Résidence des données UE pour les photos d’événement : pourquoi cela compte en achat B2B

Un outil de partage photo pour votre prochaine conférence ressemble, en apparence, à un achat à faible enjeu. Les invités scannent un QR code, uploadent depuis leur téléphone, et vous récupérez l’album. C’est typiquement quelque chose qu’un gestionnaire d’événement peut souscrire en un après-midi — jusqu’à ce qu’il arrive au service gestion des risques fournisseurs, où la première question revient : où sont réellement stockées les données ?

Pour une entreprise de l’UE, cette question n’est pas une friction bureaucratique — elle détermine si l’outil peut être approuvé. Les photos sont des données personnelles d’employés, clients et invités identifiables, et dès qu’elles sortent d’un téléphone pour arriver sur un serveur, la juridiction de ce serveur place l’achat dans un cadre juridique — les règles GDPR sur les transferts internationaux — que l’approvisionnement doit valider avant signature.

Ce guide s’adresse aux personnes qui répondent à cette question : achats, IT et juristes évaluant une plateforme photo d’événement. Il explique ce que signifie réellement la « résidence des données UE » (et en quoi cela diffère de « conforme RGPD »), pourquoi cela retire une charge juridique précise à votre équipe, comment les règles de transfert UE–US se situent mi-2026, et comment vérifier une déclaration de résidence d’un fournisseur au lieu de faire confiance au simple badge. Il est rédigé pour le contexte UE/EEE.

Que signifie concrètement la « résidence des données dans l’UE » ?

La résidence des données répond à la question de quel pays héberge physiquement vos données et les traite. Pour une plateforme photo d’événement, ces données sont les uploads eux-mêmes — photos, vidéos, messages vocaux — ainsi que les enregistrements de base de données et les sauvegardes qui les décrivent.

Il faut distinguer trois choses que les fournisseurs mélangent souvent dans leur marketing :

• Localisation des données — où elles sont stockées et traitées (juridiction du centre de données).

• Lieu de l’entreprise — l’endroit d’incorporation du prestataire. Une entreprise basée à Berlin peut tout de même stocker vos données en Virginie ; une entreprise enregistrée aux États-Unis peut héberger à Francfort. Les deux ne coïncident pas forcément.

• « Conformité RGPD » : une affirmation sur les pratiques du fournisseur. Un outil hébergé aux États-Unis peut être conforme RGPD et déclencher néanmoins un transfert transfrontalier dès qu’une photo d’employé européen est sur ses serveurs. Ce n’est pas synonyme de « résidence UE ».

Cette distinction compte en passation de marchés car la résidence est le fait déterminant qui permet de savoir si un transfert de données personnelles hors UE a eu lieu. Gardez les données dans l’UE et les règles de transfert du chapitre V du RGPD ne s’appliquent pas. Dès qu’elles partent vers un pays tiers, elles s’appliquent, avec toutes les conséquences.

Pourquoi la résidence des données compte-t-elle spécifiquement dans l’acquisition B2B ?

Parce que le RGPD fait du transfert hors UE un acte réglementé, et la preuve incombe à vous — au responsable du traitement, pas au fournisseur.

Selon le chapitre V, le transfert de données personnelles vers un pays tiers n’est licite que s’il repose soit sur une décision d’adéquation (article 45), soit, à défaut, sur des garanties appropriées telles que les clauses contractuelles types de la Commission européenne (article 46(2)(c)), avec des droits opposables aux personnes concernées et des recours effectifs. Ce n’est pas une case qu’un fournisseur coche à votre place. Si les photos de conférence sont traitées aux États-Unis, votre organisation doit indiquer quel mécanisme rendait cela licite — et, après Schrems II, montrer qu’elle a évalué la destination et documenté des mesures supplémentaires (règles actuelles ci-dessous).

En pratique, c’est précisément ce travail concret qu’un outil hébergé aux États-Unis crée et qu’un outil hébergé dans l’UE évite : une analyse d’impact liée au transfert à réaliser et documenter, une base légale défendable prête pour l’autorité de contrôle, et une exposition juridique continue à un statut qui a changé à plusieurs reprises en moins de dix ans, chaque changement imposant une réévaluation pour chaque prestataire américain utilisé. En gardant les données dans l’UE, tout cela s’effondre : pas de transfert, donc pas de mécanisme à choisir, pas d’évaluation d’impact, et pas de décision d’adéquation dont il faut suivre l’évolution. Pour une équipe qui veut valider rapidement un outil à faible enjeu sans passer un mois en revue juridique, c’est toute la valeur de la résidence des données : la différence entre une approbation rapide et un dossier de conformité ouvert.

