Pour respecter une exigence de résidence des données au Canada, exigez que l’hébergeur indique par écrit où se trouvent l’environnement principal, le secours, les sauvegardes et les journaux. Tout placement hors du Canada doit être un choix explicite et consigné. La résidence, la sous-traitance, la notification en cas d’incident de confidentialité et le retour ou la destruction des données doivent aussi figurer parmi les clauses de l’entente. Une région canadienne affichée sur une page de produit est un point de départ. Un responsable de la protection des renseignements personnels, un auditeur ou l’équipe d’approvisionnement d’un client liront plutôt le placement documenté et le contrat.
Ce guide de sélection d’un fournisseur s’adresse au chef de la technologie (CTO), au responsable de la protection des renseignements personnels ou au responsable de l’approvisionnement qui vient de recevoir une clause de résidence. Il ne constitue pas un avis juridique. Votre responsable de la protection des renseignements personnels ou votre conseiller juridique décide de ce que la loi exige de votre organisation.
Que signifie la résidence des données au Canada dans un contrat d’hébergement ?
La résidence des données désigne l’endroit physique où les données sont stockées et traitées. Une exigence de résidence des données au Canada dit qu’un ensemble défini de données doit rester sur une infrastructure située au Canada.
La souveraineté des données est une notion plus large. Elle porte sur les lois nationales qui peuvent atteindre les données. La réponse dépend de la propriété et de l’exploitation du fournisseur, autant que de l’endroit où se trouvent les serveurs. Un fournisseur dont le siège est hors du Canada peut stocker des données dans une région canadienne et demeurer soumis à des procédures judiciaires dans son pays d’origine. Il revient à votre conseiller juridique de dire si ce risque compte dans votre cas.
Deux lois sur la vie privée reviennent dans la plupart des discussions canadiennes sur la résidence. La LPRPDE, la Loi sur la protection des renseignements personnels et les documents électroniques, est la loi fédérale qui s’applique au secteur privé. La Loi 25 sur la protection des renseignements personnels est la loi québécoise qui a modernisé les règles de la province en cette matière. Selon le principe de responsabilité de la LPRPDE, votre organisation demeure responsable des renseignements personnels même quand un fournisseur exploite l’infrastructure.
Bien des exigences de résidence viennent d’un contrat client, d’un appel d’offres ou d’une politique du secteur public plutôt que d’une loi. Lisez la clause qu’on vous a remise avant de choisir une architecture.
Un secours chaud (warm standby) est une seconde région maintenue en marche à capacité réduite, prête à prendre le relais si la région principale tombe.
Que faut-il exiger par écrit d’un hébergeur ?
Ces six exigences valent pour tout fournisseur, d’une plateforme cloud mondiale à un fournisseur canadien d’hébergement infogéré.
- L’emplacement de chaque copie. Demandez la région de l’environnement principal, du secours, des sauvegardes, des journaux et des données de supervision. Les sauvegardes et les journaux s’oublient facilement. Dans un scénario type, une entreprise canadienne de logiciel-service (SaaS) passée d’Amazon Web Services (AWS) à Cloud Compute infogéré négociait une entente avec une société d’État. Cette entente dépendait d’une seule exigence : les données de production, sauvegardes et journaux compris, au Canada.
- Le placement hors du Canada comme exception. Le Canada devrait être l’emplacement par défaut. Tout recours à une région étrangère, comme un cache en périphérie ou un fragment pour des clients américains, devrait être une décision prise avec vous et consignée.
- L’emplacement du secours. La reprise après sinistre copie les données vers un second emplacement par conception. Demandez quelle ville héberge le secours et si une bascule fait franchir aux données une frontière provinciale ou nationale.
- Les clauses de l’entente. La résidence, la sous-traitance, la notification en cas d’incident de confidentialité et le retour ou la destruction des données à la fin du mandat ont leur place dans le contrat. Demandez quelles attestations couvrent les couches physiques et de plateforme sous le fournisseur.
- Qui prend la décision de conformité. Traitez l’expression « hébergement conforme » avec prudence. La conformité est une décision qui porte sur votre organisation et que prend votre responsable de la protection des renseignements personnels ou votre auditeur. Un fournisseur documente des faits et opère des contrôles.
