Résumé

  • CONVOTIS Swiss Cloud AG n’est pas un véhicule nouvellement créé pour correspondre à un nom commercial. Les registres publics des sociétés le relient à une entreprise zurichoise enregistrée en 2000, tandis que la société affirme qu’aspectra AG a adopté le nom actuel en mars 2025.
  • L’indice opérationnel indépendant le plus fort est AS9100. Les registres RIPE relient l’organisation réseau au même numéro d’entreprise suisse et à la même adresse zurichoise, et un instantané RIPEstat de juillet 2026 a montré 29 préfixes IPv4 et IPv6 annoncés.
  • Les documents publics démontrent une empreinte crédible d’hébergement et de services gérés, mais ils ne déterminent pas par eux-mêmes la disponibilité, l’objectif de récupération, la réponse aux incidents ou l’engagement de localisation des données d’un client. Ces assurances relèvent toujours d’un contrat nominatif avec une entité opérationnelle clairement identifiée.

Le nom est le début de l’enquête, pas sa conclusion

L’approvisionnement en cloud est particulièrement vulnérable aux noms rassurants. « Suisse » peut suggérer un contrôle local, « cloud » peut suggérer une échelle, et une marque de groupe peut suggérer l’accès à des ressources solides. Aucune de ces implications n’est sans valeur. Aucune ne remplace l’identification de l’entreprise qui signe, exploite, répond et assume la responsabilité en cas de défaillance du service.

CONVOTIS Swiss Cloud AG est une bonne étude de cas car son dossier public contient plus de substance que le nom seul, mais aussi suffisamment de coutures entre l’historique de l’entreprise, du groupe et du réseau pour mériter une lecture attentive. Le nom actuel est récent. Dans uneannonce de changement de marque de mars 2025, CONVOTIS a déclaré qu’aspectra AG opérerait sous le nom CONVOTIS Swiss Cloud AG à partir du 24 mars 2025. Il a décrit ce changement comme l’étape finale de l’intégration d’aspectra dans le groupe CONVOTIS Suisse, tout en préservant l’indépendance juridique de l’entreprise.

Cette distinction est importante. Un changement de nom peut préserver les contrats, le personnel, les systèmes et les accréditations lorsque la personne morale sous-jacente reste la même. Une intégration au groupe peut élargir les capacités commerciales et techniques. Mais « partie de CONVOTIS » et « CONVOTIS Swiss Cloud AG » ne sont pas des réponses interchangeables à une question de responsabilité. Les acheteurs doivent pouvoir identifier quelle entité fournit le service, quelle entité emploie les opérateurs, quelle entité contrôle l’infrastructure, et si une société du groupe garantit l’obligation.

La piste d’identité publique est inhabituellement cohérente sur ses coordonnées de base. Lesmentions légales de CONVOTISlistent CONVOTIS Swiss Cloud AG au Weberstrasse 4, 8004 Zurich, avec l’identifiant d’entreprise suisse CHE-105.612.642. Elles listent la société séparément de CONVOTIS Schweiz AG et des autres membres du groupe. Lapage de l’entreprise sur Moneyhouse, s’appuyant sur les registres du commerce suisses, indique une société anonyme active avec le numéro de registre CH-020.3.023.486-0, une date d’enregistrement initiale au 26 juillet 2000, et une classification d’activité couvrant le traitement de données et les services d’hébergement. Elle a enregistré une dernière notification au registre le 8 avril 2026.

Ces documents confirment la continuité de l’identité juridique. Ils ne montrent pas que chaque service décrit sur le site web du groupe est fourni par cette société. Cette attribution plus restreinte doit être prouvée service par service.

L’ancien nom du réseau est une preuve de continuité

Le document technique public le plus informatif est AS9100, un numéro de système autonome utilisé pour annoncer des routes sur Internet. L’enregistrement porte toujours le nom AS « Aspectra ». À première vue, un ancien nom de réseau sous un nouveau nom d’entreprise pourrait ressembler à une négligence. Ici, il est plus utile comme marqueur historique.

