Monitoring européenconçu, exploité et facturé en Europe

Bleemeo est une société française. Vos métriques et vos logs sont stockés dans l'Union européenne, en région parisienne. L'agent qui tourne sur vos serveurs est open source : ce qui quitte vos machines est quelque chose que vous pouvez lire, pas quelque chose qu'il faut croire. C'est toute la promesse, et chacune de ses parties est vérifiable.

Fondée à Toulouse en 2015 • Métriques stockées dans l'UE • Agent sous Apache 2.0

Pourquoi c'est important

« Hébergé en Europe » est la partie facile

N'importe quel grand éditeur de supervision peut désigner un centre de données à Francfort ou à Dublin. Louer de la capacité européenne est une décision d'achat, pas un engagement — et c'est pour cela que « résidence des données en UE » est devenu un badge qui ne vous dit presque rien.

Les questions qui changent réellement votre exposition sont ailleurs. Avec quelle entité juridique contractez-vous, et sous quel droit ? Quelle région, et pas quel continent ? Qui sont les sous-traitants derrière l'éditeur, et où sont-ils ? Et qu'envoie exactement le logiciel que vous installez sur vos propres serveurs ?

Cette page répond à ces quatre questions pour Bleemeo. Certaines réponses sont moins flatteuses qu'un badge — nous le disons plutôt que de les arrondir.

Les faits

Quatre réponses, pas un badge

Chacune est vérifiable sans nous croire sur parole.

Une société française, pas une filiale européenne

Bleemeo a été fondée à Toulouse en 2015 et y est toujours dirigée. Vous contractez avec une société française, vous êtes facturé en euros, le droit français s'applique, et le délégué à la protection des données est une personne à qui vous pouvez écrire. Aucune maison mère américaine dont les conditions primeraient sur celles que vous avez signées.

Une région, nommée

Les métriques et les logs sont stockés dans l'Union européenne, en région parisienne. Nommer la région plutôt que le continent est précisément le point : « centres de données européens » est compatible avec à peu près n'importe quel montage, alors qu'une région est un lieu précis avec un régime juridique précis.

Un agent que vous pouvez lire

Glouton, l'agent que vous installez, est open source sous licence Apache 2.0. Ce qu'il collecte, ce qu'il envoie et ce à quoi il ne touche jamais se lisent dans le code source. Pour une évaluation fournisseur, c'est une réponse plus solide que n'importe quelle certification : vous n'avez pas à croire la description du traitement, vous pouvez la vérifier.

Des sous-traitants nommés, y compris les gênants

L'hébergement est dans l'UE. L'e-mail transactionnel, les notifications push mobiles et les fournisseurs d'authentification fédérée ne le sont pas, et ils opèrent sous clauses contractuelles types. Nous les listons plutôt que de nous abriter derrière une affirmation moyennée, pour que vous puissiez vérifier la chaîne vous-même au lieu de la découvrir pendant une revue de sécurité.

Comparaison

Ce qui accompagne habituellement un éditeur américain

FeatureUn SaaS de supervision américain typiqueBleemeo
Entité contractante
Une société américaine, ou sa filiale irlandaise
Une société française, droit français
Lieu de stockage des métriques
Une région UE, si vous prenez la bonne offre
UE, région parisienne, sur tous les forfaits
Code source de l'agent
Propriétaire, fermé
Open source, Apache 2.0
Fuseau horaire du support
Follow-the-sun, escalade souvent aux heures US
Heures européennes, équipe européenne
Délégué à la protection des données
Une boîte privacy@
Une personne nommée et joignable
Devise de facturation
Généralement USD, avec risque de change
Euros
Liste des sous-traitants
Longue, et fréquemment mise à jour
Courte, et disponible sur demande
Modèle tarifaire
Par hôte plus métriques, plus Go, plus utilisateurs
Par hôte

Qui pose cette question

Les équipes d'où vient cette exigence

Secteur public et collectivités

Les règles de la commande publique et les politiques de souveraineté numérique exigent de plus en plus un fournisseur européen et un lieu de traitement européen. Ametys, qui conçoit et exploite un CMS pour les collectivités et les universités françaises, a notamment choisi Bleemeo pour cette raison.

