Une alternative au-delà du CLOUD Act
américain.

Oui. Le CLOUD Act, voté en 2018, permet aux autorités fédérales américaines de contraindre une entreprise soumise au droit US à produire des données stockées sous son contrôle effectif, quelle que soit la localisation géographique du serveur. Une filiale européenne d'une maison-mère américaine reste contrôlée par cette maison-mère et peut donc être contrainte. La région UE d'un hyperscaler américain n'est pas une protection juridique, c'est une protection logistique (latence, résidence physique au sens du RGPD chapitre V), mais elle ne neutralise pas l'exposition.

Non. La localisation des serveurs en Allemagne, en Irlande, en Belgique ou aux Pays-Bas ne modifie pas la nationalité de l'entreprise opératrice. Tant que l'entité juridique qui contrôle l'infrastructure relève du droit américain, elle peut être contrainte par une décision judiciaire fédérale américaine, indépendamment de la frontière physique. L'arrêt Schrems II de la CJUE du 16 juillet 2020 a confirmé que cette exposition rendait le Privacy Shield insuffisant comme cadre de transfert. Le successeur — Data Privacy Framework de 2023 — fait l'objet de recours actifs et son avenir reste incertain.

L'article 48 du RGPD dispose qu'aucune décision d'une juridiction ou d'une autorité administrative d'un pays tiers exigeant le transfert ou la divulgation de données personnelles n'est reconnue ni exécutable en Union européenne, à moins qu'elle ne soit fondée sur un accord international en vigueur (traité d'entraide judiciaire, par exemple). Une injonction CLOUD Act ne satisfait pas cette condition et entre donc en conflit direct avec le droit européen. Le considérant 115 du RGPD précise que les transferts ne peuvent reposer que sur les bases définies au chapitre V du règlement.

Non. Un Data Processing Agreement (DPA) au sens du RGPD organise la relation responsable de traitement / sous-traitant, mais il ne peut pas opposer un texte de droit interne d'un État tiers. Si le sous-traitant est juridiquement soumis au droit américain, le DPA ne le délie pas de cette obligation. C'est la nationalité juridique de l'opérateur et la juridiction du contrat qui priment, pas la clause contractuelle isolée. Les clauses contractuelles types (CCT) post-Schrems II exigent désormais une analyse d'impact des lois du pays tiers (Transfer Impact Assessment) et la mise en œuvre de mesures supplémentaires documentées : chiffrement bout-en-bout côté client, séparation de juridictions de contrôle, pseudonymisation forte.

Oui sur les deux plans. Juridiquement : Aegirex SAS est une société française immatriculée au RCS français, le contrat standard prévoit la juridiction française et l'absence de sous-traitant extra-UE dans le chemin de données, et le DPA Business est mis à disposition. Techniquement : le code source est intégralement publié sous AGPL-3.0 sur GitHub, y compris les fonctionnalités Pro et Business, et la chaîne d'audit HMAC-SHA-256 est vérifiable indépendamment via la commande bin/console aegirex:audit:verify. Aucun module n'est sous licence propriétaire fermée. Un cabinet d'audit PASSI peut être mandaté en parallèle, nous fournissons l'intégralité de la documentation d'architecture.

FISA Section 702 vise les fournisseurs de services de communications électroniques soumis à la juridiction américaine, et exige d'eux la collecte ciblée de communications de personnes non-américaines situées hors des États-Unis. Une entreprise française sans présence opérationnelle aux États-Unis ni filiale américaine n'est pas dans le champ de FISA 702. L'Executive Order 12333 régit la collecte de renseignement extérieur menée par les agences américaines hors cadre judiciaire, mais ne crée pas d'obligation contraignante pour une entreprise française : il encadre une activité d'État, pas une obligation de coopération d'un prestataire tiers européen.

L'arrêt Schrems II du 16 juillet 2020 a invalidé le Privacy Shield comme base de transfert de données vers les États-Unis et impose désormais une analyse d'impact de transfert (Transfer Impact Assessment) avant tout recours à des clauses contractuelles types vers un pays tiers ne disposant pas d'une décision d'adéquation pérenne. Pour un coffre-fort B2B, choisir un opérateur français évite cette analyse coûteuse et le risque réglementaire associé : il n'y a tout simplement pas de transfert international, donc pas de procédure complémentaire à monter. Le DPO gagne plusieurs semaines de travail, et le RSSI gagne un point de conformité documenté intrinsèquement.

La licence AGPL-3.0 ne crée pas en soi une immunité juridique : elle garantit que le code peut être audité, forké et auto-hébergé librement. La conséquence pratique est double. D'une part, une organisation qui le souhaite peut déployer Aegirex sur son infrastructure, hors de toute relation contractuelle avec l'éditeur, et donc hors de toute prise éventuelle d'une autorité étrangère sur l'éditeur. D'autre part, la transparence du code permet de vérifier que l'architecture zero-knowledge OpenPGP rend matériellement impossible la divulgation des secrets en clair par l'éditeur, même contraint. Une réquisition portant sur la base Aegirex ne livrerait que des secrets chiffrés inutilisables sans les clés des destinataires, qui ne quittent jamais le navigateur du client.