Une adresse e-mail saisie en caisse ne reste pas dans la tablette de la boutique. Elle part vers un serveur, situé dans un centre de données, puis une copie rejoint un second site pour la sauvegarde.
La sécurité des données à l’hébergement désigne l’ensemble des protections qui entourent ce stockage chez un prestataire : lieu des serveurs et droit applicable, chiffrement, sauvegardes, contrôle des accès. Quand vous utilisez un outil marketing en ligne, l’éditeur et son hébergeur en assurent une partie. Vous restez responsable du traitement de vos données clients.
Où sont stockées les données d’un outil marketing en ligne ?
Les données d’un outil marketing en ligne sont stockées sur les serveurs d’un hébergeur, choisi par l’éditeur du logiciel. Le commerçant ne voit ni le serveur ni le centre de données : il accède à ses données par une application web.
Concrètement, trois acteurs interviennent. Vous, le commerçant, saisissez ou collectez les données. L’éditeur fait fonctionner le logiciel. L’hébergeur fournit les machines, l’électricité, le réseau et la sécurité physique du bâtiment.
Prenons une boutique de prêt-à-porter qui collecte l’e-mail et la date d’anniversaire de ses clients en caisse. Ces deux champs alimentent vos envois de newsletters et vos campagnes SMS. Ils existent alors à trois endroits au minimum : la base principale, la copie de sauvegarde, et chaque fichier que la boutique exporte sur un ordinateur.
Chaque copie est un point à protéger. La sécurité de l’hébergement couvre uniquement les deux premières.
Responsabilité partagée entre hébergeur, éditeur et client : qui fait quoi ?
Selon le RGPD, le commerçant qui décide pourquoi et comment ses données clients sont utilisées est le responsable du traitement. L’éditeur de l’outil marketing est son sous-traitant au sens de l’article 28. L’hébergeur auquel l’éditeur fait appel est un sous-traitant ultérieur.
Ce partage a une conséquence directe. L’article 28 du RGPD impose un contrat entre le commerçant et l’éditeur, qui fixe les instructions, les mesures de sécurité et le sort des données en fin de prestation. L’éditeur ne peut recourir à un sous-traitant ultérieur qu’avec l’autorisation écrite du responsable, générale ou au cas par cas.
Le modèle de responsabilité partagée découpe le travail selon le type de service. Sur un logiciel en ligne (SaaS), le prestataire gère l’infrastructure, le système et l’application. Le commerçant garde à sa charge :
- les comptes utilisateurs et leurs droits ;
- la qualité et la légitimité des données qu’il collecte ;
- les fichiers qu’il exporte hors de l’outil.
Un gérant qui partage un identifiant unique entre cinq vendeurs crée un risque que l’hébergement le plus solide ne compense pas.
Localisation des serveurs, Cloud Act et RGPD : la sécurité juridique de vos données
La localisation des serveurs détermine le droit qui s’applique à vos données, et donc qui peut y accéder légalement. Des données hébergées dans l’Union européenne restent sous le régime du RGPD. Un transfert hors de l’Union n’est permis que dans les conditions du chapitre V du RGPD : décision d’adéquation de la Commission européenne, clauses contractuelles types ou autre mécanisme prévu par le texte.
La nationalité du prestataire compte autant que l’adresse du centre de données. Le Cloud Act, loi américaine de 2018, permet aux autorités des États-Unis de demander à un fournisseur soumis au droit américain des données qu’il contrôle, y compris quand elles sont stockées en Europe.
C’est la logique de la qualification SecNumCloud délivrée par l’ANSSI : elle exige notamment que le prestataire échappe aux lois extraterritoriales. Pour un commerçant, ce niveau est rarement exigé. La question utile reste simple : où sont les serveurs, et quel droit s’applique au prestataire qui les contrôle ?
Ce qui protège vos données chez le prestataire
Trois protections techniques font l’essentiel de la sécurité côté hébergement : le chiffrement, les sauvegardes et les contrôles attestés par une certification.
Chiffrement des données au repos et en transit : quelle différence ?
