Celveo est une plateforme de solutions cloud souveraines pour les PME de Suisse romande.
Le terme « cloud souverain » s’est imposé dans les discours commerciaux depuis deux ou trois ans, et il recouvre aujourd’hui des réalités très différentes selon qui l’emploie. Un directeur de fiduciaire vaudoise nous a résumé le problème lors d’un diagnostic Celveo : « On nous a vendu trois offres différentes, toutes labellisées souveraines, avec des garanties qui ne se ressemblaient pas du tout. »
Sur les audits menés par l’équipe Celveo depuis 2025, environ deux PME romandes sur trois n’avaient jamais vérifié sous quelle juridiction était réellement rattaché leur contrat Microsoft 365 ou Google Workspace.
Cet article clarifie ce qui définit un cloud souverain, ce qui le distingue d’un cloud de confiance, et comment évaluer une offre sans se fier uniquement à l’étiquette marketing.
Qu’est-ce qu’un cloud souverain ?
Un cloud souverain désigne une infrastructure informatique soumise exclusivement au droit du pays où elle est hébergée, exploitée par une entreprise qui n’est pas soumise à une juridiction étrangère susceptible de réclamer l’accès aux données. La souveraineté ne tient donc pas qu’à l’emplacement géographique des serveurs : elle dépend aussi de la nationalité de l’entreprise qui les exploite, de son actionnariat, et du droit auquel son contrat est soumis. Un datacenter européen exploité par une filiale d’une société américaine reste, juridiquement, exposé au droit américain, quel que soit le pays où se trouve physiquement le matériel.
C’est précisément ce que cible le CLOUD Act (Clarifying Lawful Overseas Use of Data Act), adopté aux États-Unis en 2018 : il autorise les autorités américaines à exiger l’accès aux données détenues par une entreprise américaine, y compris lorsque ces données sont stockées sur des serveurs situés en Europe ou en Suisse. Microsoft Azure et Amazon AWS restent donc exposés à ce risque, quel que soit le pays où se trouve physiquement le datacenter. Infomaniak, société suisse indépendante non cotée, n’entre pas dans ce périmètre, ce qui change concrètement la nature des garanties qu’elle peut offrir.
Cloud souverain et cloud de confiance : deux notions souvent confondues
Le cloud de confiance n’est pas un synonyme de cette catégorie d’offre, et la confusion entre les deux coûte cher à certaines entreprises qui pensent avoir réglé un problème juridique en réglant un problème technique. Le cloud de confiance, label porté en France par le dispositif gouvernemental, désigne une infrastructure qui répond à des critères de sécurité et de localisation des données mais qui peut continuer à reposer sur une technologie sous licence étrangère, via un partenariat avec un acteur américain. Une telle solution exclut, sur le papier, l’accès direct aux données par l’éditeur de la licence, mais pas systématiquement toute forme de dépendance contractuelle ou technique à ce dernier.
Une infrastructure réellement souveraine exclut toute dépendance juridique à une puissance étrangère, que cette dépendance passe par la technologie ou par la propriété de l’entreprise qui l’exploite. C’est la différence entre limiter un risque et l’éliminer.
Pour une PME soumise à la nLPD, cette distinction a des conséquences concrètes. La nLPD (nouvelle Loi fédérale sur la Protection des Données), entrée en vigueur en septembre 2023, impose de documenter où sont traitées les données personnelles et sous quelle juridiction. Un partenariat de type cloud de confiance qui reste structurellement lié à une licence américaine complique cette démonstration, même si les serveurs sont physiquement situés en Europe. Plusieurs clients Celveo nous ont rapporté avoir dû produire ce type de documentation dans l’urgence, à la demande d’un client final ou d’un organisme de contrôle.
Comment vérifier qu’une offre est vraiment souveraine ?
Trois critères suffisent généralement à trancher.
D’abord, la nationalité et l’actionnariat de l’entreprise qui exploite l’infrastructure : une société suisse indépendante, non filiale d’un groupe américain, n’est pas soumise au CLOUD Act.
Ensuite, la technologie sous-jacente : un socle open source comme OpenStack, utilisé par Infomaniak et par le CERN, évite l’enfermement propriétaire et garantit une portabilité réelle des données.
Enfin, le contrat lui-même : un contrat de droit suisse, avec un interlocuteur basé en Suisse, vaut davantage qu’une mention « hébergé en Europe » dans une plaquette commerciale.
Lors d’un audit chez une PME genevoise d’une quinzaine de collaborateurs, l’équipe Celveo a constaté que les emails professionnels transitaient bien par un datacenter européen, mais que le contrat de licence Microsoft 365 restait rattaché à l’entité américaine du groupe. Sur le papier, les données étaient en Europe. Sur le plan juridique, l’exposition au CLOUD Act demeurait entière. Le délai moyen pour obtenir une réponse claire d’un fournisseur sur ce point précis, d’après les diagnostics menés par Celveo en 2026, tourne autour de trois semaines, le temps que la demande remonte jusqu’au bon interlocuteur.
Ce que Celveo recommande
Vérifier l’étiquette « souverain » avant de signer, pas après. Demander explicitement au fournisseur qui détient l’entreprise qui exploite l’infrastructure, sous quelle juridiction le contrat est rédigé, et sur quelle technologie repose le service. Une réponse évasive sur l’un de ces trois points doit alerter, quelle que soit la qualité de l’offre par ailleurs sur d’autres aspects.
Contrairement à une idée répandue, migrer vers une suite comme kSuite ne signifie pas perdre en fonctionnalités face à Microsoft 365 ou Google Workspace. Ça demande en revanche un accompagnement sérieux sur l’architecture cible, ce que peu de revendeurs proposent réellement : la plupart vendent une licence, pas une migration documentée.
Si vous voulez évaluer si votre infrastructure actuelle est réellement souveraine ou seulement présentée comme telle, on peut faire le point ensemble, sans engagement.