Résumé

  • Le dossier public établit la souveraineté juridictionnelle : une société de droit suisse, des données hébergées en Suisse, des engagements de conformité documentés.
  • La souveraineté de contrôle est plus difficile à établir : l'entreprise a elle-même annoncé, le 3 décembre 2017, qu'EveryWare AG avait acquis un intérêt majoritaire dans Safe Swiss Cloud AG.
  • Les pages marketing actuelles affirmant « 100 % suisse » et « privately owned » ne sont pas datées et ne précisent pas leur rapport avec la transaction de 2017.
  • Dès 2015, la presse spécialisée suisse documente l'hébergement de l'infrastructure cloud chez un tiers, Interxion à Glattbrugg, en complément d'un site Equinix Suisse — en tension avec la formule « nos propres data centers ».
  • Les indicateurs de capacité (plus de 1 000 hôtes, plus de 10 000 serveurs) et les certifications sont autodéclarés et non audités dans les sources publiques consultées.

Sovereignty is not a single claim. Pour un acheteur d'infrastructures, « souverain » peut signifier au moins deux choses distinctes : que les données et le traitement restent sous une juridiction donnée, et que l'opérateur lui-même — son capital, ses actifs physiques, son autorité opérationnelle — échappe à un contrôle étranger ou à une dépendance non maîtrisée. Le cas de Safe Swiss Cloud, fournisseur zurichois de services cloud gérés, offre un exercice rare : les deux dimensions peuvent être testées presque entièrement avec des documents publics, y compris ceux publiés par l'entreprise elle-même.

La première dimension tient relativement bien. La société, dont le siège est au Zurlindenstrasse 52A à Zurich, décrit des data centers tous situés en Suisse et une conformité visée avec le droit suisse et européen de la protection des données, avec des références au règlement FINMA pour l'externalisation bancaire. La page « Sovereign, Secure, Compliant » affirme que l'entreprise, « 100 % suisse », n'est liée que par la pratique juridique suisse, européenne et internationale acceptée — et qu'elle ne relève pas du CLOUD Act américain. Ce dernier point est une interprétation juridique de l'entreprise, pas une décision de justice ; il devrait être lu comme une position, non comme un fait établi (https://safeswisscloud.com/en/swiss-secure-compliant/).

La deuxième dimension est plus délicate. L'entreprise revendique « 2 company data centres » qu'elle possède et exploite, avec plus de 1 000 hôtes et plus de 10 000 serveurs, des clients sur quatre continents et une alimentation 100 % renouvelable depuis 2011 (https://safeswisscloud.com/en/about/). Mais la même page de conformité indique par ailleurs utiliser le data center d'Interxion à Glattbrugg, près de Zurich — un opérateur de colocation tiers (https://safeswisscloud.com/en/swiss-secure-compliant/). Dès le 26 mai 2015, IT-Markt rapporte que Safe Swiss Cloud héberge désormais son infrastructure cloud également dans le centre de colocation Interxion de Glattbrugg, en complément d'un site chez Equinix Suisse (https://www.it-markt.ch/news/2015-05-26/interxion-gewinnt-neuen-cloud-kunden) ; IT Reseller confirme le même jour l'arrivée de Safe Swiss Cloud chez Interxion, en citant son CEO Prodosh Banerjee (https://www.itreseller.ch/Artikel/80069/Safe_Swiss_Cloud_setzt_auf_Interxion.html). La formule « nos propres data centers » et l'usage documenté d'un tiers ne s'excluent pas forcément — un site de production peut coexister avec des dépendances de colocation — mais les pages publiques ne réconcilient pas les deux affirmations.

Sur le capital, le dossier est plus explicite encore — parce que l'entreprise en a fait la publicité. Le 3 décembre 2017, le blog de Safe Swiss Cloud annonce qu'« EveryWare AG a acquis un intérêt majoritaire dans Safe Swiss Cloud AG », les deux sociétés restant des marques indépendantes (https://safeswisscloud.com/en/blog/everyware-and-safe-swiss-cloud-partner-drive-cloud-innovation-switzerland/). Netzwoche confirme le 4 décembre 2017 l'acquisition d'une part majoritaire par leZurichois Everyware auprès du Baslois Safe Swiss Cloud, avec environ 90 salariés cumulés et un montant de transaction non divulgué (https://www.netzwoche.ch/news/2017-12-04/everyware-erwirbt-mehrheitsanteil-an-safe-swiss-cloud) ; IT Reseller le confirme dès le 1er décembre (https://www.itreseller.ch/Artikel/85816/Everyware_uebernimmt_Safe_Swiss_Cloud_.html). Wikipédia résume l'événement comme l'acquisition d'une participation de contrôle fin 2017 (https://en.wikipedia.org/wiki/Safe_Swiss_Cloud). Rien de tout cela n'est incompatible avec une société suisse détenue par des intérêts suisses — EveryWare est elle-même zurichoise. Mais l'expression « 100 % suisse owned » des pages marketing actuelles, non datée, ne dit pas qui détient quoi aujourd'hui : la structure capitalistique postérieure à 2017 n'est pas publiée, et PitchBook décrit même la société comme une filiale acquise, avec une date de fondation (2009) qui contredit les 2013 revendiqués par l'entreprise et Wikipédia.

Qu'est-ce que cela change pour un client ? La souveraineté juridictionnelle — données en Suisse, droit suisse, certifications revendiquées ISO 27001, 27017 et 27018 — reste une proposition distincte et défendable, attestée par des documents d'entreprise vérifiables auprès des certificateurs. La souveraineté de contrôle — qui décide, qui détient, sur quelle infrastructure physique repose réellement le service — demande des preuves que le marketing ne fournit pas : structure capitalistique à jour, répartition exacte entre installations possédées et capacités de colocation, et audit indépendant des chiffres de capacité.

Entre les deux se trouve la frontière que tout acheteur régulé devrait exiger de voir documentée avant de souscrire.