Cloud Souverain France — Migrer vers OVHcloud ou Scaleway sans Risque Schrems III

#Le CLOUD Act américain — La menace juridique sur vos données AWS/Azure/GCP

Le Clarifying Lawful Overseas Use of Data Act (CLOUD Act), promulgué aux États-Unis en mars 2018, modifie fondamentalement l'équation de souveraineté des données pour toute entreprise hébergée chez un opérateur cloud américain. Sa mécanique est simple mais radicale : le FBI, le DOJ et les agences fédérales américaines peuvent émettre une injonction légale contraignant Amazon Web Services, Microsoft Azure ou Google Cloud Platform à transmettre des données stockées n'importe où dans le monde — y compris sur des serveurs physiquement situés en France, en Allemagne, ou dans n'importe quel datacenter européen.

Ce n'est pas une hypothèse théorique. Le CLOUD Act est la codification légale d'une pratique qui existait depuis les années 2000 via les National Security Letters et les Foreign Intelligence Surveillance Court orders. Il a formalisé et étendu ce pouvoir extraterritorial. Des ordres CLOUD Act ont été émis depuis 2018. Amazon, Microsoft et Google — soumis à la juridiction américaine en tant qu'entreprises incorporées aux États-Unis — ne peuvent juridiquement pas refuser d'obtempérer, même si leurs contrats clients européens et leur documentation commerciale promettent la confidentialité.

La perspective RGPD est sans ambiguïté : un transfert de données vers les autorités américaines via une injonction CLOUD Act constitue un transfert vers un pays tiers (les États-Unis) sans garantie adéquate au sens de l'article 46 du RGPD. Le Data Privacy Framework (DPF), l'accord UE-États-Unis de 2023 qui a succédé au Privacy Shield invalidé par Schrems II, n'exempte pas les entreprises US de leurs obligations au titre du CLOUD Act — il couvre uniquement les transferts commerciaux, pas les accès gouvernementaux. Max Schrems et NOYB ont déjà annoncé des recours sur le DPF : un Schrems III est un risque documenté, pas un fantasme.

La conclusion qui en découle pour votre infrastructure cloud : utiliser AWS, Azure ou GCP pour des données personnelles de clients ou de salariés européens, des données financières, des données de santé, ou des données stratégiques d'entreprise expose structurellement votre organisation à une violation potentielle du RGPD. Pas parce que votre configuration est mauvaise, pas parce qu'Amazon ne prend pas la sécurité au sérieux — mais parce que ces opérateurs sont soumis au droit américain, et que le droit américain leur impose de répondre aux demandes de leurs agences fédérales. La seule protection structurelle est d'utiliser des opérateurs non soumis à la juridiction américaine. C'est précisément ce que font OVHcloud, Scaleway, Clever Cloud et 3DS Outscale.

Voir glossaire cloud souverain et service RGPD transferts — Schrems strict.

#Comparatif clouds souverains français — OVHcloud, Scaleway, Clever Cloud, 3DS Outscale

#OVHcloud — Le leader européen

OVHcloud est le plus grand opérateur cloud européen par capacité installée et le premier choix pour les migrations d'entreprise depuis AWS ou Azure. Ses atouts pour une migration de souveraineté : 30+ datacenters dont Roubaix (RBX), Strasbourg (SBG), Gravelines (GRA) et Marseille en France métropolitaine, plus des sites au Canada, Australie, Singapour, Allemagne et Pologne. Opérateur de droit français incorporé à Roubaix, non soumis au CLOUD Act américain ni au Cloud Act britannique. Certifications : HDS (Hébergement de Données de Santé) pour plusieurs zones, certification ISO 27001, qualifications SecNumCloud ANSSI en cours ou obtenues sur une sélection de services.

Portfolio de services largement compatible avec AWS : Compute (instances Bare Metal, VPS, Public Cloud équivalent EC2), Object Storage compatible S3 API (migration directe), Managed Databases (PostgreSQL, MySQL, MongoDB, Redis), Managed Kubernetes (OKE — compatible EKS/AKS), CDN, Load Balancers, Virtual Private Cloud, DNS managé. Services IA : OVHcloud AI Training (entraînement de modèles), AI Deploy (déploiement de modèles en production), et surtout le partenariat avec Mistral AI — Mistral Large 2 disponible en API sur l'infrastructure OVHcloud, sans transfert de données hors contrat OVHcloud.

