Où sont nos données, et qui y a accès ?

Par un relevé, en quinze jours ouvrés. Le diagnostic de souveraineté numérique, 2 900 € HT, rend l'inventaire réel de vos sites et de leurs extensions, ce que vos formulaires collectent et vers qui cela part, ce qui est conservé sans raison, et la carte de vos prestataires et hébergeurs avec les accès que chacun détient. Les écarts sont classés par gravité, chacun avec la mesure qui le referme.

Non, pas pour ce qui se passe sur les postes. Un relevé externe voit vos sites, pas le tableur qui tient la paie ni le compte d'intelligence artificielle ouvert sur un poste. Le relevé sur place, 2 400 € HT la journée, montre les outils d'IA réellement utilisés, l'état du parc, les logiciels de gestion et les sauvegardes, avec une restauration essayée pour de vrai. Aucun nom n'apparaît dans le rapport.

La question utile n'est pas l'interdiction mais ce que vous pouvez décider et prouver : pays, hébergeur, contrat, réversibilité. C'est le critère le plus lourd du score de souveraineté, vingt-cinq points sur cent, parce qu'une organisation qui ne peut pas changer de fournisseur sans reconstruire n'a pas de souveraineté. Le cabinet instruit RGPD, AI Act et obligations sectorielles ensemble, et votre conseil dit le droit.

Chez vous, ou sur une infrastructure française sous contrat, Scaleway en France. Aucun transfert hors Union européenne, liste des sous-traitants fournie avec le contrat, registre des traitements tenu, restitution en format ouvert à la sortie. Le cabinet ne fait pas transiter vos documents par un outil américain grand public.

Refermer, puis tenir. La reprise des points critiques et l'architecture cible sont le plan de remédiation, 9 500 € HT selon le périmètre, avec un relevé de fermeture daté par écart. Le registre tenu dans la durée, le comité et l'astreinte relèvent du contrat de gouvernance, à partir de 12 000 € HT par an, le diagnostic de souveraineté étant alors déduit à 100 % du premier trimestre.

Oui : le score de souveraineté numérique, huit questions en quatre-vingt-dix secondes, résultat affiché sans email. Il donne un niveau, les obligations qui s'appliquent et le palier recommandé, mais il n'observe pas vos systèmes et ne produit aucune preuve : ce n'est pas un diagnostic.

Où sont physiquement les données, quel droit s'applique à ceux qui les hébergent et les traitent, qui peut y accéder sans l'accord de l'organisation, et combien de temps il faudrait pour changer de fournisseur. Savoir y répondre pièces à l'appui est l'état visé, et ce n'est pas un choix de nationalité de fournisseur. Trois livrables l'établissent : une cartographie des flux et des prestataires, des contrats qui répondent aux quatre questions, et une architecture qui préserve la réversibilité. L'état se révise à chaque changement d'outil, car une cartographie se périme en un trimestre.

Non. Le CLOUD Act de 2018 permet aux autorités américaines d'exiger d'un fournisseur soumis au droit américain la communication de données qu'il contrôle, où qu'elles soient stockées, et la section 702 du FISA s'ajoute à ce cadre. Un centre de données situé en France mais exploité par la filiale d'un groupe américain n'écarte donc pas l'exposition. Pour des données sous secret professionnel, sous secret des affaires ou sous communication financière réglementée, c'est une exposition à documenter, et le plus souvent à éviter par l'architecture. Une clause de conformité RGPD ne répond pas à la question du droit applicable.

Les pays d'hébergement et de sauvegarde nommés au contrat, sous-traitants du fournisseur compris, et non une mention région Europe sans liste. Le droit du pays du fournisseur et de sa maison mère. La liste des accès techniques du fournisseur, support et exploitation, la journalisation de ces accès et la notification de toute demande d'autorité. Enfin l'export complet dans un format ouvert, avec délai, coût, suppression certifiée et durée de transition, car une interface qui exporte sans les pièces jointes ni l'historique n'est pas une réversibilité.

En les inventoriant avant d'imposer une règle, car l'interdiction non outillée déplace la donnée au lieu de la ramener. La journée de relevé sur place, 2 400 € HT, montre ce qu'aucun relevé externe ne voit : le tableur qui tient une fonction critique, le compte en ligne ouvert sur un poste, la sauvegarde que personne n'a jamais restaurée. Vient ensuite la classification, parce que toutes les données n'ont pas besoin du même niveau et que l'effort se concentre sur les données sous secret et réglementées. Aucun nom n'apparaît dans le rapport et aucun usage n'est remonté à un individu.

Le responsable du traitement reste tenu de ses obligations envers les personnes concernées et envers l'autorité, et le sous-traitant répond de ses propres manquements : c'est l'économie de l'article 28 du RGPD, qui impose un contrat écrit fixant notamment les instructions, la confidentialité, les mesures de sécurité, le recours à des sous-traitants ultérieurs, l'assistance en cas de violation et le sort des données en fin de contrat. En l'absence de ce contrat, l'organisation est en manquement avant même tout incident. Le diagnostic de conformité sectorielle, 2 500 € HT en quinze jours ouvrés, instruit l'état de ces contrats prestataire par prestataire. Le cabinet est ingénieur et non avocat : il produit les preuves techniques, le conseil juridique dit le droit.

Non, et c'est souvent le plus mauvais choix : un serveur interne mal tenu, sans sauvegarde restaurée ni mise à jour, expose davantage qu'un hébergement professionnel contractualisé. La souveraineté se joue sur le droit applicable, les accès, la localisation écrite et la réversibilité, pas sur la position physique de la machine. La bonne séquence est de classer les données, de contractualiser les quatre questions pour chaque fournisseur qui touche les catégories sensibles, puis de garantir l'export en formats ouverts avec des clés de chiffrement détenues par l'organisation. Le cabinet refuse par principe toute donnée hors Union européenne sans accord écrit préalable.

Sur l'infrastructure française du cabinet, sous contrat, ou chez le client quand il le préfère. Aucune donnée ne part hors Union européenne sans accord écrit préalable, et les renforts éventuels sont des freelances seniors français nommés dans la proposition, soumis à un engagement de confidentialité signé avant tout accès. Les relevés de diagnostic s'effectuent avec des accès en lecture seule, remis par un canal convenu au jour 1, et aucun accès en écriture n'est demandé. À la fin de la mission, les accès sont restitués et les données supprimées sur demande écrite.

Par le relevé des comptes réellement ouverts, poste par poste et service par service, puis par l'examen des conditions d'utilisation acceptées et des réglages de réutilisation des données. Un compte gratuit ou personnel renvoie en général à des conditions qui autorisent la réutilisation par défaut, ce qui transforme un extrait de dossier en communication à un tiers. Le relevé sur place à 2 400 € HT et le diagnostic de conformité sectorielle à 2 500 € HT produisent cet état et classent les usages par niveau de risque. La suite est une alternative défendable, avec hébergement et non-réutilisation contractualisés, anonymisation avant traitement et procédure écrite qui dit qui peut faire quoi.