Reporting CSP et hébergement des données dans l'UE : où chaque service garde vos rapports
CentralCSP Team
CentralCSP ·
Tôt ou tard, quelqu'un demande où partent vos rapports CSP. Votre DPO qui remplit le registre des traitements, les achats qui complètent un registre d'informations DORA, ou le responsable sécurité qui rédige la politique fournisseurs NIS2. La réponse est rarement « le site du fournisseur dit UE ». Un rapport traverse un réseau de périphérie, atterrit dans une base de données, est copié dans des sauvegardes et parfois envoyé vers un canal d'alerte : chaque étape peut se trouver dans un pays différent.
Cet article explique quoi regarder, compare ce que publiaient les services de reporting CSP début novembre 2026, et se termine par une liste de questions à envoyer à n'importe quel fournisseur, nous compris.
CentralCSP stocke les rapports en France. Chaque information sur un autre fournisseur renvoie à sa source. Pour essayer CentralCSP d'abord, le monitoring CentralCSP demande un seul header et le plan Start inclut un essai gratuit de 14 jours.
Pourquoi la localisation des rapports est une vraie question
Les rapports contiennent des données personnelles
Un rapport de violation CSP contient l'URL de la page, le référent, l'URL bloquée et, avec le Reporting API, le user agent du navigateur (W3C, Reporting API). Le navigateur retire des URL le fragment et les identifiants, mais garde la query string (CSP Level 3). Ajoutez l'adresse IP d'où arrive le rapport, et vous obtenez des données qui peuvent se rapporter à une personne identifiable. Le RGPD cite les adresses IP parmi les identifiants en ligne susceptibles d'identifier une personne (considérant 30), et la Cour de justice a jugé dans l'arrêt Breyer (C-582/14, 19 octobre 2016) qu'une adresse IP dynamique peut constituer une donnée personnelle pour l'exploitant d'un site (arrêt). L'article rapports CSP et données personnelles détaille chaque champ.
Un service de reporting est donc un sous-traitant au sens du RGPD, et le lieu où il traite les données relève des règles de transfert du chapitre V (article 44).
DORA exige la localisation dans le contrat et dans le registre
Pour les entités financières de l'UE, l'article 30, paragraphe 2, point b), de DORA impose que les contrats TIC précisent « les lieux, notamment les régions ou les pays, où les services TIC et fonctions visés par le contrat ou la sous-traitance seront fournis et où les données seront traitées, y compris le lieu de stockage », et que le prestataire prévienne à l'avance s'il envisage de les changer. L'article 28, paragraphe 3 impose un registre d'informations couvrant tous les contrats TIC. Les modèles de ce registre, fixés par le règlement d'exécution (UE) 2024/2956, comportent le pays des données au repos (champ B_02.02.0150), exigé quand un service qui soutient une fonction critique ou importante stocke des données, et le pays où elles sont traitées (B_02.02.0160), exigé dès que le service traite des données.
Un outil de reporting CSP sur le site d'une banque ne soutient en général pas une fonction critique. Il figure quand même au registre, où le pays de traitement est exigé de toute façon, et vos achats vous le demanderont.
NIS2 s'intéresse aux fournisseurs, pas à la localisation
NIS2 n'oblige pas à garder les données dans l'UE. Son article 21, paragraphe 2, point d) exige « la sécurité de la chaîne d'approvisionnement, y compris les aspects liés à la sécurité concernant les relations entre chaque entité et ses fournisseurs ou prestataires de services directs », et le paragraphe 3 demande de tenir compte des vulnérabilités et des pratiques de chaque fournisseur. Pour les fournisseurs numériques visés par le règlement d'exécution (UE) 2024/2690 (cloud, CDN, services de sécurité gérés, places de marché en ligne, entre autres), l'annexe ajoute une politique de sécurité de la chaîne d'approvisionnement avec des critères de sélection (point 5.1) et un répertoire des fournisseurs (point 5.2). Le lieu de traitement d'un fournisseur fait partie des éléments de cette évaluation. L'article NIS2, DORA et scripts tiers couvre le sujet plus largement.
