Un outil de prise en main à distance tombe en panne, et la DSI réalise qu’elle ne sait pas sur quels serveurs transitaient les sessions de maintenance. Journaux de connexion, identifiants machines, captures d’écran temporaires : ces données techniques, souvent classées « non personnelles », circulent pourtant entre plusieurs infrastructures sans que personne n’ait vérifié leur destination.
La question de la localisation des données des outils IT n’est plus réservée aux juristes du RGPD. Elle concerne désormais chaque responsable qui valide l’achat d’une solution SaaS pour son entreprise.
Réversibilité des données IT : le critère que les contrats SaaS escamotent
On pose souvent la question « où sont hébergées nos données ? », et la réponse rassure : « en Europe », « en France », « chez un hébergeur certifié ». Le sujet s’arrête là dans la plupart des évaluations fournisseur.
La question suivante est plus gênante pour l’éditeur : peut-on récupérer nos données dans un format exploitable, dans quel délai et à quel coût si on quitte l’outil ? Un bouton « exporter » dans l’interface ne suffit pas. Si l’export produit un fichier dont la structure est propriétaire ou dont les relations entre tables sont perdues, la reprise effective des données chez un autre prestataire devient un chantier à part entière.
Le Data Act européen, applicable depuis le 12 septembre 2025, encadre précisément ce point. Il impose aux fournisseurs de services de traitement de données de lever les obstacles au changement de prestataire et de garantir le transfert des données exportables. Les frais de sortie sont également appelés à être encadrés progressivement.
Concrètement, cela signifie que la clause de réversibilité d’un contrat SaaS doit préciser le format d’export, le délai de mise à disposition et le coût éventuel. Un éditeur qui propose des outils de télémaintenance ou d’accès distant, par exemple EasyRemote, l’alternative française à TeamViewer, devrait pouvoir répondre à ces trois points avant la signature. Si la réponse reste vague, c’est un signal d’alerte sur la dépendance technologique que l’on s’apprête à créer.
Localisation des serveurs et cadre juridique : pourquoi l’adresse IP ne dit pas tout
Héberger des données sur un serveur situé en France ne garantit pas automatiquement qu’elles échappent à une juridiction étrangère. Lorsque l’éditeur du logiciel est une filiale d’un groupe dont le siège se trouve hors de l’Union européenne, certaines législations extraterritoriales peuvent s’appliquer indépendamment de la localisation physique du datacenter.
Ce point est souvent mal compris dans les appels d’offres. On coche la case « hébergement France » et on passe au critère suivant. La réalité juridique est plus fine : c’est la nationalité de l’entité qui contrôle les clés de chiffrement et qui administre l’infrastructure qui détermine le régime applicable.
Pour une DSI, la vérification opérationnelle passe par plusieurs questions à poser à l’éditeur :
- Quelle entité juridique contrôle les clés de chiffrement, et sous quelle juridiction est-elle immatriculée ?
- Les journaux de connexion et les métadonnées techniques (horodatage, adresses IP des postes maintenus) sont-ils stockés sur la même infrastructure que les données applicatives, ou transitent-ils par un tiers ?
- En cas de réquisition judiciaire d’un État tiers, l’éditeur a-t-il un mécanisme documenté pour contester la demande au titre du RGPD ?
Ces questions ne figurent presque jamais dans les grilles d’évaluation standard. Elles font pourtant basculer le niveau réel de protection des données de l’entreprise.
Sécurité et souveraineté des données : deux axes à évaluer ensemble
On confond régulièrement sécurité et souveraineté. Un outil peut être techniquement sécurisé (chiffrement AES-256, authentification multifacteur, certifications ISO 27001) tout en exposant les données à un risque juridique si l’éditeur dépend d’une juridiction non européenne.
À l’inverse, un hébergement souverain sans politique de sécurité rigoureuse ne protège de rien. La localisation française d’un serveur mal configuré ne vaut pas mieux qu’un datacenter étranger correctement durci.
L’évaluation doit croiser les deux dimensions. Sur le volet sécurité, on vérifie le chiffrement en transit et au repos, le contrôle des accès, la gestion des vulnérabilités et la fréquence des audits. Sur le volet souveraineté, on examine la nationalité de l’éditeur, la chaîne de sous-traitance, la localisation effective du traitement et les clauses contractuelles de réversibilité.
Certains éditeurs européens construisent désormais leurs offres autour de cette double exigence : hébergement local, conformité RGPD native et support de proximité. Cette tendance n’est pas un argument marketing ponctuel. Elle répond à une demande croissante des entreprises qui intègrent la maîtrise des données dans leurs critères d’achat IT au même niveau que le prix et les fonctionnalités.
Grille d’évaluation fournisseur : les critères à ajouter dès le prochain appel d’offres
La plupart des grilles d’évaluation IT s’arrêtent aux fonctionnalités, au prix de la licence et au niveau de support. Ajouter un bloc « gouvernance des données » transforme la sélection fournisseur sans alourdir le processus.
Les critères à intégrer dans ce bloc :
- Format et délai d’export des données : l’éditeur doit préciser dans quel format standard (CSV, JSON, SQL) les données sont récupérables, et sous combien de jours après résiliation
- Localisation juridique du contrôle des données : non pas l’adresse du datacenter, mais la juridiction de l’entité qui administre le chiffrement et les accès
- Traitement des métadonnées techniques : journaux de connexion, logs d’accès distant, horodatage des sessions, et leur durée de conservation
- Clause de réversibilité chiffrée : coût de la migration sortante, assistance technique prévue, engagement de suppression des données après transfert
- Chaîne de sous-traitance documentée : liste des sous-traitants impliqués dans le traitement, avec leur localisation et leur rôle
Intégrer ces critères dès la phase de consultation permet de comparer les éditeurs sur un terrain que la majorité d’entre eux ne maîtrisent pas encore dans leurs réponses commerciales. C’est précisément là que se révèle le niveau réel de maturité d’un fournisseur sur la protection des données.
La dépendance technologique ne se mesure pas au moment où l’on signe un contrat, mais au moment où l’on essaie d’en sortir. Les entreprises qui posent ces questions maintenant évitent de les découvrir dans l’urgence, le jour où un changement de prestataire devient inévitable.
