REQVERA
Déclarer un écart · Fiche de décision 06

« Toutes les données restent dans le pays. » Votre architecture ne le garantit pas.

Situation illustrative · Pas un cas client
La question de l’acheteur

Confirmez que toutes les données clients sont stockées, traitées et accessibles exclusivement dans [pays exigé], y compris pour les sous-traitants et le support.

Un réglage régional de base de données ne répond qu'à une partie de l'exigence. Ne confirmez pas l'exclusivité avant de vérifier stockage, copies secondaires, support et accès pour la configuration proposée. Un transfert international autorisé peut encore contredire la règle contractuelle plus étroite de l'acheteur.

Une réponse à adapter

Nous ne pouvons pas confirmer un stockage, un traitement et des accès exclusivement dans [pays exigé] pour toutes les données du [service, configuration et formule proposés]. Pour [catégorie de données vérifiée], le stockage au repos est [lieu vérifié et configuration applicable]. Les exceptions actuelles sont [catégorie, opération, fournisseur ou entité, lieu et finalité désignés ; inclure explicitement les faits non résolus]. En particulier, [exception vérifiée de sauvegarde, journalisation, support ou accès distant] n'entre pas dans un engagement exclusivement national. [Uniquement si vérifié : Les garanties applicables au traitement identifié figurent dans [document approuvé et version].] Ces garanties ne satisfont pas à elles seules votre exigence de localisation exclusive. Nous pouvons proposer [configuration alternative approuvée ou dérogation limitée, le cas échéant], sous réserve de [conditions techniques, contractuelles et de déploiement documentées]. Merci de confirmer par [canal autorisé de clarification] si cette alternative peut être examinée. Tant que la décision requise n'est pas consignée, nous considérerons l'exigence de localisation exclusive comme non satisfaite et ne décrirons pas le service comme entièrement national.

Remplacez chaque champ entre crochets par un fait vérifié. Supprimez toute phrase facultative que vous ne pouvez pas justifier. Ne soumettez pas cette formulation telle quelle.

Les conditions à vérifier

Déclarez un écart de résidence exclusive en retraçant stockage, sauvegardes, journaux, sous-traitants et accès distant, sans confondre transfert licite et acceptation de l'acheteur.

  • Définir les « données » avant leur géographie

    Déterminez si la clause couvre contenus clients, données personnelles, métadonnées de compte, télémétrie, pièces de support, journaux de sécurité, sauvegardes et résidus après suppression. Ne remplacez pas implicitement « toutes les données » de l'acheteur par la définition plus étroite du prestataire. La documentation EU Data Boundary de Microsoft distingue par exemple catégories et transferts limités. Elle montre pourquoi un nom de région ou de frontière doit être lu avec ses conditions, pas qu'une exception donnée est acceptable.

  • Distinguer résidence, accès et reprise

    Examinez où chaque copie est conservée, où le traitement a lieu et d'où les personnes ou entités autorisées peuvent y accéder. Une base principale nationale ne dit pas où restaurer les sauvegardes, où partent les pièces du support ou qui peut lire les données à distance. Une bascule peut changer le dispositif précisément sous pression. Cartographiez les flux exceptionnels et habituels avant d'énoncer un engagement absolu.

  • Séparer analyse juridique du transfert et adéquation à la consultation

    Dans un contexte RGPD, l'EDPB identifie trois critères cumulatifs pour un transfert relevant du chapitre V, notamment la mise à disposition à un autre responsable du traitement ou sous-traitant dans un pays tiers. Tous les accès de salariés depuis l'étranger n'ont pas la même qualification. Faites examiner les entités et flux réels par le responsable vie privée ou juridique. Même licite, le dispositif ne satisfait pas automatiquement une exigence exclusivement nationale ; examinez séparément ces questions.

Cinq flux cachés derrière un réglage régional

Attribuez à chaque flux son lieu vérifié, son entité et son exception. Un champ vide est un fait non résolu, pas une preuve de traitement national.

Contenu principal
Vérifiez le service exact, la région de déploiement et la catégorie couverte par l'engagement de stockage.
Sauvegarde et reprise
Vérifiez répliques, destinations de restauration, reprise après sinistre et conservation résiduelle après suppression.
Journaux et télémétrie
Identifiez les informations personnelles ou clients présentes dans les enregistrements et leur lieu de traitement.
Support et sous-traitants
Retracez pièces jointes des demandes, diagnostics, intégrations et entités responsables concernées.
Accès distant
Identifiez qui peut accéder à quelles données, depuis quel lieu et sous quels contrôles ; obtenez la revue vie privée et contractuelle appropriée.

