discours confidentialité compris par les clients locaux. Vérifiez néanmoins que vos obligations côté France — registre, information des personnes, délégué à la protection des données — restent couvertes.
Contrat : clauses à relire
Exigez une annexe sous-traitants à jour, pas une page « nous respectons la vie privée ». Vérifiez les transferts hors Suisse pour sauvegardes, support et monitoring. Alignez les clauses nLPD avec vos obligations RGPD si vous êtes responsable de traitement UE — le modèle DPA suisse n'est pas toujours identique au modèle français. Un hébergeur suisse sérieux fournit ces documents sans délai ; un revendeur générique les promet « après signature ». Archivez-les : un client UE peut les demander lors d'un audit.
Le sommet : le secret bancaire numérique n'existe pas
Décider et avancer sans angle mort
Cartographiez production, sauvegardes, CDN, courriel et analytique avant de signer — un schéma vaut mieux qu'une promesse orale. Signez un accord de sous-traitance aligné nLPD/RGPD. Vérifiez l'adéquation et l'information des personnes UE. Testez la latence depuis votre marché principal. Comparez Infomaniak et les alternatives via l'annuaire. Conservez les annexes sous-traitants dans un dossier accessible au DPO — vous les re demanderez à chaque audit client.
Questions fréquentes
La Suisse est-elle équivalente RGPD pour un client UE ?
Adéquation UE pour les transferts, sous conditions. L'accord de sous-traitance et la documentation restent obligatoires — l'adéquation ne remplace pas le contrat.
Infomaniak suffit-il pour « données suisses » ?
Oui si tout le périmètre est chez Infomaniak en Suisse. Vérifiez CDN, sauvegardes et tiers — un seul flux hors périmètre change le récit.
Héberger en Suisse évite-t-il le Cloud Act ?
Pas si des tiers américains touchent vos données. Auditez la pile complète, pas seulement le serveur web.
Quand la Suisse est-elle le bon choix ?
Résidence CH exigée, acteur documenté — pas pour remplacer le HDS France.
La prochaine fois qu'un devis dira « confidentialité suisse », demandez la liste des sous-traitants hors Suisse. C'est là que se gagne ou se perd la promesse.