Contrat d'infogérance : que doit-il contenir ?

Objet et périmètre : la clause la plus importante du contrat

La majorité des litiges en infogérance naissent d'un périmètre flou. L'article « objet » doit dire clairement quels services sont rendus (supervision, maintenance, support utilisateurs, sauvegarde, sécurité, gestion des licences…) et sur quels systèmes : nombre de postes et de serveurs, équipements réseau, messagerie, applications métier, sites distants, télétravailleurs. Il doit aussi dire ce qui est exclu : projets (migrations, déménagements), matériel hors garantie, logiciels non listés, interventions provoquées par un tiers.

Une bonne pratique consiste à rédiger le périmètre sous forme de tableau : une ligne par service, avec ce qui est inclus, ce qui ne l'est pas, les horaires et le mode d'intervention (à distance, sur site). Ce tableau sert ensuite de référence en cas de désaccord.

L'inventaire annexé et l'évolution du parc

La liste des équipements et logiciels couverts doit figurer en annexe, datée, et être mise à jour à chaque évolution du parc. Sans inventaire, impossible de savoir si un poste, une imprimante ou une application « oubliée » est couverte. Vérifiez trois points concrets :

• Qui tient l'inventaire à jour, à quelle fréquence, et comment vous y accédez (export, outil de gestion de parc consultable).
• Le sort des demandes hors périmètre : sont-elles refusées, facturées en régie, sur devis ? À quel tarif horaire ou journalier, et avec quelle validation préalable de votre part ?
• L'ajustement du forfait quand vous embauchez, réduisez l'effectif ou ouvrez un site : un mécanisme écrit (prix unitaire par poste, recalage trimestriel) évite les renégociations conflictuelles. Le guide sur le coût de l'infogérance détaille les modèles de facturation courants.

Les niveaux de service (SLA) : GTI, GTR et disponibilité

Le SLA transforme une formule commerciale comme « nous sommes très réactifs » en engagements chiffrés : délai de prise en charge (GTI), délai de rétablissement (GTR), taux de disponibilité, plages horaires du support. Sans SLA, vous n'avez aucun recours si le prestataire traîne.

Exigez que le contrat précise :

• une classification des incidents (critique, majeur, mineur) définie par des critères objectifs — et qui décide de cette classification ;
• des délais distincts par niveau, exprimés en heures ouvrées ou calendaires (la différence est considérable un vendredi soir) ;
• le point de départ du délai : création du ticket, appel, alerte de supervision ;
• les plages couvertes (par exemple jours ouvrés 8 h-19 h) et le coût des options étendues (soir, week-end, astreinte).

Le guide dédié aux SLA informatiques explique GTI, GTR et taux de disponibilité avec des ordres de grandeur concrets.

Les pénalités : ce qui donne sa force au SLA

Un SLA sans pénalité reste une intention. Les pénalités prennent le plus souvent la forme d'avoirs calculés en pourcentage de la redevance mensuelle, par tranche de dépassement. Vérifiez qu'elles s'appliquent de plein droit (sans réclamation formelle dans un délai court), que leur plafond reste dissuasif, et si elles sont libératoires : une pénalité libératoire vous prive de toute indemnisation complémentaire, même si l'incident vous a coûté bien plus. Prévoyez aussi qu'un manquement répété aux SLA (par exemple plusieurs mois consécutifs) ouvre droit à résiliation.

Reporting et gouvernance

Sans mesure partagée, ni pénalité ni amélioration ne sont possibles. Le contrat doit prévoir un rapport périodique (mensuel ou trimestriel) indiquant le nombre de tickets, les délais constatés comparés aux engagements, l'état des sauvegardes et des correctifs de sécurité, et les incidents majeurs. Il doit aussi organiser la gouvernance : un interlocuteur nommé de chaque côté, un comité de suivi (trimestriel en général) avec compte rendu écrit, et une procédure d'escalade quand un problème n'avance pas.

Durée, reconduction tacite et préavis

Les contrats d'infogérance prévoient le plus souvent une durée ferme de 12 à 36 mois, puis une reconduction tacite. Trois questions à poser :

• Durée de la reconduction : une reconduction par périodes d'un an est plus souple qu'une reconduction pour la durée initiale complète.
• Préavis et date limite de dénonciation : 3 mois avant l'échéance est courant. Notez la date dans votre agenda dès la signature : entre professionnels, une échéance manquée vous engage souvent pour une période entière.
• Forme de la dénonciation : lettre recommandée, e-mail, espace client ? La clause doit être claire.

Prix, révision et indexation

La clause financière doit distinguer le forfait récurrent (et son unité : poste, utilisateur, serveur), les licences refacturées (antivirus/EDR, sauvegarde, Microsoft 365), les frais de mise en place et les tarifs hors forfait (taux horaire, déplacement, interventions en dehors des heures ouvrées). Côté révision, méfiez-vous des hausses « à la discrétion du prestataire » : exigez une formule d'indexation sur un indice public — l'indice Syntec est l'indice de référence habituel des prestations informatiques — avec une date de révision annuelle et, idéalement, un plafond. Une hausse supérieure au plafond devrait vous permettre de résilier sans pénalité.

Responsabilités, plafonds et assurance

Le contrat répartit les responsabilités : obligation de moyens ou de résultat selon les services (une obligation de résultat sur les délais du SLA, de moyens sur la sécurité en général), exclusions (force majeure, faute du client, matériel non maintenu). Le point sensible est le plafond de responsabilité : limité à un mois de redevance, il ne couvre rien de sérieux en cas de perte de données. Négociez un plafond proportionné à l'enjeu, des exceptions pour la faute lourde et la violation de confidentialité, et demandez l'attestation d'assurance responsabilité civile professionnelle du prestataire (montants garantis, couverture des dommages immatériels et des incidents cyber).

