Les questions de localisation des données pour les acheteurs de l'éducation au Moyen-Orient

Demandez à un éditeur de logiciels éducatifs où sont stockées vos données et vous obtiendrez en général un nom de région. Cela répond à environ un cinquième de la question. Les données au repos se trouvent à un endroit ; le traitement, à un autre ; les sauvegardes, à un troisième ; et les sous-traitants qui se tiennent derrière les fonctionnalités de l'éditeur — le modèle d'IA, l'expéditeur d'e-mails, l'outil de suivi des erreurs, le service d'assistance — se trouvent chacun dans un pays qui lui est propre. Un engagement de localisation qui ne couvre que le premier de ces points n'est pas un engagement de localisation. C'est une préférence d'hébergement.

Le sujet pèse davantage dans le Golfe qu'il y a cinq ans, parce que les règles se sont précisées. La loi saoudienne sur la protection des données personnelles (PDPL), appliquée par la SDAIA, fixe des conditions au transfert de données personnelles hors du Royaume. Les Émirats arabes unis disposent d'une loi fédérale qui coexiste avec des régimes distincts au sein du DIFC et de l'ADGM. Le Qatar, Bahreïn, Oman et l'Égypte ont chacun leur propre texte, et les régulateurs sectoriels y superposent des règles de classification. Les services achats posent des questions qu'ils ne posaient pas en 2019.

Localisation, souveraineté et juridiction sont trois promesses différentes

Elles sont distinctes, et un éditeur peut satisfaire l'une en échouant sur les deux autres.

La souveraineté des données est l'affirmation la plus forte : les données sont régies par le droit du pays où elles se trouvent, et par ce seul droit. C'est une position juridique plutôt que technique, et elle dépend de qui exploite l'infrastructure, de qui détient les clés de chiffrement, et du pays d'immatriculation de l'entité exploitante.

La juridiction suit l'entité juridique, pas le disque. Un éditeur immatriculé aux États-Unis qui stocke vos dossiers dans un centre de données de Riyad reste une société américaine, reste atteignable par un tribunal américain, et reste dans le champ du CLOUD Act américain de 2018, qui permet aux autorités américaines de contraindre un prestataire établi aux États-Unis à produire les données qu'il contrôle, où que ces données soient stockées. Déplacer le disque n'a pas déplacé la société.

Pourquoi « le cloud » n'est pas une réponse

« Le cloud » n'est pas un lieu. C'est un modèle d'achat posé sur un parc mondial de centres de données, et le parc en est précisément l'intérêt. Quand un éditeur dit « nous tournons sur AWS », toutes les questions qui comptent restent ouvertes.

• Quelle région ? Un même compte peut détenir des ressources dans vingt régions à la fois, et la réponse se donne par service, pas par compte.
• Tous les services sont-ils dans cette région ? Certains répliquent entre régions par défaut ; d'autres ont un plan de contrôle qui réside en permanence ailleurs.
• Où tournent les serveurs applicatifs, par opposition à la base de données ?
• Où partent les journaux, les traces d'erreur et les analyses d'usage produit ? Ils transportent des noms, des adresses e-mail et parfois des réponses d'apprenants en texte libre.
• Où se trouve l'équipe d'assistance, et que peut-elle voir depuis là ?
• Où atterrissent les sauvegardes, et combien de temps persistent-elles après une suppression ?

Chacun de ces points est une décision technique ordinaire, prise tôt, pour des raisons de latence ou de coût plutôt que de droit, par quelqu'un qui n'était pas dans la réunion d'achat. C'est pourquoi les réponses sont si souvent vagues : personne ne les a écrites.

Les sept questions

Envoyez-les par écrit et annexez les réponses au contrat. Un éditeur qui refuse de répondre par écrit ne peut pas être tenu à sa réponse.

1. Où sont les données au repos, et dans quelle région nommée ?

Posez la question par catégorie de données, pas par plateforme. Les dossiers d'apprenants, les tentatives d'évaluation, les fichiers déposés, la vidéo, les certificats et les journaux d'audit vivent souvent dans des systèmes différents, et l'éditeur n'a peut-être songé qu'au premier. Demandez un tableau : pour chaque catégorie de données, le pays, le fournisseur et le code de région.

