Le manuel discret de la souveraineté : 8 entreprises européennes qui résolvent votre problème de CLOUD Act

Les data-centres ne suffisent pas

La conversation par défaut sur la souveraineté dans la tech européenne ressemble à ceci : ‘Notre fournisseur propose une région UE. Les données restent à Francfort. Le RGPD est respecté. Nous sommes couverts.’

C’est la mauvaise conclusion. En vertu du CLOUD Act américain (2018) et de la FISA Section 702, les autorités américaines peuvent contraindre une société constituée aux États-Unis à divulguer les données qu’elle détient partout dans le monde — y compris celles physiquement stockées à Francfort, Paris ou Dublin. Ce qui compte juridiquement n’est pas où se trouvent les données mais qui est la société mère. Si la maison mère est une Delaware corporation, une région UE est un confort, pas un bouclier juridictionnel.

La Cour de justice de l’Union européenne l’a rendu explicite dans Schrems II (2020) et l’a renforcé dans la jurisprudence ultérieure : un accord de traitement des données, des clauses contractuelles types et un hébergement dans l’UE ne suppriment pas le risque de divulgation extraterritoriale de données américaines. Seul un fournisseur dont l’entité mère est véritablement hors de la juridiction américaine le fait.

C’est la question de la ‘souveraineté discrète’ : non pas ‘notre fournisseur propose-t-il une région UE ?’ mais ‘si une National Security Letter américaine arrive, l’entreprise réceptrice est-elle une entité constituée aux États-Unis qui doit s’y conformer, ou une entité européenne qui ne le peut pas ?’

Voici huit fournisseurs européens — plusieurs cotés en bourse à grande échelle, plusieurs projets open source financés par le public, plusieurs institutions financières régulées — qui répondent tous à la seconde question de la même manière : pas de maison mère américaine, pas de portée du CLOUD Act, pas d’exposition FISA 702. C’est le manuel discret de la souveraineté.

1. Sinch — Le CPaaS suédois à l’échelle Nasdaq Stockholm

Pour les SMS, la voix, la vérification, WhatsApp Business, RCS et l’e-mail transactionnel — la couche CPaaS dont dépend chaque application européenne orientée client — la valeur par défaut américaine est Twilio. La réponse européenne est Sinch : basée à Stockholm, cotée à Nasdaq Stockholm (ticker SINCH), 4000+ employés dans 60+ pays. Sinch a acquis Mailgun en 2021 et Mailjet en 2019, offrant un remplaçant crédible de SendGrid au sein de la même structure d’entreprise.

Sinch a été fondée en 2008 — la même année que Twilio — et est l’une des plus grandes entreprises technologiques européennes dont la plupart des gens n’ont jamais entendu parler. Pour les organisations européennes de la fintech, de la santé et du secteur public où les flux de vérification et la télémétrie de messagerie portent un poids réglementaire, c’est le remplacement architectural direct.

2. dScribe — La gouvernance des données belge pour la stack de données moderne

La Belgique a produit la plateforme mondiale dominante de gouvernance des données en 2008 — Collibra — mais a ensuite vu l’entreprise déplacer son siège mondial à New York et se ré-incorporer en tant que société américaine. Aujourd’hui, Collibra est une Delaware corporation. C’est un excellent résultat pour les investisseurs des marchés de capitaux et un résultat sous-optimal pour les équipes de données européennes dont les métadonnées de gouvernance sont désormais juridiquement sous la portée du CLOUD Act.

dScribe Cloud est la réponse belge plus récente basée à Gand, fondée en 2021. Elle couvre le glossaire métier, la lignée des données, le contexte au sein des rapports et — surtout — une couche sémantique que les applications IA peuvent interroger pour des définitions gouvernées. Le fondateur Pieter Delaere dirige une entreprise qui est restée structurellement belge. Intégrations Power BI, Fabric, Databricks, SAP au premier plan.