Points d'attention objectifs : la console OVHcloud Manager a une UX moins travaillée qu'AWS Console ou le portail Azure (amélioration en cours en 2026). Certains services sont moins matures ou avec un catalogue plus restreint (services serverless moins avancés que Lambda, services d'analytics managés moins nombreux). Support technique de niveau enterprise coûte plus cher qu'annoncé en entrée de gamme. Ces points sont connus et compensés par des tarifs infrastructure significativement inférieurs à AWS/Azure sur le compute et le stockage.

#Scaleway — Le challenger français DevEx-first

Scaleway est la filiale cloud du groupe Iliad (Free). Positionnement clair : un cloud souverain français avec une expérience développeur (DevEx) supérieure à OVHcloud, ciblant les scale-ups, startups tech, et équipes de développement qui ont besoin d'un cloud agile sans la complexité d'AWS mais sans les contraintes réglementaires non plus. Opérateur de droit français, non soumis au CLOUD Act.

Points forts distinctifs de Scaleway en 2026 : GPU instances H100 disponibles (très demandées pour l'entraînement de modèles IA), Managed Kubernetes Kapsule mature, Object Storage compatible S3 (migration très simple depuis AWS S3), Managed Databases PostgreSQL/MySQL/Redis, Serverless Functions (équivalent Lambda, moins de features mais plus simple), Serverless Containers, Private Networks. L'interface est nettement plus agréable qu'OVHcloud pour les développeurs. La documentation technique est de qualité.

Limites à intégrer dans votre choix : le catalogue de services est plus restreint qu'OVHcloud, qui lui-même est plus restreint qu'AWS. Pas de qualification SecNumCloud (vs 3DS Outscale). Historique de quelques incidents infrastructure en 2022-2023 (disponibilité Object Storage) qui ont alimenté la méfiance — les SLA ont depuis été renforcés. Pour une grosse migration d'entreprise avec 50+ services, Scaleway peut nécessiter de compléter avec d'autres opérateurs sur certains services non disponibles.

#Clever Cloud — Le PaaS souverain français

Clever Cloud est un opérateur PaaS (Platform as a Service) français fondé à Nantes. Le positionnement est distinct des autres : Clever Cloud n'est pas un IaaS (pas de machines virtuelles raw). C'est un équivalent souverain français d'Heroku, Render ou Railway — vous déployez votre application (Node.js, PHP, Python, Java, Ruby, Go, Rust, Scala), Clever Cloud s'occupe de l'infrastructure sous-jacente. Autoscaling natif, déploiement via git push ou CI/CD, add-ons managés (PostgreSQL, MySQL, Redis, MongoDB, Elasticsearch).

Pour qui est-ce le bon choix ? Les applications web et API qui n'ont pas besoin de contrôler leur infrastructure bas niveau — startups et scale-ups voulant la simplicité d'Heroku sans le CLOUD Act (Heroku est Salesforce, donc soumis au CLOUD Act), équipes souhaitant migrer depuis Heroku sans changer leur workflow. Non soumis au CLOUD Act. Opérateur de droit français.

Limite principale : ce n'est pas un IaaS — si votre infrastructure utilise des VMs, du stockage objet standalone, ou des services managés non disponibles en add-on Clever Cloud (Kafka, ElasticSearch enterprise, certains moteurs ML), Clever Cloud ne remplace pas l'ensemble de votre stack. Il coexiste typiquement avec un OVHcloud ou Scaleway pour les composants nécessitant de l'IaaS.

#3DS Outscale — Le cloud SecNumCloud-qualifié pour secteurs sensibles

3DS Outscale est la filiale cloud de Dassault Systèmes et l'opérateur le plus régulé de l'écosystème cloud souverain français. Élément clé et différenciant : 3DS Outscale est, en 2026, l'un des seuls opérateurs IaaS qualifiés SecNumCloud par l'ANSSI — le niveau de qualification maximum pour la souveraineté cloud en France. API compatible AWS (EC2-compatible, S3-compatible, VPC-compatible) — ce qui facilite significativement la migration technique depuis AWS.

