Contrat avec un MSP : clauses de sortie, accès et données

• Propriété des accès Chaque compte administrateur appartient au client ; le prestataire n'en est jamais l'unique titulaire.
• Dossier technique Inventaire, plan du réseau, configuration du pare-feu et des sauvegardes, toujours à jour et remis à la clôture.
• Données personnelles Dès lors qu'il y a accès, le RGPD (article 28) impose un accord écrit incluant la restitution ou la destruction des données à la fin.
• Sortie Un préavis réaliste, sans durée d'engagement et sans pénalité de résiliation.

Des semaines de dépendance. Personne ne demande les identifiants tant que tout va bien ; la question surgit le jour où l'entreprise veut changer, pour le prix, la qualité ou parce qu'elle a grandi. C'est alors qu'apparaissent des cas comme ceux-ci :

• Microsoft 365 L'administrateur global est l'adresse personnelle d'un technicien de l'ancien prestataire.
• Domaine L'adresse du site est enregistrée avec le fournisseur comme titulaire.
• Pare-feu Personne ne connaît le mot de passe, et la seule issue est de tout effacer et de reconfigurer de zéro.
• Sauvegardes Elles sont stockées sur un abonnement cloud d'un tiers.

Pas besoin de malhonnêteté. Il suffit d'un prestataire qui, par commodité, a tout mis à son nom. Le résultat se répète : le client devient captif. Avant d'avancer, lisez notre guide pour changer de prestataire IT en toute sécurité.

Toujours au client. Le MSP accède avec des comptes individuels, créés par l'entreprise et que l'entreprise désactive le dernier jour de service.

En pratique : l'accès administrateur ouvre toutes les portes d'un système. Une copie de chacun de ces accès doit être conservée dans un lieu contrôlé par la direction, par exemple un coffre d'identifiants professionnel.

Exigez par écrit :

• Accès de secours Un compte de l'entreprise sur chaque système vital : Microsoft 365, pare-feu, serveurs, réseau sans fil et sauvegardes.
• Bon titulaire Domaines, abonnements et licences enregistrés avec l'entreprise comme propriétaire.
• Coffre commun Avec un accès direct pour la direction. Découvrez comment mettre en place un gestionnaire de mots de passe professionnel.

Celle qui permet à un autre technicien de reprendre le lendemain. Sans elle, le nouveau prestataire passe des semaines à reconstituer le plan de l'installation, et c'est le client qui paie ces heures. Le contrat doit exiger un dossier vivant comprenant :

• Équipements Postes, serveurs, switches, points d'accès, pare-feu et onduleurs, tous listés.
• Architecture réseau Topologie, plan d'adressage IP et VLAN séparés pour l'équipe, les visiteurs et la vidéosurveillance.
• Protection Politiques du pare-feu et connexions VPN autorisées.
• Sauvegardes La stratégie de sauvegarde : quoi, vers où, à quelle fréquence et la date de la dernière restauration vérifiée.
• Licences Logiciels, contrats associés et dates de renouvellement.

Que le prestataire est un sous-traitant et qu'un accord écrit est nécessaire. En gérant vos serveurs et vos postes, le MSP touche à des données personnelles, de clients, de collaborateurs, de patients ou de clients d'hôtel. L'entreprise est responsable du traitement ; le prestataire traite pour son compte. L'article 28 impose que l'accord garantisse, entre autres, que le prestataire :

1. ne traite les données que sur instructions écrites du client ;
2. soumet son équipe à une obligation de confidentialité ;
3. applique les mesures de sécurité prévues à l'article 32 ;
4. ne fait intervenir aucun autre sous-traitant sans autorisation préalable ;
5. aide le client à répondre aux demandes des personnes concernées et à remplir ses obligations de sécurité et de notification des violations ;
6. à la fin du service, restitue ou détruit les données personnelles, au choix du client, sauf obligation légale de les conserver ;
7. fournit les éléments prouvant sa conformité et permet les audits.

DataRoad applique les mesures techniques ; elle ne fournit pas de conseil juridique. Le texte final de l'accord doit être revu par le juriste de l'entreprise ou par son DPO.

Un préavis qui permet une transition ordonnée sans enfermer le client. Des engagements de plusieurs années, des pénalités de sortie anticipée et des délais de résiliation irréalistes sont des signaux d'alerte. Un MSP sérieux retient ses clients par le service, pas par les petites lignes.

Le contrat IT Unlimited est annuel, se renouvelle automatiquement et aucun engagement de durée. Deux mois suffisent pour transmettre l'exploitation sereinement, sans laisser l'entreprise sans protection. Nous expliquons aussi pourquoi nous travaillons uniquement sous contrat, jamais en interventions ponctuelles.

1. Remise du dossier : documentation revue et à jour.
2. Accès : tous les identifiants administrateur transférés ou validés.
3. Séance de passation : les deux prestataires autour de la même table.
4. Coupure : le prestataire sortant ne perd ses accès qu'une fois que le nouveau a confirmé qu'il accède à tout.
5. Données : restituées ou détruites, avec une déclaration écrite.

Pour les engagements pendant le contrat, délais et pénalités, consultez les clauses de SLA qui font la différence.

Le groupe France Affiches (impression grand format, siège près de Paris et activités en France, en Espagne et au Portugal) a demandé à DataRoad un audit IT complet, sur site. L'équipe a analysé le réseau tel qu'il existait réellement, le cycle de vie et le support de chaque équipement, le pare-feu, les comptes à privilèges, la protection des postes et les sauvegardes, tests de restauration compris.

Chaque point a été classé selon trois niveaux : risque à traiter immédiatement, dette technique à planifier ou situation acceptable. Cet état des lieux est exactement ce que l'entreprise doit avoir en main avant de changer de MSP. Découvrez l'audit réalisé pour France Affiches.

Nous vérifions qui est titulaire des comptes administrateur, des domaines, des licences et des sauvegardes de votre entreprise et vous remettons la liste de ce qu'il faut corriger pour ne dépendre d'aucun prestataire. Demandez une proposition sans engagement.

Plus de 10 postes · contrat d'assistance · support à distance, sur site et par téléphone. Appelez le +351 211 459 950 * ou écrivez à sales@dataroad.pt.

*Appel vers un fixe portugais.

• Texte officiel du RGPD sur EUR-Lex (articles 28 et 32)