Suveranitate
Un cloud european și un cloud american se deosebesc mai întâi prin societatea care controlează serviciul, apoi prin dreptul care se aplică acestei societăți și abia apoi prin țara serverelor. Două săli identice la Frankfurt pot ține de două drepturi diferite.
Se compară adesea hărți ale centrelor de date: Paris, Dublin, Frankfurt. Este simplu și răspunde la o întrebare secundară. Pentru a ști cine poate fi constrâns să predea datele dumneavoastră, trebuie să vă uitați la societatea care le deține și la dreptul căruia i se supune. Comparația utilă pune față în față două poziții juridice, nu două țări, și nu desemnează un câștigător: alegerea potrivită depinde de utilizările companiei. Noțiunea de suveranitate este explicată în ce este un cloud suveran, iar grila de achiziție în definiție, criterii și limite. Această pagină compară.
Microsoft și Google sunt societăți de drept american. Contractele lor europene, filialele lor și centrele lor de date din Uniune nu fac să dispară acest fapt. Atunci când o autoritate americană li se adresează potrivit dreptului american, întrebarea devine: are societatea deținerea sau controlul datelor, inclusiv atunci când discurile se află în Europa?
CLOUD Act, lege americană din 2018, răspunde pentru furnizorii supuși jurisdicției Statelor Unite: un ordin valabil poate viza datele deținute de furnizor, indiferent de locul de stocare. Nu este un acces permanent. Este o procedură. Aspectul practic pentru cumpărător este altul: locul european al discului nu îl scoate pe furnizorul american din această procedură.
Aceste societăți oferă mecanisme reale de localizare. Microsoft descrie o frontieră europeană a datelor (EU Data Boundary) pentru serviciile eligibile: datele clienților și datele cu caracter personal pseudonimizate stocate și prelucrate în UE sau AELS, datele serviciilor profesionale stocate în repaus, cu excepții documentate (accesul de la distanță al suportului, anumite escaladări, funcții opționale, clienții Multi-Geo în afara perimetrului). Google oferă regiuni de date pentru conținutul acoperit, în funcție de ediție, și un control al accesului suportului (Access Management) rezervat unor ediții și opțiuni anume. Aceste mecanisme reduc fluxurile. Ele nu schimbă naționalitatea producătorului software-ului.
Un producător american de software care deservește clienți europeni se află între două drepturi. Dreptul american îi poate impune să predea datele pe care le controlează. GDPR (Regulamentul general privind protecția datelor) prevede la articolul 48 că o hotărâre a unei instanțe sau o decizie a unei autorități dintr-o țară terță care impune transferul sau divulgarea datelor cu caracter personal poate fi recunoscută sau executorie numai dacă se întemeiază pe un acord internațional, de exemplu un tratat de asistență judiciară reciprocă, în vigoare între acea țară și Uniune sau statul membru. Textul nu spune cum împacă un producător de software aceste două cerințe într-un caz dat: furnizorului îi revine sarcina de a-și explica practica, iar clientului de a i-o cere.
Dreptul american prevede o cale de atac. Potrivit 18 U.S.C. § 2703(h), furnizorul poate cere anularea sau modificarea unui ordin, în termen de 14 zile de la comunicarea acestuia, dacă apreciază că clientul nu este o „United States person”, nu are reședința în Statele Unite și că divulgarea l-ar expune unui risc serios de a încălca dreptul unui „guvern străin calificat”. Este vorba de un stat legat de Statele Unite printr-un acord executiv intrat în vigoare. Departamentul de Justiție al SUA publică acorduri cu Regatul Unit (semnat la 3 octombrie 2019) și cu Australia (semnat la 15 decembrie 2021). Niciun acord nu este în vigoare cu Uniunea Europeană; negocierile UE–SUA privind probele electronice au fost reluate în 2023; pagina departamentului nu menționează niciun acord cu Franța. Or, acest mecanism specific de contestare presupune un astfel de acord.
Întrebarea a fost pusă public în Franța. La 10 iunie 2025, în fața comisiei de anchetă a Senatului privind achizițiile publice, directorul pentru afaceri publice și juridice al Microsoft France a fost întrebat dacă poate garanta, sub jurământ, că datele cetățenilor francezi încredințate Microsoft prin intermediul Ugap nu vor fi niciodată transmise, în urma unui ordin al guvernului american, fără acordul explicit al autorităților franceze. El a răspuns: „Nu, nu pot garanta acest lucru, dar, încă o dată, acest lucru nu s-a întâmplat niciodată până acum.” Răspunsul conține cele două elemente ale dezbaterii: o garanție pe care societatea nu o poate da și un caz care, potrivit ei, nu s-a produs.
