Dossier de souveraineté · arrêté en août 2026
Ce que nous garantissons, et ce que nous ne garantissons pas.
Ce document est la première pièce de notre dossier fournisseur. Il énonce, section par section, la juridiction applicable, la détention des clés, les flux qui franchissent votre périmètre, les conditions de sortie, et la liste de ce que nous ne prétendons pas.
- Objet
- Conditions de souveraineté du cloud interne Hyperfluid et des missions que nous opérons
- Périmètre
- Les quatre cibles de déploiement du §3
- Hors périmètre
- La sécurité de votre système d'information, qui ne dépend pas de nous
- Juridiction
- Droit français et européen
- Arrêté au
- août 2026
- Citation
- Citez une section par son numéro : §7 pour la matrice NIS2
- Certifications
- Aucune certification détenue — voir §8
§1 · Définition
Ce que « souverain » veut dire ici
Un adjectif ne se vérifie pas. Trois questions, si.
Le mot « souverain » ne veut rien dire tant qu'on n'a pas dit ce qu'il rend vérifiable. Nous l'employons dans un sens opérationnel et restreint : un déploiement est souverain lorsque trois questions reçoivent une réponse écrite, opposable, et vérifiable sans avoir à nous croire sur parole. (1-perimetre)
- Quelle juridiction s'applique à l'entité qui opère
- Pas au bâtiment, pas au disque : à la personne morale qui détient le plan de contrôle et qui peut être contrainte de produire. C'est la seule des trois questions dont la réponse ne se négocie pas par contrat.
- Qui détient les clés
- Celui qui peut déchiffrer sans votre concours a accès, quelle que soit la clause qui le lui interdit. Une clause crée un recours après coup ; une clé crée une capacité immédiate.
- Ce qui franchit le périmètre
- La liste finie des flux sortants, leur contenu, leur destination, et le fait de savoir si vous pouvez les fermer sans casser le produit. Elle est publiée au §4.
Ces trois critères ne se répondent pas par un adjectif, ils se répondent par un tableau. Le §3 le publie pour les quatre cibles dans lesquelles le produit se déploie, et chaque colonne y porte sa propre adresse pour que vous puissiez en transmettre une seule. ▪
§2 · Droit
Le risque extraterritorial
Le lieu d'hébergement ne détermine pas le droit applicable. La nationalité de l'entité qui opère, si.
Le CLOUD Act, adopté en 2018, permet aux autorités des États-Unis d'exiger d'un fournisseur soumis à leur droit la production des données qu'il détient, conserve ou contrôle, indépendamment du pays où ces données se trouvent. Le texte ne parle pas du lieu de stockage : il parle de la personne à qui l'ordre est adressé. §
La section 702 du FISA vise, de son côté, les fournisseurs de services de communication électronique relevant de la juridiction américaine, aux fins de collecte de renseignement portant sur des personnes non américaines situées hors du territoire. L'entité contrainte n'est pas nécessairement en mesure d'en informer son client. §
La conséquence est mécanique et n'appelle aucune indignation : un centre de données situé en France, opéré par la filiale européenne d'un groupe de droit américain, place le fournisseur — donc les clés, donc le plan de contrôle — dans le champ de ces deux textes. L'invalidation du Privacy Shield par la Cour de justice de l'Union a porté sur ce point précis, celui des voies de recours ouvertes aux personnes concernées. §
Il n'en résulte pas qu'un fournisseur européen soit hors d'atteinte de toute réquisition : le droit français et le droit de l'Union en organisent également. La différence porte sur le droit applicable, sur l'autorité qui ordonne, et sur les recours dont vous disposez. C'est un choix de juridiction, pas une mise à l'abri. ▪
§3 · Déploiement
Les quatre cibles de déploiement
La ligne ambre est la frontière du périmètre. Dans une seule des quatre figures, ce périmètre est le nôtre.
Le seul mode où vos données résident chez nous. Tenant isolé, Europe.
Une seule sortie : la mise à jour, que vous ouvrez et refermez.
Le contrat reste à votre nom. Le droit du fournisseur s'applique.
