Imaginez la due diligence d'un SaaS RH : la slide commerciale promet un « hébergement 100 % France », le contrat reste muet sur les sauvegardes, le support indien n'apparaît nulle part, et une clause autorise un transfert « si nécessaire » vers les États-Unis. Le délégué à la protection des données bloque la signature — pas par paranoïa, mais parce que l'art. 28 exige des garanties que le PDF ne contient pas.
Choisir un hébergeur sous RGPD, ce n'est pas cocher « Union européenne ». C'est vérifier que traitement, sous-traitance et incidents sont cadrés avant le premier euro débité. La bonne nouvelle : les bonnes questions sont les mêmes pour une boutique, une association ou un éditeur logiciel. La mauvaise : peu de commerciaux y répondent spontanément.
Questions contractuelles : le DPA avant le badge
Le contrat d'hébergement (CGV) et le Data Processing Agreement (DPA) ne jouent pas le même rôle. Les CGV protègent surtout le prestataire ; le DPA encadre ce qu'il fait de vos données personnelles. Avant signature, vérifiez que le DPA mentionne explicitement votre rôle de responsable de traitement et celui de l'hébergeur en sous-traitant.
Neuf points doivent figurer ou être annexés : l'objet et la durée du traitement ; la nature des données (comptes, journaux d'adresse IP, contenu utilisateur) ; les instructions documentées (suppression, export, localisation) ; la confidentialité du personnel ; la liste des sous-traitants ultérieurs et la procédure de notification en cas de changement ; l'aide apportée au DPO, aux analyses d'impact et à la notification de violation sous 72 heures ; le sort des données en fin de contrat (suppression des données) ; et le droit d'information ou d'audit.
| Réponse faible | Réponse solide |
|---|---|
| « Nous sommes RGPD » | DPA signé en annexe, daté |
| « Données en Europe » | Régions prod, sauvegardes et CDN listés |
| « ISO en cours » | Attestation de périmètre datée et vérifiable |
Questions techniques : où vont réellement les données
Au-delà du contrat, demandez une cartographie simple : production, sauvegardes, journaux, tickets de support. Ces flux sont-ils dans le même pays ? Les copies de secours quittent-elles l'Union européenne ? En cas de transfert hors UE, quelles garanties s'appliquent (clauses contractuelles types, décision d'adéquation) et comment le Cloud Act est-il adressé si un sous-traitant américain intervient ?
Interrogez aussi le chiffrement au repos et en transit, la gestion des clés, et les journaux d'accès administrateur côté hébergeur : qui peut lire quoi, combien de temps, avec quel processus d'approbation. En cas d'incident, quel délai et quel canal pour la notification de violation ? La réversibilité est-elle documentée (format d'export, délai, coût) ?
Croisez ces réponses avec notre enquête sur la localisation réelle et les fiches de l'annuaire — deux sources qui complètent le discours commercial.
Scénarios selon la sensibilité du projet
Toutes les applications ne demandent pas le même niveau de rigueur. Un blog vitrine peut tenir avec un DPA standard, une région Union européenne et des journaux minimisés. Un site e-commerce doit cadrer les sauvegardes, le réseau de diffusion de contenu et, si paiement intégré, la conformité PCI en plus du RGPD.
Pour la santé ou toute donnée sensible en France, le cadre HDS peut s'ajouter au RGPD — un mutualisé générique sans attestation ne suffit pas. Comparez les cadres dans RGPD, HDS, SecNumCloud — qui a besoin de quoi ? avant de mélanger les acronymes dans un seul paragraphe de devis.
Erreurs fréquentes avant la signature
Confondre registrar et hébergeur : deux prestataires, parfois deux DPA distincts. Oublier le réseau de diffusion de contenu tiers sans DPA en chaîne. Choisir une offre « gratuite » sans lire la sous-traitance cloud sous-jacente. Ne pas mettre à jour le registre des traitements après signature — l'audit interne révélera l'écart six mois plus tard.
Le sommet : la conformité affichée n'est pas la conformité contractée
Posez les questions avant l'engagement annuel. Renégocier après migration coûte plus cher que refuser une offre incomplète.
Décider et avancer sans angle mort
Commencez par télécharger le DPA et les CGV complètes — pas un résumé commercial. Cartographiez ensuite les flux de données : production, sauvegardes, réseau de diffusion, messagerie transactionnelle. Vérifiez la liste des sous-traitants et les transferts éventuels hors Union européenne. Alignez votre registre des traitements et, si nécessaire, votre analyse d'impact sur ce que le contrat autorise réellement. Enfin, comparez les hébergeurs qui documentent ces points via le comparateur et les guides — la short-list se resserre vite une fois les bonnes questions posées.
Questions fréquentes
Un hébergeur UE est-il automatiquement conforme RGPD ?
Non. Le RGPD exige un cadre contractuel et technique documenté. Un datacenter en France ne garantit rien si les sauvegardes, le support ou le réseau de diffusion passent par des pays ou des prestataires non encadrés dans le DPA.
Faut-il un DPA avec l'hébergeur ?
Oui, dès que l'hébergeur traite des données personnelles pour votre compte — art. 28. Un refus ou un modèle vide est un signal d'alerte. Sans DPA signé, vous ne pouvez pas démontrer une sous-traitance conforme.
Que demander sur les sous-traitants ?
Une liste à jour avec localisation et garanties de transfert. Votre registre et votre DPA doivent les refléter. Toute modification de la chaîne doit être notifiée avant mise en production.
ISO 27001 suffit-il ?
Utile si le périmètre certifié couvre votre offre. L'ISO complète le RGPD mais ne remplace ni le DPA ni les droits des personnes. Lisez l'attestation avant de la citer en réunion.
Avant de signer chez un hébergeur RGPD, la bonne question n'est pas « êtes-vous en Europe ? » — c'est « montrez-moi le DPA et le chemin des sauvegardes ».