Qui est derrière Souvara

Souvara est dirigé par Houssam Rihane. Ingénieur de formation en aéronautique, il a ensuite travaillé dans le référencement naturel et le développement logiciel, avant de se consacrer à des solutions d’intelligence artificielle d’entreprise conçues pour que les données ne sortent pas de l’organisation qui les détient.

De l’aéronautique, il garde une méthode : identifier ce qui peut tomber en panne, prévoir un plan de repli et vérifier avant de décider. Du logiciel et du web, une connaissance concrète de ce que coûtent les outils numériques, et de la difficulté d’en changer une fois qu’ils sont en place. Souvara applique ces deux réflexes à vos dépendances numériques.

Ce que nous faisons

Nous établissons l’inventaire de vos dépendances, chiffrons ce qu’elles vous coûtent et ce que coûterait d’en sortir, puis comparons les solutions françaises et européennes sur les mêmes critères. Nous cherchons aussi les financements publics ou privés qui peuvent réduire votre reste à charge. Le premier échange est gratuit ; selon votre situation, il débouche sur un appel de découverte ou sur un diagnostic approfondi.

Comment nous sommes rémunérés

Par nos missions de diagnostic et d’accompagnement, et par certains fournisseurs lorsqu’une mise en relation aboutit. Nous recommandons la solution la plus adaptée à votre cas, partenaire ou non ; quand la meilleure option est un partenaire, nous négocions de meilleures conditions pour vous. Nos partenaires sont listés sur la page transparence, et aucun fournisseur ne peut acheter une note, une place ou une recommandation.

Qui édite le site, et où sont les données

Le site est édité par Otospex Solutions SARL, société de droit tunisien dirigée par Houssam Rihane. Le site et les données des formulaires sont hébergés sur des serveurs situés à Francfort, dans l’Union européenne. La désignation d’un représentant dans l’Union (article 27 du RGPD) est en cours. Toutes les coordonnées figurent dans les mentions légales.

Ce que nous publions

Chaque fiche distingue les faits vérifiés, les affirmations du fournisseur et les questions ouvertes, avec ses sources et sa date de revue. Chaque fiche précise aussi les cas où la solution ne convient pas.

Lire la méthode d’évaluation · Lire la politique de partenariats

Après l’envoi

Vous recevez aussitôt par e-mail une première feuille de route personnalisée, établie automatiquement à partir de vos réponses et de sources publiques, et téléchargeable en PDF. Votre demande est ensuite lue par Houssam Rihane. Si votre situation s’y prête, nous vous proposons un appel de découverte gratuit de 30 minutes. Si elle demande une analyse plus poussée (plusieurs outils, contraintes réglementaires, échéance proche), nous vous proposons un diagnostic approfondi, dont le périmètre et le coût sont fixés avec vous avant tout engagement.

Ce que contient un diagnostic approfondi

• la liste de vos dépendances critiques et de leurs échéances contractuelles ;
• une estimation de votre exposition aux hausses tarifaires annoncées pour vos outils ;
• les obligations qui vous concernent (RGPD, NIS2, DORA, HDS, commande publique) ;
• deux ou trois scénarios chiffrés sur 3 à 5 ans, migration comprise ;
• les dispositifs de financement applicables.

Ce que nous ne faisons pas

Nous ne transmettons pas vos coordonnées à un fournisseur sans votre accord explicite, donné séparément et pour un fournisseur nommé, à l’étape 3. Vous pouvez demander un diagnostic sans aucune mise en relation.

1. Décrire le besoin réel

Un outil de visioconférence, une suite bureautique ou un hébergement cloud ne posent pas les mêmes problèmes. Nous documentons les utilisateurs, les données traitées, les intégrations, le niveau de disponibilité attendu et ce qui doit rester possible en cas de changement de fournisseur.

2. Vérifier les faits

Chaque affirmation importante doit pointer vers une source identifiable. Pour une qualification de sécurité, nous vérifions le titulaire, le service concerné, la version du référentiel et le statut publié. Pour l’hébergement, nous séparons la localisation annoncée, l’opérateur réel et les sous-traitants.

3. Comparer sur le même périmètre

La comparaison couvre la juridiction, l’hébergement, la sécurité documentée, l’identité, les intégrations, l’accessibilité, l’administration, les formats d’export, l’effort de migration et le coût total. Un avantage non démontré reste une question ouverte.

4. Chiffrer le coût complet, pas seulement l’abonnement

Nous comparons les scénarios sur 3 à 5 ans : licences, hébergement, intégration, migration, formation, support, exploitation et frais de sortie. Nous regardons aussi la prévisibilité : historique des hausses tarifaires, clauses d’indexation, fonctions imposées et facturées (par exemple l’IA intégrée), durée d’engagement. Une offre moins chère aujourd’hui peut coûter plus cher au deuxième renouvellement. Notre calculateur donne un premier ordre de grandeur.

5. Vérifier que la sortie est possible avant d’entrer

Une clause de réversibilité ne suffit pas. Nous demandons les formats d’export, les API, les délais et les coûts de sortie, et nous recommandons un test sur un périmètre réduit. Pour le cloud, le règlement européen sur les données (Data Act) garantit depuis septembre 2025 un préavis de deux mois au plus pour changer de fournisseur, et supprime les frais de sortie à partir du 12 janvier 2027.

6. Rendre les compromis visibles

Une solution peut être pertinente pour une équipe et mauvaise pour une autre. Nous publions les scénarios où elle convient, ceux où elle ne convient pas, les lacunes de preuve et les alternatives crédibles. Aucune recommandation n’est définitive sans échange : la feuille de route envoyée après le diagnostic est une première lecture, que nous validons avec vous.

7. Revoir la décision

Les offres, les qualifications et les conditions contractuelles changent. Chaque page fournisseur porte une date de dernière revue, un responsable éditorial et une liste de sources. Une révision est déclenchée au plus tard tous les six mois, ou plus tôt si un changement matériel est signalé.

Sources de méthode

• ANSSI : référentiels de qualification
• DINUM : doctrine Cloud au centre
• Légifrance : changement de fournisseur cloud et frais de transfert

Date de dernière revue : 27 août 2026. Voir notre politique de transparence commerciale.

Nos partenaires à ce jour

Liste mise à jour le 26 septembre 2026. Tout nouveau partenaire y est ajouté avant la première mise en relation.

Notre modèle

Nous finançons le site par des diagnostics, du conseil, des contenus payants et des introductions qualifiées. Les fournisseurs qui rémunèrent une introduction sont des partenaires commerciaux non exclusifs, listés sur cette page. Le lecteur peut toujours demander une analyse sans transmission à ce fournisseur. Un partenaire peut aussi participer au financement ou à la subvention d’un projet accompagné ; cette participation vous est indiquée avant tout engagement. Le référencement dans l’annuaire est gratuit et n’est jamais classé selon la relation commerciale.

Ce que nous ne vendons pas

Un fournisseur ne peut pas acheter une note, faire disparaître un concurrent, imposer un texte ou être recommandé en dehors de son cas d’usage. Les critères sont les mêmes pour un partenaire et pour une société sans relation commerciale avec nous.

Partenaire ou non, le même critère

Nous ne recommandons jamais une solution parce qu’elle est partenaire : nous cherchons celle qui convient le mieux à votre usage, à vos données et à votre budget. Si c’est un partenaire, nous en profitons pour négocier de meilleures conditions pour vous. Nos partenaires sont listés sur cette page plutôt que signalés sur chaque recommandation. Une introduction nominative demande toujours votre consentement séparé : aucune coordonnée n’est transmise sur la base d’un simple diagnostic.

