« Où sont hébergées mes données ? » est devenue l'une des premières questions posées lors de l'achat d'un logiciel au Québec — et à raison. Depuis l'entrée en vigueur de la Loi 25, l'hébergement des données au Canada n'est plus un simple argument marketing : il touche directement la circulation des renseignements personnels et l'effort de conformité d'une organisation. Ce guide explique ce que recouvre la résidence des données, pourquoi elle compte, ce que signifie concrètement un hébergement canadien pour un service infonuagique (SaaS), et pourquoi elle doit s'accompagner d'une architecture sans routage.
Qu'est-ce que la résidence des données ?
La résidence des données (ou localisation des données) désigne le pays — parfois la région précise — où vos données sont physiquement stockées et traitées. Un fournisseur infonuagique exploite des centres de données répartis sur plusieurs continents ; la région choisie détermine sous quel régime juridique tombent vos renseignements et qui peut, en théorie, y accéder.
Il faut la distinguer de deux notions voisines. La souveraineté des données ajoute la dimension du droit applicable : des données stockées au Canada mais détenues par une entreprise soumise à une loi étrangère peuvent, selon certains régimes, être réquisitionnées par un gouvernement étranger. La résidence du traitement concerne l'endroit où les données sont non seulement stockées, mais aussi calculées, indexées et sauvegardées. Un SaaS peut afficher un stockage canadien tout en faisant transiter ses sauvegardes ou son traitement ailleurs. Pour approfondir, voyez notre guide sur la souveraineté des données courriel.
Pourquoi l'hébergement au Canada compte pour la Loi 25
La Loi 25 — la réforme québécoise de la protection des renseignements personnels, administrée par la Commission d'accès à l'information (CAI) — n'oblige pas les organisations à héberger leurs données au Québec ni au Canada. Beaucoup de fournisseurs le laissent croire ; c'est inexact. Ce que la loi impose est plus nuancé.
Avant de communiquer des renseignements personnels à l'extérieur du Québec, une organisation doit réaliser une évaluation des facteurs relatifs à la vie privée (ÉFVP). Cette évaluation tient compte, entre autres, de la sensibilité des renseignements, de la finalité de la communication et surtout du régime juridique applicable dans le territoire de destination, y compris les principes de protection des renseignements personnels qui y ont cours.
Autrement dit, un transfert hors Québec n'est pas interdit, mais il déclenche une obligation d'analyse, de documentation et parfois d'encadrement contractuel supplémentaire. Choisir un fournisseur qui héberge les données au Canada — et qui ne les fait pas sortir du pays — fait tout simplement disparaître ce déclencheur pour la portion hébergée. C'est l'un des rares leviers où un choix technique réduit directement la charge de conformité.
Cet article est fourni à titre informatif et ne constitue pas un avis juridique. Pour évaluer votre situation, consultez un conseiller juridique ou la Commission d'accès à l'information.
Ce que signifie un hébergement « canadien » pour un SaaS
« Hébergé au Canada » peut vouloir dire beaucoup de choses — ou très peu. Pour un logiciel-service, la promesse n'a de valeur que si elle couvre l'ensemble du cycle de vie de la donnée, et non seulement la base de données principale. Les points à couvrir :
- Le stockage principal : la base de données et les fichiers résident dans une région canadienne (par exemple
Canada CentralouCanada Eastchez les grands fournisseurs infonuagiques). - Les sauvegardes : les copies de sécurité restent elles aussi au Canada, et ne sont pas répliquées vers une région étrangère « par défaut ».
- Le traitement : l'indexation, les journaux et tout calcul sur les données s'effectuent dans la même région.
- Les sous-traitants : les services tiers utilisés (analytique, courriel transactionnel, surveillance) n'exfiltrent pas les renseignements personnels hors du pays.
- Le personnel et l'accès : savoir qui peut accéder aux données et depuis où fait partie de l'évaluation, même si l'accès à distance n'est pas un « transfert » au sens strict.
Un fournisseur sérieux documente ces éléments et les inscrit au contrat. En l'absence d'engagement écrit, « hébergé au Canada » reste une affirmation invérifiable.