2. Où sont-elles traitées ?

Le stockage est la moitié facile ; c'est le traitement qui fait bouger les données. L'indexation de recherche, la génération de rapports, le rendu PDF, le transcodage vidéo et tout ce qui est assisté par l'IA lisent les données et s'exécutent quelque part. L'IA est le cas le plus aigu dans les logiciels éducatifs en ce moment : un tuteur, un assistant de rédaction ou une proposition de correction envoient du texte d'apprenant à un fournisseur de modèle, et la région d'inférence de ce fournisseur est un fait distinct de la région d'hébergement de l'éditeur. Demandez quel fournisseur, dans quelle région, si les contenus servent à l'entraînement, et obtenez la durée de conservation en jours.

3. Quels sous-traitants y accèdent, et dans quel pays ?

Demandez-la sous forme de liste, avec trois colonnes : nom, fonction, pays de traitement. Une plateforme en 2026 en compte généralement huit à quinze — un hébergeur cloud, un fournisseur de base de données, un stockage objet, un expéditeur d'e-mails, un fournisseur de modèle d'IA, un outil de suivi des erreurs, un outil d'analyse, un service d'assistance, et un prestataire de paiement si elle encaisse de l'argent.

Deux questions de relance séparent un éditeur sérieux d'un éditeur optimiste. Comment êtes-vous informé du changement d'un sous-traitant, et pouvez-vous vous y opposer ? Et lesquels reçoivent des données personnelles plutôt que des métadonnées ? Un éditeur qui n'a jamais écrit cela met une semaine à le produire, et le délai est lui-même une information.

4. Où vont les sauvegardes et les copies de reprise après sinistre ?

Les sauvegardes sont la façon la plus courante dont un engagement de localisation échoue en silence. La réplication entre régions est la recommandation par défaut de tous les guides d'architecture cloud, pour des raisons sans rapport avec votre régulateur. Demandez où les sauvegardes sont écrites, si une réplique quitte la région, et combien de temps un enregistrement supprimé y survit. Si votre obligation d'effacement est de 30 jours et la rétention des sauvegardes de 90, cet écart a sa place dans une politique plutôt que dans un constat d'audit.

5. Qui peut y accéder, et depuis où ?

L'accès à distance défait la localisation. Demandez où siègent les équipes d'assistance et d'ingénierie, si l'accès à la production est possible depuis l'extérieur de la région, s'il requiert une autorisation, et si vous pouvez consulter le journal. « Nos ingénieurs peuvent lire les données clients depuis n'importe où, sans journalisation » est une réponse que certains éditeurs donnent réellement si vous posez la question franchement.

6. Quel est le mécanisme de transfert ?

Si des données quittent le pays — et chez la plupart des éditeurs, certaines le feront — il doit exister une base légale nommée pour ce transfert, et non un haussement d'épaules. Demandez sur quelle disposition de quelle loi locale il s'appuie.

Un signe fréquent : l'éditeur vous envoie les clauses contractuelles types de l'UE. Ce sont un instrument de l'UE, conçu pour les transferts hors de l'Espace économique européen. Elles constituent une base contractuelle raisonnable et elles ne sont pas, à elles seules, un mécanisme de transfert saoudien ou émirien. Un éditeur qui traite un accord GDPR comme une conformité universelle n'a pas lu le texte local.

7. Que se passe-t-il si la loi change ?

C'est la question que presque personne ne pose, et celle à laquelle est attaché le plus d'argent. Le droit de la protection des données dans la région est jeune et mouvant : un régulateur peut publier une nouvelle classification, et une position conforme au moment de la signature cesse de l'être en deuxième année d'un contrat de cinq ans. Inscrivez quatre choses au contrat :

1. Si la loi change au point que notre dispositif n'est plus licite, que devez-vous faire, et dans quel délai ?
2. Qui paie la migration — vous, nous, ou un partage selon la cause ?
3. Pouvons-nous résilier sans pénalité si vous ne pouvez pas vous conformer dans ce délai ?
4. À la sortie, dans quel format récupérons-nous les données, combien de temps prend l'export, et quand sont-elles supprimées de vos systèmes et de vos sauvegardes ?

