Suverænitet
En suveræn cloud er en tjeneste, hvor du kan sige, hvem der driver dataene, hvilken dommer der kan kræve dem udleveret, og hvordan du får dem tilbage. Ordet har ingen entydig definition i GDPR (databeskyttelsesforordningen). Det er et indkøbskriterium, som bliver nyttigt den dag, du omsætter det til spørgsmål, der kan efterprøves.
“Suveræn” er blevet et salgsargument. Man ser det på meget forskellige tilbud: en e-mailtjeneste installeret i et datacenter i Paris, en amerikansk kontorpakke med en europæisk dataregion, en open source-software, en infrastruktur kvalificeret af ANSSI. Alle disse tilbud kan have deres kvaliteter. De besvarer ikke det samme spørgsmål.
For en direktør, en IT-chef eller en DPO er risikoen at sætte et flueben uden at vide, hvad det dækker over. Den dag en kunde spørger, hvor vedkommendes data er, en revisor gennemgår fortegnelsen over behandlingsaktiviteter, eller en leverandør skifter ejer, er etiketten uden værdi. Det eneste, der tæller, er de skriftlige svar: hvem driver tjenesten, hvilken ret gælder, hvordan kommer man ud.
Denne side forklarer begrebet. Kriterierne til et udbud findes i definition, kriterier og begrænsninger. Sammenligningen mellem en europæisk driftsleverandør og en amerikansk softwareleverandør behandles på siden europæisk eller amerikansk cloud.
En virksomhed overlader sine mails, sine filer og sine kundesager til en tredjepart. Den vil vide tre ting.
Hvis kontrakten besvarer disse tre punkter, har etiketten “suveræn” et indhold. Hvis den nøjes med “datacenter i Paris” eller “datacenter i Frankfurt”, beskriver den et sted. Et sted er nyttigt, især for fortegnelsen over behandlingsaktiviteter. Det siger ikke, hvem der kan tvinges til at udlevere dataene.
I europæiske udbud dækker ordet som regel over fem forventninger.
Den franske SecNumCloud-kvalifikation, som udstedes af ANSSI, formaliserer en del af disse forventninger for et bestemt tilbud. Den kvalificerer hverken en virksomhed som helhed eller en applikation, blot fordi den er installeret på en kvalificeret infrastruktur. ANSSI’s katalog er afgørende, tilbud for tilbud. For en SMV opstår spørgsmålet især, når dataenes karakter eller en ordregiver kræver det.
Det er ikke en immunitet. En europæisk operatør er fortsat underlagt sit lands ret, lokale retslige pålæg og aftaler om retshjælp. Suverænitet ændrer den juridiske ramme. Den fjerner ikke enhver anmodning om adgang. Det, der ændrer sig, er den dommer, der kan beordre udlevering, den procedure, der følges, og de retsmidler, som operatøren og dennes kunde har. For en europæisk virksomhed er det en ramme, som dens rådgivere kender, og som den kan handle inden for.
Det er heller ikke et synonym for “open source”. Softwaren siger, hvem der har skrevet programmet. Suveræniteten siger, hvem der besidder dataene, og hvem der besidder nøglerne. En fri software kan drives af et selskab, der er underlagt udenlandsk ret. En software fra en udenlandsk softwareleverandør kan drives af et europæisk selskab, der alene har kontrollen over dataene.
Hos Klytic besiddes dataene fuldt ud af kunden, eller af Klytic på kundens vegne, i et geografisk område, der hører under den gældende jurisdiktion. De er krypteret som standard eller efter kundens valg. Nøglen besiddes af kunden eller opbevares på kundens konto: Klytic har ikke adgang til den. For at få den skulle Klytic ødelægge eller ændre en adgangskode, som Klytic ikke har, og kunden ville opdage det.
Visse trin forbliver krypteret af Klytic, fordi tjenesten skal behandle indholdet: mails, der sættes i karantæne af filtreringen, krypteret i databasen, samt mails og dokumenter, der behandles i CRM’et. Kun mails er en undtagelse herfra, når kunden har aktiveret kryptering med sin egen nøgle. Adgangen til filerne er desuden stærkt begrænset af restriktive adgangsrettigheder, og en revision af forbindelserne udløser en alarm ved forsøg på svindel. Detaljerne findes på siden beskyt en virksomhed mod CLOUD Act. Kontrakten skal beskrive denne besiddelse, denne kryptering og disse forholdsregler.
Det er endelig ikke et løfte om funktioner svarende til Microsoft 365 eller Google Workspace. Man kan have en europæisk operatør og en mindre komplet kontorpakke. Man kan have en meget komplet kontorpakke og en amerikansk operatør. Det er to beslutninger.
