· 2 min de lecture
Souveraineté numérique : les questions à poser à un prestataire avant de signer
Le média it social présente le CEA comme un levier d'ingénierie au service de la souveraineté numérique européenne. Pour une entreprise qui choisit un prestataire numérique, la souveraineté se ramène à trois questions très concrètes : où sont vos données, qui peut y accéder, et à quelle vitesse pouvez-vous partir.
L'article d'it social traite du rôle du CEA comme acteur d'ingénierie dans la souveraineté numérique européenne. Le sujet est macro, mais il descend directement au niveau de vos contrats : chaque site, application ou outil marketing que vous faites développer repose sur une chaîne de fournisseurs dont vous ignorez souvent le détail.
Commencez par cartographier cette chaîne. Demandez à votre prestataire la liste des services tiers utilisés dans votre projet : hébergeur, base de données, service d'envoi d'e-mails, outil d'analyse, plateforme de gestion de contenu, service de stockage des fichiers. Cette liste doit être écrite, datée et annexée au contrat.
Posez ensuite la question de la localisation. Où sont physiquement stockées les données, et où sont-elles traitées ? Ce sont deux choses différentes : des données hébergées en Europe peuvent être administrées depuis un autre continent. Faites préciser les deux, ainsi que les éventuels transferts hors Union européenne et leur encadrement juridique.
Troisième question, l'accès. Qui, chez le prestataire et chez ses sous-traitants, dispose d'un accès administrateur à vos environnements ? Demandez la politique d'accès, la journalisation, la double authentification et la procédure de retrait des accès quand une personne quitte le projet. Un prestataire sérieux répond sans difficulté.
Quatrième question, la sortie. Évaluez votre coût de sortie avant d'entrer. Vérifiez que le code, les contenus, les bases et les configurations vous appartiennent, que les formats d'export sont standards, et qu'une documentation permet à une autre équipe de reprendre le projet. Sans cela, l'enfermement technique se paie au moment le plus défavorable.
Cinquième point, la dépendance commerciale. Les comptes de noms de domaine, d'hébergement, de publicité et d'analytique doivent être ouverts au nom de votre entreprise, avec votre adresse e-mail comme propriétaire, l'agence disposant d'un accès délégué. C'est la mesure la plus simple et la plus efficace pour rester maître de vos actifs.
Sur le choix entre solutions européennes et solutions non européennes, restez pragmatique. L'enjeu n'est pas idéologique : il s'agit d'évaluer la criticité de vos données, vos obligations réglementaires, la maturité de l'offre et le coût de migration. Faites arbitrer ce choix explicitement plutôt que de le laisser par défaut à votre prestataire.
En pratique, ajoutez une annexe « souveraineté et réversibilité » à votre prochaine consultation, avec ces six points. Vous obtiendrez des devis plus comparables et vous identifierez immédiatement les agences qui maîtrisent leur propre chaîne technique.
Questions fréquentes
Faut-il exiger un hébergement en Europe ?
Cela dépend de la sensibilité des données et de vos obligations. La règle utile est de faire préciser par écrit la localisation du stockage, celle de l'administration technique et l'encadrement des éventuels transferts hors UE.
Comment éviter d'être dépendant d'une agence ?
Ouvrez les comptes stratégiques à votre nom, exigez la propriété du code et des contenus, des formats d'export standards et une documentation technique livrée en fin de mission.
Que vérifier sur les accès techniques d'un prestataire ?
La liste nominative des personnes disposant d'un accès administrateur, l'usage de la double authentification, la journalisation des connexions et la procédure de retrait des accès.
Sources
Besoin d'une agence sur ce sujet ?
Trouver une agence