Cibles naturelles de 3DS Outscale : opérateurs d'importance vitale (OIV) dans les 12 secteurs d'activités d'importance vitale (SAIV), opérateurs de services essentiels (OSE) au sens NIS2, administrations centrales et collectivités territoriales de grande taille, établissements de santé pour données très sensibles, secteur défense et industrie de défense, établissements financiers soumis à supervision renforcée ACPR. En dehors de ces cas, le surcoût de 3DS Outscale vs OVHcloud ou Scaleway est généralement difficile à justifier.

Pricing : notablement plus élevé qu'OVHcloud ou Scaleway, en cohérence avec les certifications et qualifications obtenues. Console UX moins avancée que les alternatives. Catalogue de services plus limité.

#SecNumCloud — Le label ANSSI de souveraineté maximale

SecNumCloud est le référentiel de qualification créé et géré par l'ANSSI (Agence Nationale de la Sécurité des Systèmes d'Information), le standard le plus élevé pour la souveraineté cloud en France. Ce n'est pas une certification ISO comme d'autres — c'est une qualification d'État, pilotée par le service de cybersécurité national français.

Les exigences SecNumCloud vont bien au-delà des certifications commerciales. Un opérateur qualifié SecNumCloud doit : être soumis exclusivement au droit européen (aucun système juridique non-UE ne peut contraindre l'accès aux données — CLOUD Act américain exclu par construction), démontrer l'absence de dépendance capitalistique à des entités extra-européennes pouvant exercer une pression, mettre en œuvre une sécurité physique renforcée des datacenters, assurer une isolation multi-tenant auditée, disposer d'un système de gestion de la sécurité de l'information certifié au niveau le plus exigeant.

Opérateurs qualifiés SecNumCloud en 2026 (liste ANSSI — vérifier sur ssi.gouv.fr) : 3DS Outscale (IaaS qualifié), Orange Business Services sur certains services, OVHcloud sur certaines offres spécifiques (la qualification totale de l'ensemble du portfolio est un processus long — vérifier la portée exacte pour vos services).

Qui a besoin de SecNumCloud ? En ordre décroissant d'obligation formelle ou forte recommandation : (1) organismes gouvernementaux et administrations traitant des données souveraines, (2) opérateurs d'importance vitale (OIV) dans les secteurs désignés, (3) opérateurs de services essentiels (OSE) NIS2 pour leurs systèmes critiques, (4) établissements de santé pour les données les plus sensibles, (5) établissements financiers systémiques — l'ACPR a émis des recommandations allant dans le sens de SecNumCloud pour les systèmes les plus critiques des banques systémiques. Pour une ETI non-OIV non-OSE traitant des données personnelles classiques, SecNumCloud est une excellente pratique mais pas une obligation légale formelle — OVHcloud standard ou Scaleway suffisent.

Voir service Souveraineté Numérique Responsable Nehos pour le cadre complet.

#Audit de souveraineté — Ce que Nehos cartographie

Avant toute migration, nous réalisons un audit de souveraineté de votre infrastructure cloud actuelle. Durée typique : 5 à 15 jours selon la taille et la complexité. Ce que l'audit produit :

(1) Inventaire exhaustif des services cloud utilisés. Chaque service AWS, Azure ou GCP actif est cartographié : EC2, S3, RDS, Lambda, SQS, SNS, Cognito, CloudFront, Route 53, EKS, DynamoDB, Glacier, CloudWatch, Secrets Manager, IAM, WAF, API Gateway côté AWS ; Virtual Machines, Blob Storage, Azure AD, App Service, AKS, Azure Functions, CosmosDB, Azure Monitor côté Azure ; Compute Engine, Cloud Storage, GKE, Cloud Functions, BigQuery, Firebase côté GCP. Rien ne doit être oublié — un seul service oublié peut maintenir une exposition.

(2) Classification des données par service. Pour chaque service identifié : quelles données y transitent ou y sont stockées ? Données personnelles au sens RGPD (articles 4 et 9) ? Données de santé (hébergement données de santé HDS) ? Données financières réglementées (DORA) ? Propriété intellectuelle ? Secrets commerciaux ? Données opérationnelles critiques ?

(3) Évaluation de l'exposition au CLOUD Act par service. Chaque service hébergé chez un opérateur US est exposé. Nous qualifions le niveau de risque concret (probabilité et gravité d'une injonction CLOUD Act selon la nature des données) et l'impact RGPD.

