RGPD : savez-vous où sont réellement vos données ?

« Hébergeur français » figure sur beaucoup de sites. Cela ne dit rien de l'endroit où tournent les serveurs, ni du droit auquel ils sont soumis.

Trois questions à poser à votre hébergeur

Dans quel pays sont physiquement les serveurs ? Pas le siège social, les machines.
Où sont les sauvegardes ? Elles partent souvent dans une autre région, parfois hors UE, et personne ne le mentionne.
Qui peut techniquement accéder aux données ? Sous-traitants, support de niveau 3, prestataires de supervision.

Le Cloud Act, en une phrase

Une société de droit américain peut être contrainte de fournir des données qu'elle détient, y compris stockées en Europe. Le lieu de stockage ne suffit donc pas : la nationalité de l'entreprise qui contrôle l'infrastructure compte autant.

Ce que cela change concrètement

Pour un site vitrine sans données sensibles, l'enjeu reste faible. Il devient sérieux dès que vous traitez des données de santé, des données d'enfants, des informations financières ou un fichier client conséquent.

Ce qu'il faut inscrire dans son registre

Le registre des traitements n'est pas réservé aux grandes structures. Pour chaque traitement : la finalité, les catégories de données, la base légale, la durée de conservation, et les sous-traitants avec leur localisation.

C'est précisément la partie « sous-traitants » où la réponse « hébergeur français » ne suffit plus.

Chez Asgard

Les serveurs et les sauvegardes sont chez IONOS SE, en Allemagne, sous droit européen. Aucun transfert hors Union européenne par défaut. Vous pouvez l'inscrire tel quel dans votre registre, et récupérer vos données à tout moment dans des formats standards.

Un pré-audit RGPD, avec cartographie des traitements et registre simplifié, coûte 520 €.