L'expression rassure et ne garantit presque rien. Ce qui compte juridiquement, ce qui compte commercialement, et les questions à poser à ton hébergeur.
C'est devenu un argument de vente. Il est utile — et il est presque toujours plus flou que ce que l'acheteur comprend.
La première distinction.
Résidence : où les données reposent physiquement. Souveraineté : à quelles juridictions elles sont soumises. Ce ne sont pas la même chose, et c'est la source du malentendu.
Des données stockées dans une région canadienne d'un fournisseur infonuagique américain reposent bien au Canada — et restent susceptibles d'être visées par le droit américain, la société mère étant américaine. La résidence ne crée pas l'étanchéité juridique.
Cela ne disqualifie pas ces fournisseurs. Mais si tu affirmes à un acheteur institutionnel que ses données sont « à l'abri » du fait de leur localisation, tu affirmes quelque chose d'inexact, et un acheteur averti le saura.
Ce que la loi exige réellement.
Au Québec, la Loi 25 n'interdit pas les transferts hors province. Elle impose une évaluation des facteurs relatifs à la vie privée préalable, et exige que les renseignements bénéficient d'une protection adéquate à destination. C'est une obligation de démarche documentée, pas une interdiction de sortie.
Au fédéral, la LPRPDE n'impose aucune localisation. Elle impose un niveau de protection comparable et la transparence sur les transferts — l'utilisateur doit savoir que ses données peuvent être traitées à l'étranger.
Dans le secteur public, c'est là que se trouvent les vraies exigences de localisation. Certains ministères et organismes imposent contractuellement l'hébergement en territoire canadien pour certaines catégories de renseignements. Si ton marché est gouvernemental, la question devient un critère d'admissibilité, pas un argument.
En Europe, le RGPD ne prescrit pas la localisation mais encadre les transferts. Le Canada bénéficie d'une décision d'adéquation partielle, pour les organisations assujetties à la LPRPDE — ce qui simplifie beaucoup les échanges Canada–UE, et c'est une carte à jouer commercialement.
Les quatre questions à poser à ton hébergeur.
Dans quelle région exacte les données reposent-elles ? « Canada » n'est pas une réponse : la région précise l'est. Où sont les sauvegardes ? Fréquemment ailleurs, souvent dans une autre juridiction, et presque jamais mentionné.
Qui peut accéder aux données depuis l'étranger ? Un soutien technique de nuit situé sur un autre continent constitue un accès transfrontalier, même sans déplacement de données. Et où transitent les journaux, les métriques et les traces ? Presque toujours oubliés dans l'inventaire, et ils contiennent régulièrement des renseignements personnels — adresses IP, identifiants, contenus de requêtes.
Ce que ça change en conception.
La décision de résidence appartient à la semaine 1, pas au déploiement. Une base migrée d'une région à une autre après le lancement implique une fenêtre d'indisponibilité, une reprise des sauvegardes, une réémission des certificats, et une revérification des sous-traitants. Décidée dès le cadrage, c'est une ligne de configuration.
Ce qu'on ne fait pas.
On n'écrit pas « hébergé au Canada » sur un site sans pouvoir répondre aux quatre questions ci-dessus. Sur un argumentaire de conformité, une affirmation invérifiable coûte plus cher que son absence.