Centres de données européens
Une infrastructure en propre, pas la revente d’un hyperscaler.
Infrastructure et sécurité
Nos propres serveurs en Europe
Aucun cloud hors de l’Union européenne ni aucune surprise dans le contrat de traitement des données. Vous savez où sont vos données et qui y touche.
Où sont les données et pourquoi c’est important
Héberger les données au sein de l’Union européenne évite le problème le plus délicat du RGPD : les transferts internationaux. Lorsque le prestataire se trouve hors de l’Espace économique européen, il faut s’appuyer sur une décision d’adéquation ou sur des clauses contractuelles types, et justifier par écrit que les garanties sont suffisantes. Kimobox tourne sur une infrastructure en propre dans des centres de données européens : cette discussion n’a pas lieu d’être.
- Localisation
- Centres de données dans l’Union européenne Aucun transfert international nécessitant les garanties du chapitre V du RGPD
- Sauvegardes
- Quotidiennes, avec restauration testée Une sauvegarde jamais restaurée n’est pas une sauvegarde, c’est une supposition
- Chiffrement
- En transit et au repos Mesure de l’art. 32.1.a) du RGPD
- Contrat de sous-traitance
- Art. 28 du RGPD Avec la liste des sous-traitants ultérieurs et l’engagement de notifier les violations
- Continuité
- ISO 27001:2022, mesures 5.29 et 5.30 Sécurité et préparation des TIC pendant une perturbation
Sauvegardes vérifiées
Sauvegarde quotidienne avec tests de restauration réguliers.
Chiffrement et accès
TLS en transit, chiffrement au repos et double authentification.
RGPD sans petits caractères
Contrat de sous-traitance et registre des activités de traitement.
Exploitation
Comment elle est maintenue
- Supervision 24×7 avec alertes
- Mises à jour planifiées et annoncées
- Environnements de test et de production séparés
- Journal d’audit des accès du support
- Plan de continuité et de reprise testé
- Serveurs dédiés, sans infrastructure partagée avec des tiers
Exemples réels
Les questions qui viennent du comité
Secteur public · appel d’offres
Un cahier des charges qui exige un traitement dans l’UE
Avant L’outil habituel du service est hébergé hors de l’EEE. Le justifier impose une analyse de transfert international à chaque appel d’offres.
Après La localisation européenne est attestée directement dans le contrat de sous-traitance et l’exigence du cahier des charges est remplie sans analyse supplémentaire.
Industrie certifiée ISO 27001
L’audit du prestataire externe
Avant Rassembler les informations du prestataire coûte des semaines d’e-mails, et certaines questions du questionnaire restent sans réponse.
Après Documentation de sécurité, liste des sous-traitants ultérieurs et politique de sauvegarde disponibles dans le dossier du prestataire.
Groupe multinational
La reprise après un incident
Avant Une politique de sauvegarde existe, mais le dernier test de restauration date de deux ans et personne ne sait combien de temps cela prendrait vraiment.
Après Une restauration testée à une fréquence définie, avec des temps mesurés. L’objectif de reprise est une donnée, pas une aspiration.
Vocabulaire
Les termes de l’infrastructure et des données
- Transfert international
- Envoi de données personnelles hors de l’Espace économique européen. Il exige une décision d’adéquation, des clauses contractuelles types ou une autre garantie du chapitre V du RGPD, ainsi qu’une analyse du pays de destination.
- Sous-traitant ultérieur
- Tiers auquel le sous-traitant fait appel pour traiter des données pour le compte du responsable. Il doit être autorisé et soumis aux mêmes obligations contractuelles.
- RPO et RTO
- Objectif de point de reprise et objectif de délai de reprise : combien de données on peut perdre et combien de temps on peut mettre à revenir. Sans ces deux chiffres, un plan de continuité n’est qu’une déclaration d’intention.
- Chiffrement au repos
- Protection de la donnée pendant son stockage. Il limite les dégâts si quelqu’un accède au support physique ou à une sauvegarde.