Droit de réponse

Un fournisseur peut demander une correction factuelle et transmettre une source plus récente. Nous corrigeons une erreur vérifiable, mais il ne valide pas notre conclusion. Les changements importants sont consignés dans le dossier de revue.

Les alternatives restent visibles

Chaque fiche présente les alternatives crédibles, partenaires ou non. Nous ne publions une page consacrée aux alternatives d’un outil que lorsque nous pouvons y apporter une analyse originale.

Le cas AIFEL

AIFEL est partenaire commercial non exclusif de Souvara et s’adresse aux organisations de 100 postes et plus. Sa solution de visioconférence est opérationnelle et constitue une alternative à Google Meet ; elle ne remplace pas à elle seule l’ensemble de l’écosystème Microsoft (messagerie, bureautique, fichiers, identité). Nous la présentons lorsque votre besoin porte sur la visioconférence, jamais par défaut, et toujours à côté des autres options. Aucun avantage environnemental ou technique n’est présenté comme acquis avant vérification des preuves correspondantes.

Date de dernière revue : 27 août 2026. Pour signaler une erreur, utilisez la page de contact et indiquez l’URL, le passage concerné et votre source.

Ce que coûte une dépendance

Un fournisseur dont vous ne pouvez pas sortir fixe ses prix sans vraie négociation. Les DSI membres du Cigref constatent +8,7 % par an sur trois ans pour le logiciel et le cloud, et 40 % de ces hausses sont liées à des fonctions d’IA imposées (Cigref, 2026). S’y ajoutent les frais de sortie, les connecteurs à maintenir et, pendant une migration mal préparée, deux abonnements à payer.

Une question de maîtrise, pas de drapeau

Le pays du siège ne suffit pas à décrire une solution. Il faut aussi connaître l’opérateur, les sous-traitants, les lieux de traitement, le droit applicable, les formats d’export et les compétences nécessaires pour exploiter ou remplacer le service. Une solution française hébergée chez un sous-traitant soumis à un droit étranger ne règle pas le problème ; une solution américaine bien encadrée peut rester pertinente pour un usage peu sensible.

Commencer par la carte des dépendances

Pour chaque outil, relevez le propriétaire du contrat, les populations utilisatrices, les données traitées, les connexions avec le reste du système et le coût d’une interruption. Ajoutez les mécanismes d’identité, de sauvegarde, de journalisation et de support : une dépendance indirecte peut empêcher la sortie autant que le logiciel principal.

Classer avant de migrer

• Critique, exposé et coûteux : préparer une trajectoire et un test de sortie.
• Important mais substituable : remettre en concurrence au prochain renouvellement, c’est souvent là que les économies se trouvent.
• Faible impact : surveiller, sans ouvrir un projet disproportionné.

Ce que le contrat ne prouve pas

Une clause de réversibilité est utile, mais elle ne montre pas que les données exportées seront complètes, documentées et réimportables. Demandez un format, un délai, un coût, les dépendances conservées après résiliation et un exercice de sortie sur un périmètre réduit.

Repères publics

La doctrine Cloud au centre de la DINUM distingue les exigences selon la sensibilité des données. Le Data Act européen encadre notamment le changement de fournisseur de services de traitement de données. Pour les qualifications de sécurité, le périmètre publié par l’ANSSI prime sur une mention générale dans une brochure.

Cadre réglementaire et notions clés

Pour situer une décision dans son cadre, les pages suivantes expliquent les textes et les qualifications que ce guide cite : souveraineté numérique, cloud souverain et cloud de confiance, CLOUD Act, RGPD et hébergement, directive NIS2, qualification SecNumCloud, certification HDS, doctrine de l’État pour le secteur public, grille de comparaison des clouds souverains et étapes d’une migration.

Préparer une sortie progressive de Microsoft 365 · Choisir un outil de visioconférence et collaboration

Dernière revue : 3 septembre 2026.

Étape 0 : payer le juste prix, tout de suite

Comptes inactifs, licences surdimensionnées, options jamais utilisées : un audit des licences réduit souvent la facture avant toute migration. C’est aussi ce qui vous donne un vrai point de comparaison.

Ce qui change en 2026

Au 1^er juillet 2026, Microsoft a relevé le prix de liste de Business Basic de 6 à 7 dollars (+16,7 %), de Business Standard de 12,50 à 14 dollars (+12 %) et d’Office 365 E3 de 23 à 26 dollars (+13 %). Les clients existants paient le nouveau prix à leur premier renouvellement après cette date (Microsoft). En euros, Microsoft révise désormais ses prix une fois par an, la prochaine fois le 1^er janvier 2027. Au 26 septembre 2026, Business Standard est affiché à 12,13 â‚¬ HT par utilisateur et par mois avec engagement annuel, et 14,56 â‚¬ sans engagement. Connaître votre date de renouvellement, c’est savoir de combien de temps vous disposez. Notre calculateur compare votre coût sur 3 à 5 ans avec des suites européennes.

Éviter le remplacement monolithique

Chercher une copie exacte de la suite conduit souvent à sous-estimer les usages réels. Commencez par les groupes, les boîtes partagées, les macros, les liens publics, les règles de conservation, les applications connectées et les postes qui doivent travailler hors ligne.

Découper la trajectoire

1. Identité et accès : documenter les comptes, le SSO, le MFA, les comptes techniques et la récupération.
2. Données : mesurer les volumes, les versions, les droits, les liens et les formats difficiles à convertir.
3. Collaboration : distinguer réunion, messagerie instantanée, coédition, partage externe et animation de communautés.
4. Bureautique : tester les documents complexes, modèles, macros, publipostages et échanges avec les partenaires.

Construire un lot pilote

Choisissez une équipe dont les usages sont représentatifs mais dont l’activité peut revenir en arrière. Définissez avant le test les critères de réussite, les incidents acceptables, la procédure de retour et la durée de coexistence. Une migration sans mesure produit surtout des opinions.

Cas particulier du secteur public

La Suite numérique présente les services collaboratifs portés par la DINUM pour les agents publics. Le périmètre, les conditions d’accès et les intégrations doivent néanmoins être vérifiés service par service. Pour les achats publics numériques, la doctrine publiée par la DINUM insiste aussi sur l’interopérabilité et les standards ouverts.

Coexister sans payer deux fois indéfiniment

Certains documents, partenaires ou applications métiers imposent une période hybride. Elle doit avoir une date de fin, un responsable et un coût visible ; sinon, vous payez deux suites sans l’avoir décidé.

Alternatives : comparer par brique

Pour chaque brique, nous comparons le coût complet sur trois ans, l’effort de migration et le risque d’usage. La bonne unité de comparaison est le besoin : identité, courrier, fichier, réunion, coédition ou poste de travail. Voir les critères utilisés.

Dernière revue : 27 août 2026.

Définir les réunions à couvrir

Réunion interne, conseil d’administration, accueil du public, webinaire et travail informel n’ont ni la même taille ni le même niveau de confidentialité. Relevez les terminaux, les invités externes, la téléphonie, l’enregistrement, la transcription, les salles physiques et les besoins d’accessibilité.

Vérifier le périmètre technique

• Opérateur, hébergeur, sous-traitants et flux de support pour chaque module.
• Chiffrement en transit et au repos, gestion des clés et fonctions réellement couvertes.
• SSO, MFA, provisioning, rôles administrateur, journaux et politiques de conservation.
• API, connecteurs, calendriers, formats d’export et procédure de départ.
• Capacité, qualité réseau, mode dégradé, support et engagements de service.

