HDS : la bonne preuve porte sur l'hébergement concerné

La preuve doit suivre les données

Demandez où passent audio, transcription, note et sauvegardes. Identifiez les acteurs qui stockent, administrent ou exploitent les données. Comparez ensuite leur rôle avec le périmètre des certificats applicables. L'ANS distingue plusieurs activités ; un fournisseur peut partager certaines responsabilités avec son infrastructure.

Nous avons lu le cadre et le registre HDS, mais validé aucun certificat individuel couvrant de bout en bout les fournisseurs de ce corpus. Une fiche produit qui déclare HDS reste donc une déclaration attribuée tant que cette chaîne n'est pas vérifiée.

Europe ne veut pas dire absence de transfert

Le décret de mars 2026 distingue stockage et transferts, y compris certains accès à distance. Ne résumez pas son cadre à « serveur européen, donc aucun autre acteur n'accède aux données ». Inversement, ne transformez pas le texte en interdiction universelle de tout accès hors EEE. La situation doit être examinée dans sa chaîne contractuelle réelle.

Si le fournisseur répond uniquement par le nom d'un cloud, demandez qui assure l'administration applicative et les sauvegardes. Si l'information reste indéterminée sur un traitement essentiel, différez les données réelles ; cela ne permet pas d'affirmer que le fournisseur est non conforme.

Ce que HDS ne tranche pas

Le certificat ne choisit pas votre base juridique, ne prouve pas que l'audio est supprimé à l'instant annoncé et ne valide pas la justesse d'une note IA. Ces questions ont besoin de leurs propres preuves. Le périmètre d'une activité sans hébergement externalisé doit également être analysé, sans appliquer mécaniquement un slogan à toute application santé.