Plateforme SaaS HDS : pourquoi c’est indispensable pour votre SPST en 2026

​

En matière de santé au travail, chaque dossier médical, chaque visite, chaque traçabilité d’exposition produit des données de santé à caractère personnel. Ces données sont juridiquement les plus sensibles du droit français : article 9 du RGPD, obligations de secret médical, article L. 1111-8 du Code de la santé publique. Les héberger sur un serveur quelconque est strictement interdit.

C’est toute la question de la plateforme SaaS HDS. En 2026, les directions de SPST ne se demandent plus « faut-il choisir une solution hébergée ?   » : elles se demandent « comment distinguer un vrai SaaS HDS d’un cloud générique repeint en bleu santé ? ». Ce guide fait le tri : ce qu’impose la loi, ce qu’il faut vraiment exiger d’un éditeur, et les pièges à éviter lors de la sélection.

Qu’est-ce qu’une plateforme SaaS HDS ?

SaaS : le logiciel en tant que service

Le SaaS (Software as a Service) est un modèle où l’éditeur met à disposition le logiciel via internet, sur une infrastructure mutualisée qu’il exploite lui-même. Le SPST utilisateur ne gère plus les serveurs, les sauvegardes, les mises à jour ou la sécurité périmétrique : l’éditeur assume cette responsabilité et facture un abonnement. Le SPST se concentre sur son métier, le logiciel est disponible en quelques clics, les évolutions réglementaires sont déployées automatiquement pour tous.

À l’inverse, un modèle « on-premise » installe le logiciel sur des serveurs que le SPST exploite, avec tous les coûts et risques associés : achat matériel, équipe système, plan de reprise, veille sécurité, conformité à maintenir en propre. Ce modèle est en fort recul dans la santé au travail, et c’est précisément le sujet du HDS qui achève de le disqualifier.

HDS : l’hébergement des données de santé à caractère personnel

La certification HDS (Hébergeur de Données de Santé) est une exigence légale française imposée par l’article L. 1111-8 du Code de la santé publique. Elle s’applique à tout hébergement, pour le compte d’un tiers, de données de santé à caractère personnel collectées à l’occasion d’activités de prévention, de diagnostic, de soins ou de suivi social et médico-social : ce qui couvre sans ambiguïté le champ d’activité des SPST.

La certification HDS est délivrée par des organismes accrédités par le COFRAC, au terme d’un audit qui vérifie :

• la sécurité physique et logique des infrastructures,

• la traçabilité des accès aux données,

• la chaîne de sous-traitance (tout sous-traitant manipulant la donnée doit lui-même être HDS),

• la conformité RGPD et la gestion des droits des personnes,

• la continuité d’activité, la reprise après sinistre et la réversibilité.

Depuis la version 1.1 du référentiel, la certification HDS est indissociable de la norme ISO 27001 (management de la sécurité de l’information) : un éditeur certifié HDS est de fait doublement audité. Cette double boucle de contrôle est aujourd’hui le socle minimal pour qu’un SPST puisse déléguer sereinement l’hébergement de son DMST.

Sur ce point, Val Solutions a renouvelé avec succès sa certification ISO 27001 et HDS, un gage de rigueur qui s’applique à l’ensemble des services uEgar et uEgar.neo.

SaaS + HDS = un engagement opérationnel complet

Une plateforme SaaS HDS réunit donc deux engagements : un modèle de livraison logicielle en tant que service, et une certification spécifique d’hébergement des données de santé. L’un sans l’autre ne suffit pas, un SaaS non HDS est illégal pour héberger un DMST ; un hébergement HDS sans modèle SaaS expose le SPST à la complexité d’exploitation.

Pourquoi une plateforme SaaS HDS est devenue non négociable en 2026

L’obligation légale : article L. 1111-8 du Code de la santé publique

Le cadre juridique est sans ambiguïté. Depuis la mise en œuvre effective du décret de 2018 et la généralisation du référentiel HDS 2020, toute structure manipulant des données de santé pour le compte d’un tiers doit être certifiée HDS, ou confier cet hébergement à un tiers certifié. Pour un SPST, externaliser auprès d’un éditeur SaaS HDS est la voie la plus simple et la plus sûre pour respecter cette obligation.

