« Où sont hébergées nos données ? » figure désormais dans les questionnaires fournisseurs des grands comptes, dans les cahiers des charges des marchés publics et à l'ordre du jour des comités de direction. Répondre « dans le cloud » ne suffit plus à personne. Nous établissons noir sur blanc quels systèmes traitent vos données depuis l'Union européenne, lesquels sortent du territoire et sur quel mécanisme s'appuie chaque transfert. Puis nous rapatrions ce qui doit l'être. La licéité d'un transfert relève de votre juriste ou de votre DPO ; nous leur fournissons des éléments techniques vérifiables plutôt que des impressions.
Six étapes, de l'inventaire à l'exploitation. Les surprises ne viennent presque jamais du logiciel principal : elles viennent des à-côtés, extensions du site, outils marketing, plateformes de signature et sauvegardes réglées une fois pour toutes il y a cinq ans.
Nous listons les logiciels et services en ligne, la région où tourne chaque instance, leurs propres sous-traitants et l'endroit d'où le support de l'éditeur se connecte pour intervenir. Les scripts chargés par votre site y passent aussi : messagerie instantanée, mesure d'audience, pixels publicitaires, polices distantes.
Pour chaque transfert hors UE, nous indiquons le mécanisme invoqué par le fournisseur : clauses contractuelles types, décision d'adéquation, mesures supplémentaires annoncées. Juger si cela tient revient à votre DPO ou à votre avocat, qui s'appuieront aussi sur les publications de la CNIL. Nous fournissons la matière, pas l'avis.
Nous vérifions dans quelle zone le tenant a été créé, quelles options de résidence des données votre licence ouvre vraiment, et quelles fonctions peuvent traiter du contenu ailleurs : modules complémentaires installés au fil des années, connecteurs et assistants IA activés par défaut.
Serveurs VPS, serveurs dédiés ou stockage objet chez OVHcloud, Scaleway, Outscale ou un autre hébergeur de l'Union. Le choix tient compte de la charge, du budget, de vos engagements contractuels et de la nationalité de la maison mère. Si votre appel d'offres exige une qualification SecNumCloud, nous vous aidons à retenir un prestataire qui la détient.
Cas très fréquent : la production tourne chez un hébergeur français, et les sauvegardes partent dans une région américaine parce que c'était le réglage proposé à l'installation. Nous déplaçons les copies, activons le chiffrement, vérifions qui détient les clés et testons une restauration avant de clore le sujet.
Nous déplaçons données, paramétrages et intégrations selon un plan qui prévoit une répétition générale et un chemin de retour. Après la bascule, nous surveillons le nouvel environnement de plus près pendant une durée convenue et nous mettons la documentation à jour, y compris la cartographie.
Tout n'a pas vocation à bouger. Parfois il suffit de changer une région dans les réglages, parfois il faut remplacer un outil, parfois mieux vaut rester chez le fournisseur et documenter le transfert proprement. Le calendrier se fixe après l'inventaire, jamais avant.
Une liste de systèmes, de régions, de sous-traitants ultérieurs et de dépendances entre applications. Votre juriste décide sur cette base de ce qui reste et de ce qui part.
Nous montons l'infrastructure dans l'Union, nous y recopions les données et nous testons avec quelques utilisateurs volontaires. Les défauts sortent pendant la répétition, pas le lundi matin.
En soirée ou le week-end, application par application. L'ancien environnement reste allumé jusqu'à ce que vous confirmiez que tout fonctionne, y compris l'impression et les intégrations.
Nous résilions les services devenus inutiles pour éviter la double facture, demandons l'effacement des données chez l'ancien fournisseur et vous remettons la cartographie mise à jour.
Les données quittent l'Union par la porte de service. Le formulaire de contact expédie les demandes via un service d'emailing hébergé ailleurs, la boutique charge un module de discussion opéré hors d'Europe, l'outil de signature archive les contrats dans une région différente de celle où ils ont été signés, et l'extension de statistiques installée pour un test en 2019 tourne encore. C'est pour cela que l'on commence par la cartographie et non par le choix du centre de données.
Pas frontalement. Un transfert hors UE demande un fondement approprié, et savoir si le vôtre en a un relève de votre juriste ou de votre DPO. Dans les faits, l'exigence « tout doit rester en Europe » vient plus souvent d'un client grand compte, d'un acheteur public ou d'un conseil d'administration qui ne veut plus rouvrir le dossier tous les ans. Notre rôle est de montrer à quoi ressemble la situation technique et ce que coûterait le changement.
SecNumCloud est une qualification délivrée par l'ANSSI à des offres d'hébergement, pas aux prestataires qui les exploitent pour vous. Apply ne la détient pas et ne prétend pas le contraire. Ce que nous faisons : identifier les offres qualifiées compatibles avec vos applications, évaluer ce que la migration implique en effort et en budget, et préparer les réponses techniques que vous remettrez à votre interlocuteur.
Les données de santé à caractère personnel relèvent en France de l'hébergement HDS, avec une certification que détient l'hébergeur. Apply n'est pas hébergeur et n'est pas certifié HDS ; nous vous aidons à choisir un hébergeur certifié HDS, à y installer correctement votre application et à documenter le partage des responsabilités. La qualification de vos traitements et les formalités restent du ressort de votre DPO et de votre conseil.
Une sauvegarde contient les mêmes données que le système d'origine, donc les mêmes contraintes s'y appliquent en général. C'est pourtant le point le plus souvent oublié : la production a été rapatriée il y a deux ans, la copie hors site continue de partir ailleurs. Pendant la cartographie, nous regardons systématiquement l'emplacement des copies, leur chiffrement et la personne qui détient réellement les clés de déchiffrement.
Trois voies s'ouvrent alors. Installer une solution libre sur un serveur dans l'Union, ce qui déplace le coût vers l'exploitation. Séparer les données pour n'envoyer au service étranger que des informations pseudonymisées ou dépourvues d'identifiants. Ou rester sur l'outil et documenter soigneusement le fondement du transfert. Le choix dépend du budget et de l'appréciation juridique, que prépare votre DPO et non nous.
Listez les logiciels et services utilisés par l'entreprise et, si vous le savez, leur hébergement. Nous revenons vers vous sous un jour ouvré avec une proposition de cartographie et son prix.
Votre demande nous est parvenue
Vous recevrez une réponse sous un jour ouvré. Si vous signalez une panne qui immobilise vos équipes, elle passe en priorité.
Cette ville ne figure pas dans la liste. Vérifiez l'orthographe ou choisissez la grande ville la plus proche : nous travaillons à distance, cela ne change rien au périmètre de nos prestations.
