In sintesi: non esiste un’unica definizione di cassaforte digitale conforme al RGPD in Francia. A seconda della vostra professione — risorse umane, paramedicale, contabilità, legale — i requisiti variano dal semplice isolamento crittografato fino alla certificazione NF Z42 e all’hosting HDS. Ecco una guida per orientarsi e capire perché la scelta di un WordPress sovrano possa essere sufficiente, oppure no.
Il termine «cassaforte digitale» è diventato un contenitore generico. Lo rivendicano Coffreo, Digiposte, SmartVault e persino l’ultima versione del vostro WordPress con un plugin di gestione documentale (GED) online. Non tutti questi prodotti offrono le stesse funzionalità, non coprono gli stessi obblighi e non comportano la stessa responsabilità per il fornitore. Per scegliere, bisogna innanzitutto sapere cosa si sta cercando.
Tre definizioni di cassaforte digitale, tre utilizzi
La prima definizione riguarda l’archiviazione elettronica probatoria a valore opponibile. È disciplinata dalla norma NF Z42-013 per l’archiviazione elettronica e dalla norma NF Z42-026 per l’archiviazione probatoria. Questa è la strada per grandi volumi documentali a lunga conservazione: buste paga, cartelle cliniche ospedaliere, contratti commerciali ad alto rischio. Coffreo e Digiposte operano in questo ambito. Il costo è elevato, così come la complessità di implementazione.
La seconda definizione riguarda il portale documentale cliente sicuro. È quello che fanno HoneyBook, SuiteDash, Copilot, Clustdoc o Client Vault. Questi strumenti non pretendono di sostituire un sistema di archiviazione probatoria. Risolvono un problema operativo: ricevere, validare, organizzare e conservare i documenti che i clienti depositano presso lo studio, in condizioni compatibili con il RGPD e il segreto professionale.
La terza definizione è quella di un GED (Gestione Elettronica Documentale) puramente documentale: Document Library Pro, Box, Dropbox Business. Questi strumenti archiviano e condividono. Non forniscono né la richiesta strutturata, né la marcatura temporale opponibile, né la rigorosa compartimentazione professionale. Sono utili, ma per un altro tipo di utilizzo.
Ciò che il RGPD impone a una cassaforte digitale francese
Indipendentemente dalla strada scelta, una cassaforte che tratta dati personali — ovvero quasi tutti — deve rispettare i principi del RGPD. L’articolo 32 impone misure tecniche e organizzative appropriate: crittografia a riposo, controllo degli accessi, registrazione dei log, backup. L’articolo 28 disciplina l’esternalizzazione tramite un contratto di trattamento dettagliato. L’articolo 5 impone la limitazione dei tempi di conservazione allo stretto necessario per la finalità prevista.
« Tenuto conto dello stato delle conoscenze, dei costi di attuazione e della natura, dell’ambito, del contesto e delle finalità del trattamento (…), il titolare del trattamento e il responsabile del trattamento mettono in atto misure tecniche e organizzative adeguate per garantire un livello di sicurezza adeguato al rischio. »
RGPD, articolo 32, paragrafo 1
L’articolo 32 non definisce un unico standard tecnico. Impone un ragionamento proporzionato: più il dato è sensibile, più le misure devono essere robuste. Per dati contabili o commerciali standard, una crittografia a riposo su un server francese correttamente amministrato può essere sufficiente. Per dati sanitari o dati relativi a condanne penali, è necessario molto di più.
Quando la norma NF Z42 è realmente necessaria e quando non lo è
Le norme NF Z42-013 e Z42-026 riguardano l’archiviazione elettronica. Definiscono le condizioni affinché un documento digitale sia ammissibile come prova a lungo termine in contesti critici: controversie di lavoro su buste paga risalenti a oltre cinque anni prima, contenziosi fiscali su documenti conservati oltre i termini legali, o cartelle cliniche opponibili a dieci anni.