- Les preuves que vous recevrez. Demandez ce que vous pourrez remettre à un évaluateur : un diagramme de flux de données, des registres de tests de restauration, des revues des accès et des échantillons de journaux d’audit. L’article de la base de connaissances sur les modèles de déploiement exclusivement canadiens avec des diagrammes de flux de données explicites montre ce que contient un diagramme défendable.
Pour les critères de sélection qui dépassent la résidence, consultez le guide sur quoi rechercher chez un fournisseur d’hébergement infogéré.
Quels types d’hébergeurs peuvent respecter une exigence de résidence au Canada ?
Quatre types de fournisseurs peuvent héberger une charge de travail au Canada. Ils se distinguent par l’origine de l’engagement de résidence et par la quantité de travail qui reste à votre équipe.
| Option | Origine de l’engagement de résidence | Ce qui reste à votre équipe | À choisir quand | À éviter quand |
|---|---|---|---|---|
| Plateforme cloud mondiale, région canadienne, opérée par votre équipe | Vous fixez vous-même chaque service à une région canadienne | Chaque réglage de région, chaque destination de sauvegarde et de journaux, plus les preuves | Vous avez des ingénieurs cloud et utilisez des services natifs de la plateforme | Personne ne s’occupe du compte au quotidien |
| Plateforme cloud mondiale, région canadienne, opérée par un fournisseur d’exploitation infonuagique gérée | Les mêmes régions, avec un tiers qui opère le compte | Le compte et les décisions de conception liées à la résidence | Vous voulez rester sur la plateforme et vous n’avez pas de personnel d’exploitation | Vous comptez sur les engagements que l’opérateur prend pour ses propres régions pour couvrir votre compte |
| Fournisseur de cloud infogéré de propriété canadienne, avec ses propres régions canadiennes | Les régions du fournisseur et l’entente que vous signez | L’application, la classification des données et vos propres services tiers | L’emplacement et la propriété du fournisseur comptent tous les deux, et vous voulez un seul interlocuteur pour l’infrastructure et l’exploitation | Vous avez besoin de régions hors du Canada, ou d’un rapport de certification que le fournisseur ne détient pas |
| Hébergeur mutualisé standard ou hébergeur WordPress infogéré standard | Le forfait que vous choisissez, quand un emplacement canadien est offert | La vérification de chaque copie | Un site vitrine contient peu de renseignements personnels | Un contrat exige par écrit le placement des sauvegardes, des journaux et du secours, et les conditions du forfait ne le prévoient pas |
La bonne option est celle dont les engagements écrits correspondent à votre clause, avec une charge d’exploitation que votre équipe peut soutenir.
Faut-il quitter AWS pour respecter une exigence de résidence des données au Canada ?
Non. Une exigence de résidence des données au Canada n’oblige pas à elle seule une entreprise à quitter une plateforme cloud mondiale. AWS, Microsoft Azure et Google Cloud exploitent chacun des régions canadiennes. Le scénario type de Stack Harbor sur un départ d’AWS dit que les régions canadiennes d’AWS « sont crédibles » et qu’AWS est la bonne réponse pour beaucoup de charges.
Sur une plateforme mondiale, chaque service doit être fixé à une région canadienne. Cela comprend les sauvegardes, le stockage des journaux, l’identité, l’analytique et l’outillage de soutien. Certains services de plateforme sont mondiaux par conception, et chacun demande une décision. Si personne dans votre équipe ne s’occupe du compte au quotidien, un fournisseur d’exploitation infonuagique gérée peut l’opérer. Opérations AWS est l’offre de Stack Harbor pour opérer un compte AWS qui appartient au client. Le compte reste au client, tout comme les décisions sur les régions qu’il utilise.
Quitter une plateforme mondiale est une décision distincte. Elle est habituellement motivée par le coût, par la question de savoir qui opère le compte ou par un client qui s’interroge sur la propriété étrangère. L’article sur le cloud infogéré ou AWS pour une PME traite de cette décision.
Que change la Loi 25 du Québec à l’emplacement des données ?