Le chiffrement en transit protège les données pendant leur trajet entre votre navigateur et le serveur. Il repose sur le protocole TLS, celui du cadenas affiché dans la barre d’adresse.
Le chiffrement au repos protège les données stockées sur les disques et dans les sauvegardes. L’algorithme AES-256 est un standard courant pour cet usage. Un disque volé ou mal recyclé reste alors illisible sans la clé.
Les deux sont complémentaires, et aucun ne protège contre un identifiant volé : une personne connectée avec un compte valide lit les données en clair.
Sauvegarde externalisée : quelle stratégie mettre en place pour la résilience des données ?
Une sauvegarde externalisée est une copie des données conservée sur un autre site que les serveurs principaux. Si un centre de données est détruit, les données repartent depuis la copie.
Deux indicateurs décrivent cette stratégie. Le RPO (objectif de point de reprise) est la quantité maximale de données que l’on accepte de perdre, exprimée en durée : avec une sauvegarde par jour, vous pouvez perdre une journée de saisies. Le RTO (objectif de temps de reprise) est la durée maximale d’interruption avant le retour du service.
Le plan de continuité d’activité (PCA) vise à ne jamais interrompre le service, par exemple grâce à des serveurs en double. Le plan de reprise d’activité (PRA) organise le redémarrage après une interruption. Côté commerçant, un export régulier de votre base clients, rangé dans un espace protégé, complète la sauvegarde du prestataire.
Certifications de sécurité ISO 27001, HDS, SOC 2 : lesquelles vérifier avant de choisir un hébergeur ?
La norme ISO/IEC 27001 certifie un système de management de la sécurité de l’information : le prestataire a identifié ses risques, défini des mesures et les fait auditer. Elle ne certifie pas l’absence d’incident.
La certification HDS (hébergeur de données de santé) est obligatoire uniquement pour héberger des données de santé, selon l’article L.1111-8 du Code de la santé publique. Une boutique qui stocke des e-mails et des dates d’anniversaire n’en a pas besoin.
Le rapport SOC 2 est un audit de contrôles, répandu chez les prestataires américains. Vérifiez enfin le périmètre de chaque certificat : il peut couvrir le centre de données de l’hébergeur sans couvrir le logiciel de l’éditeur.
Obligations légales en cas de fuite de données personnelles : que doit faire l’hébergeur ?
En cas de violation de données personnelles, le sous-traitant doit prévenir le responsable du traitement dans les meilleurs délais, selon l’article 33 du RGPD. C’est ensuite au responsable, donc au commerçant, de notifier la CNIL dans un délai de 72 heures après en avoir pris connaissance, sauf si la violation ne présente pas de risque pour les personnes.
Si le risque est élevé, l’article 34 impose aussi d’informer les clients concernés. Le contrat de sous-traitance doit donc prévoir comment et sous quel délai l’éditeur vous alerte, et quelles informations il vous transmet.
Ce que l’hébergement ne protège pas : confusions fréquentes
« Hébergé en France » ne veut pas dire « conforme au RGPD ». La conformité couvre aussi la base légale de la collecte, la durée de conservation et les droits des personnes, qui relèvent du commerçant.
« Certifié » ne veut pas dire « sans risque ». Une certification atteste une méthode de gestion des risques, pas un résultat.
La plupart des expositions de fichiers clients en boutique ne passent pas par le centre de données. Par exemple, un ancien vendeur dont l’accès n’a pas été supprimé, ou un tableur exporté puis envoyé par e-mail. Pour créer des segments sans exporter de fichier, mieux vaut travailler directement dans l’outil.
