Souveraineté Wilder Labs : ce que ça change concrètement pour vous

Quand un éditeur SaaS vous dit qu'il est « souverain », « hébergé en France », « conforme RGPD », qu'en faites-vous au juste ? La plupart du temps, vous cochez la case dans le bordereau d'achat et vous passez à autre chose. C'est dommage, parce que ces choix-là changent la vie de votre commune, de votre association ou de votre musée le jour où un problème surgit — pas quand tout va bien. Cet article démonte le mot « souveraineté » et regarde concrètement, en cas d'incident, de litige ou de changement de prestataire, ce que cela apporte (ou pas) à un client de Wilder Labs.

1. Vos données restent en France — et pourquoi ce n'est pas qu'un slogan

Tous les produits Wilder Labs (LiveQuest, Museo, Sallia, HAZOP) tournent sur des serveurs localisés en France, chez un hébergeur européen indépendant des grands clouds US (OVHcloud / Scaleway selon les services).

Concrètement, cela signifie trois choses pour vous :

• Aucune donnée transférée hors UE. Pas d'envoi vers les États-Unis pour analyse, pas de réplication AWS US-East « pour la performance », pas de fonction Lambda hébergée à Dublin qui en réalité s'exécute sur la côte est. Quand un parent inscrit son enfant à une chasse au trésor via LiveQuest, ou quand une mairie enregistre les données d'un locataire sur Sallia, ces données sont écrites sur un disque physique situé en France.
• Le Cloud Act ne s'applique pas. Cette loi américaine permet au gouvernement US de réquisitionner des données stockées par n'importe quelle société soumise à sa juridiction, où que les serveurs soient physiquement situés. Microsoft, Google, AWS y sont soumis — même leurs filiales « France » et leurs régions cloud « Paris ». Un hébergeur français ne l'est pas.
• Le RGPD se vérifie sans avocat. Quand votre DPO (ou le bénévole de l'association qui en tient le rôle) vous demande où sont stockées les données, on vous répond avec un nom de datacenter, une adresse postale et le contrat sous-jacent. Pas avec un montage à plusieurs sous-traitants en cascade.

En clair : si demain un agent administratif vous demande de prouver que les données de vos administrés ne quittent pas la France, vous pouvez le faire en deux minutes.

2. Pérennité : ce qui se passe si Wilder Labs disparaît

C'est la question qu'on ne pose jamais en démo commerciale, et qu'il faut toujours poser. Cinq fournisseurs SaaS sur dix qui démarrent aujourd'hui ne seront plus là dans cinq ans. Comment vous protéger ?

Trois mécanismes concrets, prévus dans nos CGU et notre architecture :

Code source maîtrisé et archivé sur infrastructure française

Wilder Labs maintient deux forges logicielles Gitea sur infrastructure française : une instance de développement sur réseau privé Wilder Labs et une instance miroir hébergée chez OVHcloud (Roubaix). Le code source de nos applications est répliqué automatiquement entre ces deux instances à chaque modification, en moins de 5 secondes.

Aucune dépendance à GitHub (ou autre forge logicielle américaine). La chaîne complète — édition, revue, intégration continue, signature, déploiement — passe exclusivement par des serveurs français.

Ce code n'est pas « open source » au sens licence libre — mais il est archivé, signé GPG, et récupérable en cas de cessation d'activité, dans des conditions précisées au contrat.

Données exportables à tout moment

Tous nos produits proposent un export complet et standard de vos données :

Produit	Format d'export
LiveQuest	JSON + médias (zip)
Museo	CSV (notices) + JSON (collections) + médias
Sallia	PDF (réservations, conventions, EDL) + CSV
HAZOP	Excel multi-onglets + PDF rapport

Pas de format propriétaire, pas de blocage. Vous pouvez exporter votre base maintenant, sans nous demander, depuis votre interface admin. C'est la première condition de la réversibilité — sans export, le reste n'est que paroles.

