Pourquoi nous hébergeons en France, et ce que ça change

Héberger chez un opérateur français coûte plus cher qu'un hyperscaler. Le raisonnement complet, la part économique comprise, et ce que ça change pour vous.

Par Thomas Martin · Publié le 4 août 2026

Il existe une option plus simple. Elle s'appelle Amazon Web Services, Microsoft Azure ou Google Cloud, elle se déploie en quelques minutes, sa documentation est excellente, et elle est probablement un peu moins chère à notre échelle. Nous ne l'avons pas retenue.

Voici le raisonnement, y compris la partie économique, qu'on omet généralement. Il prolonge, du côté de l'infrastructure, ce que nous détaillons dans le guide LMS souverain : ce que ça veut dire.

Où sont les données

La plateforme Magistrae est hébergée chez Scaleway, sur des serveurs situés à Paris. Les sauvegardes le sont également, et il faut le préciser : une infrastructure française sauvegardée ailleurs n'est pas une infrastructure française.

Les données de nos clients ne quittent pas le territoire.

Le raisonnement juridique

Choisir un hébergeur français n'est pas une préférence esthétique. C'est le seul moyen de sortir du champ d'application des lois extraterritoriales.

Nous détaillons ce mécanisme dans un article séparé, mais le résumé tient en une phrase : le CLOUD Act s'applique aux entreprises soumises au droit des États-Unis, quel que soit le lieu de stockage des données. Un data center parisien opéré par une filiale d'un groupe américain reste dans le périmètre.

La CNIL l'a formulé sans détour le 19 juillet 2024, à propos du projet de certification européenne des services cloud. Les données stockées par une entreprise soumise à un droit extra-européen, « comme c'est le cas des hébergeurs dont les sociétés mères sont situées aux États-Unis », peuvent être exposées au risque de devoir être communiquées aux autorités de ce pays. Et pour les traitements sensibles, écrit l'autorité, « les données hébergées dans l'Union européenne ne devraient pas être sujettes à un risque d'accès non autorisé par des autorités d'États tiers ».

Un hébergeur de droit français ne peut pas recevoir ce type d'injonction. Ce n'est pas une garantie contractuelle, c'est une conséquence du droit applicable.

Le raisonnement industriel

Un préjugé tenace veut que la France n'ait pas les moyens techniques d'héberger sérieusement des services numériques, et qu'un choix souverain soit un choix dégradé.

Il suffit de regarder le marché pour constater l'inverse. Scaleway, filiale du groupe Iliad, où nous sommes hébergés. OVHcloud, qui exploite ses propres centres de données à Roubaix, Gravelines et Strasbourg, conçoit ses serveurs et fabrique son système de refroidissement. Outscale, filiale de Dassault Systèmes, positionnée sur les usages sensibles. Clever Cloud et Scalingo, respectivement à Nantes et à Strasbourg, pour le déploiement applicatif. Le tissu existe, il est documenté, et il se visite.

Le pays dispose même d'un référentiel d'exigence qui lui est propre : SecNumCloud, qualification délivrée par l'ANSSI, l'Agence nationale de la sécurité des systèmes d'information, au titre de l'article 14 du décret n° 2015-350, et qui vise explicitement la protection contre l'application de lois extraterritoriales. C'est cette qualification que la CNIL cite en exemple lorsqu'elle reproche au projet européen de ne plus permettre aux fournisseurs de démontrer une telle protection.

Le catalogue de l'ANSSI, dans son édition du 31 juillet 2026, recense une vingtaine d'offres qualifiées, portées entre autres par Cloud Temple, OVH, Oodrive, Orange Business Services, Outscale, Worldline, Cegedim et Whaller. Le secteur éducatif y figure : les offres Pronote, EDT et Hyperplanning d'Index Education sont qualifiées jusqu'au 18 juin 2027.

Deux précisions de lecture, parce qu'elles sont systématiquement escamotées. La qualification porte sur une offre nommée, jamais sur une société entière : OVH a deux offres qualifiées et beaucoup d'autres qui ne le sont pas. Et elle porte une date de fin, généralement à trois ans. « X est SecNumCloud » ne veut rien dire ; « telle offre de X est qualifiée jusqu'à telle date » est vérifiable dans le catalogue.

Ce qui manque, la plupart du temps, ce n'est donc pas la capacité technique. C'est la volonté de sortir du chemin le plus court.

Prendre du stockage chez un hyperscaler est l'option de facilité. Elle est défendable pour beaucoup d'usages. Elle ne l'est pas pour des données de formation professionnelle, qui décrivent le niveau de compétence nominatif de salariés identifiés, dans des organisations identifiées.

Le raisonnement économique, puisqu'il existe

Nous sommes une entreprise. Nous vendons un produit, nous cherchons à être rentables, et ce choix nous coûte quelque chose. Il serait malhonnête de le présenter comme neutre.

Ce qu'il faut mettre en face : le coût d'un incident de conformité, le coût d'une migration en urgence si le cadre juridique change, et la valeur d'une réponse courte à la question « où sont nos données ». Pour une part croissante de nos prospects, administrations, secteurs régulés et organisations sensibles, cette réponse conditionne l'achat.

Nous ne prétendons pas que ce choix soit gratuit. Nous prétendons qu'il est rationnel, et qu'il le devient de plus en plus.

Ce que ça change concrètement pour vous

Vous savez répondre en une phrase. À un auditeur, à un DPO, à un client final qui vous interroge sur la sous-traitance : les données sont hébergées en France, chez Scaleway, par une société française.

Vous n'êtes pas tributaire de l'évolution du cadre des transferts. Le régime des transferts transatlantiques a été refait trois fois en dix ans, et nous en retraçons l'histoire complète dans notre article sur les transferts hors d'Europe. Si vos données ne sortent pas de France, cette actualité ne vous concerne pas.

Votre chaîne de sous-traitance est courte. Moins d'intermédiaires, moins de clauses à auditer, moins de registres à tenir à jour.

Vous pouvez le vérifier. C'est peut-être le point le plus important : rien de ce qui précède n'est déclaratif. L'hébergeur se nomme, la société s'immatricule, le lieu se constate.

Ce que ça ne change pas

Un hébergement français ne rend personne conforme au RGPD. La conformité porte sur l'ensemble du traitement : finalités, minimisation, durées de conservation, droits des personnes, sécurité. La localisation n'en est qu'un chapitre.

Nous ne sommes pas qualifiés SecNumCloud, et notre hébergeur ne l'est pas non plus : Scaleway ne figure pas au catalogue de l'ANSSI. Autant l'écrire nous-mêmes plutôt que de laisser la mention de la qualification entretenir un doute. Nous la citons parce que la CNIL en fait la référence en matière de protection contre les accès étrangers, pas pour nous l'attribuer.

Cette qualification n'est d'ailleurs pas une obligation générale. Elle peut être exigée pour certains marchés publics ou certains traitements sensibles, et c'est un critère à vérifier au regard de votre propre besoin, pas un label que tout hébergeur devrait détenir.

Et nous conservons des dépendances qui ne sont pas encore souveraines. Nous les listons publiquement, parce qu'une page qui n'énoncerait que ses points forts n'apprendrait rien à personne.

Sources