« Nous avons déjà une DPA » — est-ce suffisant ?

Un accord de traitement des données et la résidence des données répondent à deux questions différentes, et vous avez généralement besoin des deux. Lorsqu’un outil externe traite des données personnelles pour votre compte et selon vos instructions documentées, l’article 28(3) exige un contrat écrit contraignant — la DPA — qui précise la manière dont le sous-traitant gère les données. Mais ce contrat ne répond pas seul à la question du lieu de stockage ni à la licéité d’un transfert transfrontalier ; c’est la question distincte du chapitre V. Un fournisseur peut vous remettre une DPA Art. 28 irréprochable et traiter malgré tout vos photos dans un pays tiers, laissant la question de transfert non close. La checklist d’approvisionnement n’est donc pas « DPA ou résidence UE » ; c’est « DPA et réponse claire sur la résidence. » (Pour le contenu exact exigé d’une DPA Art. 28, voir notre guide compagnon, Data Processing Agreements for Event Tech.)

Où en sont les règles de transfert UE–US à mi-2026 ?

C’est là où l’hébergement devient un atout de simplification. En version courte : les transferts vers les États-Unis sont actuellement possibles, mais le terrain a changé et un recours est en cours, donc un outil hébergé aux États-Unis reste une évaluation continue plutôt qu’un choix arrêté. Situation au milieu de 2026 :

• Les clauses contractuelles types ont été maintenues, mais avec conditions. Schrems II a invalidé l’ancien Privacy Shield en 2020 tout en confirmant les SCCs en principe — sous réserve d’une évaluation d’impact du transfert au cas par cas et de mesures supplémentaires décrites ci-dessus.

• La décision d’adéquation du cadre UE–US Data Privacy Framework est en vigueur. Adoptée le 10 juillet 2023, elle permet les transferts vers des organisations américaines certifiées DPF sur la base de l’article 45. La Cour générale de l’UE a rejeté le premier recours (T-553/23, Latombe c/Commission) le 3 septembre 2025, confirmant que les États-Unis assurent un niveau de protection adéquat.

• Mais un recours est en cours. Un recours contre cette décision (C-703/25 P) est devant la CJUE, sans date d’audience annoncée à mi-2026. En pratique : la DPF peut être utilisée dès maintenant, mais pas sans risque ; les SCC et une évaluation de l’impact des transferts restent la précaution prudente.

Rien de tout cela ne doit vous inciter à paniquer face aux outils américains. C’est un rappel : choisir un outil, c’est assumer une question dont la réponse a déjà changé, qui peut changer à nouveau — et qui impose de requalifier chaque fournisseur concerné à chaque fois. Opter pour un outil hébergé dans l’UE, c’est éviter que cette question ne se pose à chaque fois, et sortir de la ligne de mire de la prochaine décision de type Schrems.

Le marché se scinde nettement sur la résidence — voici la répartition

Vérifie où ces outils hébergent réellement les données : le marché se divise en trois camps. Ce qui suit reflète les informations d'entreprise et de confidentialité publiquement disponibles de chaque fournisseur, au moment de leur captation le 2026-06-08 — les manques sont aussi révélateurs que les affirmations.

Clairement basés aux États-Unis. Plusieurs outils populaires indiquent clairement que les données restent aux États-Unis, sans option UE : GuestCam (hébergé sur un stockage cloud basé aux États-Unis, sans hébergement UE/européen), Kululu (contenu principal sur les serveurs Google Cloud / Firebase aux États-Unis), Fotify (opéré par Lumenlio, LLC, société du Delaware), et Wedibox (une société américaine, Wedibox LLC). Pour chacun de ces cas, une entreprise européenne qui traite des photos d’employés ou d’invités se trouve clairement en zone de transfert vers pays tiers et assume l’intégralité de l’évaluation.

Explicitement résidents UE. Un nombre plus restreint mentionne explicitement un hébergement UE/EEE : EventPics (géré par une entreprise autrichienne, Aigner Software e.U., hébergement en région UE), JoinMyMoment (hébergement UE/EEE, avec des sous-traitants en Allemagne (Hetzner), France (Scaleway) et AWS Francfort), et Lense (serveurs dans l’Union européenne, données personnelles principalement stockées et traitées là). Ce sont les outils pour lesquels la question des transferts ne se pose pas.