Laréponse WHOIS RIPEstat pour AS9100indique que le numéro a été créé le 3 juillet 2002, identifie l’emplacement comme Zurich et pointe vers le handle d’organisation ORG-AA918-RIPE. Sa politique de routage nomme des connexions impliquant AS6772, AS174 et AS6939. Leenregistrement d’organisation sous-jacent de RIPEfournit le pont actuel: le nom de l’organisation est CONVOTIS Swiss Cloud AG, son numéro d’enregistrement est CHE-105.612.642, et son adresse est Weberstrasse 4 à Zurich. Le même enregistrement classe l’organisation comme un registre Internet local et fournit un handle de contact pour les abus.

C’est une preuve plus solide qu’un logo sur une page produit. L’identifiant juridique et l’adresse correspondent à l’identité de l’entreprise, tandis que l’ancien nom AS correspond à l’historique d’aspectra divulgué dans l’annonce de changement de marque. Ensemble, ils indiquent que le changement de marque repose sur une exploitation réseau établie plutôt que sur une étiquette cloud inventée sans historique de ressources visible.

L’empreinte des ressources est également observable. Uninstantané des préfixes annoncés RIPEstat pour AS9100, interrogé le 15 juillet 2026, a renvoyé 29 annonces de routes IPv4 et IPv6 observées au cours des deux semaines précédentes. Ils incluaient des plages IPv4 telles que 128.127.50.0/24, 185.27.184.0/24, 193.247.208.0/23 et 194.247.8.0/24, ainsi que plusieurs routes IPv6 sous 2a02:e0c0.

Ceci doit être interprété avec précision. Les préfixes annoncés établissent que AS9100 a une empreinte de routage vivante et visible de l’extérieur. Ils ne déterminent pas qui possède les serveurs derrière chaque adresse, où se trouve chaque charge de travail, quelle est la capacité disponible, si le service d’un client utilise ces plages, ou quelle est la résilience du chemin. Une table de routage est une preuve d’exploitation, pas un substitut à un diagramme d’architecture, un calendrier d’actifs ou un rapport de disponibilité.

La distinction est particulièrement importante pour les revendications de souveraineté. Le pays d’enregistrement IP, l’origine de la route et la localisation des données peuvent coïncider, mais ce ne sont pas les mêmes faits. Un réseau enregistré en Suisse peut transporter du trafic pour des charges de travail situées ailleurs; une charge de travail dans une installation suisse peut dépendre de logiciels étrangers, d’accès de support ou de plans de contrôle. La localisation doit donc être indiquée au niveau des charges de travail, des sauvegardes, de la gestion et du support, et non déduite du nom de l’entreprise ou d’un ASN.

Les pages de services décrivent une large surface de contrôle

Lapage des solutions cloudde CONVOTIS décrit un portefeuille couvrant le cloud privé géré et souverain, les environnements hybrides et multi-cloud, AWS et Azure gérés, les clusters OpenShift, les environnements de développement, l’automatisation et l’orchestration, Kubernetes géré, l’optimisation des coûts et les postes de travail cloud. Cette étendue est commercialement plausible pour un fournisseur de services gérés dont le prédécesseur se décrivait comme couvrant la conception, la mise en œuvre, l’exploitation et le support.

Lapage cloud souverain et privéplus détaillée rend le modèle de contrôle plus concret. Elle décrit la virtualisation séparée par locataire, l’identité basée sur les rôles et fédérée, la surveillance des accès et des flux de données, la sauvegarde et la reprise, les pistes d’audit des modifications, le chiffrement et la gestion des clés, les connexions hybrides, et l’hébergement dans des centres de données suisses certifiés. Elle nomme également Terraform, Bicep et Open Policy Agent dans son approche de gouvernance.

Ces divulgations sont utiles car elles exposent les surfaces sur lesquelles une conversation d’assurance peut avoir lieu. Un acheteur peut demander qui contrôle la couche d’identité, si les administrateurs du client peuvent inspecter la piste d’audit, où les clés sont générées et conservées, comment les changements de politique sont approuvés, et quels tests de reprise sont documentés. Le « cloud souverain » devient plus significatif lorsqu’il est décomposé en contrôles spécifiques.

