# KVKK : cloud ou serveur propre | Corex360 > Au regard de la KVKK, cloud ou serveur propre se distinguent moins par l'emplacement des données que par qui les traite et y accède. Vos questions en découlent. Source: https://www.corex360.com/fr/blog/kvkk-cloud-ou-serveur-interne Dernière mise à jour: 2026-09-29 --- ![Un homme tend à la personne en face de lui un dossier marqué d'un cadenas] Sécurité # Cloud ou serveur propre au regard de la KVKK : où se trouvent les données Au regard de la KVKK (loi sur la protection des données personnelles en Turquie, comparable au RGPD), la différence entre cloud et serveur propre est une question de traitement plus que de lieu : qui traite les données, qui y accède et où elles sont transférées. Questions à poser au prestataire. [Demander une démo](https://www.corex360.com/fr/contact?konu=bi#form) [Corex360](https://www.corex360.com/fr) [Blog](https://www.corex360.com/fr/blog) Cloud ou serveur propre au regard de la KVKK : où se trouvent les données Sommaire - 01 La KVKK impose-t-elle la localisation des données ? - 02 Dans le cloud, qui est responsable de traitement et qui est sous-traitant ? - 03 Un serveur propre réduit-il la responsabilité ? - 04 Quelles questions poser au prestataire ? - 05 Où gère-t-on l'information, le consentement et les demandes des personnes concernées ? - 06 Dans quel environnement les données sont-elles conservées dans Corex360 ? Ş **[Şevket Erer](https://www.corex360.com/fr/blog#blog-hakkinda)** Cofondateur, spécialiste de l'IA · Corex360 23 septembre 2026 Mis à jour 28 septembre 2026 6 min de lecture [Dans le glossaire : KVKK](https://www.corex360.com/fr/glossaire#kvkk) [Modules](https://www.corex360.com/fr/modules) [Solutions](https://www.corex360.com/fr/solutions) Au regard de la KVKK, la différence entre le cloud et votre propre serveur tient moins à l'endroit où les données personnelles se trouvent physiquement qu'à qui les traite, qui y accède et où elles sont transférées. La loi n° 6698 sur la protection des données personnelles (KVKK) considère l'entreprise qui détermine les finalités et les moyens du traitement comme responsable du traitement, quel que soit le serveur choisi. C'est de là que vient la question du directeur comptable : qu'est-ce qui change si la paie et les données clients sont dans le cloud, et qu'est-ce qui change si elles sont sur notre propre serveur ? Cet article donne une information générale, pas un avis juridique ; pour votre situation, adressez-vous à votre conseiller juridique. Le texte en vigueur de la loi est publié sur le [Mevzuat Bilgi Sistemi](https://www.mevzuat.gov.tr/mevzuat?MevzuatNo=6698&MevzuatTur=1&MevzuatTertip=5), les décisions et guides de l'autorité sur le site de l'[Autorité turque de protection des données personnelles](https://www.kvkk.gov.tr/Icerik/5419/kurul-kararlari). ** 01. ## La KVKK impose-t-elle la localisation des données ? ** Réponse courte En règle générale, la KVKK n'impose pas de conserver les données en Turquie ou sur le serveur de l'entreprise ; elle soumet en revanche le transfert de données personnelles à l'étranger à des conditions distinctes. La localisation des données signifie que les données restent à l'intérieur des frontières d'un pays donné. L'attention de la KVKK porte ailleurs : sur quelle base les données sont traitées, si la personne a été informée, comment les données sont protégées et à qui elles sont transférées. Si les serveurs du prestataire cloud sont à l'étranger, les données peuvent être considérées comme transférées vers ce pays, et ce transfert est soumis aux conditions distinctes de la loi. Avec la modification entrée en vigueur en 2024, le transfert à l'étranger est passé à un ordre par paliers : d'abord une décision d'adéquation de l'Autorité, à défaut des garanties appropriées comme des clauses contractuelles types ou des règles d'entreprise contraignantes, et à défaut encore des cas ponctuels limités ; le consentement explicite ne peut désormais servir de base qu'à ce dernier palier. Scénario type : imaginez un fabricant de meubles à Kayseri. Il n'appartient pas à un secteur soumis à une réglementation particulière, comme la banque ou les services de paiement. Pour lui, la vraie question n'est pas « cloud ou serveur propre », mais « où se trouve le serveur du prestataire, et qui peut voir les données ». Dans certains