Les preuves qu’un dossier d’externalisation FINMA réclame

L’opérateur est Hidora SA, société suisse, sans maison-mère US. Ce n’est pas la situation d’AWS, Azure ou GCP. Switzerland North ou un AZ Zurich ne change pas la nationalité de ces groupes. Nous ne concluons pas qu’aucune autorité ne pourra jamais obtenir de données : le droit suisse d’entraide et vos propres transferts existent. Votre juridique reste décideur. Guide : le guide Cloud Act.

ISO 27001 (SQS) étaye le SMSI opérateur : accès, exploitation, risque. Ce n’est pas un substitut à votre AIPD ni au mémo outsourcing. DORA, pour les entités concernées, attend notamment ICT, sous-traitance et tests de restore : Hikube fournit la copie en Suisse et peut accompagner ; la preuve reste votre runbook. Les crédits SLA sont au contrat, pas sur cette page.

Rarement le cœur bancaire lui-même, qui bouge peu. Plutôt ce qui l’entoure et qui grossit : un datamart de reporting réglementaire, un back-office de paiements, un portail conseiller, une plateforme de scoring. Le point commun est une base relationnelle qui ne doit pas quitter la Suisse, et des dépendances qui doivent la suivre : c’est là que les dossiers se cassent, pas sur le compute.

• La base : PostgreSQL ou MariaDB managés, dans le VPC, les cinq moteurs de bases managées
• Les sauvegardes dans le même tenant suisse, pas dans un bucket ailleurs : la sauvegarde managée
• Les secrets applicatifs dans Vault, pas dans un KMS américain : une base suisse avec un KMS US laisse un trou dans le dossier, le coffre à secrets
• Le lien vers l’existant : VPN ou liaison site à site depuis vos locaux ou votre datacenter, le réseau privé VPC
• Le test de restauration, qui est votre livrable et pas le nôtre : c’est lui qu’un auditeur demande, pas la politique de sauvegarde

Une qualification se prépare avec des pièces, pas avec des pages web. Voici ce qui se demande, et par qui c’est produit.

• Fourni par Hidora sur demande : le DPA, l’attestation ISO 27001 avec son périmètre, la liste des sous-traitants, la description de l’isolation par projet
• Vérifiable publiquement : l’opérateur au registre du commerce, les sites et leurs certifications de bâtiment les trois datacenters, l’état de la plateforme sur status.hikube.cloud
• Produit par vous, et que personne ne peut produire à votre place : le mémo d’externalisation, l’analyse d’impact, le registre des traitements, le plan de sortie et son test
• À arbitrer avec votre juridique : le droit d’audit, les délais de notification d’incident, la sous-traitance ultérieure. Ce sont des clauses, elles se négocient au contrat et pas sur une page produit

Hidora SA opère l’IaaS, les trois DC, le VPC, la réplication bloc (sync ou async, pas le même RPO), Backup as a Service, Vault as a Service et le support ingénieur FR/EN (guichet 08:00–18:00 CET ; supervision infrastructure 24×7). Vous gardez schémas, ACL, applications, GitOps, tests de restore et le dossier réglementaire. Intégration Terraform et Cluster API en préparation : aujourd’hui, API Hikube et console.

Cœurs applicatifs et data que vous ne voulez pas poser sur un groupe US. Bases managées (PostgreSQL, MariaDB, Redis, MongoDB, ClickHouse ; pas FerretDB, pas de SKU MySQL séparé) dans le VPC. Backup et vault alignés sur la même juridiction. Kubernetes managé si les charges sont déjà conteneurisées (workers répartis automatiquement, pas de choix de DC client). Ce n’est pas HDS, pas un cloud santé français, pas un substitut à votre juridique.

Objectif SLA publié 99,99 % par service. Périmètre, mesure et exclusions : le périmètre du SLA. Le détail et les crédits éventuels sont au contrat signé. Statut public : status.hikube.cloud. For exclusif Genève, droit suisse, sous réserve du Tribunal fédéral.

Support ingénieur en français et en anglais, depuis Genève. Guichet 08:00–18:00 CET ; supervision infrastructure 24×7. Le bon CTA est parler à un ingénieur. Un essai 14 jours peut suivre pour un pilote technique. Pas de self-serve immédiat. Détail : le périmètre du support.