# Le contrat RGPD que personne ne lit chez l'hébergeur

> Sous-traitants ultérieurs, lieu des données, délai d'alerte, sort des fichiers en fin de contrat : les contrats RGPD de cinq hébergeurs lus clause par clause.


*Ou : vous l'avez signé en cochant une case, il est temps de savoir ce qu'il dit.*

La réponse courte : l'[article 28 du RGPD](https://eur-lex.europa.eu/legal-content/FR/TXT/HTML/?uri=CELEX:32016R0679) impose un contrat entre vous, responsable du traitement, et votre hébergeur, sous-traitant. Vous n'aurez pas à le rédiger : presque tous les hébergeurs le joignent à leurs conditions générales, sous le nom d'accord de traitement des données ou de DPA (*Data Processing Agreement*). Vous n'aurez pas non plus à le négocier, sauf gros contrat. Il reste à le lire, et quatre clauses suffisent : les sous-traitants ultérieurs et le délai pour s'y opposer, le lieu des données, le délai d'alerte en cas de fuite, et le sort de vos fichiers à la fin du contrat. Ce sont elles qui disent si [un hébergeur soumis au droit européen](/guides/hebergement-web/hebergeur-web-europeen/) l'est aussi dans les faits.

Lus le 12 novembre 2026, les contrats de cinq hébergeurs courants ne se ressemblent pas : le délai pour refuser un nouveau sous-traitant va de 7 jours ouvrés à 90 jours, le délai d'alerte de « 24 heures au plus » à « sans retard excessif », et la suppression des données de 10 jours ouvrables à 30 jours après la fin du service.

## Contrat de sous-traitance RGPD de l'hébergeur : cinq contrats lus clause par clause

| Hébergeur, version lue | Sous-traitants ultérieurs | Lieu des données | Alerte en cas de fuite | Fin du contrat |
|---|---|---|---|---|
| Infomaniak, accord joint aux conditions générales | listés dans les conditions particulières ou la politique de confidentialité ; 30 jours pour s'opposer | non fixé par l'accord ; centres de données en Suisse selon la page de l'offre | « sans retard excessif » | suppression de toutes les copies dans les 10 jours ouvrables |
| OVHcloud, version du 3 octobre 2025 | liste publiée sur son site ; préavis de 30 jours (filiale dans l'Union ou pays adéquat) ou de 90 jours (autres cas) | choisi à la commande et inchangé sans votre accord ; accès à distance possible par des filiales hors de l'Union, sous clauses types | « dans les meilleurs délais » | suppression dans les conditions du contrat ; l'export reste à votre charge |
| o2switch, version de septembre 2026 | MailChannels (secours de la messagerie) et Scaleway (noms de domaine) ; 7 jours ouvrés pour s'opposer | France, sans déplacement hors de France sans votre accord | 24 heures au plus, par courriel | destruction, ou mise à disposition de la dernière version des données |
| Hostinger, avenant en ligne | annexe de huit sociétés, dont AWS, Google Cloud, Cloudflare et Anthropic ; résiliation sans pénalité sous 10 jours en cas de refus | clauses contractuelles types pour tout transfert hors de l'Espace économique européen (EEE) | « sans retard injustifié » | suppression 30 jours après la fin ; l'export reste à votre charge |
| Hetzner, version 1.1 du 10 février 2025 | 14 jours pour s'opposer | Union européenne ou EEE exclusivement ; tout pays tiers soumis à votre accord préalable | « immédiatement » | restitution ou suppression sur demande écrite, éventuellement facturée à l'heure |

Contrats lus le 12 novembre 2026 : [accord d'Infomaniak](https://www.infomaniak.com/documents/privacy/DPA/Accord_sur_le_traitement_des_donnees_%28DPA%29.pdf?utm_term=67f2b039d38a3), [annexe d'OVHcloud](https://contract.eu.ovhapis.com/1.0/pdf/OVH_Data_Protection_Agreement-fr.pdf), [politique tenant lieu d'accord chez o2switch](https://www.o2switch.fr/du-rgpd.pdf), [accord de Hetzner](https://www.hetzner.com/AV/DPA_en.pdf) (quatre PDF), et l'avenant de Hostinger publié dans ses pages légales. Les citations de Hostinger et de Hetzner sont traduites de l'anglais.