secteurs, des réglementations distinctes peuvent exiger que les données restent dans le pays ; vérifiez à part les règles propres à votre secteur. La localisation des données n'est donc pas, à elle seule, un critère de décision. Des données stockées sur un serveur en Turquie mais accessibles à tous peuvent présenter plus de risque que des données bien protégées. L'emplacement n'est qu'une partie de la protection. ** 02. ## Dans le cloud, qui est responsable de traitement et qui est sous-traitant ? ** Réponse courte Votre entreprise, qui détermine les finalités et les moyens du traitement, est responsable du traitement ; le prestataire cloud qui fournit le service est en général le sous-traitant qui traite les données pour votre compte. Transférer les données dans le cloud ne transfère pas la responsabilité au fournisseur. Quand le responsable comptable charge la paie dans un logiciel RH en ligne, la paie reste sous la responsabilité de l'entreprise. En cas de fuite, le salarié s'adresse d'abord à son employeur. La loi rend le responsable du traitement solidairement responsable, avec la personne qui traite les données pour son compte, des mesures de sécurité ; pour tracer la limite de cette responsabilité partagée, un [contrat écrit avec le sous-traitant](https://www.corex360.com/fr/glossaire/contrat-de-sous-traitance-des-donnees) est recommandé. Le contrat précise dans quel but et avec quelles mesures de sécurité le prestataire traite les données, et ce qu'il en fait à la fin du contrat. Sans contrat, l'endroit où la responsabilité commence et s'arrête reste flou. La façon dont les données vous sont restituées quand vous voulez changer de fournisseur relève aussi de ce contrat ; sinon, les données peuvent rester chez un fournisseur dont le contrat est terminé. Il faut aussi demander si le logiciel cloud fait appel à d'autres sous-traitants. L'application peut être chez une entreprise, la sauvegarde chez une autre, l'envoi des e-mails chez une troisième ; chaque étape par laquelle passent les données doit apparaître dans le contrat. ** 03. ## Un serveur propre réduit-il la responsabilité ? ** Réponse courte Sur votre propre serveur, la responsabilité au titre de la KVKK ne diminue pas, elle se déplace : la question du transfert à l'étranger peut se simplifier, mais toutes les mesures de sécurité passent à votre équipe. Cloud ou serveur propre au regard de la KVKK | Sujet | Cloud | Serveur propre | |---|---|---| | Responsable du traitement | Votre entreprise ; le fournisseur est généralement le sous-traitant qui traite les données pour votre compte | Votre entreprise | | Transfert à l'étranger | Si le serveur est à l'étranger, les données peuvent être considérées comme transférées et relèvent de conditions distinctes | Si les données ne quittent pas le pays, cette question peut se simplifier | | Mesures de sécurité | Vous êtes responsable avec le sous-traitant ; un contrat écrit fixe la limite | Tout passe à votre propre équipe | | Première question à poser | Dans quel pays sont les données, qui y accède, comment sont-elles restituées à la fin du contrat ? | Qui voit quel enregistrement, l'accès est-il tracé, où est conservée la sauvegarde ? | La loi attend du responsable du traitement qu'il prenne des mesures techniques et organisationnelles pour garantir un niveau de sécurité approprié. Sur votre propre serveur, toutes ces mesures vous reviennent : qui voit quel enregistrement, si les accès sont journalisés, où va la sauvegarde, quand les correctifs sont appliqués. Scénario type : imaginez le bureau d'une entreprise de construction. Le serveur est dans une armoire sous l'escalier, la sauvegarde sur un disque externe dans la même armoire. Tout le monde peut voir les dossiers du personnel, parce que les droits n'ont jamais été définis. Les données ne sortent pas du pays, mais on ne peut pas dire qu'elles sont protégées. Le vrai avantage d'un serveur propre est la visibilité du contrôle : vous voyez directement qui accède au serveur et où se trouve la sauvegarde. Cet avantage ne vaut que si les mesures sont écrites et contrôlées régulièrement. C'est pourquoi le premier travail d'une entreprise qui passe à son propre serveur est d'écrire le tableau des droits : quel rôle voit quel enregistrement, qui peut exporter, qui peut supprimer. ** 04. ## Quelles questions poser au prestataire ? ** Réponse courte Les questions de base à poser à un prestataire cloud : dans quel pays et sur l'infrastructure de qui se trouvent les données, où va la sauvegarde, qui y a accès, l'accès est-il journalisé, et comment les données sont-elles restituées à la fin du contrat ? - Dans quel pays et sur quelle infrastructure se trouvent la base de données et les fichiers ? - Si les données sont à l'étranger, sur quelle base repose le transfert, par exemple des clauses contractuelles types ? - Où va la sauvegarde, est-elle chiffrée, la restauration a-t-elle été testée ? - Dans quels cas le personnel du fournisseur peut-il accéder aux données, et cet accès est-il journalisé ? - Le contrat de traitement des données et la notice d'information sont-ils prêts lors de la mise en place ? - Si le contrat prend fin, sous quel format et comment les données sont-elles restituées ? - En cas de violation, comment et quand êtes-vous prévenu ? La dernière question semble secondaire, mais elle ne l'est pas. En cas de violation de données, la loi oblige le responsable du traitement à en informer le Conseil turc de protection des données personnelles et les personnes concernées. Si le fournisseur vous prévient tard, vous ne pouvez pas remplir cette obligation à temps ; les modalités d'information doivent donc figurer dans le contrat. Posez ces questions au moment de l'achat, pas après la signature du contrat. Exigez des réponses écrites ; une assurance orale n'est pas un document que l'on peut présenter lors d'un contrôle ou en réponse à une demande. ** 05. ## Où gère-t-on l'information, le consentement et les demandes des personnes concernées ? ** Réponse courte Quel que soit l'hébergement, la personne est informée, le consentement explicite est recueilli là où il est requis, et la demande de la personne concernée reçoit une réponse consignée. Informer, c'est expliquer à la personne quelles données sont traitées, dans quel but et à qui elles peuvent être transmises. Le consentement explicite n'est pas requis pour chaque traitement ; si une autre condition de traitement prévue par la loi s'applique, il peut ne pas être demandé. L'obligation d'inscription au [registre des responsables de traitement (VERBİS)](https://www.corex360.com/fr/glossaire/verbis-registre-des-responsables-de-traitement) dépend elle aussi de la situation de l'entreprise, et non du lieu d'hébergement, et des exemptions existent. Quand un client demande quelles données le concernant ont été conservées pour une ancienne campagne et qu'il faut fouiller plusieurs systèmes séparés pour répondre, le problème tient davantage à la dispersion qu'à l'hébergement. Quand les données sont dans un seul enregistrement, la demande reçoit aussi une réponse depuis un seul endroit. Par quelle tâche commencer pour remettre de l'ordre, c'est le sujet de l'article [la transformation numérique des PME](https://www.corex360.com/fr/blog/digitalisation-pme). Ce que demande une personne concernée est souvent simple : quelles données me concernant sont conservées, pourquoi, et avec qui ont-elles été partagées. Dans des systèmes dispersés, répondre à ces questions peut devenir une recherche de plusieurs jours. KVKK : ce que demande la loi, ce que propose Corex360, ce qui reste à votre charge | Ce que demande la loi | Ce que propose Corex360 | Ce qui reste à votre charge | |---|---|---| | Mesures techniques et administratives pour un niveau de sécurité adapté (KVKK, art. 12, al. 1) | L'accès est fondé sur les rôles ; chaque utilisateur ne voit que les fiches couvertes par son rôle. Corex360 Security enregistre les connexions, les appareils et les accès. | Définir les rôles, fermer l'accès des personnes qui quittent l'équipe, effectuer les contrôles internes (art. 12, al. 3). | | Conditions de l'art. 9 pour les transferts à l'étranger | L'hébergement se fait dans un espace dédié à l'entreprise sur Corex360 Cloud ou sur votre propre serveur ; le choix est inscrit au contrat. Dans le cloud, la requête écrite à X AI part vers le fournisseur d'IA que vous choisissez ; dans une installation sur votre propre serveur, X AI fonctionne avec un modèle local. | Définir la base juridique du transfert et choisir le fournisseur d'IA en conséquence. | | Droit de la personne concernée à demander des informations (art. 11, al. 1) | Les modules utilisent la même fiche client ; les