Sous-traitance

Beaucoup de prestataires s'appuient sur des tiers : centre de support, hébergeur, éditeur de l'outil de supervision ou de sauvegarde. Le contrat doit dire si la sous-traitance est autorisée, pour quelles tâches, et à quelles conditions (information préalable, mêmes obligations de confidentialité et de sécurité, responsabilité du prestataire principal vis-à-vis de vous). Pour les traitements de données personnelles, le RGPD impose en outre votre autorisation écrite préalable pour tout sous-traitant ultérieur.

Confidentialité

Votre infogéreur voit vos fichiers, vos messageries, vos comptes bancaires en ligne parfois. Une clause de confidentialité doit couvrir toutes les informations auxquelles ses équipes accèdent, s'étendre à ses salariés et sous-traitants, et survivre à la fin du contrat (souvent plusieurs années). Vérifiez aussi qu'il ne peut pas citer votre entreprise comme référence sans votre accord.

RGPD : l'accord de sous-traitance (article 28)

Dès qu'il accède à des données personnelles (salariés, clients, patients), le prestataire est sous-traitant au sens du RGPD. L'article 28 impose un contrat — souvent appelé DPA (Data Processing Agreement) et annexé au contrat d'infogérance — qui précise au minimum : l'objet et la durée du traitement, les catégories de données et de personnes, l'obligation d'agir uniquement sur vos instructions documentées, la confidentialité du personnel, les mesures de sécurité, les conditions de recours à des sous-traitants ultérieurs, l'aide apportée pour répondre aux demandes de droits et pour les analyses d'impact, le sort des données en fin de contrat (restitution ou suppression) et la possibilité d'audit. Précisez aussi la localisation des données et les éventuels transferts hors Union européenne. La CNIL publie un guide du sous-traitant et des modèles de clauses ; le guide RGPD pour l'entreprise résume vos propres obligations.

En cas de violation de données, le sous-traitant doit vous prévenir « dans les meilleurs délais » (article 33), et c'est à vous, responsable de traitement, de notifier la CNIL dans les 72 heures lorsque la violation présente un risque. Fixez donc un délai contractuel court (24 à 48 heures, par exemple) pour que l'alerte vous parvienne à temps.

Sécurité

Le contrat ou une annexe sécurité doit décrire les mesures que le prestataire applique sur votre système et sur ses propres accès : comptes administrateurs nominatifs (pas de compte partagé), authentification multifacteur, journalisation des connexions, politique de correctifs avec des délais, protection des postes (antivirus ou EDR), et modalités de sauvegarde : fréquence, rétention, copie hors site, tests de restauration documentés. Ajoutez la procédure de gestion d'incident de sécurité (qui alerte qui, en combien de temps). Le guide d'hygiène informatique de l'ANSSI donne une bonne base pour formuler ces exigences.

Propriété des accès et de la documentation

C'est la clause qui évite d'être pris en otage. Le contrat doit affirmer que vous restez propriétaire de vos données, de vos licences, de vos noms de domaine et de vos abonnements cloud, et que les comptes « propriétaire » ou « administrateur général » sont ouverts à votre nom. Exigez une documentation technique tenue à jour (schéma réseau, liste des serveurs et services, procédures) et l'accès permanent aux mots de passe administrateurs, par exemple via un coffre-fort partagé dont vous détenez une clé.

La réversibilité : pensez à la sortie avant d'entrer

La clause de réversibilité organise la fin du contrat : restitution de vos données, des sauvegardes, des mots de passe administrateurs et de la documentation, et assistance à la transition vers un nouveau prestataire ou une équipe interne. Sans elle, vous êtes captif. Vérifiez :

• le format de restitution des données (standard et exploitable, pas un export propriétaire) ;
• le plan de réversibilité : étapes, durée, interlocuteurs, période de recouvrement avec le successeur ;
• la durée et le coût de l'assistance : une prestation encadrée et chiffrée est normale, un montant laissé « à définir » est un signal d'alarme ;
• la continuité du service pendant la transition et la suppression certifiée des données chez le sortant une fois la reprise terminée.

Résiliation

Au-delà de l'échéance normale, le contrat doit prévoir les cas de résiliation anticipée : pour manquement (après mise en demeure restée sans effet pendant un délai fixé, souvent 30 jours), pour manquements répétés aux SLA, en cas de hausse de prix au-delà du plafond, de changement de contrôle du prestataire ou de procédure collective. Regardez aussi les indemnités de résiliation anticipée : payer l'intégralité des mensualités restantes sur un contrat de 36 mois est un piège classique. Enfin, la résiliation doit déclencher automatiquement la réversibilité, quel qu'en soit le motif.

Les pièges classiques à repérer avant de signer

• La tacite reconduction longue : un contrat de 36 mois reconduit automatiquement pour 36 mois vous enferme. Préférez une reconduction annuelle.
• Les plafonds cachés : « support illimité » mais limité à un nombre de tickets par mois dans une annexe. Lisez toutes les annexes.
• Les révisions de prix libres : exigez un indice de référence et un plafond annuel.
• La responsabilité vidée de sa substance : un plafond à un mois de facturation ne couvre pas une perte de données majeure.
• Les comptes administrateurs au nom du prestataire : Microsoft 365, nom de domaine, pare-feu… tout doit être à votre nom.
• L'absence de comité de suivi : sans point formalisé, les problèmes s'accumulent en silence.

Le contrat ne fait pas tout : la qualité de la relation dépend d'abord du sérieux du prestataire. Le guide pour choisir son prestataire informatique aide à évaluer les candidats avant même de parler contrat.