Hébergement et cloud en Suisse : localisation des données, SLA et coûts pour les PME

Hébergement, cloud public, privé ou hybride : quel modèle pour une PME suisse

La page du PFPDT (edoeb.admin.ch) sur le traitement des données dans le cloud définit le cloud computing. Il s’agit de la possibilité d’acquérir des applications et logiciels, de l’espace de stockage, des outils de développement, de la capacité réseau ou de la puissance de calcul via un réseau, par exemple Internet. L’acquisition se fait auprès d’un fournisseur de services cloud, selon les besoins.

kmu.admin.ch, le portail fédéral pour les PME, ajoute que le cloud computing désigne le stockage et l’accès aux données via Internet plutôt que par le disque dur d’un ordinateur. L’infrastructure distante (serveurs, disques, réseaux ou centres de données) peut être louée ponctuellement par les entreprises.

Le PFPDT cite des exemples concrets : les outils Office 365 pour les collaborateurs, la gestion des adresses e-mail pour les newsletters ou le conseil à la clientèle, un CRM en ligne et le chargement de vidéos sur des plateformes de streaming.

Pour le grand public, les services les plus connus sont Google Drive, Dropbox, Microsoft OneDrive et Apple iCloud. Il existe des offres cloud spécialisées pour les affaires : de nombreuses entreprises suisses les proposent aux PME qui souhaitent leur confier leurs données. La confidentialité est souvent mieux assurée par le fournisseur professionnel.

Pour les PME qui souhaitent accéder rapidement à des ressources informatiques évolutives sans investissements initiaux élevés, le cloud public est souvent le choix le plus répandu. Un guide sectoriel cite AWS, Microsoft Azure ou Google Cloud. Il décrit des environnements partagés avec paiement à la consommation, mise à jour automatique des plateformes, disponibilité mondiale et accès à des technologies avancées (IA, analytique, IoT).

Les points critiques : les données résident dans des centres de données partagés, souvent à l’étranger, ce qui soulève des doutes sur la souveraineté des données et la conformité à des réglementations telles que la nLPD ou le RGPD. Le problème concerne surtout les PME dans des secteurs réglementés ou qui gèrent des données sensibles.

Le cloud privé offre des ressources dédiées à une seule organisation, avec un contrôle et un isolement accrus. Il nécessite généralement des investissements et des compétences de gestion supérieurs. Le cloud hybride combine différents environnements.

Swisscom, par exemple, propose d’intégrer une infrastructure cloud ou hybride avec des solutions de sauvegarde. L’entreprise cite le multicloud comme combinaison d’offres diverses : cloud sous juridiction suisse pour les données clients et Microsoft 365 pour la communication et la collaboration interne.

Pour une PME suisse, il n’existe pas de réponse unique. Le choix dépend de la sensibilité des données, du secteur, des ressources informatiques internes, du budget et des perspectives de croissance. Le cloud public réduit les investissements initiaux et la charge de gestion informatique. Un modèle privé ou hybride peut offrir un meilleur contrôle sur les données critiques, mais doit être évalué en termes de coûts et de compétences.

Le guide sectoriel indique quatre critères d’évaluation : performance, conformité réglementaire, coûts de gestion et adaptabilité au modèle d’affaires. Pour les PME suisses s’ajoutent la protection des données, la souveraineté numérique et la disponibilité d’un support local.

Quel que soit le modèle, avant la signature, il convient de faire indiquer par écrit trois valeurs : le redevance mensuelle en francs, le prix des composants à la consommation et le pourcentage de disponibilité garanti. Sans ces données, la comparaison entre les offres reste théorique.

Un exemple suisse concret : la liste de prix des Managed Flex Server de Hostpoint commence à CHF 140.00 par mois pour Flex S (4 Go de RAM, 4 vCPU) et atteint CHF 630.00 par mois pour Flex XXL (96 Go de RAM, 16 vCPU). Les prix sont publiés pour des durées de 1 mois, 6 mois ou 1 an, avec des frais de configuration de CHF 190.- et une remise de 25 % sur la première période avec le code flex25.

Localisation des données : Suisse, pays tiers et juridiction

L’emplacement des serveurs et la juridiction applicable déterminent quelles lois et autorités peuvent accéder aux données. Elles définissent également les obligations que doivent respecter les fournisseurs et les clients.

