Transparence : nous pouvons recevoir une commission si vous utilisez un lien partenaire. Le montant payé ne change pas. Voir notre politique.

VPSchart Team

Publié le 20 jan. 2026, vérifié le 2 nov. 2026

VPS et RGPD : choisir un hébergeur sans confondre région et conformité

Un centre de données européen est un critère utile, pas un certificat de conformité. Le bon choix dépend aussi du contrat de sous-traitance, des sous-traitants, des transferts éventuels, de la ressource exacte et des contrôles que vous exploitez vous-même.

Sources officielles vérifiées le 2 novembre 2026. Cette page fournit une grille technique et contractuelle, pas un avis juridique ni un test de performance.

Réponse courte

Vérifiez le traitement avant de comparer les ressources

Commencez par cartographier les données, les personnes concernées et les flux. Vérifiez ensuite le DPA, la région de chaque service, les sous-traitants et le mécanisme de transfert. Le nombre de vCPU et la mémoire viennent après, lorsque le périmètre juridique et opérationnel est clair.

Ce que le VPS ne règle pas à votre place

Dans la relation habituelle, votre organisation reste responsable du choix des finalités et des moyens du traitement. L'hébergeur traite certaines données pour votre compte. L'article 28 du RGPD exige alors un contrat qui encadre notamment les instructions, la confidentialité, la sécurité, les sous-traitants, l'assistance et la fin du service.

L'article 32 demande aussi des mesures adaptées au risque. Sur un VPS non managé, cela comprend au minimum les accès administrateurs, les correctifs, le pare-feu, le chiffrement utile, la journalisation, les sauvegardes et la restauration. Déplacer une application vers l'Europe ne corrige pas une machine non maintenue ni une conservation sans limite.

La vérification en sept points

Rôle. Déterminez qui est responsable du traitement, sous-traitant et sous-traitant ultérieur pour chaque service.
DPA. Lisez le contrat applicable au produit acheté, pas seulement la page marketing générale.
Région exacte. Notez le lieu du VPS, du volume, des sauvegardes, du support et des services optionnels.
Sous-traitants. Contrôlez leur fonction, leur pays et le mécanisme prévu en cas de changement.
Transferts. Si des données sortent de l'Espace économique européen, documentez le mécanisme et votre évaluation du risque.
Sécurité du client. Attribuez clairement les correctifs, comptes, clés, chiffrement, journaux et tests de restauration.
Sortie. Vérifiez comment exporter, restituer et effacer les données à la fin du contrat.

Trois fournisseurs, trois périmètres à vérifier

Ce tableau ne classe pas la conformité et ne promet aucun résultat juridique. Il montre les différences documentées qui changent la décision avant l'achat.

Fournisseur	Région et contrat documentés	Point à contrôler	Étape suivante
Hetzner Cloud	Régions en Allemagne et en Finlande. DPA conclu dans le compte client, avec liste de sous-traitants et mesures techniques publiées.	Le lieu dépend de la région choisie. Hetzner précise que le client reste responsable des données stockées et de leur chiffrement.	Vérifier Hetzner
Hostinger VPS	DPA public et plusieurs emplacements VPS en Europe, dont la France, l'Allemagne, la Lituanie, le Royaume-Uni et les Pays-Bas.	La documentation indique que la région d'un VPS est fixée après la configuration. Un déplacement nécessite une réinstallation dans un autre centre.	Vérifier Hostinger
DigitalOcean	DPA, clauses contractuelles types, régions à Amsterdam et Francfort, et liste détaillée des sous-traitants.	Le DPA et la liste des sous-traitants décrivent aussi des services et lieux hors Europe. Vérifiez chaque option activée, pas seulement la région du Droplet.	Vérifier DigitalOcean

La région du VPS n'est pas toute la chaîne

Un serveur principal peut être installé à Francfort tandis qu'un service optionnel, une sauvegarde ou un outil de support suit un autre circuit. DigitalOcean indique par exemple que le lieu de traitement dépend de la région choisie quand cette option existe, mais aussi du lieu du sous-traitant et parfois de l'utilisateur final. Hetzner distingue également les emplacements européens des régions américaines et singapouriennes.

La bonne pratique consiste à conserver une fiche par composant : VPS, volume, sauvegarde, stockage objet, CDN, messagerie, observabilité et support. Pour chacun, notez la région, la durée de conservation, les accès et les sous-traitants. Cette fiche est plus utile qu'un simple logo RGPD dans une page commerciale.

