Droit et facturation
Résidence des données et juridiction
Où les données sont physiquement stockées est une question ; quel droit peut les atteindre en est une autre. La seconde dépend du fournisseur, pas de la baie.
La résidence des données est l'exigence, issue d'une loi, d'un contrat ou d'une politique interne, que certaines données restent dans un pays ou une région. Les héberger dans un datacenter situé là-bas satisfait à la lettre de cette exigence. Le RGPD lui-même ne contient aucune règle de résidence pour l'UE ; il restreint les transferts en dehors de l'UE et de l'EEE.
La juridiction est l'autre question : quels tribunaux et quelles autorités peuvent ordonner au fournisseur de remettre des données. Elle suit la chaîne de propriété du fournisseur, pas l'emplacement du serveur. Une société dont la maison mère est hors de l'UE est soumise aux injonctions de ce pays où que se trouve le serveur ; l'article 32 du Data Act européen demande aux fournisseurs de le déclarer et de prendre des mesures contre un tel accès.
Quand un formulaire d'achat demande où se trouvent les données, la réponse complète a donc trois volets : le datacenter, la société qui exploite les systèmes et chacun de ses sous-traitants ultérieurs, et le droit qui régit le contrat. Un fournisseur qui peut répondre aux trois avec un seul pays et une seule société est le cas simple.