Contractualiser avec les éditeurs de solutions métier : engagements, responsabilités et points de vigilance

Un logiciel métier peut porter la facturation, la relation client, les dossiers, les plannings ou une partie essentielle de la production. Avant de contractualiser avec son éditeur, le prix et la liste des fonctions ne suffisent pas : il faut aussi rendre lisibles les engagements de service, les responsabilités, la protection des données et les conditions de sortie.

Commencer par cartographier la dépendance métier

Le niveau d’exigence dépend de l’impact d’une indisponibilité. Une application consultée ponctuellement n’appelle pas les mêmes garanties qu’un outil sans lequel les équipes ne peuvent plus enregistrer une commande, accéder à un dossier ou établir une facture.

• Quels processus s’arrêtent si la solution est indisponible pendant deux heures, une journée ou davantage ?
• Quelles données sont stockées, où le sont-elles et à quelle fréquence évoluent-elles ?
• Quelles interfaces relient la solution à la comptabilité, au site web, à la messagerie ou à d’autres applications ?
• Existe-t-il une procédure de travail temporaire si le service est interrompu ?

Les engagements à rendre explicites

Périmètre fonctionnel et conditions d’évolution

Le contrat, ses annexes ou le bon de commande doivent identifier l’édition souscrite, les modules, le nombre d’utilisateurs, les environnements inclus et les éventuelles limites. Il est également utile de savoir comment sont annoncés la suppression d’une fonction, l’arrêt d’une version, une modification d’interface ou un changement d’API.

Disponibilité, maintenance et continuité

Un pourcentage de disponibilité n’est utile que si sa méthode de calcul est définie : plage de mesure, maintenances exclues, durée minimale d’un incident et modalités de constat. Pour les usages critiques, précisez aussi les fenêtres de maintenance, les délais d’information et les mesures prévues pour restaurer le service.

Support, niveaux de priorité et escalade

Les horaires, canaux et langues du support doivent être adaptés aux usages de l’entreprise. Distinguez le délai de première réponse du délai de résolution. Vérifiez enfin qui peut ouvrir un incident critique, comment sa priorité est déterminée et à quel moment il est escaladé vers une équipe spécialisée.

Sécurité et gestion des incidents

Le niveau attendu dépend de la sensibilité des données et de l’exposition du service. Le contrat doit permettre de comprendre les mesures d’authentification, de chiffrement, de journalisation, de sauvegarde et de correction des vulnérabilités, ainsi que les délais et le canal de notification en cas d’incident de sécurité.

Données personnelles et sous-traitants

Lorsque l’éditeur traite des données personnelles pour le compte de l’entreprise, la qualification des parties et les obligations prévues par l’article 28 du RGPD doivent être formalisées. La CNIL recommande notamment de vérifier les garanties de sécurité, la localisation effective des données, les sous-traitants ultérieurs et les conditions d’un éventuel transfert hors de l’Union européenne.

Sauvegarde et restauration

Une fonction d’export n’est pas nécessairement une sauvegarde, et une sauvegarde technique de l’éditeur n’est pas toujours restaurable à la demande d’un client. Il faut préciser ce qui est sauvegardé, la durée de conservation, la fréquence, les conditions de restauration et la répartition des responsabilités.

Préparer la réversibilité avant de signer

La sortie ne doit pas être étudiée uniquement au moment de résilier. Une réversibilité exploitable décrit les données récupérables, leurs formats, les pièces jointes, l’historique, les paramètres et, si nécessaire, la documentation des interfaces. Elle précise également les délais, les coûts, l’assistance disponible et la date de suppression définitive chez l’éditeur.

• Format : les fichiers sont-ils documentés et utilisables sans l’application d’origine ?
• Exhaustivité : l’export inclut-il les documents, liens, journaux et champs personnalisés utiles ?
• Délai : combien de temps les données restent-elles accessibles après la fin du contrat ?
• Coût : l’extraction standard et l’assistance à la migration sont-elles incluses ou facturées séparément ?
• Suppression : comment l’éditeur confirme-t-il l’effacement des copies qui ne doivent plus être conservées ?

Répartir les responsabilités sans zone grise

Une solution métier fait souvent intervenir l’éditeur, un intégrateur, le prestataire informatique et un référent interne. Chacun peut supposer qu’une action relève d’un autre : création des comptes, configuration de la MFA, sauvegarde, mise à jour d’un connecteur, assistance des utilisateurs ou contrôle des droits.

Une matrice simple doit indiquer qui réalise l’action, qui décide, qui doit être consulté et qui reçoit l’information. Elle est particulièrement utile lors de l’arrivée ou du départ d’un collaborateur, d’une évolution majeure et d’un incident impliquant plusieurs fournisseurs.

Anticiper le renouvellement et les changements de prix

La durée d’engagement, la reconduction, le préavis et les modalités de résiliation doivent être inscrits dans un calendrier de suivi. Examinez aussi les règles de révision tarifaire, les minimums de licences, la facturation des utilisateurs inactifs et le devenir des remises initiales.

Idéalement, le bilan commence plusieurs mois avant l’échéance : usages réels, incidents, qualité du support, fonctions devenues inutiles, besoins nouveaux et faisabilité d’une alternative. Cette anticipation redonne du temps pour négocier ou préparer une migration.

Dix questions à poser à l’éditeur

1. Quel est exactement le périmètre inclus dans le prix annoncé ?
2. Comment la disponibilité est-elle mesurée et quelles interruptions sont exclues ?
3. Quels délais s’appliquent selon la gravité d’un incident ?
4. Où les données sont-elles hébergées et quels sous-traitants interviennent ?
5. Quelles mesures protègent les comptes, les échanges et les données stockées ?
6. Comment une restauration est-elle demandée, testée et facturée ?
7. Quels changements de produit ou de prix peuvent intervenir pendant le contrat ?
8. Dans quels formats récupérons-nous nos données et nos documents ?
9. Quel accompagnement est prévu en fin de contrat et à quel coût ?
10. Qui coordonne l’éditeur, l’intégrateur et notre prestataire informatique en cas de difficulté ?