Preuve de résidence des données : quoi exiger

Un client vous demande de prouver que ses données restent au Canada. Ce n'est pas vous qui achetez l'hébergement ici : vous êtes le fournisseur qui répond à l'examen d'approvisionnement ou de sécurité de votre propre client, et vous avez besoin que votre hébergeur vous remette autre chose qu'une page marketing.

« Une preuve » veut dire des documents précis : une entité juridique nommée, un emplacement physique de centre de données, une liste de sous-traitants, et une réponse écrite sur ce qui arrive aux sauvegardes, aux journaux et à l'accès de soutien. Un sélecteur de région qui affiche « Toronto » ne prouve rien en soi. Il ne vous dit rien sur qui possède l'entreprise qui exploite ce serveur, ni si vos données quittent un jour cette juridiction par une tâche de sauvegarde, un billet de soutien ou une société mère étrangère.

Pourquoi « hébergé au Canada » n'équivaut pas à « une preuve »

Beaucoup d'hébergeurs vous laissent choisir une région canadienne pendant que l'entreprise elle-même, et souvent ses sauvegardes, ses journaux et son personnel de soutien, se trouvent ailleurs. Une étiquette de région, c'est un paramètre. Elle peut changer, elle peut comporter des exceptions dont on ne vous a jamais parlé, et elle ne dit rien sur la juridiction de l'entreprise. Votre client ne demande pas où un serveur se trouve aujourd'hui. Il demande quel droit régit ces données, et qui peut être contraint de les remettre.

Obtenir une vraie preuve, c'est demander des documents, pas cocher une case.

La liste de vérification documentaire

Demandez à votre hébergeur chacun des éléments suivants, dans cet ordre. Chacun referme une brèche précise que le précédent laisse ouverte.

1. L'entité juridique, et où elle est constituée. Le nom légal de la société et sa juridiction de constitution, pas une marque. Un domaine .ca et une adresse postale canadienne ne prouvent rien sur la propriété de l'entreprise.
2. L'emplacement physique du centre de données, et qui l'exploite. Quelle ville, et quelle entreprise gère le matériel. « AWS Canada » et « une entreprise canadienne qui possède son matériel à Toronto » sont deux chaînes d'exposition juridique différentes.
3. La liste des sous-traitants, et où chacun se trouve. Courriel, DNS, surveillance, paiements. Vos données principales peuvent être canadiennes pendant que trois ou quatre services accessoires ne le sont pas.
4. Si une société mère étrangère fait entrer le CLOUD Act américain en jeu. Une filiale canadienne d'une société mère américaine reste généralement à la portée de la procédure judiciaire américaine, parce que la société mère peut être contrainte de produire les données qu'elle contrôle.
5. L'emplacement des sauvegardes et des journaux. La faille que presque tout le monde oublie. Un fournisseur peut dire en toute honnêteté que vos données principales sont au Canada pendant que les sauvegardes de votre base de données se trouvent chez une autre entreprise, dans un autre pays.
6. L'emplacement de l'accès de soutien. Un centre de données canadien ne veut pas dire grand-chose si une équipe de soutien sur un autre continent peut s'y connecter à distance.
7. Ce qui arrive à la résiliation. S'il existe une période de conservation, si la suppression est vraiment définitive, et si vous pouvez tout exporter avant de partir.

La plupart des fournisseurs répondent à l'élément 2 sans sourciller. Moins nombreux sont ceux qui produisent une réponse claire à l'élément 3. Rendu à l'élément 5, plusieurs fournisseurs se taisent, parce que personne ne leur a jamais demandé de documenter où vont réellement les sauvegardes. Cet écart entre une affirmation marketing et une réponse écrite, c'est exactement ce que votre client essaie de découvrir avant que ça devienne son problème.

Qu'en est-il de SOC 2 et d'ISO 27001?

Ces certifications reviennent constamment dans les conseils génériques sur la documentation de résidence des données, alors autant être précis sur ce qu'elles vous disent réellement. Un rapport SOC 2 ou une certification ISO 27001 témoigne d'un programme de contrôles de sécurité : gestion des accès, gestion des changements, réponse aux incidents, ce genre de choses. Certains rapports SOC 2 précisent bien les installations visées, ce qui peut être utile.

Aucune des deux certifications ne répond, à elle seule, à la question « où vivent mes données, et quel droit les régit ? ». Une entreprise américaine avec des serveurs en Virginie peut détenir les deux. Demandez-les si l'examen de votre client les exige, mais n'acceptez ni l'une ni l'autre comme substitut aux sept éléments ci-dessus. Elles répondent à une autre question.

Ce que MapleDeploy publie en réponse à cette liste

Nous avons construit cette liste parce que c'est celle que nous voudrions qu'on nous remette si nous étions le client. Voici où se trouve chaque élément pour MapleDeploy.

Si l'examen de votre client exige quelque chose que ces pages ne couvrent pas, écrivez-nous et nous vous répondrons directement plutôt que de vous renvoyer à une affirmation marketing.

Rien de tout cela ne remplace la lecture complète de nos documents juridiques par vous-même, ni les conseils de votre propre avocat sur ce qu'exige votre relation client précise. Si c'est le CLOUD Act lui-même que vous devez expliquer à votre client, nous en avons détaillé la mécanique juridique séparément : le CLOUD Act américain, expliqué pour les entreprises canadiennes. Pour l'argumentaire plus large en faveur de la souveraineté des données canadiennes, y compris son interaction avec la LPRPDE et la Loi 25 du Québec, cette page couvre le terrain que ce billet ne couvre pas.