échanges, devis et contrats d'une personne se trouvent sur la même fiche. | Recevoir la demande, y répondre dans les délais et enregistrer la réponse. | | Inscription au registre des responsables du traitement (art. 16) | Pas d'équivalent ; l'inscription au registre relève de l'entreprise, pas du logiciel. | Vérifier le statut d'exemption selon les décisions publiées sur kvkk.gov.tr et s'inscrire si nécessaire. | ** 06. ## Dans quel environnement les données sont-elles conservées dans Corex360 ? ** Réponse courte Dans Corex360, le choix vous appartient : un espace dédié à votre entreprise sur Corex360 Cloud ou votre propre serveur ; dans les deux cas, la même couche de sécurité fonctionne. Dans Corex360, connexions, appareils, téléchargements et modifications de droits sont journalisés ; l'accès se fait par rôle. Les données personnelles sont traitées dans le cadre de la KVKK. L'ensemble de ces faits figure sur la page [sécurité et KVKK de Corex360](https://www.corex360.com/fr/securite). L'accès se fait par rôle ; seules les personnes dont le rôle le permet voient la paie et les données personnelles. Parmi les questions à poser au fournisseur figurent aussi les formats d'export et la manière dont les données sont remises à la fin du contrat. Si votre politique d'entreprise exige de garder les données sur votre propre infrastructure, les détails sont sur la page [travailler sur votre propre serveur](https://www.corex360.com/fr/solutions/sur-votre-serveur). Apportez à la démo les questions sur l'endroit où les données sont conservées, sur qui y a accès et sur leur remise ; écrivons ensemble les réponses pour votre situation. Posez ces questions aussi bien pour Corex360 Cloud que pour l'option serveur propre ; dans les deux cas, les réponses doivent être écrites. ## Ressources - [Autorité turque de protection des données personnelles, décisions du conseil](https://www.kvkk.gov.tr/Icerik/5419/kurul-kararlari) Dernière vérification 24 septembre 2026 ## Comment cette page a-t-elle été préparée ? - Rédigé par : [Şevket Erer](https://www.corex360.com/fr/blog#blog-hakkinda), Cofondateur, spécialiste de l'IA - Sources : les informations sur la réglementation, les organismes officiels et l'éditeur proviennent des sources primaires de la liste Sources de cette page ; chaque source porte sa date de dernière vérification. - Information produit : les phrases sur Corex360 s'appuient sur les fiches de faits produit de l'entreprise ; aucune fonctionnalité non confirmée n'est mentionnée. - Usage de l'IA : le texte est écrit par l'équipe Corex360 ; des outils d'IA sont utilisés pour préparer les brouillons et pour la traduction. [Principes éditoriaux](https://www.corex360.com/fr/a-propos#yayin-ilkeleri) - Dates : première publication 23 septembre 2026 , dernière mise à jour 28 septembre 2026 . [Politique de correction](https://www.corex360.com/fr/a-propos#duzeltmeler) ## Questions fréquentes ** 01 Au regard de la KVKK, quelle différence entre le cloud et votre propre serveur ? ** La différence tient moins à l'emplacement physique des données qu'à qui les traite, qui y accède et où elles sont transférées. Dans les deux cas, l'entreprise qui détermine les finalités et les moyens du traitement est responsable du traitement. Cette réponse n'est pas un avis juridique. ** 02 La KVKK impose-t-elle de conserver les données en Turquie ? ** En règle générale, non ; mais le transfert de données personnelles à l'étranger est soumis à des conditions distinctes dans la loi. Dans certains secteurs, comme la banque et les services de paiement, des réglementations spécifiques peuvent exiger un stockage dans le pays. ** 03 Le prestataire cloud devient-il responsable de traitement ? ** En général, non. Dans la plupart des cas, le prestataire est un sous-traitant qui traite les données pour votre compte ; vous restez responsable du traitement. C'est pourquoi il est recommandé de conclure un contrat de sous-traitance des données écrit avec le prestataire. ** 04 Combien de temps peut-on conserver des données personnelles ? ** La loi exige que les données personnelles soient effacées, détruites ou anonymisées une fois la finalité du traitement disparue ; la durée est fixée par la réglementation applicable et la finalité du traitement. Cette réponse n'est pas un avis juridique. ** 05 Comment transférer des données vers