Hébergement souverain
Souverain, jusqu'à qui opère.
Héberger en France ne suffit pas à rendre une plateforme souveraine. Encore faut-il savoir qui l'administre, depuis où, et sous quel cadre vérifiable. Rix opère cette partie-là, et la fait auditer.
- France hébergement chez des fournisseurs de droit français, sans transfert hors EEE
- ISO 27001 et HDS périmètre certifié, certificats téléchargeables
- Lyon l'équipe qui opère vos plateformes au quotidien
L'hébergement souverain désigne une infrastructure dont les données, les opérations et la gouvernance relèvent du droit de l'Union européenne, et dont la chaîne d'acteurs est choisie pour limiter la prise des réglementations extraterritoriales étrangères, qu'elles soient américaines, comme le CLOUD Act ou le FISA, ou édictées par toute autre puissance. Il ne se réduit pas au lieu de stockage des données : il engage aussi qui administre la plateforme, depuis où, et sous quel cadre de certification.
Ce que nous opérons
Hébergement souverain en France
Quand vous nous confiez l'hébergement, nous déployons votre plateforme sur une infrastructure localisée en France, chez des fournisseurs de cloud de droit français : un cadre qui limite fortement la prise des réglementations extraterritoriales, d'où qu'elles viennent.
Ce choix a une conséquence juridique concrète : aucune donnée ne quitte l'Espace économique européen sans les garanties appropriées prévues par le RGPD. Et une demande formée au titre d'une loi étrangère n'est pas directement exécutoire en France, puisqu'elle doit passer par les canaux d'entraide judiciaire prévus par l'article 48 du RGPD. Les engagements correspondants, sous-traitants ultérieurs compris, sont écrits dans notre DPA.
L'équipe qui conçoit, déploie et opère ces plateformes est basée à Lyon. C'est un point de souveraineté à part entière : l'administration d'une infrastructure donne accès à ce qu'elle contient.
La chaîne de responsabilité
Un cloud souverain ne suffit pas
Choisir un fournisseur de cloud souverain ne couvre que les maillons que ce fournisseur porte. Tout ce qui tourne au-dessus relève de l'opérateur, et c'est là que la chaîne se rompt le plus souvent : une infrastructure irréprochable peut être administrée depuis n'importe où, par n'importe qui, sans cadre vérifiable. Voici où s'arrête le fournisseur, et où commence Rix.
La question souveraine se pose à chaque maillon, et trois suffisent à la poser : qui le porte, depuis où, sous quel cadre vérifiable.
| Maillon de la chaîne | Porté par | Cadre vérifiable |
|---|---|---|
| L'infrastructure Locaux, matériel, réseau, virtualisation | Le fournisseur de cloud, société de droit français | Droit français et européen ; qualification SecNumCloud selon l'offre retenue |
| Les opérations Systèmes, clusters Kubernetes, bases de données, accès, supervision, sauvegardes | Rix, depuis Lyon | Rix est certifié ISO/IEC 27001:2022 et HDSv2, activités 3 à 6 du référentiel |
| L'application Votre code, vos données métier, vos habilitations | Vous | RGPD : vous restez responsable de traitement |
Qualifications et certifications
Qui est qualifié de quoi
Une qualification ou une certification ne s'applique jamais à une entreprise entière : elle porte sur une offre ou sur des activités nommément désignées. Confondre les deux est l'erreur la plus répandue sur ce sujet, et c'est elle qui rend la plupart des promesses de souveraineté invérifiables.
Système de management de la sécurité de l'information couvrant les activités portées par Rix : infogérance et conception d'infrastructure Cloud
Activités 3 à 6 du référentiel : infrastructure virtuelle, plateforme d'hébergement d'applications, exploitation, sauvegarde
Qualification ANSSI portant sur une offre de service cloud, pas sur l'opérateur qui administre ce qui tourne dessus. Rix n'est pas qualifié SecNumCloud et ne le revendique pas
Lorsque votre besoin l'exige, Rix peut déployer et opérer votre plateforme sur une offre cloud qualifiée SecNumCloud. La qualification reste celle de l'infrastructure ; ce que Rix apporte au-dessus, les opérations, est couvert par les certifications ISO/IEC 27001:2022 et HDSv2 du groupe. Les deux cadres se complètent, ils ne se remplacent pas. Les certificats, le périmètre détaillé et le DPA sont téléchargeables au Trust Center.
Questions fréquentes
Ce qu'on nous demande le plus souvent
Un cloud souverain suffit-il à rendre mon hébergement souverain ?
Non. Choisir un fournisseur de cloud souverain ne couvre que les maillons que ce fournisseur porte : les locaux, le matériel et, selon les offres, l'infrastructure virtuelle. Tout ce qui tourne au-dessus relève de l'opérateur : systèmes d'exploitation, clusters Kubernetes, bases de données, supervision, gestion des accès, sauvegardes. Si cet opérateur n'est lui-même soumis à aucun cadre vérifiable, la chaîne de souveraineté s'interrompt à cet endroit précis.
Rix est-il qualifié SecNumCloud ?
Non, et la distinction mérite d'être posée. La qualification SecNumCloud délivrée par l'ANSSI porte sur une offre de service cloud, et c'est cette offre qu'elle qualifie : elle ne porte pas sur l'opérateur qui administre ce qui tourne dessus. Rix ne la revendique pas. En revanche, Rix peut déployer et opérer votre plateforme sur une offre cloud qualifiée SecNumCloud lorsque votre besoin l'exige. Ce que Rix apporte au-dessus de cette infrastructure, les opérations, est couvert par les certifications ISO/IEC 27001:2022 et HDSv2 du groupe.
Mes données peuvent-elles être réclamées au titre du CLOUD Act ?
Les infrastructures que nous opérons pour l'hébergement souverain sont fournies par des sociétés de droit français et localisées en France, ce qui limite fortement la prise des réglementations extraterritoriales étrangères, américaines ou d'autres puissances : une demande fondée sur une loi étrangère n'est pas directement exécutoire en France et doit emprunter les canaux d'entraide judiciaire. Les données restent en France et aucun transfert hors de l'Espace économique européen n'est effectué sans les garanties appropriées prévues par le RGPD. Les engagements correspondants, ainsi que la liste des sous-traitants ultérieurs, figurent dans notre DPA.
Quelle différence entre hébergement souverain et hébergement de données de santé ?
La souveraineté est une exigence de gouvernance, que vous vous imposez ; la certification HDS est une obligation légale, dès lors que vous traitez des données de santé à caractère personnel. Si vous êtes dans ce cas, notre page dédiée détaille le cadre et le périmètre certifié.