Aiven est la plateforme de services de données managés d'Aiven Oy (Aiven Ltd, Antinkatu 1, 00100 Helsinki ; Business ID 2795743-5, immatriculée en novembre 2016), fondée par Oskari Saarenmaa, toujours CEO, avec le cofondateur Heikki Nousiainen comme RSSI. Elle exploite des moteurs open source en services managés : PostgreSQL, Apache Kafka, OpenSearch, ClickHouse, MySQL, Valkey, Grafana et d'autres. Le client choisit le cloud et la région à la création d'un service, parmi AWS, Google Cloud, Microsoft Azure, DigitalOcean, UpCloud et OVHcloud (plus de 100 régions au total) ; la liste des sous-traitants cite aussi Oracle et Exoscale comme fournisseurs d'infrastructure, et l'option Bring Your Own Cloud place les services dans le propre compte AWS, Google Cloud, Azure ou OCI du client. La facturation est horaire. Une offre gratuite sans limite de durée existe pour PostgreSQL, MySQL, OpenSearch, Kafka et Valkey, et l'offre payante Developer démarre à 5 $ par mois, mais dans ces deux cas c'est Aiven qui choisit le cloud et la région, pas le client ; l'offre PostgreSQL la moins chère avec choix du cloud (Hobbyist) démarre à 12 USD par mois. Un fournisseur Terraform, une CLI et une API publique couvrent la plateforme.
La propriété est européenne au regard du contrôle, et non des gros titres sur les levées de fonds. Aiven a levé environ 420 millions USD : une série A menée par Earlybird (DE), une série B menée par le fonds américain IVP, une série C de 100 millions USD menée par Atomico (UK), une extension de 60 millions USD codirigée par IVP et World Innovation Lab (États-Unis et Japon), et une série D de 210 millions USD menée par Eurazeo (FR) avec BlackRock, Salesforce Ventures et les investisseurs précédents. Les investisseurs américains détiennent une minorité significative et un associé d'IVP siège au conseil aux côtés du cofondateur d'Earlybird, mais aucun investisseur n'est connu pour contrôler la société, aucune maison mère ne se trouve au-dessus d'Aiven Oy, et les cofondateurs la dirigent toujours. Aiven Inc., dans le Delaware, est une filiale, que la liste d'Aiven présente comme une société affiliée dont le personnel de support traite des métadonnées de service. Les certificats ont été lus dans les PDF publiés : ISO/IEC 27001:2022 (KPMG IT Certification, certificat FI240523-151, délivré pour la première fois en mai 2018, valable jusqu'au 23 mai 2027) et ISO/IEC 27701:2019 (FI240523-152), tous deux délivrés à Aiven Oy. La page sécurité d'Aiven présente aussi ISO/IEC 27017 et 27018 comme des certificats, mais le certificat vers lequel elle renvoie précise que ces deux normes servent seulement de source de mesures, en tant que normes non accréditées : elles ne sont donc pas retenues ici. L'assurance de type SOC 2 est un rapport ISAE 3000 Type 2 de KPMG.
L'évaluation CLOUD Act est Significative, et elle découle des documents d'Aiven eux-mêmes plutôt que de ses investisseurs. Quatre des six clouds en libre-service appartiennent à des groupes américains : dans le cas courant, les données des clients au repos se trouvent chez un hyperscaler américain. La partie fixe de la pile l'est aussi : le plan de gestion (console, API, gestion des sauvegardes, base de données de référence, journalisation et supervision centralisées) tourne sur Google Cloud en Belgique, le DNS, la reprise après sinistre et l'archivage long des journaux d'audit sur AWS en Suède, et le système de gestion des clés, qu'Aiven invoque pour affirmer que les clouds n'ont pas d'accès logique aux données, tourne sur des VM contrôlées par Aiven dans les centres de données de Google Cloud. La console et l'API passent en outre par Cloudflare, absent de la liste des sous-traitants. Choisir UpCloud (FI) ou OVHcloud (FR) garde les bases chez un fournisseur européen, et le DPA s'engage à conserver les données personnelles dans l'EEE lorsqu'une région de l'EEE est choisie ; pour UpCloud, la liste indique toutefois que les sauvegardes partent vers la région la plus proche d'un autre fournisseur, qu'elle ne nomme pas. En résumé : un éditeur européen avec un DPA public et une liste de sous-traitants détaillée, mais aucune configuration dans laquelle toute la chaîne échappe à une infrastructure américaine.