Représentation des garanties de l'hébergement de données de santé (HDS)

Dernière mise à jour : 2025-09-19 Périmètre visé : Exoscale Compute (IaaS) et Exoscale DBaaS (services managés de bases de données)

Objectif

Cette page décrit les garanties HDS mises en œuvre par Exoscale pour ses offres Compute et DBaaS, conformément au référentiel HDS v2 (2024). Elle vise à aider les clients à préparer leur propre conformité et à documenter les exigences EXI 28 à EXI 31 (localisation, accès depuis pays tiers, exposition à des droits extra-UE, transparence).

Les informations présentées ici ont une valeur informative. En cas de divergence, les contrats et annexes DPA prévalent.

Note: This document is also available in English.

Le tableau des garanties au format exigé par la réglementation est disponible sur le Compliance Center d’Exoscale : https://portal.exoscale.com/organization/legal/compliance.

1 — Exoscale Compute (IaaS)

1.1 — Régions CH / DE (Equinix)

Élément	Valeur
Acteur principal	Exoscale SA
Rôle	Hébergeur (IaaS)
Certifié HDS	En cours (v2)
Activités HDS	2, 3, 4
EXI 29 – Accès depuis pays tiers	Oui — accès d’administration à distance possible depuis la Suisse (hors EEE), encadré (art. 45 RGPD)
EXI 30 – Droit extra-UE	Oui (risque résiduel maîtrisé)

Élément	Valeur
Sous-traitant	Equinix (filiales locales CH/DE)
Rôle	Fourniture des sites physiques
Activités HDS	1
EXI 29	Non (pas d’accès à distance aux DSCP)
EXI 30	Oui (risque maîtrisé – appartenance à groupe non-UE)

Mesures de réduction de risque :

Stockage des DSCP exclusivement dans l’EEE pour les zones EEE (EXI 28).
Les opérations d’administration / support réalisées depuis la Suisse sont des accès à distance (EXI 29) qui n’impliquent pas de transfert de stockage hors EEE.
Base juridique : décision d’adéquation (art. 45 RGPD) applicable à la Suisse.
Accès d’administration via réseau privé chiffré (VPN, incluant Tailscale), avec authentification forte (MFA).
Accès opérateur contrôlé : bastions, PAM, principes du moindre privilège, séparation des rôles.
Traçabilité : journalisation centralisée des accès et actions d’administration (horodatage, identité, origine), supervision sécurité et conservation selon politiques internes.
Contrôles de prévention d’exfiltration : restrictions d’accès, procédures d’intervention, revues régulières d’habilitations, et contrôles de conformité internes.
Prestation Equinix limitée aux utilités de site (énergie, refroidissement, baies) – aucun accès aux données.

Important : chiffrement — Exoscale met en œuvre le chiffrement en transit et des mécanismes de chiffrement adaptés au repos selon les services. Le Client conserve la responsabilité de tout chiffrement applicatif supplémentaire requis par son analyse de risques, sauf mention contraire contractuelle.

1.2 — Région AT (A1 Telekom Austria)

Élément	Valeur
Acteur principal	Exoscale SA
Rôle	Hébergeur (IaaS)
Activités HDS	2, 3, 4
EXI 29	Oui — accès d’administration à distance possible depuis la Suisse (hors EEE), encadré (art. 45 RGPD)
EXI 30	Non (acteur de droit UE)

Élément	Valeur
Sous-traitant	A1 Telekom Austria AG
Rôle	Fourniture des sites physiques
Activités HDS	1
EXI 29	Non (pas d’accès à distance aux DSCP)
EXI 30	Non

Mesures appliquées :

Identiques à celles décrites pour CH/DE (EEE-only pour le stockage, accès admin distant encadré, chiffrement, segmentation, clauses contractuelles, auditabilité).

2 — Exoscale DBaaS (services managés de bases de données)

Élément	Valeur
Acteur principal	Exoscale SA
Rôle	Fournisseur de service managé (hébergeur)
Activités HDS	2, 3, 4
EXI 29	Oui — accès d’administration à distance possible depuis la Suisse (hors EEE), encadré (art. 45 RGPD)
EXI 30	Non

Élément	Valeur
Sous-traitant	Aiven Oy
Rôle	Exploitation logicielle (plan de contrôle)
Activités HDS	4, 6
EXI 29	Oui — accès à distance possible selon les besoins de support ; encadrement art. 45/46 RGPD + mesures complémentaires
EXI 30	Oui (risque résiduel maîtrisé)

Mesures appliquées :

Localisation (EXI 28) : Exoscale configure les services DBaaS pour que les données soient stockées dans l’EEE lorsque le Client choisit une région EEE.
Encadrement des accès à distance (EXI 29) :
- Accès d’administration Exoscale possible depuis la Suisse, fondé sur l’adéquation (art. 45 RGPD).
- Pour les interventions Aiven : pas d’accès hors EEE par défaut ; en cas de besoin opérationnel impliquant un accès depuis un pays hors EEE ne bénéficiant pas d’une décision d’adéquation, Exoscale applique des garanties appropriées (art. 46 RGPD — SCC) et des mesures complémentaires (EDPB 01/2020), et informe le Client selon les modalités contractuelles/DPA.
Chaîne d’accès maîtrisée : accès technique via bastions Exoscale, MFA, logs audités ; segmentation des environnements et restrictions d’habilitations.
Protection cryptographique : chiffrement en transit ; mécanismes de chiffrement adaptés au repos selon le service, avec contrôles d’accès stricts aux secrets/clefs.
Données utilisées uniquement pour la fourniture du service ; interdiction de transfert hors EEE sans base juridique et contrôle contractuel.
Processus formalisé d’effacement et de réversibilité (EXI 17–27).

3 — Lignes directrices communes

Localisation (EXI 28) : stockage exclusivement dans l’EEE pour les zones EEE sélectionnées par le Client.
Accès depuis pays tiers (EXI 29) :
- Suisse : accès d’administration à distance possible, encadré par l’adéquation (art. 45 RGPD) et des mesures de sécurité (VPN chiffré, MFA, PAM, moindre privilège, traçabilité).
- Autres pays tiers : non autorisé par défaut ; si nécessaire, encadrement art. 46 (SCC) + mesures complémentaires, avec information du Client.
Droits extra-UE (EXI 30) : contrôles contractuels, techniques et organisationnels ; cartographie des risques et mesures d’atténuation.
Traçabilité : journalisation auditable, supervision sécurité, et droits d’audit client (selon DPA).
Effacement et réversibilité : formalisation complète, effacement certifié selon les procédures applicables.

Contact

Référent HDS / CISO Exoscale : security@exoscale.com
Demandes d’audit ou compléments : via votre canal de support Exoscale