Bob le développeur
Estimer

(00)Bob le développeur

Audit HDS

Votre conformité HDS vérifiée pièce par pièce, avant qu’un client ou un investisseur ne le fasse

Nous vérifions ce que la certification de votre hébergeur ne couvre pas : son périmètre réel activité par activité, sa chaîne de sous-traitance, la localisation de vos données, les accès à la production, et votre contrat au regard du décret du 24 mars 2026. Vous repartez avec le dossier des huit pièces, un rapport d'écarts et un plan de remédiation chiffré. 2 500 € HT au forfait pour une application, livré en deux semaines. Ce n'est pas une certification : seuls les organismes accrédités la délivrent, et nous vous le disons d'emblée.

Notre accompagnement HDS
FIG. 00LIVRABLEAUDIT HDS · RÉFÉRENTIEL V2Rapportd’audit HDSLes 8 pièces du dossierÉcarts classés par gravitéPlan de remédiation chiffréDOSSIERPRÊT
01

Ce que la certification de votre hébergeur ne couvre pas

« Notre hébergeur est certifié HDS » est la réponse la plus fréquente au questionnaire sécurité d'un client, et la plus fragile. Le certificat de l'hébergeur porte sur ses activités, dans son périmètre. Trois choses restent à démontrer de votre côté.

Le périmètre, produit par produit Un hébergeur peut être certifié sur les six activités sans que chaque produit de son catalogue le soit. Le tableau de garanties qu'il doit fournir précise les activités couvertes offre par offre : il arrive qu'une gamme d'instances soit hors activité 5, ou qu'une base de données managée soit opérée en partie par un sous-traitant de l'hébergeur. Ce qui compte, c'est le périmètre des produits que vous utilisez réellement.

L'exploitation de la production Dès que quelqu'un se connecte à la production pour la maintenir ou la dépanner, il exerce l'activité 5 du référentiel : l'administration et l'exploitation. Si c'est votre équipe, votre agence ou un freelance, et non l'hébergeur, le certificat de ce dernier ne couvre pas ce geste.

Votre traitement et vos outils La licéité du traitement, l'analyse d'impact, les habilitations applicatives, la durée de conservation, et tous les services tiers qui voient passer des données : suivi d'erreurs, e-mails, analytics, API d'IA. Ces sujets relèvent du RGPD et restent entiers, comme nous le détaillons dans notre guide RGPD et données de santé pour les éditeurs de logiciels.

FIG. 01QUI COUVRE QUOI05Traitement des donnéesRGPD, AIPD04Application et outilsHABILITATIONS, TIERS03Exploitation de la productionACTIVITÉ 5 : QUI ?02Produits utilisésTABLEAU DE GARANTIES01InfrastructureSON CERTIFICATÀ DÉMONTRER DE VOTRE CÔTÉ
02

Les huit pièces que nous vérifions

Ce sont les pièces qu'un client hospitalier, une mutuelle, un fonds en due diligence ou un acheteur public peut vous demander. Si vous ne pouvez pas produire les quatre premières en une journée, votre dossier n'est pas prêt.

Côté certification : quatre pièces Le certificat de votre hébergeur sur le référentiel v2, avec ses dates (pas le logo, le document). Son périmètre activité par activité, comparé à ce que vous lui confiez. Les certificats des sous-traitants qui participent à l'hébergement, que la v2 l'oblige à communiquer. Le tableau de garanties, où figurent son statut au regard de SecNumCloud et son exposition aux législations de pays tiers.

Côté contrat et données : quatre pièces La localisation réelle du stockage, service par service et sauvegardes comprises. Les accès distants depuis l'extérieur de l'EEE, support et astreinte compris, qui doivent désormais figurer au contrat. La clause de réversibilité, avec les coûts et les délais de restitution. La cartographie des transferts, que le décret du 24 mars 2026 rend publique.

Le détail de chaque pièce et le contexte réglementaire sont expliqués dans notre article HDS en 2026 : référentiel v2 et décret du 24 mars.

FIG. 028 PIÈCES01Certificatréférentiel v201Certificatréférentiel v202Périmètrepar activité02Périmètrepar activité03Certificats dessous-traitants03Certificats dessous-traitants04Tableaude garanties04Tableaude garanties05Localisationdu stockage05Localisationdu stockage06Accès distantshors EEE06Accès distantshors EEE07Réversibilitéchiffrée07Réversibilitéchiffrée08Cartographiedes transferts08Cartographiedes transferts
03

La revue technique de votre production

Les pièces disent ce qui est prévu ; la console de votre fournisseur cloud dit ce qui est vrai. Nous la parcourons en lecture seule, avec votre infrastructure as code si vous en avez.

