Souveraineté numérique : vos données de gestion sont hébergées où, exactement ?

Le 4 septembre, au Radisson Blu Convention Center de Tunis, un sommet entier a tourné autour de deux questions : où sont hébergées vos données, et qui en contrôle l'accès. Pour une PME de vingt salariés, ça sonne théorique. Ça ne l'est pas.

Le Cloud & Infrastructure Summit a posé la bonne question

L'événement réunissait DSI, opérateurs télécoms, hébergeurs, spécialistes cybersécurité. Programme attendu — gouvernance des données, modèles cloud, datacenters, intelligence artificielle. Ce qui m'a arrêté, c'est la formulation de l'invitation : « Où sont hébergées les données ? Qui en contrôle l'accès ? » Pas un slogan de conférence. Une question de gestion courante, au même titre que « qui détient les clés du dépôt ».

Parce que votre logiciel de paie, votre facturier, votre fichier clients : tout ça vit sur un serveur. Quelque part. Vous savez où ?

La loi tunisienne est plus exigeante qu'on ne le croit

La loi n° 2004-63 du 27 juillet 2004 encadre la protection des données personnelles depuis vingt-deux ans, bien avant que le mot « cloud » n'entre dans le vocabulaire des comités de direction. Son principe : tout traitement de données personnelles se déclare auprès de l'INPDP. Et surtout — le point que les dirigeants découvrent tard, souvent trop tard — un transfert de données personnelles hors du territoire tunisien exige une autorisation préalable de l'Instance.

Autorisation. Pas information, pas simple déclaration.

Or dès que votre logiciel de facturation tourne chez un prestataire étranger, vos données salariés et clients franchissent la frontière tous les jours, à chaque sauvegarde. Les contrôles restent rares, admettons-le franchement. Le risque n'est pas la descente d'inspecteurs un mardi matin : c'est le jour où un ancien salarié dépose plainte, ou un donneur d'ordre exige par écrit de savoir. Un projet de réforme aligné sur le RGPD circule depuis plusieurs années, la Tunisie a ratifié la Convention 108+ du Conseil de l'Europe. La marge de tolérance se resserre.

N-Cloud, G-Cloud : les labels que vous ignorez

Le décret-loi n° 2023-17 du 11 mars 2023 relatif à la cybersécurité a confié à l'Agence nationale de la cybersécurité (ANCS) le soin de labelliser les hébergeurs. Deux labels : « G-Cloud » pour les services gouvernementaux, « N-Cloud » pour les services nationaux. DataXion affiche le N-Cloud ; EO Data Center, installé dans la zone industrielle d'Enfidha, revendique une architecture Tier III et une certification ISO 27001. À côté, TT Cloud, Ooredoo Business Cloud, Topnet, Tunet proposent des offres taillées pour des structures modestes — comptez grosso modo 40 à 160 dinars par mois pour un serveur virtuel standard, nettement plus pour du cloud privé dédié.

L'État avance de son côté. Le plan national affiche plus de 138 projets technologiques déployés sur 2025-2026, et plusieurs ministères, dont celui de la Santé, ont annoncé une bascule vers des infrastructures 100 % tunisiennes.

Votre ERP est le coffre-fort que vous laissez entrouvert

Faites l'inventaire de ce qui dort dans votre logiciel de gestion. Matricules CNSS, salaires nets, RIB, arrêts de travail scannés, numéros personnels de vos clients, leurs habitudes d'achat, vos marges fournisseur. Depuis l'entrée en vigueur de l'article 53 de la loi de finances 2026, vos factures partent en plus vers TTN au format TEIF : votre chaîne documentaire devient horodatée, traçable, opposable.

Une base ERP compromise, ce n'est pas un incident informatique. C'est votre grille salariale qui circule sur WhatsApp avant midi.

Ce que je pense vraiment du débat

Le drapeau planté sur le datacenter me paraît secondaire. Un serveur à Enfidha mal sauvegardé vous exposera davantage qu'un serveur à Francfort correctement administré. Pour une PME tunisienne, la souveraineté se joue à deux endroits très prosaïques : la réversibilité et la restauration.

Réversibilité. Pouvez-vous, ce matin, sans ouvrir de ticket au support et sans négociation commerciale, exporter l'intégralité de vos données dans un format ouvert et lisible ? Si la réponse est non, vous êtes locataire de votre propre comptabilité.

Restauration. À quand remonte le dernier test de restauration réel ? Pas la pastille verte « sauvegarde OK » sur un tableau de bord. Un test chronométré, sur une machine vierge, avec quelqu'un qui note l'heure.

J'ai vu chez un distributeur de la banlieue nord un dispositif de sauvegarde quotidienne irréprochable. Fichiers datés, rotation propre, rien à redire sur la méthode. Ils étaient stockés sur le même disque que la base de données. Le patron avait aussi un chat qui dormait sur l'onduleur.

Les quatre questions à poser à votre prestataire

• Dans quel pays, et dans quel datacenter précisément, mes données sont-elles stockées et sauvegardées ?
• L'hébergeur détient-il un label ANCS, une certification ISO 27001, ou aucun des deux ?
• Ai-je un export complet en libre-service, format ouvert, disponible à tout moment sans intervention de vos équipes ?
• Quel est le délai contractuel de remise en service après incident, et à quelle date a-t-il été testé pour la dernière fois ?

Une réponse floue sur l'une des quatre vaut réponse négative.

Recommandation

Inscrivez le sujet à l'ordre du jour de votre prochain comité de direction, avant la clôture de l'exercice. Envoyez les quatre questions par écrit à chaque éditeur qui détient vos données, et gardez les réponses. Si vous traitez de la paie ou des données de santé, orientez-vous vers un hébergement en Tunisie chez un opérateur labellisé : l'autorisation de transfert transfrontalier que vous n'avez jamais demandée cesse alors d'être un problème latent. Chez Axiom, les instances de nos clients tunisiens sont hébergées en Tunisie, avec export intégral à la demande — ce n'est pas un exploit technique, c'est le minimum que vous devriez exiger de n'importe quel éditeur.

Et testez votre restauration avant la fin du mois. Pour de vrai.

L'équipe Axiom, ERP & gestion d'entreprise