Cloud souverain suisse pour PME : définition, cas d’usage et coûts
Pour une PME, passer à un cloud souverain change le lieu de stockage des données et le droit qui s’applique. C’est une priorité si les données sont sensibles, et une option dans les autres cas.
Si vos emails sont chez Google ou Microsoft et vos fichiers sur OneDrive, ces services sont pratiques et peu coûteux, mais vos données sont confiées à des entreprises américaines, soumises au droit américain même quand elles stockent les données en Europe ou en Suisse. L’hébergement suisse existe depuis les années 1990 : Infomaniak a été fondée en 1994 à Genève. Les offres cloud et les outils souverains se sont étoffés ces dernières années.
Définition
Un cloud souverain stocke les données en Suisse, est géré par une entreprise suisse et relève du droit suisse. Amazon, Microsoft et Google, des entreprises américaines, n’entrent pas dans cette définition.
Enjeu juridique
Votre entreprise collecte des données : emails de clients, listes de prospects, contrats, secrets commerciaux. Stockées à l’étranger ou confiées à un fournisseur étranger, elles peuvent relever d’autres lois. Le CLOUD Act permet aux autorités américaines d’exiger d’un fournisseur soumis à leur juridiction les données qu’il contrôle, où qu’elles soient stockées, et le fournisseur peut être tenu de ne pas vous en informer. Chez un fournisseur suisse sans lien suffisant avec les États-Unis, une autorité étrangère doit en principe passer par l’entraide judiciaire, et les autorités suisses n’accèdent aux données que selon les procédures du droit suisse. La LPD n’impose pas ce choix ; il compte surtout pour les données sensibles.
Le cloud classique (AWS, Azure, Google Cloud)
Données stockées dans la région choisie, Suisse comprise (AWS, Azure et Google Cloud ont des régions à Zurich), mais chez un fournisseur soumis au droit américain.
Coûts bas.
Capacité extensible à grande échelle.
Conformité au RGPD par contrat.
Le cloud souverain suisse
Données physiquement en Suisse.
Gestion par une entreprise suisse.
Hébergement en Suisse, un prérequis utile pour la LPD. La conformité dépend ensuite de vos traitements.
Coûts un peu plus élevés.
Capacité suffisante pour la plupart des PME.
Cas d’usage
Emails professionnels
Avec Gmail for Business, vos emails sont stockés hors de Suisse (Google Workspace propose les États-Unis ou l’Europe). Avec Outlook 365, ils peuvent être stockés en Suisse selon la configuration de votre compte Microsoft, mais chez un fournisseur américain. Infomaniak Mail les stocke en Suisse. Le changement est presque invisible : vous recevez et envoyez des emails comme avant, l’interface ressemble à Gmail et le prix est en général plus bas.
Si vos clients sont des médecins ou des organismes publics qui exigent une conformité suisse stricte, migrez. Sinon, la migration n’est pas urgente.
Fichiers et documents clients
Avec Google Drive ou OneDrive, vos devis, contrats et listes de prospects sont chez Microsoft ou Google, des entreprises américaines, et selon l’offre hors de Suisse. Infomaniak kDrive (Suisse) offre le même partage et la même synchronisation.
Site web
Un site hébergé chez OVH (France), Bluehost (USA) ou AWS peut l’être chez Infomaniak, Exoscale ou Swisscom (Suisse). Pour vos visiteurs, rien ne change : le site charge aussi vite. Le guide sur l’hébergement suisse donne plus de détails.
CRM et logiciels de gestion
Les solutions de CRM entièrement suisses sont encore rares. Deux options : garder votre Salesforce en exigeant que les données client sensibles restent en Suisse, ou attendre deux à trois ans que des alternatives suisses se développent.
Rester chez Salesforce ou HubSpot convient à une PME standard. Une PME qui traite des données sensibles devrait exiger des serveurs suisses au prochain renouvellement.
Comptabilité et paie
Banana est un éditeur suisse ; Sage est un groupe britannique. Pour Sage comme pour les autres logiciels, appelez votre fournisseur et demandez : « Où sont mes données comptables ? »
Entreprises concernées
Urgence haute
Cabinet médical, dentiste : données de patients sensibles et secret médical, cloud suisse fortement recommandé.
Avocat, notaire : secret professionnel, cloud suisse fortement recommandé.
Banque, assurance : données financières, cloud suisse recommandé.
Entreprise publique ou semi-publique : la loi le demande souvent.
