Souveraineté des données de test industriel
Vos résultats de test, paramètres de process et données de rendement sont des secrets industriels. L'endroit où ces données sont hébergées, et quel gouvernement peut légalement en exiger l'accès, détermine votre exposition réelle. Ce guide détaille les lois, les risques et les options concrètes.
Ce que contiennent les données de test
Les données de test ne se limitent pas à des indicateurs pass/fail. Une base de données de test typique contient :
| Type de données | Exemples | Pourquoi c'est sensible |
|---|---|---|
| Paramètres de process | Seuils de tension, valeurs de couple, offsets de calibration | Révèle le savoir-faire de fabrication |
| Métriques de qualité et rendement | FPY, Cpk, taux de retest, Pareto des défaillances | Expose la maturité de production |
| Généalogie des numéros de série | Numéros de série, suivi des sous-assemblages, historique des révisions | Traçabilité complète du produit |
| Séquences de test | Ordre des phases, limites de mesure, critères de réussite | Propriété intellectuelle de test |
| Métadonnées des stations | IDs des stations, journaux opérateurs, données de débit | Intelligence opérationnelle de l'usine |
Pour les entreprises dans la défense, le médical, l'automobile ou l'aérospatial, ces données sont réglementées. Pour les autres, c'est de l'intelligence concurrentielle qu'on ne veut pas voir consultée par un gouvernement étranger.
Comment les lois de surveillance américaines s'appliquent au SaaS
Trois lois américaines comptent pour les entreprises non américaines qui utilisent un SaaS basé aux États-Unis :
| Loi | Ce qu'elle couvre | Qui elle contraint | Détail clé |
|---|---|---|---|
| CLOUD Act (2018) | Toutes les données détenues par des fournisseurs américains, quel que soit le lieu de stockage | Toute entreprise américaine ou ayant un lien suffisant avec les US | Un mandat américain atteint les données dans des data centers européens si le fournisseur est américain |
| FISA Section 702 | Communications et données de personnes non américaines hors des US | Fournisseurs américains de services de communication électronique | Aucun mandat individuel requis pour les cibles non américaines. Réautorisée en avril 2024 |
| National Security Letters | Métadonnées d'abonnés, registres de transactions | Entreprises américaines | Émises par le FBI sans juge. Assorties d'une obligation de silence par défaut |
Le risque concret que vos données de test soient ciblées par le renseignement américain est faible. Ces outils visent le contre-terrorisme, l'espionnage et les cybermenaces. Mais la possibilité légale existe, et les équipes sécurité de vos clients poseront la question.
Pourquoi les data centers européens ne résolvent pas le problème
Une idée reçue courante : « Notre fournisseur américain héberge à Francfort, donc c'est bon. »
Le CLOUD Act stipule explicitement que les procédures judiciaires américaines s'appliquent aux données contrôlées par des entreprises américaines, quel que soit leur lieu de stockage. Une entreprise américaine qui opère des serveurs dans eu-west-1 reste une entreprise américaine.
L'UE a tenté de résoudre ce problème avec des cadres de transfert de données. Tous se sont révélés fragiles :
| Cadre | Années d'activité | Ce qui s'est passé |
|---|---|---|
| Safe Harbor | 2000-2015 | Invalidé par la Cour de justice de l'UE (Schrems I) |
| Privacy Shield | 2016-2020 | Invalidé par la Cour de justice de l'UE (Schrems II) |
| Data Privacy Framework | 2023-présent | Actif, mais fondé sur un décret exécutif américain révocable. Contestation attendue |
S'appuyer sur des cadres de transfert, c'est accepter le risque que votre base légale pour les transferts de données disparaisse du jour au lendemain, comme c'est déjà arrivé deux fois.
Ce qui protège réellement vos données
La protection fonctionne par couches. Aucune mesure unique n'est absolue.
| Couche | SaaS US sur AWS | SaaS non-US sur infra US | SaaS non-US, infra non-US | Auto-hébergé |
|---|---|---|---|---|
| Fournisseur d'app contraignable par le droit US | Oui | Non | Non | Non |
| Fournisseur d'infra contraignable par le droit US | Oui | Oui | Non | Non |
| Chiffrement au repos | Variable | Oui | Oui | Oui |
| Contrôle total de la juridiction | Non | Non | Dépend du fournisseur | Oui |
Le point clé : utiliser un fournisseur SaaS non américain sur une infrastructure américaine supprime un vecteur d'attaque (le fournisseur d'application ne peut pas être contraint), mais le fournisseur d'infrastructure reste soumis au droit américain. Seul l'auto-hébergement ou l'utilisation d'une infrastructure non américaine supprime les deux.
Pour la plupart des entreprises industrielles, un fournisseur d'application non américain combiné au chiffrement au repos offre une posture solide. Le fournisseur d'infrastructure détient des données chiffrées sans aucun contexte sur leur contenu. Pour les industries réglementées ou les environnements classifiés, l'auto-hébergement est la seule option qui garantit une souveraineté complète.
Comment TofuPilot gère la souveraineté des données
TofuPilot SA est une société de droit suisse sans entité juridique aux États-Unis. Les lois de surveillance américaines ne peuvent pas contraindre TofuPilot à divulguer les données clients.
Déploiement cloud :
- Base de données et stockage de fichiers hébergés en UE
- Données chiffrées au repos et en transit
- TofuPilot opère sous le droit suisse de la protection des données (nLPD), reconnu comme adéquat par l'UE
- Aucune dépendance au cadre de protection des données UE-US
Déploiement auto-hébergé :
- Image Docker unique, fonctionne sur votre infrastructure
- Support complet des environnements isolés (air-gap), sans dépendances externes
- Aucune donnée ne quitte votre réseau
- Toutes les fonctionnalités disponibles, y compris l'analytique et la traçabilité
| Préoccupation | Cloud | Auto-hébergé |
|---|---|---|
| TofuPilot contraignable par le droit US | Non | Non |
| Infrastructure sous juridiction US | Partiellement (fournisseurs d'infra américains) | Non (vos serveurs) |
| Conformité RGPD | Oui, par structure juridique | Oui, entièrement sur site |
| Support air-gap | Non | Oui |
Pour les entreprises qui doivent répondre à « où sont nos données de test et qui peut y accéder » lors d'une revue de sécurité fournisseur, TofuPilot apporte une réponse claire au niveau de l'application comme de l'infrastructure.