Étape du parcours d'externalisation
Réversibilité, sous-traitance RGPD, propriété des données, durée et sortie : ce que le contrat doit écrire.
Un contrat d'infogérance protège l'entreprise s'il écrit quatre choses : comment on en sort, ce que le prestataire fait des données personnelles, à qui appartiennent les données et les accès, et pour combien de temps on s'engage. Le reste (prix, périmètre, niveaux de service) découle du cahier des charges. Ce guide ne remplace pas la relecture d'un juriste ; il vous aide à savoir quoi lui demander de vérifier.
La réversibilité est la capacité de reprendre l'informatique confiée, vous-même ou avec un autre prestataire. Dans son guide sur la maîtrise des risques de l'infogérance, l'ANSSI écrit : « De façon générale, la question de la réversibilité doit être une préoccupation permanente du donneur d’ordres. » Le même guide demande que les conditions, délais et formats de restitution des données figurent dans le contrat.
Une clause de réversibilité utile précise ce qui est rendu (données, documentation, comptes), dans quel format, dans quel délai, avec quelle assistance et à quel prix. Le dossier clause de réversibilité : ce qu'elle doit prévoir en détaille la rédaction.
Dès qu'il accède à des données personnelles (fichiers clients, paie, messagerie), le prestataire d'infogérance agit pour votre compte : c'est un sous-traitant au sens de l'article 28 du RGPD. Ce texte impose un contrat qui définit l'objet, la durée, la nature et la finalité du traitement, et qui prévoit notamment qu'au terme de la prestation le sous-traitant supprime les données ou vous les renvoie, à votre choix. La CNIL propose des exemples de clauses de sous-traitance à adapter à chaque prestation.
Deux points se vérifient souvent trop tard : le prestataire ne peut pas recruter un autre sous-traitant sans votre autorisation écrite préalable, et il doit permettre des audits. Le dossier les clauses de sous-traitance de l'article 28 les reprend une par une.
Les données vous appartiennent ; les comptes et les licences, pas toujours. Un abonnement souscrit au nom du prestataire, un nom de domaine déposé par lui, un compte administrateur dont vous n'avez pas le mot de passe : chacun devient un obstacle le jour du départ. Écrivez que les abonnements, licences et noms de domaine sont au nom de l'entreprise, et que les comptes administrateur restent sous votre contrôle. Pour Microsoft 365, Microsoft documente un accès délégué pour les partenaires que le client doit accorder explicitement et qui peut être limité dans le temps.
La durée d'engagement, le préavis et les frais de sortie se lisent ensemble. Un contrat court sans clause de réversibilité retient autant qu'un contrat long : ce qui compte est ce qui se passe le jour du départ. Notez la date limite de dénonciation dans votre agenda dès la signature. Le dossier durée, engagement, résiliation détaille les clauses à lire.
L'ANSSI recommande que la consultation aboutisse à un plan d'assurance sécurité (PAS) rédigé par le titulaire, qui décrit comment il répond à vos exigences, et à un comité de suivi de la sécurité dont la fréquence, les participants et le périmètre sont fixés. Pour une PME, ce plan peut tenir en quelques pages ; il donne un support aux revues de service de la dernière étape, piloter et changer.
Un contrat relu, avec sa clause de réversibilité, ses clauses de sous-traitance conformes à l'article 28, la liste des comptes et abonnements qui restent au nom de l'entreprise, et la date limite de dénonciation notée. La bascule se prépare à l'étape suivante : migrer et passer la main. Les termes juridiques sont repris dans le lexique.
Une clause de réversibilité dit comment vous récupérez votre informatique en fin de contrat : quoi, sous quel format, dans quel délai, avec quelle aide, à quel prix. L'ANSSI en fait une préoccupation permanente.