Plans de continuité documentés

Pour les contrats au-delà de 24 mois (collectivités, gros adhérents), nous proposons un séquestre logiciel auprès d'un tiers de confiance (notaire ou Agence pour la Protection des Programmes). En cas de défaillance, le code source des produits est libéré sous licence d'exploitation pour le client.

3. Réversibilité : changer de prestataire sans tout perdre

C'est l'angle mort de 90 % des contrats SaaS. Vous signez, vous chargez 3 ans de données, et le jour où vous voulez partir vous découvrez que l'export est payant, partiel, ou techniquement inutilisable ailleurs.

Notre engagement :

• Export gratuit, à tout moment, depuis votre interface (pas de demande commerciale à faire).
• Formats standards (CSV, JSON, PDF), pas de format propriétaire.
• Documentation des champs fournie sur demande : liste des colonnes, types, relations entre tables. Utile si vous migrez vers un autre outil.
• Période de grâce : 90 jours après résiliation, vos données restent accessibles en lecture pour réexport.

Trois questions à poser à n'importe quel autre éditeur SaaS avant de signer :

1. « Puis-je faire un export complet de mes données maintenant, depuis l'interface, sans vous appeler ? »
2. « Combien de temps après résiliation puis-je récupérer mes données ? »
3. « Le format d'export est-il documenté publiquement ? »

Si la réponse n'est pas claire sur ces trois points, demandez-vous pourquoi.

4. Coûts : prévisibilité contre tarification à l'usage

Les grands SaaS US (Notion, Airtable, HubSpot, Salesforce…) ont tous le même modèle : tarif par siège utilisateur, par mois, indexé sur des fonctionnalités déverrouillables. C'est rentable pour eux, c'est imprévisible pour vous : vous démarrez à 10 €/mois, vous vous retrouvez à 400 €/mois dix-huit mois plus tard, le temps que l'association grandisse.

Wilder Labs facture autrement :

• Forfait fixe par installation (pas par utilisateur), avec un palier annuel maximum connu d'avance.
• Aucune feature payante débloquée à l'usage. Ce qui est dans votre plan est dans votre plan.
• Engagement mensuel (pas annuel ferme), sauf demande explicite du client.
• Tarifs publics sur les sites produits — pas de « contactez-nous pour un devis ».

L'idée n'est pas qu'on soit moins cher (parfois on l'est, parfois non). L'idée est que vous savez exactement ce que vous allez payer dans 6 mois.

5. Intégrité technique : la chaîne de confiance

Cette partie est plus technique, mais elle concerne directement la sécurité de vos données. Quand un éditeur déploie une nouvelle version sur ses serveurs, comment vous assurez-vous que ce qui tourne en production est bien ce qui a été testé ? Que personne — ni un attaquant externe, ni un développeur indélicat — n'a inséré du code malveillant entre le développement et la mise en ligne ?

Réponse standard chez la plupart des éditeurs : « faites-nous confiance ». Chez Wilder Labs, depuis 2026, on apporte des preuves vérifiables :

Une chaîne d'approvisionnement signée de bout en bout

Pour chaque application déployée (LiveQuest, Museo, Sallia, HAZOP…), notre processus suit cinq étapes systématiques :

1. Scan des dépendances (Trivy) à chaque commit : détecte les vulnérabilités connues dans les bibliothèques utilisées (CVE publics).
2. Scan des secrets (Gitleaks) sur l'historique git complet : empêche qu'un mot de passe ou une clé API soit accidentellement publié dans le code source.
3. Construction reproductible : nos images Docker s'appuient sur des images socles figées par empreinte cryptographique SHA256, identifiables précisément et donc auditables.
4. Signature cryptographique de chaque image avec Cosign (projet Sigstore, standard de l'industrie depuis 2022) : la signature est attachée à l'image dans un registre privé hébergé en France.
5. Vérification de la signature au déploiement : si la signature manque, est invalide, ou ne correspond pas à notre clé Wilder Labs, le démarrage du container est bloqué.