Localisation, transfert et juridiction : trois questions distinctes
Les fournisseurs répondent souvent à l'une en laissant entendre les deux autres.
- La localisation : où les données sont stockées au repos, sauvegardes comprises.
- Le chemin de traitement : par où elles passent avant stockage. La plupart des endpoints de rapports sont derrière un CDN ou un réseau de périphérie, qui voit l'adresse IP et la charge utile entière. Une base de données dans l'UE derrière une périphérie mondiale traite toujours des données en périphérie.
- La juridiction : le droit de quel pays s'applique au fournisseur et à ses sous-traitants. Des données stockées dans une région UE par une société dont le siège est ailleurs restent une question que certains acheteurs examinent à part. C'est la raison pour laquelle la Commission européenne a bâti un cadre de souveraineté du cloud à 48 critères répartis en huit catégories pour évaluer les fournisseurs de son appel d'offres de 2026. La Commission encourage d'autres organisations à s'en servir, mais ce n'est pas une obligation légale pour acheter un outil de reporting.
Vérifiez aussi ce que vous exportez vous-même : canaux d'alerte, webhooks et intégrations IA envoient des données de rapports là où ces outils sont hébergés.
Ce que publie chaque service
D'après les pages publiques de chaque fournisseur, consultées début novembre 2026. Seul ce que disent ces pages est repris. Quand une case indique « non précisé », posez la question au fournisseur.
| Service | Société et pays | Lieu de stockage ou de traitement des rapports | Prestataires cités pour le service | Base de transfert indiquée | Réglages par défaut sur les données personnelles |
|---|---|---|---|---|---|
| CentralCSP | CentralSaaS SAS, France | Stockage et sauvegardes chez OVHcloud, France ; périphérie limitée à des points de présence européens | OVHcloud (France), Bunny.net (UE), Scaleway (France) | Aucun transfert hors EEE des données client dans le cours normal du service | Query strings, référent et rapports d'extensions conservés tant que vous n'activez pas les filtres |
| Report URI | Report URI Ltd, Royaume-Uni | Région non précisée ; hébergement géographique proposé en option Enterprise | Cloudflare, DigitalOcean, Microsoft Azure, entre autres | Clauses contractuelles types ; prestataires hors Stripe Payments Europe et Xero « outside the UK or EEA » | IP non stockée ; référent, query string et fragments écartés par défaut |
| cside | Client-Side Development, Inc., États-Unis | Région non précisée ; traitement « from the United States and other countries » | Pas de liste complète dans la politique de confidentialité | Mécanismes de l'article 46 du RGPD, comme les clauses contractuelles types | Non précisé sur les pages consultées |
| Sentry | Sentry | États-Unis (Iowa) ou UE (Francfort) pour les événements ; comptes, paramètres et journaux d'audit toujours aux États-Unis | Non consulté | Non consulté | Non précisé sur les pages consultées |
| Datadog | Datadog | Selon le site ; EU1 est en Allemagne | Non consulté | Non consulté | Non précisé sur les pages consultées |
| URIports | URIports B.V., Pays-Bas | Serveurs propres en colocation aux Pays-Bas | « We do not use any subprocessors to process Personal Data » | Traitement dans l'UE selon son DPA | IP retirée sauf IP de serveur ; valeurs des paramètres supprimées, clés conservées |
| Auto-hébergé | Vous | Là où vous l'exécutez | Votre hébergeur | Votre choix | Votre configuration |
Sources par ligne : Report URI, politique de confidentialité (mise à jour le 8 octobre 2026) et tarifs ; cside, politique de confidentialité (en vigueur au 9 octobre 2026) ; Sentry, localisation des données ; Datadog, sites ; URIports, politique de confidentialité et DPA.
Quelques clés de lecture :
- Sentry et Datadog laissent choisir la région. Chez Sentry, la région est fixée à la création de l'organisation et certaines données de compte restent aux États-Unis. Chez Datadog, chaque site est indépendant et se choisit à l'inscription.
- CentralCSP stocke tout en France et garde les URL complètes tant que les filtres sont désactivés. Les filtres d'ingestion (retirer query strings et fragments, retirer le référent, écarter les rapports d'extensions) sont désactivés à la création d'un site. Activez-les si vos URL peuvent porter des données personnelles.