un prestataire cloud à l'étranger ? ** Depuis la modification entrée en vigueur en 2024, le transfert à l'étranger suit un ordre par paliers : d'abord une décision d'adéquation de l'Autorité, à défaut des garanties appropriées comme des clauses contractuelles types ou des règles d'entreprise contraignantes. Si elles manquent aussi, le transfert n'est possible que dans des cas ponctuels limités, et le consentement explicite ne peut servir de base qu'à ce dernier palier. Cette réponse n'est pas un avis juridique. ✳ **Voyez ce problème réglé dans votre propre activité** Quelques questions courtes nous suffisent pour comprendre votre activité ; nous préparons la démo avec vos canaux, en direct et en ligne. [Demander une démo](https://www.corex360.com/fr/contact?konu=bi#form)[WhatsApp](https://wa.me/905321323288) Articles liés ## Poursuivez votre lecture. [Retour au blog](https://www.corex360.com/fr/blog) [On-premise Qu'est-ce qu'un CRM on-premise ? Ce que signifie garder ses données en interne Le CRM on-premise tourne sur le serveur de l'entreprise. Où sont les données, qui gère installation et mises à jour, pourquoi la sécurité n'est pas acquise ? Date 23 septembre 2026 Lire l'article 01](https://www.corex360.com/fr/blog/qu-est-ce-qu-un-crm-on-premise)[Informatique décisionnelle Qu'est-ce qu'un tableau de bord KPI ? Le premier écran que le dirigeant ouvre le matin Le tableau de bord KPI réunit indicateurs, seuils et responsables sur un écran. Que doit-il contenir, et pourquoi finit-on par ne plus le regarder ? Date 23 septembre 2026 Lire l'article 02](https://www.corex360.com/fr/blog/qu-est-ce-qu-un-tableau-de-bord-kpi)[Informatique décisionnelle Rapport de direction ou écran de décision : la limite du rapport Excel Le rapport de direction résume la période pour le décideur ; fait dans Excel, il se fige dès qu'il est fini. Excel fait pourtant encore bien certaines tâches. Date 23 septembre 2026 Lire l'article 03](https://www.corex360.com/fr/blog/reporting-de-direction-sans-excel)[Assistant Ce que fait un assistant IA dans un CRM, et ce qu'il ne fait pas L'assistant IA d'un CRM lit, résume, prépare des brouillons et suit ; la décision vous revient. Interrogez le risque d'erreur avant de choisir. Date 23 septembre 2026 Lire l'article 04](https://www.corex360.com/fr/blog/assistant-ia-dans-le-crm)[Assistant Qu'est-ce qu'un moteur de règles dans les processus métier : relance, attribution, approbation Le moteur de règles transforme le travail de mémoire en règle écrite : déclencheur, condition, action. Quelles tâches d'un bureau commercial s'y prêtent ? Date 23 septembre 2026 Lire l'article 05](https://www.corex360.com/fr/blog/qu-est-ce-qu-un-moteur-de-regles)[Documents Qu'est-ce qu'une GED ? Relier le fichier à la fiche client La GED conserve les documents, permet de les retrouver et lie l'accès aux droits. Pourquoi un dossier partagé ne suffit pas, et ce que change le lien au client. Date 23 septembre 2026 Lire l'article 06](https://www.corex360.com/fr/blog/qu-est-ce-que-la-gestion-electronique-de-documents)[Documents Comment tenir une archive des contrats : document signé, dates et accès L'archive des contrats garde le contrat signé, ses annexes et ses dates avec accès journalisés. Signature manuscrite ou électronique, nommage, préavis, droits. Date 25 septembre 2026 Lire l'article 07](https://www.corex360.com/fr/blog/tenir-un-archive-des-contrats)[Transformation numérique Acheter un logiciel de gestion avec l'aide numérique de KOSGEB : qui est concerné, ce qui est demandé L'aide numérique de KOSGEB soutient les intérêts du crédit des PME manufacturières pour logiciels et machines. Conditions, rapport, étapes, erreurs. Date 28 septembre 2026 Lire l'article 08](https://www.corex360.com/fr/blog/aide-kosgeb-transformation-numerique) ## Questions liées **[L'inscription à VERBİS est-elle obligatoire pour toutes les sociétés ?](https://www.corex360.com/fr/glossaire/verbis-registre-des-responsables-de-traitement#sss)** En règle générale, les personnes physiques et morales qui traitent des données personnelles s'inscrivent (KVKK, art. 16, al. 2). Le Conseil peut exempter certains responsables du traitement selon des critères objectifs ; comme ces critères peuvent changer par décision du Conseil, la décision en vigueur doit être vérifiée sur kvkk.gov.tr. Cette page vous a-t-elle été utile ?