Per questi utilizzi, Coffreo e Digiposte sono gli attori francesi in grado di coprire l’intera catena. Per le esigenze quotidiane — raccolta di documenti dei clienti, area riservata per cliente, validazione e conservazione ai sensi del RGPD — la norma NF Z42 non è richiesta dalla legge. Confonderla con la conformità al RGPD è un errore frequente.
In concreto: se siete uno studio legale che desidera un portale clienti per la raccolta di documenti, la NF Z42 non è un obbligo. Lo sono invece il RGPD, il RIN e l’articolo 66-5. Se siete un ufficio risorse umane che gestisce le buste paga di cinquemila dipendenti, vi trovate nel segmento in cui la NF Z42 ha senso. I due ambiti coesistono.
HDS: il caso specifico dei dati sanitari
L’hosting di dati sanitari è regolato da un quadro di riferimento specifico, supervisionato dall’Agence du Numérique en Santé. Il quadro HDS impone requisiti tecnici e organizzativi rafforzati in materia di sicurezza fisica, disponibilità, tracciabilità e riservatezza. La certificazione HDS viene rilasciata agli host, non agli sviluppatori di software — si tratta di una distinzione fondamentale.
In concreto: se trattate dati sanitari — cartelle cliniche, prescrizioni, follow-up terapeutici —, dovete ospitarli presso un provider certificato HDS. OVHcloud Healthcare e Outscale sono i due principali attori francesi che coprono questo perimetro. Il software che utilizzate sopra di essi, invece, non necessita di una certificazione HDS specifica: ciò che conta è l’ambiente di hosting.
Confronto delle tre principali strade in Francia nel 2026
Prima strada: un SaaS francese certificato NF Z42 — Coffreo, Digiposte. Vantaggi: elevata conformità sull’archiviazione probatoria, giurisdizione francese, solido ecosistema professionale HR. Limiti: costi elevati, complessità di integrazione, poco adatto ai piccoli studi, fuori tema per il portale cliente classico.
Seconda strada: un SaaS americano — TaxDome, SmartVault, Box, Dropbox. Vantaggi: ricche integrazioni, ecosistemi maturi, apprendimento rapido. Limiti: giurisdizione americana, esposizione al CLOUD Act, dipendenza operativa, costi ricorrenti crescenti, forte vendor lock-in.
Terza strada: un plugin WordPress sovrano ospitato presso un provider francese — Client Vault, o uno sviluppo specifico. Vantaggi: piena proprietà, hosting scelto, indipendenza dall’editore, conformità RGPD by design, costo totale controllabile. Limiti: richiede competenze WordPress, non adatto agli usi NF Z42 o HDS senza un’integrazione specifica con un provider HDS.
La griglia di scelta per caso d’uso
Gestisci un servizio HR con diverse centinaia di buste paga al mese. La strada SaaS NF Z42 è coerente. Coffreo o Digiposte. Investimento giustificato dalla massa documentale e dalla criticità della conservazione a lungo termine.
Sei un professionista paramedico e ricevi referti medici. La strada WordPress su host HDS — OVHcloud Healthcare o Outscale — è coerente. Plugin WordPress di cassaforte digitale integrato per la raccolta strutturata. Non è necessaria la certificazione NF Z42 per questo utilizzo.
Sei uno studio legale, un commercialista, un mediatore o un architetto. La strada WordPress sovrano su host francese standard è coerente. Coffreo non è necessario. TaxDome o Clio ti espongono al CLOUD Act senza benefici supplementari.
Sei un freelance, fotografo, coach, agenzia web. La strada WordPress sovrano è la più adatta. Bonsai, HoneyBook o Plutio offrono un’esperienza più rifinita ma esternalizzano i tuoi dati cliente.
