Salesforce dispose-t-il de la qualification SecNumCloud de l'ANSSI ?

La question de la qualification SecNumCloud revient régulièrement dans les projets Salesforce, notamment dans le secteur public, la santé, la défense ou les opérateurs d'importance vitale. Elle est légitime : le choix d'un CRM cloud engage la localisation et la protection de données parfois sensibles. Voici un état des lieux factuel pour éclairer votre décision, sans surestimer ni minimiser les garanties offertes par l'éditeur.

Salesforce est-il qualifié SecNumCloud ?

À ce jour, Salesforce n'est pas qualifié SecNumCloud. SecNumCloud est un référentiel de l'ANSSI (Agence nationale de la sécurité des systèmes d'information) qui exige des garanties fortes en matière de sécurité et, depuis sa version 3.2, de protection contre les législations extraterritoriales (notamment le Cloud Act américain). Un prestataire qualifié doit démontrer, entre autres, que son capital et sa gouvernance ne l'exposent pas à un accès non européen aux données.

Salesforce étant un éditeur de droit américain, il ne remplit pas ce critère d'immunité aux réglementations extra-européennes. La liste officielle des offres qualifiées SecNumCloud est publiée et tenue à jour par l'ANSSI : c'est la seule source à consulter pour vérifier un statut à un instant donné.

Quelles certifications Salesforce possède réellement

L'absence de qualification SecNumCloud ne signifie pas une absence de sécurité. Salesforce dispose de plusieurs certifications et attestations reconnues internationalement :

• ISO/IEC 27001, 27017 et 27018 : management de la sécurité de l'information et protection des données personnelles dans le cloud.
• SOC 1, SOC 2 et SOC 3 : rapports d'audit sur les contrôles internes.
• HDS (Hébergeur de Données de Santé) : Salesforce a obtenu cette certification française, exigée pour héberger des données de santé.
• PCI-DSS pour certains traitements liés aux paiements.

Salesforce propose également l'hébergement des données au sein de l'Union européenne (data centers en UE via l'infrastructure Hyperforce), ce qui répond à une partie des exigences de localisation du RGPD, mais reste distinct de la qualification SecNumCloud.

Pourquoi la distinction est importante

Il faut éviter deux confusions fréquentes :

1. Localisation UE ≠ SecNumCloud. Héberger des données en Europe ne protège pas juridiquement des demandes d'accès formulées au titre du droit américain, dès lors que l'éditeur y est soumis.
2. Certification ISO/HDS ≠ qualification ANSSI. Les certifications internationales portent sur des processus de sécurité, pas sur le critère d'immunité extraterritoriale au cœur de SecNumCloud 3.2.

Concrètement, si votre organisation est soumise à la doctrine « cloud au centre » de l'État, à des exigences sectorielles imposant SecNumCloud, ou traite des données jugées sensibles au sens de cette doctrine, Salesforce ne pourra pas cocher cette case précise.

Dans quels cas cela pose un problème (et dans quels cas non)

Cas où l'exigence SecNumCloud est bloquante

• Administrations et opérateurs soumis à la circulaire « cloud au centre » pour des données sensibles.
• Opérateurs d'importance vitale (OIV) ou de services essentiels (OSE) avec obligations spécifiques.
• Marchés publics dont le cahier des charges impose explicitement une offre qualifiée.

Cas où Salesforce reste envisageable

• ETI et entreprises privées gérant des données commerciales classiques, sans obligation réglementaire SecNumCloud.
• Projets où l'hébergement UE, ISO 27001 et le RGPD couvrent le niveau de risque évalué.
• Traitement de données de santé, où la certification HDS de Salesforce peut suffire selon le cadrage juridique retenu.

La bonne démarche consiste à faire qualifier votre besoin par vos référents sécurité et juridique avant de présélectionner un outil, plutôt que de chercher à justifier un choix a posteriori.

Mesures compensatoires et alternatives

Si vous tenez à l'écosystème Salesforce mais devez maîtriser certains risques, plusieurs leviers existent :

• Chiffrement avec gestion des clés côté client (par exemple des solutions de type BYOK ou tokenisation externe) pour limiter l'exposition des données en clair.
• Minimisation et cloisonnement : ne pas déverser les données les plus sensibles dans le CRM, les conserver dans un environnement souverain.
• Analyse d'impact (AIPD) documentée et validée par le DPO.

Si l'exigence SecNumCloud est incontournable, il faut alors se tourner vers des offres de CRM ou de plateformes hébergées par des fournisseurs qualifiés SecNumCloud, quitte à accepter une couverture fonctionnelle différente de celle de Salesforce. Ce choix relève d'un arbitrage entre conformité, richesse fonctionnelle et coût.

Comment sécuriser votre décision

Avant tout engagement, vérifiez trois éléments : le statut à jour sur la liste officielle de l'ANSSI, la nature exacte de vos obligations réglementaires, et le niveau de sensibilité réel des données que vous prévoyez d'héberger dans le CRM. Ces trois points conditionnent la faisabilité du projet bien plus que les arguments commerciaux.

Si vous souhaitez confronter votre besoin de conformité à la réalité d'un déploiement Salesforce, INTEGREER peut vous orienter, en tant que tiers de confiance neutre, vers des intégrateurs expérimentés sur les sujets de sécurité et de données sensibles, sans engagement de votre part. L'objectif est de vous aider à cadrer la faisabilité avant tout choix d'outil.