Auditer régulièrement la sécurité de l’hébergement : les étapes à suivre et les questions à poser
Auditer un prestataire ne demande pas de compétence technique. Il suffit de lui poser des questions précises par écrit, une fois à la signature, puis une fois par an. Les réponses vagues sont elles-mêmes une information.
| Question à poser | Réponse attendue |
|---|---|
| Dans quels pays sont hébergées mes données et leurs sauvegardes ? | Des pays nommés, sauvegardes comprises |
| Quel droit s’applique à vous et à votre hébergeur ? | La nationalité des deux sociétés, et la position sur les lois extraterritoriales |
| Pouvez-vous me transmettre le contrat de sous-traitance (article 28 du RGPD) ? | Un document signé, avec la liste des sous-traitants ultérieurs |
| Les données sont-elles chiffrées en transit et au repos ? | Oui pour les deux, avec le protocole et l’algorithme nommés |
| À quelle fréquence sont faites les sauvegardes, et où ? | Une fréquence, un second site, un délai de restauration |
| Comment serai-je prévenu en cas de violation de données ? | Un délai et un interlocuteur prévus au contrat |
| Que deviennent mes données en fin de contrat ? | Une restitution dans un format lisible, puis une suppression attestée |
Une plateforme et une équipe : poser ces questions à All in Box
All in Box est une plateforme marketing tout-en-un, pas un hébergeur. Comme tout éditeur de logiciel en ligne, All in Box confie le stockage des données à un hébergeur. Les conditions générales de vente précisent que la plateforme et les données personnelles sont hébergées au sein de l’Union européenne. Trois hébergeurs figurent à leur annexe 1 : AWS pour l’Union européenne, OVHcloud et Scaleway pour la France. Certains sous-traitants ultérieurs peuvent traiter des données hors de l’Union européenne, notamment aux États-Unis pour les services de modèles d’intelligence artificielle : ces transferts sont encadrés par le cadre EU-US Data Privacy Framework ou par les clauses contractuelles types de la Commission européenne.
Le tableau ci-dessus s’applique donc à All in Box comme à tout autre outil. Une seule base de données réduit le nombre de copies à surveiller : vous pouvez centraliser vos données clients dans une seule base au lieu de les répartir entre un fichier de caisse, un outil d’e-mail et un tableur.
Dans All in Box, Eden, l’IA intégrée, prépare et propose, le coach accompagne, et vous validez et décidez de chaque envoi.
FAQ sécurité des données et hébergement
Comment sécuriser l’accès à l’interface d’administration et éviter les intrusions ?
Attribuez un compte nominatif à chaque personne de la boutique, jamais un identifiant partagé. Activez la double authentification si l’outil la propose, et donnez à chaque compte les seuls droits dont il a besoin. Supprimez l’accès d’un salarié le jour de son départ : c’est la mesure la plus simple, et la plus souvent oubliée.
Hébergement mutualisé, serveur dédié ou VPS : quels risques de sécurité spécifiques ?
Un hébergement mutualisé partage un même serveur entre plusieurs clients, un serveur dédié est réservé à un seul, un VPS est une machine virtuelle isolée sur un serveur partagé. Le mutualisé expose davantage aux failles d’un voisin. Avec un logiciel en ligne, ce choix appartient à l’éditeur : posez-lui la question plutôt que de chercher à le faire vous-même.
Quelles erreurs de configuration fréquentes compromettent la sécurité d’une base de données ?
Côté commerçant, trois erreurs reviennent : des comptes d’anciens salariés encore actifs, des mots de passe réutilisés d’un service à l’autre, et des exports de la base clients laissés sur un ordinateur ou une messagerie. Aucune ne dépend de l’hébergeur. Toutes se corrigent par une revue des accès et des fichiers exportés, une fois par trimestre par exemple.
Que deviennent vos données clients à la fin du contrat ?
Le contrat de sous-traitance prévu par l’article 28 du RGPD doit fixer ce point. Selon votre choix, le prestataire restitue les données puis les supprime, sauf obligation légale de conservation. Demandez avant de signer le format de restitution, le délai de suppression et la façon dont elle vous est confirmée.
Un hébergement en France suffit-il à être conforme au RGPD ?
Non. La localisation en France ou dans l’Union européenne règle la question du droit applicable aux serveurs, pas celle de la conformité de votre traitement. Il reste à justifier la base légale de la collecte, à limiter la durée de conservation et à répondre aux demandes d’accès ou de suppression de vos clients.
