kSuite et RGPD : ce qu'une entreprise française doit savoir
Une liste de contrôle pour l'entreprise française qui utilise kSuite : rôle de sous-traitant, DPA, transferts vers la Suisse et registre des traitements, avec les sources officielles.
Débutant7 minMis à jour le 14 octobre 2026FR
Avant de commencer
Un compte Infomaniak avec accès au Manager (pour obtenir le DPA)
Votre registre des traitements, ou le modèle de la CNIL
À retenir
Votre entreprise est responsable du traitement ; Infomaniak est sous-traitant pour les données hébergées dans kSuite.
L'article 28 du RGPD impose un contrat écrit : le DPA se génère dans Manager › Paramètres › Certificats légaux.
Le DPA (art. 13.1) soumet tout transfert hors UE/EEE à votre accord écrit préalable.
Les données sont hébergées en Suisse, pays reconnu adéquat par la Commission européenne.
Inscrivez Infomaniak comme sous-traitant dans les fiches concernées de votre registre (art. 30).
Ce tutoriel est informatif et ne constitue pas un conseil juridique : faites valider votre conformité par votre DPO ou un juriste.
1
Identifier le rôle d'Infomaniak
Pour les données que vous stockez dans kSuite (e-mails, fichiers, contacts…), votre entreprise reste responsable du traitement et Infomaniak agit comme sous-traitant. Le Centre de confiance l'indique : « En tant que sous-traitant pour les données que vous hébergez chez nous, nous fournissons un accord sur le traitement des données (DPA) conforme à la LPD suisse et au RGPD européen. » Le lien Consulter le DPA (1) ouvre la version publique (https://www.infomaniak.com/fr/trust-center).
2
Obtenir le DPA depuis le Manager
L'article 28 du RGPD exige un contrat écrit entre le responsable du traitement et son sous-traitant (https://www.cnil.fr/fr/reglement-europeen-protection-donnees/chapitre4#Article28). Dans le Manager Infomaniak, ouvrez Paramètres › Certificats légaux (1), puis utilisez le bouton Générer le DPA (2) du bloc Générer un contrat de sous-traitance DPA. La page précise qu'il est « nécessaire pour une conformité au RGPD et LPD ».
Astuce : Classez le DPA avec vos contrats : il sert de preuve en cas de contrôle.
3
Vérifier la clause sur les transferts
Lisez les clauses du DPA qui vous concernent directement. L'article 13.1 indique qu'Infomaniak ne peut transférer de données personnelles hors de l'UE et/ou de l'EEE « sans le consentement écrit préalable de la Société ». L'accord est régi par le droit suisse (art. 14.1). Source : https://www.infomaniak.com/documents/privacy/DPA/Accord_sur_le_traitement_des_donnees_(DPA).pdf
Astuce : Le PDF public ne contient pas l'annexe des sous-traitants ultérieurs ; demandez-la au support si vous devez la citer dans votre registre.
4
Noter le lieu d'hébergement
Pour la rubrique « transferts » de votre registre, notez le lieu d'hébergement. Sur sa page RGPD, Infomaniak s'engage à « stocker vos données dans nos centres de données basés exclusivement en Suisse, et ne jamais transférer vos données en dehors de nos propres infrastructures » (https://www.infomaniak.com/fr/cgv/reglement-general-protection-donnees).
5
Documenter la base du transfert vers la Suisse
La Suisse étant hors UE, l'hébergement chez Infomaniak est un transfert vers un pays tiers. La Commission européenne fait figurer la Suisse dans sa liste des pays reconnus comme assurant une protection adéquate (https://commission.europa.eu/law/law-topic/data-protection/international-dimension-data-protection/adequacy-decisions_en). Mentionnez « Suisse, décision d'adéquation de la Commission européenne » dans la fiche concernée.
6
Inscrire kSuite à votre registre des traitements
La CNIL rappelle que le registre (article 30 du RGPD) concerne tous les organismes qui traitent des données personnelles. Elle demande d'y identifier les traitements « par finalité et non par logiciel utilisé » (https://www.cnil.fr/fr/RGDP-le-registre-des-activites-de-traitement). Dans chaque fiche concernée (messagerie, gestion des clients, RH…), ajoutez Infomaniak comme destinataire sous-traitant, la Suisse comme lieu de transfert, et les mesures de sécurité. Vous pouvez citer la certification ISO 27001:2022 (1) et son certificat, téléchargeable via Télécharger le certificat (2). Le certificat SGS est valable jusqu'au 29/03/2027 (https://www.infomaniak.com/documents/iso/27001_1FR.pdf).
Astuce : La CNIL propose un modèle de registre au format ODS sur la même page.
Ça ne fonctionne pas ?
Je ne vois pas Certificats légaux dans le Manager
Vérifiez que vous êtes dans Paramètres de l'organisation et que votre compte dispose des droits d'administration.
Mon entreprise a moins de 250 salariés : dois-je tenir un registre ?
Selon la CNIL, la dérogation est limitée aux traitements occasionnels et sans risque ; la messagerie ou la gestion des clients restent à inscrire. En cas de doute, la CNIL recommande de les inscrire.
On me demande la liste des sous-traitants d'Infomaniak
Elle ne figure pas dans le PDF public du DPA : demandez-la au support Infomaniak.