Pour les photographes indépendants et les studios

RGPD et sous-traitance

Ce que le règlement impose au photographe qui confie les photos de ses clients à une plateforme — et ce qu'il faut vérifier avant de choisir.

Mis à jour : October 2026

Cette page explique un mécanisme juridique en termes pratiques. Elle ne constitue pas un conseil juridique : pour une situation précise, un avocat ou un délégué à la protection des données reste l'interlocuteur adapté.

Le photographe est responsable de traitement

Dès que vous photographiez des personnes identifiables et que vous conservez leurs images, leurs noms ou leurs adresses e-mail, vous traitez des données personnelles. Le RGPD vous désigne alors comme responsable de traitement : c'est vous qui décidez pourquoi et comment ces données sont utilisées.

Il n'existe pas de seuil d'effectif qui vous en dispenserait. Un photographe seul, en micro-entreprise, est responsable de traitement au même titre qu'un studio de quinze personnes — la différence porte sur l'ampleur des mesures attendues, pas sur le principe.

La plateforme est sous-traitant

Quand vous déposez ces photos sur une galerie en ligne, le prestataire les traite pour votre compte. Il devient sous-traitant au sens de l'article 28 du RGPD. Ce même article exige que la relation soit encadrée par un contrat écrit — un contrat de sous-traitance, parfois appelé accord de traitement des données ou DPA.

Ce n'est pas une formalité d'entreprise. C'est ce contrat qui rend opposable la promesse d'un prestataire : sans lui, « nous sommes conformes au RGPD » est une affirmation commerciale, pas un engagement. Un prestataire qui n'en propose aucun ne vous laisse rien à faire valoir en cas d'incident.

Ce que le contrat doit contenir

L'article 28.3 énumère les points obligatoires. Un contrat sérieux traite au minimum :

  • L'objet, la durée, la nature et la finalité du traitement.
  • Les catégories de données et les catégories de personnes concernées — pour un photographe : images, noms, adresses e-mail des clients et des personnes photographiées.
  • Les mesures de sécurité techniques et organisationnelles : chiffrement, contrôle d'accès, journalisation.
  • Le recours à d'autres sous-traitants — qui ils sont, et comment vous êtes informé d'un changement.
  • L'assistance du sous-traitant lorsqu'une personne exerce ses droits, ou en cas de violation de données.
  • Le sort des données en fin de contrat : restitution ou suppression, à votre choix.
  • Les transferts hors Union européenne, s'il y en a, et sur quelle base juridique.

Les trois questions à poser à une galerie en ligne

  • Où sont physiquement les fichiers ? Pas « en Europe » en général : quelle région, quel pays. La réponse doit être vérifiable.
  • Proposez-vous un contrat de sous-traitance ? Et sous quelle forme — annexé aux conditions générales, ou signé séparément.
  • Que se passe-t-il à la suppression ? Délai réel, sauvegardes comprises, et ce qui subsiste en données anonymisées.

Nos réponses

L'application, la base de données et les fichiers image se trouvent à Francfort : les images dans la région AWS eu-central-1, l'application et la base dans le centre de données de l'hébergeur au même endroit ; les sauvegardes quotidiennes en France. Les trois sont dans l'Union européenne. Ce que cela ne veut pas dire : qu'aucune entreprise américaine n'intervient. AWS est une société américaine exploitant des centres de données européens, et nous préférons l'écrire ici plutôt que de laisser croire à une « solution 100 % française ». Un prestataire qui passe cette distinction sous silence vous en apprend déjà beaucoup.

Les galeries sont privées par défaut, un mot de passe peut être exigé par galerie, et la suppression d'une galerie emporte ses images et ses métadonnées. Le détail des traitements et de leurs durées figure dans notre politique de confidentialité. Pour un contrat de sous-traitance adapté à votre activité, écrivez au support : nous le traitons au cas par cas plutôt que de faire signer un formulaire générique.

Durée de conservation : ce que vous décidez

Le RGPD impose une limitation de la durée de conservation sans fixer de chiffre : la durée doit être justifiable, annoncée et respectée. Six à douze mois après livraison, avec un rappel adressé au client avant suppression, est une pratique répandue et défendable — assez pour les commandes de tirages, assez court pour ne pas devenir un archivage perpétuel que vous ne sauriez pas justifier.

Questions fréquentes

Un photographe indépendant est-il vraiment concerné ?

Oui. Le RGPD ne prévoit pas de seuil d'effectif pour l'application de ses principes ; ce sont les obligations formelles les plus lourdes, comme le registre détaillé, qui s'allègent pour les petites structures.

Les conditions générales suffisent-elles ?

Non, sauf si elles contiennent explicitement les clauses de l'article 28. Des conditions générales ordinaires régissent la relation commerciale, pas le traitement des données pour votre compte.

Et pour les photos des invités déposées par QR code ?

Ce sont aussi des données personnelles, et les personnes qui les déposent sont concernées au même titre. Prévenez le couple en amont, et gardez la validation des dépôts : voir la page galerie photo mariage.

Faut-il payer pour essayer ?

Non. L'offre gratuite comprend 2 GB de stockage et jusqu'à 2 galeries, sans carte bancaire.

Commencer gratuitement →   ou   Politique de confidentialité   ·   Livrer ses photos clients