Projet avec données personnelles sensibles : héberger en Suisse (Infomaniak, Hostpoint) ou dans l'Union européenne (OVHcloud, Scaleway) ?
Le choix ne se résume pas au drapeau du datacenter. Il se lit dans la chaîne complète : production, sauvegardes, journaux, support d'administration, sous-traitants et outils SaaS connectés.
Beaucoup d'équipes comparent deux pays sur une slide. Les auditeurs comparent le maillon le plus faible de la chaîne — souvent une sauvegarde oubliée aux États-Unis, pas le datacenter principal affiché en marketing.
Suisse : hors UE, encadrée par adéquation
La Suisse offre une stabilité juridique reconnue, des datacenters documentés et une décision d'adéquation de l'Union européenne pour les transferts de données — sous conditions et évolutions réglementaires à suivre.
Infomaniak publie un bilan carbone et une certification ISO 27001, mais ne propose pas l'HDS santé France. Hostpoint et d'autres acteurs suisses conviennent si vos clients acceptent une résidence suisse documentée et des exigences contractuelles claires — pas si votre cahier des charges impose une juridiction Union européenne stricte ou SecNumCloud.
La Suisse n'est pas l'UE : la LPD suisse et le RGPD convergent sur beaucoup de points, mais les certifications sectorielles françaises (HDS) et les marchés publics sensibles peuvent exclure la Suisse dès le premier paragraphe du contrat.
UE : RGPD natif et certifications sectorielles
Les hébergeurs français, allemands ou néerlandais sont soumis directement au RGPD. Selon l'acteur, vous accédez à l'HDS santé, à SecNumCloud ou à d'autres attestations sectorielles absentes chez un hébergeur suisse généraliste.
La juridiction Union européenne ne garantit pas l'absence de sous-traitant américain : un datacenter à Paris avec CDN, support ou backup aux États-Unis dilue la promesse « 100 % UE » exactement comme une prod suisse avec backup américain dilue la Suisse.
| Critère | Suisse | UE |
|---|---|---|
| Cadre | LPD + adéquation UE | RGPD |
| HDS santé FR | Non (Infomaniak) | Oui (périmètre) |
| Cloud Act | Hors US si pur CH | Risque si sous-traitant US |
| Preuve | Rapports Infomaniak | Attestations sectorielles |
Cartographier la chaîne — pas seulement le datacenter principal
Demandez un schéma de flux, le DPA, la localisation des copies de sauvegarde et l'accès support administrateur. Prod suisse + backup aux États-Unis + CDN américain dilue la promesse « 100 % suisse ». Prod française + SaaS américain non encadré dilue l'Union européenne.
Posez des questions concrètes : où sont les journaux d'accès ? Qui peut administrer le serveur depuis l'étranger ? Quels sous-traitants traitent les tickets ou les sauvegardes ? Une réponse vague à l'une de ces questions invalide souvent le choix pays, quel qu'il soit.
Consultez Infomaniak RGPD et Schrems II pour cadrer les transferts et les garanties contractuelles.
Cas d'usage : quand la Suisse suffit, quand l'UE impose
Suisse pertinente : PME suisse ou européenne acceptant résidence CH, site corporate, médias, SaaS sans exigence HDS ou SecNumCloud, client valorisant stabilité et transparence Infomaniak.
UE pertinente : marché public français, santé HDS, opérateur exigeant juridiction Union européenne stricte, contrat nommant SecNumCloud ou interdisant transfert hors UE sans garanties Schrems II.
Le bon choix n'est pas celui qui rassure votre équipe technique — c'est celui que votre client et votre DPO peuvent signer sans réserve.
Schrems II et sous-traitants américains
Schrems II cible surtout les transferts vers des pays sans décision d'adéquation — notamment les États-Unis. La Suisse reste encadrée par adéquation, mais une chaîne suisse avec outil SaaS américain non documenté recrée le même risque qu'un hébergeur français avec le même SaaS.
Documentez les garanties, les clauses contractuelles et l'absence de chaîne soumise au Cloud Act là où vos clients l'exigent. Le pays du datacenter principal ne suffit pas si le CRM, l'outil de monitoring ou la sauvegarde sortent du périmètre promis.
Le sommet : la résidence sensible est le maillon le plus faible
Décider et avancer sans angle mort
Exigez un schéma de flux des données, un DPA signé et la localisation écrite des sauvegardes et des journaux. Vérifiez les sous-traitants, l'accès support administrateur et les outils SaaS connectés à la production. Alignez le choix sur les exigences client : HDS, SecNumCloud, juridiction Union européenne stricte ou résidence suisse acceptée.
Consultez Infomaniak RGPD, Schrems II et l'annuaire pour comparer des acteurs documentés avant signature.
Questions fréquentes
La Suisse est-elle « équivalente RGPD » ?
La Suisse bénéficie d'une décision d'adéquation de l'Union européenne pour les transferts, sous conditions et évolutions réglementaires à suivre. Ce n'est pas pour autant l'Union européenne : vérifiez le DPA, les sous-traitants et les certifications sectorielles exigées par vos clients avant de promettre équivalence totale.
Infomaniak ou un hébergeur français pour des données sensibles ?
Infomaniak convient si la résidence suisse et l'ISO 27001 suffisent à votre client et qu'aucune certification française (HDS) ou exigence SecNumCloud n'est imposée. Un hébergeur français ou Union européenne convient si vos clients exigent explicitement juridiction UE ou attestations sectorielles absentes en Suisse.
Schrems II change-t-il le choix Suisse ?
Schrems II vise surtout les transferts vers des pays sans adéquation, notamment les États-Unis. La Suisse reste encadrée, mais vous devez documenter les garanties et l'absence de chaîne Cloud Act via sous-traitants ou SaaS américains. Le pays du datacenter ne suffit pas sans cartographie complète.
Backups hors Suisse ?
C'est un point critique : demandez la localisation des copies, des journaux et du support administrateur. Une production en Suisse avec sauvegarde en Union européenne ou aux États-Unis invalide parfois le discours « 100 % suisse » — exactement comme une prod UE avec backup US invalide la promesse européenne.
Données sensibles : la bonne résidence est celle que vous pouvez dessiner de bout en bout — pas celle du slogan.