Pour une administration

Visio est la solution de visioconférence annoncée par l’État pour ses agents. Tchap couvre la messagerie instantanée du secteur public. Ces services répondent à un périmètre déterminé : leur éligibilité et leurs fonctions doivent être comparées au besoin, sans les présenter comme des réponses universelles.

Évaluer une interface immersive

Une carte ou un espace 3D peut faciliter les échanges spontanés d’une équipe distribuée. Testez cependant le coût d’apprentissage, l’accessibilité clavier et lecteur d’écran, la consommation de ressources, la modération et la valeur produite par rapport à une interface classique.

Comparer les alternatives sans faux classement

Une liste générale mélange souvent des produits différents. Établissez plutôt deux ou trois scénarios : réunions sensibles, collaboration quotidienne et événements externes. Pour chacun, publiez les critères éliminatoires et les preuves manquantes. Aucune solution partenaire ne doit être proposée automatiquement.

Mesurer l’impact environnemental

La proximité géographique d’un centre de données ne suffit pas à prouver un meilleur bilan. Une comparaison sérieuse précise l’unité fonctionnelle, le nombre de participants, la durée, les terminaux, le réseau, la vidéo, la méthode d’allocation et la période étudiée. Sans étude comparable, l’argument reste non vérifié.

Comprendre notre traitement des partenariats. Dernière revue : 27 août 2026.

Responsable du traitement

Le site souvara.fr est édité et les traitements décrits ici sont mis en Å“uvre par Otospex Solutions SARL, société à responsabilité limitée de droit tunisien, dont le siège est situé 17 avenue Bourguiba, 4180 Houmet Souk, Tunisie. Téléphone : +216 28 87 01 85. Contact : contact@souvara.fr. Identifiant unique au Registre national des entreprises (RNE) : 1821140M.

Le responsable est établi hors de l’Union européenne et s’adresse à des organisations situées en France. La désignation d’un représentant dans l’Union au titre de l’article 27 du RGPD est en cours ; dans l’intervalle, toute question relative aux données personnelles est adressée directement au responsable, aux coordonnées ci-dessus. Cette notice sera mise à jour dès la désignation.

Données collectées

Selon le formulaire : identité, coordonnées professionnelles, organisation, fonction, taille, secteur, besoin, échéance, budget indicatif, message, page source et paramètres de campagne. Des données techniques limitées (adresse IP, navigateur, horodatage) servent à la sécurité, à la limitation de débit et à la prévention des abus.

Le diagnostic est enregistré par étapes : dès la première étape validée, les coordonnées sont conservées pour permettre de reprendre ou de suivre la demande, même si les étapes suivantes ne sont pas complétées.

Finalité et base juridique

Les informations servent à répondre à la demande, à établir et vous envoyer par e-mail une première feuille de route personnalisée, générée automatiquement à partir de vos réponses, à préparer un diagnostic et à assurer le suivi. Cette feuille de route est une aide à la réflexion : elle ne produit aucune décision à votre égard. La base juridique est la démarche précontractuelle demandée par la personne (article 6.1.b du RGPD). Une mise en relation avec un fournisseur repose sur un consentement distinct, nominatif et révocable (article 6.1.a).

Destinataires

L’équipe qui exploite Souvara accède aux demandes. Aucune coordonnée issue du diagnostic général n’est transmise automatiquement à un fournisseur. Si une introduction est proposée, le fournisseur est nommé avant le consentement et ne reçoit que les éléments nécessaires à la prise de contact.

Hébergement, sous-traitants et transferts

Les données sont hébergées par Verpex Limited, société immatriculée en Angleterre et au pays de Galles sous le n° 12106087, siège : Evolution House, Iceni Court, Delft Way, Norwich NR6 6BB, Royaume-Uni. Localisation des données : Francfort-sur-le-Main, Allemagne (Union européenne). Le Royaume-Uni bénéficie d’une décision d’adéquation de la Commission européenne. Aucun autre sous-traitant n’accède aux demandes.

L’équipe du responsable de traitement accède aux demandes depuis la Tunisie, pays qui ne fait pas l’objet d’une décision d’adéquation de la Commission européenne. Cet accès constitue un transfert au sens du chapitre V du RGPD, encadré par les clauses contractuelles types adoptées par la Commission européenne (décision 2021/914) ; une copie des garanties peut être obtenue sur demande à l’adresse indiquée ci-dessous.

Conservation et sécurité

Les demandes sont stockées dans une file locale chiffrée. Les journaux d’administration conservent des empreintes des coordonnées et une version expurgée du contenu. Les demandes, complètes ou partielles, sont supprimées 12 mois après la dernière interaction, par une tâche de purge automatique. Les demandes ayant donné lieu à une mise en relation sont conservées 36 mois à titre de preuve du consentement. La feuille de route (vos réponses, chiffrées) suit les mêmes durées ; son lien d’accès expire au bout de 6 mois.

Vos droits

Vous pouvez demander l’accès, la rectification, l’effacement, la limitation ou l’opposition selon les conditions applicables, et retirer à tout moment un consentement à une introduction. Écrivez à contact@souvara.fr (objet « Données personnelles Â») ou par courrier au siège du responsable. Vous pouvez également saisir la CNIL (cnil.fr).

Cookies

Le site ne dépose aucun traceur publicitaire ni outil de mesure d’audience tiers. Seuls des cookies techniques strictement nécessaires (session, protection des formulaires) sont utilisés ; ils ne requièrent pas de consentement.

Version : 24 septembre 2026. Les mentions légales précisent l’identité de l’éditeur et de l’hébergeur.

Éditeur du site

Otospex Solutions SARL
Société à responsabilité limitée de droit tunisien au capital de 105 000 TND
Immatriculation : RNE 1821140M
Siège social : 17 avenue Bourguiba, 4180 Houmet Souk, Tunisie
Téléphone : +216 28 87 01 85
E-mail : contact@souvara.fr

Directeur de la publication : Houssam Rihane, en qualité de gérant.

Représentant dans l’Union européenne (article 27 du RGPD) : désignation en cours ; dans l’intervalle, les demandes relatives aux données personnelles sont adressées directement à l’éditeur aux coordonnées ci-dessus.

Hébergeur

Verpex Limited
Société immatriculée en Angleterre et au pays de Galles sous le n° 12106087
Evolution House, Iceni Court, Delft Way, Norwich NR6 6BB, Royaume-Uni
Téléphone : +44 20 3095 4271 · verpex.com
Localisation des données : Francfort-sur-le-Main, Allemagne (Union européenne).

Activité et indépendance

Souvara publie des analyses et un annuaire de solutions numériques françaises et européennes, réalise des diagnostics de souveraineté numérique et propose, avec le consentement nominatif de la personne, des mises en relation avec des fournisseurs. Certains fournisseurs sont des partenaires commerciaux non exclusifs, listés sur la page Transparence ; ce statut ne détermine jamais une recommandation.

Propriété intellectuelle

Les textes, illustrations et la structure du site sont protégés par le droit d’auteur. Les citations courtes avec lien vers la page d’origine sont autorisées, y compris pour les assistants et moteurs de réponse. Toute reproduction substantielle requiert l’accord écrit de l’éditeur. Les marques et logos des solutions référencées appartiennent à leurs titulaires respectifs et sont cités à des fins d’identification.

Données personnelles et cookies

Les traitements liés aux formulaires du site, les durées de conservation, les transferts hors Union européenne et l’exercice des droits sont décrits dans la notice de confidentialité. Le site n’utilise aucun traceur publicitaire ni outil de mesure d’audience tiers.

