Comparatifs
Microsoft 365 reste le choix solide lorsque vos métiers utilisent vraiment la largeur de la suite. Une solution exploitée en Europe devient le choix solide lorsque vous voulez qu’une société européenne détienne les mails et les fichiers, et que vos usages tiennent dans un périmètre plus étroit. Les deux phrases peuvent être vraies en même temps, pour deux services différents de la même entreprise.
Chacun des points suivants est un motif rationnel de rester, au moins pour une partie de l’entreprise.
Une « solution souveraine » qui promet le même périmètre sans réserve survend son produit. Les suites européennes et suisses couvrent le mail, les fichiers, la visio et parfois le chat. Elles ne remplacent pas cet îlot.
Le coût d’un changement ne se limite pas à l’abonnement : formation, reprise des modèles, intégrations à reconnecter, période de productivité moindre. Si le motif du départ est un slogan, rien ne compense ce coût.
Exemple. Un cabinet d’expertise comptable de 25 personnes fait tourner ses dossiers de révision sur des classeurs Excel à macros. Quitter Microsoft 365 en bloc serait une erreur. La question utile est plus étroite : la messagerie générale et l’échange de pièces avec les clients doivent-ils rester chez le même exploitant que les classeurs ?
Microsoft est une société américaine. Ses engagements de résidence des données portent, pour les tenants éligibles, sur des données listées, avec des exceptions documentées. Cela répond à une partie de la question « où sont les disques ». Cela ne répond pas à la question « qui peut être contraint, aux États-Unis, de produire des données qu’il contrôle ».
Le texte issu du CLOUD Act (18 U.S.C. § 2713) vise les données que le prestataire détient ou contrôle, y compris hors des États-Unis. Le droit local de la protection des données, lui, encadre le transfert de données personnelles hors du pays. Une entreprise mauricienne qui confie ses données à un prestataire américain peut donc se trouver entre deux droits, sans que l’issue d’un cas précis soit écrite d’avance.
Le 10 juin 2025, devant la commission d’enquête du Sénat sur la commande publique, il a été demandé au directeur des affaires publiques et juridiques de Microsoft France s’il pouvait garantir sous serment que les données des citoyens français confiées à Microsoft via l’Ugap ne seraient jamais transmises, à la suite d’une injonction du gouvernement américain, sans l’accord explicite des autorités françaises. Sa réponse : « Non, je ne peux pas le garantir, mais, encore une fois, cela ne s’est encore jamais produit. » Les deux moitiés de la phrase comptent, et chaque direction les pèse.
Reste le fondement des transferts. À Maurice, le Data Protection Act 2017, appliqué par le Data Protection Office, n’autorise le transfert de données personnelles hors de Maurice qu’avec des garanties appropriées démontrées, le consentement explicite de la personne, ou s’il est nécessaire, par exemple à l’exécution d’un contrat, au respect d’une obligation légale ou à un intérêt public (section 36). Il impose aussi des mesures de sécurité appropriées, dont la pseudonymisation et le chiffrement (section 31), et la notification d’une violation au Data Protection Commissioner au plus tard 72 heures après en avoir pris connaissance (section 25). Le détail sur le CLOUD Act est dans protéger une entreprise du CLOUD Act.
Rester sur Microsoft 365 n’est donc pas un choix « non conforme » : DPA, résidence et justification des transferts permettent de le documenter. C’est un choix qui accepte un exploitant soumis à deux droits. Il relève de la direction, pas seulement du service informatique.
Sur le plan juridique. Un exploitant de droit européen. Un contrat dont le juge est européen. Si cet exploitant ne dépend pas d’un groupe américain pour la détention des données, ni de sous-traitants américains, l’injonction prévue par le CLOUD Act ne s’adresse pas à lui. Il reste soumis au droit de son pays : c’est un changement de juridiction, pas une immunité. Demandez la liste des sous-traitants (sauvegardes, support, envoi des mails), le lieu des personnes qui accèdent aux données, et qui détient les clés de chiffrement.
Sur le plan opérationnel. Un support qui n’est pas, par construction, celui d’un groupe américain. Selon l’offre : un hébergement en France, en Allemagne, ou chez vous. Selon l’offre aussi : la possibilité de ne prendre que la messagerie. Un périmètre étroit est plus simple à documenter et à auditer.
Ce qu’elle n’apporte pas automatiquement. Une qualification SecNumCloud : c’est une offre précise du catalogue ANSSI. Depuis la version 3.2 de son référentiel (2022), SecNumCloud comporte des exigences de protection vis-à-vis des droits extra-européens (siège, contrôle du capital, localisation, personnel) ; un mot sur une plaquette n’en tient pas lieu. Ni une bureautique équivalente, ni une migration invisible de Teams. Enfin, l’éditeur du logiciel peut rester étranger (Zimbra est édité aux États-Unis) : le contrat doit dire que l’éditeur n’accède pas aux contenus.