3. Twikey — Prélèvement SEPA belge + e-mandats eIDAS

Le prélèvement automatique n’est pas passionnant ; il est incontournable pour les entreprises européennes par abonnement. Twikey, basée à Gand, a construit l’une des plateformes de prélèvement SEPA et de gestion de mandats les plus adoptées au Benelux et en DACH. Signature d’e-mandats conforme eIDAS (juridiquement contraignante dans toute l’UE), 3500+ connexions bancaires, prise en charge native de Cegid, Exact, Odoo et Teamleader.

GoCardless a son siège au Royaume-Uni et couvre la même catégorie, mais la base d’entreprise belge de Twikey et son intégration profonde aux schémas locaux en font le choix orienté souveraineté pour les opérations européennes par abonnement.

4. OpenProject — GmbH berlinoise, GPLv3, fin de l’ère Jira Server

Jira Server d’Atlassian a été abandonné en février 2024. Les organisations qui hébergeaient Jira en interne pour des raisons de souveraineté des données font maintenant face à un choix : migrer vers Jira Cloud (Delaware corporation, hébergé sur AWS, exposé au CLOUD Act), migrer vers Jira Data Center (démarre autour de 44 000 USD/an pour 500 utilisateurs), ou migrer vers une alternative véritablement auto-hébergeable.

OpenProject — GmbH berlinoise, sous licence GPLv3, membre de la Free Software Foundation Europe — est le troisième chemin. Community Edition est gratuit à vie ; Enterprise Cloud fonctionne sur une infrastructure UE. Agile hybride + Gantt + intégration BIM pour la construction. Adopté par les ministères fédéraux allemands et les universités. La fin, consciente de la souveraineté, de l’ère Jira Server.

5. GetResponse — Pologne, indépendant depuis 1997

Pour l’e-mail marketing à grande échelle, les options américaines (Mailchimp, Constant Contact, HubSpot) sont toutes sous des sociétés américaines — Mailchimp acquis par Intuit, Constant Contact acquis par Clearlake et Siris US private equity en 2021. Même MailerLite opère une structure juridique double États-Unis/Irlande.

GetResponse est l’exception : fondée en 1997 à Gdansk par Simon Grabowski, 27 ans de propriété polonaise indépendante continue, plan d’options d’achat d’actions pour les employés mis en place en 2021. 400 000+ clients dans 183 pays, 10+ langues, webinaires et créateur de cours natifs. La rare plateforme d’e-mail marketing à grande échelle qui reste, véritablement, européenne.

6. CrowdSec — WAF open source parisien avec liste de blocage communautaire

Pour la couche sécurité/WAF/gestion des bots de Cloudflare, le défi architectural est que Cloudflare est un reverse proxy — acheminant votre trafic client à travers une infrastructure de Delaware corporation. CrowdSec est une architecture entièrement différente : un agent open source sous licence MIT s’exécutant sur vos serveurs, lisant les journaux, détectant les comportements malveillants et déclenchant des bouncers qui bloquent à la couche appropriée.

SAS parisienne. 14 000+ étoiles GitHub. Une liste de blocage communautaire alimentée par des dizaines de milliers d’installations actives. Déployé dans l’administration publique française et par de nombreux hébergeurs européens. Pour le CDN + le cache edge, associez CrowdSec à Bunny.net (Slovénie) ou OVHcloud (France) — la stack combinée remplace la surface utile de Cloudflare sans l’exposition au CLOUD Act.

7. Lemonway — Établissement de paiement français pour les marketplaces

Les paiements de marketplaces sont une infrastructure régulée, pas une intégration technique. Sous PSD2, les marketplaces qui détiennent des fonds de tiers ont besoin d’un établissement de paiement régulé — pas seulement d’une API. Stripe Connect fournit ceci via Stripe Payments Europe Limited (Dublin), mais la maison mère Stripe Inc. est constituée dans le Delaware.

Lemonway est l’Établissement de Paiement agréé par l’ACPR basé à Paris (agrément #16568 depuis 2012) qui a traité 12,4 milliards d’euros sur 20,3 millions de transactions en 2025 pour 1200+ marketplaces européennes dont Decathlon, SNCF Connect & Tech, Drouot et EstateGuru. Couverture profonde de Cartes Bancaires, iDEAL, Bancontact, Sofort — souvent 30-50 % moins cher que le traitement par schémas internationaux. Régulé par le bras de supervision de la Banque de France.