Responsabilité

Les informations publiées sont vérifiées à la date de revue indiquée sur chaque page et peuvent évoluer (qualifications, tarifs, périmètres). Elles ne constituent ni un conseil juridique ni une garantie de conformité ; toute décision d’achat ou de migration doit être validée au regard de la situation propre de l’organisation. Un fournisseur peut demander la correction d’une erreur factuelle à l’adresse de contact ci-dessus.

Droit applicable

Le site est destiné aux organisations situées en France. Les obligations d’information et de protection des données personnelles applicables aux personnes concernées situées dans l’Union européenne sont respectées quel que soit le lieu d’établissement de l’éditeur.

Version : 24 septembre 2026.

Tous les clouds présentés comme « souverains » ne se valent pas. La vraie ligne de partage tient à deux critères objectifs : la qualification SecNumCloud et l'immunité réelle au CLOUD Act, qui dépend de la structure capitalistique et technologique du fournisseur.

Les critères qui comptent vraiment

Avant de comparer des noms, fixez la grille de lecture. Un cloud est d'autant plus souverain qu'il répond « oui » à ces questions :

• Est-il qualifié SecNumCloud par l'ANSSI ?
• Sa technologie est-elle maîtrisée en propre, ou sous licence d'un acteur extra-européen ?
• Sa structure capitalistique le met-elle hors de portée du droit américain ?
• Garantit-il une réversibilité sans verrou propriétaire ?
• Couvre-t-il vos obligations sectorielles (HDS, NIS2, RGPD) ?

Les principaux acteurs

Le tableau ci-dessous résume le positionnement déclaré des acteurs les plus cités. Il ne remplace pas la vérification au catalogue des services qualifiés de l'ANSSI, qui fait seul foi pour l'état d'une qualification, gamme par gamme et à une date donnée. Seule OUTSCALE dispose à ce jour d'une fiche relue dans l'annuaire.

Quel est le meilleur cloud souverain ?

Il n'y a pas de réponse universelle : le bon choix dépend de vos données, de vos obligations et de vos contraintes techniques. La garantie la plus forte vient d'un acteur qualifié SecNumCloud sur une technologie 100 % maîtrisée. Pour un catalogue de services très large, il faut parfois arbitrer entre étendue fonctionnelle et niveau de souveraineté — un arbitrage qui se fait donnée par donnée, pas en bloc.

OVH et Bleu sont-ils vraiment souverains ?

OVHcloud coche les critères de souveraineté juridique en tant qu'acteur européen indépendant, à condition de retenir une gamme qualifiée. Bleu s'inscrit dans la démarche SecNumCloud, mais sa dépendance technologique américaine nourrit le débat sur sa souveraineté juridique réelle — d'où l'importance d'un examen au cas par cas plutôt que d'une confiance sur la seule étiquette.

Demander une consultation — nous vous aidons à choisir l'hébergement souverain adapté à vos contraintes réelles. Nous écrire

Questions fréquentes

Quel est le meilleur cloud souverain ?

Celui qui est qualifié SecNumCloud sur une technologie maîtrisée et adapté à vos données — le choix se fait au cas par cas.

OVH est-il un cloud souverain ?

OVHcloud est un acteur européen indépendant qui annonce des offres qualifiées SecNumCloud sur certaines gammes ; la souveraineté se juge gamme par gamme, au catalogue de l'ANSSI.

Bleu est-il vraiment souverain ?

Bleu s'inscrit dans la démarche SecNumCloud mais s'appuie sur des technologies Microsoft, ce qui soulève des questions de souveraineté juridique ; l'état de sa qualification se vérifie au catalogue de l'ANSSI.

Sources

• ANSSI, catalogue des produits et services qualifiés (état des qualifications SecNumCloud)
• Fiche OUTSCALE de l’annuaire (sources et dates de revue)

Dernière revue : 2 septembre 2026 par Souvara. Prochaine revue prévue : mars 2027. Les textes et qualifications cités évoluent ; signalez une erreur via la page de contact.

Le cloud de confiance est la traduction française la plus exigeante de la souveraineté : un cloud qui combine un haut niveau de sécurité et des critères de protection contre les lois étrangères, attestés par la qualification SecNumCloud de l'ANSSI.

Qu'est-ce qu'un cloud de confiance ?

C'est un service cloud répondant à la doctrine de l'État (circulaires « Cloud au centre » de 2021 et 2023), garantissant que les données sont protégées au plus haut niveau technique et hors d'atteinte du CLOUD Act. Le label s'appuie sur un référentiel public et un audit indépendant.

Cloud de confiance ou cloud souverain ?

Le cloud souverain est le concept général ; le cloud de confiance en est la version certifiée et opposable. Tout cloud de confiance est souverain, mais tout cloud présenté comme « souverain » n'est pas nécessairement qualifié.

Faire le diagnostic — déterminez le niveau de confiance dont vos données ont besoin. Démarrer le diagnostic

Questions fréquentes

Qu'est-ce qu'un cloud de confiance ?

Un cloud labellisé par l'État français, reposant sur la qualification SecNumCloud, alliant un haut niveau de sécurité et des critères de protection contre les lois extra-européennes.

Cloud de confiance ou cloud souverain ?

Le cloud de confiance est la version certifiée (SecNumCloud) du cloud souverain.

Sources

• ANSSI, SecNumCloud pour les fournisseurs de services cloud
• Circulaires du Premier ministre n° 6282-SG du 5 juillet 2021 et n° 6404-SG du 31 mai 2023 (doctrine « Cloud au centre »)

Dernière revue : 2 septembre 2026 par Souvara. Prochaine revue prévue : mars 2027. Les textes et qualifications cités évoluent ; signalez une erreur via la page de contact.

La souveraineté numérique désigne la capacité d'une organisation — ou d'un État — à conserver le contrôle de ses données, de ses infrastructures et de ses outils numériques, sans dépendre d'acteurs ou de législations qui lui échappent. À l'heure où une part majeure des services cloud utilisés en France relève d'opérateurs étrangers, la question est passée du débat politique à la décision opérationnelle.

Qu'est-ce que la souveraineté numérique ?

C'est la maîtrise effective de trois actifs indissociables :

• Les données — savoir où elles sont, qui peut y accéder, et sous quel droit elles tombent.
• Les infrastructures — l'hébergement, les réseaux, la capacité de calcul sur lesquels repose l'activité.
• Les logiciels et les compétences — ne pas dépendre d'un fournisseur unique impossible à remplacer.

Perdre cette maîtrise expose à trois risques concrets : l'accès non autorisé par une puissance étrangère (voir le CLOUD Act), la dépendance économique à un fournisseur en position de force, et la rupture de conformité réglementaire.

Souveraineté numérique : un enjeu d'entreprise, pas seulement d'État

Le terme évoque souvent la politique industrielle nationale. Mais pour une organisation, l'enjeu est très concret : continuité d'activité, protection du patrimoine informationnel, et conformité au RGPD, à NIS2 ou à la certification HDS selon le secteur. Une dépendance non maîtrisée, c'est un risque juridique, un risque de confidentialité et un risque de continuité réunis.

Pour une administration ou une collectivité, s'ajoute une exigence de confiance vis-à-vis des citoyens : les données publiques ne peuvent être exposées à une juridiction étrangère sans rompre ce lien de confiance.