Urgence faible
Boutique en ligne B2C : les données clients se limitent à des emails et des adresses, ce qui n’est pas critique.
Jeune entreprise en phase de lancement : la flexibilité et les prix bas priment, un cloud américain convient mieux.
Artisan, commerçant local : peu de données numériques sensibles.
La plupart des PME ne sont pas obligées de changer : pour elles, le cloud suisse est une précaution sans urgence. Celles qui détiennent des données sensibles ont intérêt à le faire. Notre guide nLPD et sites web indique si vous êtes concerné, et la checklist nLPD en 10 points sert à vérifier votre situation.
Fournisseurs suisses
Infomaniak (Genève)
Infomaniak propose de l’hébergement, du cloud et des services en ligne. Elle compte 200 employés, sert surtout les sites web standard, les emails et le stockage de fichiers, et assure un support en français.
Exoscale (Lausanne)
Exoscale fournit de l’infrastructure cloud et compte 50 employés. Elle est exploitée par Akenes SA, société fondée en 2011 et basée à Lausanne, membre d’A1 Digital (groupe autrichien A1 Telekom Austria). Elle s’adresse à une PME technique dotée d’une équipe informatique, à une jeune entreprise ou à un besoin de performance poussée. Elle est complexe à utiliser, sans interface simple, et ne convient pas aux PME non techniques.
Swisscom
Swisscom est un opérateur télécom suisse. Elle propose du cloud public, du cloud privé et des services managés, avec des certifications gouvernementales. Ses tarifs sont plus élevés et son offre vise les grandes entreprises. Elle sert les entreprises publiques, les banques et les PME dont l’activité dépend de ces services.
Coûts comparés
Le coût dépend du périmètre. Pour une PME qui a besoin d’un site, d’emails, de partage de fichiers et de sauvegardes, une offre suisse reste du même ordre que les services étrangers, et peut revenir moins cher sur les emails. Pour des besoins techniques avancés (Kubernetes, bases de données managées, passage à l’échelle), le cloud souverain coûte en général plus cher. Un devis sur votre périmètre réel tranche la question.
Le cloud n’est qu’un élément de la souveraineté numérique : le site web, les outils de mesure d’audience et les emails relèvent du même choix de droit applicable. Nous concevons des sites web hébergés en Suisse, y compris le choix de l’infrastructure et la mise en conformité.
À lire aussi : Hébergement suisse : quand c’est nécessaire, La nouvelle loi nLPD, Un site conforme nLPD dès le départ, Utiliser l’IA sans exposer ses données
FAQ
Le cloud souverain est-il plus sûr ?
Sur le plan juridique, oui : vos données restent en Suisse. Elles sont en principe hors de portée du CLOUD Act américain si l’hébergeur et ses sous-traitants n’ont pas de lien suffisant avec les États-Unis (siège, filiale ou activité qui les soumet à la juridiction américaine), et les autorités suisses gardent leurs voies légales. Sans données sensibles, l’avantage de sécurité reste marginal : le gain est surtout juridique.
Faut-il tout déplacer d’un coup ?
Non. Une configuration partielle fonctionne : emails et stockage en Suisse, CRM à l’étranger. Identifiez vos données sensibles et stockez-les en Suisse ; le reste peut rester ailleurs.
Infomaniak ou Exoscale ?
Infomaniak s’adresse à une PME standard, peu technique, qui veut tout chez le même fournisseur. Exoscale s’adresse à une PME dotée d’une équipe informatique, avec des besoins de performance et une architecture complexe.
Comment migrer mon site d’OVH vers Infomaniak ?
Une agence web y consacre en général une journée de travail. Le moment le plus simple est le renouvellement du contrat OVH.
Qu’est-ce que la nLPD ?
C’est la loi suisse de protection des données : elle impose de protéger les données personnelles que vous collectez. La LPD prévoit une amende jusqu’à CHF 250'000 pour les violations intentionnelles de certaines obligations (information, sécurité, transfert à l’étranger). Elle vise la personne physique responsable et ne punit pas la négligence. Héberger vos données en Suisse aide à montrer que vous les protégez. Notre guide sur la nouvelle loi nLPD la détaille.
Avant de migrer
Identifiez d’abord vos données sensibles. Une PME qui en traite en fait une priorité. Une PME standard peut passer à Infomaniak au prochain renouvellement de contrat. Dans les deux cas, la migration peut se faire par étapes.
