RGPD et hébergement de site : qui fait quoi

Qui est responsable de quoi

Le règlement général sur la protection des données distingue deux rôles.

Un formulaire de contact, une boutique, une lettre d'information ou des comptes clients sont vos traitements : c'est à vous d'en informer les visiteurs, de tenir votre registre et de répondre à leurs demandes. L'hébergeur stocke les données et les protège, mais il ne les utilise pas pour lui-même. S'il décidait lui-même de l'usage des données, il deviendrait responsable de ce traitement.

Ce que l'article 28 impose

L'article 28 du RGPD fixe le cadre de la sous-traitance :

1. Le responsable ne fait appel qu'à des sous-traitants qui présentent des garanties suffisantes de sécurité et d'organisation.
2. Un contrat écrit, la forme électronique comprise, encadre la prestation : objet, durée, nature et finalité du traitement, types de données.
3. Le sous-traitant ne traite les données que sur instruction documentée du responsable, et garantit la confidentialité des personnes qui y ont accès.
4. Il ne recrute pas d'autre sous-traitant sans autorisation écrite préalable du responsable.
5. Au terme de la prestation, il supprime les données ou les renvoie, au choix du responsable.

La CNIL détaille ces obligations dans sa fiche Sécurité : gérer la sous-traitance et dans son guide pour identifier son rôle de responsable ou de sous-traitant. Cet article ne remplace pas un conseil juridique : pour un traitement sensible, appuyez-vous sur ces sources ou sur un professionnel.

Les questions à poser à un hébergeur

• Où sont les serveurs ? Dans l'Union européenne, le RGPD s'applique directement. Hors de l'Union, un transfert doit être encadré.
• Qui sont ses propres sous-traitants ? La chaîne compte : centre de données, filtrage, sauvegarde.
• Combien de temps les sauvegardes et les journaux sont-ils gardés ?
• Comment récupérez-vous vos données en partant, et sous quel délai sont-elles effacées ?
• Traitez-vous des données de santé ? Dans ce cas, l'hébergeur doit être certifié pour l'hébergement de données de santé (HDS), en application du code de la santé publique.

Chez Hubspace

Les réponses ci-dessous viennent de notre page légale, qui fait foi.

• Localisation : nos serveurs d'hébergement sont chez IONOS SE, en Allemagne. Les serveurs VPS sont aussi hébergés en Allemagne. Le détail de nos sous-traitants, avec leur rôle et leur localisation, est tenu à jour sur la page légale.
• Sauvegardes : une copie chaque nuit, conservée 30 jours.
• Restitution : à tout moment, y compris pendant 30 jours après la résiliation, vous obtenez sur simple demande une archive complète de vos fichiers et de votre base de données, dans un format standard. Voir Récupérer ses données.
• Vos données de client : celles de votre compte chez nous sont décrites dans la partie « Protection des données » de la page légale, avec la façon d'exercer vos droits.

Hubspace n'annonce pas de certification HDS : un site qui héberge des données de santé doit choisir un hébergeur certifié. Pour toute question sur le traitement de vos données, la page légale fait foi, et le support vous répond depuis l'espace client.

Côté sécurité, le pare-feu applicatif, l'antivirus et la sauvegarde sont décrits sur notre page sécurité ; ils font partie des garanties que l'article 28 vous demande de vérifier.

Questions fréquentes