Souveraineté et performance ne s'opposent plus

L'objection classique, « le souverain coûte plus cher et performe moins », mérite d'être instruite plutôt qu'admise. Les offres européennes qualifiées publient des niveaux de service comparables sur les charges courantes ; l'écart de coût, lui, dépend du périmètre, du degré d'optimisation et des services managés attendus, et se mesure au cas par cas. Un surcoût éventuel doit être mis en regard du risque évité : une non-conformité ou une fuite de données a aussi un coût, rarement chiffré au départ.

Les leviers concrets de la souveraineté numérique

1. Cartographier ses dépendances — identifier les services critiques opérés par des acteurs non souverains, y compris les outils du quotidien.
2. Classer ses données — distinguer ce qui est sensible ou réglementé de ce qui ne l'est pas, pour cibler l'effort.
3. Migrer vers un cloud souverain — pour les données sensibles et réglementées, via un projet par étapes.
4. Maîtriser le chiffrement et les clés — pour que même l'hébergeur ne puisse lire les données.
5. Se mettre en conformité — RGPD, NIS2, SecNumCloud selon le périmètre.

La première étape, la plus rentable, est toujours le diagnostic : on ne sécurise bien que ce que l'on a d'abord cartographié. C'est aussi celle qui révèle le plus souvent des dépendances que personne n'avait identifiées.

Faire le diagnostic — évaluez le niveau de souveraineté de votre organisation et vos priorités d'action. Démarrer le diagnostic

Questions fréquentes

Qu'est-ce que la souveraineté numérique ?

La capacité à garder le contrôle de ses données, infrastructures et outils numériques, sans dépendance à des acteurs ou lois extra-européens.

Pourquoi la souveraineté numérique est-elle importante ?

Parce qu'elle conditionne la protection des données sensibles, la conformité réglementaire (RGPD, NIS2, HDS) et la continuité d'activité de l'organisation.

Sources

• Règlement (UE) 2016/679 (RGPD)
• Directive (UE) 2022/2555 (NIS 2)
• ANSSI, catalogue des produits et services qualifiés

Dernière revue : 2 septembre 2026 par Souvara. Prochaine revue prévue : mars 2027. Les textes et qualifications cités évoluent ; signalez une erreur via la page de contact.

Depuis 2018, une loi fédérale américaine — le CLOUD Act (Clarifying Lawful Overseas Use of Data Act) — autorise les autorités des États-Unis à exiger d'un fournisseur américain qu'il communique les données qu'il détient, où qu'elles soient stockées dans le monde. Y compris dans un datacenter situé en France.

Pour une entreprise ou une administration française, cela soulève une question concrète : vos données les plus sensibles, parce qu'elles transitent par un prestataire soumis au droit américain, peuvent-elles vous échapper sans même que vous en soyez informé ? La réponse dépend de qui opère réellement le service, pas de l'adresse du centre de données. C'est ce point que beaucoup d'organisations découvrent tard.

Qu'est-ce que le CLOUD Act, concrètement ?

Le CLOUD Act a été adopté en mars 2018 pour clarifier une zone grise du droit américain : jusqu'où une injonction judiciaire peut-elle contraindre un fournisseur à livrer des données stockées hors du territoire des États-Unis ? La réponse apportée par le texte est sans ambiguïté : la localisation des données est indifférente.

Le mécanisme repose sur un principe d'extraterritorialité. Ce n'est pas le lieu de stockage qui compte, mais la nationalité — ou le rattachement juridique — du prestataire. Un hébergeur dont la maison mère est américaine, ou une filiale européenne contrôlée par un groupe américain, peut être contraint par un mandat émis aux États-Unis de livrer des données clients, quel que soit le pays où se trouvent physiquement les serveurs.

Trois éléments sont essentiels à retenir :

• La localisation ne protège pas. Des données hébergées « en Europe » par un acteur américain restent pleinement dans le champ du CLOUD Act.
• La demande peut être silencieuse. Une clause de confidentialité (gag order) peut interdire au prestataire de vous prévenir qu'une demande a été reçue et exécutée.
• Le chiffrement aide, mais ne suffit pas si le prestataire détient lui-même les clés de déchiffrement : il peut alors être contraint de déchiffrer.

Le CLOUD Act s'applique-t-il vraiment en France ?

Oui, sans exception géographique. Aucune frontière ne met une donnée hors de portée dès lors qu'un opérateur soumis au droit américain intervient quelque part dans la chaîne de traitement. Et cette présence est souvent plus large qu'on ne l'imagine : un sous-traitant, un service de messagerie, une brique d'authentification, un outil de sauvegarde ou de visioconférence peuvent suffire à exposer vos données.

C'est précisément ce constat qui a structuré la réponse française. La doctrine « Cloud au centre », applicable à l'administration, impose désormais que les données sensibles de l'État soient hébergées sur un cloud interne ou sur une offre commerciale qualifiée. Et la qualification SecNumCloud de l'ANSSI a fait de l'immunité aux législations extra-européennes un critère central — pas un simple argument marketing.

CLOUD Act et RGPD : un conflit de lois

Le RGPD interdit en principe les transferts de données personnelles vers un pays tiers n'offrant pas une protection équivalente à celle de l'Union européenne. Or une injonction CLOUD Act demande exactement cela : transmettre des données à une autorité américaine. Les deux textes entrent donc en collision frontale.

Pour le responsable de traitement, le risque est double et asymétrique :

• d'un côté, une sanction de la CNIL si un transfert non conforme est constaté ;
• de l'autre, une contrainte judiciaire américaine assortie de sanctions si le prestataire refuse d'obtempérer.

L'invalidation du Privacy Shield par la Cour de justice de l'Union européenne (arrêt « Schrems II ») a confirmé que les garanties contractuelles seules ne suffisent pas à neutraliser ce risque. Tant qu'un opérateur soumis au droit américain figure dans la chaîne, le conflit demeure latent.

Depuis juillet 2023, la décision d'adéquation dite « Data Privacy Framework » autorise à nouveau certains transferts vers des entreprises américaines certifiées. Elle encadre le transfert au sens du RGPD ; elle ne modifie pas le CLOUD Act lui-même, qui s'adresse au prestataire, et sa solidité juridique reste discutée devant les juridictions européennes. Pour des données sensibles ou stratégiques, elle ne remplace donc pas une analyse de la chaîne d'opérateurs.

La seule façon d'en sortir est donc structurelle : retirer de la chaîne tout opérateur soumis à une législation extra-européenne. C'est la logique d'un cloud souverain et, plus largement, d'une stratégie de souveraineté numérique assumée. Les obligations du RGPD en matière d'hébergement poussent dans la même direction.

Quelles données sont les plus exposées ?

Toutes les données n'appellent pas le même niveau de protection. En pratique, les plus critiques sont :

• les données personnelles sensibles (santé, données biométriques, opinions) ;
• les secrets industriels et la propriété intellectuelle, cibles d'un risque d'intelligence économique ;
• les données régaliennes et de service public, soumises à la doctrine de l'État ;
• les données soumises à des réglementations sectorielles (santé via HDS, secteurs critiques via NIS2).

Pour ces catégories, l'exposition au CLOUD Act n'est pas un risque théorique : c'est une non-conformité potentielle qui peut être qualifiée à tout moment.

Comment évaluer votre exposition

Avant d'agir, il faut savoir où vous êtes exposé. Cela passe par une cartographie de vos dépendances : quels services utilisez-vous, qui les opère réellement (et non qui affiche un datacenter en France), quelles données y transitent, et lesquelles sont critiques ou réglementées.