Le choix n’est pas binaire. Trois configurations sont courantes.
Garder un îlot Microsoft pour un métier, sortir la messagerie générale. Une PME industrielle avec deux sites garde des licences Microsoft 365 pour la finance et le bureau d’études ; l’atelier, le commerce et l’administration passent sur une messagerie et un partage de fichiers exploités en Europe. Il faut alors régler deux annuaires, le routage d’un même domaine entre deux systèmes, les invitations d’agenda croisées, et une règle écrite : quelles données vont où. L’erreur fréquente est de laisser chacun choisir au fil de l’eau.
Garder la suite et placer un filtre devant. Si la décision sur l’exploitant n’est pas mûre mais que l’hameçonnage presse, un MTA placé devant Exchange filtre le courrier entrant sans toucher aux boîtes. Les contenus, eux, restent chez Microsoft. C’est une mesure de sécurité, pas un changement d’exploitant.
Sortir par étapes. La messagerie d’abord, parce qu’elle repose sur des protocoles standards ; les fichiers ensuite ; Teams tant que les clients l’imposent. Chaque étape se juge sur ses résultats avant d’engager la suivante. Les pages migrer depuis Microsoft 365 et migrer sans interruption décrivent l’ordre des opérations.
| Si la phrase suivante est vraie | Orientation |
|---|---|
| Des équipes produisent dans Excel avancé ou Power BI | Garder Microsoft 365 pour ces équipes |
| Clients et fournisseurs imposent Teams | Garder Teams, ou assumer de leur proposer un autre canal |
| Le besoin général est le mail, les fichiers et leur édition en ligne, la visioconférence, un CRM, un téléphone | Une suite européenne à la carte est adaptée |
| L’appel d’offres exige une offre nommément qualifiée SecNumCloud | Choisir cette offre dans le catalogue ANSSI, pas une messagerie qui emploie le mot « souverain » |
| Vous voulez un filtre devant les boîtes, sans quitter Exchange | Un MTA placé devant Microsoft 365 suffit. La suite peut rester |
| La direction veut qu’une société européenne détienne les mails et fichiers courants | Sortir la messagerie et les fichiers généraux, garder un îlot pour les métiers qui l’exigent |
| Le tenant est Multi-Geo, ou Copilot et des connecteurs sont activés | Lire les exceptions des engagements de résidence de Microsoft avant de conclure que la résidence suffit |
| La maison mère impose Entra ID et ses applications | Garder Microsoft 365 ; la question se traite au niveau du groupe |
| Personne en interne ne peut administrer un serveur | Choisir un exploitant qui opère le service, pas un logiciel à installer soi-même |
Si deux lignes contradictoires sont vraies chez vous, la réponse est presque toujours un scénario mixte.
L’erreur fréquente est de confier l’essai au seul service informatique : il valide la technique, pas l’usage. Un essai gratuit sert à cela.
Il peut être utilisé dans ce cadre. La loi n’interdit pas les prestataires américains ; elle impose l’enregistrement auprès du Data Protection Commissioner (section 14), des mesures de sécurité appropriées (section 31) et un fondement pour les transferts hors de Maurice (section 36). La nationalité de l’exploitant est une décision distincte. Voir protéger une entreprise du CLOUD Act.
Non. Elles décrivent où certaines données sont stockées et traitées. Le CLOUD Act vise le prestataire qui détient ou contrôle les données, quel que soit le lieu du disque.
Oui, en conservant des licences pour les personnes qui en ont besoin. Vérifiez avant ce que deviennent les agendas, les réunions Teams planifiées depuis la messagerie et les boîtes partagées.
Non. SecNumCloud qualifie une offre précise du catalogue ANSSI. Une messagerie exploitée en Europe peut être pertinente sans elle, sauf si votre appel d’offres l’exige.
Klytic est l’une des solutions européennes possibles, pas la réponse unique. Exploité par Dedicace Software, société française, il est adapté si vous voulez composer messagerie, documents (une instance Nextcloud dédiée par client, pas un espace mutualisé, avec partage, édition en ligne seul ou à plusieurs et historique des versions), visioconférence, CRM et téléphonie. Hébergement dans toute zone géographique correspondant à la juridiction applicable, sous réserve de la disponibilité des services requis, par exemple en Europe ou à Maurice, ou sur les serveurs du client.
Il n’est pas adapté si le projet consiste à retrouver Office : il ne remplace pas Excel avancé, Power BI ni Teams. Klytic n’est pas qualifié SecNumCloud, et un opérateur français reste soumis au droit français. Le panorama des autres acteurs est le guide 2026.
Cette page décrit un cadre général. Elle ne constitue pas un conseil juridique.
Consultées en octobre 2026.
Essayez Klytic 30 jours sur vos propres mails et fichiers, sans engagement.
Offre de bienvenue
Offre d'essai sans engagement. Un conseiller vous rappelle pour comprendre vos besoins et préparer votre espace Klytic.