La liste de questions de l'acheteur
Envoyez-les à n'importe quel fournisseur de reporting. Un bon fournisseur répond à chacune par un document, pas par une phrase.
- Où les rapports sont-ils stockés au repos, et où sont les sauvegardes ? Un pays, pas « une région UE ».
- Qu'y a-t-il devant l'endpoint ? Le fournisseur de CDN ou de périphérie, et où ses points de présence traitent les requêtes.
- Quels sous-traitants accèdent aux données des rapports ? Une liste nominative avec pays et finalité, et la façon dont vous êtes prévenu des changements (CentralCSP prévient 30 jours à l'avance, avec droit d'opposition).
- Y a-t-il un transfert hors de l'EEE ? Si oui, sur quelle base : une décision d'adéquation comme le cadre de protection des données UE-États-Unis, ou des clauses contractuelles types avec une analyse d'impact du transfert.
- Quelle société signe le contrat, et où est-elle immatriculée ? Interrogez aussi sur la maison mère si la juridiction compte pour vous.
- Que conserve-t-on de chaque rapport ? Adresse IP, URL complète avec query string, référent, user agent, extraits de script. Lesquels peut-on désactiver avant stockage ?
- Combien de temps les rapports sont-ils conservés, et peut-on les supprimer à la demande ?
- D'où se fait l'accès du support ? Qui peut lire vos rapports, et depuis quel pays.
- Quelles certifications ou audits existent, et à qui appartiennent-ils ? L'ISO 27001 d'un centre de données n'est pas celle du fournisseur.
- Pour DORA : le fournisseur inscrira-t-il les lieux dans le contrat et vous préviendra-t-il avant de les changer, comme l'exige l'article 30, paragraphe 2, point b) ? Peut-il fournir les champs dont votre registre a besoin ?
Les réponses de CentralCSP
- Stockage : toutes les données client sont stockées et sauvegardées dans l'UE, chez OVHcloud en France.
- Périphérie : Bunny.net opère le CDN devant l'endpoint de collecte, limité à des points de présence européens. Il traite adresses IP, informations navigateur, URL demandées et rapports en transit.
- Sous-traitants : OVHcloud (hébergement, France), Bunny.net (périphérie, UE), Scaleway (e-mails transactionnels, France). Stripe gère notre facturation en tant que responsable de traitement distinct et ne reçoit jamais de données de rapports.
- Transferts : aucun hors de l'EEE pour les données client dans le cours normal du service. Les canaux d'alerte et outils IA que vous connectez sont des destinations de votre choix, hors de cet engagement.
- Rétention : rapports conservés 90 jours, durée fixe, puis supprimés ou agrégés de manière irréversible. Supprimer un site supprime ses rapports.
- Ce que nous avons et n'avons pas : un test d'intrusion indépendant chaque année (rapport disponible sur demande). Pas de certification ISO 27001 ni SOC 2 en propre ; celles d'OVHcloud couvrent son infrastructure.
- Contrat : droit français, DPA signé disponible sur demande.
Si cela correspond à ce dont votre DPO ou vos achats ont besoin, lancez l'essai de 14 jours et connectez d'abord un site de préproduction. Pour comparer les fonctions plutôt que la localisation, voir les services de reporting CSP comparés.
Sources
- Règlement (UE) 2016/679 (RGPD), considérant 30, articles 28 et 44 à 46
- CJUE, C-582/14 Breyer, 19 octobre 2016
- Règlement (UE) 2022/2554 (DORA), articles 28 et 30
- Règlement d'exécution (UE) 2024/2956, modèles du registre d'informations
- Directive (UE) 2022/2555 (NIS2), article 21
- Règlement d'exécution (UE) 2024/2690, annexe, points 5.1 et 5.2
- Décision d'exécution (UE) 2023/1795, cadre de protection des données UE-États-Unis
- Commission européenne, le cadre de souveraineté du cloud expliqué (1er juin 2026)
- W3C, Reporting API, W3C, CSP Level 3
- Pages des fournisseurs citées sous le tableau, consultées début novembre 2026