Cette cartographie révèle presque toujours des dépendances insoupçonnées — y compris via des outils du quotidien comme la messagerie, la bureautique collaborative ou la sauvegarde. Un diagnostic structuré permet d'objectiver le risque, de le hiérarchiser et de séquencer les actions avant d'engager le moindre budget de migration.

Faire le diagnostic — identifiez vos dépendances soumises au CLOUD Act et les premières actions prioritaires. Démarrer le diagnostic

Questions fréquentes

Qu'est-ce que le CLOUD Act ?

Une loi américaine de 2018 qui autorise les autorités des États-Unis à réclamer à un prestataire soumis au droit américain les données qu'il détient, quel que soit le pays de stockage.

Le CLOUD Act s'applique-t-il en France ?

Oui, dès qu'un opérateur soumis au droit américain intervient dans la chaîne de traitement, même via un datacenter situé en France.

CLOUD Act et RGPD sont-ils compatibles ?

Non, ils sont en tension directe : une injonction CLOUD Act peut contraindre à un transfert que le RGPD interdit. Seule une architecture sans opérateur soumis au droit américain lève réellement le conflit.

Le chiffrement protège-t-il du CLOUD Act ?

Seulement si vous maîtrisez seul les clés. Si le prestataire détient les clés de déchiffrement, il peut être contraint de les utiliser.

Sources

• CLOUD Act (H.R. 4943, 115e Congrès), texte adopté en mars 2018
• CJUE, arrêt C-311/18 « Schrems II » du 16 juillet 2020
• Décision d’exécution (UE) 2023/1795 de la Commission (Data Privacy Framework)
• Référentiel SecNumCloud et catalogue des services qualifiés (ANSSI)

Dernière revue : 2 septembre 2026 par Souvara. Prochaine revue prévue : mars 2027. Les textes et qualifications cités évoluent ; signalez une erreur via la page de contact.

La directive européenne NIS2 élargit considérablement le champ des obligations de cybersécurité. Là où la directive NIS1 visait quelques centaines d'opérateurs, NIS2 concerne des milliers d'entités « essentielles » et « importantes » réparties dans 18 secteurs d'activité.

Qu'est-ce que la directive NIS2 ?

NIS2 impose aux entités concernées un socle de mesures structurées autour de la gestion du risque :

• Gouvernance du risque — analyse, mesures techniques et organisationnelles proportionnées.
• Sécurisation de la chaîne d'approvisionnement — y compris les fournisseurs et sous-traitants numériques.
• Notification des incidents — alerte initiale sous 24 heures, puis rapports de suivi.
• Responsabilisation des dirigeants — la direction est tenue pour responsable de la conformité.

Le non-respect expose à des sanctions financières dont la directive fixe les plafonds (jusqu'à 10 millions d'euros ou 2 % du chiffre d'affaires mondial pour les entités essentielles, 7 millions d'euros ou 1,4 % pour les entités importantes) et, fait nouveau, à une responsabilité directe de l'encadrement.

En France, la transposition passe par la loi relative à la résilience des infrastructures critiques et au renforcement de la cybersécurité, dont l'ANSSI est l'autorité de mise en œuvre. L'ANSSI publie les critères d'assujettissement et un service de test, MonEspaceNIS2. Le calendrier d'entrée en vigueur des obligations dépend des textes d'application : vérifiez-le avant de planifier.

Mon entreprise est-elle concernée par NIS2 ?

Sont visées les entités d'une certaine taille opérant dans des secteurs comme l'énergie, la santé, les transports, le numérique, l'eau, les administrations publiques ou l'agroalimentaire. Deux catégories coexistent : les entités « essentielles » (contrôle plus strict) et « importantes ». Si vous opérez dans l'un de ces secteurs au-delà d'un seuil de taille, vous êtes probablement concerné — même si vous ne l'étiez pas sous NIS1.

La sécurisation des données et le choix d'un hébergement maîtrisé — voire d'un cloud souverain — font partie des réponses naturelles à ces exigences, en cohérence avec le RGPD et la qualification SecNumCloud.

Par où commencer sa mise en conformité

La démarche est progressive : commencer par déterminer si l'on est assujetti, puis cartographier son exposition au risque (y compris la chaîne de sous-traitance), combler les écarts techniques et organisationnels, et enfin mettre en place le dispositif de notification d'incident. Là encore, le point de départ est une cartographie honnête de l'existant — ce que la conformité NIS2 partage avec toute démarche de souveraineté.

Faire le diagnostic — vérifiez si NIS2 vous concerne et vos écarts de conformité. Démarrer le diagnostic

Questions fréquentes

Qu'est-ce que la directive NIS2 ?

Une directive européenne renforçant les obligations de cybersécurité (gestion des risques, notification d'incidents sous 24 h, responsabilité des dirigeants) pour des milliers d'entités dans 18 secteurs.

Mon entreprise est-elle concernée par NIS2 ?

Probablement si vous opérez dans un des secteurs visés au-delà d'un certain seuil de taille — un diagnostic permet de le confirmer.

Sources

• Directive (UE) 2022/2555 du 14 décembre 2022 (NIS 2)
• MonEspaceNIS2, service de l’ANSSI pour tester son assujettissement

Dernière revue : 2 septembre 2026 par Souvara. Prochaine revue prévue : mars 2027. Les textes et qualifications cités évoluent ; signalez une erreur via la page de contact.

Le RGPD ne se limite pas au consentement et aux mentions légales : il encadre aussi où et comment sont hébergées les données personnelles. Le choix de l'hébergeur est donc une décision de conformité à part entière — et l'une des plus souvent négligées.

Les obligations clés en matière d'hébergement

Le règlement impose plusieurs garanties qui pèsent directement sur le choix d'infrastructure :

• la sécurité et la confidentialité des données (chiffrement, contrôle d'accès, journalisation) ;
• la limitation des accès aux seules personnes autorisées ;
• l'encadrement strict des transferts hors Union européenne vers des pays n'offrant pas un niveau de protection équivalent ;
• la capacité à démontrer sa conformité (principe d'accountability).

Peut-on héberger des données RGPD aux États-Unis ?

Deux questions se superposent. La première est celle du transfert au sens du RGPD : depuis juillet 2023, la décision d'adéquation « Data Privacy Framework » permet de transférer des données personnelles vers des entreprises américaines certifiées, et les clauses contractuelles types restent utilisables avec une analyse d'impact du transfert. L'arrêt « Schrems II » de 2020 a toutefois montré qu'une décision d'adéquation peut être invalidée, et la solidité de la nouvelle décision reste discutée devant les juridictions européennes.

La seconde question est celle de l'accès par les autorités : un hébergement chez un acteur soumis au droit américain expose les données au CLOUD Act, même en Europe, parce que ce texte vise le prestataire et non le lieu de stockage. Ce risque-là n'est pas réglé par le cadre du transfert.

Pour les données sensibles, la voie la plus sûre est donc un hébergement européen non soumis à ce risque — c'est tout l'intérêt d'un cloud souverain ou d'un cloud de confiance qualifié.

Une démarche en trois temps

Concrètement : classer vos traitements et données (lesquels sont sensibles ?), cartographier vos hébergeurs et sous-traitants pour repérer les expositions au droit extra-européen, puis remédier en migrant les données critiques vers un hébergement conforme. Cette logique recoupe celle de la directive NIS2 et de la certification HDS pour la santé : un même socle de maîtrise des données.

Faire le diagnostic — identifiez vos hébergements à risque RGPD. Démarrer le diagnostic

Questions fréquentes

Où héberger ses données pour être conforme au RGPD ?