Un cloud european, în sensul util al termenului, este operat de o societate de drept european, care nu depinde de un grup supus unei obligații americane de predare a datelor. OVHcloud este o societate franceză. Nextcloud GmbH este o societate germană: produce un software pe care îl operează clientul sau un furnizor de găzduire. BlueMind este o societate franceză de servicii de e-mail. Infomaniak este o societate elvețiană: Elveția se află în Europa, în afara Uniunii Europene, și beneficiază de o decizie privind caracterul adecvat a Comisiei. A o clasa drept „americană” ar fi greșit. A o clasa drept „Uniunea Europeană” ar fi la fel de greșit.
Dreptul european nu este un scut unic. Un operator francez răspunde în fața dreptului francez, un operator german în fața dreptului german. Cererile autorităților există. Ele trec prin judecătorul și regulile țării operatorului.
Caracterul european se poate pierde și prin subcontractare: un operator european al serviciului care încredințează copiile de rezervă, filtrarea sau suportul unui furnizor american reintroduce exact ceea ce cumpărătorul voia să evite. Pagina protejarea unei companii de CLOUD Act detaliază acest aspect.
| Întrebare | Cloud al unui producător american de software, date în Europa | Cloud operat de o societate europeană |
|---|---|---|
| Unde sunt discurile? | Adesea la alegere, într-o regiune UE, cu excepții scrise | Potrivit contractului: Franța, Germania, altă țară din UE sau la client |
| Cine poate fi citat în Statele Unite pentru a preda datele pe care le controlează? | Producătorul american de software, dacă are deținerea sau controlul | În principiu, operatorul european al serviciului nu poate fi, cu excepția cazului în care depinde de un grup sau de un subcontractant care poate fi |
| Ce instanță pentru o cerere locală? | Dreptul contractului, adesea completat de dreptul american al producătorului software-ului | Dreptul țării operatorului serviciului |
| Funcțiile avansate de birou | Foarte extinse (Office, Excel, Teams sau Docs și căutarea Google) | Variabile în funcție de produs. Rareori echivalente pentru Excel avansat, Power BI sau ecosistemul Teams |
| Ieșirea datelor | Instrumente reale de export, istoricul conversațiilor și al automatizărilor adesea parțial | De verificat ofertă cu ofertă. Exportul e-mailurilor (IMAP) este în general cel mai simplu |
Nicio coloană nu câștigă peste tot: producătorul american de software se impune prin amploarea funcțiilor, operatorul european al serviciului prin poziția juridică. A decide înseamnă a ști ce rând cântărește cel mai mult pentru compania dumneavoastră.
Chiar și cu date stocate în Europa, un serviciu al unui producător american de software presupune transferuri (accesul suportului, escaladări, funcții opționale), care trebuie să se bazeze pe un temei din GDPR.
Cadrul anterior, Privacy Shield (decizia 2016/1250), a fost invalidat de Curtea de Justiție a Uniunii Europene la 16 iulie 2020 (cauza C-311/18, numită Schrems II), în special din cauza amplorii programelor americane de supraveghere și a absenței unei căi de atac efective. Clauzele contractuale standard rămân valabile, dar impun o evaluare de la caz la caz.
La 5 octombrie 2026, transferurile către organizații americane certificate se pot baza pe decizia privind caracterul adecvat (UE) 2023/1795, numită Data Privacy Framework. Aceasta este în vigoare. Este contestată, după cum observă casele de avocatură DAC Beachcroft și WilmerHale. Potrivit celei din urmă, Tribunalul Uniunii Europene a respins la 3 septembrie 2025 o acțiune în anulare, iar la 31 octombrie 2025 a fost formulat un recurs în fața Curții de Justiție. O companie prudentă documentează acest temei în registrul său și prevede ce va face dacă acesta cade.
El rămâne potrivit atunci când activitatea se bazează pe Excel avansat, Power BI, suplimente Office, Teams ca standard al sectorului sau zeci de integrări aflate deja în producție. A schimba instrumentul dintr-un motiv juridic și apoi a pierde utilizarea care face compania să funcționeze este un calcul greșit. Pagina Microsoft 365 față de o soluție suverană detaliază acest prag.