La page du PFPDT (edoeb.admin.ch) sur le traitement des données dans le cloud compte parmi les aspects pertinents le transfert de données personnelles vers des pays tiers. Même si le fournisseur principal est suisse, les données peuvent être traitées à l’étranger par des sous-traitants ou sur des infrastructures étrangères.

De nombreux fournisseurs actifs en Suisse offrent le stockage des données en Suisse et une juridiction suisse. Hostpoint déclare une infrastructure entièrement gérée en Suisse et indépendante de fournisseurs tiers. Une offre peut toutefois prévoir que certains services ou sous-traitants se trouvent dans des pays tiers. Il convient donc de distinguer le lieu de stockage principal des transferts effectifs, même temporaires.

Swisscom déclare également le stockage des données en Suisse et une juridiction suisse. Lors de la comparaison des fournisseurs, cette déclaration doit être lue conjointement avec le siège des sous-traitants, qui peut se trouver ailleurs.

Pour les PME qui traitent des données personnelles ou sensibles, la localisation a un impact sur la conformité à la LPD et, le cas échéant, au RGPD. Un guide sectoriel signale que le stockage dans des centres de données partagés, souvent à l’étranger, soulève des doutes sur la souveraineté des données et la conformité réglementaire.

Dans les secteurs réglementés, tels que le secteur financier, des exigences supplémentaires peuvent s’appliquer, par exemple celles mentionnées par Swisscom en relation avec la FINMA. La Suisse est le 2e pays le plus attractif pour l’installation de centres de données en Europe, après les Pays-Bas ; selon CBRE, le pays comptait 93 centres de données en 2021.

En pratique, avant de signer, il convient de demander : où se trouvent les centres de données principaux et de sauvegarde ? Le fournisseur fait-il appel à des sous-traitants étrangers ? Quelles procédures s’appliquent en cas de demandes d’accès de la part d’autorités étrangères ? Les réponses devraient être documentées dans le contrat et dans les informations sur la protection des données.

Le contrat devrait nommer la localisation de manière vérifiable : centre de données principal, centre de données de sauvegarde et siège des sous-traitants. La simple référence au pays ne suffit pas si une partie du service est fournie ailleurs.

Responsable du traitement, prestataire et sous-traitant : ce qu’il faut mettre noir sur blanc

Selon le PFPDT (edoeb.admin.ch), le fournisseur de services cloud agit généralement en tant que prestataire – ou sous-traitant – du traitement des données du client au sens de l’article 9 de la loi fédérale sur la protection des données (LPD). Le client peut être à son tour responsable du traitement ou maître du fichier.

Si le client est maître du fichier, il doit s’assurer et garantir par contrat le respect des exigences relatives au traitement des données par le prestataire. Le maître du fichier reste responsable de la conformité à la protection des données des traitements effectués sur mandat par des fournisseurs cloud. Les droits des personnes concernées ne doivent pas être compromis par la délocalisation.

Celui qui confie des données à un fournisseur cloud relève des règles sur l’externalisation. Le PFPDT renvoie, pour les obligations de l’utilisateur du cloud, à ses explications sur l’externalisation et sur le traitement des données par un prestataire.

Le contrat devrait régir les instructions, les mesures de sécurité, le recours à des sous-traitants, les communications à l’étranger, l’assistance pour les demandes des personnes concernées, la notification des violations, la suppression ou la restitution des données à la fin de la relation. Le PFPDT rappelle que parmi les aspects à considérer figurent le recours à des prestataires et sous-traitants, la sécurité du traitement et le transfert de données personnelles vers des pays tiers.

Si le fournisseur fait appel à des sous-traitants, la PME devrait connaître leur identité et leurs lieux de traitement. Le contrat devrait prévoir l’autorisation préalable ou les modalités d’information en cas de changements, ainsi que des conditions équivalentes à celles appliquées au fournisseur principal.

La chaîne maître du fichier–prestataire–sous-traitant doit rester reconstructible même après un certain temps. En cas de vérification, la PME doit pouvoir présenter le contrat, les informations et le registre des traitements à jour.

SLA et continuité opérationnelle : disponibilité, géoredondance et sauvegarde

Un accord sur le niveau de service (SLA) ne se limite pas au pourcentage de disponibilité. Swisscom cite parmi les éléments offerts la disponibilité maximale, la protection contre les interruptions et la géoredondance. La géoredondance implique que les données et les services soient répliqués dans plusieurs emplacements, de sorte qu’une panne dans un centre de données n’interrompe pas les opérations.

