Contrat informatique : les clauses de sortie et de données qu’il doit exiger

8 min de lecture · DataRoad

Un contrat informatique La bonne qualité n’est pas évaluée le jour où elle est signée. Elle est évaluée le jour où elle prend fin. C’est à ce moment-là que l’on découvre si l’entreprise possède les mots de passe de ses propres systèmes, si la documentation réseau existe et si les données sont restituées intégralement. Les clauses que l’entreprise doit exiger sont peu nombreuses, simples et faciles à vérifier — à condition de les lire avant de signer.

Nous avons écrit ce guide en tant que prestataire de services. Au cours de nos 11 années sur le marché, nous avons constaté que les mêmes problèmes se répétaient lors des changements de fournisseur — et presque tous les problèmes pouvaient être évités grâce à une dizaine de clauses dans le contrat.

Pourquoi la clause de sortie est la partie la plus importante du contrat

Alors que tout se passe bien, personne ne demande où se trouvent les mots de passe. Le problème survient lorsque l'entreprise décide de changer de fournisseur — pour des raisons de prix, de qualité ou parce qu'elle a grandi — et découvre que :

• le compte administrateur de Microsoft 365 est enregistré sur le compte e-mail de l’ancien technicien ;
• le domaine du site a été enregistré au nom du fournisseur ;
• Personne ne connaît le mot de passe du pare-feu, et la seule façon d'y accéder est de réinitialiser l'appareil à ses paramètres d'usine ;
• Les sauvegardes sont stockées sur un compte de cloud qui n’appartient pas à l’entreprise.

Aucune de ces situations ne nécessite de mauvaise foi. Il suffit d’un fournisseur qui, pour convenance, a traité tout cela en son nom. Le résultat est le même : l’entreprise reste en captivité. Si vous vous trouvez dans cette situation, découvrez comment préparer la transition. Passer d'une entreprise informatique sans risque.

Mot de passe et accès administrateur : de qui sont-ils ?

La règle est simple : Tous les accès appartiennent à l'entreprise cliente. Le fournisseur travaille avec des comptes propres, nominaux, qui lui sont attribués — et qui peuvent être désactivés le jour où le contrat prend fin.

En pratique, cela signifie que le contrat doit prévoir :

• une compte d’administrateur d’urgence, au nom de l’entreprise, pour chaque système critique (Microsoft 365, pare-feu, serveurs, réseau Wi-Fi, sauvegardes);
• registre des domaines, licences et abonnements au nom de l'entreprise ;
• un coffre-fort de mots de passe partagés auquel l'administration a accès directement. Nous expliquons comment cela fonctionne dans l'article consacré à Gestionnaire de mots de passe dans l'entreprise.

Documentation de la chaîne : le plan que vous devez garder avec vous

Sans documentation, le nouveau fournisseur passe des semaines à découvrir ce qui existe — et ce temps est payé. Le contrat doit obliger le fournisseur à maintenir à jour et à fournir à la fin un dossier comprenant :

• inventaire des équipements (ordinateurs, serveurs, commutateurs, points d'accès, pare-feu, UPS);
• schéma du réseau, adresse et VLAN (réseaux séparés pour l'équipe, les invités, les caméras);
• règles de la sécurité de la zone protégée et des connexions à distance (VPN);
• Politique de sauvegarde: ce qui a été copié, vers où, à quelle fréquence et quand a été effectué le dernier test de récupération ;
• liste des licences, des contrats logiciels et des dates de renouvellement.

Données et RGPD : que dit l’article 28.º

Lorsque un fournisseur informatique accède à ses systèmes, il accède également aux données personnelles – de clients, de collaborateurs, de patients ou de visiteurs. Conformément au Règlement général sur la protection des données (RGPD), votre entreprise est le “ responsable du traitement ” et le fournisseur est un “ sous-traitant ”.

L’article 28 du RGPD exige que cette relation soit régie par un contrat écrit. Parmi d’autres points, le contrat doit prévoir que le sous-traitant :

1. ne traite les données que conformément aux instructions documentées de votre entreprise ;
2. garante que celui qui accède aux données a assumé un engagement de confidentialité ;
3. adopte les mesures de sécurité requises par l’article 32 ;
4. Il ne recourra qu’à un autre sous-traitant avec l’autorisation de son entreprise ;
5. Il aide à répondre aux demandes des titulaires de données et à remplir les obligations de sécurité et de notification ;
6. à la fin du service, efface ou rend tous les données personnelles, Selon le choix de votre entreprise, sauf si la loi exige leur conservation ;
7. Il fournit les informations nécessaires pour démontrer le respect des normes et permet des audits.

