Contrat d'infogérance : les clauses à vérifier avant de signer

Sept clauses méritent une lecture attentive : le périmètre, les niveaux de service, la protection des données, les accès et la documentation, la réversibilité, la durée et le prix, enfin la responsabilité. Elles déterminent ce que vous pourrez exiger au quotidien et ce que vous récupérerez à la fin du contrat.

L'infogérance consiste à confier tout ou partie de la gestion de son informatique à un prestataire externe. Le contrat associe souvent des conditions générales, une offre et des annexes techniques : lisez l'ensemble, car une clause importante se trouve parfois dans une annexe.

Le périmètre : ce qui est inclus, ce qui ne l'est pas

Une formule comme « gestion complète de votre informatique » ne permet pas de savoir si une demande sera traitée dans le cadre du contrat ou facturée à part. Le contrat ou son annexe devrait préciser :

• les utilisateurs, postes, serveurs et équipements réseau concernés, et la manière dont ils sont comptés ;
• les applications prises en charge, et la limite entre le prestataire et l'éditeur d'un logiciel métier ;
• les types de demandes inclus : incidents, demandes courantes, arrivées et départs de collaborateurs, mises à jour ;
• le mode d'intervention : à distance, sur site, et pour quels sites ;
• ce qui relève d'un devis distinct : projets, migrations, déménagements, matériel et licences.

Exemple illustratif : une entreprise ajoute une imprimante dans une nouvelle salle. Si le contrat couvre « le parc existant à la signature », l'installation peut être traitée comme une évolution facturée ; s'il intègre les nouveaux équipements au périmètre suivi, elle relève du service courant. Vérifiez donc aussi comment le périmètre évolue.

Les niveaux de service : ce qu'un SLA mesure vraiment

Un SLA (service level agreement, ou convention de niveau de service) fixe des engagements mesurables. Sa valeur dépend moins des chiffres annoncés que de la définition de ce qui est mesuré, et le bon niveau dépend de l'importance de chaque outil pour votre activité.

Prise en charge et résolution

Le temps de prise en charge mesure le délai avant qu'un technicien commence à traiter la demande ; le temps de résolution, le délai avant que le problème soit réglé ou contourné. Un contrat peut s'engager sur le premier sans rien dire du second. Vérifiez aussi à partir de quel moment le délai court et ce qui le suspend, par exemple une attente de réponse de votre part.

Priorités et heures couvertes

Les engagements varient en général selon la gravité de l'incident. Chaque niveau de priorité devrait être défini par des critères compréhensibles (un utilisateur bloqué, un service indisponible pour toute l'entreprise), avec la personne qui le fixe. Les délais ne courent souvent que pendant les heures couvertes : un engagement en heures ouvrées ne vaut pas un engagement en heures calendaires.

Rapports et pénalités

Demandez quels indicateurs seront communiqués et à quelle fréquence. Si des pénalités sont prévues, lisez comment elles se déclenchent et si elles constituent la seule réparation possible : une pénalité plafonnée et exclusive peut limiter vos recours plus qu'il n'y paraît.

Sécurité et données personnelles

Un prestataire qui administre vos postes, votre messagerie ou vos serveurs accède à des données personnelles. Au sens du RGPD, il agit le plus souvent comme sous-traitant pour votre compte, et l'article 28 s'applique : « le traitement par un sous-traitant est régi par un contrat ou un autre acte juridique ». Ce contrat doit notamment prévoir que le sous-traitant :

• ne traite les données que sur instruction documentée de votre entreprise ;
• prend les mesures de sécurité requises par l'article 32 du RGPD ;
• vous aide à respecter les articles 32 à 36, qui comprennent la notification des violations de données à l'autorité de contrôle ;
• supprime ou vous renvoie les données à la fin de la prestation, selon votre choix ;
• permet des audits, y compris des inspections.

Le sous-traitant ne peut engager un autre sous-traitant sans votre autorisation écrite préalable, spécifique ou générale. Demandez la liste de ces prestataires (hébergement, supervision, prise en main à distance) et comment vous serez informé de son évolution. La CNPD rappelle que vous pouvez utiliser les clauses contractuelles types publiées par la Commission européenne avec des sous-traitants établis dans l'Union. Il est utile, en plus, que le contrat décrive la sécurité des accès du prestataire lui-même : authentification multifacteur, comptes nominatifs, traçabilité des connexions.

