# Sites scolaires mutualisés : ce que l’académie impose à l’hébergement > Avant de candidater à un marché d'établissement scolaire, mieux vaut connaître les exigences d'hébergement académique et RGPD élèves qu'impose le rectorat. - Auteur : WordPress Développement - Publié le : 2020-04-06 - Mis à jour le : 2020-04-06 - Catégorie : Hébergement & serveurs - URL : https://www.wpmoderne.fr/hebergement/sites-scolaires-mutualises-academie-hebergement/ ## L’essentiel - Hébergement en France ou UE souvent imposé par convention académique - Journalisation des accès et durée de conservation limitée - Isolation stricte entre établissements sur un même mutualisé Trente-deux académies, autant de chartes numériques, et pourtant les mêmes exigences reviennent presque à l'identique d'un rectorat à l'autre dès qu'il s'agit d'héberger le site d'une école, d'un collège ou d'un lycée. Une agence qui répond pour la première fois à ce type de marché découvre souvent ces contraintes après avoir signé le devis, au moment où le service informatique académique demande à valider l'hébergeur. Ce n'est pas la pédagogie du site qui est en jeu ici, ni son contenu éditorial, mais bien l'infrastructure qui le porte : localisation des données, traçabilité des accès, isolation entre sites et durée de vie des sauvegardes. Autant de points à vérifier avant de s'engager, car un changement d'hébergeur en cours de marché coûte cher en temps et en crédibilité. ## La localisation des données, premier filtre La quasi-totalité des chartes académiques exige que les données soient hébergées sur le territoire français ou, à défaut, dans l'Union européenne. Ce n'est pas une lubie administrative : les établissements scolaires traitent des données de mineurs, catégorie particulièrement encadrée par la CNIL. Un hébergeur situé hors UE, même conforme au RGPD sur le papier via des clauses contractuelles types, est refusé dans la majorité des cahiers des charges consultés. Concrètement, cela élimine d'office certains hébergeurs mutualisés bas coût dont les data centers sont répartis sans garantie de localisation précise. Il faut demander par écrit l'adresse physique des serveurs et, idéalement, une attestation. ## Journalisation, durée de conservation et accès > L'essentiel à retenir : Hébergement en France ou UE souvent imposé par convention académique ; Journalisation des accès et durée de conservation limitée ; Isolation stricte entre établissements sur un même mutualisé Le rectorat demande presque systématiquement la conservation des journaux de connexion (logs d'accès au back-office, tentatives de connexion échouées) sur une durée définie, souvent alignée sur les recommandations de la CNIL pour ce type de traitement. Passé ce délai, les logs doivent être supprimés ou anonymisés, ce qui suppose une politique de rotation configurée dès la mise en service, pas ajoutée après coup. Il faut aussi pouvoir désigner nommément qui, côté agence ou hébergeur, dispose d'un accès administrateur au serveur. Les rectorats demandent régulièrement la liste des comptes techniques et leur rôle exact. ## Isolation entre établissements sur un mutualisé Beaucoup d'académies mutualisent l'hébergement de plusieurs dizaines d'écoles sur une infrastructure commune pour des raisons budgétaires. Cette mutualisation est acceptée à condition que chaque établissement soit isolé des autres : bases de données séparées, comptes système distincts, et surtout aucune fuite possible d'un site vers l'autre en cas de faille sur un thème ou une extension. - Une base MySQL par établissement, jamais une base partagée avec préfixes de table différents - Des quotas de ressources par site pour éviter qu'une école ne fasse tomber les autres - Une sauvegarde individualisée, restaurable indépendamment des autres sites du parc Sur WordPress, cela signifie généralement écarter le multisite natif au profit d'installations indépendantes, sauf si l'isolation par sous-site est explicitement validée par le rectorat concerné. ## Ce que demande concrètement le cahier des charges Dans la pratique, les documents transmis par les académies mentionnent souvent trois familles d'exigences : la localisation géographique des données, un engagement de réversibilité (récupération complète des données en cas de fin de contrat) et une clause de confidentialité opposable au sous-traitant hébergeur, pas seulement à l'agence qui répond au marché. > Un point trop souvent oublié : la clause de réversibilité doit être vérifiée avant la signature, pas négociée après. Un hébergeur qui facture l'export de la base de données ou qui le rend techniquement pénible pose un vrai problème contractuel. Il est aussi recommandé de demander à l'hébergeur pressenti une attestation de conformité RGPD spécifique aux données mineures, distincte de la conformité RGPD générale qu'affichent la plupart des prestataires. ## Anticiper la validation par le service informatique académique Le délai de validation d'un hébergeur par le service informatique du rectorat varie fortement d'une académie à l'autre, de quelques jours à plusieurs semaines. Pour éviter les mauvaises surprises, mieux vaut soumettre le dossier hébergeur en parallèle de la réponse au marché, pas après l'attribution. Certaines académies publient une liste d'hébergeurs pré-validés qui simplifie considérablement la démarche. Il est utile de préparer un dossier type réutilisable pour les prochains marchés : fiche technique de l'hébergeur, localisation des data centers, politique de sauvegarde et de rétention des logs, procédure de réversibilité. Ce dossier, une fois constitué, fait gagner un temps précieux sur chaque nouvelle candidature. ## En résumé Héberger le site d'un établissement scolaire ne relève pas d'un choix technique ordinaire : c'est un exercice de conformité où le rectorat impose ses propres règles, souvent plus strictes que le RGPD générique. Localisation des données, isolation stricte entre sites, journalisation encadrée et réversibilité contractuelle forment le socle à vérifier avant toute candidature. Une agence qui maîtrise ces exigences en amont gagne un avantage réel face à des concurrents qui les découvrent au moment de la validation par le rectorat.