Un contrat de travail, un pacte d'associés, une convention de rupture : les documents que l'on fait signer sont parmi les plus sensibles d'une entreprise. Savoir où ils sont stockés est une bonne question. Savoir qui peut y accéder en est une meilleure.
Le Cloud Act en deux phrases
Adopté en 2018, le Clarifying Lawful Overseas Use of Data Act permet aux autorités américaines, dans le cadre d'enquêtes, d'exiger d'un fournisseur de services soumis au droit américain qu'il communique des données sous son contrôle, où qu'elles soient stockées. Un serveur situé à Paris ou à Francfort n'y change rien si l'entreprise qui l'exploite relève de la juridiction américaine.
La localisation des serveurs ne suffit pas : c'est la nationalité du prestataire qui compte.
Un conflit de lois
Le RGPD encadre strictement la communication de données personnelles à des autorités de pays tiers : elle doit reposer sur un accord international, comme un traité d'entraide judiciaire. Le Cloud Act peut donc placer un prestataire américain face à deux obligations contradictoires. Les mécanismes de contestation existent, mais c'est le prestataire qui les actionne, pas vous.
Qui est concerné ?
Toute entreprise soumise au droit américain, ou contrôlée par une telle entreprise : c'est le cas des grands fournisseurs de cloud et de nombreux éditeurs de logiciels, y compris lorsqu'ils proposent un hébergement « en Europe ». Il faut donc regarder toute la chaîne : l'éditeur de la plateforme de signature, mais aussi son hébergeur et ses sous-traitants.
Les questions à poser à votre prestataire
- Quelle est la nationalité de la société qui opère le service, et celle de sa maison mère ?
- Où sont hébergés les documents et les preuves, et par quel hébergeur ?
- Quels sous-traitants accèdent au contenu des documents ? La liste est-elle publique ?
- Qui détient les clés de chiffrement ?
- Comment le prestataire réagirait-il à une demande d'une autorité étrangère ?
Le chiffrement de bout en bout, dernière ligne de défense
La meilleure protection reste de rendre les données illisibles pour le prestataire lui-même. Avec un chiffrement de bout en bout, le document est chiffré sur l'appareil de l'expéditeur, et seuls les destinataires détiennent la clé. Même contraint de communiquer des données, un prestataire ne pourrait transmettre qu'un bloc chiffré inexploitable.
Notre choix : le contenu de vos documents est stocké et traité en France chez OVHcloud, un hébergeur européen non soumis au Cloud Act, et Vault chiffre les documents sensibles directement dans votre navigateur.
Souveraineté ne veut pas dire isolement
Choisir des prestataires européens ne signifie pas renoncer aux intégrations avec les outils du quotidien. Cela signifie savoir quelles données y circulent : une notification dans un outil de messagerie n'a pas la même sensibilité qu'un contrat complet. L'essentiel est de maîtriser la cartographie de vos données, et de garder le contenu sensible là où vous l'avez décidé.
Cet article est informatif et ne constitue pas un conseil juridique personnalisé. Pour une situation particulière, rapprochez-vous d'un professionnel du droit.
