En bref. Choisir un cloud public, c’est choisir qui héberge vos données, sous quel droit, avec quelles garanties de sortie. Les critères décisifs sont la localisation, le contrat de sous-traitance, les qualifications de sécurité, la réversibilité et la sauvegarde, avant le prix.
Le cloud public a cessé d’être une option pour devenir le réglage par défaut de la plupart des PME : messagerie, comptabilité en ligne, serveur de fichiers, sites web, tout y migre. Pourtant, peu d’entreprises se sont posé les bonnes questions avant de signer. Où sont les données ? Qui peut les consulter ? Que se passe-t-il si l’on veut partir, ou si le prestataire tombe en panne ? Voici une grille de lecture pour comparer des offres sans se laisser guider par la seule grille tarifaire.
Ce que recouvre « cloud public » pour une PME
Le terme regroupe trois niveaux de service qui ne demandent pas le même effort de l’entreprise cliente :
| Niveau | Ce que fournit l’hébergeur | Ce qui reste à votre charge |
|---|---|---|
| Infrastructure (IaaS) | Serveurs virtuels, stockage, réseau | Système, applications, mises à jour, sécurité, sauvegardes |
| Plateforme (PaaS) | Environnement d’exécution, base de données gérée | Application, données, accès, configuration |
| Logiciel (SaaS) | L’application complète | Comptes, droits, paramétrage, usage, et le plus souvent la sauvegarde de vos propres données |
Plus on monte dans les niveaux, moins l’entreprise exploite, mais plus elle dépend du fournisseur. C’est le principe du modèle de responsabilité partagée : le prestataire garantit la plateforme, le client garantit la manière dont il l’utilise. Une grande partie des incidents vient de ce second volet, par exemple un stockage ouvert au public par erreur ou un compte administrateur sans double authentification.
Localisation des données et droit applicable
La première question concerne le lieu d’hébergement, mais elle est trompeuse. Un serveur situé en France peut être exploité par une société soumise à une législation étrangère ; à l’inverse, un hébergement hors Union européenne n’est pas interdit s’il s’accompagne d’un cadre de transfert valable. Trois éléments sont à demander noir sur blanc :
- les régions d’hébergement effectivement utilisées pour vos données, y compris pour les sauvegardes et les journaux ;
- la société qui contracte avec vous et le droit applicable au contrat ;
- les accès à distance du fournisseur à vos données, par exemple pour du support, et depuis quels pays.
Pour les transferts vers les États-Unis, le cadre actuel est le Data Privacy Framework. Le Tribunal de l’Union européenne a rejeté, le 3 septembre 2025, le recours visant à l’annuler ; un pourvoi a été formé devant la Cour de justice. Les deux accords précédents, le Safe Harbor en 2015 puis le Privacy Shield en 2020, ont été invalidés par la Cour : les praticiens recommandent donc de prévoir des clauses contractuelles types de repli. L’état de la procédure évoluant, vérifiez la situation en vigueur au moment de votre choix.
Qualifications et certifications à demander
Un fournisseur sérieux sait documenter sa sécurité. Voici les repères à connaître, du plus général au plus exigeant :
- ISO/IEC 27001 : certification d’un système de management de la sécurité de l’information. Elle atteste d’une organisation, pas de la robustesse d’un service donné ; demandez le périmètre couvert.
- SecNumCloud : qualification délivrée par l’ANSSI. Elle repose sur un référentiel d’exigences et sur l’évaluation du prestataire par un centre agréé, et porte notamment sur la résistance aux demandes d’accès émanant de juridictions extra-européennes. Le référentiel évoluant, consultez la version en vigueur et le catalogue des services qualifiés sur le site de l’agence.
- Hébergement de données de santé (HDS) : certification exigée par le Code de la santé publique pour héberger, pour le compte de tiers, des données de santé issues d’activités de prévention, de diagnostic ou de soins ; un cabinet médical ou un éditeur de logiciel de santé doit l’exiger de son hébergeur.
Toutes les PME n’ont pas besoin de SecNumCloud : une qualification exigeante a un coût et réduit parfois l’éventail de fonctions. La question à se poser est proportionnée : quelles seraient les conséquences d’une divulgation ou d’une indisponibilité de ces données ? Le résultat guide le niveau d’exigence. La réponse de l’ANSSI à cette question est détaillée dans sa foire aux questions sur la qualification SecNumCloud.
Le contrat : sous-traitance RGPD et sous-traitants ultérieurs
Dès que le cloud héberge des données personnelles (clients, salariés, prospects), le prestataire est un sous-traitant au sens du RGPD. L’article 28 impose un contrat écrit, dont les mentions obligatoires portent sur l’objet et la durée du traitement, les instructions du client, la confidentialité, les mesures de sécurité, l’assistance au respect des droits des personnes, le sort des données à la fin du contrat et la mise à disposition des informations nécessaires aux audits. Le règlement exige aussi une autorisation, spécifique ou générale, pour recourir à un sous-traitant ultérieur.
La CNIL a publié un guide pratique pour les sous-traitants, assorti de modèles de clauses. La Commission européenne propose pour sa part des clauses contractuelles types, adoptées par la décision d’exécution (UE) 2021/915. Un prestataire sérieux vous fournit un accord de traitement des données prêt à signer ; s’il n’en a pas, c’est déjà une information. Pour situer ce sujet dans l’ensemble des obligations, l’article sur le RGPD en PME les récapitule.
