Bitdefender

Bitdefender est un éditeur roumain de cybersécurité. L'entité opérationnelle S.C. Bitdefender S.R.L. est immatriculée au 15A Soseaua Orhideelor (Orhideea Towers), 6e arrondissement, Bucarest, Roumanie (ONRC J40/20427/2005, CUI 18189442, n° de TVA RO18189442). Le groupe est structuré sous Bitdefender Holding B.V. (BV néerlandaise immatriculée le 21/07/2016 à La Haye, 174 Maanweg, 2516 AB), maison mère ultime BILTECH INVESTMENT LTD (Chypre). Bitdefender exploite également Bitdefender, Inc. (Santa Clara CA + Fort Lauderdale FL + SOC de San Antonio TX) pour les clients américains, ainsi que des filiales opérationnelles régionales en Allemagne, France, Royaume-Uni, Australie, Singapour, Indonésie et ailleurs (environ 25 entités du groupe). Le fondateur Florin Talpes reste CEO ; la cofondatrice Mariuca Talpes est COO.

Contrôlée par les fondateurs avec un actionnaire minoritaire en capital-investissement. Florin Talpes et la famille Talpes conservent la majorité et la direction stratégique ; Vitruvian Partners (capital-investissement basé à Londres) détient une participation minoritaire de 30 % acquise en décembre 2017 pour environ 180 millions USD à une valorisation d'environ 600 millions USD. Une IPO américaine envisagée en 2021 a été reportée ; ION Analytics évoque une fenêtre d'IPO possible entre 2024 et 2026. Selon les publications de mai 2025 sur l'exercice 2024, la participation de 30 % de Vitruvian est toujours en place, sans sortie documentée. Bitdefender est donc privée mais non bootstrappée : les fondateurs fixent la direction stratégique tandis qu'un unique fonds de capital-investissement dispose d'une représentation au conseil et d'un intérêt économique minoritaire significatif.

Oui, indirectement. L'entité opérationnelle principale de l'UE (Bitdefender S.R.L., Roumanie) et la holding néerlandaise (Bitdefender Holding B.V.) restent hors de portée du CLOUD Act, mais Bitdefender, Inc. (États-Unis -- immatriculée en Californie avec des bureaux à Santa Clara CA, Fort Lauderdale FL et le SOC de San Antonio TX depuis 2019) est soumise au droit américain et peut être contrainte de divulguer les données qu'elle traite. Les clients de l'UE utilisant la console GravityZone Cloud par défaut sont traités dans « Romania, Ireland, or other state members of the European Union » selon la politique de confidentialité entreprise. Les clients des SKU souverains UE -- GravityZone sur OVHcloud SecNumCloud (FR) ou SysEleven (DE) -- bénéficient d'engagements explicites de Bitdefender selon lesquels « customer and configuration data, security events, telemetry is never accessible, transferred, or processed outside the European Union (EU) » avec « full immunity from extraterritorial laws ». Le mécanisme standard de transfert vers les sous-traitants hors UE est celui des clauses contractuelles types au titre de l'article 46.2 du RGPD.

La console GravityZone Cloud par défaut tourne sur AWS en multi-régions, avec des serveurs de sécurité placés automatiquement dans la région AWS la plus proche ; les agents d'endpoint se connectent au serveur de la région la plus proche, ce qui rattache la résidence par défaut à la région et non au client. Pour les déploiements souverains UE, Bitdefender a lancé deux SKU en octobre 2025 : GravityZone sur OVHcloud SecNumCloud (annoncée le 2 octobre 2025, hébergée à Roubaix / Gravelines / Strasbourg) et GravityZone sur SysEleven OpenStack Cloud (annoncée le 8 octobre 2025, en partenariat avec l'éditeur allemand de cybersécurité secunet, hébergée en Allemagne). Citation du communiqué secunet : « With GravityZone on the SysEleven OpenStack Cloud, customers know that their data stays within the EU » (Andrei Florescu, GM Business Solutions). Les deux SKU souverains couvrent EPP, EDR, XDR et la sécurité cloud-native. MDR opère 24h/24 et 7j/7 depuis trois SOC à Bucarest, San Antonio et Singapour en rotation follow-the-sun.

Bitdefender fait le choix délibéré de ne pas publier de liste consolidée de sous-traitants. La politique de confidentialité entreprise est explicite : « due to confidentiality obligations the specific information regarding the processors used will be provided to competent authorities » et « specific information regarding the name and details for each processor used will be provided only to competent authorities ». Seules des catégories génériques sont divulguées -- hébergement + WAF en UE et USA ; canaux d'assistance en direct en UE, USA, Singapour, Royaume-Uni ; assistance hors ligne en UE et USA. Le DPA disponible à l'adresse bitdefender.com/en-us/site/view/data-processing-agreement-for-bitdefender-solutions est publié (sous-traitant nommé : « Bitdefender SRL ») et intégré au License and Services Agreement, avec des CCT au titre de l'article 46.2 du RGPD pour les transferts hors UE. Les clients qui souhaitent des divulgations spécifiques de sous-traitants doivent les demander dans le cadre de leur convention de traitement des données. À partir de la documentation d'architecture : AWS est le sous-traitant d'infrastructure principal de la console GravityZone Cloud par défaut ; OVHcloud et SysEleven sont explicitement nommés pour les SKU souverains.

ISO/IEC 27001 (revendiquée pour GravityZone) et SOC 2 Type II (audit annuel AICPA SSAE-16, revendiqué pour GravityZone Business Security Enterprise). Le GravityZone Compliance Manager produit des rapports de conformité destinés aux clients sur RGPD, NIS 2, DORA, PCI DSS, CISv8, SOC 2, CMMC 2.0, HIPAA, ISO 27001 et Cyber Essentials (UK) -- ces référentiels font l'objet d'un reporting client, ils ne sont pas tous certifiés pour Bitdefender elle-même. Reconnaissances indépendantes du secteur : AV-TEST Top Product 2023-2025, AV-Comparatives Outstanding Security Award, Gartner Magic Quadrant Visionary et Forrester Wave Leader en sécurité des endpoints. Bitdefender est un contributeur équivalent CNA via les Bitdefender Labs (divulgations CVE et attribution d'APT). Les partenariats stratégiques incluent Europol EC3, le FBI, la DEA et la Direction nationale roumaine de la cybersécurité (DNSC), avec notamment le programme dédié de soutien à la cybersécurité en Ukraine.