Aucune connexion. Vérification de signature chez vous.
| Critère | Tenant managé | Votre datacentre | Votre compte cloud | Air-gap |
|---|---|---|---|---|
| Où tourne la plateforme | Plateforme européenne opérée par nos équipes, tenant isolé | Votre datacentre ou votre cloud privé | Votre propre compte chez un fournisseur public (BYOCloud) | Votre enceinte close |
| Qui détient le contrat d'infrastructure | Nous | Vous | Vous | Vous |
| Quel droit s'applique | Français et européen | Le vôtre | Celui de votre fournisseur — à choisir en connaissance de cause | Le vôtre |
| Ce qui sort de votre périmètre | Vos données résident chez nous — c'est le seul mode où c'est le cas | Les mises à jour que vous ouvrez, et que vous refermez | Ce que votre fournisseur voit déjà, plus les mises à jour | AUCUN |
| Qui détient les clés | Partagées | Vous | Vous | Vous |
| Notre accès permanent | Exploitation | AUCUN | AUCUN | AUCUN |
Chaque colonne a son adresse : vous pouvez transmettre la colonne exacte à votre RSSI.
La ligne qui décide n'est pas celle de la résidence, c'est celle du contrat d'infrastructure. Dans trois des quatre cibles, le contrat, la facture et les quotas du matériel, du réseau et du stockage restent à votre nom. Nous n'apparaissons nulle part dans cette chaîne : il n'existe donc, de notre côté, personne à contraindre pour atteindre vos données. C'est la seule des six lignes du tableau qui rende cette différence lisible, et c'est pour cela qu'elle y figure.
Nous n'exploitons pas de datacentre. Hyperfluid est un logiciel — vingt services en libre-service dans une seule console — que vous installez et que vos équipes consomment. Le tenant managé est la seule cible où le contrat d'infrastructure est à notre nom : c'est ce que vous achetez dans ce mode, et c'est ce qu'il faut peser avant de le choisir.
Le mode air-gap en détail
Ce qui ne change pas d'une cible à l'autre
Pourquoi le tenant managé figure quand même dans ce tableau
§4 · Flux
Résidence et flux de données
Ce qui sort de votre périmètre est une liste finie, et la voici.
Dans un cloud interne, la résidence n'est pas un réglage de compte : les vingt services tournent là où vous avez installé la console, et vos données restent dans les volumes et les buckets de ce périmètre. La question utile n'est donc pas « où sont mes données » mais « qu'est-ce qui en sort ». Le tableau ci-dessous décrit le comportement par défaut du produit dans les trois cibles que vous hébergez : votre datacentre, votre compte cloud, l'enceinte close. Ce qui en sort tient en une ligne — les mises à jour, que vous ouvrez et que vous refermez — et en air-gap même celle-là disparaît. (4-perimetre) ▪
Le tenant managé ne figure pas dans ce tableau, et c'est délibéré : vos données y résident chez nous. La question n'y est plus « ce qui sort de votre périmètre » mais « ce que nous voyons du vôtre », et elle est traitée au §5. ▪
| Flux | Ce qui sort | Destination | Pouvez-vous le fermer |
|---|---|---|---|
| Mises à jour applicatives | Artefacts signés, vérifiés chez vous avant installation | Notre dépôt d'artefacts, ou un support physique en air-gap | Oui — vous décidez de la fenêtre, et vous la refermez |
| Journaux d'exploitation | AUCUN | Ils restent dans votre supervision et ne nous sont pas transmis | Sans objet |
| Journal d'audit | AUCUN | Écrit dans votre stockage, sous votre rétention | Sans objet |
| Télémétrie produit | AUCUN | Le produit n'émet pas de télémétrie d'usage | Sans objet |
| Session d'assistance | Ce que vous ouvrez pendant la session, et rien d'autre | Poste nominatif d'un ingénieur, sur demande de votre part | Oui — la session expire et laisse une trace dans votre journal |
§5 · Accès
Chiffrement, clés et accès
Celui qui détient la clé détient la capacité. Le reste est du contrat.
