L'IAM souverain, hors de portée du CLOUD Act
Authentification unique, MFA et gestion des utilisateurs pour vos applications et vos clients. Ni maison mère ni juridiction américaine : aucun gouvernement étranger ne peut lire vos identités ni les couper.
Ils confient leurs identités à Cloud-IAM
Un datacenter européen ne suffit pas à la souveraineté européenne
Okta, Auth0, Microsoft Entra ID et la plupart des fournisseurs d'identité américains proposent un hébergement en région européenne. Vos données sont à Francfort, Paris ou Dublin, mais l'entreprise qui les opère est américaine, et le droit américain suit l'entreprise, pas le serveur.
Le droit américain donne à Washington deux leviers sur un fournisseur américain, où que soient ses serveurs : le CLOUD Act pour obtenir vos données, et les sanctions pour couper votre accès.
Les autorités américaines peuvent ordonner à un fournisseur américain de livrer les données qu'il contrôle, même sur un serveur à Francfort. Une ordonnance de non-divulgation peut lui interdire de vous prévenir : vous pourriez ne jamais le savoir.
Les sanctions américaines obligent les entreprises américaines à cesser de servir ceux qu'elles visent. Coupez l'IAM, et plus personne ne se connecte nulle part : ni vos salariés, ni vos clients, ni vos partenaires.
Pour un IAM, cela veut dire votre annuaire, votre historique de connexions, les clés de vos applications, et la possibilité même de se connecter.
| Fournisseur américain, région européenne | Cloud-IAM | |
|---|---|---|
| Données stockées en Europe | Oui | Oui |
| Aucune exposition aux lois extraterritoriales | Non | Oui |
| Aucun gouvernement étranger ne peut couper votre accès | Non | Oui |
| Aucun sous-traitant américain sur les données de vos utilisateurs | Non | Oui |
| Trafic de connexion servi directement par votre déploiement | Non | Oui |
| Opéré uniquement depuis la France | Non | Oui |
| Le même IAM, sur vos propres serveurs | Non | Oui |
De toutes vos données, celles de votre IAM doivent rester hors d'atteinte
Votre IAM n'est pas une base de données de plus. C'est celle qui ouvre toutes les autres, et elle contient tout ce qu'il faut pour le faire.
Ce qu'il contient
Noms, e-mails, numéros de téléphone, empreintes de mots de passe, et les secrets OTP et passkeys censés arrêter un mot de passe volé.
Qui peut accéder à quoi, et qui s'est connecté, quand, depuis quelle adresse IP et quel appareil.
Les clés qui signent vos jetons et les identifiants de vos annuaires. Qui les détient peut se connecter sous n'importe quelle identité, à n'importe quelle application.
Ce que cela implique pour vous
Des données personnelles sur chacun de vos utilisateurs. Une violation doit être notifiée sous 72 heures, et les amendes atteignent 4 % du chiffre d'affaires mondial.
Si vos utilisateurs sont des patients, leurs comptes peuvent relever des données de santé, que la loi française impose de confier à un hébergeur certifié HDS.
Le contrôle d'accès et le MFA font partie des mesures exigées par NIS2 : votre IAM et celui qui l'opère ont leur place dans votre analyse de risques fournisseurs.
Une copie de votre CRM expose vos clients. Une copie de votre IAM permet de se faire passer pour eux.
La souveraineté par un contrôle opérationnel européen
Un opérateur français, le cloud de votre choix, et chaque dépendance nommée.
Cloud-IAM est indépendante et détenue à 100 % par des capitaux français, sans maison mère ni actionnaire américain. Seuls nos salariés, basés en France, peuvent opérer votre déploiement.
Votre déploiement tourne chez 3DS Outscale ou Scaleway, en France, y compris sur la région SecNumCloud d'Outscale. AWS, Google Cloud et Azure restent disponibles si vous en avez besoin.
