Ce que « hébergée en France » garantit
Que les fichiers que vous déposez sont stockés dans un centre de données situé en France. C’est une garantie réelle : elle facilite le travail de votre DPO, elle rassure un cédant qui ne veut pas voir ses comptes quitter le territoire, et elle se vérifie dans le contrat du prestataire.
Elle ne dit rien du reste : ni où vit l’historique des consultations, ni qui opère l’infrastructure, ni comment les documents sont chiffrés, ni ce qu’il reste à chaque partie une fois la salle fermée.
Question 1 : où vivent les documents, et où vit l’historique ?
Une data room conserve deux choses : les documents, et l’enregistrement de qui a consulté quoi et à quelle date. Le second est souvent hébergé ailleurs que le premier, dans la base de données de l’éditeur. Demandez les deux localisations séparément, par écrit.
Chez RIGA, les documents sont hébergés chez un prestataire français, en France. L’historique et les métadonnées sont hébergés dans l’Union européenne.
Question 2 : qui opère l’infrastructure ?
Un centre de données situé en France peut être opéré par une société française ou par la filiale d’un groupe américain. La géographie ne change pas le droit auquel l’opérateur est soumis : une société américaine reste tenue de répondre à une demande d’accès des autorités américaines, quel que soit le pays où se trouve le serveur. Pour une cession, c’est une question de fond.
Chez RIGA, le prestataire qui héberge les documents est une société française. L’infrastructure qui héberge l’historique et les métadonnées est située dans l’Union européenne et opérée par une société américaine.
Question 3 : comment les documents sont-ils chiffrés, et qui détient la clé ?
« Chiffré » ne suffit pas. Demandez si la clé est propre à votre salle ou partagée avec tous les clients du prestataire, et ce qu’elle devient à la fermeture de la salle.
Chez RIGA, chaque salle est chiffrée avec sa propre clé (AES-256-GCM). À la clôture, la clé est mise hors service, puis détruite après trente jours.
Question 4 : que reste-t-il à chaque partie à la clôture ?
C’est la question que l’acquéreur posera, et que la garantie de passif rendra concrète un ou deux ans plus tard. Un export de l’historique remis par le prestataire du cédant établit ce que ce prestataire a exporté. Demandez ce que chaque partie reçoit à la clôture, sous quelle forme, et si elle peut vérifier par elle-même que sa copie est complète.
Chez RIGA, chaque signataire de la clôture reçoit le dossier de clôture : les termes convenus, les consentements, l’historique complet et un rapport de vérification. L’archive est scellée dans l’historique, et l’archive chiffrée reste disponible un an pour une cession, jamais supprimée avant que chaque partie habilitée l’ait récupérée.
Question 5 : l’historique peut-il être vérifié sans le prestataire ?
Un historique tenu par l’éditeur de la data room se vérifie en demandant à l’éditeur. Demandez si le format est publié, si l’outil de vérification est ouvert, et s’il fonctionne sans connexion au service.
Chez RIGA, l’historique de chaque salle est une suite d’entrées dont chacune est liée à la précédente ; modifier une entrée rompt toutes celles qui suivent. Le format est une spécification publiée, l’outil de vérification est ouvert (Apache-2.0), et il s’exécute sur votre machine sans le moindre appel à nos serveurs.
Les cinq questions, à poser par écrit
- où sont hébergés les documents, et où est hébergé l’historique des consultations ;
- quelle société opère chacune de ces deux infrastructures ;
- la clé de chiffrement est-elle propre à ma salle, et que devient-elle à la clôture ;
- que reçoit chaque partie à la clôture, et sous quelle forme ;
- l’historique se vérifie-t-il sans passer par vous.
Un prestataire qui répond aux cinq par écrit vous évite de les découvrir le jour où la garantie de passif est actionnée.