(4) Audit de la base légale RGPD sur les transferts. Quelle base légale justifie actuellement le transfert vers les US — DPF (Data Privacy Framework) ou CCT (clauses contractuelles types) ? Le DPF peut être invalidé (risque Schrems III documenté). Les CCT ne protègent pas des accès gouvernementaux CLOUD Act — elles couvrent les transferts commerciaux uniquement.

(5) Cartographie des alternatives souveraines. Pour chaque service cloud US identifié, nous identifions l'équivalent souverain le plus adapté : AWS S3 → OVHcloud Object Storage (compatible S3), AWS RDS PostgreSQL → OVHcloud Managed Databases PostgreSQL, AWS Cognito → solution alternative souveraine, etc.

(6) Matrice de complexité de migration. Chaque service est qualifié selon trois niveaux de complexité : lift-and-shift direct (migration transparente, même API, même comportement — ex : S3 vers OVHcloud Object Storage) ; re-platforming modéré (adaptation de configuration, travail d'intégration limité — ex : CloudWatch vers Grafana Cloud ou auto-hébergé) ; rearchitecture nécessaire (le service US n'a pas d'équivalent fonctionnel direct souverain — ex : AWS Lambda avec ses intégrations profondes dans l'écosystème AWS).

(7) Comparaison des coûts. Dépense mensuelle actuelle chez le cloud US, estimation des coûts équivalents chez le cloud souverain cible. Résultat observé chez nos clients : OVHcloud est généralement 20 à 40 % moins cher qu'AWS à performances équivalentes sur le compute et le stockage, ce qui peut faire de la migration un investissement ROI positif en dehors même des bénéfices de conformité.

Voir glossaire cloud souverain pour les définitions de référence.

#Migration vers OVHcloud — Les pièges techniques à éviter

La migration d'AWS (ou Azure, GCP) vers OVHcloud est réalisable dans la très grande majorité des cas — mais elle comporte des pièges techniques que nous documentons ici sur la base de nos projets réels.

Stockage objet S3 — Migration facile. L'Object Storage OVHcloud est nativement compatible avec l'API S3 d'Amazon (S3-compatible). Vos applications utilisant le SDK AWS S3 (boto3 en Python, aws-sdk-js en Node, etc.) continuent de fonctionner avec un simple changement d'endpoint et de credentials. AWS S3 CLI et Rclone fonctionnent directement. Migration transparente dans 95 % des cas.

Bases de données managées — Migration facile à modérée. OVHcloud Managed Databases propose PostgreSQL, MySQL, Redis, MongoDB et Kafka managés. Une migration RDS PostgreSQL → OVHcloud PostgreSQL est un pg_dump/pg_restore standard avec un changement de connection string. RDS MySQL → OVHcloud MySQL idem. Les versions de moteur sont à vérifier (quelques versions de patch de décalage possible). Les fonctionnalités RDS spécifiques AWS (Performance Insights, Enhanced Monitoring) n'ont pas d'équivalent direct — remplacez par Grafana + pganalyze ou équivalent open source.

Kubernetes managé — Migration modérée. L'OVHcloud Managed Kubernetes (OKE) est un Kubernetes upstream standard, certifié CNCF. Vos manifests Kubernetes, Helm charts et configurations migrate sans modification majeure. Ce qui change : les classes de stockage (StorageClass — à adapter pour les volumes persistants OVHcloud), les annotations de Load Balancer (spécifiques OVHcloud vs AWS), les intégrations IAM/IRSA (à remplacer par les mécanismes OVHcloud équivalents), les politiques réseau si vous utilisiez des fonctionnalités réseau spécifiques EKS. Délai typique : 2 à 4 semaines de travail pour une migration Kubernetes correctement testée.

Fonctions serverless — Piège à anticiper. AWS Lambda a un écosystème très riche d'intégrations natives (triggers S3, SQS, SNS, DynamoDB Streams, API Gateway, Cognito, EventBridge). OVHcloud Functions existe mais est moins mature et couvre un périmètre d'intégrations nativement plus restreint. Si votre architecture est fortement event-driven Lambda avec des dizaines d'intégrations AWS natives, une rearchitecture partielle vers une solution alternative (fonctions OVHcloud + queue managée, ou remplacement par des services managés OVHcloud différents) est probable. C'est le scénario de rearchitecture le plus fréquent dans nos migrations.

