RGPD et Cloud Act : ce que votre suite collaborative dit de vos données

Le Cloud Act en deux phrases

Le CLOUD Act (Clarifying Lawful Overseas Use of Data Act, 2018) permet aux autorités américaines d'exiger d'un fournisseur soumis au droit américain la remise de données qu'il contrôle, où qu'elles soient stockées dans le monde. Un datacenter à Paris ou à Francfort n'y change rien : ce qui compte, c'est la nationalité juridique de l'opérateur, pas la géographie des disques.

C'est le cœur du malentendu commercial « vos données sont hébergées en Europe » : chez un fournisseur américain, la localisation européenne est une garantie de latence, pas de juridiction.

Ce que ça change pour le RGPD

Depuis l'arrêt Schrems II (CJUE, 2020), les transferts de données personnelles vers les États-Unis sont sous tension juridique permanente : Safe Harbor invalidé, Privacy Shield invalidé, et le Data Privacy Framework actuel fait l'objet des mêmes critiques de fond — l'accès des agences américaines aux données des Européens. Chaque nouvel accord vit sous la menace d'une nouvelle invalidation.

Concrètement, pour un responsable de traitement européen, utiliser une suite américaine implique :

• documenter des transferts hors UE et leur base légale, qui peut disparaître au prochain arrêt de la CJUE ;
• analyser des clauses contractuelles types et des mesures supplémentaires dont l'efficacité face au Cloud Act est, par construction, limitée ;
• assumer ce risque dans son registre de traitements et face à ses propres clients.

L'alternative structurelle : la souveraineté par conception

L'autre approche consiste à faire disparaître le problème plutôt qu'à le documenter : un opérateur européen, une infrastructure en France, et aucune entité du groupe soumise à une juridiction extraterritoriale. Il n'y a alors tout simplement pas de transfert hors UE à justifier.

Points à vérifier chez un fournisseur « souverain » :

• Qui opère ? La société qui a l'accès technique aux données, pas seulement celle qui loue les serveurs ;
• Où sont les sauvegardes ? Une donnée sauvegardée hors UE est une donnée transférée ;
• La chaîne de sous-traitance : un maillon américain (support, supervision, CDN) réintroduit le problème ;
• La réversibilité : formats ouverts et export complet — la souveraineté inclut celle de partir.

Comment Yoma répond à chaque point

• Opéré par KASEI, société française, hébergé en France (OVHcloud) — sauvegardes comprises, chiffrées ;
• Instance dédiée par client : vos données ne partagent ni base ni stockage avec d'autres organisations ;
• Bâti sur Nextcloud et Collabora Online, open source et formats ouverts : export complet à tout moment ;
• Un sous-traitant unique et identifié — votre registre de traitements tient sur une page.

Le détail des mesures techniques est sur notre page sécurité, et l'argumentaire complet sur la page suite bureautique souveraine.