Bâtir votre SaaS sur une infrastructure canadienne

Quelque chose a changé ces dernières années. Les équipes d'approvisionnement dans les hôpitaux, les cabinets d'avocats et les agences gouvernementales posent des questions qu'elles ne posaient jamais auparavant. « Où vivent les données? » « Qui peut y accéder? » « Le CLOUD Act s'applique-t-il? » Et les développeurs canadiens posent une version plus simple de la même question : pourquoi toute mon infrastructure est-elle aux États-Unis par défaut?

Pendant longtemps, « conçu au Canada » était au mieux un argument marketing. Aujourd'hui, c'est devenu une exigence ferme dans certains secteurs, et un choix délibéré pour les développeurs qui veulent leur pile en sol canadien.

Si vous êtes développeur ou entrepreneur et songez à bâtir une alternative canadienne à une application Web américaine populaire, c'est le bon moment pour passer à l'action.

Pourquoi maintenant

La conversation autour de la souveraineté numérique est passée d'une préoccupation de niche à une politique courante. En 2023, le gouvernement fédéral canadien a émis des directives restreignant l'utilisation de certains services cloud étrangers pour les charges de travail sensibles. Les provinces ont suivi avec leurs propres règles. Le secteur de la santé en Ontario, par exemple, impose des exigences strictes sur l'endroit où les renseignements personnels sur la santé peuvent être stockés.

La préoccupation sous-jacente est le CLOUD Act, qui donne aux tribunaux américains le pouvoir de contraindre les entreprises américaines à produire des données, peu importe où elles sont stockées. Si votre fournisseur d'hébergement est une entreprise américaine, vos données sont potentiellement accessibles, même depuis un serveur à Toronto. Nous couvrons les implications complètes pour les entreprises canadiennes dans un article dédié.

Ce n'est pas hypothétique. C'est la raison pour laquelle les responsables de l'approvisionnement demandent maintenant de la documentation sur la résidence des données avant de signer des contrats.

Ce qui rend un produit crédiblement canadien

Coller une feuille d'érable sur votre page d'accueil ne suffit pas. Voici ce qu'il faut réellement pour revendiquer la résidence des données canadienne de façon crédible.

Juridiction de l'hébergement. Vos serveurs doivent être au Canada, exploités par une entreprise non assujettie à la loi américaine. Un fournisseur infonuagique américain avec une zone de disponibilité à Toronto ne compte pas, car la juridiction suit l'entreprise, pas le centre de données. Parmi les options : LunaNode (Toronto, propriété canadienne) et OVH Canada (Montréal, société mère française, hors juridiction américaine).

Constitution de l'entreprise. L'endroit où votre entreprise est enregistrée compte pour les contrats et la responsabilité, mais c'est une préoccupation secondaire par rapport à l'emplacement des données. La plupart des clients canadiens se soucient davantage de l'endroit où vivent les données que de l'endroit où votre entreprise est constituée.

Résidence des données par conception. Il ne suffit pas que les données vivent actuellement au Canada. Les clients veulent des garanties documentées et exécutoires. Cela signifie une politique de confidentialité claire, une entente de traitement des données pour les clients d'entreprise, et idéalement une attestation de conformité à la LPRPDE. La LPRPDE est la loi fédérale canadienne sur la protection des renseignements personnels dans le secteur privé. Intégrer la LPRPDE dès le premier jour est plus simple que de la greffer après coup.

Services tiers. C'est là que les choses se compliquent. Chaque SaaS sur lequel vous comptez est une brèche potentielle de résidence des données. Stripe, Twilio, SendGrid, Intercom, Sentry et la plupart des outils populaires pour développeurs sont des entreprises américaines. Les utiliser ne disqualifie pas automatiquement votre produit, mais cela exige de la transparence. Une application de santé canadienne qui achemine les données des patients vers une plateforme d'analytique américaine est un problème. Une application qui envoie des données de paiement à Stripe (qui les traite en tant que processeur de paiement sous sa propre conformité PCI) est une préoccupation bien moindre, car aucune donnée de patient ou d'entreprise ne quitte le Canada.

La réponse honnête est qu'aller entièrement canadien est difficile et comporte parfois de vrais compromis. Moins de choix, parfois des prix plus élevés, occasionnellement des outils moins performants. Nous sommes transparents à ce sujet avec notre propre pile technologique.

Les compromis

Écosystème plus petit. Certaines catégories d'outils n'ont tout simplement pas encore de bonnes alternatives canadiennes. L'observabilité, le suivi d'erreurs, les indicateurs de fonctionnalité et les outils de tests A/B sont largement contrôlés par des entreprises américaines. Vous ferez face à un choix : utiliser un outil américain avec une minimisation stricte des données, trouver une alternative dont le siège est dans l'UE, ou bâtir la capacité vous-même.

Coût. L'infrastructure canadienne tend à être légèrement plus chère que des ressources équivalentes d'AWS ou Google Cloud dans les régions américaines. Pas dramatiquement plus, mais c'est un facteur réel.