La redondance ne remplace pas la sauvegarde. Swisscom conseille d’intégrer l’infrastructure cloud ou hybride avec une solution de sauvegarde pour se protéger contre les interruptions opérationnelles. Il est utile de définir la fréquence des sauvegardes, la conservation, l’emplacement des copies, les temps de restauration (RTO) et le point de restauration (RPO).

La protection contre les ransomwares compte également. Des fournisseurs comme Swisscom et Microsoft adoptent des mesures de sécurité spécifiques.

Swisscom cite également l’archivage sécurisé à des fins de révision parmi les éléments de ses solutions cloud. L’entreprise déclare satisfaire aux normes de sécurité les plus élevées et couvrir les exigences légales et réglementaires telles que la LPD et celles imposées par la FINMA.

Hostpoint observe que, lorsqu’un problème survient, il est important de comprendre qui est la personne chargée de le résoudre et comment la contacter. Le SLA devrait indiquer les canaux de support, les horaires, les délais de réponse et les modalités d’escalade.

Parmi les paramètres à négocier figurent la disponibilité garantie, les pénalités, les fenêtres de maintenance, la redondance géographique, la sauvegarde, la restauration, le support et la communication en cas d’incident. Ces éléments devraient être vérifiables et alignés sur les processus internes de la PME.

Dans le SLA, le pourcentage de disponibilité doit être lu conjointement avec les pénalités ou crédits pour non-respect et les délais de réponse du support. Si le fournisseur n’indique pas ces valeurs en chiffres, la PME devrait les demander par écrit avant la signature.

Le délai de réponse fait la différence surtout en dehors des heures de bureau. La PME devrait clarifier à l’avance qui répond la nuit et les week-ends et avec quelle priorité les pannes critiques sont traitées.

Hostpoint indique le niveau de support dans la liste de prix des Managed Flex Server : Silver Support Level pour Flex S, Gold Support Level de Flex M à Flex XXL. La rubrique « Coûts SLA » est indiquée comme « inclus ».

La fenêtre de restauration des données est de 30 jours sur Flex S, 60 jours sur Flex M et 180 jours de Flex L à Flex XXL. La connexion au serveur est indiquée à 250 Mbit/s (best effort) sur Flex S et Flex M et à 4000 Mbit/s à partir de Flex L.

Les éléments SLA déclarés par Swisscom sont la géoredondance, la disponibilité maximale, la protection contre les interruptions et l’archivage sécurisé à des fins de révision. L’entreprise ajoute la couverture des exigences de la LPD et de celles imposées par la FINMA.

Le niveau de support suit la redevance : Silver sur Flex S, Gold de Flex M à Flex XXL. En chiffres : CHF 140.00 par mois pour le niveau Silver et de CHF 170.00 à CHF 630.00 par mois pour le Gold.

Indicateurs SLA et performances des Managed Flex Server de Hostpoint

Coûts d’hébergement et de cloud : redevance, consommation et dépenses cachées

kmu.admin.ch constate que l’externalisation vers le cloud intéresse de plus en plus d’entreprises car elle coûte souvent moins cher que la gestion interne des données. Une PME sans les ressources nécessaires n’a pas à investir dans un parc informatique. Swisscom souligne que les solutions cloud et de sauvegarde en service géré éliminent les investissements dans les serveurs et la gestion de l’infrastructure, réduisant les risques, les coûts d’investissement et la complexité informatique.

Les postes de coût typiques comprennent : redevance fixe (hébergement, serveur dédié, service géré), coûts à la consommation (capacité de stockage, puissance de calcul, trafic, licences), coûts d’intégration et de migration, connectivité, sauvegarde et reprise après sinistre, support premium. Le cloud public élimine les coûts initiaux élevés et prévoit un paiement à la consommation. La flexibilité contractuelle permet d’ajuster l’espace, la durée et le nombre d’utilisateurs selon les besoins.

Étant donné que l’espace de stockage, la durée d’adhésion et le nombre d’utilisateurs sont variables, le devis dépend de l’utilisation effective. kmu.admin.ch relève en outre que l’accès simple aux documents est particulièrement utile pour les emplois temporaires.