Une note importante : DataRoad met en œuvre les mesures techniques, mais ne fournit pas de conseils juridiques. Pour la rédaction finale de ces clauses, validez le texte auprès de votre juriste ou de votre responsable de la protection des données.

Préavis, renouvellement et fidélisation

Soyez sceptique quant aux contrats de fidélisation longue durée, aux pénalités de départ anticipé ou aux préavis difficiles à respecter. Restez fidèle à un fournisseur en fonction de la qualité du service, pas de la clause contractuelle.

Dans DataRoad, le contrat IT Unlimited Il s’agit d’un contrat annuel, renouvelable automatiquement, avec un préavis de 60 jours et sans engagement. Soixante jours est le temps nécessaire pour une démission de témoin faite avec calme, sans laisser l’entreprise à découvert. Et si vous voulez comprendre pourquoi nous travaillons toujours par contrat, nous expliquons ci-dessous. Pourquoi ne fournissons-nous pas une assistance informatique ponctuelle (et pourquoi cela protège votre entreprise).

Passage de témoin : comment doit se dérouler la sortie ?

Le contrat doit décrire ce qui se passe dans les derniers jours de la relation, et ne pas laisser à la seule volonté de chacun :

1. livraison du dossier de documentation actualisé ;
2. livraison ou confirmation de toutes les autorisations d’administrateur ;
3. une réunion technique avec le nouveau fournisseur ;
4. désactivation des comptes du fournisseur qui quitte l’entreprise, après confirmation des accès du nouveau ;
5. retour ou suppression des données, avec confirmation écrite.

Pour les délais de réponse et les pénalités pendant le contrat, consultez notre guide sur SLA dans les contrats informatiques : ce qu’il faut exiger.

Liste de contrôle : 10 clauses à vérifier dans votre contrat informatique

Un cas réel : audit informatique en France Affiches

Le groupe France Affiches, imprimeur de grande format basé dans la région parisienne et disposant de sites en France, en Espagne et au Portugal, a demandé à DataRoad une vérification complète des systèmes informatiques, effectuée sur place. Cette vérification a porté sur la topologie réelle du réseau, l’état de fonctionnement des équipements, les règles de sécurité des pare-feu, les comptes privilégiés, la protection des équipements et les sauvegardes — y compris des tests de reprise d’activité.

Le résultat a été un rapport écrit classant chaque point comme étant à haut risque immédiat, à risque technique à planifier ou acceptable. C’est précisément ce type de documentation qui doit être disponible — et détenu par l’entreprise — lors du changement de fournisseur. Lire la suite cas France Affiches.

Foire aux questions

Le fournisseur d'informatique peut-il garder les mots de passe de mon entreprise ?

Vous pouvez les utiliser pendant le contrat, mais vous ne devriez pas être le seul à les avoir. Toutes les comptes d’administrateur doivent appartenir à l’entreprise, avec une copie dans un coffre-fort de mots de passe auquel l’administration a accès directement.

Dois-je conclure un accord RGPD avec l'entreprise informatique ?

Oui, chaque fois que le fournisseur a accès aux données personnelles dans ses systèmes. L’article 28 du RGPD exige un contrat écrit avec le sous-traitant, qui inclura, entre autres points, le retour ou l’élimination des données à la fin du service.

Quel est le préavis du contrat de DataRoad ?

Le contrat IT Unlimited est annuel, avec renouvellement automatique, 60 jours d'avertissement préalable et sans fidélisation.

Que dois-je recevoir lorsque j'achève le contrat ?

La documentation actualisée du réseau et des systèmes, toutes les autorisations d’administrateur, la confirmation que les domaines, les licences et les sauvegardes sont sous le nom de l’entreprise et le retour ou l’élimination des données, confirmés par écrit.

Revision technique de votre contrat et accès dans 5 jours ouvrables

Nous vérifions qui détient les accès administrateurs, les domaines, les licences et les sauvegardes de votre entreprise, et nous vous fournissons la liste des éléments manquants pour ne pas dépendre de personne. Pour les entreprises avec plus de 10 postes · contrat d'assistance · support local et téléphonique.

Sources

• Règlement (UE) 2016/679 (RGPD), EUR-Lex — article 28 (Sous-traitant) et article 32 (Sécurité du traitement)