Dans cet article
Dans un contrat de services IT managés, les clauses qui protègent le plus l'entreprise sont celles de sortie : qui détient les comptes administrateur, qui conserve la documentation du réseau et ce qu'il advient des données à la fin de la relation. Elles sont peu nombreuses, faciles à vérifier et doivent être lues avant de signer. DataRoad rédige ce guide du point de vue du MSP, après 11 ans à voir les mêmes problèmes se répéter lors des changements de prestataire.
Les quatre points essentiels
- Accès Tous les comptes administrateur appartiennent à l'entreprise cliente, jamais au seul prestataire.
- Documentation Inventaire, schéma réseau, pare-feu et sauvegardes tenus à jour et remis à la sortie.
- Données Si le prestataire accède à des données personnelles, l'article 28 du RGPD exige un contrat écrit, prévoyant notamment leur restitution ou leur suppression à la fin.
- Préavis Un délai raisonnable, sans période d'engagement minimale ni pénalités de sortie.
Ce qui tourne mal quand personne n'a pensé à la sortie
Tant que le service fonctionne, personne ne demande où sont les identifiants. La surprise arrive quand l'entreprise décide de changer — pour le prix, la qualité ou la croissance — et découvre des situations comme celles-ci :
- Microsoft 365 Le compte administrateur est associé à l'adresse e-mail d'un technicien de l'ancien prestataire.
- Domaine Le domaine du site web a été enregistré au nom du prestataire.
- Pare-feu Personne ne connaît le mot de passe et la seule issue est de réinitialiser l'équipement aux paramètres d'usine.
- Sauvegardes Les copies se trouvent sur un compte cloud qui n'appartient pas à l'entreprise.
Pas besoin de mauvaise foi pour en arriver là ; il suffit d'un prestataire qui, par commodité, a tout enregistré à son nom. L'effet est toujours le même : l'entreprise devient dépendante. Pour préparer la transition, lisez comment changer de prestataire IT sans risque.
Accès administrateur : toujours à l'entreprise
La règle ne souffre aucune exception : les accès appartiennent à l'entreprise cliente. Le MSP travaille avec ses propres comptes nominatifs, attribués par l'entreprise, qui peuvent être désactivés le dernier jour du contrat.
En termes simples : un compte administrateur est le passe-partout d'un système. L'entreprise doit toujours conserver une copie de chaque passe-partout dans un endroit qu'elle contrôle, comme un coffre de mots de passe d'entreprise.
Le contrat doit prévoir :
- Un compte d'urgence Au nom de l'entreprise, pour chaque système critique : Microsoft 365, pare-feu, serveurs, Wi-Fi et sauvegardes.
- La titularité Domaines, licences et abonnements enregistrés au nom de l'entreprise.
- Un coffre partagé Avec un accès direct de la direction. Nous expliquons son fonctionnement dans gestionnaire de mots de passe pour entreprises.
La documentation de l'infrastructure réseau vous appartient
Sans documentation, le prestataire suivant passe des semaines à découvrir ce qui existe — et ce temps se paie. Le contrat doit obliger le MSP à tenir à jour et à remettre un dossier comprenant :
- Inventaire Ordinateurs, serveurs, switches, points d'accès, pare-feu et onduleurs.
- Architecture Schéma du réseau, adressage et VLAN pour l'équipe, les invités et les caméras.
- Sécurité Règles du pare-feu et accès à distance par VPN.
- Sauvegardes La politique de sauvegarde : ce qui est copié, où, à quelle fréquence et quand a eu lieu le dernier test de restauration.
- Logiciels Licences, contrats et dates de renouvellement.
RGPD : ce que l'article 28 impose d'écrire
Celui qui gère vos systèmes accède aussi aux données personnelles de vos clients, collaborateurs, patients ou hôtes. Au sens du RGPD, votre entreprise est le responsable du traitement et le MSP est un sous-traitant. L'article 28 exige un contrat écrit prévoyant, entre autres, que le sous-traitant :
- ne traite les données que sur instruction documentée de l'entreprise ;
- veille à ce que les personnes ayant accès aux données soient tenues à la confidentialité ;
- applique les mesures de sécurité de l'article 32 ;
- ne recourt à un autre sous-traitant qu'avec l'autorisation de l'entreprise ;
- aide à répondre aux personnes concernées et à respecter les obligations de sécurité et de notification ;
- à la fin du service, supprime ou restitue toutes les données personnelles, au choix de l'entreprise, sauf obligation légale de conservation ;
- met à disposition les informations nécessaires pour démontrer la conformité et accepte les audits.