Il faut considérer les dépenses cachées : trafic sortant, instantanés, sauvegardes supplémentaires, support hors heures ouvrables, coûts de migration sortante. La PME devrait demander un devis détaillé et vérifier les conditions de sortie.

La gestion interne entraîne des coûts pour l’alimentation électrique sans interruption, le contrôle des accès, la protection contre les pannes matérielles, les mises à jour et les configurations de sécurité. Swisscom rappelle qu’avec le cloud, ces tâches n’ont plus à être gérées personnellement. Les externaliser peut libérer des ressources internes, mais il faut considérer le coût de la coordination et de la gouvernance.

Le devis doit être demandé en francs et par écrit : redevance mensuelle, prix des composants à la consommation, frais de migration et de sortie. Ce n’est qu’avec des montants et des unités de mesure homogènes que les offres deviennent comparables.

Une tromperie fréquente est le coût du trafic sortant : une application qui échange beaucoup de données avec l’extérieur peut coûter bien plus que la redevance de base. La PME devrait estimer le volume mensuel prévu et le faire mettre par écrit.

Une liste de prix suisse publiée permet la comparaison : les Managed Flex Server de Hostpoint coûtent CHF 140.00 par mois (Flex S), CHF 170.00 (Flex M), CHF 230.00 (Flex L), CHF 400.00 (Flex XL) et CHF 630.00 (Flex XXL). À cela s’ajoutent CHF 190.- de frais de configuration.

La redevance comprend de 4 à 96 Go de RAM, de 4 à 16 vCPU, de 1000 à 2000 Go d’espace de stockage web sur SSD NVMe et des boîtes e-mail illimitées de 5 Go chacune. Le trafic est illimité dans le cadre d’un « usage raisonnable » ; les bases de données MariaDB sur SSD et les versions PHP 8.1, 8.2, 8.3 et 8.4 sont incluses.

La redevance comprend également les domaines : 100 sur Flex S, 200 sur Flex M, 300 sur Flex L et illimités à partir de Flex XL. Les bases de données MariaDB sur SSD sont au nombre de 100 sur Flex S, 200 sur Flex M, 300 sur Flex L et illimitées à partir de Flex XL ; PHP 8.1, 8.2, 8.3 et 8.4 sont disponibles en parallèle.

Les durées sélectionnables sont 1 mois, 6 mois ou 1 an ; le code flex25 donne 25 % de remise sur tous les serveurs Flex pour la première période. Des options à CHF 250.00 par mois et CHF 400.00 par mois sont prévues, activables lorsque le Managed Flex Server est disponible.

Support et proximité : la valeur d’un fournisseur suisse dans la pratique

Hostpoint soutient qu’un fournisseur suisse comme Hostpoint est l’option idéale pour ceux qui apprécient un support proche du client, un service fiable et des offres de haute qualité provenant d’un seul fournisseur. Gérer un site web ne nécessite pas seulement une infrastructure stable et des temps de chargement rapides : pour de nombreux gestionnaires, le support et les standards légaux pour la protection des données sont tout aussi importants.

Hostpoint souligne que la connexion étroite entre l’hébergement web, les e-mails et les domaines dans un seul système garantit une plus grande efficacité et des charges administratives moindres. Tout gérer depuis un seul panneau et avec une seule connexion évite de coordonner plusieurs fournisseurs. Le Panneau de contrôle Hostpoint permet de gérer E-Mail & Cloud Office, les domaines, l’hébergement web et les Managed Flex Server.

Un interlocuteur local parle la langue de l’entreprise, opère dans le même fuseau horaire et connaît le contexte réglementaire suisse. Cela réduit les malentendus et accélère la résolution des problèmes.

Hostpoint indique Claudius Röllin comme co-fondateur et CPO. L’entreprise cite un standard légal élevé pour la protection des données parmi les facteurs décisifs dans le choix d’un hébergement.

Hostpoint déclare une infrastructure entièrement gérée en Suisse et indépendante de fournisseurs tiers, avec des investissements de plusieurs millions chaque année dans les serveurs et les logiciels. Swisscom propose également des solutions avec stockage des données en Suisse et juridiction suisse. Pour de nombreuses PME, la proximité du fournisseur est un critère de choix qui va au-delà du prix.