Le RGPD : des amendes à 4 % du chiffre d’affaires mondial

À l’obligation HDS s’ajoute l’obligation RGPD. Les données de santé sont des données de catégorie particulière (article 9) : leur traitement est encadré, leur sécurité exigée, les droits des personnes renforcés. Les CNIL européennes ont prononcé ces dernières années plusieurs sanctions pour manquements de sécurité concernant la donnée de santé. Pour tout approfondir, voir notre guide RGPD et santé au travail : ce que les SPST doivent savoir.

La pression des audits internes et des certificateurs

Les directions de SPST sont aujourd’hui auditées : certifications qualité, audits des entreprises adhérentes, contrôles de l’ARS, visites CARSAT, revues annuelles RGPD. Dans chacun de ces audits, la question « où sont hébergées les données de santé et l’hébergeur est-il HDS ? » revient systématiquement. Sans SaaS HDS, les réponses sont difficiles à produire.

La fin de l’on-premise : un choix économique rationnel

Le coût complet d’une infrastructure on-premise conforme HDS et ISO 27001 dépasse largement le coût d’un abonnement SaaS. Serveurs redondants, salle machine aux normes, équipe système, PCA/PRA, monitoring sécurité, veille CVE, renouvellement matériel : ce qu’un éditeur mutualise sur des centaines de SPST devient prohibitif pour un service isolé. Le SaaS HDS est le modèle le plus rentable, et le plus conforme.

Les 8 critères à exiger d’une plateforme SaaS HDS pour un SPST

1. La certification HDS nominative et à jour

Exigez le certificat HDS en version PDF, signé, daté, avec périmètre et expiration. Vérifiez que le périmètre certifié couvre bien l’activité qui vous intéresse (hébergement, infogérance, infrastructure). Un certificat générique au nom du groupe ne suffit pas si l’entité qui opère votre instance n’est pas explicitement couverte.

2. La certification ISO 27001 associée

Le référentiel HDS s’appuie sur ISO 27001. Demandez également le certificat ISO 27001, un éditeur sérieux le produit sans délai. C’est la preuve que la démarche de sécurité est pilotée au quotidien, auditée chaque année, et pas seulement déclarée.

3. La localisation des données

Exigez de savoir dans quel pays sont hébergées vos données. Pour un SPST français, la règle simple est : données hébergées en France ou dans l’Union européenne, chez un hébergeur soumis exclusivement au droit européen, sans possibilité d’accès extraterritorial (Cloud Act américain notamment). La qualification SecNumCloud est un plus fort.

4. La chaîne de sous-traitance

Dans un SaaS moderne, de nombreuses briques sont opérées par des sous-traitants : CDN, monitoring, sauvegarde, signature électronique, messagerie sécurisée. Chaque sous-traitant qui manipule votre donnée de santé doit être lui-même HDS ou bénéficier d’un régime dérogatoire clairement documenté. Exigez le registre des sous-traitants.

5. Le SLA et la disponibilité

Un SPST ne peut pas fonctionner avec un logiciel indisponible : convocations à annuler, salariés en salle d’attente, médecins improductifs. Exigez un engagement SLA contractuel (typiquement 99,9 % hors maintenance planifiée), une publication de la disponibilité réelle (« status page »), et des pénalités claires en cas de manquement.

6. La réversibilité et la sortie

La réversibilité est un point trop souvent négligé. À la fin du contrat, l’éditeur doit pouvoir vous restituer l’intégralité de vos données dans un format exploitable par un autre éditeur, accompagnées du schéma descriptif. Faites figurer la réversibilité au contrat : pas uniquement dans les CGV génériques.

7. La sauvegarde, le PCA/PRA et la continuité d’activité

Sauvegardes chiffrées, multi-sites, avec RPO (Recovery Point Objective) et RTO (Recovery Time Objective) explicites ; plan de continuité d’activité testé au moins une fois par an ; capacité à rejouer un incident documentée : ce sont les marques d’un éditeur mature. Un SaaS HDS crédible publie ces chiffres, il ne les invente pas en rendez-vous commercial.

8. La sécurité applicative et le SSO

Au-delà de l’hébergement, la sécurité applicative compte : chiffrement en transit et au repos, authentification forte (MFA), intégration SSO avec l’annuaire du SPST (Azure AD, SAML, OpenID Connect), journalisation des accès, segmentation des droits par métier. Un logiciel HDS mal conçu côté applicatif reste une faille.