Un accord de traitement des données, une liste publique de chaque sous-traitant et de son lieu d'opération, et une certification ISO 27001 à remettre à votre DPO.
La résidence des données sur tout le service
Votre base dans la région de votre choix, sauvegardes, logs et clés en France, et des connexions qui vont droit à votre déploiement.
Souverain, c'est toujours disponible, et toujours à vous
Vos utilisateurs peuvent toujours se connecter, et vous pouvez toujours tout emporter, quoi qu'il arrive à nos prix. C'est votre Keycloak : nous l'opérons, vous le gardez.
Un Keycloak hautement disponible et sa base de données sur des clouds européens, avec un SLA de disponibilité jusqu'à 99,98 %.
Notre équipe supervise votre déploiement jour et nuit, teste chaque version de Keycloak et revient en arrière si quelque chose casse.
Sur les offres payantes, exportez vos realms en JSON Keycloak et téléchargez des sauvegardes PostgreSQL complètes, chiffrées avec votre propre clé.
Keycloak standard, des standards ouverts, et aucun frais de sortie. Si nos prix augmentent, votre équipe ou un autre opérateur peut le reprendre demain : vous n'êtes jamais captif.
Ce que cela change pour votre conformité
RGPD
Le RGPD encadre les transferts de données personnelles hors de l'UE, et l'accès par un fournisseur américain en est un. Il refuse aussi de reconnaître l'injonction d'une autorité étrangère de livrer des données, sauf si un accord international le prévoit. Sur un cloud européen, les données de vos utilisateurs restent dans l'UE et ne parviennent jamais à une entreprise américaine.
Cloud-IAM agit en tant que sous-traitant, dans le cadre d'un accord de traitement des données.
CLOUD Act et FISA 702
Le CLOUD Act permet aux autorités américaines d'exiger les données qu'un fournisseur américain contrôle, où qu'elles soient stockées, et la section 702 du FISA permet au renseignement américain de cibler les données des non-Américains détenues par des fournisseurs américains.
Les fournisseurs américains répondent par le Data Privacy Framework UE–États-Unis. Il rend légaux au regard du RGPD les transferts vers les entreprises américaines certifiées, mais ne change rien au CLOUD Act, qui n'a besoin d'aucun transfert. Et les deux cadres qui l'ont précédé, le Safe Harbor et le Privacy Shield, ont été invalidés par la Cour de justice de l'UE en 2015 et en 2020.
Cloud-IAM est une entreprise française sans maison mère américaine : ces lois ne s'appliquent pas à nous.
Cloud Sovereignty Framework de l'UE (SEAL)
Le Cloud Sovereignty Framework de la Commission européenne évalue les services cloud sur huit objectifs de souveraineté, de SEAL-0, aucune souveraineté, à SEAL-4, souveraineté numérique complète. Un service obtient le niveau le plus bas qu'il atteint sur l'ensemble des objectifs, et la Commission fixe désormais un SEAL minimum dans ses propres appels d'offres cloud.
Scaleway, l'un de nos deux hébergeurs français, a atteint SEAL-3 dans l'appel d'offres 2026 de la Commission. Cloud-IAM est conçu autour des objectifs du cadre pour la couche que nous opérons au-dessus : une entreprise française, opérée depuis la France, sur un Keycloak standard que vous pouvez emmener ailleurs.
NIS2
La directive NIS2 rend les entités essentielles et importantes responsables de la sécurité de leurs fournisseurs, et son article 21 cite le contrôle d'accès et l'authentification multifacteur parmi les mesures à prendre.
Cloud-IAM est certifié ISO 27001 et vous apporte d'emblée le MFA, les journaux d'audit et le contrôle des accès administrateurs, avec un fournisseur européen que vous pouvez documenter.
SecNumCloud et HDS
SecNumCloud est la qualification de l'ANSSI pour les services cloud, et depuis sa version 3.2 elle exige une protection contre les lois extra-européennes. La certification HDS est imposée par la loi française pour héberger des données de santé.