Come si posiziona Client Vault in questo schema
Client Vault si colloca sulla terza strada: plugin WordPress, installazione sull’host di tua scelta, piena proprietà dei dati. Copre gli utilizzi di portale cliente e raccolta documenti per i profili che non necessitano né di NF Z42 né di HDS. Per i paramedici, Client Vault si installa su un host HDS, rendendo il tutto compatibile con i requisiti sanitari senza richiedere una certificazione editoriale specifica.
Per le agenzie WordPress che forniscono servizi ai professionisti: questa è esattamente la griglia che presentate ai vostri clienti. Per lo studio legale generico, Client Vault su OVH o Infomaniak è sufficiente. Per il fisioterapista che desidera archiviare le cartelle cliniche dei pazienti, indirizzate verso OVHcloud Healthcare. Per l’ufficio HR che deve archiviare diecimila buste paga al mese, indirizzate verso Coffreo o Digiposte. Il ruolo dell’agenzia è proprio questa intermediazione tecnica.
Limiti onesti
Client Vault non è certificato NF Z42 e non lo sarà nel prossimo futuro. Questa certificazione si rivolge a un altro mercato e impone vincoli architettonici non allineati con il segmento portale clienti. Per gli usi di archiviazione probatoria a lunghissimo termine e ad alto volume, la strada rimane quella di Coffreo, Digiposte o uno sviluppo specifico.
Client Vault richiede inoltre competenze su WordPress. Se siete soli, senza un’agenzia WP di fiducia, e la manutenzione di un sito vi sembra un peso, la via della sovranità diventa un impegno. Riconoscere questo limite significa rimanere credibili.
Conosciamoci
Se siete indecisi tra le tre opzioni per il vostro studio o per conto di un cliente, discutiamone in videochiamata. Venti o trenta minuti per comprendere il vostro caso d’uso, il volume dei documenti, i vincoli normativi e orientarvi verso la soluzione più adatta. Se non si tratta di Client Vault, ve lo dirò chiaramente.
Domande frequenti
Che cos’è una cassaforte digitale conforme al GDPR?
Una cassaforte digitale conforme al GDPR è un dispositivo che soddisfa i requisiti degli articoli 5, 28 e 32: crittografia a riposo, controllo degli accessi, tracciabilità, regolamentazione dei sub-responsabili del trattamento, limitazione dei tempi di conservazione. Il termine copre diverse realtà a seconda dell’uso professionale.
La certificazione NF Z42 è obbligatoria?
No. La norma NF Z42 disciplina l’archiviazione probatoria a lungo termine. È necessaria per utilizzi di archiviazione con elevato valore legale (grandi volumi HR, cartelle cliniche ospedaliere). Per la raccolta di documenti dei clienti in uno studio professionale, il GDPR è sufficiente come quadro di riferimento.
Un plugin WordPress può fungere da cassaforte?
Sì per utilizzi come portale cliente e raccolta documenti, a condizione che il plugin soddisfi i requisiti GDPR (crittografia, tracciabilità, compartimentazione). No per utilizzi NF Z42 o archiviazione probatoria ad altissimo valore legale, che richiedono un’architettura specifica.
Qual è la differenza tra cassaforte e GED (gestione elettronica dei documenti)?
Un sistema di GED archivia e condivide documenti. Una cassaforte va oltre: compartimentazione rigorosa per utente, tracciabilità opponibile, conformità GDPR by design, conservazione controllata. Box o Dropbox sono sistemi di GED. Coffreo, Digiposte o Client Vault sono casseforti.
Coffreo e Digiposte sono adatti a uno studio professionale?
Per un classico utilizzo del portale clienti, sono sovradimensionati e costosi. Per l’archiviazione HR di grandi volumi o per le buste paga a conservazione a lungo termine, sono perfettamente adatti. La scelta dipende dal caso d’uso, non dalla professione.
Quale hosting scegliere per una cassaforte digitale sovrana?
Per uno studio professionale standard, un host francese qualificato — OVH, Scaleway, Infomaniak, o2switch — è adeguato. Per i dati sanitari, un host certificato HDS — OVHcloud Healthcare o Outscale. Per volumi molto elevati o vincoli normativi settoriali rigorosi, valutare caso per caso.