Idéalement chez un hébergeur européen non soumis aux lois extra-européennes, avec chiffrement et clés maîtrisées.

Peut-on héberger des données RGPD aux États-Unis ?

Pour des données ordinaires, oui, dans le cadre du Data Privacy Framework ou de clauses contractuelles types avec analyse d'impact. Pour des données sensibles ou stratégiques, l'exposition au CLOUD Act persiste quel que soit le lieu de stockage : un hébergeur non soumis au droit américain reste la voie la plus sûre.

Sources

• Règlement (UE) 2016/679 (RGPD), chapitre V sur les transferts
• CJUE, arrêt C-311/18 « Schrems II » du 16 juillet 2020
• Décision d’exécution (UE) 2023/1795 de la Commission (Data Privacy Framework)
• CNIL, transférer des données hors de l’UE

Dernière revue : 2 septembre 2026 par Souvara. Prochaine revue prévue : mars 2027. Les textes et qualifications cités évoluent ; signalez une erreur via la page de contact.

SecNumCloud est le référentiel de qualification édité par l'ANSSI (Agence nationale de la sécurité des systèmes d'information). Il atteste qu'un service cloud atteint le plus haut niveau d'exigence français en matière de sécurité — et, point décisif, qu'il répond à des critères de protection contre les législations extra-européennes comme le CLOUD Act.

Qu'est-ce que SecNumCloud ?

C'est un visa de sécurité officiel délivré par l'État. Un prestataire qualifié SecNumCloud (référentiel actuel 3.2) a démontré, audit à l'appui, qu'il satisfait plusieurs centaines d'exigences techniques et organisationnelles. La qualification ne se déclare pas : elle s'obtient après un audit indépendant et se maintient dans le temps.

Les exigences couvrent notamment :

• l'hébergement et l'exploitation en Europe, par des personnels habilités ;
• le chiffrement et une gestion rigoureuse des clés ;
• la réversibilité et l'absence de verrou propriétaire ;
• la protection juridique : la structure capitalistique et les modalités d'exploitation ne doivent pas permettre l'ingérence d'une autorité extra-européenne (exigences de l'annexe du référentiel 3.2).

Pourquoi la qualification compte

SecNumCloud est devenu la référence de la doctrine « Cloud au centre » de l'État : pour le secteur public, héberger des données sensibles chez un prestataire qualifié est désormais la norme attendue. C'est aussi un critère structurant pour les opérateurs régulés et, plus largement, le socle du label cloud de confiance.

Pour une entreprise, exiger SecNumCloud dans un appel d'offres est le moyen le plus simple de garantir, en une ligne, à la fois la sécurité et la souveraineté juridique d'une offre.

SecNumCloud, RGPD et NIS2 : un faisceau cohérent

SecNumCloud ne remplace pas le RGPD ni la directive NIS2 : il les sert. Un hébergement qualifié facilite la conformité RGPD (pas de transfert hors UE) et fournit une bonne partie des garanties techniques attendues par NIS2. Les trois s'articulent autour d'un même objectif : la maîtrise des données.

Comment obtenir la qualification SecNumCloud ?

La démarche est exigeante et se déroule en plusieurs temps :

1. Analyse d'écart par rapport au référentiel 3.2.
2. Mise à niveau technique et organisationnelle.
3. Audit par un prestataire accrédité.
4. Délivrance de la qualification par l'ANSSI, puis maintien dans le temps.

Le délai dépend de la maturité de départ ; les prestataires qualifiés font état de démarches qui dépassent souvent l'année. Pour une organisation cliente, l'essentiel est plus simple : vérifier que l'offre retenue est effectivement qualifiée sur le périmètre concerné.

Faire le diagnostic — évaluez votre écart au référentiel et les prochaines étapes. Démarrer le diagnostic

Questions fréquentes

Qu'est-ce que SecNumCloud ?

Une qualification de l'ANSSI attestant qu'un service cloud atteint le plus haut niveau de sécurité français et répond à des critères de protection contre les lois extra-européennes.

Comment obtenir la qualification SecNumCloud ?

Par une analyse d'écart, une mise à niveau, puis un audit accrédité avant délivrance par l'ANSSI ; la démarche dépasse souvent l'année.

Sources

• ANSSI, SecNumCloud pour les fournisseurs de services cloud (référentiel 3.2)
• ANSSI, catalogue des produits et services qualifiés

Dernière revue : 2 septembre 2026 par Souvara. Prochaine revue prévue : mars 2027. Les textes et qualifications cités évoluent ; signalez une erreur via la page de contact.

Une migration vers un cloud souverain n'a rien d'un saut dans le vide. Bien conduite, elle se déroule par étapes, en limitant les interruptions de service, avec une réversibilité contractualisée dès le départ.

Les étapes d'une migration maîtrisée

1. Cartographie — inventaire des applications, données et dépendances (voir le diagnostic).
2. Classification — identifier les données sensibles ou réglementées (RGPD, HDS, secrets).
3. Architecture cible — choix de l'hébergement souverain et des modalités de chiffrement.
4. Migration par lots — bascule progressive, charge non critique d'abord.
5. Vérification et réversibilité — tests, documentation, garanties de sortie sans verrou propriétaire.

Combien de temps prend une migration ?

De quelques semaines pour un périmètre simple à plusieurs mois pour un système d'information complexe. Le facteur déterminant n'est pas la technique mais la classification préalable des données.

Comment garantir la réversibilité ?

En exigeant dès le départ des formats portables, des standards ouverts et des clauses contractuelles de sortie sans frais cachés ni délais de pénalité.

Faire le diagnostic — obtenez une première trajectoire de migration adaptée à votre SI. Démarrer le diagnostic

Questions fréquentes

Combien de temps prend une migration cloud souverain ?

De quelques semaines à plusieurs mois selon la complexité ; la classification des données est l'étape déterminante.

Comment garantir la réversibilité ?

Par des formats portables, des standards ouverts et des clauses de sortie claires inscrites au contrat.

Sources

• ANSSI, SecNumCloud (exigences de réversibilité, référentiel 3.2)

Dernière revue : 2 septembre 2026 par Souvara. Prochaine revue prévue : mars 2027. Les textes et qualifications cités évoluent ; signalez une erreur via la page de contact.

Un cloud souverain est une infrastructure d'hébergement dont les données, les opérations et la gouvernance échappent à toute juridiction extra-européenne. Concrètement : vos données restent en Europe, sont opérées par une entité non soumise au droit américain, et personne ne peut être contraint de les livrer à une puissance étrangère.

Pour les entreprises et organisations qui manipulent des données sensibles ou réglementées, ce n'est plus une préférence — c'est une condition de conformité et de continuité d'activité.

Qu'est-ce qu'un cloud souverain ?

La souveraineté d'un cloud ne se résume pas à un drapeau ou à l'adresse d'un datacenter. Elle se mesure sur trois plans complémentaires, et un cloud n'est réellement souverain que s'il les couvre tous les trois :

• Souveraineté des données — stockage et traitement exclusivement sur le territoire européen, avec chiffrement et gestion des clés maîtrisée par le client (HSM, KMS).
• Souveraineté opérationnelle — administration et maintenance assurées par des personnels et des sociétés relevant du droit européen, sans accès distant depuis une juridiction tierce.
• Souveraineté juridique — immunité face aux lois extraterritoriales comme le CLOUD Act, garantie par la structure capitalistique et contractuelle du fournisseur.

Un hébergement « en France » qui ne coche pas ces trois cases — par exemple une offre techniquement opérée sous licence d'un acteur américain — n'est pas souverain au sens fort.