Rămâne potrivit și atunci când analiza juridică a transferului, DPA și opțiunile de rezidență a datelor răspund nevoii reale a registrului. Multe companii europene folosesc Microsoft 365 sau Google Workspace în acest cadru. A o spune face parte dintr-o comparație onestă. Verificările de efectuat sunt descrise în GDPR și Microsoft 365 și GDPR și Google Workspace.
Devine relevant atunci când conducerea vrea ca societatea care deține e-mailurile și fișierele să fie o societate europeană, ca suportul să poată fi contactat în acest cadru, iar utilizările să se limiteze la serviciul de e-mail, fișiere și editarea lor online, videoconferință, un CRM și telefonie. Devine relevant și pentru o implementare la client, atunci când compania nu vrea deloc cloud.
Cele două opțiuni nu se exclud reciproc. O companie poate păstra o suită americană pentru posturile care depind de ea și poate încredința restul unui operator european al serviciului. Această configurație cere mai multă administrare; ea se justifică atunci când separarea utilizărilor este clară.
Ghidul Alternativele europene la Microsoft 365 trece în revistă Microsoft 365, Google Workspace, OVHcloud, Nextcloud, Infomaniak, alți actori și Klytic, cu cazul de utilizare al fiecăruia.
Caz ipotetic. Un IMM industrial are două sedii. Biroul de proiectare lucrează în Excel avansat și comunică cu beneficiarii contractuali prin Teams. Atelierul, achizițiile și administrația folosesc mai ales serviciul de e-mail și dosare partajate, în care se află planuri.
Un beneficiar contractual cere ca planurile sale să fie deținute de o societate europeană. Pentru biroul de proiectare, renunțarea la Excel avansat și la Teams ar dezorganiza lucrul cu clienții: suita americană rămâne justificată, cu o analiză documentată a transferului. Pentru planuri și pentru serviciul de e-mail al celorlalte departamente, un operator european al serviciului răspunde cererii fără pierdere de funcționalitate. Decizia urmează rândurile tabelului, nu un principiu.
Nu. CLOUD Act vizează datele pe care un furnizor supus dreptului american le deține sau le controlează, indiferent de locul de stocare. Regiunea europeană reduce transferurile. Ea nu schimbă societatea care deține datele.
Da, dacă depinde de un grup supus acestui drept sau dacă încredințează date unui subcontractant care îi este supus. De aceea trebuie verificate societatea-mamă și lista subcontractanților, nu doar numele operatorului serviciului.
Oferă un temei pentru transferurile către organizații americane certificate, din perspectiva GDPR. Este în vigoare și contestat. Nu schimbă nici naționalitatea producătorului software-ului, nici sfera de aplicare a ordinului prevăzut de dreptul american.
Klytic se încadrează în a doua coloană a tabelului. Este operat de Dedicace Software, societate franceză. Găzduirea este posibilă în orice zonă geografică ce corespunde jurisdicției aplicabile, sub rezerva disponibilității serviciilor necesare, de exemplu în Europa sau în Mauritius, ori pe serverele clientului.
Serviciul de e-mail se bazează pe Zimbra, produs de Synacor în Statele Unite și operat de Klytic. Documentele se bazează pe o instanță Nextcloud dedicată pentru fiecare client. Klytic nu este calificat SecNumCloud și nu înlocuiește Excel avansat, Power BI sau Teams. Serviciile se achiziționează separat: o companie poate păstra Microsoft 365 și poate adăuga doar filtrarea Klytic MTA, plasată în fața serviciului său de e-mail. Detaliile despre găzduire se află pe pagina găzduire și suveranitate.
Această pagină descrie un cadru general. Ea nu înlocuiește analiza contractului dumneavoastră.
Situația juridică la 5 octombrie 2026. Acest text nu înlocuiește analiza unui contract. Decizia privind caracterul adecvat UE–SUA (UE) 2023/1795 este în vigoare. Este contestată. Pentru SecNumCloud, catalogul ANSSI este cel care face referință.
Consultate în octombrie 2026.
E-mail, documente, videoconferință, CRM și telefonie, găzduite în zona care corespunde jurisdicției dumneavoastră, de exemplu în Europa sau în Mauritius, ori la sediul dumneavoastră.
Ofertă de bun venit
Ofertă de probă fără angajament. Un consilier vă sună înapoi pentru a vă înțelege nevoile și a vă pregăti spațiul Klytic.