La question posée par un RSSI n'est pas « chiffrez-vous », elle est « qui peut déchiffrer, et sans qui ». Le tableau ci-dessous y répond sur deux colonnes, parce que la réponse n'est pas la même selon que vous hébergez la plateforme ou que nous l'exploitons pour vous. Il décrit des mécanismes, pas des produits : ceux-ci sont nommés au contrat de déploiement, parce qu'ils dépendent de votre parc. (5-perimetre) ▪
| Mécanisme | Dans les trois cibles que vous hébergez | Dans le tenant managé |
|---|---|---|
| En transit | Les liens entre composants et vers l'extérieur sont chiffrés. Les suites retenues sont annexées au contrat : elles suivent votre politique cryptographique, pas notre catalogue. | Identique. Les suites sont celles de la plateforme, publiées dans le dossier de conformité. |
| Au repos | Le chiffrement est activé sur les volumes et les buckets de tous les services qui persistent. La clé maîtresse est détenue par vous, dans le gestionnaire de clés de votre parc, nommé au contrat. | Chiffré, mais les clés sont partagées : nous détenons de quoi déchiffrer pour exploiter. C'est la contrepartie du mode managé. |
| Contrôle d'accès | Un seul IAM pour les vingt services, adossé à votre annuaire : granulaire jusqu'au projet et à l'objet, et jusqu'à la colonne et la ligne sur les services de données. L'attribution des droits reste un acte de votre organisation. | Identique pour vos utilisateurs. S'y ajoutent les comptes d'exploitation de nos équipes, nominatifs et journalisés. |
| Journal d'audit | Chaque requête, chaque accès et chaque changement de politique est journalisé, horodaté, écrit dans votre stockage. La rétention est celle que vous fixez. | Journalisé de la même façon, y compris nos propres accès d'exploitation, et le journal vous est accessible. |
| Accès permanent | AUCUN. Nos ingénieurs n'ont pas de compte permanent sur vos environnements. En air-gap, la question ne se pose pas. | Oui, pour l'exploitation. C'est ce que vous achetez dans ce mode, et c'est ce qu'il faut peser avant de le choisir. |
| Intervention | Nominative, ouverte par vous, bornée dans le temps, et elle laisse une trace dans votre journal — pas dans le nôtre. | Nominative et journalisée, mais elle n'a pas besoin d'être ouverte par vous : l'exploitation est notre obligation contractuelle. |
§6 · Sortie
Réversibilité
Un système dont on ne peut pas sortir n'est pas un choix, c'est une dépendance.
La réversibilité se vérifie avant la signature, pas au moment de la rupture. Elle ne se démontre pas par une clause de restitution, qui n'engage que sur un délai, mais par les interfaces dans lesquelles le système a été écrit depuis le premier jour.
Un cloud interne n'a pas une porte de sortie, il en a vingt. Chaque service expose le protocole standard de sa catégorie — S3 pour le stockage objet, PostgreSQL pour les bases, Kafka pour les flux, SQL pour les requêtes, OIDC pour l'identité, OCI pour les conteneurs, Git pour le code. Aucune de ces interfaces n'a été inventée par nous, et toutes sont implémentées ailleurs, par d'autres, depuis des années.
Cela change la nature de la question. Quitter un système propriétaire est un programme : il faut tout reprendre en même temps, et c'est le coût de ce programme qui vous retient, bien plus que le contrat. Quitter un cloud interne est une suite de gestes indépendants — vous déplacez un service, vous mesurez, vous décidez du suivant. Une sortie qu'on peut commencer sans tout engager est la seule qui s'exerce vraiment.
Le tableau ci-dessous donne le protocole de chaque famille de services et ce qu'il vous permet d'emporter. Les tables, en particulier, sont écrites au format Apache Iceberg dans votre stockage objet, et le moteur de requête en est découplé : arrêter le produit n'arrête pas leur lisibilité. (iceberg)
| Famille de services | Protocole | Ce que vous emportez |
|---|---|---|
| Stockage objet | S3 | Vos objets se recopient avec n'importe quel client S3, vers n'importe quelle implémentation, sans passer par nous. |
| Bases relationnelles | PostgreSQL | Protocole filaire PostgreSQL standard : sauvegarde logique, réplication vers une instance qui n'est pas la nôtre, bascule. |
| Flux d'événements | Kafka | Vos producteurs et vos consommateurs se rebranchent sur un autre courtier sans réécrire une ligne. |
| Tables et requêtes | SQL / Iceberg | Le moteur est découplé du stockage et les tables sont écrites au format Apache Iceberg : un autre moteur les relit là où elles sont. |
| Identité et habilitations | OIDC | L'authentification est déléguée à votre fournisseur d'identité. Elle ne nous a jamais appartenu, il n'y a donc rien à reprendre. |
| Conteneurs et registre | OCI | Vos images sont des artefacts OCI ordinaires : elles se poussent vers n'importe quel registre, elles tournent sur n'importe quel Kubernetes. |
| Code et déploiement | Git | Vos dépôts se clonent, et vos manifestes de déploiement sont des fichiers versionnés dans ces dépôts, pas des réglages dans notre console. |
Ce qui ne survit pas doit être dit au même endroit : la console, l'expérience libre-service, les politiques d'habilitation qui y sont saisies et la supervision unifiée sont propres au produit. Vous récupérez vos données et vos charges par leur protocole ; vous ne récupérez pas la console qui les servait, et il faudra la remplacer. ▪
Le règlement européen sur les données impose depuis 2025 des obligations de changement de fournisseur aux services de traitement de données. Nous n'en tirons pas d'argument commercial : nous constatons que l'architecture y répondait déjà. §
§7 · NIS2
NIS2 — matrice de responsabilité partagée
Conçu pour outiller les exigences techniques de NIS2 — matrice de responsabilité partagée publiée.
