Cloud certifié pour l’hébergement de données de santé

Qu’est-ce qu’un hébergeur de données de santé certifié HDS ?

En France, l’hébergement de données de santé à caractère personnel pour le compte d’un tiers est encadré par l’article L.1111-8 du Code de la santé publique. Tout prestataire qui héberge ces données doit détenir un certificat de conformité HDS, délivré par un organisme accrédité par le COFRAC, valable trois ans et soumis à un audit de surveillance annuel. Le référentiel HDS couvre six activités, de la mise à disposition de l’infrastructure physique à la sauvegarde externalisée, et impose un hébergement situé exclusivement dans l’Espace économique européen. Clever Cloud est certifié HDS (référentiel v2) sur les six activités, et applique par anticipation les exigences de la version 2.1.

Un engagement pour la souveraineté numérique

Chez Clever Cloud, la souveraineté numérique se traduit par des engagements concrets :

• L’hébergement des données en France et dans des régions partenaires engagées pour la souveraineté et assurant une protection réelle contre les lois extraterritoriales ;
• La conformité stricte au RGPD et aux réglementations applicables ;
• L’engagement sur des sujets de société mettant en danger notre autonomie en tant qu’entreprise ou en tant que citoyen (recours contre le Health Data Hub, soutien de l’Open Internet Project, etc.)
• Le développement et la promotion d’outils et de pratiques qui renforcent la sécurité des données de nos clients.

Pour en savoir plus sur notre vision d’un cloud souverain et notre engagement sur l’autonomie stratégique, consultez cette page.

Un contrat spécifique pour l’hébergement de données de santé

Afin de pouvoir bénéficier d’un hébergement certifié pour les données de santé, il est obligatoire de souscrire à un contrat spécifique. La mise en place de ce contrat nécessite un premier échange. Contactez-nous via le formulaire au lien suivant, un Account Manager vous répondra en moins de 48 heures ouvrées.

Le périmètre de notre certification, la liste des services couverts et la représentation des garanties (acteurs intervenant sur les données) sont consultables sur notre page sécurité.

FAQ – Hébergement Données de Santé

Qu’est-ce que l’hébergement de données de santé HDS ?

L’hébergement de données de santé HDS concerne l’hébergement de données de santé à caractère personnel recueillies à l’occasion d’activités de prévention, de diagnostic, de soins ou de suivi social et médico-social. Il peut être réalisé pour le compte d’un responsable de traitement ou pour le compte du patient lui-même. Sur support numérique, l’hébergeur doit disposer d’un certificat de conformité HDS. Cette certification vise à encadrer l’hébergement de ces données dans des conditions de sécurité adaptées à leur criticité.

Qui doit utiliser un hébergeur de données de santé certifié HDS ?

Tout responsable de traitement qui confie à un tiers l’hébergement de données de santé à caractère personnel doit s’assurer que ce tiers dispose d’un certificat de conformité HDS. Cela peut concerner des établissements de santé, éditeurs de logiciels de santé, laboratoires, mutuelles, assureurs ou prestataires numériques lorsque leur service entre dans le champ de l’hébergement HDS. L’analyse doit être faite au cas par cas, selon les données traitées, le rôle de chaque acteur et les prestations externalisées.

Utiliser Clever Cloud rend-il mon organisation certifiée HDS ?

Non. La certification HDS est portée par l’hébergeur certifié, sur un périmètre défini. En utilisant Clever Cloud dans le cadre d’un contrat HDS spécifique, votre organisation bénéficie d’un hébergement certifié HDS sur le périmètre couvert par la certification et par le contrat associé. Cela ne transfère pas la certification HDS à votre organisation et ne couvre pas automatiquement l’ensemble de vos obligations réglementaires, applicatives ou RGPD.

Un contrat HDS est-il obligatoire ?

Oui. La prestation d’hébergement de données de santé à caractère personnel fait l’objet d’un contrat conclu entre l’hébergeur et son client. Ce contrat précise notamment le périmètre du certificat HDS obtenu par l’hébergeur, les prestations réalisées, les lieux d’hébergement, les niveaux de service, les modalités d’accès aux données, les garanties en cas de défaillance, les conditions de réversibilité, ainsi que les engagements de restitution et de destruction des données en fin de prestation.

Quelle loi régit l’hébergement des données de santé ?

L’hébergement de données de santé à caractère personnel est encadré par l’article L.1111-8 du Code de la santé publique, le décret n° 2018-137 du 26 février 2018, modifié par le décret n° 2026-209 du 24 mars 2026, et le référentiel de certification HDS publié par l’Agence du Numérique en Santé.

Quels sont les hébergeurs certifiés HDS ?

L’Agence du Numérique en Santé publie la liste officielle des hébergeurs certifiés HDS. Clever Cloud y figure.

Quelles sont les conditions d’hébergement des données de santé ?