Les pièges qui discréditent une offre soi-disant SaaS HDS

• « Nous sommes partenaires d’un hébergeur HDS   » : insuffisant si l’éditeur lui-même n’est pas certifié pour l’infogérance ou le service hébergé HDS.

• Une certification HDS expirée ou limitée à un périmètre non utilisé.

• Des données de santé transitant en clair dans des outils tiers non HDS : emails, partage de fichiers, outils de ticketing support.

• Un contrat qui ne mentionne ni la localisation des données, ni la réversibilité, ni le SLA.

• Un module IA ou une fonctionnalité d’analyse déportée chez un fournisseur non-HDS : lisez attentivement les conditions d’utilisation des modules optionnels.

• Des mises à jour imposées sans fenêtre de test ni communication préalable : signe d’une maturité SaaS insuffisante.

uEgar.neo, la plateforme SaaS HDS de Val Solutions

Val Solutions exploite depuis plus de vingt ans une plateforme dédiée à la santé au travail. La gamme uEgar® et sa nouvelle génération uEgar.neo sont livrées en mode SaaS HDS : hébergement certifié HDS, ISO 27001 renouvelée, infrastructure en France, réversibilité contractuelle et mises à jour réglementaires continues. Les SPST utilisateurs profitent d’un socle sécurisé, d’un plan de continuité d’activité testé, et de l’intégration de modules métier (BI, compagnon de visite IA, téléconsultation) qui partagent le même périmètre de sécurité : pas de dérivation non-HDS côté modules optionnels.

FAQ : Plateforme SaaS HDS

Un SPST peut-il héberger lui-même son logiciel sans être HDS ?

Non, sauf exception marginale. Dès lors que l’hébergement concerne des données de santé à caractère personnel collectées à l’occasion d’un suivi, l’obligation HDS s’applique. Un SPST peut se certifier lui-même, les coûts et l’effort le rendent impraticable hors très gros services, ou, dans l’écrasante majorité des cas, confier l’hébergement à un éditeur SaaS certifié HDS.

Quelle est la différence entre HDS et ISO 27001 ?

ISO 27001 est un standard international qui encadre le management de la sécurité de l’information. HDS est un référentiel français spécifique à la santé qui, depuis 2018, s’appuie sur ISO 27001 et y ajoute des exigences sectorielles (gestion des données de santé, chaîne de sous-traitance, protection contre l’accès extraterritorial). Un SaaS santé crédible cumule les deux.

Un éditeur SaaS HDS peut-il faire de l’IA sur mes données ?

Oui, à condition que le traitement IA reste dans le périmètre HDS : hébergement HDS, modèles exploités dans l’infrastructure certifiée, aucune donnée sortant vers un API tiers non HDS. Interrogez explicitement l’éditeur sur le parcours de la donnée dès qu’une IA intervient.

Que se passe-t-il à la fin du contrat SaaS ?

La clause de réversibilité prévoit la restitution de vos données dans un format exploitable, accompagnée du schéma descriptif, dans un délai maximal fixé au contrat. Exigez un test de réversibilité à la mise en service, qui permet de vérifier que l’export fonctionne, sans attendre la fin du contrat.

Le SaaS HDS est-il compatible avec Mon Espace Santé et l’INS ?

Oui. L’ouverture progressive des SPST à l’écosystème de santé (INS, Mon Espace Santé, interopérabilité HL7/FHIR) est parfaitement compatible avec une plateforme SaaS HDS : c’est même une condition nécessaire. Les éditeurs qui investissent aujourd’hui dans ces standards sont ceux qui bénéficieront demain d’un rôle dans le parcours de santé intégré.

En synthèse

En 2026, choisir une plateforme SaaS HDS n’est plus une option pour un SPST : c’est la condition d’exercice. L’hébergement de données de santé doit être certifié HDS ; le référentiel HDS impose ISO 27001 ; le SaaS rend l’ensemble opérationnel et économiquement soutenable. Les critères qui distinguent une vraie plateforme SaaS HDS d’une offre approximative sont clairs : certifications à jour, localisation en France/UE, chaîne de sous-traitance auditée, SLA contractuel, réversibilité écrite, sécurité applicative aboutie.

Vous préparez un appel d’offres ou vous réévaluez votre solution actuelle ? Nos équipes peuvent vous fournir l’intégralité de notre dossier de conformité (HDS, ISO 27001, RGPD, SLA, réversibilité) et organiser une démonstration d’uEgar.neo sur vos cas d’usage.

Demandez une démo