Un cabinet d'avocats choisit un hébergeur « cent pour cent européen » pour son extranet client. Le contrat mentionne Paris. Six mois plus tard, l'audit RGPD demande la localisation des sauvegardes : elles sont répliquées en Virginie via le stockage objet du fournisseur. Le réseau de diffusion sert les ressources depuis des points mondiaux. Le support technique avec accès administrateur est basé hors Union européenne. Rien n'était menti explicitement — tout était non dit.
« Hébergement européen » est devenu un slogan. Comme « conforme RGPD » sur un badge. La décision sérieuse ne porte pas sur le drapeau du siège, mais sur chaque copie de données, chaque sous-traitant, chaque accès privilégié.
Trois origines à ne pas confondre
| Origine | Ce qu'elle suggère | Ce qu'elle ne prouve pas |
|---|---|---|
| Siège social UE | Juridiction commerciale | Lieu des serveurs |
| Datacenter annoncé | Production principale | Sauvegardes, journaux, reprise |
| Marque « européenne » | Marketing local | Absence de cloud américain sous-jacent |
Le RGPD parle de transferts et de sous-traitants, pas de patriotisme hébergement.
Cartographie à exiger avant signature
Avant de signer, exigez une cartographie écrite couvrant :
- Région de production — ville et fournisseur cloud sous-jacent si applicable.
- Réplication et reprise — même région, autre pays européen, ou hors Union ?
- Sauvegardes — fréquence, chiffrement, lieu de restauration testé.
- Journaux — surveillance, accès support : où sont-ils stockés ?
- Réseau de diffusion — points de présence par défaut ; option Union européenne seule ?
- Sous-traitants — courriel transactionnel, paiement, analytique : liste dans le contrat de sous-traitance.
- Support administrateur — accès distant depuis quelles juridictions ?
Pour approfondir : Enquête localisation réelle et Cloud Act et contrat.
Cloud européen vs hyperscaler région UE
| Critère | Cloud souverain / acteur UE | Hyperscaler région UE |
|---|---|---|
| Siège et juridiction | Souvent UE | Parent US possible |
| Cloud Act | Argument contractuel | Politique publiée à lire |
| Portabilité | Variable | Interfaces standard |
| Certifications | SecNumCloud, HDS selon acteur | ISO, SOC2, HDS partiel |
| Prix | Parfois premium | Échelle globale |
Aucun choix n'est universel. Un logiciel en mode service B2B standard peut suffire en région ouest européenne. Un acteur santé ou public exigera HDS ou SecNumCloud sur le bon périmètre — voir RGPD, HDS, SecNumCloud.
Signaux d'alerte dans le discours commercial
- « Données en Europe » sans carte des copies.
- « Conforme RGPD » sans contrat de sous-traitance signable avant achat.
- Réseau de diffusion « inclus » sans option géo-restriction.
- Support « 24/7 » sans mention des accès administrateur.
- Migration « transparente » sans audit post-migration.
Tests techniques complémentaires
Trace réseau et adresse IP depuis l'instance de production. Restauration de sauvegarde en préproduction — d'où viennent les fichiers ? En-têtes du réseau de diffusion sur les ressources — quel point de présence ? Sous-traitants dans le registre de traitement versus stack réelle.
Le sommet : le drapeau cache une chaîne mondiale
Décider et avancer sans angle mort
Demandez la cartographie complète — production, sauvegarde, journaux, réseau de diffusion, support — avant signature. Signez le contrat de sous-traitance avant mise en production et listez tous les sous-traitants. Testez une restauration et notez la région source réelle. Activez une option Union européenne seule sur le réseau de diffusion si vos clients sont sensibles. Comparez sur critères identiques via l'annuaire et le comparateur.
Questions fréquentes
Un hébergeur français héberge-t-il forcément en France ?
Non — vérifiez la région choisie au contrat ; beaucoup d'acteurs sont multi-régions.
« Made in EU » suffit-il pour le RGPD ?
Non — contrat de sous-traitance, sous-traitants, base légale et localisation documentée requis.
Comment vérifier la localisation réelle ?
Contrat, trace réseau, cartographie sauvegardes/journaux/support — pas seulement le datacenter annoncé.
Hébergeur européen vs filiale US ?
Juridiction du contrat et Cloud Act ; serveurs UE ≠ immunisation automatique.
Choisir un hébergement européen, c'est tracer le chemin des données — pas applaudir le drapeau sur la page tarifs.