Résidence des données et architecture sans routage
Pour un outil de gestion de signatures courriel, la résidence des données de configuration ne suffit pas à elle seule. Ce qui compte tout autant, c'est de savoir si le contenu de vos courriels traverse ou non les serveurs du fournisseur. Deux architectures s'opposent :
| Critère | Côté serveur (relais) | Côté client (complément) |
|---|---|---|
| Trajet du courriel | Chaque message passe par les serveurs du fournisseur | Le message ne quitte jamais Microsoft 365 |
| Contenu exposé au tiers | Oui, pour appliquer la signature | Non |
| Effet d'un hébergement canadien | Partiel : le contenu peut quand même sortir du pays | Complet : configuration ET contenu restent au Canada / Microsoft |
| Transfert hors Canada | Possible si les serveurs de relais sont à l'étranger | Évité |
Un hébergement canadien combiné à un relais étranger laisse une faille : les données de configuration sont au pays, mais chaque courriel — souvent porteur de renseignements personnels — transite ailleurs. C'est pourquoi la résidence des données et l'architecture sans routage sont des garanties complémentaires, pas interchangeables.
ATOM Signatures combine les deux : les données de configuration sont hébergées 100 % au Canada, et la signature est insérée côté client par un complément dans Outlook, au moment de la composition. Le courriel n'est jamais routé par un serveur tiers — il ne quitte jamais l'infrastructure Microsoft de votre organisation.
Comment vérifier où un fournisseur héberge vos données
Avant de signer, posez des questions précises et exigez des réponses écrites. Une grille utile :
- Dans quelle région exacte les données sont-elles stockées ? (Un pays ne suffit pas : demandez la région infonuagique.)
- Où résident les sauvegardes et pendant combien de temps sont-elles conservées ?
- Quels sous-traitants traitent les données, et dans quels pays ?
- Le contenu des courriels transite-t-il par vos serveurs (architecture côté serveur) ou non (côté client) ?
- Le contrat comporte-t-il une clause de suppression des données à la fin de la relation (droit à l'effacement) ?
- Ces engagements sont-ils écrits dans le contrat de service, et non seulement sur une page marketing ?
Documentez ces réponses dans votre registre des traitements : elles constituent la preuve que vous avez évalué la circulation des renseignements personnels, ce que la Loi 25 attend d'une organisation diligente.
Questions fréquentes
La Loi 25 oblige-t-elle à héberger les données au Canada ?
Non. La Loi 25 n'impose pas l'hébergement au Québec ni au Canada. Elle exige toutefois une évaluation des facteurs relatifs à la vie privée avant de communiquer des renseignements personnels hors Québec. Choisir un hébergement canadien évite ce transfert et allège la démarche de conformité.
Qu'est-ce que la résidence des données ?
La résidence des données désigne le pays où les données sont physiquement stockées et traitées. Un SaaS peut afficher un hébergement canadien tout en acheminant, sauvegardant ou traitant les données ailleurs. Il faut donc vérifier la région de stockage, mais aussi le trajet complet des données.
L'hébergement canadien suffit-il si le courriel transite par l'étranger ?
Non. Un hébergement canadien des données de configuration ne protège pas le contenu des courriels si l'architecture route chaque message par un serveur étranger pour y appliquer la signature. La résidence des données et l'architecture sans routage sont deux garanties complémentaires.
Comment vérifier où un fournisseur héberge réellement mes données ?
Demandez la région d'hébergement, l'emplacement des sauvegardes et des sous-traitants, et si le contenu des courriels transite par ses serveurs. Exigez ces engagements par écrit dans le contrat, avec une clause de suppression des données à la fin de la relation.
Vos données de signature, hébergées au Canada. ATOM Signatures applique la signature de votre organisation dans Outlook, côté client, avec un hébergement 100 % canadien — sans jamais router vos courriels.
Pour approfondir : la souveraineté des données courriel, l'architecture sans routage et la Loi 25 appliquée aux signatures.
Sources
- Commission d'accès à l'information du Québec — cai.gouv.qc.ca
- Loi 25 (texte officiel) — LégisQuébec