Data room et RGPD
hébergement, DPA et sous-traitants.

Une data room est conforme au RGPD dès lors qu'elle s'appuie sur un accord de traitement des données (DPA) selon l'article 28 du RGPD, que les données sont hébergées dans l'Espace économique européen ou sécurisées par des clauses contractuelles types, et que les sous-traitants sont explicitement listés et validés.

En pratique, cette conformité repose sur trois vérifications concrètes avant d'ouvrir la première salle : le fournisseur propose-t-il un DPA signable ? Ses serveurs sont-ils dans l'EEE ? Sa liste de sous-traitants est-elle publique et à jour ? Ce guide détaille chacun de ces points et explique comment les évaluer lors du choix d'un fournisseur.

Une data room stocke et distribue des données à caractère personnel dès lors qu'elle contient des documents impliquant des personnes physiques : états civils dans un pacte d'actionnaires, bulletins de paie dans un audit des ressources humaines, données clients dans un dossier de vente. À ce titre, son exploitant est qualifié de sous-traitant au sens de l'article 28 du RGPD, et le responsable du traitement (votre organisation) est tenu de conclure un contrat de traitement des données (le DPA) avant tout chargement de document.

Le RGPD impose quatre obligations fondamentales à ce contrat de sous-traitance. Premièrement, le traitement doit poursuivre une finalité précise et licite : due diligence dans le cadre d'une acquisition, partage sécurisé dans le cadre d'une levée de fonds. Deuxièmement, les données à caractère personnel ne peuvent être traitées que sur instruction documentée du responsable du traitement. Troisièmement, le fournisseur doit s'engager à ne pas recourir à un autre sous-traitant sans autorisation préalable. Quatrièmement, il doit garantir la suppression ou la restitution des données à l'issue du contrat.

Enfin, le RGPD pose une règle de résidence : les données personnelles ne peuvent être transférées vers un pays hors de l'Espace économique européen que si un mécanisme de transfert adéquat est en place, soit une décision d'adéquation de la Commission, soit des clauses contractuelles types (CCT). En l'absence de ce mécanisme, héberger une data room sur des serveurs américains ou asiatiques expose l'organisation à des sanctions RGPD, indépendamment des autres précautions prises.

Un hébergement en France présente un avantage de simplification juridique : les données ne quittent jamais le territoire national, la chaîne de sous-traitance reste soumise au droit français, et les organisations qui doivent justifier leur conformité en interne (comité d'audit, délégué à la protection des données, assureur cyber) disposent d'un argument immédiatement recevable. C'est l'atout principal d'Oodrive et de Docaposte, dont les centres de données sont implantés sur le sol français et qualifiés SecNumCloud par l'ANSSI.

Un hébergement dans un autre État membre de l'EEE (Allemagne, Irlande, Pays-Bas) est juridiquement équivalent au regard du RGPD. Le règlement s'applique uniformément dans les 27 États membres, et un fournisseur hébergé à Francfort ou à Dublin est soumis aux mêmes obligations qu'un fournisseur parisien. La différence est pratique, non juridique : les équipes françaises peuvent trouver plus commode de travailler avec un acteur dont le support et la documentation sont intégralement en français, mais la résidence allemande ne crée pas de risque RGPD en soi.

En revanche, un hébergement aux Etats-Unis, en Inde ou dans tout autre pays hors EEE sans décision d'adéquation exige la mise en place de CCT valides et, depuis l'arrêt Schrems II de la Cour de justice de l'Union européenne, d'une analyse d'impact sur le transfert (TIA). En pratique, cela signifie que vous devez évaluer si le droit du pays d'hébergement permet à ses autorités d'accéder aux données malgré les CCT. Pour les équipes qui n'ont pas les ressources juridiques d'une grande banque d'affaires, choisir un fournisseur dont l'infrastructure est intégralement dans l'EEE est le moyen le plus simple d'éviter cette complexité.

L'article 28 du RGPD fixe le contenu minimal du DPA. Il doit mentionner l'objet et la durée du traitement, la nature et la finalité des opérations effectuées, le type de données traitées et les catégories de personnes concernées. Il doit également décrire les obligations et les droits du responsable du traitement, notamment le droit d'audit et d'inspection auprès du sous-traitant, et les conditions dans lesquelles le sous-traitant peut faire appel à un autre sous-traitant.

Sur le plan des clauses de sécurité, le DPA doit imposer au fournisseur la mise en oeuvre de mesures techniques et organisationnelles appropriées au sens de l'article 32 du RGPD. En pratique, cela se traduit par des engagements sur le chiffrement des données au repos et en transit, le contrôle des accès, la journalisation des opérations sensibles et la procédure de notification en cas de violation de données (délai de 72 heures vers la CNIL). Un DPA qui ne contient pas ces clauses de sécurité est un DPA incomplet.

