Cloud Act et messagerie souveraine : pourquoi votre PME doit sortir de Microsoft 365

• #Cloud Act
• #RGPD
• #Messagerie souveraine
• #Souveraineté
• #Mail rgpd

Le Cloud Act (Clarifying Lawful Overseas Use of Data Act) est une loi fédérale américaine signée en mars 2018. Elle autorise les autorités US (FBI, DEA, NSA) à exiger d'une entreprise américaine la communication de données stockées sur ses serveurs, y compris à l'étranger. Microsoft, Google, AWS et toute entité soumise à la juridiction US sont concernées — même si le serveur physique est à Dublin, Francfort ou Strasbourg.

Le FBI peut émettre un warrant (mandat) demandant à Microsoft de transmettre les emails d'un utilisateur stockés à Dublin. Microsoft s'est opposé à cette demande en 2013-2014 (affaire US v. Microsoft Ireland), mais le Cloud Act a depuis légalisé cette pratique. L'entreprise US doit livrer les données sans en informer le client ni les autorités locales. Le Privacy Shield et son successeur l'EU-US Data Privacy Framework ne changent rien : ils encadrent les transferts commerciaux, pas les demandes d'accès des autorités.

• Microsoft 365 / Exchange Online / Outlook.com — entièrement soumis
• Google Workspace / Gmail — entièrement soumis
• AWS SES / WorkMail — soumis pour la partie infrastructure
• Dropbox, Box, OneDrive — soumis
• iCloud (Apple) — partiellement soumis (siège US)
• Mailcow managé Devoo — NON soumis (Devoo est une SARL tunisienne, stack open source)

Le RGPD (article 48) interdit le transfert de données vers un pays tiers si les autorités locales peuvent y accéder sans équivalent des garanties européennes. Si vos emails sont sur Microsoft 365 Dublin et que le FBI y accède via Cloud Act, vous êtes en infraction RGPD. Sanction : 4 % du CA mondial ou 20 M€, le plus élevé. Pour une PME de 100 collaborateurs réalisant 2 M€ de CA, l'amende peut atteindre 80 000 €. Pour un grand compte, c'est plusieurs millions.

1. Choisir un fournisseur non-américain : OVHcloud (FR), Scaleway (FR), Infomaniak (CH), Oxahost (TN), ou cloud européen AWS Frankfurt/Azure Allemagne
2. Stocker les emails sur des serveurs UE, jamais en Virginie ou en Oregon
3. Opter pour un stack open source auditable : Mailcow, Zimbra Carbonio, Stalwart
4. Signer un DPA (Data Processing Agreement) conforme RGPD avec clauses de non-transfert
5. Activer le chiffrement bout-en-bout (TLS 1.3 obligatoire + DANE + MTA-STS)
6. Activer IP dédiée emailing pour préserver la délivrabilité email

Devoo est une SARL tunisienne opérant depuis Tunis avec des serveurs sur OVHcloud Roubaix, Scaleway Paris et AWS Frankfurt. Le stack est 100 % open source : Mailcow managé + Docker + Rspamd + SOGo. Aucun composant Microsoft, Google ou autre éditeur US. DPA contractuel signé pour chaque client. Anti-spam IA Rspamd et sauvegardes mail quotidiennes 3-2-1 chiffrées en Europe.