8. Tehtris — XDR souverain français à Pessac

L’Endpoint Detection and Response est la catégorie de logiciels qui voit le plus. Les agents au niveau du noyau observant chaque lancement de processus, accès à un fichier, invitation à des identifiants et connexion réseau produisent le flux de télémétrie le plus sensible du paysage des fournisseurs. CrowdStrike Falcon est légitimement excellent — et CrowdStrike Holdings, Inc. est une Delaware corporation cotée au Nasdaq (CRWD), avec son siège à Austin.

Tehtris est la plateforme XDR française (fondée en 2010, Pessac près de Bordeaux) couvrant EDR, MTD, NTA, SIEM, SOAR, honeypots, CTI et détection pilotée par IA (CYBERIA) sous une seule SAS française. 250+ ingénieurs, 100+ pays, ISO 27001, évaluée par MITRE ATT&CK. Pour les entités essentielles NIS2, les entreprises financières couvertes par DORA et les RSSI du secteur public qui ont désormais une exposition télémétrique juridictionnelle étrangère sur leur registre des risques, Tehtris supprime l’exposition au niveau de l’entité juridique.

Pourquoi cela compte plus en 2026

Trois dynamiques réglementaires convergent :

1. La transposition de NIS2 dans les États membres de l’UE entre en phase de mise en application. Les entités essentielles et importantes se voient poser des questions concrètes sur la juridiction des fournisseurs, pas seulement sur leurs certifications.

2. DORA (Digital Operational Resilience Act) s’applique depuis janvier 2025 aux organisations de services financiers dans toute l’UE. L’évaluation des risques ICT tiers inclut explicitement le risque de concentration et le risque juridictionnel des fournisseurs critiques.

3. L’EU AI Act s’applique aux systèmes d’IA et à l’infrastructure de traitement de données sous-jacente. À mesure que la télémétrie de traitement IA devient une catégorie de données à haute sensibilité, la même question d’exposition au CLOUD Act se pose à nouveau — désormais pour les fournisseurs IA.

En parallèle, l’environnement politique n’aide pas. Les discussions sur les tarifs réciproques, la volatilité des sanctions et la fragilité visible du cadre de protection des données UE-États-Unis font que ‘notre fournisseur a une maison mère américaine mais promet de se conformer au RGPD’ est une réponse plus faible pour les responsables conformité qu’elle ne l’était même en 2024.

Le manuel de la souveraineté, condensé

Le manuel n’est pas ‘rejeter tous les logiciels américains’. C’est : pour chaque catégorie de données à haute sensibilité que votre organisation traite, sachez si l’entité juridique mère du fournisseur est à l’intérieur ou à l’extérieur de la juridiction américaine — et choisissez en conséquence.

• CPaaS / messagerie → Sinch (Suède, Nasdaq Stockholm)
• Gouvernance des données → dScribe (Belgique)
• Prélèvement SEPA + e-mandats → Twikey (Belgique)
• Gestion de projet → OpenProject (Allemagne, GPLv3)
• E-mail marketing → GetResponse (Pologne)
• WAF + gestion des bots → CrowdSec (France, open source) + Bunny.net (Slovénie) pour le CDN
• Paiements marketplaces → Lemonway (France, ACPR PI)
• EDR / XDR → Tehtris (France)

Ces huit ne sont pas les seules réponses européennes dans leurs catégories — mais chacune est une entité juridique structurellement UE à une échelle significative, avec un vrai produit, une véritable adoption clients et aucune maison mère américaine pour contraindre. C’est le manuel discret de la souveraineté.

Pour la plupart des organisations, migrer une catégorie à la fois — en commençant par celle qui génère la télémétrie la plus sensible — est le bon rythme. L’ordre importe moins que la reconnaissance du fait que l’emplacement du data-centre n’est pas la réponse. La juridiction de l’entité juridique l’est.

Vous voulez vérifier votre propre stack ? Essayez notre outil Score de Souveraineté gratuit — collez les produits que vous utilisez, obtenez un score d’exposition juridictionnelle de 0 à 100 plus des alternatives européennes spécifiques pour les outils qui vous exposent le plus.