CDN — Migration facile. OVHcloud CDN remplace CloudFront sur les cas d'usage standard (accélération de contenu statique, protection DDoS basique). Configuration via DNS. Les règles de comportement CloudFront avancées (Lambda@Edge, origines multiples complexes) peuvent nécessiter une adaptation. Pour les cas d'usage CDN très avancés, Cloudflare (entreprise non US selon les contrats, à vérifier) ou Fastly sont des alternatives.

CI/CD — Migration facile. GitHub Actions, GitLab CI, CircleCI, et la plupart des pipelines CI/CD fonctionnent avec OVHcloud via les credentials d'API OVHcloud (compatible Terraform, Pulumi, Ansible). Le provider Terraform OVHcloud est maintenu et à jour. Il s'agit principalement d'adapter les secrets et les providers — pas de réécriture des pipelines.

Monitoring et observabilité — Migration modérée. CloudWatch n'a pas d'équivalent natif chez OVHcloud. Les solutions standard que nous déployons : Grafana Cloud (avec option d'auto-hébergement souverain sur OVHcloud si la souveraineté du monitoring est requise) + Prometheus pour les métriques, Loki pour les logs, Tempo pour les traces distribuées. Stack open source standard, bien documentée, mais représente un effort d'installation et de configuration initial.

IAM et gestion des identités — À revoir en profondeur. AWS IAM est très spécifique à AWS. OVHcloud a son propre système de gestion des utilisateurs et des droits. Si votre sécurité repose sur des rôles IAM granulaires, une revue complète de la stratégie IAM sur OVHcloud est nécessaire. Pour les applications nécessitant un IAM avancé (OIDC, SAML, policies complexes), nous intégrons Keycloak auto-hébergé ou une solution souveraine équivalente.

#IA souveraine — Mistral Large 2 sur OVHcloud

La migration vers un cloud souverain ouvre également une opportunité de souveraineté de vos services IA — et c'est l'une des raisons les plus convaincantes pour nos clients en 2026.

Le partenariat OVHcloud / Mistral AI est structurellement différent d'une simple résellerie : Mistral Large 2 est disponible via l'API OVHcloud AI Endpoints, déployé sur l'infrastructure OVHcloud. Concrètement, quand votre application appelle l'API Mistral Large 2 via OVHcloud, les données ne quittent pas l'infrastructure OVHcloud — elles ne transitent pas vers des serveurs Mistral AI ni vers des fournisseurs cloud US. Le contrat est avec OVHcloud (opérateur français), pas avec un opérateur US. Il n'y a pas d'exposition au CLOUD Act.

Comparatif de l'alternative : si vous utilisez l'API OpenAI ou l'API Anthropic directement, vos prompts (et donc les données de vos utilisateurs, de vos clients, de vos collaborateurs que vous injectez dans les prompts) sont transmis vers des serveurs aux États-Unis gérés par des entreprises américaines soumises au CLOUD Act. Même si OpenAI stocke en Europe pour certains abonnements, la maison mère est américaine. Le risque juridique est structurel.

Du côté technique, Mistral Large 2 via OVHcloud AI Endpoints utilise le format API compatible OpenAI (même structure de requêtes, mêmes paramètres). Pour la plupart des applications construites avec LangChain, LangGraph, LlamaIndex ou directement avec le SDK OpenAI, le passage à Mistral Large 2 OVHcloud est un remplacement de la base URL et de la clé API, pas une réécriture. Voir service Agents IA RAG pour les architectures RAG sur stack souveraine.

Nehos déploie également OVHcloud AI Training pour l'entraînement de modèles personnalisés (fine-tuning de Mistral sur des données métiers spécifiques — juridique, santé, finances) et OVHcloud AI Deploy pour les modèles nécessitant un déploiement dédié (modèles confidentiels, SLA garantis, isolation totale). Stack complète IA souveraine documentée dans service IA Souveraine. Voir aussi glossaire LLM souverain.

