[Tribune] Passage au Cloud : face aux leaders américains, que nous propose le challenger chinois ?

Sur le segment du cloud d'infrastructure estimé par Synergy Research à 12 milliards de dollars au troisième trimestre 2017, Amazon Web Services domine à 32%, loin devant le numéro deux Microsoft (13%). IBM, Google, Alibaba et Oracle suivent avec des parts de marché de 6 à 3% (voir le schéma en fin d'article). Dans un premier article intitulé "Passage au Cloud AWS que dit le contrat ?" nous avions analysé le "Contrat Client d'AWS" pour son Cloud Public. Nous concluions sur le fait que c'était un contrat d'adhésion "take it or leave it" avec l'ensemble des responsabilités transférées vers le client. Que font les autres ? Parmi les "Majors", que propose le seul d'entre-eux qui ne soit pas d'origine américaine ? Que dit le contrat de l'opérateur Chinois dans un contexte de règlement qui se durcit et notamment sur les données personnelles ?

Née en 2009 Alibaba Cloud est d'abord le Cloud du géant chinois du e-commerce. Présent en Europe depuis 2016 à travers un partenariat avec Vodafone (Allemagne), Alibaba Cloud signe son premier gros contrat Français avec Bolloré début juillet 2018. La société s'attaque maintenant au Royaume-Uni en s'alliant avec BT Group. "Grâce à notre infrastructure de niveau international et notre présence mondiale toujours plus vaste, Alibaba Cloud se consacre à devenir le leader international des services cloud", dit Sebastien Badault, Managing Director France de Alibaba Cloud.

Le "Alibaba Cloud International Website Terms of Use", est disponible dans sa version du... 25 mai 2018. Comme un clin d'oeil au RGPD. Il est présenté en anglais seulement. Dès le début Alibaba annonce la couleur : le client est prévenu qu'il est lié par et accepte tous les termes du contrat ainsi que de toute modification ultérieure qui pourrait lui être appliqué, 15 jours après publication. On retrouve des conditions équivalentes chez AWS à ceci-près que toute modification est applicable dès parution (sauf dégradation majeure de SLA).

Première question à se poser : où sont localisées les données ? Alors qu'AWS propose plusieurs régions européennes de localisation des données, le chinois ne dispose que d'un seul site en Europe : Dusseldorf. Ce qui pourrait poser problème à certains clients qui voudraient un site de secours dans une région européenne alternative. Nous avons questionné le service commercial sur leur plan de développement européen (30/8/2018). Nous attendons leur réponse. En plus de la localisation des données, il est intéressant de savoir où sont situées les personnes qui, côté fournisseur pourraient avoir accès aux données pour des opérations de transfert, back-up et autre monitoring et maintenance des systèmes. Sur ce point, nous n'avons trouvé aucune information.

Protection des données personnelles et loi applicables

A la différence d'AWS, Alibaba a rajouté une annexe contractuelle spécifique au RGPD à son contrat Cloud et se dit conforme à la nouvelle règlementation en vigueur. La société reconnaît traiter de la donnée personnelle, importante pour ses clients et se donne une obligation de moyen concernant leur protection. Elle aidera aussi ses clients à répondre aux sollicitations relatives aux données personnelles (information, rectification, effacement...) et reste seule responsable des traitements confiés à ses sous-traitants. Enfin, dans le cas d'une injonction légale de divulgation des données personnelles Alibaba informera son client (sauf interdiction expresse contenue dans l'injonction).

Pour ses clients Européens, la filiale Alibaba qui contracte est domiciliée à Londres et la loi applicable est celle de la Grande Bretagne. Les géants du web américains sont même en Europe et du fit de leur nationalité soumis aux lois des États-Unis qui autorisent les services de sécurité à accéder aux données informatiques détenues par ces sociétés, sans autorisation préalable et sans en informer les utilisateurs. Les opérateurs français sont eux encadrés par la nouvelle "Loi de Programmation Militaire" qui permet sur le périmètre Français à peu près la même chose. Que fera Alibaba s'il reçoit une injonction des autorités Chinoises, sachant qu'en mai 2018, dans un contexte de censure de l'Internet chinois, 300 acteurs Chinois du Web - dont Alibaba - se regroupent en une fédération pour soutenir les "valeurs centrales du socialisme" et donc du Parti communiste au pouvoir ? Jack Ma (patron d'Alibaba), Robin Li (patron de Baidu), et Pony Ma (patron de Tencent) en sont les vice-présidents.

Responsabilité, force majeure, limite de garantie :

Le contrat insiste (écrit deux fois, dont la seconde en lettres majuscules) sur le fait que le client achète un service à Alibaba Cloud fourni "en l'état", "quand disponible" et sur une base "avec tous les défauts". Logiquement, cela conduit Alibaba à décliner ensuite toute responsabilité directe et indirecte. Idem chez AWS. Comme pour la notion de force majeure qui est... sans limite et inclut les pannes d'internet, d'ordinateur... Mais à sa différence, Alibaba précise que ces limitations sont sous réserve de la loi applicable (repris neuf fois dans le document).

Dans tous les cas, cette responsabilité est limitée à une valeur maximale définie comme étant la valeur maximale entre la facturation annuelle, 100 USD et ce qui est prévu aux SLA du service consommé.

SLA - Mesure de la qualité du service :

Comme pour AWS, la disponibilité de services est le seul indicateur de qualité de service qui soit mesuré et garanti. Rien n'est dit sur une garantie de temps de rétablissement (GTR), un RPO (durée admissible de perte de données)... En cas de sous performance, Alibaba (comme tous les prestataires Cloud) alloue au client une note de crédit.

Le tableau comparatif ci-contre montre une différence dans l'approche : AWS s'engage sur un objectif de qualité supérieure : 99,99% soit moins de 4mn22 sec d'indisponibilité mensuelle contre 3h39mn chez Alibaba. Cependant Alibaba en dessous de 95 % d'indisponibilité s'auto-pénalise de 100% de la facture mensuelle. Encore faut-il que le client prouve cette déficience du service. En cas de désaccord sur la mesure, celle d'Alibaba prévaudra.

En conclusion, le fournisseur de Cloud Chinois propose un contrat globalement équivalent à celui de AWS. La protection des données personnelles reste un point obscur ou à clarifier (pour éviter la répétition du mot clair). La position des américains est claire; la Chine n'a pas les mêmes restrictions en matière de données personnelles. Gageons qu'avec son plan de déploiement européen et notamment en France auprès des acteurs du luxe et de la grande distribution qui ont une forte présence en Chine, ce sujet évoluera rapidement.

Finalement le choix d'un opérateur risque de se faire sur les prix des offres : Paul de Billy, directeur des ventes chez Alibaba Cloud dit bien: "Nous sommes compétitifs car nous sommes challengers".

Sur le segment du cloud d'infrastructure estimé par Synergy Research à 12 milliards de dollars au troisième trimestre 2017, Amazon Web Services domine à 32%, loin devant le numéro deux Microsoft (13%). IBM, Google, Alibaba et Oracle suivent avec des parts de marché de 6 à 3%.

Par Olivier Crouzet Senior Manager chez Sia Partners, cabinet de conseil en organisation et management et plus particulièrement expert en Sourcing IT.