Cette matrice n'est pas un référentiel de conformité et ne se substitue à aucun. Elle indique, exigence par exigence, ce que la plateforme outille et ce qui reste à votre charge. La colonne de droite est la plus importante des trois : c'est celle qu'aucun fournisseur ne remplit à la place de son client.
La conformité appartient à l'entité essentielle ou importante. Elle est organisationnelle autant que technique, et elle engage la responsabilité de vos dirigeants, pas la nôtre. § ▪
Matrice de responsabilité partagée — huit exigences de l'art. 21
| Exigence | Ce que la plateforme outille | Ce qui reste à votre charge |
|---|---|---|
| art. 21 § 2, a) Analyse des risques et politiques de sécurité des systèmes d'information | Cartographie des accès et des droits effectifs, journal d'audit exportable, matrice des flux sortants publiée (§4) | La méthode d'analyse, son périmètre, sa fréquence et son approbation par la direction |
| art. 21 § 2, b) Gestion des incidents | Journalisation horodatée des accès et des changements de politique, procédure d'escalade contractualisée avec des délais écrits | La détection sur votre SI, la qualification de l'incident, et la notification à l'autorité compétente dans les délais de l'art. 23 |
| art. 21 § 2, c) Continuité d'activité, gestion des sauvegardes et rétablissement | Chaque service exposé par un protocole standard, donc sauvegardable et restaurable avec l'outillage du protocole (§6), procédure de réinstallation de la console et des services documentée et rejouable | Le plan de continuité, les objectifs de reprise, l'exécution des sauvegardes et la preuve des tests de restauration |
| art. 21 § 2, d) Sécurité de la chaîne d'approvisionnement | Artefacts signés, vérification de signature effectuée chez vous, inventaire des dépendances et bulletin de veille CVE | L'évaluation de vos autres fournisseurs, et la vôtre sur nous — nous y répondons par écrit, nous ne la conduisons pas |
| art. 21 § 2, e) Sécurité du développement et traitement des vulnérabilités | Veille CVE sur les composants livrés, correctifs publiés par version, canal de divulgation coordonnée | Votre politique de correctifs, ses délais d'application, et son exécution sur votre parc |
| art. 21 § 2, h) Politiques et procédures relatives à la cryptographie et au chiffrement | Chiffrement en transit et au repos, clés détenues par vous, suites annexées au contrat (§5) | La politique cryptographique de l'organisation et le cycle de vie des clés : génération, rotation, séquestre, destruction |
| art. 21 § 2, i) Contrôle d'accès et gestion des actifs | Un seul IAM pour les vingt services, adossé à votre annuaire, inventaire des ressources par projet, aucun accès permanent de notre part, trace de toute élévation | L'attribution des habilitations, leur revue périodique et la gestion des départs |
| art. 21 § 2, j) Authentification multifacteur et communications sécurisées | Authentification déléguée à votre fournisseur d'identité, qui porte le facteur supplémentaire ; aucun mot de passe local d'exploitation | Le déploiement effectif du facteur supplémentaire, sa couverture, et les exceptions que vous accordez |
§8 · Certifications
Ce que nous ne détenons pas, et ce que nous faisons à la place
Nous ne détenons aucune de ces trois certifications. Voici ce qu'un RSSI peut écrire à la place.
