Hébergement HDS d'une application de santé à Paris : obligations, hébergeurs et prix

Le verdict en trois phrases

Dès qu'une application stocke des données de santé de patients suivis en France pour le compte d'un professionnel ou d'un établissement, l'hébergement doit être confié à un prestataire certifié HDS, sans exception pour les start-up. Comptez en ordre de grandeur 2026 de 300 à 2 500 € HT par mois selon la redondance, soit un surcoût de 30 à 80 % par rapport à un cloud standard équivalent. Le vrai risque budgétaire se trouve moins dans la facture mensuelle que dans le contrat, les sauvegardes chiffrées et l'audit, qui conditionnent vos ventes aux hôpitaux et cliniques.

Ce que l'obligation HDS impose réellement

La certification HDS découle de l'article L.1111-8 du Code de la santé publique. Le référentiel révisé publié en 2024 a renforcé deux points qui changent l'architecture d'une jeune application : les données doivent être hébergées dans l'Espace économique européen, et l'hébergeur doit indiquer clairement les risques d'accès depuis un pays tiers. Pour une start-up parisienne de suivi post-opératoire, cela concerne les constantes saisies par le patient, les photos de cicatrice, les questionnaires de douleur et les messages échangés avec l'équipe chirurgicale.

Le périmètre couvre l'infrastructure physique, l'infrastructure virtuelle, la plateforme, l'administration et l'exploitation du système, ainsi que les sauvegardes. Vous pouvez acheter seulement l'infrastructure (niveau IaaS) et gérer vous-même l'applicatif, mais vous restez alors responsable de tout ce qui se trouve au-dessus : correctifs, journalisation, gestion des accès, plan de reprise. Beaucoup de jeunes équipes découvrent ce point au moment du premier questionnaire de sécurité d'un CHU.

Comparer les offres sans se perdre

Le marché parisien se structure en trois familles. Les hyperscalers certifiés proposent une couverture large mais une facturation à l'usage difficile à prévoir. Les clouds français certifiés offrent des grilles plus lisibles et un support en français. Les infogérants spécialisés santé facturent plus cher mais prennent en charge l'exploitation complète, ce qui soulage une équipe de trois développeurs.

Avant de signer, vérifiez quatre clauses dans le contrat : la liste exacte des niveaux certifiés et le numéro du certificat, la durée de conservation et la restitution des données en fin de contrat, les conditions de réversibilité (format, délai, coût), et l'encadrement de la sous-traitance au sens de l'article 28 du RGPD. Une clause de réversibilité absente peut vous coûter plusieurs semaines de travail le jour où vous changez d'hébergeur.

Ce que l'application doit apporter de son côté

L'hébergeur certifié ne rend pas votre code conforme. L'application doit gérer une authentification forte pour les soignants, un cloisonnement par établissement, le chiffrement des champs sensibles, une politique de durée de conservation et un export des journaux d'accès. Chez Kolonell, une application web de ce type relève en général de notre palier « application moyenne », entre 4 000 000 et 7 000 000 FCFA (6 100 à 10 670 EUR), ou du palier complexe, de 7 000 000 à 15 000 000+ FCFA (10 670 à 22 870+ EUR), si elle intègre une messagerie sécurisée et des connecteurs avec un logiciel hospitalier. L'hébergement HDS lui-même, choisi avec vous, est chiffré sur devis. La maintenance applicative est proposée à 35 000, 75 000 ou 120 000 FCFA par mois (53, 114 ou 183 EUR) selon le niveau de service. Voir notre offre application web sur mesure.

Mini cas pratique

Camille, cofondatrice d'une start-up parisienne de suivi post-opératoire, suit 4 000 patients pour deux cliniques. Son prototype tourne sur un cloud standard à 450 € HT par mois. La version HDS multi-zones équivalente coûte 720 € HT par mois, soit 60 % de plus.

Calcul de la première année : surcoût d'hébergement de 270 € x 12 = 3 240 €, audit de sécurité de 5 000 €, AIPD réalisée en interne avec un juriste pour 2 500 €. Total : 10 740 € HT. En face, un seul contrat avec une troisième clinique représente 18 000 € HT par an. La conformité est amortie dès la première signature, et sans elle l'appel d'offres était inaccessible.

FAQ

Une start-up en phase de test doit-elle déjà être hébergée en HDS ?

Oui, dès que de vraies données de patients sont collectées pour leur suivi, même pour 50 personnes. Seul un prototype alimenté par des données fictives peut rester sur un cloud standard. Prévoyez 4 à 10 semaines de bascule avant le pilote.

Peut-on garder un serveur hors d'Europe pour les sauvegardes ?

Non avec le référentiel révisé de 2024, qui exige un hébergement dans l'Espace économique européen. Une sauvegarde chiffrée sur un second site européen coûte en général 40 à 250 € HT par mois.

Le chiffrement suffit-il à éviter la certification HDS ?

Non, des données chiffrées restent des données de santé si vous détenez les clés. L'obligation porte sur l'hébergeur, quel que soit le niveau de chiffrement appliqué.

Combien de temps dure un audit avant une vente à un hôpital ?

Un test d'intrusion applicatif demande 5 à 10 jours-homme, facturés 3 000 à 8 000 € HT en ordre de grandeur 2026. Comptez 2 à 3 semaines de corrections derrière.

Qui est responsable en cas de fuite ?

L'éditeur, en tant que responsable de traitement ou sous-traitant selon le montage, doit notifier la CNIL sous 72 heures. L'hébergeur répond de son périmètre certifié, d'où l'importance de la clause de responsabilité.

Parlons de votre projet. Nous cadrons avec vous l'architecture, le choix de l'hébergeur HDS et le planning de mise en conformité de votre application de santé, en 6 à 12 semaines selon le périmètre. Devis détaillé sous 48 h. WhatsApp +221 77 596 93 33.