Avant de signer.

Notez ce dont vous avez besoin avant de voir une démonstration

Une démonstration montre ce que le produit fait bien. Votre liste montre s’il fait ce dont vous avez besoin.

• Décrivez le travail en un paragraphe : qui l’utilisera, quels dossiers il contiendra et ce qu’il remplace.
• Notez les renseignements sensibles qu’il contiendra : dossiers de santé, financiers, d’immigration, de justice pénale ou concernant des enfants. C’est ce qui détermine avec quelle insistance poser chacune des questions ci-dessous.
• Nommez la personne qui s’en occupera au quotidien et celle qui peut signer le contrat. Si personne ne peut s’en charger, ne l’achetez pas encore.
• Posez les mêmes questions, par écrit, à au moins deux fournisseurs. Le tableau comparatif à la fin de ce guide est un point de départ.

Où vos données sont conservées

Certaines lois, certains bailleurs de fonds et certains partenaires tiennent compte du pays où vos données sont conservées. Bien des contrats restent vagues à ce sujet.

1. Dans quels pays nos données sont-elles conservées, y compris les sauvegardes et les copies utilisées par le soutien technique?Ce que vous devriez entendre : Des pays ou des régions précis, inscrits au contrat, avec un préavis avant tout changement.
2. Quels sous-traitants (d’autres entreprises) traitent nos données, et comment nous avertirez-vous quand cette liste changera?Ce que vous devriez entendre : Une liste publiée, et un préavis des changements avec la possibilité de s’y opposer ou de partir.

Un sous-traitant est toute autre entreprise sur laquelle votre fournisseur compte pour conserver ou traiter vos données, comme son hébergeur ou son fournisseur de courriel. Chacun est un autre endroit d’où vos données peuvent fuir. Vous n’avez pas à tous les évaluer, mais vous devriez savoir qui ils sont.

Qui peut les voir

Les personnes qui ont le plus accès à vos données sont parfois celles du fournisseur lui-même.

1. Quels membres de votre personnel peuvent voir nos données, dans quels cas, et cet accès est-il journalisé?Ce que vous devriez entendre : Un accès réservé à des fonctions précises, seulement au besoin, journalisé et consultable par vous sur demande.
2. L’authentification unique et l’authentification multifactorielle sont-elles comprises dans le forfait que nous achetons?Ce que vous devriez entendre : Oui, dans votre forfait. Les fonctions de sécurité ne devraient pas coûter plus cher.

Vérifiez si le fournisseur facture davantage pour l’authentification unique ou l’authentification multifactorielle. Si c’est le cas, tenez-en compte dans le prix, car vous aurez besoin des deux. Notre guide de sécurité explique pourquoi.

Quand quelque chose tourne mal

La loi peut vous imposer un délai pour déclarer une atteinte. Votre fournisseur doit vous prévenir assez tôt pour que vous puissiez le respecter.

1. Dans quel délai nous informerez-vous d’un incident de sécurité touchant nos données, et qui le fera?Ce que vous devriez entendre : Un nombre fixe d’heures ou de jours inscrit au contrat, et une personne-ressource nommée.

Dans certains pays, le délai pour aviser l’autorité est court : au Royaume-Uni, par exemple, une atteinte à déclarer doit être signalée à l’ICO dès que possible et, si c’est faisable, dans les 72 heures. Un fournisseur qui vous prévient une semaine plus tard ne vous laisse pas le temps. Voyez les obligations en matière de vie privée, pays par pays.

Partir

Le meilleur moment pour convenir de la façon de partir, c’est avant d’arriver.

1. Si nous partons, comment récupérons-nous toutes nos données, dans quel format et à quel coût?Ce que vous devriez entendre : Une exportation complète dans un format ouvert et documenté (comme CSV ou JSON), sans frais supplémentaires.
2. Combien de temps conservez-vous nos données après notre départ, et nous confirmerez-vous leur suppression par écrit?Ce que vous devriez entendre : Une courte période déclarée, puis la suppression, confirmée par écrit.

• Testez une exportation pendant la période d’essai, pas au moment de partir. Ouvrez le fichier et vérifiez que tout ce dont vous avez besoin s’y trouve, y compris les pièces jointes et l’historique.
• Assurez-vous que le contrat vous permet de partir si le fournisseur est vendu, modifie ses conditions ou déplace vos données à un endroit que vous n’avez pas accepté.

Les preuves de sécurité : ce qu’elles démontrent et ce qu’elles ne démontrent pas

Les certificats et les rapports sont utiles. Ce ne sont pas des garanties.

1. Quelles preuves de sécurité indépendantes pouvez-vous nous transmettre : rapport SOC 2, certificat ISO/IEC 27001, résumé d’un test d’intrusion récent?Ce que vous devriez entendre : Un rapport ou un certificat à jour dont la portée couvre le produit que vous achetez.