Où se situe Lurno, sans détour

Voici notre propre réponse à notre propre questionnaire, dans la forme sous laquelle nous la voudrions de n'importe qui d'autre.

Augmental Learning Inc. est une société américaine, et notre infrastructure et nos sous-traitants par défaut sont établis aux États-Unis. Deux conséquences en découlent, et un acheteur du Golfe doit les entendre toutes les deux directement. Par défaut, vos dossiers se trouvent aux États-Unis. Et la société est immatriculée aux États-Unis, donc la juridiction américaine l'atteint où que vive chaque octet. Aucun réglage de configuration ne change la seconde — ni chez nous, ni chez aucun autre éditeur américain.

Ce qui est réellement configurable aujourd'hui, c'est le stockage des médias. Il se règle par organisation sur Supabase, Amazon S3, Azure et Google Cloud Storage — votre propre bucket, dans votre propre région — et se transmet le long de l'arborescence des organisations, si bien qu'un éditeur peut conserver les fichiers d'un pays dans ce pays sans le scinder en un tenant distinct. Cela couvre la plus grande partie du volume : documents déposés, enregistrements, travaux rendus par les apprenants et pièces justificatives. La façon de le configurer est décrite sur la page création de contenu.

Ce que nous ne prétendons pas : un déploiement en région de la base de données principale et de la couche applicative n'est pas quelque chose que vous pouvez cocher sur un bon de commande aujourd'hui. Si votre exigence les couvre, c'est une discussion cadrée avec un calendrier, pas une case à cocher — et vous devriez exiger cette précision de chaque éditeur, y compris de ceux dont la présentation affiche « souverain ».

Nous ne sommes ni certifiés SOC 2 ni certifiés ISO 27001, et nous préférons l'écrire plutôt que de laisser un badge sur une diapositive le laisser croire. Ce qui existe : un accord de traitement des données (DPA), un avenant FERPA, un journal d'audit chaîné par hachage, des parcours de consentement et d'effacement GDPR soumis à une règle de double validation, et une isolation des tenants appliquée par 868 politiques de sécurité au niveau des lignes à l'intérieur de la base de données plutôt que dans le seul code applicatif. L'isolation est une garantie différente de la localisation : elle signifie qu'un autre client ne peut pas atteindre vos lignes. Un éditeur qui répond à une question de localisation par une réponse d'isolation a changé de sujet — nous compris.

Rédiger l'exigence de façon à obtenir une vraie réponse

Les éditeurs renvoient des réponses vagues parce que la question en autorisait une. « Prenez-vous en charge la localisation des données ? » appelle un oui, et personne n'y a jamais répondu non. Remplacez-la par des questions auxquelles il existe une mauvaise réponse.

1. Demandez un tableau, pas un paragraphe : catégorie de données, pays de stockage, pays de traitement, fournisseur, code de région.
2. Demandez la liste des sous-traitants en pièce jointe, avec les pays et une clause de notification en cas de changement.
3. Demandez les emplacements des sauvegardes, la rétention en jours, et combien de temps les enregistrements supprimés y survivent.
4. Demandez sur quelle disposition de quelle loi locale s'appuie chaque transfert transfrontalier.
5. Demandez ce qui se passe contractuellement si la loi change, y compris qui paie le déménagement.

Notez ensuite les réponses sur leur précision plutôt que sur leur enthousiasme. Tant que les règles de la région se stabilisent, un éditeur qui vous dit précisément où sont vos données — y compris les parties que vous ne vouliez pas entendre — permet plus facilement de rester conforme qu'un éditeur qui accepte tout. Notre propre version est sur la page sécurité. Tenez-la au même niveau d'exigence que celle de tous les autres.