Stockage en Suisse, lois extraterritoriales, demandes d'autorités, adéquation UE, ISO 27001 et DPA : ce que disent les sources officielles, et comment récupérer votre DPA.
Dans ses engagements de sous-traitant, Infomaniak s'engage à « stocker vos données dans nos centres de données basés exclusivement en Suisse, et ne jamais transférer vos données en dehors de nos propres infrastructures ». Ces engagements sont, selon la même page, retranscrits dans ses conditions générales et particulières. Source : https://www.infomaniak.com/fr/cgv/reglement-general-protection-donnees
Infomaniak affirme dans son Centre de confiance que vos données sont « à l'abri des lois extraterritoriales comme le Cloud Act » (https://www.infomaniak.com/fr/trust-center). Son article du 22/05/2026 explique sa position : le Cloud Act vise les entreprises américaines, et l'exposition dépend de la nationalité et du contrôle de l'opérateur, pas seulement du lieu du serveur (https://news.infomaniak.com/comprendre-cloud-souverain/). Il s'agit de la position d'Infomaniak, pas d'une analyse juridique indépendante.
Héberger en Suisse ne veut pas dire « inaccessible à toute autorité ». La politique de confidentialité d'Infomaniak (modifiée le 25/09/2026) indique : « Une autorité peut nous contraindre, par une décision valable en droit suisse, à lui communiquer des données. » Source : https://www.infomaniak.com/fr/cgv/politique-de-confidentialite
Le DPA public d'Infomaniak (https://www.infomaniak.com/documents/privacy/DPA/Accord_sur_le_traitement_des_donnees_(DPA).pdf) prévoit, à l'article 2.1.13, d'informer le client des demandes d'une autorité, sauf si la loi ou l'autorité l'interdit, et de limiter la communication à ce qui est expressément demandé. L'article 13.1 interdit les transferts hors UE/EEE sans accord écrit préalable du client. L'accord est régi par le droit suisse (art. 14.1).
La Commission européenne publie la liste des pays reconnus comme offrant un niveau de protection adéquat : la Suisse y figure (https://commission.europa.eu/law/law-topic/data-protection/international-dimension-data-protection/adequacy-decisions_en). Pour une entreprise de l'UE, des données hébergées en Suisse ne sont donc pas traitées comme un transfert vers un pays sans protection équivalente.
Sur la page Certifications d'Infomaniak, le bloc ISO 27001:2022 (1) propose Télécharger le certificat (2) (https://www.infomaniak.com/documents/iso/27001_1FR.pdf). Le certificat émis par SGS indique une validité jusqu'au 29/03/2027. Vérifiez la date au moment où vous le consultez.
Dans le Manager Infomaniak, ouvrez Paramètres › Certificats légaux (1). Le bloc Générer un contrat de sous-traitance DPA propose le bouton Générer le DPA (2), présenté comme nécessaire pour une conformité au RGPD et à la LPD. Vous pouvez aussi consulter la version publique du DPA : https://www.infomaniak.com/documents/privacy/DPA/Accord_sur_le_traitement_des_donnees_(DPA).pdf
Vérifiez que vous êtes dans Paramètres de l'organisation et que votre compte a les droits d'administration.
Elle n'est pas dans le PDF public du DPA : demandez l'annexe au support Infomaniak.
Les sources citées expriment la position d'Infomaniak. Pour une garantie contractuelle, faites analyser le DPA et les conditions générales par un juriste.