Où sont stockées les données de votre outil ITSM ?
Cette question, beaucoup de DSI ne se la posent qu’après avoir signé. Et la réponse les surprend souvent.
En 2026, la souveraineté des données n’est plus un sujet de geek paranoïaque. C’est un impératif business et réglementaire.
L’enjeu souveraineté en 2026
Trois forces convergent pour faire de la localisation des données un sujet incontournable :
1. Le RGPD s’applique pleinement
Le Règlement Général sur la Protection des Données impose des obligations strictes sur le traitement des données personnelles européennes. Votre outil ITSM contient des données personnelles : noms, emails, parfois plus.
2. Le Cloud Act américain inquiète
Depuis 2018, le Cloud Act autorise les autorités américaines à accéder aux données stockées par des entreprises américaines, même si ces données sont hébergées en Europe.
ServiceNow, Freshworks, Atlassian, Microsoft… sont des entreprises américaines.
3. Les exigences sectorielles se durcissent
- Santé : certification HDS obligatoire pour les données de santé
- Secteur public : doctrine Cloud au centre, préférence souveraine
- Finance : exigences de la CNIL et de l’ACPR
Ce que contient vraiment votre ITSM
Un outil ITSM n’est pas qu’un gestionnaire de tickets. Il centralise :
- Données personnelles : noms, emails, numéros de téléphone des utilisateurs
- Données RH (si ESM) : informations d’onboarding, demandes de congés
- Données techniques : inventaire du parc, configurations, vulnérabilités
- Données sensibles : historique des incidents de sécurité, accès VPN
Ces données, entre de mauvaises mains, représentent un risque majeur.
Le risque Cloud Act : concret ou théorique ?
Certains minimisent le risque : « Les autorités US ne vont pas s’intéresser à notre PME. »
C’est oublier plusieurs points :
- Les demandes peuvent concerner n’importe quel client du prestataire
- L’entreprise américaine n’a pas le droit de vous prévenir
- En cas de conflit avec le RGPD, vous êtes responsable légalement
Le risque n’est pas que l’espionnage. C’est la non-conformité RGPD et les sanctions qui vont avec (jusqu’à 4% du CA mondial).
Comment vérifier la conformité d’un ITSM
Questions à poser à l’éditeur
- Où sont physiquement hébergées les données ? (Pays, datacenter)
- L’entreprise est-elle soumise au Cloud Act ? (Siège social US = oui)
- Quelles certifications ? (ISO 27001, HDS, SecNumCloud)
- Qui a accès aux données ? (Support, sous-traitants)
- Comment se passe l’export des données ? (En cas de départ)
Red flags
- ❌ Hébergement US ou « multi-région » sans garantie Europe
- ❌ Siège social aux États-Unis
- ❌ Sous-traitants techniques en dehors de l’UE
- ❌ Pas de DPA (Data Processing Agreement) clair
Secteurs à vigilance maximale
| Secteur | Contraintes | Recommandation |
|---|---|---|
| Santé | HDS obligatoire | Hébergeur HDS français |
| Secteur public | Doctrine Cloud au centre | Cloud souverain qualifié |
| Finance | CNIL, ACPR | Hébergement UE minimum |
| Défense/OIV | SecNumCloud | Solutions qualifiées ANSSI |
KLX ESM : 100% souverain
Chez Keolux, la souveraineté n’est pas un argument marketing. C’est un choix structurant.
KLX ESM garantit :
- 🇫🇷 Hébergement en France : datacenters français certifiés
- 🏢 Entreprise française : non soumise au Cloud Act
- 🔒 Données chiffrées : au repos et en transit
- 📋 DPA conforme RGPD : fourni et signé
- ✅ Certifications : conformité aux standards européens
Vos données restent vos données. Point final.
Ce que vous pouvez faire maintenant
Si vous utilisez déjà un outil ITSM :
- Vérifiez le DPA actuel avec votre éditeur
- Identifiez la localisation réelle des données
- Évaluez le risque pour votre organisation
- Documentez votre position (accountability RGPD)
Si vous choisissez un nouvel outil :
- Intégrez la souveraineté dans vos critères de sélection
- Exigez des réponses écrites aux questions de conformité
- Privilégiez les éditeurs européens
La souveraineté, un investissement
Choisir un outil souverain peut coûter légèrement plus qu’une solution US à prix cassé. Mais c’est un investissement dans :
- La conformité réglementaire
- La protection de vos données
- La confiance de vos parties prenantes
- L’indépendance technologique
👉 Découvrir KLX ESM — l’ITSM/ESM 100% souverain.
À lire aussi : Comment choisir son outil ITSM en 2026