Confier à des tiers

Le cloud, c’est l’ordinateur de quelqu’un d’autre

Le cloudCloud (informatique en nuage) : Utiliser des serveurs, du stockage ou des logiciels fournis à distance par un prestataire, via Internet, au lieu de ses propres machines.Image : Louer un box de garde-meuble en périphérie plutôt que garder ses affaires chez soi : plus pratique, mais on ne sait pas toujours qui d’autre a un double des clés. Voir dans le glossaire désigne l’usage de serveurs, de stockage ou de logiciels fournis à distance par un prestataire. On distingue souvent :

• le cloud public : des ressources mutualisées entre de nombreux clients, chez un grand fournisseur ;
• le cloud privé : une infrastructure réservée à une seule organisation (chez elle ou chez un hébergeur) ;
• le cloud hybride : un mélange des deux.

Et selon ce que le prestataire prend en charge : l’infrastructure seule (des serveurs à configurer soi-même), une plateforme, ou un logiciel complet prêt à l’emploi (on parle de SaaS, software as a service). Un logiciel de gestion d’association en ligne, c’est du SaaS.

Qui est responsable de quoi ?

Le RGPD distingue deux rôles :

• le responsable de traitementResponsable de traitement : L’organisme qui décide pourquoi et comment des données personnelles sont traitées. Il reste responsable même s’il confie le travail à un prestataire.Image : Le propriétaire d’un immeuble reste responsable de l’entretien même s’il confie le ménage à une entreprise : il choisit le prestataire et répond de ce qui est fait. Voir dans le glossaire décide pourquoi et comment les données sont traitées : c’est Cap Sportif ;
• le sous-traitantSous-traitant (au sens du RGPD) : Le prestataire qui traite des données personnelles pour le compte du responsable de traitement, selon ses instructions et dans le cadre d’un contrat (article 28 du RGPD).Image : Le gardien d’immeuble à qui l’on confie ses clés : il agit pour toi, selon tes consignes. Voir dans le glossaire traite les données pour le compte du responsable, selon ses instructions : c’est l’éditeur du logiciel.

Point essentiel : le club reste responsable de ce que devient le fichier de ses adhérents, même s’il l’a confié à un prestataire. Choisir un sous-traitant présentant des garanties suffisantes fait partie de ses obligations.

La sous-traitance en cascade

Ton prestataire a lui-même des prestataires : un hébergeur, un service d’envoi d’e-mails, un support client, parfois un fournisseur d’IA. C’est la sous-traitance en cascadeSous-traitance en cascade : Quand ton prestataire confie lui-même une partie du travail à d’autres prestataires (hébergeur, envoi d’e-mails, support…). Chacun voit potentiellement tes données.Image : Le gardien à qui tu confies tes clés fait lui-même appel à une entreprise de nettoyage, qui embauche un intérimaire pour un jour : chaque maillon voit passer tes clés. Voir dans le glossaire. Chacun voit une partie des données. Un prestataire sérieux publie la liste de ses sous-traitants, prévient ses clients avant d’en changer et impose à chacun les mêmes obligations.

Le contrat : ce qu’il doit contenir

L’article 28 du RGPD exige un contrat entre le responsable et son sous-traitant. On doit y trouver, au minimum :

• l’objet, la durée, la nature et la finalité du traitement ;
• l’engagement de ne traiter les données que sur instruction du client (pas pour ses propres besoins, publicité comprise) ;
• la confidentialité et les mesures de sécurité ;
• les conditions de recours à d’autres sous-traitants ;
• l’aide apportée au client (exercice des droits des personnes, violations de données) ;
• le sort des données en fin de contrat : restitution et suppression.

À côté, le niveau de service (SLASLA (niveau de service) : Engagement contractuel du prestataire sur la qualité du service : disponibilité, délais d’intervention, pénalités en cas de manquement.Image : Le contrat d’un livreur qui promet « livré en 48 heures, ou remboursé » : un engagement écrit, avec des conséquences s’il n’est pas tenu. Voir dans le glossaire) précise la disponibilité promise, les délais d’intervention et ce qui se passe en cas de manquement.

Pouvoir partir : la réversibilité

La réversibilitéRéversibilité : La capacité à récupérer toutes ses données dans un format exploitable et à changer de prestataire sans tout perdre.Image : Pouvoir récupérer ses clés et ses meubles le jour où l’on déménage. Voir dans le glossaire, c’est la possibilité de récupérer toutes ses données, dans un format ouvert et exploitable, et de changer de prestataire sans tout perdre. C’est le meilleur antidote à l’enfermement propriétaireEnfermement propriétaire (lock-in) : La dépendance à un prestataire dont on ne peut plus sortir facilement : formats fermés, coûts de sortie, outils non standard.Image : Un appareil photo dont les fichiers ne s’ouvrent que dans le logiciel du fabricant : une fois qu’on en a des milliers dedans, changer de marque devient très coûteux. Voir dans le glossaire. À vérifier avant de signer : que contient l’export (l’historique ? les pièces jointes ?), dans quel format, à quel prix, en combien de temps ?

Le règlement européen sur les données (Data Act), applicable depuis septembre 2025, renforce ce droit : les fournisseurs de services cloud doivent faciliter le changement de prestataire, et les frais de changement doivent disparaître complètement à partir de janvier 2027.

Et si c’est gratuit ?

Un service gratuit n’est pas forcément malhonnête : il peut vivre d’une offre payante, de dons, de subventions. Mais la question mérite toujours d’être posée : qui paie, et avec quoi ? Si la réponse est « la publicité ciblée sur tes adhérents », leurs données deviennent la monnaie d’échange.

Les clauses à lire deux fois

• Modification unilatérale : le prestataire peut-il changer ses conditions (et ses prix) du jour au lendemain ? Avec quel préavis ?
• Usage des données « pour améliorer nos services » : formule vague qui peut couvrir l’analyse statistique… ou l’entraînement de modèles d’IA sur tes données.
• Limitation de responsabilité : en cas de perte de données, le dédommagement est souvent plafonné au prix de l’abonnement (zéro, pour un service gratuit).
• Loi applicable et tribunal compétent : un litige jugé à l’autre bout du monde, dans une autre langue, est un litige qu’une association ne mènera jamais.

Faire confiance, mais vérifier

Le contrat doit permettre au client de vérifier que le prestataire respecte ses engagements : documentation, rapports d’audit, certifications. Pour une petite structure, on s’appuie surtout sur les certifications reconnues : la norme internationale ISO/IEC 27001 (management de la sécurité de l’information), la certification HDS en France pour l’hébergement de données de santé, ou la qualification SecNumCloud de l’ANSSI pour les services cloud les plus exigeants (module 9).

Localisation des données ≠ souveraineté

L’option « données hébergées en Europe » rassure, et elle compte : elle évite un transfert hors de l’Union. Mais si l’éditeur ou l’hébergeur est une société soumise au droit d’un pays tiers, ce droit peut lui imposer de communiquer des données, quel que soit le lieu de stockage. C’est tout l’enjeu du CLOUD Act américain et du module 9 : la question n’est pas seulement où sont les données, mais sous quelle loi vit celui qui détient les clés.

Garder la main

Même avec un bon prestataire, quelques réflexes limitent la dépendance : exporter régulièrement ses données (c’est aussi une sauvegarde, module 6), documenter ses paramétrages, éviter de disperser les données dans des fonctions propriétaires impossibles à exporter, et désigner deux personnes qui ont les accès administrateur.