Dépendance au fournisseur et données sensibles : comment garder le contrôle

kmu.admin.ch avertit que le stockage dans le cloud implique une dépendance au fournisseur. Si le fournisseur modifie les conditions, augmente les prix ou cesse le service, la PME doit pouvoir migrer les données et les applications sans pertes.

Étant donné que le cloud est par définition partagé, les mêmes indications conseillent de conserver en interne les données les plus sensibles. Un guide sectoriel signale que le cloud public est particulièrement critique pour les entreprises actives dans des secteurs réglementés ou qui gèrent des données sensibles.

Pour garder le contrôle, la PME peut conserver les données les plus sensibles sur des infrastructures internes ou un cloud privé. Elle peut utiliser une approche hybride ou multicloud, comme l’exemple de Swisscom : cloud sous juridiction suisse pour les données clients et Microsoft 365 pour la communication interne.

Elle peut prévoir des sauvegardes locales ou dans un second site, chiffrer les données avec des clés gérées en interne et définir une stratégie de sortie avec des formats ouverts et des obligations d’exportation.

Dans le contrat, il est utile d’inclure des droits de vérification, la notification des changements, la réversibilité et la suppression certifiée. La dépendance n’est pas seulement technique mais aussi contractuelle : les conditions de renouvellement, la durée et les pénalités de sortie doivent être négociées avant la signature.

Avant de signer, il convient de faire quantifier en francs les coûts de migration sortante et les délais de restitution des données. Ces deux postes doivent être mis par écrit, ainsi que l’obligation d’exportation dans un format ouvert.

La durée contractuelle pèse également sur la dépendance : les Managed Flex Server de Hostpoint peuvent être souscrits pour 1 mois, 6 mois ou 1 an. La redevance mensuelle en francs rend la dépense calculable pour la période choisie.

Critères de choix pour la PME : localisation, conformité, SLA et coûts

Il n’existe pas de réponse unique. Pour comparer les offres de cloud et d’hébergement, une PME peut utiliser une grille simple basée sur quelques critères clés.

Localisation et juridiction : centres de données en Suisse ? Sous-traitants étrangers ? Juridiction applicable ? Conformité : LPD, nLPD, RGPD si applicable, exigences sectorielles (ex. FINMA).

Rôles et contrat : maître du fichier/prestataire, sous-traitants, transferts à l’étranger. SLA et continuité : disponibilité, géoredondance, sauvegarde, RTO/RPO, support.

Coûts : redevance, consommation, migration, sortie. Support : langue, fuseau horaire, intégration domaines/e-mails/hébergement. Dépendance : données sensibles internes, stratégie de sortie.

Dans la grille, les réponses doivent être données en chiffres : pourcentage de disponibilité, redevance mensuelle en francs, coûts à la consommation, délais de réponse, localisation des centres de données. Les réponses génériques ne sont pas vérifiables en cas de litige.

Chez Swisscom, la grille se remplit avec des éléments qualitatifs : géoredondance, disponibilité maximale, protection contre les interruptions et archivage sécurisé à des fins de révision. L’entreprise déclare couvrir les exigences de la LPD et celles imposées par la FINMA.

Pour de nombreuses PME, un modèle hybride est raisonnable : données sensibles et applications critiques en Suisse ou sur site, services collaboratifs et non sensibles dans le cloud public. Swisscom cite le multicloud comme moyen de satisfaire plusieurs besoins simultanément.

Le PFPDT renvoie au mémo privatim « Cloud-spezifische Risiken und Massnahmen » (2022). Il signale également deux publications de l’Office fédéral allemand pour la sécurité de l’information : « Sichere Nutzung von Cloud-Diensten – Schritt für Schritt von der Strategie bis zum Vertragsende » (2016), sur l’utilisation sécurisée des services cloud, et « Checkliste zur Auswahl eines Cloud-Dienstes » (2022), une liste de contrôle pour le choix d’un service cloud. Les documents sont en allemand.

Le choix doit être revu périodiquement, car les exigences réglementaires, les offres et les besoins de l’entreprise changent. Documenter les décisions et les contrôles aide à démontrer la diligence requise en cas de vérification.

Données vérifiables pour la grille : redevance de CHF 140.00 à CHF 630.00 par mois et CHF 190.- de frais de configuration pour les Managed Flex Server de Hostpoint. À cela s’ajoutent le niveau de support (Silver ou Gold) et la fenêtre de restauration des données, de 30 à 180 jours.