Un logiciel de ticketing qui garde vos données en Europe

La région se décide une fois, à la création de l’espace de travail, et elle s’applique aussi bien au traitement qu’au stockage au repos. Les données de tickets et les sauvegardes qui en sont issues restent dans la frontière régionale retenue — les sauvegardes sont justement le point que les équipes oublient de vérifier, et celui sur lequel les auditeurs commencent.

Le sujet devient central quand l’outil est piloté par l’IA. Le triage automatique implique que le contenu des tickets est traité, pas seulement stocké : « où est-ce stocké » ne couvre donc que la moitié de la question. Le traitement reste lui aussi dans la région.

Choisir une région européenne est nécessaire, mais pas suffisant. Au titre du RGPD, vous êtes responsable de traitement et votre éditeur de ticketing est sous-traitant : l’article 28 exige que cette relation soit encadrée par un contrat, pas par une page marketing. FlowTux propose un accord de traitement des données couvrant la portée du traitement, les sous-traitants ultérieurs, les mesures de sécurité et la suppression, avec des clauses contractuelles types là où un mécanisme de transfert est nécessaire.

Nos sous-traitants ultérieurs sont publiés, pas enfouis dans une note de bas de page. Si une requête doit franchir une frontière pour une raison précise et documentée, elle s’appuie sur un mécanisme de transfert reconnu au lieu de quitter discrètement la région.

Un audit d’hébergement s’arrête rarement à l’étiquette de la région. Les questions qui reviennent sont : qui a consulté tel enregistrement, ce que les systèmes automatisés en ont fait, et si vous pouvez prouver sa suppression. FlowTux conserve une piste d’audit sur chaque action, humaine ou automatisée, et chaque correction exécutée par Tux AI figure sur une liste d’autorisations validée à l’avance, s’applique à une cible nommée et est journalisée avec son résultat.

C’est précisément là que les outils d’IA échouent d’habitude. Une action automatisée que personne ne peut reconstituer après coup est une non-conformité en puissance : rien ne s’exécute sans votre autorisation explicite.

La distinction mérite d’être posée clairement, car beaucoup d’éditeurs l’entretiennent dans le flou. La localisation des données signifie qu’elles résident physiquement dans une région choisie. La souveraineté est une affirmation plus forte : qu’aucune juridiction étrangère ne puisse contraindre l’accès, où que soient les octets. L’hébergement européen, assorti d’un DPA et de clauses contractuelles types, répond aux exigences de la grande majorité des acheteurs européens, y compris dans une bonne partie des marchés publics — et c’est le cadre sur lequel s’appuient les recommandations de la CNIL en matière de contractualisation.

Si votre mandat exige une souveraineté complète — un cloud national précis, ou une garantie juridique contre tout accès étranger — dites-le pendant l’évaluation plutôt qu’après. C’est une autre architecture, et vous méritez une réponse franche d’emblée plutôt qu’une découverte au troisième mois.