La définition n'est pas bonne. PRISM concerne les FAI, non pas les services. Ce qui fait une sacré différence si vous utilisez SSL par exemple.

Facebook (full disclosure: j'y travaille) ne fait pas partie de PRISM. Pour les autres, je n'en sais rien, mais ayant suivi l'affaire, ils ne me semblent pas concernés non plus. C'est bien les FAI qui sont concerné ici.

Ça ne change rien au fond du message : faites attention à ce que vous mettez dans un service centralisé.

La procédure pour fournir des infos se trouve ici, et ça passe par le légal :