💡En bref
Vérifier l’hébergement suppose de contrôler quatre éléments : la localisation physique des serveurs, l’identité des sous-traitants ultérieurs, le droit applicable en cas de demande d’accès, et les mesures de sécurité effectives. Ces informations doivent figurer dans le contrat de sous-traitance, pas seulement sur une page marketing.
⚖️Pourquoi ce sujet concerne tous les organismes
Un organisme de formation traite des données personnelles sensibles par leur volume et leur nature : identités, coordonnées, parcours professionnels, résultats d’évaluation, parfois informations relatives à une situation de handicap. À ce titre, il est responsable de traitement et doit pouvoir justifier des garanties apportées par ses prestataires.
La question dépasse la conformité formelle. En cas d’incident — fuite, indisponibilité prolongée, défaillance du prestataire — c’est l’organisme qui doit informer ses apprenants et ses financeurs, et c’est son activité qui s’arrête. L’hébergement est donc autant un sujet de continuité d’activité qu’un sujet juridique.
🔍Les quatre vérifications essentielles
| Vérification | Question précise à poser |
|---|---|
| Localisation | Dans quel pays sont physiquement stockées les données, y compris les sauvegardes ? |
| Sous-traitants | Quels prestataires interviennent, pour quelles fonctions, et où sont-ils établis ? |
| Droit applicable | À quelles législations l’hébergeur et ses maisons mères sont-ils soumis ? |
| Sécurité | Chiffrement, gestion des accès, journalisation, tests, procédure d’incident. |
Attention à la nuance entre « données hébergées en France » et « société française » : une entreprise française peut héberger chez un fournisseur soumis à un droit étranger, et inversement. Ce sont les faits techniques et contractuels qui comptent, pas la nationalité affichée.
📊Le contrat de sous-traitance
Le RGPD impose un contrat écrit entre responsable de traitement et sous-traitant. Ce document doit préciser l’objet, la durée, la nature des traitements, les catégories de données et de personnes concernées, ainsi que les obligations du sous-traitant.
- Instructions documentées : le prestataire n’agit que sur vos instructions.
- Confidentialité des personnes autorisées à traiter les données.
- Mesures de sécurité techniques et organisationnelles décrites.
- Conditions de recours à des sous-traitants ultérieurs et information préalable.
- Assistance en cas de demande d’exercice de droits ou de violation de données.
- Sort des données en fin de contrat : restitution puis suppression attestée.
Demandez ce document avant la signature. Un éditeur sérieux le fournit sans difficulté ; l’absence de contrat de sous-traitance formalisé est un signal d’alerte suffisant pour écarter un candidat.
🔄Durées de conservation et minimisation
La conformité ne se limite pas à l’endroit où sont stockées les données : elle porte aussi sur ce que vous conservez et pendant combien de temps. Un organisme de formation doit articuler des durées différentes selon les finalités : obligations comptables, obligations liées aux financements, preuves de conformité, prospection commerciale.
Vérifiez que le logiciel permet de mettre en œuvre ces durées : archivage, anonymisation ou suppression sélective. Un outil qui ne sait que tout conserver indéfiniment vous place en infraction structurelle, quelle que soit la qualité de son hébergement.
🧭Continuité et sauvegardes
Interrogez l’éditeur sur trois points concrets, dont les réponses doivent être chiffrées : la fréquence des sauvegardes, la durée pendant laquelle elles sont conservées, et le délai de restauration en cas d’incident majeur. Demandez également si une restauration a déjà été testée, et à quelle date.
Regardez enfin les engagements de disponibilité et ce qu’ils recouvrent : un taux annoncé sans mesure publique ni compensation reste déclaratif. Ce n’est pas rédhibitoire pour un organisme de formation, mais cela doit être connu et accepté.
💬Documenter vos vérifications
Conservez dans votre registre des traitements une fiche par prestataire : identité, finalité, données concernées, localisation, contrat de sous-traitance, date de vérification. Cette fiche prend dix minutes à créer et constitue la preuve attendue lors d’un contrôle ou d’un audit qualité.
Réexaminez-la une fois par an, car les configurations évoluent : changement d’hébergeur, nouveau sous-traitant, nouvelle fonctionnalité impliquant un service tiers. Cette revue annuelle est la seule façon de maintenir un registre exact dans la durée.
Voir aussi : RGPD et consentements et sécurité des données apprenants.
❓Questions fréquentes
Faut-il obligatoirement héberger ses données en France ?
Non. Le RGPD autorise l’hébergement dans l’Union européenne, et hors UE sous conditions encadrées. L’exigence française relève d’un choix de l’organisme ou d’une contrainte de son donneur d’ordre, pas d’une obligation générale.
Un organisme de formation doit-il tenir un registre des traitements ?
Oui, dès lors qu’il traite des données personnelles de façon non occasionnelle, ce qui est le cas de tout organisme gérant des apprenants. Le registre recense les traitements, leurs finalités, les destinataires et les durées de conservation.
Combien de temps conserver les données des apprenants ?
Les durées varient selon la finalité : obligations comptables, exigences des financeurs, preuves de conformité et prospection commerciale n’ont pas les mêmes règles. Définissez une durée par finalité et documentez-la dans votre registre.
Qui est responsable en cas de fuite de données chez l’éditeur ?
L’organisme reste responsable de traitement vis-à-vis des personnes concernées et doit notifier l’incident selon les règles applicables. Le contrat de sous-traitance encadre les obligations de l’éditeur et son devoir d’assistance.
🚀Passer de la méthode à l’outil
Loop réunit la gestion administrative, la conformité Qualiopi, le financement, le LMS et le suivi des apprenants dans une seule plateforme — sans double saisie entre vos tableurs et vos outils métier.