Une note de dérogation fournisseur se rédige en deux colonnes : ce que le fournisseur n'a pas, et ce qui est mis en face. Nous publions les deux, pour que la note se recopie plutôt qu'elle ne s'enquête. Aucun des contrôles de la colonne de droite n'est présenté comme un équivalent de la certification qui lui fait face. (8-perimetre) ▪
| Ce que nous ne détenons pas | Le contrôle compensatoire que nous appliquons quand même |
|---|---|
| SecNumCloud NON DÉTENU Ce que la certification atteste — Qualification ANSSI d'un service d'informatique en nuage, incluant des critères d'immunité au droit extra-européen portant sur le prestataire lui-même. | APPLIQUÉ Nous ne sommes pas qualifiés et nous ne présentons aucun équivalent. Ce que nous offrons à la place est structurel : dans votre datacentre, dans votre compte cloud ou en air-gap, la question de l'hébergeur ne se pose plus, puisque le contrat d'infrastructure est à votre nom. Dans le tenant managé, la juridiction applicable, l'identité de l'opérateur d'infrastructure et la détention des clés sont écrites au contrat et vérifiables au §3. |
| HDS NON DÉTENU Ce que la certification atteste — Certification d'hébergeur de données de santé à caractère personnel, exigée de l'hébergeur au sens de l'art. L. 1111-8 du code de la santé publique. | APPLIQUÉ Nous n'hébergeons pas de données de santé à caractère personnel et nous ne prenons pas d'engagement en ce sens. Lorsque le cas d'usage en comporte, le déploiement se fait sur site ou chez un hébergeur certifié que vous choisissez et contractez : l'obligation reste alors là où elle se trouve déjà dans votre organisation. Nous fournissons le logiciel, pas l'hébergement. |
| ISO/IEC 27001 NON DÉTENU Ce que la certification atteste — Certification par un organisme accrédité d'un système de management de la sécurité de l'information, avec audits de surveillance périodiques. | APPLIQUÉ Nous n'en détenons pas. Nous répondons intégralement et par écrit à votre questionnaire de sécurité fournisseur, nous acceptons une clause d'audit contractuelle exerçable par vous ou par un tiers que vous mandatez, et nous documentons par déploiement la matrice des accès, la procédure de gestion des correctifs et le chemin d'escalade. Ce sont des engagements contractuels, opposables ; ce n'est pas une certification. |
§9 · Limites
Ce que nous ne prétendons pas
La liste de ce que ce document ne garantit pas, écrite au même endroit que le reste.
Ce qui suit n'appelle ni atténuation ni contrepartie. Une objection qu'un acheteur découvre après la signature coûte plus cher que la même objection lue avant.
- Nous ne détenons ni SecNumCloud, ni HDS, ni ISO 27001, ni SOC 2. Aucune démarche de certification n'est engagée à ce jour.
- Nous ne rendons personne conforme à NIS2, au RGPD ni à DORA. La conformité appartient à l'entité, jamais à son fournisseur.
- Nous n'immunisons pas vos données contre le CLOUD Act. Aucun contrat ne le peut. Seule la juridiction de l'entité qui opère change la réponse, et le §3 dit laquelle s'applique dans chaque cible.
- Dans les trois cibles que vous hébergez, nous ne détenons pas vos clés : nous ne pouvons donc pas restaurer vos données si vous les perdez, et cette perte n'est pas rattrapable de notre côté.
- Le tenant managé n'est pas un déploiement souverain au sens du §1 : vos données résident chez nous, les clés y sont partagées et nos équipes y ont un accès d'exploitation permanent. Nous le vendons, nous ne le déguisons pas.
- Nous ne publions pas de niveaux de service sur ce site. La disponibilité, les délais d'intervention et les pénalités se négocient par déploiement et n'existent que signés.
- Nous ne garantissons pas la portabilité de la console elle-même : l'expérience libre-service, les politiques d'habilitation qui y sont saisies et la supervision unifiée sont propres au produit. Vos données et vos charges sortent par leur protocole ; la console qui les servait ne sort pas.
- Nous ne répondons pas des flux sortants créés par un connecteur que vous configurez vers un service tiers.
Prendre contact
Ce que vous pouvez demander maintenant
Un dossier se lit, puis se discute avec quelqu'un qui l'a écrit.
Le dossier de conformité reprend ce document, avec la matrice des flux par déploiement, la trame de réponse à questionnaire de sécurité fournisseur, et les pièces administratives d'un dossier de consultation. Il est envoyé par un ingénieur, pas par un automate.