SaaS, cloud à votre nom ou serveur dans vos locaux : où faire tourner votre logiciel ?

Trois façons de faire tourner un logiciel

« Hébergé chez soi » est une expression trompeuse : elle désigne tantôt un serveur installé dans le local technique de l'entreprise, tantôt un logiciel déployé sur un compte cloud ouvert au nom de l'entreprise. Il faut donc comparer trois modes, et non deux.

• Le SaaS : vous louez l'usage d'un logiciel que l'éditeur exploite sur ses propres serveurs. Vous ne voyez ni le code ni l'infrastructure.
• Le cloud à votre nom : votre logiciel, développé pour vous ou installé, tourne chez un hébergeur (machines virtuelles, base de données managée, stockage de fichiers) sur un compte dont votre entreprise est titulaire.
• Le serveur dans vos locaux : la machine, le réseau, l'alimentation électrique et la climatisation de la pièce sont à vous, comme leur entretien.

Le choix entre louer un logiciel et le faire construire relève d'une autre question, traitée dans le comparatif logiciel sur mesure ou SaaS. Ici, on regarde où et par qui le logiciel est exploité.

SaaS, cloud à votre nom ou serveur interne : le tableau comparatif

Qui est responsable de quoi ?

Le vrai sujet n'est pas l'endroit où tourne le serveur, mais la personne chargée de le maintenir en état. Le RGPD le formule sans ambiguïté : son article 32 demande au responsable du traitement comme à son sous-traitant des moyens garantissant la confidentialité, l'intégrité, la disponibilité et la résilience des systèmes, la capacité à rétablir l'accès aux données après un incident, et une procédure pour tester régulièrement l'efficacité des mesures.

• En SaaS, l'éditeur est votre sous-traitant. L'article 28 exige un contrat qui précise, entre autres, le sort des données en fin de prestation : suppression ou restitution, au choix du client. Lisez cette clause avant de signer, pas au moment de partir.
• Sur un cloud à votre nom, l'hébergeur répond du matériel et de ses services managés ; l'application, ses mises à jour et sa surveillance reviennent à vous ou au prestataire qui en assure la maintenance.
• Sur un serveur interne, tout vous revient, y compris l'onduleur, le disque qui fatigue et la mise à jour du système un vendredi soir. Beaucoup de PME découvrent ce poste le jour où la personne qui « s'occupait du serveur » quitte l'entreprise.

Sauvegardes : ce que chaque mode change

Dans ses règles essentielles de sécurité mises à jour en juin 2026, la CNIL recommande la règle du 3-2-1 : trois copies des données, sur deux supports différents, dont une déconnectée du réseau, avec des tests de restauration réguliers. Chaque mode d'hébergement met cette règle en défaut à un endroit différent.

• SaaS : les sauvegardes de l'éditeur protègent son service, pas forcément vos erreurs. Si un utilisateur supprime par mégarde trois cents fiches clients, l'éditeur peut-il restaurer uniquement votre compte, à quelle date, et en combien de temps ? Prévoyez aussi un export régulier que vous conservez vous-même.
• Cloud à votre nom : un instantané stocké chez le même hébergeur, sur le même compte, n'est pas une copie indépendante. Une copie chez un autre prestataire ou sur un support déconnecté s'impose.
• Serveur interne : le disque de sauvegarde posé à côté du serveur brûle avec lui, et un rançongiciel chiffre tout ce qui reste branché. La copie externe et déconnectée n'est pas une option.

Données sensibles : quand la souveraineté entre en jeu

Pour la plupart des applications de gestion, un hébergeur européen bien choisi suffit. L'exigence monte avec la sensibilité des données. L'ANSSI présente SecNumCloud comme un référentiel qui permet de qualifier des offres cloud (IaaS, PaaS ou SaaS) « de confiance », notamment face à l'application de lois extraterritoriales. Selon la FAQ de l'ANSSI, la doctrine « Cloud au centre » impose à l'administration de recourir à des offres qualifiées SecNumCloud pour ses données sensibles ; pour une entreprise privée ordinaire, ces recommandations restent un outil d'aide à la décision non contraignant.

Deux nuances évitent des choix coûteux :

• l'ANSSI précise que la qualification ne préjuge pas du niveau de sécurité des services numériques de ses clients : une application vulnérable reste vulnérable sur une offre qualifiée ;
• la CNIL rappelle, dans sa fiche du 22 janvier 2024 sur le chiffrement dans le cloud public, que seule la maîtrise exclusive des clés par le client écarte techniquement l'accès du fournisseur aux données ; un chiffrement géré côté serveur laisse les clés au fournisseur.

Le détail des niveaux (localisation, nationalité du fournisseur, HDS, SecNumCloud) figure dans le guide hébergement souverain, et le choix entre grands hébergeurs dans le comparatif OVHcloud, Scaleway ou AWS.

Réversibilité : pouvoir partir sans tout reconstruire

Le cadre européen facilite désormais le changement de fournisseur. D'après la page explicative de la Commission européenne, le Data Act s'applique depuis le 12 septembre 2025 ; les fournisseurs de SaaS et de PaaS doivent mettre à disposition des interfaces ouvertes et exporter les données dans un format couramment utilisé et lisible par machine, et à partir du 12 janvier 2027 ils devront supprimer entièrement les frais de changement, frais de sortie des données compris.

Ce droit porte sur les données, pas sur le logiciel. Quitter un SaaS, c'est repartir avec des fichiers d'export et reconstruire ailleurs le paramétrage, les automatismes et les habitudes. Une application écrite en technologies standard (PostgreSQL, Node.js) et déployée sur un compte à votre nom se déménage au contraire tout entière, d'un hébergeur à l'autre ou d'un serveur interne vers le cloud. La page quitter un logiciel SaaS décrit la marche à suivre quand l'éditeur ne coopère pas.

Notre verdict selon votre situation

Quand aucune de ces options ne convient seule, et ce que fait YMHB Web

Souvent, la bonne architecture mélange les modes : un SaaS pour la comptabilité, une application métier sur un cloud à votre nom, et un petit serveur sur site là où le réseau manque. Le robot de livraison conçu par YMHB Web pour Sakura France Service va jusqu'au bout de cette logique locale : il sert lui-même son tableau de bord sur le réseau du cabinet, sans serveur externe. À l'inverse, la place de marché Garage Connect tourne sur un serveur dédié, avec certificats et supervision mis en place par l'agence.

YMHB Web tranche cette question au cadrage, à partir de la nature des données, du réseau disponible sur les sites, des équipements à connecter et du temps d'exploitation que vous acceptez. Les comptes d'hébergement sont ouverts au nom du client, le code lui appartient au paiement intégral, et l'hébergement peut changer plus tard sans réécrire le logiciel. Les ordres de grandeur sont présentés dans la page combien coûte l'hébergement d'une application.