Galerie photo client hébergée en Europe et RGPD : ce que le photographe doit vérifier

Transparence : cet article est publié par Sépia Pro, l’un des outils évoqués. Les informations sur Pixieset, Pic-Time et Pelli viennent de leurs pages officielles, consultées le 22 octobre 2026 (sources en bas de page). Ce n’est pas un avis juridique : en cas de doute sur votre situation, adressez-vous à la CNIL ou à un juriste.

Pourquoi le RGPD concerne-t-il le photographe ?

Le visage d’une personne identifiable est une donnée personnelle. Quand vous livrez une galerie de mariage, de naissance ou de portrait, vous traitez les données de vos clients, de leurs invités et parfois d’enfants. Vous êtes le responsable du traitement : c’est vous qui décidez de collecter ces photos et de les conserver.

Le logiciel de galerie qui les stocke et les diffuse agit pour votre compte : c’est un sous-traitant au sens du RGPD. Et c’est à vous de bien le choisir.

Que dit le RGPD sur le choix d’un logiciel de galerie ?

Deux obligations de l’article 28 du RGPD pèsent sur vous :

• Des garanties suffisantes : le responsable du traitement ne fait appel qu’à un sous-traitant qui présente des garanties suffisantes de mesures techniques et organisationnelles appropriées (article 28, paragraphe 1).
• Un contrat écrit : le traitement confié au sous-traitant est encadré par un contrat ou un autre acte juridique, qui précise l’objet et la durée du traitement, sa nature et sa finalité, le type de données et les catégories de personnes concernées (article 28, paragraphe 3). La CNIL le rappelle dans ses guides sur la sous-traitance, y compris pour les prestataires qui recourent eux-mêmes à d’autres prestataires : ils doivent y être autorisés par le responsable du traitement.

Il n’existe donc pas de règle « hébergement en Europe obligatoire » pour une galerie photo. En revanche, la question de la localisation compte à cause des transferts hors de l’Union européenne, qui doivent reposer sur un mécanisme reconnu (décision d’adéquation, clauses contractuelles types…).

Hébergé en Europe : que cela change-t-il vraiment ?

Si toutes les données restent dans l’Union européenne, vous n’avez pas à vous soucier des transferts. C’est le vrai avantage.

Mais « hébergé en Europe » est une formule large. Elle peut désigner les photos seules, ou aussi la base de données, les vidéos, les emails, le paiement. Le plus utile est de demander la liste complète des prestataires, avec le pays de chacun. Un outil qui la publie vous permet de remplir votre propre registre de traitements ; un outil qui n’en parle pas vous laisse sans réponse à donner à un client qui s’inquiète.

Que disent les principaux outils ?

Faits relevés le 22 octobre 2026 sur les pages officielles :

« Non vérifié » signifie que nous n’avons pas trouvé l’information sur une page officielle ce jour-là, pas qu’elle n’existe pas. Si Pixieset ou Pic-Time sont votre outil actuel, lisez leur accord de sous-traitance en entier : c’est lui qui fait foi.

Sépia Pro : ce qui est en Europe, et ce qui ne l’est pas

Par honnêteté, voici la liste publiée dans la politique de confidentialité de Sépia Pro :

• Base de données et connexion (Supabase) : Francfort, Allemagne.
• Photos (Cloudflare R2) : Europe de l’Ouest.
• Paiement des abonnements (Stripe) : Irlande.
• Envoi des emails (Resend) : Irlande, avec clauses contractuelles types.
• Vidéos (Cloudflare Stream) : États-Unis et réseau mondial, avec clauses contractuelles types.
• Hébergement du site (Vercel) : États-Unis, avec clauses contractuelles types.

Vos photos sont donc stockées en Europe, mais l’ensemble du service n’est pas exclusivement européen : les vidéos et l’hébergement de l’application passent par des prestataires américains, encadrés par des clauses contractuelles types. C’est exactement le genre de détail à demander à n’importe quel outil.

Quelles questions poser à son logiciel de galerie ?

1. Y a-t-il un accord de sous-traitance (DPA) ? Il doit être accessible, sans demande spéciale. Chez Sépia Pro, il fait partie des conditions.
2. Quels prestataires, dans quels pays ? Une liste nominative, à jour.
3. Comment les transferts hors UE sont-ils encadrés ? Clauses contractuelles types, décision d’adéquation, autre mécanisme.
4. Combien de temps les données sont-elles gardées ? Chez Sépia Pro, après l’arrêt de l’abonnement : 3 mois de lecture seule, puis suppression ; suppression immédiate si vous supprimez votre compte.
5. Pouvez-vous exporter et supprimer vos données vous-même ? Chez Sépia Pro, oui, depuis « Compte et forfait » ; l’export complet fait partie de la sécurité et des données.
6. Les outils de mesure d’audience sont-ils maîtrisés ? Chez Sépia Pro, Google Analytics et le pixel Meta ne se chargent sur une galerie que si le photographe les active et que le visiteur les accepte.

Et mon côté, en tant que photographe ?

Choisir un bon outil ne suffit pas. Il vous reste, en tant que responsable du traitement, à informer vos clients de l’usage de leurs photos (dans vos conditions générales ou votre devis), à ne garder les galeries que le temps utile et à protéger l’accès : mot de passe, limite de téléchargements, date d’expiration. Ces réglages existent dans Sépia Pro (voir les fonctionnalités).

Comment choisir ?

• Votre priorité est un hébergement affiché en France : Pelli l’indique sur sa page de tarifs.
• Vous voulez une liste détaillée des prestataires et des pays, avec le contrat accessible : Sépia Pro la publie, réserves comprises.
• Vous utilisez déjà Pixieset ou Pic-Time : lisez leur accord de sous-traitance et vérifiez où sont vos données avant de décider de rester.

Pour comparer prix et fonctions, voir le classement des meilleurs logiciels de galerie photo et le comparatif.