Santé et finance

Les secteurs régulés n'ont pas seulement besoin que les données soient dans l'UE : ils doivent décrire la chaîne de traitement dans un audit. Une liste courte de sous-traitants et un agent auditable raccourcissent nettement cette conversation.

Enseignement et recherche

Universités et laboratoires rendent des comptes à des financeurs qui ont leurs propres exigences de souveraineté, et exploitent souvent des parcs hétérogènes qu'aucune console cloud unique ne couvre.

Ceux qui en ont assez des surprises de change

Un prix en euros chez une société européenne est une ligne de budget, pas une position de change qui bouge sous vos pieds entre deux renouvellements.

Ce que nous ne prétendons pas

Où passe réellement la ligne

Nous ne revendiquons pas la souveraineté. Notre stockage de métriques s'appuie sur une infrastructure européenne opérée par un hyperscaler, et quiconque vous vend de la supervision en revendiquant l'immunité face à tout régime extraterritorial vous vend quelque chose qu'il ne peut pas tenir. Ce que nous pouvons dire précisément, c'est où vos données sont stockées, avec quelle société vous contractez, et ce qui quitte vos serveurs.

Nous ne prétendons pas non plus que rien ne franchit jamais de frontière. Les e-mails d'alerte, les notifications push mobiles et la connexion via Google, Microsoft, Apple ou GitHub passent par des prestataires hors UE, chacun encadré par des clauses contractuelles types. Si cela compte pour votre évaluation, demandez-nous la liste des sous-traitants à jour — elle est courte, et nous préférons que vous la voyiez tôt plutôt que pendant une revue de sécurité.

Questions fréquentes

Les questions que pose habituellement une revue achats ou sécurité

Bleemeo est-elle une société européenne ?

Oui. Bleemeo est une société française, fondée à Toulouse en 2015, dont le siège et l'exploitation y sont toujours. Le contrat que vous signez est avec cette entité française, sous droit français, facturé en euros.

Où sont exactement stockées mes données de supervision ?

Dans l'Union européenne, en région parisienne. Nous nommons la région plutôt que de dire « centres de données européens », parce qu'une région est un lieu précis avec un régime juridique précis, et un continent non.

Mes données sortent-elles de l'UE ?

Vos métriques et vos logs, non. Certains traitements périphériques, oui : l'e-mail transactionnel (notifications d'alerte et factures), les notifications push mobiles, et l'authentification fédérée via Google, Microsoft, Apple ou GitHub si vous l'utilisez. Chacun de ces prestataires opère sous clauses contractuelles types. Demandez-nous la liste des sous-traitants à jour et nous vous l'envoyons.

Qu'envoie réellement l'agent ?

Des métriques d'infrastructure, le statut des services découverts, et les logs que vous lui désignez explicitement. Il ne lit jamais vos données applicatives, vos identifiants ni le contenu de vos bases. Vous n'avez pas à le croire sur parole : Glouton est open source sous licence Apache 2.0, le code de collecte se lit et s'audite.

Êtes-vous conformes au RGPD ?

Oui, et les aspects concrets comptent plus que la phrase : minimisation dans ce que collecte l'agent, suppression sur demande, export à tout moment, un délégué à la protection des données joignable, et une liste de sous-traitants que nous transmettons. Voir nos pratiques de sécurité pour le détail.

Êtes-vous certifiés SOC 2 ?

Non. Nous ne sommes pas certifiés SOC 2 aujourd'hui, et nous préférons le dire plutôt que de laisser l'acronyme suggérer le contraire. Notre infrastructure fait l'objet d'audits de sécurité réguliers, les données sont chiffrées en transit en TLS 1.3 et au repos en AES-256, et les accès sont contrôlés par RBAC, MFA et journalisation d'audit complète.

Puis-je avoir une facture en euros avec un numéro de TVA français ?

Oui. Les tarifs sont en euros, la facturation vient d'une société française avec un numéro de TVA français, et l'autoliquidation intracommunautaire s'applique le cas échéant.

Une supervision par une société que vous pouvez réellement joindre

Quinze jours, sans carte bancaire, et une équipe européenne à l'autre bout du support. Si votre processus achats a d'abord besoin de la liste des sous-traitants ou d'un DPA, demandez-le.