Le registre d'images est sur notre infrastructure

L'équivalent du « coffre-fort logiciel » qui stocke ces images est hébergé sur un serveur Wilder Labs en France, pas chez Docker Hub (US) ou GitHub Container Registry (US). C'est une nuance qui passe souvent inaperçue mais qui comble une faille majeure : même si Docker Hub était compromis demain, nos applications continueraient à se déployer normalement, car elles n'en dépendent plus.

Durcissement au démarrage du container

Quand un container démarre en production, il fonctionne avec le minimum de privilèges Linux possibles : aucune élévation de privilège possible (no-new-privileges), aucune capability Linux (cap_drop: ALL). En clair : même si un attaquant trouve une faille dans l'application et réussit à exécuter du code, il reste confiné dans le container, sans pouvoir agir sur le système hôte.

Pourquoi ça vous concerne

Concrètement, cela signifie qu'il est cryptographiquement impossible qu'un attaquant remplace une de nos images par une version vérolée sans qu'on s'en aperçoive immédiatement. C'est le même mécanisme que celui utilisé pour les mises à jour de votre smartphone — appliqué à votre SaaS.

Vous pouvez vérifier vous-même cette signature avec une commande standard de l'outil open source Cosign. Notre clé publique est consultable directement à l'adresse wilderlabs.fr/.well-known/cosign.pub. C'est l'inverse exact du « faites-nous confiance » : nous vous donnons les outils pour ne pas avoir à nous faire confiance.

Très peu d'éditeurs SaaS de notre taille mettent en place une chaîne aussi complète. C'est pourtant le strict minimum attendu pour des outils qui manipulent des données personnelles et des paiements.

6. Un éditeur indépendant et joignable

Dernier point, le plus banal et le plus important. Wilder Labs est une micro-entreprise française détenue à 100 % par son fondateur, basée dans la Vienne. Pas de levée de fonds, pas d'investisseur US, pas de conseil d'administration distant.

Ce qui veut dire :

• Quand vous appelez, vous parlez au fondateur (ou à quelqu'un de l'équipe directe). Pas à un support de niveau 1 délocalisé qui répond depuis un script.
• Les décisions produit sont prises en interne, pas dictées par un objectif trimestriel d'investisseur.
• Le contrat est lisible — quelques pages, en français, sans annexe à 40 pages renvoyant à des conditions générales US.

Ce n'est pas spectaculaire. C'est simplement la façon dont devraient fonctionner les outils métier des collectivités, des associations et des petits musées : un interlocuteur qu'on peut joindre, un cadre juridique qu'on comprend, une infrastructure dont on connaît l'adresse.

En résumé : la checklist souveraineté

Avant de signer avec n'importe quel SaaS — Wilder Labs ou un autre — posez-vous ces six questions :

1. Localisation : les données sont-elles stockées en France ou en UE, sans transfert vers les US ?
2. Cloud Act : l'éditeur ou son hébergeur sont-ils soumis au droit extraterritorial américain ?
3. Export : puis-je récupérer toutes mes données maintenant, depuis l'interface, sans appeler personne ?
4. Format : l'export est-il dans un format standard (CSV, JSON, PDF) ou propriétaire ?
5. Pérennité : que se passe-t-il si l'éditeur cesse son activité demain ?
6. Tarif : le prix peut-il varier de plus de 20 % sur 18 mois sans préavis ?

Sur ces six questions, Wilder Labs répond : France, non, oui, oui, séquestre + export gratuit, non.

Pour aller plus loin

• Mairies : automatiser les réservations de salles communales sans se ruiner — angle pratique pour les communes.
• Petits musées : inventorier ses collections sans budget — angle pratique pour les collections culturelles.
• Projets sur-mesure — quand le SaaS ne suffit pas, on construit l'outil à façon, propriété client.

Guillaume Richard, fondateur de Wilder Labs. 20 ans d'expérience applicative, basé dans la Vienne (86). contact@wilderlabs.fr