#Réglementation et cloud souverain — DORA, AI Act, NIS2, secteur santé

La migration vers un cloud souverain n'est pas seulement une réponse au CLOUD Act — elle simplifie la conformité à une cascade de réglementations sectorielles qui créent des obligations croissantes sur le contrôle des données.

DORA (Digital Operational Resilience Act — Règlement UE 2022/2554, applicable depuis janvier 2025) : le règlement sur la résilience opérationnelle numérique du secteur financier impose aux établissements financiers (banques, compagnies d'assurance, sociétés de gestion, prestataires de services de paiement) des exigences contractuelles très précises sur leurs prestataires de services TIC, notamment les opérateurs cloud. DORA impose notamment : droits d'audit du régulateur chez le prestataire cloud, plans de continuité d'activité testés, clauses de sortie contractuelles, limitation du risque de concentration (dépendance excessive à un seul fournisseur cloud US). Un cloud souverain français est structurellement plus facile à faire auditer par l'ACPR ou la BCE qu'AWS ou Azure (dont les audits sont soumis à des conditions strictes via leurs programmes de conformité). Voir service Conformité — Audit NIS2.

AI Act (Règlement UE 2024/1689) : pour les systèmes IA classés à haut risque (Annexe III — recrutement, crédit, santé, éducation, infrastructure critique, application de la loi), la CNIL et les autorités de surveillance européennes recommandent fortement la localisation des données d'entraînement et d'inférence en Europe, avec un contrôle effectif sur la chaîne de traitement. Un système IA haut risque dont les données transitent via des API US ne satisfait pas ces exigences de contrôle. OVHcloud + Mistral Large 2 résout ce problème structurellement.

NIS2 (Directive UE 2022/2555, transposée en droit français) : l'article 21.2e de NIS2 impose aux entités essentielles et importantes des mesures de sécurité de la chaîne d'approvisionnement, incluant l'évaluation des risques liés aux prestataires de services numériques. Un opérateur cloud soumis au CLOUD Act américain représente un risque de chaîne d'approvisionnement documentable. Les autorités NIS2 (ANSSI en France) attendent une démarche de gestion de ce risque. Le cloud souverain est la réponse la plus directe.

HDS (Hébergement de Données de Santé) : toute application traitant des données de santé à caractère personnel au sens de l'article L.1111-8 du Code de la santé publique doit être hébergée chez un opérateur certifié HDS. OVHcloud est certifié HDS sur plusieurs de ses zones (vérifier les zones certifiées pour votre région de déploiement). 3DS Outscale est également certifié HDS. AWS France a une certification HDS — mais l'exposition au CLOUD Act reste entière. En pratique, les établissements de santé les plus avancés migrent vers OVHcloud ou 3DS Outscale pour cumuler HDS et souveraineté effective.

Voir service Conformité — Schrems RGPD strict et glossaire RGPD.

#Méthodologie de déploiement

Notre méthodologie de migration cloud souverain se déroule en cinq phases distinctes avec des jalons clairs.

Phase 1 — Audit de souveraineté (2 à 4 semaines, à partir de 1 362 € HT). Cartographie complète de l'infrastructure cloud actuelle, classification des données, évaluation de l'exposition réglementaire (CLOUD Act, RGPD, DORA si secteur financier, HDS si données de santé), sélection du ou des clouds souverains cibles (OVHcloud seul, OVHcloud + 3DS Outscale pour les données les plus sensibles, Scaleway pour les composants DevEx, etc.), première estimation budgétaire de la migration. Livrable : rapport d'audit souveraineté + matrice de migration + go/no-go étayé.

Phase 2 — Plan de migration détaillé (1 à 2 semaines, inclus dans la phase 3). Sur la base de l'audit : roadmap de migration service par service, séquencement logique (migrer d'abord les services les moins risqués, valider les patterns, migrer les services critiques), plan de rollback pour chaque service, critères de validation. Architecture cible documentée (schémas réseau, IAM, stockage, compute, monitoring).

Phase 3 — Migration CI/CD progressive (4 à 20 semaines selon scope, à partir de 745 € HT). Migration par cohortes successives, jamais de big bang. Chaque service migré est déployé en parallèle du service US (blue/green ou canary), testé en production partielle, puis basculé. L'infrastructure US est maintenue en lecture seule pendant une période de validation (typiquement 2 à 4 semaines par cohorte). Infrastructure as Code via Terraform avec le provider OVHcloud maintenu par OVHcloud.

