Contrats et données

Hébergement européen : que reste-t-il à vérifier ?

Pour qui : Votre portefeuille révèle des noms, disponibilités et projets confidentiels, avec une exigence de localisation.

Sources officielles relues le 6 novembre 2026 ; analyse éditoriale, aucun contrat fournisseur ni dossier salarié examiné.

Notre avis

Ne tranchez pas avec le seul lieu du serveur. Demandez qui peut accéder aux données, depuis où et pour quelle entité. Nous préférons une réponse documentée sur le stockage et les accès de support à une formule générale « hébergé en Europe ». Tout accès à distance n’a cependant pas la même qualification juridique.

Dans l’ordre

  1. Cartographier stockage et destinataires
  2. Identifier les entités et pays des accès
  3. Faire qualifier les transferts et garanties nécessaires

Pourquoi

  • La localisation du stockage ne décrit pas tous les accès.
  • La distinction entre salarié et prestataire peut changer la qualification.

Ce qui change le choix

Un salarié de la même organisation en déplacement n’est pas automatiquement un autre destinataire ; ne qualifiez pas tout accès depuis un pays tiers de transfert sans analyse.

La bonne question porte sur le destinataire

La CNPD Luxembourg présente les critères européens du CEPD : mise à disposition par un exportateur soumis au RGPD à un autre responsable ou sous-traitant situé dans un pays tiers. Elle distingue notamment le cas d’un salarié faisant partie intégrante de son employeur. Nous citons cette explication européenne, pas une règle particulière du droit du travail luxembourgeois.

Pour un outil de projets, demandez séparément le lieu de stockage principal, les sauvegardes et les entités pouvant accéder au contenu pour le support. Une filiale ou un prestataire ne doit pas être assimilé sans vérification à un salarié de la même entité.

Ne pas dévoiler davantage pour obtenir la réponse

Utilisez un projet fictif pour la démonstration : noms inventés, disponibilité et titre de projet sans contenu sensible. Faites décrire les accès ordinaires et exceptionnels, puis le document qui les encadre. Cette demande ne nécessite pas de fournir votre vrai portefeuille au vendeur.

Nous retiendrions l’offre qui sait expliquer ce périmètre et faire qualifier les garanties nécessaires. Nous n’excluons pas automatiquement toute offre avec un accès hors EEE ; nous n’acceptons pas non plus une mention européenne comme preuve suffisante de conformité. La décision dépend des données et du cadre effectivement documenté.

Limites

Aucun fournisseur ni flux réel audité. Le lieu de stockage ou la nationalité commerciale ne suffit pas à conclure ; aucune garantie de conformité ou décision d’adéquation présumée.

Prochaine action

Demandez une cartographie des entités, pays de stockage et accès de support, puis faites qualifier les transferts par le responsable compétent.

Preuves et sources

Ce qui relève d’un fait lu, d’une déclaration, de notre calcul, de notre méthode ou de notre avis. Notre méthode