Monitoring de sites hébergé dans l’UE, pensé pour le RGPD
De nombreux services de surveillance de disponibilité sont exploités par des entreprises américaines, stockent les données de leurs clients aux États-Unis, ou les font transiter par des services américains d’e-mail, d’analyse ou de support. Pour beaucoup d’équipes, cela ne pose aucun problème. Pour d’autres, c’est la raison pour laquelle un outil est recalé par le service achats — et mieux vaut savoir dans quel groupe vous vous trouvez avant d’avoir configuré deux cents vérifications.
Ce que vos données de surveillance disent de vous
Un compte de surveillance est une carte de votre infrastructure : noms d’hôte et points de terminaison, y compris ceux qui ne sont liés nulle part publiquement ; en-têtes de requête et identifiants pour les points de terminaison qui en ont besoin ; ce que contiennent vos réponses ; et l’historique de chaque panne, avec ses horaires exacts. Ajoutez les noms et adresses e-mail des personnes qui reçoivent les alertes, et vous voudrez savoir où se trouvent ces données.
Pourquoi le siège de l’entreprise compte, pas seulement celui de ses serveurs
Le lieu de stockage des données n’est que la moitié de la question. L’autre moitié, c’est le droit qui s’applique à l’entreprise qui les détient. Le droit américain peut obliger une entreprise américaine à remettre des données qu’elle contrôle, même lorsque ces données se trouvent dans un centre de données en Europe ; une région européenne chez un fournisseur américain répond donc à la première moitié de la question, pas à la seconde.
Les transferts de données personnelles de l’UE vers les États-Unis reposent en outre sur des bases fragiles. Deux dispositifs antérieurs qui les autorisaient ont été invalidés par la plus haute juridiction de l’UE, en 2015 et en 2020 ; celui en vigueur aujourd’hui date de 2023. Votre délégué à la protection des données pourrait bien vous interroger sur un montage dont la légalité suppose que cette troisième tentative tienne.
La réponse de Pingsured
- L’entreprise : Pingsured est exploité par une entreprise allemande et placé sous le contrôle d’une autorité allemande de protection des données. Le contrat relève du droit allemand.
- Le stockage : les données de compte et les résultats des vérifications sont stockés uniquement dans l’UE, sur des serveurs en Allemagne et en Finlande.
- Les sous-traitants ultérieurs : deux, tous deux des entreprises allemandes — l’un pour l’hébergement de la plateforme, l’autre pour l’e-mail et l’hébergement web. Aucun service américain sur le chemin de vos données : ni pour l’envoi d’e-mails, ni pour l’analyse, ni pour le chat de support.
- Les vérifications hors UE : vous pouvez vérifier vos sites depuis les États-Unis ou Singapour. Ces emplacements renvoient chaque résultat dès la fin de la vérification et ne conservent rien.
- Les documents : un accord de sous-traitance fait partie de chaque contrat, quelle que soit l’offre, et la liste des sous-traitants ultérieurs est publique. Un accord de niveau de service (SLA) est disponible sur demande.
Est-ce le bon choix pour vous ?
Pingsured fait moins de choses que les grands services internationaux, et conserve vos données dans l’UE :
- un essai de 30 jours plutôt qu’une offre gratuite ;
- des vérifications HTTP et ping, avec des vérifications de certificat en préparation ;
- des alertes par e-mail, webhook et dans l’application, avec les SMS et les appels téléphoniques en préparation ;
- uniquement de la surveillance et des alertes — pas de pages de statut publiques.
Si rien de tout cela ne l’exclut pour vous, la question qui reste est celle de l’endroit où vos données doivent se trouver.
Questions à poser à tout fournisseur de surveillance
- Avec quelle entreprise mon contrat est-il conclu, et sous le droit de quel pays ?
- Dans quels pays mes données sont-elles stockées, et dans lesquels sont-elles traitées ?
- Quels sous-traitants ultérieurs les traitent — y compris les outils d’e-mail, d’analyse et de support — et où se trouvent-ils ?
- Si des données quittent l’UE, sur quelle base juridique ?
- Un accord de sous-traitance est-il inclus, ou seulement sur demande ou dans une offre entreprise ?