La cifratura a riposo è obbligatoria?
Il GDPR all’articolo 32 la menziona esplicitamente tra le misure tecniche appropriate. Per dati sensibili, l’assenza di cifratura a riposo sarà difficile da giustificare in caso di controllo da parte della CNIL.
Quale durata di conservazione per tipo di documento?
Variabile in base al settore. Documenti contabili: dieci anni (R. 123-200 Codice di commercio francese). Registri di formazione: cinque anni (L. 6362-7-2 Codice del lavoro francese). Buste paga: cinquanta anni per il datore di lavoro. Dati sanitari: a seconda della professione, generalmente vent’anni per la cartella clinica ospedaliera.
{“@context”:”https://schema.org”,”@type”:”Article”,”headline”:”Coffre-fort numérique conforme RGPD France : le guide WordPress”,”author”:{“@type”:”Person”,”name”:”Dragan Stamenkovic”},”datePublished”:”2026-05-10″,”dateModified”:”2026-05-10″,”publisher”:{“@type”:”Organization”,”name”:”Client Vault”},”mainEntityOfPage”:”https://clientvault.pro/blog/coffre-fort-numerique-rgpd-france”}{“@context”:”https://schema.org”,”@type”:”FAQPage”,”mainEntity”:[ {“@type”:”Question”,”name”:”Qu’est-ce qu’un coffre-fort numérique conforme RGPD ?”,”acceptedAnswer”:{“@type”:”Answer”,”text”:”Un dispositif qui couvre les articles 5, 28, 32 du RGPD : chiffrement, contrôle d’accès, traçabilité, encadrement sous-traitance, limitation des durées.”}}, {“@type”:”Question”,”name”:”La certification NF Z42 est-elle obligatoire ?”,”acceptedAnswer”:{“@type”:”Answer”,”text”:”Non. Elle encadre l’archivage probant à long terme. Pour la collecte de pièces clients standard, le RGPD suffit.”}}, {“@type”:”Question”,”name”:”Un plugin WordPress peut-il servir de coffre-fort ?”,”acceptedAnswer”:{“@type”:”Answer”,”text”:”Oui pour les usages portail client et collecte de pièces. Non pour les usages NF Z42 ou archivage probant à très forte valeur juridique.”}}, {“@type”:”Question”,”name”:”Quelle différence entre coffre-fort et GED ?”,”acceptedAnswer”:{“@type”:”Answer”,”text”:”Une GED stocke et partage. Un coffre-fort ajoute cloisonnement strict, traçabilité opposable, conformité RGPD by design.”}}, {“@type”:”Question”,”name”:”Coffreo et Digiposte sont-ils adaptés à un cabinet ?”,”acceptedAnswer”:{“@type”:”Answer”,”text”:”Surdimensionnés pour un portail client classique. Adaptés pour archivage RH grands volumes ou bulletins de paie longs.”}}, {“@type”:”Question”,”name”:”Quel hébergement choisir pour un coffre-fort souverain ?”,”acceptedAnswer”:{“@type”:”Answer”,”text”:”OVH, Scaleway, Infomaniak ou o2switch pour un cabinet libéral. OVHcloud Healthcare ou Outscale pour les données de santé.”}}, {“@type”:”Question”,”name”:”Le chiffrement au repos est-il obligatoire ?”,”acceptedAnswer”:{“@type”:”Answer”,”text”:”Mentionné par l’article 32 RGPD. Difficile à justifier son absence en cas de contrôle CNIL pour des données sensibles.”}}, {“@type”:”Question”,”name”:”Quelle durée de conservation par type de document ?”,”acceptedAnswer”:{“@type”:”Answer”,”text”:”Pièces comptables 10 ans, émargements formation 5 ans, bulletins de paie 50 ans côté employeur, DPI santé généralement 20 ans.”}} ]}