Cloud-IAM peut déployer votre Keycloak sur la région qualifiée SecNumCloud d'Outscale et sur un hébergement certifié HDS, pour le secteur public, la santé et les industries critiques.
Cloud-IAM est-il soumis au CLOUD Act américain ?
Non. Cloud-IAM est une entreprise française, détenue à 100% par des capitaux français, sans maison mère, filiale ni actionnaire américain. Le CLOUD Act s'impose aux fournisseurs sous juridiction américaine, et Cloud-IAM n'en fait pas partie.
Une région européenne chez AWS, Azure ou Google ne protège-t-elle pas mes données ?
Elle garde les données en Europe, pas hors d'atteinte. Le CLOUD Act et le FISA 702 s'appliquent aux entreprises américaines où qu'elles stockent leurs données : un serveur à Francfort opéré par un fournisseur américain peut toujours faire l'objet d'une injonction.
Le Data Privacy Framework UE–États-Unis ne suffit-il pas ?
Le Data Privacy Framework rend légaux au regard du RGPD les transferts vers les entreprises américaines certifiées. Il n'empêche pas les autorités américaines d'accéder aux données que ces entreprises détiennent, et il pourrait ne pas durer : les deux cadres qui l'ont précédé ont été invalidés par la Cour de justice de l'UE, en 2015 et en 2020.
Où sont stockées les données de mes utilisateurs ?
Dans votre déploiement, sur le cloud et la région de votre choix : 3DS Outscale ou Scaleway, en France, pour une configuration souveraine. Les logs, les métriques et les sauvegardes chiffrées sont conservés en France, chez Scaleway et Outscale.
Cloud-IAM fait-il appel à des entreprises américaines ?
Pas pour les données de vos utilisateurs. Votre déploiement, ses logs et ses sauvegardes restent chez des fournisseurs européens. Pour notre propre activité, nous utilisons quelques services américains, comme Stripe pour la facturation, HubSpot pour notre CRM et Google Workspace pour la messagerie de l'entreprise. Ils traitent les informations de votre compte (utilisateurs de la console, contacts, factures), jamais les identités de votre déploiement. La liste des sous-traitants les nomme tous, avec ce que chacun traite.
Qui, chez Cloud-IAM, peut accéder à mon déploiement ?
Uniquement l'équipe opérations et support de Cloud-IAM, composée de salariés basés en France.
Puis-je garder mes propres clés de chiffrement ?
Oui, en apportant votre propre clé (BYOK). Sinon, les clés sont gérées chez Scaleway, en France.
Cloud-IAM est-il qualifié SecNumCloud ?
Notre hébergeur l'est. Cloud-IAM peut déployer sur la région qualifiée SecNumCloud d'Outscale ; Cloud-IAM ne détient pas lui-même la qualification. Cloud-IAM est certifié ISO 27001.
Comment Cloud-IAM vous aide-t-il avec NIS2 ?
NIS2 vous demande de sécuriser l'accès à vos systèmes, notamment par l'authentification multifacteur, et de répondre de vos fournisseurs. Cloud-IAM vous apporte le MFA, les journaux d'audit et le contrôle des accès administrateurs, en tant que fournisseur européen certifié ISO 27001 que vous pouvez documenter dans votre analyse de risques.
Puis-je quitter Cloud-IAM en emmenant mes utilisateurs ?
Oui. Cloud-IAM opère Keycloak, qui est open source : vous pouvez exporter vos realms, vos utilisateurs et votre configuration, et les importer dans n'importe quel Keycloak, y compris sur vos propres serveurs.
Puis-je quand même héberger sur AWS, Azure ou Google Cloud ?
Oui, Cloud-IAM y tourne aussi, dans la région de votre choix. Ce sont des entreprises américaines : un déploiement chez elles ne bénéficie pas de la souveraineté décrite sur cette page.
