VPS dans l’UE et RGPD : points à vérifier

Ce que signifie vraiment un « hébergement conforme au RGPD »

Aucun hébergeur ne peut rendre votre application conforme au RGPD — la conformité concerne la manière dont vous collectez, stockez et traitez les données personnelles. Ce qu’un hébergeur peut faire, c’est ne pas vous gêner : conserver les données dans l’UE si vous le demandez, signer les documents qui font de vous le responsable du traitement et d’eux le sous-traitant, et éviter de pister discrètement vos visiteurs. Voici une liste de contrôle pratique pour cela, et la position d’IntoClouds sur chaque point.

Conserver les données dans l’UE

Déployez votre serveur dans une région de l’UE et gardez-le là. IntoClouds propose Falkenstein et Nuremberg en Allemagne ainsi que Helsinki en Finlande — tous des centres de données de l’UE. (Des régions américaines en Virginie et dans l’Oregon ainsi qu’une à Singapour existent également ; il suffit de ne pas les choisir si la résidence dans l’UE est une exigence.) Vous choisissez la région à la création ; rien ne la déplace ensuite sans vous.

Signer un avenant relatif au traitement des données

La région du serveur ne décrit pas tous les flux de données. Vérifiez sauvegardes, services connectés et sous-traitants dans le DPA et la politique de confidentialité.

Si vous traitez des données personnelles, le RGPD attend un accord de traitement des données avec votre hébergeur. Nous publions un Avenant relatif au traitement des données et une Politique de confidentialité qui précisent ce que nous conservons et qui y a accès. Les données de paiement vont directement à Polar, notre prestataire de paiement — nous ne voyons jamais votre carte — et les données de domaine vont au bureau d’enregistrement et au registre comme l’exige tout domaine.

Aucun pistage greffé sur votre compte

Il n’y a ni analytique ni suivi publicitaire du côté compte de la plateforme — rien qui vous profile, vous ou vos visiteurs, de notre côté. Ce qui tourne sur votre serveur, c’est à vous de le configurer ; si vous ajoutez de l’analytique, c’est une décision qui vous revient en tant que responsable du traitement, et qu’il vous appartient de documenter.

La partie qui reste à votre charge

• Sauvegardez les données et la base, puis testez une restauration. Les volumes nommés Docker ne se trouvent pas dans le répertoire du projet Compose.
• Vos propres contrôles SPF/DKIM/DMARC et d’accès. Les boîtes mail que vous activez reçoivent les bons enregistrements DNS écrits pour vous ; la manière dont vous sécurisez les comptes et à qui vous accordez l’accès relève de votre choix.
• Registres des traitements et base légale. Aucun hébergeur ne les fournit — ils décrivent votre service, pas le nôtre.

Vous voulez régler la résidence des données et la paperasse sans quatre fournisseurs distincts ? Consultez la page des tarifs ou le détail des tarifs VPS dans l’UE, puis créez un compte et choisissez une région de l’UE.