Cloud souverain ou cloud de confiance : quelle différence ?

Les deux notions sont souvent confondues. Le cloud de confiance correspond à un label français reposant sur la qualification SecNumCloud de l'ANSSI : il garantit à la fois un très haut niveau de sécurité technique et l'immunité aux droits extra-européens. Un cloud souverain est le concept plus large ; le cloud de confiance en est la traduction certifiée et opposable la plus exigeante en France. Autrement dit : tout cloud de confiance est souverain, mais tout cloud présenté comme « souverain » n'est pas nécessairement qualifié.

Pourquoi la souveraineté du cloud est devenue stratégique

Trois forces convergent. D'abord la pression réglementaire : RGPD, NIS2 et, pour la santé, la certification HDS imposent des garanties que seul un hébergement maîtrisé peut offrir durablement. Ensuite le risque géopolitique : l'extraterritorialité du droit américain expose le patrimoine informationnel des entreprises. Enfin la demande de réversibilité : les organisations veulent pouvoir changer de fournisseur sans verrou propriétaire.

Les acteurs du cloud souverain en France

Le marché français compte plusieurs offres positionnées sur la souveraineté — OVHcloud, Outscale (Dassault Systèmes), Orange Business, ou encore Bleu. Toutes ne se valent pas selon votre besoin : certaines sont qualifiées SecNumCloud sur des technologies entièrement maîtrisées, d'autres s'appuient sur des technologies sous licence américaine, ce qui fragilise la souveraineté juridique. Notre comparatif des clouds souverains détaille la grille de lecture et renvoie au catalogue de l'ANSSI pour l'état des qualifications.

Faut-il un cloud souverain pour votre organisation ?

Tout dépend de la nature de vos données. Données de santé, données personnelles sensibles, secrets industriels, missions de service public : dans ces cas, la souveraineté n'est pas optionnelle. Pour des données moins sensibles, une approche hybride peut suffire — d'où l'importance d'une classification préalable plutôt que d'une bascule uniforme.

Le passage au cloud souverain est un projet structurant, mais il se conduit par étapes, en limitant les interruptions de service et avec une réversibilité contractualisée dès le départ.

Demander une consultation — nous évaluons votre besoin de souveraineté et la trajectoire la plus adaptée. Parler à un expert

Questions fréquentes

Qu'est-ce qu'un cloud souverain ?

Une infrastructure dont les données, l'exploitation et la gouvernance échappent aux juridictions extra-européennes, garantissant que vos données ne peuvent être livrées à une puissance étrangère.

Quelle différence entre cloud souverain et cloud de confiance ?

Le cloud de confiance est la version labellisée (qualification SecNumCloud de l'ANSSI) du cloud souverain en France.

Quels sont les clouds souverains français ?

Parmi les acteurs positionnés sur ce marché : OVHcloud, Outscale, Orange Business et Bleu. Le niveau de souveraineté dépend de la gamme et de la technologie ; l'état des qualifications se vérifie au catalogue de l'ANSSI.

Sources

• ANSSI, catalogue des produits et services qualifiés
• CLOUD Act (H.R. 4943, 115e Congrès)

Dernière revue : 2 septembre 2026 par Souvara. Prochaine revue prévue : mars 2027. Les textes et qualifications cités évoluent ; signalez une erreur via la page de contact.

Toute organisation qui héberge des données de santé à caractère personnel pour le compte de tiers doit recourir à un hébergeur certifié HDS. Une exigence à la croisée de la santé, du RGPD et de la souveraineté.

Qu'est-ce que la certification HDS ?

La certification Hébergeur de Données de Santé atteste qu'un prestataire respecte un référentiel strict de sécurité, de confidentialité et de traçabilité pour les données médicales. Elle est délivrée après audit par un organisme de certification accrédité, sous le contrôle de l'Agence du Numérique en Santé, et couvre six activités distinctes (de l'hébergement physique à l'infogérance) : un certificat ne vaut que pour les activités qu'il liste.

Qui doit être certifié HDS ?

Établissements de santé, éditeurs de logiciels médicaux, laboratoires, start-up e-santé : dès que des données de santé sont hébergées pour autrui, la certification de l'hébergeur est obligatoire. Pour ces données particulièrement sensibles, le recours à un cloud dont le cadre juridique et les sous-traitants sont documentés est vivement recommandé.

Le référentiel HDS révisé en 2024 ajoute notamment une exigence de localisation des données dans l'Espace économique européen et une obligation de transparence sur l'exposition à des législations extra-européennes. Les hébergeurs certifiés sur l'ancien référentiel disposent d'une période de transition : demandez la version du référentiel et le périmètre (activités 1 à 6) qui figurent sur le certificat.

Demander une consultation — sécurisez l'hébergement de vos données de santé en conformité HDS et souveraineté. Parler à un expert

Questions fréquentes

Qu'est-ce que la certification HDS ?

Une certification française attestant qu'un hébergeur respecte un référentiel strict pour les données de santé personnelles.

Qui doit être certifié HDS ?

Tout acteur hébergeant des données de santé pour le compte de tiers (établissements, éditeurs, e-santé).

Sources

• Agence du Numérique en Santé, certification HDS (référentiel et procédure)
• Code de la santé publique, article L. 1111-8

Dernière revue : 2 septembre 2026 par Souvara. Prochaine revue prévue : mars 2027. Les textes et qualifications cités évoluent ; signalez une erreur via la page de contact.

Pour les administrations de l'État, la souveraineté numérique n'est pas une option : c'est une doctrine. Les collectivités et les établissements publics ne sont pas tous soumis aux mêmes textes, mais partagent l'exigence de confiance. Les données publiques sensibles doivent être hébergées sur un cloud maîtrisé, à l'abri des lois étrangères.

La doctrine « Cloud au centre »

La doctrine impose que les données sensibles de l'État soient hébergées soit sur un cloud interne, soit sur un cloud commercial qualifié SecNumCloud, sous réserve du périmètre et des conditions publiés. Elle est fixée par la circulaire du Premier ministre n° 6282-SG du 5 juillet 2021, actualisée par la circulaire n° 6404-SG du 31 mai 2023, qui précise les données concernées (données sensibles au sens de la circulaire, applications critiques) et le rôle de l'ANSSI.

Quel cloud pour une administration publique ?

Un cloud souverain qualifié, garantissant hébergement européen, exploitation maîtrisée et réversibilité. Les collectivités, soumises aux mêmes enjeux de confiance citoyenne, ont intérêt à s'aligner sur cette exigence, en cohérence avec NIS2.

Demander une consultation — accompagnement des administrations et collectivités vers un cloud conforme à la doctrine de l'État. Parler à un expert

Questions fréquentes

Quel cloud pour une administration publique ?

Un cloud souverain qualifié SecNumCloud, conforme à la doctrine « Cloud au centre ».

Qu'est-ce que la doctrine Cloud au centre ?

La règle imposant que les données sensibles de l'État soient hébergées sur un cloud interne ou qualifié SecNumCloud.

Sources

• Circulaires du Premier ministre n° 6282-SG du 5 juillet 2021 et n° 6404-SG du 31 mai 2023 (doctrine « Cloud au centre »)
• ANSSI, catalogue des produits et services qualifiés
• Directive (UE) 2022/2555 (NIS 2)

Dernière revue : 2 septembre 2026 par Souvara. Prochaine revue prévue : mars 2027. Les textes et qualifications cités évoluent ; signalez une erreur via la page de contact.