Les justificatifs à réunir

  • Un inventaire des flux pour cette offre

    Nommez chaque catégorie, opération, pays, entité responsable, service et propriétaire de preuve pertinents. Incluez stockage principal, répliques, reprise, journaux, support, analyse et intégrations optionnelles effectivement proposées. Consignez les lieux inconnus comme inconnus. Demandez des preuves de configuration aux responsables infrastructure et application ; un schéma ou une politique sans lien avec le déploiement proposé ne doit pas porter seul l'affirmation d'exclusivité.

  • Conditions actuelles et limites d'accès des prestataires

    Examinez contrats, conditions de traitement, sous-traitants ultérieurs, engagements régionaux propres aux services et exceptions documentées. Vérifiez que la formule permet la restriction revendiquée et si une configuration est nécessaire. Identifiez contrôles et approbations des accès distants. Un résumé commercial ou une ancienne liste de sous-traitants ne suffit pas à établir le flux proposé aujourd'hui. Conservez versions et dates de revue avec la réponse.

  • Preuves du cycle de vie et des changements

    Vérifiez export, investigation d'incident, bascule, clôture de compte et expiration de conservation. Établissez qui peut modifier la géographie ou activer un autre service après déploiement. Pour une alternative, obtenez approbation technique, périmètre contractuel, conditions de mise en œuvre et acceptation autorisée de l'acheteur. Ne présentez pas une restriction future comme déjà appliquée et ne promettez pas une suppression instantanée des sauvegardes sans vérification.

La décision à faire valider

Responsables de la validation
Infrastructure et application vérifient les flux ; la sécurité valide les accès ; la vie privée ou le juridique examine les transferts ; responsable d'offres et commercial gèrent adéquation, clarification permise et engagements.
Poursuivre
Poursuivez si la configuration vérifiée satisfait le périmètre énoncé ou si une décision autorisée accepte l'écart précisément déclaré. Indiquez séparément ce qui est stocké, traité et accessible dans chaque lieu.
Ne pas poursuivre
N'affirmez pas l'exclusivité lorsqu'un flux concerné sort du périmètre ou reste non vérifié. Si l'exigence obligatoire inchangée ne peut être satisfaite, maintenez cet état ; une garantie de protection ou une formule rassurante n'est pas une dérogation.
Faire arbitrer
Faites examiner catégories indéfinies, entités d'accès distant, lieux de reprise, exceptions des prestataires et mécanismes juridiques. Demandez une définition plus étroite par la procédure officielle au lieu de réduire unilatéralement votre réponse.

Conserver la décision dans les fichiers à déposer

Réponse sur la résidence, preuves d'architecture, annexe de traitement, liste de prestataires et dérogations doivent décrire une seule configuration approuvée. Une intégration activée ou un dispositif de support révisé peut invalider une ancienne réponse. REQVERA vise la cohérence entre exigences, réponses, preuves approuvées et fichiers finaux ; cette page n'évalue pas l'architecture d'un client et ne certifie pas la licéité du traitement.

Voir le parcours réel de contrôle final

Périmètre et sources de référence

Conseils illustratifs de réponse. Les références RGPD ne valent que dans ces contextes et ne constituent pas une règle juridique mondiale ; pays, secteurs et acheteurs peuvent imposer d'autres obligations. Aucune conclusion juridique sur un déploiement n'est fournie. Les exemples de prestataires illustrent des distinctions de périmètre, pas l'architecture de REQVERA ni un substitut universel à l'exclusivité. Complétez ou supprimez chaque champ conditionnel.

  • Microsoft — What is the EU Data Boundary?

    Documentation primaire du prestataire distinguant catégories de données, configuration et transferts limités ; lire le périmètre et les exceptions derrière l'intitulé de frontière. Revue le 11 octobre 2026.

  • EDPB — Guidelines 05/2021, final version 2.0

    Recommandations RGPD primaires sur les critères cumulatifs des transferts internationaux et les cas où un traitement à l'étranger ne relève pas du chapitre V. L'analyse juridique reste propre au cas.

  • EDPB — International data transfers

    Explication officielle des conditions RGPD de transfert ; ne détermine pas l'acceptation contractuelle ou dans la consultation d'une exigence exclusivement nationale.