La conformité est continue, pas une case à cocher. La conformité à la LPRPDE n'est pas quelque chose que vous atteignez une seule fois. Elle exige une politique de confidentialité qui est réellement exacte, un processus pour traiter les demandes d'accès aux données, et des pratiques cohérentes au sein de votre équipe.

Ces compromis valent la peine d'être connus dès le départ. Bâtir canadien devrait être un choix réfléchi, pas une réflexion après coup.

Catégories à surveiller

Il y a une demande réelle pour des alternatives canadiennes dans plusieurs domaines. Les technologies de la santé et du droit sont les plus évidentes, car les exigences de résidence des données sont déjà intégrées dans les processus d'approvisionnement de ces industries. Les outils de gestion de projet et de collaboration en sont un autre. Plusieurs organisations canadiennes utilisent des outils américains comme Notion, Slack ou Asana et acceptent que les données soient aux États-Unis. Certaines commencent à chercher des alternatives.

Les outils pour développeurs sont une catégorie en croissance. Les serveurs de compilation, les plateformes de déploiement et l'outillage interne sont de plus en plus soumis au même examen d'approvisionnement que les logiciels destinés aux utilisateurs.

Nous n'allons pas vous dire exactement quoi bâtir. Mais si vous évaluez une idée de produit, la question du CLOUD Act est un filtre utile. Si un client canadien aurait réalistement de la difficulté à obtenir l'approbation d'approvisionnement pour la version américaine de votre produit, il y a un marché pour une version canadienne.

Assembler une pile canadienne

Voici comment nous concevons une pile de déploiement crédiblement canadienne :

Hébergement. C'est la fondation. Votre calcul, vos bases de données et votre stockage de fichiers doivent tous vivre sur une infrastructure canadienne avec un fournisseur non américain. L'infrastructure canadienne est la partie non négociable de la pile.

Plateforme de déploiement. Vous avez besoin de quelque chose pour gérer les déploiements, exécuter des conteneurs et provisionner des bases de données. Tout faire soi-même sur du métal nu est pénible. Une plateforme gérée qui fonctionne sur votre propre VM canadienne est un compromis pratique. MapleDeploy provisionne une VM dédiée à Toronto (via LunaNode) et y installe Coolify. Vous obtenez des déploiements par git push, des bases de données gérées, le SSL et le proxy inverse, le tout sur une infrastructure qui est la vôtre. Les forfaits commencent à 45 $ CAD/mois pour un serveur de 4 Go de RAM / 2 vCPU avec tarification forfaitaire et sans frais par application.

Courriel. Le courriel transactionnel est délicat. SendGrid, Mailgun et Postmark sont toutes des entreprises américaines. Cakemail est une option canadienne basée à Montréal. Pour le courriel d'entreprise, Mailbox.org est basé en Allemagne. Ni l'un ni l'autre n'est parfait si vous avez besoin que tout soit au Canada, mais les deux sont mieux que de tout acheminer par AWS SES.

Paiements. Stripe est une entreprise américaine, et il n'existe pas d'alternative canadienne crédible avec des API d'abonnement matures pour le moment. Les données de paiement sont traitées entièrement par Stripe sous leur propre cadre de conformité PCI et ne touchent jamais nos serveurs en tant que données brutes de carte. Nous avons écrit sur nos raisons et ce que nous avons tenté. Pour la plupart des produits, c'est une lacune acceptable. Pour certains, ce ne l'est pas.

Logiciel libre autant que possible. Le logiciel libre avec des déploiements auto-hébergés garde vos données locales par défaut. Nous avons bâti sur Coolify, qui est un logiciel libre et fonctionne entièrement sur votre VM. La même logique s'applique aux bases de données (PostgreSQL, MySQL), à l'analytique (Plausible, Umami) et à la surveillance (Grafana).

Où MapleDeploy s'inscrit

Nous sommes la couche de déploiement et d'hébergement. Nous provisionnons et gérons des instances Coolify sur LunaNode à Toronto. Vos applications, bases de données et fichiers vivent sur cette VM sous juridiction canadienne. Nous nous occupons de l'installation de Coolify, du renforcement de la sécurité, du DNS et du SSL pour que vous puissiez vous concentrer sur votre produit.

Nous ne sommes pas la solution complète. Vous devez encore faire des choix réfléchis pour chaque service tiers que vous utilisez. Consultez notre pile SaaS canadienne pour un recensement complet des alternatives canadiennes et non américaines par catégorie. Mais si vous bâtissez quelque chose qui doit fonctionner de façon crédible sur une infrastructure canadienne, avoir une plateforme de déploiement gérée qui est déjà dans la bonne juridiction est un bon point de départ.

Le forfait Starter inclut un essai gratuit de 14 jours. Déployez un vrai projet et voyez si ça vous convient avant de vous engager.