Un client vous envoie un contrat par mail, vous le rangez dans votre outil de notes ou de documents pour le retrouver plus tard. Vous ne vous demandez presque jamais où ce fichier atterrit vraiment. La question mérite pourtant d'être posée : la plupart des outils de productivité grand public, tâches, notes, documents, sont exploités par des entreprises américaines, et cette adresse a des conséquences concrètes sur qui peut, en théorie, accéder à vos données.
Le Cloud Act : la nationalité de l'entreprise compte plus que l'adresse du serveur
Le Cloud Act est une loi fédérale américaine adoptée en 2018. Elle oblige toute entreprise soumise à la juridiction américaine à transmettre, sur demande des autorités, les données qu'elle héberge, où que se trouvent physiquement ses serveurs. Un prestataire américain qui stocke vos fichiers dans un datacenter à Paris ou à Francfort reste tenu de répondre à une réquisition américaine : l'obligation suit l'entreprise, pas le pays où tourne la machine.
Concrètement, choisir un hébergeur européen pour ses fichiers ne suffit pas à sortir de ce cadre si l'entreprise qui exploite le service reste américaine, ou si elle appartient à un groupe américain. La localisation géographique du serveur et la nationalité de l'entreprise qui le gère sont deux questions différentes, et seule la seconde détermine qui peut être contraint de livrer vos données.
Le RGPD encadre les transferts hors UE, sans effacer le problème
Le RGPD prévoit un cadre précis pour tout transfert de données personnelles hors de l'Union européenne : décision d'adéquation de la Commission européenne pour certains pays, clauses contractuelles types, ou règles internes contraignantes pour un même groupe. Ce cadre existe, mais il ne neutralise pas à lui seul la tension avec une loi extraterritoriale comme le Cloud Act.
La CNIL le rappelle dans son guide sur les transferts de données hors UE : les clauses contractuelles types ne suffisent pas si la loi du pays destinataire empêche le prestataire de les respecter réellement. C'est précisément le cas de figure que pose le Cloud Act vis-à-vis d'une entreprise américaine, quel que soit l'endroit où elle héberge techniquement les données. D'où l'invitation de la CNIL, dans son guide pratique sur l'analyse d'impact des transferts de données, à vérifier au cas par cas si les garanties contractuelles tiennent face au droit du pays d'origine du prestataire, plutôt que de les considérer comme acquises.
Ce que ça change pour une petite équipe qui stocke des données sensibles
Pas de service juridique pour éplucher les clauses d'un contrat cloud, dans une petite structure : le sujet devient vite un point qu'on ne regarde jamais. Un coup d'œil s'impose pourtant dès qu'un outil stocke autre chose que des notes anodines : un document contractuel avec un client, un compte rendu de réunion qui évoque une stratégie commerciale, un dossier RH.
Deux réflexes simples changent la donne :
- Demander où et par qui un outil est réellement exploité, pas seulement où sont ses serveurs (souvent renseigné dans les conditions d'utilisation ou une page dédiée à la sécurité).
- Vérifier s'il y a revente ou partage des données à des tiers, notamment à des fins publicitaires.
Le risque reste théorique pour l'écrasante majorité des usages : inutile de tout changer du jour au lendemain, ou de dramatiser. Reste un critère de choix parmi d'autres, particulièrement pertinent pour qui manipule des documents clients ou des informations internes sensibles.
Où vivent vos données quand vous utilisez Flots
Flots héberge ses données dans l'Union européenne. Les fichiers stockés dans l'espace Documents vivent dans un espace privé et chiffré : aucun n'a d'URL publique, chaque aperçu ou téléchargement passe par un lien à durée de vie courte. L'équipe qui développe Flots est française, sans financement étranger, et les données ne sont pas revendues à des tiers. Le point est aussi discuté dans notre comparatif Notion vs Flots, où l'hébergement fait justement partie des différences entre les deux outils.
La question « où sont mes données ? » ne se pose pas qu'aux grandes entreprises avec un service conformité dédié. Pour une petite équipe ou un indépendant, c'est un critère de choix simple à vérifier avant d'y déposer un dossier client ou une note de réunion sensible.
Stockez vos documents de travail sur une infrastructure hébergée en Europe.
Fichiers, notes et projets rangés au même endroit, dans un espace privé et chiffré.
