Infogérance : que doit couvrir un contrat pour une PME ?

Un contrat d'infogérance, c'est la promesse que vos outils fonctionnent, que vos données sont protégées et que quelqu'un réagit quand ça ne va pas. Encore faut-il que cette promesse soit écrite noir sur blanc. Voici les points à vérifier avant de signer, ou pour relire le contrat que vous avez déjà.

1. Un périmètre précis

Ce qui n'est pas listé n'est pas couvert.

Le contrat doit lister ce qui est couvert : serveurs, sites, applications, messagerie, postes de travail, réseau, comptes en ligne. Méfiez-vous des formules vagues comme « maintien en condition opérationnelle du système d'information » sans inventaire associé.

2. Des niveaux de service mesurables

Les engagements de service (on parle de SLA) doivent être chiffrés et adaptés à l'importance de chaque système :

• Le délai d'intervention : le temps avant qu'un technicien prenne en charge l'incident.
• Le délai de rétablissement : le temps avant que le service fonctionne à nouveau. C'est le plus engageant.
• Les plages couvertes : heures ouvrées seulement, ou aussi le soir et le week-end pour un site de vente ?
• Le taux de disponibilité visé pour les services critiques, et la façon dont il est mesuré.

Un site e-commerce qui tombe un samedi soir n'a pas les mêmes besoins qu'un intranet consulté en semaine. Les engagements doivent refléter ces différences, plutôt qu'un délai unique pour tout.

3. Les sauvegardes, et surtout la restauration

« Les sauvegardes sont faites » ne suffit pas. Le contrat doit préciser ce qui est sauvegardé, à quelle fréquence, où (au moins une copie hors site), combien de temps les sauvegardes sont conservées, et à quelle fréquence la restauration est testée. Notre guide sur la règle 3-2-1 détaille les bonnes pratiques.

4. La sécurité au quotidien

• application des mises à jour de sécurité, avec un délai maximal pour les correctifs critiques ;
• supervision et alertes : qui est prévenu, comment, en combien de temps ;
• gestion des accès : création, revue régulière, retrait au départ d'un salarié ;
• procédure en cas d'incident de sécurité, y compris l'aide à la notification à la CNIL si des données personnelles sont touchées.

5. Les données personnelles

Votre prestataire accède à vos données : il est sous-traitant au sens du RGPD. Le contrat doit comporter les clauses prévues par l'article 28 du RGPD : traitement uniquement sur vos instructions, confidentialité, mesures de sécurité, recours à d'autres sous-traitants, localisation des données, assistance en cas de violation.

6. La réversibilité

C'est la clause qu'on oublie, et celle qui compte le plus le jour où l'on veut changer. Elle doit prévoir la restitution de tous les accès (comptes d'administration, nom de domaine, hébergement), de la documentation et des données, dans un format exploitable, ainsi qu'une assistance pendant la transition. Un prestataire sérieux n'a aucune raison de refuser.

7. Documentation et suivi

• une documentation de votre système tenue à jour : architecture, accès, procédures ;
• des rapports réguliers : incidents, interventions, mises à jour, état des sauvegardes ;
• des points périodiques pour anticiper plutôt que subir.

8. Le prix et ce qu'il comprend

Forfait mensuel, enveloppe d'heures, facturation à l'intervention : chaque modèle a ses avantages. L'important est de savoir précisément ce qui est inclus dans le forfait, ce qui est facturé en plus, et à quel tarif. Les évolutions (nouveaux outils, projets) sont généralement chiffrées à part.

Les signaux qui doivent vous alerter

• Le prestataire est le seul à détenir les mots de passe d'administration.
• Aucune documentation n'existe, ou elle n'est jamais remise.
• Personne ne sait dire quand la dernière restauration a été testée.
• Les délais sont exprimés en « meilleurs efforts » plutôt qu'en heures.
• Le contrat ne dit rien de la fin de la relation.

Pour aller plus loin

Découvrez notre offre d'infogérance et de sécurité : un périmètre clair, des engagements écrits, un interlocuteur unique. Nous reprenons aussi des systèmes que nous n'avons pas construits, en commençant par un audit de l'existant.