Pour une organisation québécoise, la Loi 25 sur la protection des renseignements personnels ajoute une question provinciale à la question canadienne. La loi québécoise traite la communication de renseignements personnels à l’extérieur du Québec, y compris vers l’Ontario, comme quelque chose qui doit être évalué. C’est ainsi que la page Confiance et sécurité de Stack Harbor formule ce point. Une conception dont la région principale et le secours sont tous deux à Montréal garde les données au Canada et au Québec.
Pour bien des organisations, une copie hors du Québec est acceptable une fois évaluée. D’autres adoptent comme posture, par politique ou par contrat, que les renseignements personnels restent au Québec. Si c’est votre posture, demandez à chaque fournisseur où se trouvent le secours et les sauvegardes. Demandez aussi si un placement exclusivement québécois est possible à titre de décision de conception documentée. Une conception exclusivement québécoise change le plan de reprise après sinistre, parce que la seconde copie ne peut pas se trouver dans une autre province.
Pour approfondir le volet technique, consultez ce que la plateforme doit prendre en charge pour la Loi 25 sur WordPress, la résidence des données au Québec sur cPanel en pratique et le guide de notification d’incident sous la Loi 25 pour les opérateurs SaaS.
Quels facteurs déterminent le coût d’une exigence de résidence des données au Canada ?
La résidence a un coût, et ce coût tient rarement à la seule ligne d’hébergement. Quatre facteurs font varier un devis.
- Un second emplacement canadien. Une région de secours ajoute de la capacité que vous payez avant d’en avoir besoin. La solution DR Multi-Région de Stack Harbor retient le secours chaud comme topologie par défaut. Ce secours est dimensionné pour le régime après bascule, pas pour l’heure de pointe.
- Des copies de l’outillage par région. La supervision, la journalisation et l’analytique peuvent exiger une instance distincte par région, pour que les données canadiennes ne s’écoulent pas vers un compte étranger.
- Le démêlage des dépendances mondiales. L’identité, la facturation, les journaux d’audit, l’analytique et l’outillage de soutien sont souvent bâtis comme des systèmes mondiaux uniques. Les scinder peut demander plus de temps d’ingénierie que bâtir la seconde région.
- La documentation et la revue juridique. Les diagrammes de flux de données, les clauses d’exception et les revues du responsable de la protection des renseignements personnels prennent du temps des deux côtés.
Un scénario type illustre ce compromis. Dans un scénario type de reconstruction bi-région pour un SaaS canadien proche du milieu de la santé, le coût d’infrastructure a augmenté de 38 %. La hausse venait d’une seconde région avec une supervision et une analytique distinctes. Dans le même mandat, quatre contrats d’entreprise ont été signés dans les quatre-vingt-dix jours avec la résidence comme clause nommée. Le scénario type attribue trois semaines à la mise en place de la seconde région et onze au démêlage des dépendances mondiales. Ces chiffres décrivent un seul mandat, pas un résultat typique.
Pour estimer votre propre coût, dressez la liste de chaque système qui stocke ou traite des renseignements personnels. Marquez ceux qui sont mondiaux, puis estimez le travail pour scinder chacun. L’article sur la façon dont l’hébergement cloud infogéré est tarifé explique comment de tels facteurs deviennent un devis.
Quand la résidence doit-elle guider votre choix d’hébergement, et quand ne le doit-elle pas ?
Faites de la résidence au Canada une exigence ferme quand :
- Un contrat signé, un appel d’offres ou une politique du secteur public la nomme.
- Vous détenez des renseignements personnels sur des résidents du Québec et l’évaluation de votre responsable de la protection des renseignements personnels la demande.
- Des ventes stagnent ou se concluent à une valeur moindre parce que vous ne pouvez pas répondre par écrit à la question de la résidence.
Ne laissez pas la résidence dicter l’architecture quand :
- La charge de travail ne contient aucun renseignement personnel et aucun contrat ne demande un placement canadien. Choisissez selon la latence, le coût et la question de savoir qui opère l’environnement.
- Le seul élément étranger est un service tiers que vos clients acceptent. Dans un scénario type, la reconstruction bi-région pour la résidence, les données de facturation détenues par un processeur de paiement américain sont restées résidentes aux États-Unis en vertu d’une exception documentée.
