Prouver la résidence des données sans surpromettre

Lecture de la clause

La première preuve consiste à savoir quelle promesse est demandée

Archivez la question avec sa pièce, sa section, sa version, ses définitions et les éventuelles réponses de l’acheteur. Une demande d’adresse d’hébergement peut porter sur le stockage principal. Une obligation selon laquelle aucune donnée ne sort de France peut couvrir la réplication, le calcul, l’assistance, la sauvegarde et la reprise. Une exigence de souveraineté peut ajouter le contrôle des clés, la nationalité des opérateurs, le droit applicable ou les demandes d’autorités étrangères.

Séparez la phrase en propositions. Pour chacune, inscrivez la donnée, l’action, l’acteur, le territoire, le moment, la condition et l’exception. Une question associant stockage en France et support depuis l’Union contient au moins deux limites. Le oui éventuel à la première ne doit pas masquer l’absence de preuve sur la seconde.

Gardez les frontières littérales. France ne signifie pas Union européenne. L’EEE ajoute l’Islande, le Liechtenstein et la Norvège à l’Union, mais pas la Suisse. Le mot Europe est encore moins précis. Demandez une clarification par la voie autorisée si cette différence modifie l’offre et si le calendrier le permet; en attendant, ne choisissez pas la définition la plus favorable au soumissionnaire.

Configuration engagée

La carte porte sur l’offre, pas sur toutes les variantes du produit

Consignez l’identité du soumissionnaire, l’opérateur, l’édition, les fonctions activées, le modèle de tenant, les environnements, les interfaces, les régions, le plan de reprise, le support et la version de la liste des sous-traitants. Une option disponible dans un catalogue ne décrit pas encore le tenant proposé. Deux architectures possibles ne peuvent être fusionnées en une réponse qui reprend les avantages des deux.

Faites ensuite l’inventaire des données. Ajoutez aux contenus métier les comptes, droits, paramètres, événements d’audit, journaux applicatifs, identifiants techniques, index, files de messages, caches, métriques, traces réseau, rapports d’erreur, exports et éléments transmis au support. Les clés et leurs métadonnées demandent aussi un examen lorsque la clause traite le contrôle ou la juridiction.

Une ligne de la carte relie la catégorie à une finalité, un composant, une opération, un stockage, une réplique, une sauvegarde, un lieu de reprise, une entité, un pays d’accès, une durée, un mécanisme de suppression et une preuve. Inscrivez inconnu lorsque le document technique reste muet. Cette valeur bloque la proposition concernée au lieu de produire artificiellement une réponse locale.

Parcours des données

Les copies discrètes font tomber les réponses trop larges

Dessinez le parcours courant depuis la collecte jusqu’à la restitution: point d’entrée, services applicatifs, bases, objets, indexation, cache, messagerie, analyses et exports. Ajoutez les dispositifs de sécurité et de performance tels que CDN, pare-feu applicatif, protection contre les attaques distribuées et répartition de charge. La CNIL recommande de recenser les données que ces outils manipulent ainsi que leurs flux et accès potentiels.

Ajoutez les chemins rares. Le diagnostic d’un incident peut extraire un fichier, copier une capture dans un ticket, ouvrir une session privilégiée ou reproduire un défaut dans un environnement isolé. Une migration, un audit ou un exercice de reprise peut également déplacer une copie. Leur faible fréquence ne les exclut pas d’une obligation formulée sans exception.

Pour les sauvegardes, relevez pays, type de copie, réplication, chiffrement, détention des clés, durée, accès, destination de restauration et extinction après une demande de suppression. La base peut être effacée immédiatement alors qu’une sauvegarde chiffrée reste jusqu’à sa rotation. Décrivez la procédure approuvée et son délai; ne promettez pas un effacement physique instantané qui n’est pas démontré.

• Vérifiez les destinations de toutes les interfaces actives dans l’offre.
• Recherchez les identifiants personnels ou métier dans les traces techniques.
• Examinez les pièces jointes, captures et exports remis au support.
• Incluez les copies de recette, formation, migration et résolution d’incident.
• Testez le pays de reprise au lieu de déduire le failover de la région primaire.

Dossier probant

Chaque pièce répond à une question limitée

La configuration déployée montre une région ou une règle active pour une ressource. L’architecture validée établit les composants et chemins connus. Le contrat du service définit les données couvertes, les territoires promis et les exceptions. La liste de sous-traitance situe les entités déclarées. Un rapport d’assurance décrit des contrôles évalués sur un système et une période. Conservez chaque apport sans lui faire prouver un autre objet.

Comparez le nom exact du service, la fonction, le tenant, le pays, la période et les exclusions. Un rapport antérieur au module proposé ne le couvre pas. Une documentation annonçant une région disponible ne prouve pas son choix. Des conditions portant sur les données client peuvent exclure les données de service. Une liste de centres de données ne révèle pas automatiquement les lieux de support.

Notez les divergences au lieu de choisir le document le plus favorable. Demandez au propriétaire technique de confirmer le chemin et la configuration. Le juriste ou délégué à la protection des données examine les rôles, les pays tiers, le fondement du transfert et les garanties. Le responsable de l’offre assemble uniquement les constats approuvés dans le format prescrit.