Où sont vraiment les données Régions de stockage, sauvegardes, réplicas, journaux et instantanés. Un compte cloud mal configuré peut répliquer des données hors EEE sans que personne ne l'ait décidé, et certains services managés ne sont pas disponibles dans toutes les régions certifiées.

Qui accède à la production Comptes nominatifs ou partagés, double authentification, passage par un bastion, journalisation des accès et durée de conservation de ces journaux. C'est ici que l'activité 5 se constate, et que le contrat doit suivre.

Ce qui sort de l'application Le point le plus souvent oublié : le suivi d'erreurs qui capture une requête contenant un dossier patient, le service d'e-mails qui envoie un compte rendu, l'outil d'analytics, l'API d'IA générative appelée sur un texte médical. Chacun est un sous-traitant, et beaucoup stockent hors EEE. Pour l'IA, voir notre article IA générative et données de santé.

FIG. 03REVUE TECHNIQUEEn productionRégions de stockageSauvegardes et réplicasComptes d’accès nominatifsJournal des accèsSuivi d’erreursE-mails et analyticsAppels à une API d’IA4/7le plus oublié
04

Faut-il vous certifier vous-même ?

C'est la question que se posent tous les éditeurs e-santé, et la réponse ne tient pas à la sensibilité des données mais au montage. L'article L. 1111-8 du code de la santé publique vise l'hébergement de données de santé pour le compte d'un tiers.

Vous hébergez les données de vos propres utilisateurs Une application grand public, dont vous êtes responsable de traitement, déployée chez un hébergeur certifié : la certification n'a pas d'objet pour vous. Restent un contrat à jour et un hébergeur dont le périmètre couvre ce que vous utilisez.

Vous hébergez les données de vos clients Un logiciel qui stocke les dossiers patients de cabinets, de laboratoires ou d'établissements, que vous administrez : vous exercez probablement une activité du référentiel, le plus souvent la cinquième. Deux voies : vous faire certifier, ou confier l'exploitation à un infogérant certifié et le documenter.

Votre client est titulaire de l'hébergement Il détient le contrat et l'environnement, vous livrez et maintenez le logiciel sous sa responsabilité : vous n'êtes pas hébergeur, mais vos accès à la production doivent être encadrés, nominatifs et journalisés.

L'audit établit ces faits à partir de vos contrats et de votre production. Quand l'arbitrage devient juridique, nous le disons et vous orientons vers un avocat plutôt que de trancher à sa place. Le parcours de certification lui-même est décrit dans notre guide de la certification HDS pour les startups.

Faire le point sur votre montage
FIG. 04LE MONTAGESelon qui héberge quoiSITUATIONCERTIFICATIONÀ FAIREVos utilisateursPas pour vousContrat à jourDonnées de vos clientsQuestion réelleActivité 5!Client titulairePas pour vousAccès encadrés
05

Le déroulé et les livrables

L'audit se déroule en quatre temps, sur quatre à cinq jours d'expertise pour une application, livrés en deux semaines.

1. Cadrage On fixe le périmètre : l'application, son hébergeur, ses sous-traitants. Vous recevez la liste des pièces à réunir, et nous adressons à votre hébergeur les demandes qui le concernent dès le premier jour, parce que c'est son délai de réponse qui fait celui de l'audit.

2. Revue des pièces Contrat d’hébergement et annexes, certificats, tableau de garanties, contrats de sous-traitance. Chaque pièce est notée présente, absente ou incomplète, au regard du référentiel v2 et des articles R. 1111-9-1 et R. 1111-11 du code de la santé publique.

3. Revue technique Console cloud en lecture seule, infrastructure as code, services tiers branchés sur l'application, et deux entretiens d'une heure : la personne qui porte la conformité, celle qui gère la production.

4. Rapport et plan Les écarts classés par gravité, le montage cartographié, un plan de remédiation où chaque tâche est estimée et attribuée, et les demandes à envoyer à votre hébergeur, rédigées. Le dossier des huit pièces vous est remis en l'état, prêt à joindre à une due diligence ou à un questionnaire sécurité.

FIG. 05DÉROULÉCadrageLISTE DES PIÈCESRevue des piècesCONTRAT, CERTIFICATSRevue techniqueCONSOLE, ACCÈS, TIERS4Rapport et planÉCARTS CHIFFRÉSlivré en deux semaines
06

Combien ça coûte

Voici nos prix, affichés, parce que c'est la première chose que vous cherchez.