At behandle dem hver for sig undgår to symmetriske fejl: at opgive et værktøj, som forretningen afhænger af, af principielle grunde, eller at tilsidesætte det juridiske spørgsmål, fordi medarbejderne kan lide værktøjet. Den tærskel, der gælder specifikt for Microsoft 365, er beskrevet i Microsoft 365 over for en suveræn løsning.
Hypotetisk tilfælde. Et revisionsfirma med 25 medarbejdere modtager et enkelt spørgsmål fra en industrikunde: “Hvor er vores regnskabsbilag, og hvem har adgang til dem?” Firmaet bruger en e-mailtjeneste og en fildelingstjeneste, hvis brochure angiver “hostet i Frankrig”.
Ved at gennemgå de tre spørgsmål opdager partneren, at det fakturerende selskab er fransk, men at drift og support varetages af et datterselskab i en udenlandsk koncern, og at backups er overladt til en underleverandør, hvis kontrakt ikke nævner landet. Brochuren var ikke forkert. Den besvarede ikke kundens spørgsmål.
Firmaet har to fornuftige muligheder: at få skriftlige svar fra leverandøren og lægge dem i sagen, eller at vælge en driftsleverandør, hvis svar det er tilfreds med. I begge tilfælde svarer firmaet sin kunde med fakta, ikke med et adjektiv.
Bed om fire dokumenter, ikke en brochure.
Hvis en leverandør ikke kan levere disse oplysninger skriftligt, er det allerede en oplysning. Sammenlign derefter svarene med det, der står i din fortegnelse over behandlingsaktiviteter: det er dér, afvigelserne viser sig.
For den juridiske ramme for overførsler uden for Den Europæiske Union, se siden om CLOUD Act og siden om data hostet i Europa. For listen over indkøbskriterier, se definition, kriterier og begrænsninger.
Nej. GDPR fastlægger rollerne, overførslerne uden for Unionen og de registreredes rettigheder. Den definerer ikke ordet “suveræn” og kræver ikke, at man vælger en europæisk operatør. Den kræver til gengæld, at man ved, hvor dataene sendes hen, og på hvilket grundlag, hvilket overlapper en god del af spørgsmålene på denne side.
Ikke nødvendigvis. Stedet er et af de forventede svar, ikke det eneste. Man skal også vide, hvilket selskab der driver tjenesten, hvilken ret der gælder for det, hvem der kan tilgå dataene, og hvordan man får dem tilbage.
Når dataenes karakter eller en ordregiver kræver det, ja, og tilbuddets navn skal fremgå af ANSSI’s katalog. For en SMV’s e-mailtjeneste og fildeling er spørgsmålene om driftsleverandøren, adgangene og exitmuligheden som regel mere afgørende.
Nej. Open source gør det muligt at læse koden og letter et skift af hostingudbyder. Det siger ikke, hvem der besidder dataene, eller hvem der besidder nøglerne.
Nej. En europæisk operatør er fortsat underlagt sit lands ret og sine domstoles pålæg. Forskellen ligger i dommeren, proceduren og retsmidlerne.
Klytic drives af Dedicace Software, et fransk selskab. Tjenesterne bygger på gennemprøvede løsninger eller open source-løsninger samt på moduler og tjenester udviklet af Klytic. Adskillelsen af disse tjenester sikres og styres af Klytic-servere, der er udviklet til formålet.
Hosting er mulig i ethvert geografisk område, der svarer til den gældende jurisdiktion, forudsat at de nødvendige tjenester er tilgængelige, for eksempel i Europa eller på Mauritius, eller på kundens egne servere. Detaljerne findes på siden hosting og suverænitet.
Klytic er ikke et SecNumCloud-kvalificeret tilbud. Som enhver fransk operatør er Klytic fortsat underlagt fransk ret.
Denne side beskriver en generel ramme. Den erstatter ikke en analyse af din kontrakt.
Retstilstand pr. 5. oktober 2026. Denne tekst erstatter ikke en gennemgang af en kontrakt. Tilstrækkelighedsafgørelsen EU–USA (EU) 2023/1795 er i kraft. Den anfægtes. For SecNumCloud er ANSSI’s katalog afgørende.
Besøgt i oktober 2026.
E-mail, dokumenter, videomøder, CRM og telefoni, hostet i den zone, der svarer til din jurisdiktion, for eksempel i Europa eller på Mauritius, eller hos dig.
Velkomsttilbud
Uforpligtende prøvetilbud. En rådgiver ringer dig op for at forstå dine behov og klargøre dit Klytic-miljø.