Analyse juridique

Localisation, transfert et souveraineté ne se remplacent pas

La localisation physique indique où une donnée repose ou subit une opération. Pour le RGPD, l’analyse du transfert examine notamment si une entité soumise au règlement transmet ou rend des données personnelles disponibles à une autre entité située dans un pays tiers. Les lignes directrices 05/2021 du CEPD détaillent les critères. Un accès distant par un sous-traitant juridiquement distinct peut donc compter même si la donnée reste stockée dans l’EEE.

Une décision d’adéquation ou des clauses contractuelles types peuvent encadrer un transfert. Elles ne transforment pas le Canada, la Suisse ou un autre pays en territoire de l’Union et ne satisfont pas une exigence contractuelle interdisant tout accès hors UE. À l’inverse, le stockage en France ne répond pas seul aux questions de support, de transfert ultérieur, de droit applicable ou d’accès par des autorités.

Le périmètre de l’acheteur peut dépasser les données personnelles. L’article 32 du Data Act traite de certains accès ou transferts gouvernementaux internationaux de données non personnelles détenues dans l’Union par des services de traitement de données. Un régime sectoriel ou une politique publique peut imposer d’autres tests. La carte apporte les faits; seul le responsable compétent donne l’interprétation juridique.

• Résidence: pays où une catégorie définie reste au repos.
• Traitement: pays où une opération utilise ou transforme cette catégorie.
• Accès: pays et entité depuis lesquels une lecture ou administration est possible.
• Transfert: qualification juridique selon le droit applicable.
• Souveraineté: exigences supplémentaires définies par l’acheteur sur le contrôle et la juridiction.

Cas pratique

Une régie de transport exige plus qu’un hébergement français

Imaginons une régie régionale qui achète un service de suivi des réclamations voyageurs. Le règlement demande que les dossiers et sauvegardes soient hébergés dans l’Union, que les données d’identité restent en France et que le support soit assuré par du personnel situé dans l’Union. La solution proposée place dossiers et identités dans une région française, réplique les sauvegardes en Allemagne et analyse les journaux en Belgique. Le support d’escalade peut toutefois être ouvert depuis le Québec.

La décision d’adéquation applicable au Canada peut être pertinente pour la revue juridique, selon l’entité et le traitement. Elle ne satisfait pas la clause imposant du personnel dans l’Union. L’équipe doit déterminer si l’escalade peut être limitée à une équipe UE, si les journaux contiennent les données d’identité réservées à la France, et si la sauvegarde allemande ne contient que les dossiers admis dans toute l’Union. Chaque réponse conserve son propre statut.

Après modification et contrôle, le soumissionnaire peut confirmer les lieux français des identités, les lieux français et allemands des dossiers et sauvegardes, le traitement belge des journaux définis, et la nouvelle limite de support dans l’Union. Si le fournisseur ne peut pas restreindre l’escalade québécoise, la solution ne répond pas entièrement à la condition de personnel. Le transfert peut être licite tout en restant contractuellement non conforme.

Rédaction contrôlée

Le statut de preuve dicte la formulation possible

Attribuez un état à chaque proposition. `location_verified` signifie que la copie et son pays sont confirmés. `processing_boundary_verified` porte sur les opérations. `access_path_open` signale un accès hors limite. `configuration_required` réserve la réponse à une modification nommée. `transfer_review_required` attend la décision vie privée. `evidence_missing`, `requirement_not_met`, `commitment_approval_required` et `release_blocked` conservent des conséquences différentes.

Une réponse libérable nomme les données, la configuration, les pays de stockage et de traitement, la reprise, les accès de support, les exclusions et la date des éléments. Lorsque le formulaire ne propose que oui ou non, gardez la carte complète et utilisez l’emplacement autorisé pour les précisions ou écarts. Ne compensez jamais une case trop petite par une affirmation trop grande.

Une architecture future ne devient un engagement qu’après validation de sa faisabilité, de son coût, de son délai, de son propriétaire et de sa preuve de réception. Tant que ces décisions manquent, décrivez-la comme option ou plan. Si la clause est éliminatoire et que la configuration ne peut être engagée, la décision peut être de modifier l’offre ou de ne pas la remettre.

Libération

Une seule position doit survivre dans toutes les pièces

Comparez la formulation approuvée au mémoire technique, au questionnaire sécurité, à l’annexe de traitement, au registre des sous-traitants, au plan de reprise, au schéma d’architecture, aux hypothèses de prix et aux réserves contractuelles. Une réponse promettant un support exclusivement UE ne peut coexister avec une annexe maintenant une assistance mondiale. Corrigez d’abord la décision, puis chaque occurrence.

Rouvrez les lignes affectées après l’ajout d’une fonction, d’une interface ou d’un sous-traitant, une modification de région, de réplication, de sauvegarde, de support, de contrat ou de décision d’adéquation, et après toute clarification de l’acheteur. Conservez la version remplacée, sa preuve et la raison du changement. Le nom du produit ne suffit pas à établir que le périmètre est resté identique.

Le livrable final est une carte factuelle liée à une réponse approuvée pour ce marché. Il ne modifie pas un environnement, ne négocie pas les clauses de transfert, ne rend pas un avis juridique, ne divulgue pas une topologie confidentielle, ne contacte pas l’acheteur et ne soumet aucun fichier. Chacune de ces actions exige son mandat propre.