Mais ces pages sont des descriptions de portefeuille, pas un calendrier de service public. Dans le matériel examiné ici, elles ne publient pas de pourcentage de disponibilité général, d’objectif de temps de reprise, d’objectif de point de reprise, de formule de crédit de service, de délai de notification d’incident ou de liste nominative des installations. Elles n’expliquent pas non plus quelles revendications s’appliquent spécifiquement à CONVOTIS Swiss Cloud AG plutôt qu’au groupe suisse ou international plus large. Ce n’est pas la preuve que de tels engagements sont absents des contrats clients.

Cela signifie que le site web public ne doit pas être utilisé comme s’il était le contrat.

L’annonce de mars 2025 ajoute une autre couche. Elle indiquait qu’aspectra employait environ 60 professionnels, avait fonctionné pendant 25 ans, et détenait les certifications ISO 27001:2022 et ISAE 3000 tout en respectant les exigences FINMA et PCI DSS. Ce sont des indicateurs pertinents, surtout pour les clients réglementés. Dans les preuves publiques figées examinées pour cet article, cependant, ces déclarations apparaissent dans le communiqué de presse de l’entreprise lui-même plutôt que dans les certificats, les rapports d’audit ou les entrées du registre de l’organisme de certification eux-mêmes.

Un acheteur diligent devrait demander le certificat actuel, la déclaration de périmètre, l’organisme émetteur, les sites couverts, les exclusions et la date d’expiration. « Fournisseur certifié » est moins informatif que « ce service, exploité par cette entité sur ces sites, relève du périmètre de ce certificat actuel. »

Les témoignages clients fournissent une preuve de performance, avec des limites

Les catalogues de produits montrent ce qu’un fournisseur souhaite vendre. Les comptes clients nommés montrent ce qu’il dit avoir fait. CONVOTIS publie plusieurs comptes qui font passer la preuve au-delà du langage cloud générique.

Sonétude de cas Health Info Netindique que la plateforme de HIN a été migrée en six mois vers des centres de données suisses géoredondants et déplacée vers un cloud privé et souverain. Elle décrit l’exploitation complète de la plateforme, une surveillance 24h/24, un responsable de site dédié et le travail sur un service utilisé pour les communications sensibles dans le domaine de la santé. La page inclut un commentaire nommé du directeur des systèmes d’information de HIN, Lucas Schult, sur la disponibilité, la stabilité et la gestion des problèmes.

Lecompte de la banque Ascorydécrit un mandat d’externalisation plus large couvrant le poste de travail, le réseau et l’infrastructure serveur, la sécurité, la surveillance continue et un support 24h/24 à trois niveaux. Il est pertinent car il identifie le mécanisme opérationnel, et non simplement une destination de migration: un centre d’opérations informatiques, des niveaux d’escalade, des responsabilités de surveillance et de support.

Ces deux pages sont des supports marketing publiés par le fournisseur, elles doivent donc être traitées comme des preuves de service attribuées plutôt que comme des audits de performance indépendants. Leur valeur réside dans la spécificité: clients nommés, charges de travail décrites et responsabilités opérationnelles. Leur limite est l’attribution. Les pages utilisent la marque CONVOTIS, mais n’identifient pas visiblement CONVOTIS Swiss Cloud AG comme l’entité contractante pour chaque cas. Elles ne publient pas non plus d’histoires d’incidents, de disponibilité mesurée ou de résultats de reprise vérifiables par le client.

Pour un acheteur, la question suivante est simple: quelles parties de ces modèles opérationnels sont standard, lesquelles sont optionnelles, et lesquelles peuvent être inscrites dans le calendrier de service proposé? Si la surveillance 24h/24 et un responsable de site dédié sont importants, ils doivent apparaître comme des obligations tarifées avec des contacts d’escalade et des objectifs de réponse, et non rester une crédibilité empruntée à l’histoire d’un autre client.

