RGPD, CNIL, SecNumCloud et HDS : ce que 4hosting peut (et ne peut pas) garantir

Quatre sigles, quatre cadres différents. Ce guide explique à quoi sert chacun, qui en a besoin, et où s'arrête ce qu'un hébergeur comme 4hosting peut vous apporter. Mis à jour le 30.09.2026.

Réponse courte

1Le RGPD s'applique à toutes vos données personnelles ; la CNIL est l'autorité française qui le contrôle. Aucun hébergeur ne peut vous « rendre conforme » à votre place.
2SecNumCloud est une qualification de l'ANSSI, volontaire, pour les prestataires cloud qui visent les données les plus sensibles et une protection contre les lois extraterritoriales.
3HDS (hébergeur de données de santé) est une certification obligatoire dès que vous confiez à un tiers l'hébergement de données de santé à caractère personnel.
44hosting ne détient ni la qualification SecNumCloud ni la certification HDS. Son datacenter est à Francfort, pas en France.
5Pour des données ordinaires (site, e-commerce, SaaS sans donnée de santé), un hébergeur dans l'UE avec un contrat de sous-traitance suffit en général comme socle technique.

Ce que dit chaque cadre

RGPD et CNIL

Le règlement (UE) 2016/679 s'applique directement en France, complété par la loi Informatique et Libertés. La CNIL (cnil.fr) en est l'autorité de contrôle. L'art. 28 impose un contrat écrit entre le responsable de traitement et son sous-traitant, l'art. 32 des mesures de sécurité adaptées, l'art. 33 la notification des violations dans les 72 heures. Les sanctions peuvent atteindre 20 millions d'euros ou 4 % du chiffre d'affaires mondial (art. 83). Héberger dans l'UE n'est pas un transfert vers un pays tiers ; les art. 44 à 46 ne s'appliquent qu'aux transferts hors UE, y compris certains accès à distance.

SecNumCloud

SecNumCloud est un référentiel de l'ANSSI (cyber.gouv.fr) qui débouche sur une qualification des prestataires cloud (IaaS, PaaS, SaaS). Elle est volontaire. Son exigence distinctive : résister aux injonctions issues de lois extraterritoriales, ce qui implique notamment un siège dans l'UE, un capital non européen minoritaire, et des données stockées et administrées dans l'UE. La qualification est délivrée pour trois ans avec des audits annuels. Elle vise surtout les administrations et opérateurs à données sensibles.

HDS

L'article L. 1111-8 du code de la santé publique (legifrance.gouv.fr) vise toute personne qui héberge des données de santé à caractère personnel collectées à l'occasion d'activités de prévention, de diagnostic, de soins ou de suivi social et médico-social, pour le compte de ceux qui les ont produites ou du patient. L'hébergeur de données numériques doit détenir un certificat de conformité délivré par un organisme certificateur accrédité, et l'hébergement fait l'objet d'un contrat. Le dispositif est décrit sur esante.gouv.fr. Le besoin dépend de la nature des données, pas de la taille du projet.

Trois situations concrètes

Boutique en ligne

Comptes clients, adresses, commandes : ce sont des données personnelles, pas des données de santé. Un VPS dans l'UE, un contrat de sous-traitance (art. 28) et un registre des traitements à jour forment le socle.

Application pour cabinets de kinésithérapie

Dès que l'application stocke des données de santé pour le compte de professionnels, l'hébergement relève du régime HDS. Il faut alors un hébergeur certifié HDS, ce que 4hosting n'est pas.

Prestataire d'une administration ou d'un opérateur sensible

Le cahier des charges peut exiger une offre qualifiée SecNumCloud. Vérifiez l'exigence dans le marché : sans qualification, l'offre est écartée, quelles que soient ses performances techniques.

Erreurs fréquentes

Croire qu'un serveur « en Europe » vaut conformité : le RGPD porte aussi sur la base légale, la minimisation, la durée de conservation et la sécurité.
Héberger des données de santé sur un VPS ordinaire parce que le client « n'a rien demandé » : l'obligation HDS pèse sur l'hébergement, pas sur le bon vouloir du client.
Confondre RGPD, HDS et SecNumCloud : trois cadres différents, avec trois autorités ou organismes différents.
Ne pas avoir de contrat de sous-traitance, ni de plan de réaction en cas de violation : la notification à la CNIL est due dans les 72 heures si la violation présente un risque pour les personnes (art. 33).

Ce que 4hosting apporte, et ce qu'il n'apporte pas

Notre datacenter est dans l'UE, à Francfort, pas en France. Nous proposons un contrat de sous-traitance (art. 28), des clauses contractuelles types pour les transferts, une protection DDoS et un alignement sur ISO 27001 (un alignement, pas un certificat). Chaque abonnement inclut chaque mois des heures DevOps et CyberSecurity, demandées depuis le panneau client : durcissement, sauvegardes, gestion des accès, plan de réponse aux incidents. La migration est gratuite.

En revanche, 4hosting n'est ni un organisme de certification ni un hébergeur HDS ou SecNumCloud, et ne signe aucune conformité juridique à votre place. Vous restez responsable de traitement.

Nous écrire →

Questions fréquentes

4hosting est-il certifié HDS ?

Non. 4hosting n'est pas certifié HDS. Si vous hébergez des données de santé pour le compte de professionnels ou d'établissements, choisissez un hébergeur titulaire de la certification HDS.

4hosting est-il qualifié SecNumCloud ?

Non. 4hosting n'a pas de qualification SecNumCloud et son datacenter, à Francfort, n'est pas qualifié. Si votre marché l'exige, il faut une offre qualifiée par l'ANSSI.

Que fournit 4hosting côté RGPD ?

Un contrat de sous-traitance conforme à l'art. 28, des clauses contractuelles types pour les transferts, un alignement sur ISO 27001 (ce n'est pas un certificat) et, dans les heures DevOps et CyberSecurity incluses, du durcissement, des sauvegardes et la gestion des accès. La conformité de votre traitement reste de votre responsabilité.