Non précisé ou flou — et c’est déjà un signal d’alerte. De nombreux outils pertinents ne disent pas clairement où résident les données. Certaines applications commercialisées en Allemagne ou dans l’UE s’appuient sur des formules comme « Made in Germany » ou « serveurs européens » sans déclaration explicite du serveur; d’autres, avec une localisation de société non divulguée ou hébergées sur Google Cloud sans région UE précisée, laissent la juridiction réellement inconnue. En achat, une résidence non précisée est un constat, pas un détail neutre. Si un vendeur ne peut pas vous indiquer par écrit la juridiction d’hébergement, vous ne pouvez pas finaliser votre analyse de transfert, et l’outil ne doit pas être validé tant qu’il ne le fait pas.

Un avertissement : une mention de résidence UE sur une page marketing est un point de départ, pas une preuve. La section suivante comble ce manque.

Comment vérifier la revendication de résidence UE d’un prestataire ?

« Conforme au RGPD » sur une page d’accueil est une affirmation marketing. Une équipe d’achat a besoin d’éléments de preuve à joindre à un dossier. Cinq questions transforment une promesse en élément vérifiable :

1. Mentionnez la région du centre de données par écrit. Pas seulement "Europe" en général — la juridiction réelle (par ex. Allemagne/Francfort) pour les fichiers stockés et la base de données. Demandez-le dans le DPA ou un bon de commande, afin que cela devienne contractuel et pas une simple déclaration d’intention.

1. Demandez la liste des sous-traitants. La plupart des plateformes s’appuient sur des infrastructures tierces — stockage cloud, hébergeur de base de données, envoi d’e-mails et de SMS — et chaque sous-traitant a son propre lieu de résidence. Un prestataire qui héberge dans l’UE mais relaie les notifications via un sous-traitant américain déplace quand même des données personnelles à travers la frontière. Demandez la liste complète et l’emplacement de chacun.

1. Demandez où se trouvent les sauvegardes et les journaux. Un stockage principal en UE ne suffit pas si les sauvegardes nocturnes sont répliquées vers une région américaine. La résidence des données doit couvrir les copies, pas seulement les données actives.

1. Vérifiez que le DPA le reflète. L’obligation de durée de conservation et les sous-traitants doivent figurer dans le contrat d’article 28 que vous signez réellement, afin que l’obligation soit contraignante — pas seulement mentionnée dans un billet de blog.

1. Demandez le chemin d’effacement. La résidence ne concerne pas seulement le lieu, mais aussi la durée et la manière de le supprimer. Confirmez que le fournisseur peut exécuter une demande d’effacement des personnes concernées dans le délai légal — selon l’article 17, le responsable doit effacer sans délai injustifié, et l’article 12(3) prévoit un délai de réponse d’un mois (prolongeable de deux mois en cas de demande réellement complexe avec avis). Une fenêtre de rétention définie et un chemin de suppression clair sont ce que la limitation de conservation (Art. 5(1)(e)) exige en pratique.

Réponds aux cinq points de façon claire et par écrit, et tu disposes d’un domicile de résidence défendable. Appuie-toi uniquement sur un badge, et ton argument devient inattaquable.

La place de Gathmo dans ce contexte

Gathmo est conçu pour la question d’approvisionnement de cet article. Sa résidence des données est en UE, avec stockage d’objets en juridiction UE, base de données principale à Francfort, calcul en UE, et DPAs en place avec ses processeurs. Une DPA est disponible sur demande sur les offres par événement et incluse dans B2B Studio, Agency et Enterprise. La rétention est définie et limitée dans le temps plutôt qu’indéfinie (les niveaux per-event vont d’une fenêtre de 30 jours à 1 an selon le plan), ce qui correspond à l’exigence de limitation de stockage de l’article 5(1)(e). Pour une équipe achat ou IT qui demande d’abord « nos données restent-elles en Europe ? », la réponse est oui, avec preuve : un centre de données nommé et des DPAs processeurs, pas un simple badge marketing.

Deux points de franchise, car l’acheteur doit les entendre de nous. Premièrement, Gathmo n’offre pas la reconnaissance faciale ou la recherche faciale au lancement — il s’agit d’une feuille de route de phase 2, pas d’une fonction active. Pour un acheteur corporate, c’est même une force : des galeries photo ordinaires sans modèles de visage évitent l’obligation supplémentaire de consentement biométrique séparée que déclenche le face-matching selon l’article 9. Deuxièmement, la résidence devient un argument encombré — plusieurs fournisseurs mettent en avant des serveurs européens — nous présentons donc l’avantage de Gathmo non comme « la seule option UE », mais comme une EU residency vérifiable : juridiction nommée, transparence des sous-traitants et DPA signée. Faites le contrôle en cinq points ci-dessus avec nous; c’est bien son objectif.