La résidence des données était une question réservée aux juristes, et les équipes IoT pouvaient choisir une plateforme sans savoir sur quel continent leurs données dormaient. Cette époque est terminée. Les clients européens demandent où la télémétrie est stockée avant de demander les fonctionnalités, les appels d’offres publics font de la résidence un critère éliminatoire, et des secteurs de la santé aux services publics portent des règles nationales sur les données qui quittent le pays. Pour quiconque vend des services IoT, les options de résidence de la plateforme définissent en silence votre marché accessible : une plateforme avec une seule région américaine constitue un plafond sur ceux à qui vous pouvez vendre, quelle que soit la qualité du produit.
Évaluer correctement la résidence tient à une poignée de questions, et ces questions séparent les vraies réponses de celles du marketing.
Ce qu’est la résidence, et ce qu’elle n’est pas
La résidence des données est le lieu physique et juridique où vos données sont stockées. Elle est liée à trois notions voisines avec lesquelles on la confond, sans se confondre avec elles. La souveraineté des données désigne le droit applicable aux données, ce qui découle de la résidence mais aussi de l’identité de l’exploitant de l’infrastructure. La propriété des données désigne qui détient des droits sur elles, une question contractuelle traitée dans à qui appartiennent vos données IoT. Et la conformité au RGPD est un régime juridique qui encadre les transferts sans exiger par lui-même un stockage dans l’Union européenne.
Un fournisseur qui répond à une question de résidence par “nous sommes conformes au RGPD” a répondu à une autre question, et il vaut la peine de remarquer ce glissement quand il se produit.
Les cinq questions qui révèlent les réponses faibles
Premièrement : dans quelles régions nos données peuvent-elles résider, et pouvons-nous choisir par déploiement ? La réponse la plus solide est une liste documentée de régions avec un choix client au niveau du profil ou du tenant. TagoIO, par exemple, exploite des clusters distincts aux États-Unis et en Europe, et le choix vous revient à l’inscription. Si la réponse tient à une seule région, c’est un plafond de marché, pas un motif d’exclusion, mais tarifez-le.
Deuxièmement : est-ce que toutes les données restent dans la région, ou seulement la télémétrie ? C’est là que les récits de résidence fragiles s’effondrent. Les séries temporelles peuvent siéger à Francfort tandis que les métadonnées de compte, le stockage de fichiers ou les sauvegardes vivent discrètement ailleurs. Interrogez explicitement sur les métadonnées, les sauvegardes et les journaux, et obtenez la réponse par écrit.
Troisièmement : les données transitent-elles hors de la région pendant le traitement ? Certaines plateformes stockent dans la région mais traitent, exécutent analytics ou acheminent les notifications via des services situés ailleurs. Si vos clients tiennent à la résidence, ils tiennent en général aussi au transit. Cela inclut la couche IA : si la plateforme exécute Analytics et l’IA sur vos données, demandez où ces charges s’exécutent et si une partie quitte la région. Une plateforme qui fait tourner son intelligence dans la même infrastructure que le stockage a une réponse bien plus nette qu’une plateforme qui envoie par défaut les données vers des API de modèles tierces.
Quatrièmement : que se passe-t-il si nous devons changer de région plus tard ? La migration entre régions est la version résidence du vendor lock-in : possible partout, douloureuse à des degrés variables. Des API d’export documentées et un chemin de migration annoncé sont la réponse honnête ; “contactez le support” est un signal d’alerte.
Cinquièmement : qui peut accéder aux données, et depuis où ? La résidence des octets compte moins pour certains régulateurs que la résidence de l’accès. La juridiction des équipes de support, les listes de sous-traitants et l’entité juridique avec laquelle vous contractez appartiennent toutes à la diligence, et une plateforme dotée d’un DPA signé et d’une certification ISO 27001, comme celle de TagoIO, donne à votre relecteur conformité une base auditée au lieu d’assurances verbales.
Faire correspondre l’exigence au déploiement
Tous les déploiements n’ont pas besoin de la réponse la plus stricte, et surspécifier la résidence coûte aussi de l’argent. Un tri utile : les déploiements à sensibilité commerciale (la plupart de la supervision industrielle) demandent un choix de région et un DPA. Les déploiements à données personnelles (tout ce qui touche des occupants, des salariés, des véhicules) demandent un choix de région, des réponses sur le transit et toute la machinerie du RGPD, la liste complète de notre guide d’évaluation RGPD. Les déploiements en secteur réglementé (santé, services publics, administration) demandent tout ce qui précède plus les règles sectorielles, et il leur faut parfois réellement des composants sur site : c’est là qu’une option en périphérie comme TagoCore garde le traitement sensible en local pendant que le reste du parc demeure dans le cloud.
Si vous revendez des services IoT, faites ce tri pour vos clients avant qu’ils ne le demandent. Un revendeur capable de dire “vos données restent en Europe, voici le document” remporte des appels d’offres face à des concurrents qui ont besoin de trois semaines pour le vérifier.
Le test qui tranche
Demandez au fournisseur de montrer, pas de raconter : un modèle de DPA signé, la liste des régions dans la documentation publique, la liste des sous-traitants et le certificat. Dix minutes de documents valent mieux qu’une heure d’assurances. Une résidence bien traitée est ennuyeuse, et l’ennui est exactement ce que l’équipe conformité de votre client achète.
TagoIO exploite des clusters européens et américains, signe des DPA et est certifiée ISO 27001, les détails étant publics sur la page de confiance. Réservez une démo ou démarrez gratuitement.