Réversibilité : prévoir la sortie avant d’entrer
C’est le critère le plus sous-estimé, et celui sur lequel la réglementation vient de changer. Le règlement européen sur les données (Data Act, règlement (UE) 2023/2854) est applicable depuis le 12 septembre 2025 et encadre le changement de fournisseur de services de traitement de données. Son article 25 impose des clauses contractuelles précises :
| Point du contrat | Ce que prévoit le règlement |
|---|---|
| Préavis pour lancer le changement | Un délai de préavis maximal, qui ne peut excéder deux mois |
| Période transitoire | Une période transitoire maximale obligatoire de trente jours calendaires, pendant laquelle le service continue |
| Récupération des données | Une période minimale de trente jours calendaires pour récupérer vos données |
| Impossibilité technique | Le fournisseur doit vous prévenir dans un délai de 14 jours ouvrables et peut proposer une période plus longue, qui ne peut excéder sept mois |
| Frais de changement | Réduits et limités aux coûts supportés par le fournisseur jusqu’au 12 janvier 2027 ; interdits à compter de cette date |
Ces règles ne dispensent pas de lire le contrat : les frais ordinaires du service et une éventuelle indemnité de résiliation anticipée restent distincts des frais de changement. Concrètement, demandez dans quel format vos données seront exportées, si l’export est documenté et testable avant la signature, et ce qu’il advient des données après la restitution (suppression certifiée, délai).
Disponibilité, engagements de service et sauvegarde
Le taux de disponibilité affiché n’a de valeur que s’il est contractuel, mesuré sur une période claire, et assorti de ce qui se passe en cas de manquement. Comparez les mêmes éléments d’une offre à l’autre : périmètre couvert, plages de support, délais de prise en charge, conditions d’indemnisation. La logique est celle d’un contrat d’infogérance : un engagement vague n’engage à rien.
La disponibilité d’un service n’est pas une sauvegarde. Un fournisseur de logiciel en ligne garantit en général la continuité de son service, pas la restauration de ce que vous avez supprimé ou de ce qu’un rançongiciel a chiffré dans vos propres dossiers. Lisez la clause précise sur la conservation et la restauration des données, et complétez si besoin par une copie indépendante, idéalement immuable. Pour les activités critiques, un plan de reprise d’activité fixe ce qui doit repartir en premier et dans quels délais.
Sécurité des accès et journalisation
Dans un cloud public, l’accès se joue sur Internet : l’identité des utilisateurs devient le périmètre. Quatre exigences sont raisonnables pour une PME :
- l’authentification multifacteur sur tous les comptes, et obligatoirement sur les comptes administrateurs ;
- la séparation des rôles : un compte d’administration distinct du compte de messagerie quotidien ;
- la journalisation des connexions et des actions sensibles, avec une durée de conservation connue ;
- la possibilité de restreindre l’accès par pays, par appareil ou par réseau.
Vérifiez si ces fonctions sont incluses dans votre formule ou facturées en option : c’est un écart de prix fréquent entre deux offres d’apparence identique.
Coût réel : au-delà du prix affiché
Le cloud public se facture souvent à l’usage, ce qui rend le budget moins prévisible. Les postes qui font dériver la facture sont toujours les mêmes : volumes de stockage qui ne diminuent jamais, trafic sortant, environnements de test oubliés, options de sécurité ou de support ajoutées après coup. Avant de signer, demandez une estimation sur la base de vos usages réels, et prévoyez une alerte de budget dès l’ouverture du compte. Pour comparer deux offres de même type, comme les deux grandes suites bureautiques, le comparatif Microsoft 365 et Google Workspace propose une méthode applicable ailleurs.
Une démarche de choix en cinq étapes
- Classer les données : lesquelles sont personnelles, confidentielles, réglementées ?
- Fixer le niveau d’exigence : certification demandée, localisation, délai de reprise toléré.
- Demander les mêmes documents à chaque candidat : contrat, accord de traitement des données, description des sauvegardes, conditions de sortie.
- Tester : un pilote avec des données non sensibles, y compris un export complet.
- Documenter le choix et le revoir à échéance fixe, car les offres et la réglementation changent.
Questions fréquentes
Cloud public ou cloud privé : lequel choisir pour une PME ?
Le cloud public convient à la plupart des usages courants, à condition de bien choisir le fournisseur et le contrat. Un cloud privé se justifie pour des contraintes particulières de confidentialité, mais il transfère l’exploitation à l’entreprise ou à son prestataire.
Un hébergeur français est-il forcément plus protecteur ?
Pas automatiquement. Ce qui compte est le droit applicable à la société qui vous fournit le service, les accès du personnel de support et les qualifications obtenues. Un hébergeur français peut être soumis à des contraintes étrangères via sa maison mère, et un fournisseur étranger peut proposer de solides garanties contractuelles.
Le fournisseur sauvegarde-t-il mes données ?
Cela dépend du niveau de service et du contrat. Beaucoup de services en ligne assurent leur propre continuité sans garantir la restauration d’un fichier supprimé par erreur. Lisez la clause de conservation et prévoyez une copie indépendante.
Peut-on changer de fournisseur facilement ?
Le règlement européen sur les données impose désormais des clauses de sortie et supprime les frais de changement à compter du 12 janvier 2027. La facilité réelle dépend toutefois du format des données, des fonctions propriétaires et du temps de migration : testez l’export avant de vous engager.
Faut-il un avocat pour relire le contrat ?
Pour un service structurant ou des données sensibles, une relecture juridique est prudente. Pour des usages courants, une grille de lecture comme celle-ci permet déjà de repérer les points à négocier ; les questions de droit relèvent de votre conseil.
En résumé
- Comparez les offres sur la localisation, le droit applicable, les qualifications, le contrat de sous-traitance, la sortie et la sauvegarde, puis sur le prix.
- Le Data Act encadre désormais la sortie : préavis, période transitoire, récupération des données et fin des frais de changement au 12 janvier 2027.
- Ni la disponibilité ni la certification ne remplacent une copie indépendante de vos données.
- Testez un export complet avant de vous engager, et revoyez le choix à échéance fixe.