Le support public est accessible, mais le support contractuel doit être défini

La responsabilité commence par la capacité à joindre quelqu’un. Lapage de support public de CONVOTISfournit un numéro de téléphone suisse,[email protected]et des téléchargements de support à distance. Elle publie les heures normales du service desk de 08h00 à 12h00 et de 13h30 à 17h30, du lundi au vendredi. Elle indique également que la plupart des problèmes peuvent être traités à distance et que le support sur site est disponible dans toute la Suisse alémanique.

C’est une base de référence utile: il existe un canal de contact visible et une fenêtre de travail indiquée. Cela expose également une distinction que les acheteurs de cloud ne doivent pas négliger. Le service desk public n’est pas présenté comme un canal d’incident universel 24h/24, tandis que les témoignages clients décrivent une surveillance ou un support 24h/24 pour des engagements particuliers. L’inférence raisonnable est que la couverture du service varie selon le contrat.

Il serait risqué de déduire une réponse 24h/24 pour chaque client cloud à partir d’une étude de cas, tout comme il serait risqué de déduire qu’un service critique contracté ferme aux heures indiquées sur la page de support général.

La responsabilité du support nécessite quatre noms par écrit: le fournisseur légal, le propriétaire du service, le contact incident et l’autorité d’escalade. Il faut aussi des horloges. Qu’est-ce qui déclenche le chronomètre de réponse? Une alerte automatisée compte-t-elle, ou seulement un ticket client? Quelles définitions de gravité s’appliquent? Le personnel d’astreinte est-il en Suisse, ailleurs dans le groupe, ou sous-traité? Qui peut accéder aux données de production lors d’un incident? Quand le client doit-il être informé d’une violation suspectée?

Les documents publics rendent ces questions possibles; ils n’y répondent pas pour un service spécifique.

Ce que les preuves soutiennent, et ce qu’elles ne soutiennent pas

Les preuves publiques soutiennent une proposition opérationnelle crédible. CONVOTIS Swiss Cloud AG a une forme juridique suisse identifiable, une adresse et un numéro d’entreprise. Son histoire remonte à aspectra plutôt que de commencer avec le nom de 2025. L’entreprise est liée dans les registres RIPE à un ASN de longue date et aux annonces de routes actuelles. Le site plus large de CONVOTIS présente des contrôles cloud gérés techniquement spécifiques, un support accessible et des exemples nommés d’opérations réglementées ou sensibles.

Les preuves ne justifient pas de traiter les trois mots du nom de l’entreprise comme une garantie générale. « CONVOTIS » ne définit pas quelle société du groupe doit le service. « Swiss » ne spécifie pas chaque emplacement, administrateur ou dépendance juridique. « Cloud » n’indique pas les obligations de disponibilité, de reprise ou d’incident. Ce sont des faits contractuels et d’architecture.

Avant de se fier au nom comme assurance opérationnelle, un client devrait demander un dossier de preuves court et cohérent:

  1. Le nom légal complet et l’identifiant d’entreprise du fournisseur contractant, ainsi que les éventuels sous-traitants opérationnels et garanties de groupe.
  2. Une architecture de service montrant les emplacements de production, sauvegarde, reprise après sinistre, gestion et journalisation, avec les ressources réseau réellement utilisées par le client.
  3. Les certificats actuels et rapports d’audit avec le périmètre, les sites et les entités juridiques clairement identifiés.
  4. Des preuves de disponibilité mesurée et de tests de reprise pour la plateforme proposée, et non seulement des affirmations au niveau du portefeuille.
  5. Un calendrier de support définissant les heures, les niveaux de gravité, les objectifs de réponse et de rétablissement, les responsables d’escalade, la notification des incidents et les crédits de service.
  6. La répartition du contrôle sur l’identité, les clés de chiffrement, l’accès administratif, l’approbation des modifications, les données de surveillance et les procédures de sortie.

Le dossier public de CONVOTIS Swiss Cloud AG franchit un premier obstacle important: il y a une continuité visible et une infrastructure opérationnelle derrière le nouveau nom. Le prochain obstacle est délibérément moins glamour. Un acheteur doit relier l’entreprise légale, le réseau routé, les contrôles indiqués et les personnes qui répondent aux incidents au service exact en cours d’achat. Cette connexion, plutôt que la marque seule, est là où commence l’assurance.