![Illustration : deux mains tenant chacune un bout d'un même ruban noué au-dessus d'un bureau sombre](/images/contrat-sous-traitance-hebergeur-ruban.original.webp "Le contrat noue deux obligations ; encore faut-il savoir qui tient quel bout.")

**Les sous-traitants ultérieurs.** L'hébergeur a lui-même des prestataires : un service de secours pour la messagerie chez o2switch, où se trouvent toutes mes adresses mail, ou des fournisseurs de cloud et un éditeur d'intelligence artificielle dans l'annexe de Hostinger. L'article 28 vous donne le droit d'être prévenu et de vous y opposer. En pratique, s'opposer revient presque toujours à partir. La question utile : la liste est-elle publique, et par quel canal arrive le préavis ?

**Le lieu des données.** Un contrat qui fixe un pays, comme ceux d'o2switch et de Hetzner, vaut mieux qu'une page commerciale qui l'annonce. OVHcloud fige la localisation choisie à la commande, mais autorise l'accès à distance de ses filiales, y compris hors de l'Union, pour la maintenance et la sécurité. Hostinger, dont l'entité contractante est chypriote, encadre ses transferts par des clauses contractuelles types.

**Le délai d'alerte.** Vous avez 72 heures pour notifier une fuite à l'autorité de contrôle ; ces heures commencent quand vous l'apprenez, donc quand l'hébergeur vous prévient. o2switch est le seul des cinq à chiffrer ce délai.

**La fin du contrat.** Les cinq contrats prévoient la suppression ou la restitution des données après la résiliation, et trois le disent sans détour : sauvegarder avant de partir est votre affaire. Une résiliation faite le dernier jour, sans export, peut donc effacer un site.

Quatre questions à poser par écrit au support si l'une de ces clauses manque : où sont stockées les sauvegardes, qui sont les sous-traitants de la messagerie, quel délai d'alerte l'hébergeur s'engage-t-il à tenir, et combien de jours les données restent-elles récupérables après la résiliation ?

### Ce que le contrat suppose déjà en place

Le contrat ne sert à rien si vous ignorez ce que votre site traite. L'inventaire des journaux, formulaires, sauvegardes et boîtes mail, et les idées reçues sur l'obligation d'héberger en Europe, sont réunis dans [ce que le RGPD exige d'un site](/guides/hebergement-web/hebergeur-web-europeen/rgpd-hebergement-site-obligations/).

### L'actionnaire n'apparaît pas dans le contrat

Aucun de ces cinq accords ne dit qui possède l'hébergeur, alors que le Cloud Act américain s'attache aux entreprises soumises à la juridiction des États-Unis. Le tableau des sièges et des propriétaires se trouve dans [l'actionnariat des hébergeurs web](/guides/hebergement-web/hebergeur-web-europeen/nationalite-hebergeur-web/).

### Quand les données sont médicales

Pour des données de santé collectées en France, un accord de traitement ordinaire ne suffit plus : l'hébergeur doit être certifié et le contrat doit contenir des mentions précises. La ligne de partage entre site vitrine et espace patient est tracée dans [l'hébergement certifié des données de santé](/guides/hebergement-web/hebergeur-web-europeen/hebergement-donnees-sante-site/).


---

Cette page contient des liens d'affiliation. Si tu souscris via ces liens, je peux toucher une commission sans coût supplémentaire pour toi. Mon avis reste indépendant et s'appuie sur mon expérience de client de plusieurs hébergeurs, sur leur documentation officielle et sur les tarifs vérifiés à la date de rédaction.