Comptes administrateurs, documentation et propriété

Un compte administrateur permet de tout modifier dans un système : créer des utilisateurs, changer des mots de passe, supprimer des données. Le prestataire en a besoin pour travailler, mais si votre entreprise n'en détient aucun, elle dépend entièrement de lui, y compris pour en changer. Il est utile que le contrat précise :

• que les abonnements, licences et noms de domaine sont au nom de votre entreprise ;
• que votre entreprise garde un accès administrateur de secours pour les services essentiels (messagerie, annuaire, sauvegardes, pare-feu, nom de domaine) ;
• que le prestataire utilise des comptes nominatifs, pas un compte partagé ;
• qu'une documentation tenue à jour (inventaire, schéma réseau, configurations, procédures) vous appartient et reste consultable à tout moment.

Un inventaire et un calendrier des échéances bien tenus sont aussi la base d'une maintenance informatique suivie.

Réversibilité et restitution

La clause de réversibilité organise la fin du contrat : ce que le prestataire restitue, sous quelle forme, dans quel délai et à quel coût, pour que vous puissiez reprendre la gestion ou la confier à un autre. Elle devrait lister les éléments restitués (accès, documentation, exports de données, configurations), leur format et l'assistance apportée pendant la transition. Elle se négocie à la signature, pas au moment de la rupture. Pour les données personnelles, l'article 28 du RGPD prévoit déjà leur suppression ou leur renvoi, selon votre choix, à la fin de la prestation.

Et le règlement européen sur les données ?

Le règlement européen sur les données (Data Act) s'applique depuis le 12 septembre 2025. Son chapitre VI, sur le changement de fournisseur, vise les fournisseurs de services de traitement de données, que la Commission décrit comme des services numériques permettant un accès omniprésent et à la demande au réseau, tels que des réseaux, des serveurs ou d'autres infrastructures et logiciels. Les fournisseurs de plateforme et de logiciel en tant que service doivent par exemple, au minimum, exporter les données dans un format couramment utilisé et lisible par machine ; les frais de changement de fournisseur, y compris les frais de sortie des données, sont supprimés à compter du 12 janvier 2027.

Il ne faut pas présumer que ces règles couvrent tout un contrat d'infogérance. Elles peuvent concerner la partie hébergement ou cloud si le prestataire fournit lui-même un tel service ; la description de la Commission ne mentionne ni l'assistance aux utilisateurs ni la maintenance des postes. Faites vérifier par votre conseil ce qui s'applique à votre contrat.

Durée, préavis, reconduction et évolution du prix

Ces clauses fixent votre liberté de partir. Relevez la durée initiale, le mode de reconduction (tacite ou expresse), le préavis et sa forme, ainsi que les cas de résiliation anticipée, notamment pour manquement répété aux niveaux de service. Notez la date limite de résiliation dans un calendrier dès la signature.

Pour le prix, regardez surtout comment il peut évoluer : base de calcul (par utilisateur, par équipement, forfait global), date à laquelle les utilisateurs ou équipements sont comptés, indexation éventuelle et son indice, possibilité pour le prestataire de modifier ses tarifs en cours de contrat, et droit de résiliation en cas de hausse.

Responsabilité et assurances

La plupart des contrats limitent la responsabilité du prestataire, par un plafond ou par l'exclusion de certains préjudices comme la perte d'exploitation ou de données. Ce n'est pas anormal en soi, mais il faut le mettre en regard de ce qui est confié : exclure la perte de données dans un contrat qui inclut la gestion des sauvegardes mérite d'être discuté. Demandez si le prestataire peut fournir une attestation d'assurance de responsabilité civile professionnelle, et vérifiez ce que couvrent vos propres assurances. C'est la partie du contrat qu'il est le plus utile de faire relire.

Grille de relecture

Demandez des réponses écrites : une précision donnée oralement ne lie personne si elle ne figure pas au contrat.

En résumé

Un bon contrat d'infogérance se reconnaît à la précision de ses définitions : ce qui est couvert, ce qui est mesuré, ce qui vous appartient et ce qui vous sera rendu. La grille sert à obtenir ces précisions avant la signature.

Chez Smart IT, l'infogérance et l'assistance font l'objet d'une proposition qui précise les prestations incluses, les horaires de couverture et les conditions d'intervention ; les projets, le matériel et les licences peuvent faire l'objet d'un devis distinct. Pour examiner votre situation avant de vous engager, l'audit gratuit est un échange de 45 minutes à distance, sans engagement, suivi d'une synthèse écrite.