Digitalisation et choix du logiciel
Hébergement et protection des données : quelles questions poser à un éditeur de TMS ?
Avant de choisir un logiciel de gestion de formation, il est utile de poser à l’éditeur des questions précises sur l’hébergement de ses données, la localisation de sa base principale, les accès techniques et les garanties contractuelles. Ces réponses ne remplacent pas un avis juridique : chaque organisation doit faire valider ses propres obligations en matière de protection des données auprès d’un spécialiste, en fonction de son secteur et de ses clients.
Points clés
- Distinguer la localisation des données principales de la diffusion de l’application
- Demander des réponses écrites, pas seulement orales, en démonstration
- Vérifier qui a accès aux données et dans quelles conditions
- S’informer sur les sauvegardes et la réversibilité en cas de changement d’outil
- Faire valider les points sensibles par un spécialiste en protection des données
Pourquoi cette question mérite d’être posée sérieusement
Un logiciel de gestion de formation centralise des informations souvent sensibles : coordonnées de participants, données de facturation, parfois des informations sur des salariés d’entreprises clientes. Il est légitime, pour un organisme de formation, de vouloir comprendre où et comment ces données sont hébergées avant de s’engager avec un éditeur. Cet article ne prétend pas apporter de réponse juridique définitive : il propose une liste de questions factuelles à poser, et rappelle qu’il revient à chaque organisation de faire valider ses obligations spécifiques auprès d’un spécialiste en protection des données.
Une distinction essentielle : données principales et diffusion de l’application
Une confusion fréquente consiste à assimiler « où l’application est accessible dans le monde » et « où les données sont réellement stockées ». Ce sont deux réalités techniques différentes. Une application web moderne peut être diffusée mondialement via un réseau de distribution de contenu, pour des raisons de rapidité d’affichage, tandis que sa base de données, son système d’authentification et son stockage de fichiers sont hébergés dans un lieu précis et unique. C’est cette seconde localisation, celle des données elles-mêmes, qui est généralement pertinente pour les questions de protection des données, et non la façon dont l’interface est livrée au navigateur.
Chez Plenora, par exemple, le backend principal, c’est-à-dire la base de données, l’authentification et le stockage, est fourni par Supabase et localisé en Irlande, dans l’Union européenne (région eu-west-1). L’application publiée, elle, est diffusée mondialement par Lovable, ce qui signifie que l’interface peut être chargée rapidement depuis différents points du globe, sans que cela change la localisation des données elles-mêmes. Cette distinction illustre bien pourquoi il faut interroger un éditeur précisément sur l’un et sur l’autre, sans se contenter d’une réponse générale du type « nos serveurs sont sécurisés ».
Les questions à poser à tout éditeur de TMS
Voici une liste de questions à utiliser lors d’un appel d’offres, d’un cahier des charges ou d’une démonstration, pour obtenir une vue claire et vérifiable de la situation :
- Où est hébergée la base de données principale (pays, région) ?
- Où sont hébergés l’authentification des utilisateurs et le stockage des fichiers ?
- L’application elle-même est-elle diffusée depuis un seul lieu ou via un réseau mondial de distribution, et cela concerne-t-il les données ou seulement l’affichage ?
- Qui, chez l’éditeur ou ses sous-traitants techniques, a accès aux données en conditions normales ?
- Comment sont réalisées les sauvegardes, et à quelle fréquence ?
- En cas de fin de contrat, comment récupérer l’intégralité des données dans un format exploitable ?
- Existe-t-il une séparation stricte des données entre différentes organisations utilisatrices du même logiciel ?
- L’éditeur peut-il fournir une documentation technique ou contractuelle précise sur ces points, plutôt qu’une réponse uniquement orale ?
Interpréter les réponses avec prudence
Une réponse précise sur la localisation des données ne dit pas tout : elle doit être mise en perspective avec la nature des données traitées, le secteur d’activité de l’organisme de formation et les exigences éventuelles de ses propres clients. Un éditeur transparent et capable de répondre précisément à ces questions, y compris par écrit, est en général un signal positif, même si sa base de données n’est pas localisée dans le pays de l’organisme utilisateur.
| Sujet | Responsabilité principale |
|---|---|
| Localisation technique de l’hébergement | Éditeur du logiciel |
| Mesures de sécurité de l’infrastructure | Éditeur du logiciel et ses sous-traitants |
| Conformité aux obligations légales spécifiques de l’organisme | Organisme de formation, avec conseil juridique |
| Politique d’accès interne aux données au sein de l’organisme | Organisme de formation |
| Information des participants sur le traitement de leurs données | Organisme de formation |
Le rôle du spécialiste en protection des données
Les obligations exactes en matière de protection des données varient selon le secteur, la nature des données traitées et les clients de l’organisme de formation. Cet article ne peut ni ne doit s’y substituer. Il est recommandé de faire relire les réponses obtenues auprès des éditeurs par une personne compétente en protection des données, en particulier lorsque l’organisme travaille avec des secteurs sensibles (santé, finance, secteur public) ou traite des volumes importants de données personnelles.
Questions fréquentes
- Une application diffusée mondialement signifie-t-elle que les données le sont aussi ?
- Non. La diffusion mondiale concerne généralement la manière dont l’interface est chargée rapidement dans le navigateur, alors que la base de données, l’authentification et le stockage sont hébergés dans un lieu précis, qui peut être unique. Il faut interroger l’éditeur sur les deux aspects séparément.
- Faut-il exiger un hébergement dans un pays précis ?
- Cela dépend des obligations propres à votre secteur et à vos clients, une question à évaluer avec un spécialiste en protection des données plutôt que sur la base d’une préférence générale.
- Que faire si un éditeur refuse de répondre précisément à ces questions ?
- C’est un signal à prendre au sérieux. Un éditeur sérieux devrait pouvoir répondre par écrit à des questions factuelles sur l’hébergement de ses données, même s’il ne peut pas tout détailler pour des raisons de sécurité.
- Ces questions suffisent-elles à garantir la conformité de mon organisme ?
- Non, elles permettent d’évaluer un éditeur, mais la conformité de l’organisme dépend aussi de ses propres pratiques internes et doit être validée globalement par un spécialiste en protection des données.
En résumé
Poser des questions précises sur l’hébergement et la protection des données à un éditeur de TMS permet de faire un choix plus éclairé, sans pour autant remplacer un avis juridique adapté à votre situation. Distinguer clairement la localisation des données principales de la diffusion de l’application est un point de départ utile pour interpréter les réponses obtenues. Pour compléter cette réflexion dans le contexte suisse, consultez comment choisir un logiciel de gestion de formation en Suisse.