Offshore et RGPD : ce que ça impose vraiment.

L'erreur que tout le monde fait

« Nos serveurs sont chez OVH, en France, donc nous sommes conformes. » C'est la phrase qu'on entend le plus souvent, et elle est fausse — ou plutôt, elle répond à une question qui n'était pas posée.

Le lieu d'hébergement règle la question de la localisation du stockage. Il ne règle pas celle de l'accès. Le Comité européen de la protection des données a tranché ce point : un accès à distance depuis un pays tiers constitue un transfert, au même titre qu'un envoi de fichier. Peu importe qu'aucune copie ne quitte le serveur européen.

Autrement dit : si votre prestataire a des développeurs à Madagascar, en Inde, au Maroc ou en Tunisie et qu'ils se connectent à un environnement contenant des données personnelles, vous avez un transfert hors Union européenne à encadrer, quel que soit le drapeau sur la page d'accueil du prestataire.

Ce que dit le RGPD, concrètement

Le pays est-il « adéquat » ?

La Commission européenne reconnaît un niveau de protection équivalent à une liste courte de pays — le Royaume-Uni, la Suisse, le Japon, le Canada pour le secteur commercial, quelques autres. Madagascar n'y figure pas. L'Inde, le Maroc et la Tunisie non plus. En pratique, la quasi-totalité des destinations offshore francophones sont des pays tiers sans décision d'adéquation.

Que faut-il alors ?

Des garanties appropriées. Dans le cas d'un prestataire de développement, ce sont les clauses contractuelles types adoptées par la Commission en 2021, signées entre le responsable de traitement et le sous-traitant, et répercutées dans les contrats des intervenants.

Les clauses suffisent-elles ?

Non. Depuis l'arrêt Schrems II de la Cour de justice de l'Union européenne, il faut aussi une analyse d'impact du transfert : examiner le droit du pays de destination — accès des autorités, voies de recours — et, si ce droit ne garantit pas le niveau européen, ajouter des mesures techniques qui comblent l'écart.

Et le contrat de sous-traitance ?

L'article 28 impose un contrat écrit qui fixe l'objet, la durée, la nature du traitement, les catégories de personnes concernées et les obligations du sous-traitant. Il impose aussi votre autorisation pour tout sous-traitant ultérieur. Un prestataire qui place des développeurs sans vous dire sous quel statut ils interviennent ne peut pas respecter cet article.

Les mesures techniques qui comptent vraiment

C'est ici que la conformité se joue, et pas dans le contrat. Un dossier juridique impeccable adossé à un accès complet à la base de production ne protège personne. Les mesures qui réduisent réellement le risque sont simples et vérifiables :

• Ne pas donner accès aux données de production. C'est la mesure la plus efficace et la plus souvent négligée. Un développeur n'a presque jamais besoin des vraies données pour travailler.
• Des environnements de recette anonymisés ou synthétiques, générés à partir du schéma et non d'un export de la production.
• Des accès nominatifs, jamais partagés, révoqués le jour du départ de l'intervenant, et journalisés.
• Le principe du moindre privilège : accès au dépôt de code, pas à la console d'administration ni aux sauvegardes.
• Le chiffrement en transit et au repos, avec des clés qui restent sous votre contrôle ou celui de l'hébergeur européen.

Si ces cinq points sont tenus, la question du transfert devient largement théorique : il n'y a plus grand-chose de personnel à transférer.

Les six questions à poser à votre prestataire

Vous n'avez pas besoin d'être juriste pour évaluer un prestataire offshore. Six questions suffisent, et les réponses doivent venir sans hésitation.

1. Qui contracte avec moi, et dans quel pays cette société est-elle immatriculée ?
2. Depuis quels pays vos intervenants se connectent-ils ?
3. Sous quel statut sont-ils rattachés à vous — salariés, prestataires, portage ?
4. Où sont hébergées les données, et vos développeurs accèdent-ils à la production ?
5. Avez-vous des clauses contractuelles types signées, et une analyse d'impact du transfert ?
6. Pouvez-vous constituer une équipe sans aucun accès hors Union européenne, et à quel prix ?

Un prestataire qui ne sait pas répondre à la question 2 ou à la question 3 n'a pas de dossier de conformité. Il a une plaquette.

Comment nous répondons, nous

Nos développeurs sont basés en France et à Antananarivo. Nous le disons dès la première ligne du site, parce que c'est précisément l'information dont votre DPO a besoin.

• Le contrat est français. VETTAA, SARL immatriculée en France, contracte, facture et exécute. Un seul fournisseur à référencer.
• Les données restent en Europe — GitHub, OVHcloud, Clever Cloud, MongoDB. Rien n'est hébergé à Madagascar ; l'accès est distant.
• L'environnement de travail est au choix du client : chez nous ou chez vous.
• Une équipe 100 % Union européenne est disponible sur demande, sans aucun accès depuis Madagascar, à 400 € HT par jour contre 250 € pour le modèle habituel. C'est ce qui débloque la commande publique, la santé et la défense.

Le détail complet — qui contracte, qui exécute, sous quel rattachement, avec quelle assurance — est sur la page données, sous-traitance et conformité.

Une précision utile

Cette page décrit le cadre tel que nous l'appliquons ; elle ne constitue pas un conseil juridique. Pour un traitement sensible — données de santé, données bancaires, secteur public — faites valider votre montage par votre DPO ou votre conseil. Nous fournissons les pièces ; c'est vous qui restez responsable de traitement.