Recourir à un hébergeur certifié sur le périmètre concerné, héberger les données dans l’Espace économique européen, et conclure un contrat HDS spécifique qui précise le périmètre du certificat de l’hébergeur.

Quel est le tarif d’un hébergement HDS ?

L’hébergement HDS suppose un contrat spécifique dont le périmètre se définit lors d’un échange avec un Account Manager. C’est ce périmètre, et les ressources mobilisées, qui déterminent la prestation.

Dois-je moi-même être certifié HDS ?

Non, pas pour l’hébergement que vous confiez à Clever Cloud. Vous agissez en responsable de traitement, Clever Cloud en sous-traitant certifié HDS sur les six activités du référentiel : la certification de l’hébergeur couvre les activités qu’il réalise pour vous. En revanche, si votre organisation exerce elle-même une activité entrant dans le champ HDS, par exemple l’administration et l’exploitation du système d’information contenant les données de santé (activité 5), cette activité relève de votre propre responsabilité. La répartition exacte des rôles est définie dans le contrat HDS.

Vos serveurs sont-ils en France ? Quelle garantie sur la souveraineté des données ?

Pour les projets HDS, les données de santé à caractère personnel sont hébergées et traitées en France uniquement, sur nos régions portant la certification HDS. Clever Cloud est une entreprise française sous juridiction européenne, et ces données ne sont pas exposées aux législations extraterritoriales comme le Cloud Act ou le FISA.

Qu’est-ce qui prouve que mon hébergement est en règle ?

Le contrat HDS conclu avec Clever Cloud. Prévu par l’article R.1111-11 du Code de la santé publique, il précise le périmètre du certificat, les activités couvertes, les lieux d’hébergement et la répartition des responsabilités. C’est la preuve contractuelle de la conformité de votre hébergement. Notre certificat est par ailleurs consultable à tout moment sur notre page sécurité.

Qu’est-ce qui est couvert par la certification HDS ? Docker est-il couvert ?

La certification HDS porte sur un périmètre, pas sur des produits isolés : elle couvre la plateforme et les services exécutés dans nos régions certifiées en France. Ce périmètre inclut les principaux runtimes (PHP, JavaScript, Java, Python, Go, Rust, Docker, etc.) et les bases de données managées (PostgreSQL, MySQL, MongoDB, Redis, Elastic Stack, Cassandra, Materia KV, etc.). Docker est bien couvert.

Clever Cloud est-il certifié HDS v2.1 ?

Pas encore, personne ne peut l’être : la version 2.1 du référentiel est annoncée par l’ANS pour octobre 2026, avec une entrée en application en décembre 2026. Clever Cloud est certifié sur la version 2 du référentiel et applique par anticipation les exigences de la 2.1 ; leur conformité sera vérifiée lors du prochain audit de surveillance.

Le contrat HDS impose-t-il de désigner un professionnel de santé ?

Le contrat prévoit que le client désigne, dès sa signature, un référent contractuel : un interlocuteur unique, habilité à agir au nom du client pour toute décision relative aux données de santé. Ce référent doit être en mesure de désigner à l’hébergeur un professionnel de santé habilité à accéder à ces données lorsque cela devient nécessaire. Le nom de ce professionnel de santé n’est pas demandé à la signature du contrat.

Quand le professionnel de santé habilité intervient-il ?

Lorsqu’un accès aux données de santé à caractère personnel devient nécessaire, ou lorsqu’une atteinte à ces données doit être traitée. Le contrat vise notamment l’accès aux données, la gestion des requêtes de patients et la gestion des incidents. Deux situations concentrent ces cas : un incident affectant les données de santé, pour lequel le professionnel de santé du client est associé à l’ensemble du processus, et un accès de nos équipes à ces données, par exemple dans le cadre du support, qui requiert toujours l’accord exprès du client. En dehors de ces cas, le professionnel de santé n’intervient pas.

Le professionnel de santé habilité doit-il faire partie de mon organisation ?

Non. Ni le référentiel HDS ni le contrat n’imposent qu’il soit salarié du client. Une organisation qui travaille régulièrement avec un professionnel de santé externe peut le désigner. Le référent contractuel, lui, doit disposer des compétences nécessaires et être habilité à agir au nom du client. Clever Cloud ne vérifie ni la qualité ni les habilitations des personnes désignées : cette appréciation relève du client et de ses conseils.

Quelles responsabilités le professionnel de santé désigné prend-il ?

Le contrat HDS lie Clever Cloud et l’organisation cliente. Le professionnel désigné n’est pas partie au contrat et ne prend aucun engagement envers Clever Cloud. Lorsqu’il accède aux données de santé, il le fait dans le cadre de ses propres obligations professionnelles, dont le secret professionnel. Les questions relatives à sa responsabilité personnelle relèvent de son propre conseil juridique.