Un fournisseur de cloud infogéré de propriété canadienne n’est pas le bon choix quand :
- Vos clients exigent que l’hébergeur détienne lui-même un rapport SOC 2 ou ISO 27001, soit une attestation de sécurité délivrée par un tiers, et l’hébergeur n’en a pas.
- Vous avez besoin de régions dans d’autres pays, ou de plus d’emplacements canadiens que le fournisseur n’en exploite.
- La charge de travail relève d’une classification de sécurité gouvernementale qui exige un service cloud évalué pour cette classification. Demandez l’évaluation au fournisseur.
- Vos ingénieurs cloud opèrent déjà un compte bien gouverné dans une région canadienne. Documentez ce que vous avez.
Quelles questions poser à un fournisseur lors d’un appel sur la résidence des données ?
Apportez cette liste à l’appel et demandez les réponses par écrit.
- Dans quelle ville tourne l’environnement principal ?
- Dans quelle ville tourne le secours, et qu’est-ce qui déclenche une bascule ?
- Où sont stockées les sauvegardes, et des copies sont-elles conservées hors du Canada ?
- Où sont conservés les journaux, les données de supervision et les billets de soutien ?
- Un placement hors du Canada est-il possible par défaut, ou seulement par une décision consignée ?
- Le secours et les sauvegardes peuvent-ils rester au Québec si notre évaluation l’exige ?
- Quelles clauses couvrent la résidence, la sous-traitance, la notification en cas d’incident de confidentialité et le retour ou la destruction des données ?
- Quelles attestations couvrent les installations et les plateformes en dessous, et qui les détient ?
- Depuis quels pays le personnel du fournisseur peut-il accéder à l’environnement ?
- Quelles preuves recevrons-nous pour un évaluateur, et qui prend la décision de conformité ?
Un fournisseur qui répond aux dix questions par écrit a fourni à votre responsable de la protection des renseignements personnels des faits à évaluer. Un fournisseur qui répond par un logo ou par le mot « conforme » ne l’a pas fait.
Où se situe Stack Harbor
Stack Harbor Inc. est un fournisseur d’exploitation infonuagique gérée (MSP) de propriété canadienne, dont le siège est à Montréal, au Québec. Elle sert des entreprises SaaS, des agences et des éditeurs qui opèrent des systèmes de production sans avoir leur propre équipe d’opérations 24/7.
La propre infrastructure canadienne de Stack Harbor tourne dans deux centres de données à Montréal. Une charge de travail placée dans ces centres de données sur Cloud Compute reste au Canada, et le placement est documenté. Une région américaine ou partenaire est une décision prise avec le client à la conception et consignée, pas un choix par défaut. Si la posture d’un client exige que les données restent au Québec, l’emplacement du secours et des sauvegardes est une décision de placement prise avec le client et mise par écrit.
La résidence des données, la sous-traitance, la notification en cas d’incident de confidentialité et le retour ou la destruction des données sont écrits dans l’entente. Stack Harbor ne certifie pas une plateforme conforme. Le responsable de la protection des renseignements personnels du client prend cette décision, et Stack Harbor fournit des preuves opérationnelles pour les contrôles qu’elle opère.
Les limites sont énoncées sur la page Confiance et sécurité. Stack Harbor ne détient aucun rapport SOC 2, ni aucune certification ISO 27001, PCI DSS ou HIPAA, en son nom. Nos centres de données de Montréal comprennent des installations d’eStruxture, et eStruxture indique que toutes ses installations sont certifiées ISO/IEC 27001:2022 et font l’objet d’un audit externe pour un rapport SOC 2 de type 2 (page sécurité et conformité d’eStruxture). Ces énoncés sur la résidence ne s’étendent pas à un compte AWS, Azure ou Google Cloud qui appartient au client et que Stack Harbor opère.
Stack Harbor ne publie pas de prix. Les exigences de conformité ou de résidence des données sont un facteur nommé dans la façon dont Stack Harbor cadre les mandats, et le devis est fixe pour un périmètre écrit après une évaluation. Pour confronter une clause de résidence à une conception réelle, demandez un plan d’infrastructure et apportez la clause avec vous.
