# Souveraineté et RGPD

> Hébergement OVHcloud en France, un seul sous-traitant hors périmètre européen strict, DPA téléchargeable et rétention configurable.
> https://facteur.eu/souverainete

## Savoir où sont vos données ne devrait pas demander une enquête

Nous validons des parcours de signature électronique : nous savons ce que c’est de devoir justifier chaque maillon de la chaîne à un auditeur, et de découvrir qu’un fournisseur réplique vos données sur un continent que personne n’avait validé. Cette page existe pour que vous n’ayez pas à nous écrire pour l’obtenir.

### Vos messages ne quittent pas la France

Le calcul, la base de données et le stockage objet sont chez OVHcloud, à Roubaix et Gravelines. Aucune réplication hors du territoire, aucun service américain dans le chemin de traitement d’un message.

### Un seul sous-traitant hors du périmètre européen strict

Stripe, pour encaisser. Il ne voit jamais le contenu d’un message : uniquement votre identité de facturation. Nous le disons plutôt que de le cacher derrière un discours de souveraineté total.

### Le DPA se télécharge, il ne se négocie pas

L’accord de traitement des données est disponible en ligne, signé, sans passer par un commercial ni attendre un cycle d’achat. Les annexes listent les sous-traitants et les mesures techniques.

### Chiffrement au repos et en transit

TLS obligatoire sur l’API, STARTTLS sur le SMTP entrant, chiffrement des volumes et du stockage objet. Les clés API sont stockées hachées, jamais en clair.

### Une rétention que vous choisissez courte

Par défaut 3 jours, jusqu’à 90 selon le plan, et un mode performance qui ne stocke rien du tout. La meilleure protection d’une donnée de test reste de ne pas la garder.

### Suppression sur demande, sans friction

Purge d’une inbox, d’une organisation ou d’un compte entier depuis l’application, effective immédiatement, sauvegardes comprises sous 30 jours.

## La liste complète, tenue à jour

Toute addition est annoncée trente jours à l’avance aux administrateurs de compte.

- Sous-traitant
- Rôle
- Localisation
- Données concernées
- Transfert hors UE

## Les limites, dites clairement

Un discours de souveraineté sans réserve est un discours commercial. Voici les nôtres.

- Nous ne sommes pas qualifiés SecNumCloud et nous ne le serons pas demain. Si votre cahier des charges l’exige, dites-le-nous, mais ne nous croyez pas sur parole.
- Nous ne sommes pas certifiés ISO 27001 à ce stade. Nos mesures techniques sont documentées dans les annexes du DPA, et auditables sur demande.
- Nos conditions vous demandent de ne pas envoyer de données personnelles réelles dans des inboxes de test. Nous savons que cela arrive quand même : c’est pourquoi la rétention par défaut est de trois jours et que le chiffrement au repos n’est pas une option.