La clause de suppression ou de restitution des données à l'issue du contrat est souvent négligée. Elle doit préciser le délai dans lequel le fournisseur effacera les données, le format de restitution si vous demandez une exportation, et la confirmation écrite de la suppression. Pour une data room utilisée dans un contexte M&A, cette clause est particulièrement importante : les documents déposés contiennent des informations confidentielles qui ne doivent pas rester accessibles au fournisseur après la clôture de la transaction.

La quasi-totalité des fournisseurs de data room s'appuient sur des infrastructures cloud tierces pour l'hébergement des données, l'envoi d'emails transactionnels, les outils d'analyse d'audience ou les services d'authentification. Ces prestataires constituent les sous-traitants ultérieurs au sens du RGPD. L'article 28 exige que le sous-traitant (votre fournisseur de data room) n'ait recours à ces sous-traitants ultérieurs qu'avec votre autorisation préalable, écrite ou générale, et qu'il vous notifie tout changement prévu avec un délai suffisant pour vous permettre de vous y opposer.

En pratique, demandez au fournisseur sa liste de sous-traitants ultérieurs avant de signer. Cette liste doit être publique ou disponible sur demande, et vous devez vérifier que chaque sous-traitant opère dans l'EEE ou dispose de CCT valides. Les éléments clés à vérifier sont l'infrastructure d'hébergement (AWS eu-central-1, Azure Germany North, OVHcloud Strasbourg, par exemple), les outils d'envoi d'email (souvent Amazon SES ou SendGrid, avec configuration de région à vérifier) et les éventuels outils d'analytics (à désactiver ou à remplacer par des alternatives conformes si nécessaire).

Pour les équipes françaises, la question des sous-traitants prend une dimension supplémentaire dans le cadre de DORA. Depuis janvier 2025, les entités financières assujetties doivent tenir un registre des prestataires tiers d'importance critique, y compris leur chaîne de sous-traitement. Un fournisseur de data room qui ne publie pas sa liste de sous-traitants ou qui ne peut pas justifier la localisation de chaque sous-traitant devient de fait inutilisable pour une banque, une assurance ou un établissement de paiement soumis à DORA. Ce critère consolide l'avantage des fournisseurs européens transparents sur ce point.

Papermark est la référence pour les équipes françaises qui cherchent une data room conforme au RGPD sans délai de mise en oeuvre. Son hébergement par défaut utilise la région AWS eu-central-1 (Francfort), ce qui place les données dans l'EEE sans configuration supplémentaire. Pour les projets qui exigent une infrastructure française, l'option d'auto-hébergement documentée permet un déploiement sur OVHcloud, Scaleway ou 3DS Outscale, éliminant tout sous-traitant tiers et simplifiant la conformité DORA pour les entités financières.

Sur le plan des garanties formelles, Papermark propose un DPA signable, une liste de sous-traitants publique et tenue à jour, une certification SOC 2 Type II et une certification ISO 27001. La conformité DORA est couverte via les certifications et l'option self-hosting, qui permet de mettre à zéro la dépendance à des tiers critiques. L'audit sécurité complet est disponible sur la page d'audit Papermark, qui détaille chiffrement, hébergement et contrôles d'accès point par point.

En termes de tarifs, Papermark propose un plan Free à 0 euro, un plan Pro à 24 euros par mois, un plan Business à 59 euros par mois et un plan Data Rooms à 99 euros par mois qui inclut les data rooms et les documents en nombre illimité pour 3 membres d'équipe. Un plan Entreprise sur devis couvre les besoins de personnalisation avancée, de SLA garanti et de gestionnaire de compte dédié. Voir le guide complet des tarifs data room pour une comparaison avec les autres fournisseurs.

Sofiane Conseils SAS est un cabinet de conseil en M&A de taille intermédiaire, basé à Lyon, qui accompagne des ETI françaises dans leurs opérations de cession et d'acquisition. En juin 2026, le cabinet ouvre une data room pour la cession d'un groupe industriel à un acquéreur potentiel dont les services juridiques sont établis à Munich.

Avant tout dépôt de document, l'associée en charge de la conformité pose trois questions à chaque fournisseur évalué. Le fournisseur peut-il fournir un DPA signé conforme à l'article 28 du RGPD ? Ses serveurs sont-ils localisés dans l'EEE ? Sa liste de sous-traitants est-elle publique et inclut-elle la localisation de chaque prestataire ? L'équipe écarte deux fournisseurs dont la liste de sous-traitants est incomplète ou dont l'hébergement inclut des régions américaines sans CCT documentées.

Le cabinet retient Papermark pour trois raisons précises : le DPA est signable en ligne en moins de vingt minutes, la liste de sous-traitants est publique et identifie AWS eu-central-1 (Francfort) comme région d'hébergement principale, et la certification SOC 2 Type II est disponible sur demande pour le délégué à la protection des données de l'acquéreur allemand. La data room est ouverte le jour même, les droits d'accès sont configurés en groupes (vendeur, conseil vendeur, acquéreur, conseil acquéreur), et les journaux d'audit sont exportés à la clôture de la transaction pour archivage probant.