2 500 € HT pour une application

Une application, son hébergeur et ses sous-traitants : quatre à cinq jours d'expertise, livrés en deux semaines. Le forfait couvre le dossier des huit pièces, la cartographie du montage, la revue technique et le plan de remédiation chiffré.

Sur devis pour plusieurs applications ou un SI

Plusieurs applications, plusieurs hébergeurs, ou le système d'information d'un établissement. Le montant est fixé après un appel de cadrage, et le découpage par application est souvent plus lisible qu'un audit unique.

Nous ne sommes ni hébergeur ni organisme certificateur : nous n'avons pas d'hébergeur à vous vendre, et l'audit ne débouche pas sur un changement d'hébergeur s'il n'y en a pas besoin.

La remédiation, elle, ne se vend pas au forfait. Les écarts se traitent au mois, dans nos formules d'accompagnement, ou par votre équipe avec le plan en main. Le détail de nos formules est sur la page tarifs. Pour le coût de l’hébergement lui-même, voir notre comparatif des hébergeurs HDS et de leurs prix.

Demander un audit HDS
FIG. 06FORFAITDEVISAudit HDS, une applicationDossier des 8 piècesvérifiéMontagecartographiéRevue techniqueproductionPlan de remédiationchiffréFORFAIT2 500 € HTBON POUR ACCORD
07

Quand le faire

Le bon moment, c'est avant qu'on vous pose la question. Quatre situations reviennent.

Avant une levée de fonds La due diligence d’un fonds santé vérifie souvent le montage d’hébergement. Un écart découvert à ce moment-là pèse dans la négociation.

Avant un premier client hospitalier ou une mutuelle Leur questionnaire sécurité demande les pièces, pas une affirmation. Pour les acheteurs publics, voir notre guide des marchés publics IT en santé.

Avant ou après une migration Changer d'hébergeur ou de région, c'est le moment où les réplicas, les sauvegardes et les accès se perdent de vue.

Maintenant, pour les contrats Le référentiel v2 est obligatoire depuis le 16 mai 2026, et le décret du 24 mars 2026 impose depuis fin septembre un stockage dans l'EEE et un contrat enrichi. L'Agence du numérique en santé a annoncé une version 2.1 du référentiel pour octobre 2026, applicable trois mois après sa publication, qui fait descendre ces mentions dans les contrats existants. Si votre contrat date d'avant 2026, un avenant vous est dû.

Le calendrier officiel est publié par l'Agence du numérique en santé, et le décret n° 2026-209 du 24 mars 2026 est publié sur Légifrance.

Prendre rendez-vous
FIG. 07CALENDRIER 202616 maiRéférentiel v2obligatoireFin sept.Stockage EEE,contrat enrichiOct.v2.1annoncée+3 moisv2.1applicableavenant à prévoir

Témoignages

Ils nous font confiance

“

Nous avons fait appel à Bob dans le cadre du développement de notre site Spliit et de notre web app. Leur accompagnement était complet avec une forte expertise technique et une approche produit. Ils ont su s'adapter rapidement à notre contexte et nos besoins. Fortement recommandé!