Les rapports SOC 2

Un rapport SOC 2 est le rapport d’un auditeur indépendant, selon un cadre de l’AICPA, sur les contrôles d’une organisation de services liés à la sécurité, à la disponibilité, à l’intégrité du traitement, à la confidentialité ou à la protection de la vie privée. Lisez trois choses avant de vous y fier :

• La portée. Quels systèmes et lesquels de ces cinq domaines ont été examinés. Le produit que vous achetez devrait en faire partie.
• Le type et la période. Un rapport de type 1 décrit les contrôles à une date donnée; un rapport de type 2 vérifie aussi s’ils ont fonctionné pendant une période, habituellement de plusieurs mois. Le type 2 en dit plus. Vérifiez que la période est récente.
• Les exceptions et vos responsabilités. L’auditeur énumère les contrôles qui ont échoué, et le rapport énumère les contrôles que le client doit appliquer, comme la gestion de ses propres utilisateurs. Ceux-là sont votre affaire, pas celle du fournisseur.

Les certificats ISO/IEC 27001

Un certificat ISO/IEC 27001 indique qu’un organisme de certification accrédité a constaté que le fournisseur applique un système de management de la sécurité de l’information conforme à la norme. Demandez le certificat lui-même, vérifiez que l’énoncé de portée couvre le service que vous achetez, vérifiez la date d’expiration et vérifiez qui l’a délivré.

Ce que ni l’un ni l’autre ne démontre

• Que le produit est sûr de la façon dont vous allez le configurer et l’utiliser. Selon le modèle de responsabilité partagée des services infonuagiques, une part de la sécurité vous revient toujours.
• Qu’une atteinte ne peut pas se produire. Un rapport sans réserve témoigne de bonnes pratiques pendant une période, ce n’est pas une promesse pour l’avenir.
• Quoi que ce soit sur la conformité aux lois sur la protection de la vie privée, l’accessibilité ou la santé financière du fournisseur.

Accessibilité

Si votre personnel, vos bénévoles ou le public l’utilisent, des personnes handicapées l’utiliseront aussi.

1. Avez-vous un rapport de conformité en matière d’accessibilité (Accessibility Conformance Report, ACR), et quelle version et quel niveau des WCAG couvre-t-il?Ce que vous devriez entendre : Un rapport récent sur ce produit, honnête quant aux lacunes connues et au moment où elles seront corrigées.

Un rapport de conformité en matière d’accessibilité, souvent produit à l’aide d’un modèle appelé VPAT, explique comment un produit respecte les normes d’accessibilité. Considérez-le comme une affirmation du fournisseur : pendant la période d’essai, essayez le produit uniquement au clavier et avec un lecteur d’écran. Notre guide d’accessibilité montre comment faire en moins d’une heure.

Les pièges de prix

Le prix de la première année est rarement celui que vous paierez.

1. Le contrat se renouvelle-t-il automatiquement, quel préavis faut-il donner pour l’annuler et de combien le prix peut-il augmenter au renouvellement?Ce que vous devriez entendre : Des rappels de renouvellement, un court préavis et un plafond des hausses inscrit au contrat.
2. Si nous avons un rabais pour organisme sans but lucratif ou du secteur public, combien de temps dure-t-il et que se passe-t-il quand il prend fin?Ce que vous devriez entendre : Une durée déclarée, et le plein prix que vous paierez ensuite.
3. Y a-t-il un nombre minimal d’utilisateurs, des frais de mise en œuvre, des frais de soutien ou des frais pour exporter les données?Ce que vous devriez entendre : Tous les coûts ponctuels et récurrents énumérés dans le bon de commande.

• Renouvellement automatique. Le jour de la signature, inscrivez la date limite d’annulation dans un calendrier partagé, avec un rappel un mois avant.
• Hausses de prix. Demandez un plafond écrit des hausses au renouvellement, ou un prix fixe pour toute la durée du contrat.
• La fin des rabais. Un généreux rabais de première année pour organisme sans but lucratif peut se transformer en un plein prix que vous ne pouvez pas payer. Prévoyez au budget le prix de la deuxième année avant de commencer.
• La sécurité en supplément. L’authentification unique, les journaux d’audit et une conservation plus longue des données ne sont parfois offerts que dans les forfaits supérieurs.
• Frais de sortie. Les frais pour exporter vos propres données, ou pour vous aider à partir, devraient figurer au bon de commande ou être exclus.

Un tableau comparatif à copier

Posez les mêmes questions par écrit à chaque fournisseur, puis comparez les réponses côte à côte.

Téléchargez le tableau sous forme de chiffrier ou copiez-le dans votre propre document. Laissez une cellule vide tant que vous n’avez pas la réponse par écrit.

Télécharger le tableau (CSV)