Phase 4 — Validation et certification (1 à 2 semaines). Tests de charge et de performance sur l'infrastructure souveraine, validation SLA, documentation de conformité pour le DPO (RGPD — transferts hors UE éliminés, base légale des traitements), documentation DORA si applicable, clôture des comptes cloud US des services migrés.

Phase 5 — Exploitation et MCO (mensuel). SLA contractuel 99,5 % uptime minimum. Monitoring 24/7 via Grafana + Prometheus auto-hébergé OVHcloud. Revue mensuelle des coûts et optimisations (rightsizing instances, cold storage pour archives). Mise à jour de la documentation de conformité à chaque évolution significative de l'infrastructure.

#ROI mesurable — Cas ETI migration AWS → OVHcloud

Cas client référence : ETI de services (anonymisé NDA), 800 salariés, infrastructure AWS comprenant 45 services actifs (EC2, RDS PostgreSQL et MySQL, S3, EKS, SQS, CloudWatch, WAF, Route 53, Lambda, Cognito, Secrets Manager, CloudFront principalement). Contexte de départ : DPO interne ayant identifié le risque CLOUD Act sur des données clients et collaborateurs, direction juridique ayant reçu une demande de vérification RGPD sur les transferts hors UE.

Mission Nehos sur 16 semaines : audit de souveraineté complet (3 semaines), plan de migration et architecture OVHcloud cible (2 semaines), migration des 45 services en 4 cohortes progressives (9 semaines), validation et clôture des comptes AWS des services migrés (2 semaines). Services migrés : l'ensemble du portfolio, avec un seul service nécessitant une rearchitecture légère (les fonctions Lambda event-driven remplacées par une architecture OVHcloud Functions + OVHcloud Queue Service).

Résultats mesurés à 6 mois post-migration : exposition CLOUD Act réduite à 0 % sur l'ensemble des workloads migrés (vs 100 % sur AWS), coût infrastructure mensuelle réduit de 32 % (OVHcloud moins cher qu'AWS sur compute et stockage à performances comparables), conformité DORA validée par l'auditeur externe du client (risque de concentration cloud US éliminé), mise en service de Mistral Large 2 souverain pour le projet IA interne du client sans surcoût d'infrastructure significatif. Investissement total mission Nehos : à partir de 88 k€ HT. ROI infrastructure seul (économies mensuelles cloud) : payback en 18 mois. Voir cas ETI migration AWS → OVHcloud.

#Tarification — 612 k€ HT

Trois fourchettes tarifaires selon la complexité de votre infrastructure et le niveau de qualification requis.

Infrastructure modeste (10-20 services, lift-and-shift majoritaire) : audit + plan de migration + migration + validation en 8 à 12 semaines : 612 k€ HT. Typique pour une startup ou une PME ayant une infrastructure AWS simple (quelques EC2, un RDS, du S3, un EKS basique).

Infrastructure ETI standard (25-50 services, quelques rearchitectures mineures) : audit + migration en 12 à 18 semaines : 50 à 811 k€ HT. Inclut le déploiement du monitoring souverain Grafana, la revue IAM, la configuration réseau Private Network OVHcloud. Option déploiement Mistral Large 2 souverain +12 k€ HT.

Infrastructure complexe ou avec exigences SecNumCloud (50+ services, ou secteur régulé OIV/OSE/HDS/DORA, ou 3DS Outscale requis) : 211 k€ HT sur 16 à 24 semaines. Inclut la documentation de conformité complète (DORA, NIS2, HDS selon périmètre), la coordination avec le DPO et le RSSI du client, les livrables pour le régulateur sectoriel.

Phase d'audit seule (sans engagement de migration) : à partir de 1 362 € HT selon la taille de l'infrastructure (15 services vs 60+). MCO mensuel post-migration : à partir de 1 746 € HT selon le périmètre du contrat de maintenance (monitoring, mises à jour de configuration, gestion des incidents). Estimez précisément en 30 minutes de RDV : [Calendly souveraineté cloud](https://calendly.com/raphael-poirier_/decouverte15min-nehos-groupe service Souveraineté Numérique Responsable Nehos pour le périmètre complet de notre offre souveraineté.