Responsabilités techniques du client

Accès et correctifs

Limitez les comptes administrateurs, utilisez des clés fortes, appliquez les mises à jour et retirez rapidement les accès qui ne sont plus nécessaires.

Chiffrement et secrets

Protégez les données en transit, les sauvegardes et les secrets. Documentez qui possède les clés et comment elles sont renouvelées.

Journaux et alertes

Collectez les événements utiles sans créer une nouvelle conservation excessive. Définissez les alertes et la procédure en cas d'incident.

Sauvegarde et restauration

Séparez la sauvegarde de l'instance primaire, chiffrez-la selon le risque et testez une restauration isolée avec l'application et sa base de données.

Quel fournisseur convient à quel besoin ?

Hetzner mérite une vérification prioritaire si vous voulez choisir une région de Cloud européenne et conclure le DPA dans le même compte. Lisez tout de même la liste des sous-traitants et vos responsabilités de chiffrement.
Hostinger convient à un parcours VPS plus guidé avec plusieurs régions européennes. Validez la région avant la configuration, car sa modification impose une nouvelle installation.
DigitalOcean fournit une documentation contractuelle et régionale détaillée pour une architecture plus large. La contrepartie est un inventaire plus attentif des services optionnels et de leurs sous-traitants.

Vérifier Hetzner avec votre propre liste de contrôle

Avant de créer le serveur, confirmez la région, concluez le DPA, lisez la liste des sous-traitants et définissez qui gère les accès, le chiffrement, les sauvegardes et la restauration.

Ouvrir la configuration Hetzner

Contrôle avant mise en production

Le registre interne nomme le responsable, le sous-traitant et les sous-traitants ultérieurs.
Le DPA signé correspond au compte, au produit et aux données réellement traitées.
La région est vérifiée séparément pour le VPS, le stockage et les sauvegardes.
Les transferts éventuels et les services optionnels sont documentés.
Les accès, correctifs, journaux et durées de conservation ont un propriétaire.
Une restauration isolée a confirmé que la sauvegarde est complète et utilisable.
La procédure de sortie couvre l'export, l'effacement et la révocation des accès.

Questions fréquentes sur les VPS et le RGPD

Un serveur situé dans l'Union européenne suffit-il pour respecter le RGPD ?

Non. La région réduit certains risques de transfert, mais elle ne remplace ni la base légale, ni le contrat de sous-traitance prévu par l'article 28, ni la gestion des sous-traitants, des accès, de la conservation, des sauvegardes et des incidents.

Quel document faut-il demander à un hébergeur VPS ?

Lorsque l'hébergeur traite des données personnelles pour votre compte, vérifiez son accord de traitement des données, souvent appelé DPA. Il doit décrire les instructions, la sécurité, les sous-traitants, l'assistance, la restitution ou l'effacement et les conditions de transfert applicables.

Un VPS auto-hébergé me donne-t-il un contrôle complet sur les données ?

Vous contrôlez davantage la configuration de la machine et de l'application, mais pas toute la chaîne. L'hébergeur, ses centres de données, certains services de support et d'éventuels sous-traitants restent dans le périmètre. Vous restez aussi responsable des comptes, des correctifs, du chiffrement, des journaux et des sauvegardes.

Puis-je choisir une région européenne chez ces trois fournisseurs ?

Les documentations consultées indiquent des régions européennes chez Hetzner, Hostinger et DigitalOcean. Le choix doit être fait sur la ressource exacte, car la disponibilité et le lieu des services annexes peuvent différer de ceux du VPS principal.

Comment vérifier une sauvegarde dans un projet soumis au RGPD ?

Documentez les données incluses, le chiffrement, le lieu de stockage, la durée de conservation et les personnes autorisées. Effectuez ensuite une restauration isolée et contrôlez que l'application, la base de données et les fichiers reviennent à un état cohérent.

Sources officielles

Les affirmations contractuelles et régionales ci-dessus proviennent des textes et documentations officiels consultés le 2 novembre 2026. Vérifiez leur version actuelle avant de signer ou de déployer.

Guides associés

Sécuriser un VPS VPS managé ou non managé Préparer son premier VPS Politique de confidentialité de VPSchart Toutes les comparaisons