DataRoad met en œuvre les mesures techniques, mais ne fournit pas de conseil juridique. La rédaction finale des clauses doit être validée par votre juriste ou votre délégué à la protection des données.
Préavis, renouvellement et engagement
Engagements longs, pénalités en cas de sortie anticipée et préavis impossibles à respecter sont des signaux d'alerte. Un client doit rester pour la qualité du service, pas à cause d'une clause.
Le contrat IT Unlimited de DataRoad est annuel, à renouvellement automatique, avec un préavis de 60 jours et sans période d'engagement minimale. Soixante jours suffisent pour une passation sereine, sans laisser l'entreprise à découvert. La raison pour laquelle nous travaillons toujours sous contrat est expliquée dans pourquoi DataRoad ne réalise pas d'interventions ponctuelles.
Comment doit se dérouler la passation
- Dossier — remise de la documentation à jour.
- Identifiants — remise ou confirmation de tous les accès administrateur.
- Réunion technique — avec le nouveau prestataire.
- Désactivation — comptes du MSP sortant désactivés seulement après confirmation des accès du nouveau.
- Données — restitution ou suppression, confirmée par écrit.
Pour les délais de réponse et les pénalités pendant la durée du contrat, consultez le guide ce qu'il faut exiger d'un SLA IT.
Checklist de 10 clauses
| # | Clause | À vérifier |
|---|---|---|
| 1 | Titularité des accès | Comptes administrateur de l'entreprise ; le prestataire utilise ses propres comptes nominatifs. |
| 2 | Domaines et licences | Au nom de l'entreprise. |
| 3 | Coffre de mots de passe | Accès direct et permanent de la direction. |
| 4 | Documentation | Inventaire, réseau, pare-feu et sauvegardes à jour et remis à la sortie. |
| 5 | Sauvegardes | Comptes au nom de l'entreprise et tests de restauration consignés. |
| 6 | Accord de sous-traitance RGPD | Contrat écrit comprenant les éléments de l'art. 28, paragraphe 3. |
| 7 | Sort des données | Restitution ou suppression à la fin, au choix de l'entreprise, confirmée par écrit. |
| 8 | Préavis et engagement | Délai raisonnable, sans engagement minimal ni pénalités. |
| 9 | Passation | Procédure décrite : réunion, identifiants et désactivation des comptes. |
| 10 | Niveaux de service | Délais de réponse et horaires de couverture écrits sans ambiguïté. |
Exemple réel : l'audit du groupe France Affiches
Le groupe France Affiches, imprimeur grand format dont le siège est en région parisienne et qui dispose de sites en France, en Espagne et au Portugal, a commandé à DataRoad un audit IT complet, réalisé sur site. Ont été analysés la topologie réelle du réseau, l'état du support des équipements, les règles du pare-feu, les comptes à privilèges, la protection des équipements et les sauvegardes, avec des tests de restauration.
Le rapport a classé chaque point en risque immédiat, dette technique à planifier ou acceptable. C'est cet état des lieux qui doit exister, et rester en possession de l'entreprise, lorsqu'on change de prestataire. Lisez le cas de l'audit France Affiches.
Questions fréquentes
Le MSP peut-il être le seul à détenir les mots de passe ?
Non. Il peut les utiliser pendant le contrat, mais tous les comptes administrateur doivent appartenir à l'entreprise, avec une copie dans un coffre auquel la direction accède directement.
Un accord RGPD avec le prestataire IT est-il obligatoire ?
Oui, dès lors qu'il a accès à des données personnelles. L'article 28 du RGPD exige un contrat écrit avec le sous-traitant, prévoyant notamment la restitution ou la suppression des données à la fin du service.
Quel est le préavis du contrat DataRoad ?
L'IT Unlimited est annuel, se renouvelle automatiquement, prévoit un préavis de 60 jours et n'impose aucune période d'engagement minimale.
Que dois-je recevoir à la fin du contrat ?
La documentation à jour du réseau et des systèmes, tous les identifiants administrateur, la confirmation que domaines, licences et sauvegardes sont au nom de l'entreprise, ainsi que la restitution ou la suppression des données, par écrit.
Vérification des accès et du contrat en 5 jours ouvrés
DataRoad vérifie qui détient les accès administrateur, les domaines, les licences et les sauvegardes de votre entreprise et vous remet la liste de ce qui manque pour ne dépendre de personne.
Plus de 10 postes · contrat d'assistance · support à distance, sur site et téléphonique. Demandez une proposition sans engagement.