- Haute disponibilité
- Conception redondante qui permet de continuer à fournir le service en cas de défaillance d’un composant. Ce n’est pas une sauvegarde : l’une couvre la panne, l’autre la perte.
Questions fréquentes
Ce que l’on nous demande avant de commencer
Quel est le niveau de sécurité de vos serveurs ?
Très élevé : ils sont en propre et dédiés, avec chiffrement en transit et au repos, double authentification, segmentation réseau et supervision 24×7.
Quelle disponibilité offrez-vous ?
Un engagement de service avec des fenêtres de maintenance convenues et annoncées à l’avance.
Qui peut voir mes données ?
Uniquement le support, avec un accès enregistré et soumis à votre autorisation.
Pourquoi est-il important que les serveurs soient dans l’Union européenne ?
Parce que cela évite la partie la plus délicate du RGPD. Lorsque le prestataire est hors de l’Espace économique européen, il faut s’appuyer sur une décision d’adéquation ou sur des clauses contractuelles types et justifier par écrit que les garanties suffisent. En hébergeant dans l’UE, cette discussion n’a pas lieu d’être.
À quelle fréquence les sauvegardes sont-elles réalisées ?
Chaque jour, avec une restauration testée. Une sauvegarde jamais restaurée n’est pas une sauvegarde : c’est une supposition.
Les données sont-elles chiffrées ?
Oui, en transit et au repos. Le chiffrement au repos limite les dégâts si quelqu’un accédait physiquement à un support ou à une sauvegarde.
Y a-t-il des sous-traitants ultérieurs ?
La liste des sous-traitants ultérieurs fait partie du contrat de sous-traitance, avec l’engagement de signaler tout changement pour que le client puisse s’y opposer s’il le juge opportun.
Que se passe-t-il si nous souscrivons puis voulons partir ?
Les données appartiennent au client. Elles peuvent être extraites par l’API ou par export massif dans des formats ouverts, et le contrat fixe ce qu’il advient d’elles à la fin de la relation.
Transmettez notre fiche technique à votre responsable informatique
Nous vous montrons le module en fonctionnement avec des données proches des vôtres.
Poursuivez la visite
Pages associées
Ce que votre responsable informatique va demander
Chiffrement en transit et au repos, droits par profil avec double authentification, journal d’audit…
Un second facteur par le canal que chacun utilise déjà
Second facteur avec Google ou Microsoft Authenticator, SMS, WhatsApp, Telegram, e-mail ou passkey, exigé par…
La technologie qui soutient tout le reste
Plateforme low-code multi-sociétés sur une infrastructure en propre dans l’UE, avec droits par profil…
ISO 27001 sans classeurs ni surprises
Inventaire des actifs, analyse des risques et mesures de l’Annexe A avec leur statut et leur responsable.
Sources
D’où vient chaque donnée
Références au texte officiel en vigueur. Si une norme est révisée, cette page est mise à jour et la date de révision en témoigne.
- Règlement (UE) 2016/679 (RGPD), chapitre V : transferts internationaux EUR-Lex · Applicable depuis le 25 mai 2018
- ISO/IEC 27001:2022, annexe A (mesures 5.29 et 5.30) ISO/IEC · 25 octobre 2022
- Esquema Nacional de Seguridad (Real Decreto 311/2022) BOE-A-2022-7191 · 4 mai 2022
Hébergement sur des serveurs en Europe et conformité au RGPD
Kimobox est hébergé sur nos propres serveurs situés dans des centres de données européens, avec des sauvegardes quotidiennes vérifiées, un chiffrement en transit et au repos, une double authentification et une supervision continue.
Le service est fourni avec un contrat de sous-traitance conforme au RGPD et à la LOPDGDD, sur une infrastructure en propre et dédiée, conçue pour offrir une sécurité maximale sans céder le contrôle des données à des tiers.