Souveraineté
Cybersécurité souveraine : les critères vérifiables appliqués par BEAROPS
Par Steven Carrier Mis à jour le
« Souverain » est devenu un argument marketing. Nous préférons le prouver. La souveraineté ne se résume pas à l’hébergement en France : elle recouvre la propriété de la technologie, le droit applicable, les sous-traitants, le chiffrement, la réversibilité et la transparence sur l’IA. Cette page détaille, critère par critère, ce que BEAROPS applique et comment vous pouvez le vérifier.
- Critères vérifiables
- Sans exposition au Cloud Act
- Chaîne documentée
L’hébergement en France suffit-il à garantir la souveraineté ?
Un service hébergé en France peut rester soumis à un droit étranger si son éditeur ou l’un de ses sous-traitants y est rattaché. La vraie question n’est pas seulement « où sont les données », mais « qui peut légalement y accéder, via qui, et jusqu’où va la chaîne de dépendances ». C’est cette chaîne que nous documentons.
Ce que nous affirmons, ce qui le prouve
| Critère | Ce que nous affirmons | Preuve vérifiable |
|---|---|---|
| Propriété et contrôle | Technologie développée par nos équipes en France | Moteurs propriétaires, pas de brique cœur sous licence étrangère |
| Droit applicable | Éditeur français, sans exposition au Cloud Act | Société française, contrats de droit français |
| Hébergement | Données hébergées en France | Infrastructure OVHcloud, certifiée ISO/IEC 27001 (certification de l’hébergeur) |
| Localisation du support | Opérations assurées par nos équipes | Exploitation interne, sans sous-traitance de l’exploitation |
| Sous-traitants | Chaîne de dépendances documentée | Liste des sous-traitants communicable sur demande |
| Chiffrement | Données protégées en transit et au repos | Description technique communicable sur demande |
| Réversibilité | Récupération de vos données à la sortie | Clause de réversibilité contractuelle |
| Transparence IA | Modèles d’IA hébergés et audités en France | Description de l’architecture communicable sur demande |
Cette page porte notre doctrine de souveraineté et le tableau affirmation / preuve. Les faits techniques détaillés (architecture, sous-traitants, chiffrement, accès, divulgation coordonnée des vulnérabilités) sont publiés dans notre centre de confiance .
Qu’est-ce que le Cloud Act, et pourquoi compte-t-il ?
Le Cloud Act est une loi américaine qui permet aux autorités des États-Unis d’exiger l’accès à des données détenues par des entreprises américaines, même lorsqu’elles sont hébergées ailleurs. Pour des données de sécurité offensive, particulièrement sensibles, cette exposition est un risque réel. Un éditeur français, sans rattachement américain, n’y est pas soumis.
Nous documentons toute la chaîne
Un RSSI averti sait qu’un maillon étranger dans la chaîne de mise à jour ou d’exploitation peut suffire à rompre la souveraineté. Nous documentons nos dépendances : sous-traitants, hébergement, chaîne de livraison logicielle. Cette transparence est communicable dans le cadre d’une revue fournisseur ou d’une exigence DORA .
Hébergement
Hébergement en France sur une infrastructure OVHcloud certifiée ISO/IEC 27001. Cette certification est celle de l’hébergeur, pas de BEAROPS.
Sources et références
- CLOUD Act resources, U.S. Department of Justice
- Certifications ISO/IEC 27001, 27017 et 27018, OVHcloud
- Règlement (UE) 2016/679 (RGPD), EUR-Lex
Sources consultées le . Signaler une erreur : contact+site@bearops.fr
Questions fréquentes
« Hébergé en France » suffit-il à être souverain ?
Non. Un service hébergé en France peut rester soumis à un droit étranger si son éditeur ou un sous-traitant y est rattaché. La souveraineté se juge sur toute la chaîne : propriété de la technologie, droit applicable, sous-traitants, chiffrement, réversibilité. C’est l’ensemble de ces critères que nous documentons.
BEAROPS est-il certifié ISO 27001 ?
La certification ISO/IEC 27001 mentionnée concerne notre hébergeur, OVHcloud, pas BEAROPS en tant qu’éditeur. Nous sommes transparents sur ce point : nous distinguons les certifications de notre infrastructure de nos propres pratiques.
Qu’est-ce que le Cloud Act change pour mes données ?
Le Cloud Act permet aux autorités américaines d’exiger l’accès à des données détenues par des entreprises américaines, même hébergées ailleurs. Un éditeur français sans rattachement américain n’y est pas soumis, ce qui compte particulièrement pour des données de sécurité offensive.
Puis-je obtenir la preuve de vos affirmations ?
Oui. Notre architecture, notre liste de sous-traitants et nos garanties contractuelles (réversibilité, localisation, accès) sont communicables dans le cadre d’une revue fournisseur ou d’une exigence DORA. La transparence fait partie de notre définition de la souveraineté.
Demandez nos preuves de souveraineté
Pour une revue fournisseur ou une exigence DORA, nous vous communiquons notre architecture, notre chaîne de sous-traitance et nos garanties contractuelles. Demandez le dossier.