François Bulteau · CEO - Spliit

FAQ

Questions fréquentes sur l'audit HDS

Combien coûte un audit HDS ?
2 500 € HT au forfait pour une application déployée chez un hébergeur : revue des huit pièces du dossier, analyse du montage, revue technique de l'environnement de production et plan de remédiation chiffré. Pour plusieurs applications, plusieurs hébergeurs ou le système d'information d'un établissement, le prix est fixé sur devis, après un appel de cadrage. Le prix couvre le livrable, pas des jours. La remédiation qui suit se fait au mois, dans nos formules d'accompagnement, ou par votre équipe avec le plan en main.
Combien de temps prend un audit HDS ?
Quatre à cinq jours d'expertise, livrés en deux semaines. Le délai réel dépend surtout du temps que met votre hébergeur à fournir ses pièces : certificats de ses sous-traitants, tableau de garanties, avenant au contrat. Nous les demandons dès le premier jour.
Un audit HDS donne-t-il une certification ?
Non, et personne ne devrait vous le vendre comme tel. La certification HDS est délivrée par des organismes certificateurs accrédités par le Cofrac, au terme d'un audit sur le référentiel de l'Agence du numérique en santé. Notre audit est un diagnostic : il vérifie que votre hébergement et votre montage tiennent, identifie les écarts et prépare le dossier de pièces qu'un client, un investisseur ou un acheteur public vous demandera. Si la conclusion est que votre structure doit se faire certifier, il sert de point de départ à la démarche.
Mon hébergeur est certifié HDS, suis-je conforme ?
Pas forcément. Son certificat couvre ses propres activités d'hébergement, dans le périmètre qui y figure. Il ne dit rien de votre traitement au sens du RGPD, de vos habilitations applicatives, des outils tiers qui reçoivent des données ni du contenu de votre contrat. Il ne couvre pas non plus chaque produit de son catalogue : le tableau de garanties précise, produit par produit, les activités couvertes. La certification de l'hébergeur est une condition, pas une preuve.
Dois-je être certifié HDS moi-même ?
Cela dépend de ce que vous faites. L'article L. 1111-8 du code de la santé publique vise l'hébergement de données de santé pour le compte d'un tiers. Si vous hébergez les données de vos propres utilisateurs chez un hébergeur certifié, la certification n'a pas d'objet pour vous. Si vous hébergez ou exploitez les données de vos clients, par exemple un logiciel SaaS qui stocke les dossiers patients de cabinets ou d'établissements, vous exercez probablement une des six activités du référentiel, le plus souvent la cinquième, et la question se pose sérieusement. L'audit établit les faits ; quand l'arbitrage devient juridique, nous vous le disons et vous orientons vers un avocat.
Qu'est-ce que l'activité 5 et pourquoi revient-elle sans cesse ?
C'est l'administration et l'exploitation du système d'information qui contient les données de santé. Dès que quelqu'un se connecte à la production pour la maintenir, la mettre à jour ou la dépanner, il exerce cette activité. C'est l'écart le plus fréquent : l'hébergeur est certifié sur son infrastructure, mais c'est l'éditeur, son agence ou un prestataire qui administre l'application, sans certification et sans que le contrat le dise.
Que faut-il fournir pour l’audit ?
Le contrat d'hébergement et ses annexes, le certificat HDS de l'hébergeur et, s'il vous l'a remis, son tableau de garanties, vos contrats de sous-traitance au sens du RGPD, un accès en lecture seule à la console de votre fournisseur cloud ou un export de la configuration, et la liste des services tiers branchés sur l'application. Deux entretiens d'une heure suffisent : la personne qui porte la conformité, et celle qui gère la production.
Le décret du 24 mars 2026 interdit-il les transferts hors Union européenne ?
Non. Le décret n° 2026-209 impose que le stockage des données de santé soit réalisé dans l'Union européenne ou l'Espace économique européen, et encadre les transferts : ils restent possibles sous décision d'adéquation de la Commission européenne ou sous garanties appropriées au sens de l'article 46 du RGPD. Ce qui devient obligatoire, depuis fin septembre 2026, c'est de les déclarer au contrat, avec les législations de pays tiers applicables et les risques résiduels. Un accès distant depuis l'extérieur de l'EEE, pour du support par exemple, est à examiner au même titre.
Auditez-vous les déploiements sur AWS, Azure ou Google Cloud ?
Oui, ce sont même les cas où la revue technique compte le plus. Les trois disposent de régions certifiées HDS, mais la localisation annoncée ne se déduit pas de la certification : certains services peuvent traiter ou répliquer des données hors de la région choisie, et le périmètre HDS se lit service par service. Nous vérifions les régions autorisées au niveau de l'organisation, les services réellement utilisés et leur présence dans le périmètre certifié.
Quelle différence avec votre accompagnement HDS ?
L'audit est une photographie suivie d'un plan : il dit où vous en êtes et ce qu'il faut corriger, en deux semaines, pour un prix fixe. L'accompagnement HDS couvre la suite, quand il y a du travail : choix ou changement d'hébergeur, développement conforme, migration, encadrement des accès à la production. Beaucoup de nos accompagnements commencent par cet audit.

Guides

Vous cherchez d’abord à comprendre le cadre ? Notre guide de la certification HDS explique les six activités et le parcours de certification, et notre comparatif des hébergeurs HDS aide à choisir et à budgéter. Pour un projet complet, voir notre accompagnement HDS.

Prochaine étape

Faire auditer votre hébergement de données de santé

Un appel de 30 minutes suffit à délimiter le périmètre, lister les pièces à réunir et savoir si la question de votre propre certification se pose

Voir notre accompagnement HDS

La newsletter qu’on n’ignore pas

Abonnez-vous à notre newsletter pour recevoir nos derniers articles, retours d’expérience et conseils tech directement dans votre boîte mail.

Désinscription en un clic. Vos données restent privées.