Passer au SaaS ne dispense pas d’exigences de gouvernance et de sécurité robustes. Pour éviter les angles morts contractuels, voici les clauses essentielles à insérer dans votre CCTP/CCAP — avec des formulations prêtes à copier‑coller, issues du terrain.
1) Périmètre & Architecture d’hébergement
Objectif : clarifier le modèle d’hébergement (Full SaaS), l’interconnexion siège ↔ cloud et les garanties de performance.
Clause type
Le titulaire fournit une application en mode hébergé et prend en charge le MCO des infrastructures, de l’application et des interfaces (sauvegardes, sécurité, compatibilités). Il propose une architecture d’interconnexion (QoS, débits garantis, sécurisation VPN/SSL, éventuellement lien direct type MPLS) et des moyens de supervision. L’éditeur s’engage à garantir l’absence de lenteurs ou de risques affectant disponibilité et confidentialité.
Pour cadrer la gouvernance SI et l’alignement stratégique de vos projets, découvrez notre guide :
Alignement stratégique DSI
2) Support & priorisation des tickets
Objectif : un guichet unique avec SLA d’intervention clairs et un suivi dès la recette.
Clause type
Le titulaire met à disposition une plateforme de tickets (saisie, suivi, historique), une hotline (8h‑18h, jours ouvrés) et des contacts techniques/fonctionnels dédiés ; option d’astreinte week‑end. La gestion incidents/bugs/demandes d’évolution est outillée et suit une matrice de priorité (Élevé H+4 ; Urgent J+1 ; Normal J+5 ; Informatif J+1). Le dispositif est actif dès la recette.
Pour sécuriser la compréhension des besoins et éviter les angles morts, lisez :
L’écoute active : la clé pour des solutions vraiment utiles
3) Sécurité des accès : SSO, MFA, journalisation
Objectif : centraliser l’identité, renforcer l’authentification et tracer les accès.
Clause type
La solution est compatible SSO SAML 2.0 avec Entra ID, profils mappés à des groupes AAD, et inclut l’assistance à l’intégration. Des MFA sont exigés pour les données critiques, droits élevés ou accès en mobilité/adresse IP inhabituelle (ex. token/app mobile/certificat/VPN). Les accès sont journalisés(horodatage, IP, login nominatif) ainsi que l’accès à toute donnée personnelle.
4) Données & intégration (API/SQL) + réversibilité
Objectif : ouverture maîtrisée des données et sortie sans friction.
Clause type
Le titulaire garantit un accès sans surcoût à toutes les données métier via : (Option 1) lecture SQL sur vues non techniques + MCD/Merise ; (Option 2) API/Web Services documentés avec versioning. En cas de fin de contrat : extractions exploitables ou accès aux données pendant 6 mois minimum pour migration.
5) Référentiel documentaire
Objectif : urbaniser le référentiel documentaire.
Clause type
Le référentiel documentaire cible est XXX. Option préférée : s’appuyer totalement sur la solution documentaire de référence. À défaut : synchronisations bi‑directionnelles outillées (tableau de bord, notifications, gestion des conflits) ; à défaut : compte limité pour mises à jour manuelles. Un atelier définit la nomenclature, métadonnées et chemins d’enregistrement.
Pour aller plus loin sur la gouvernance des données et la transformation data-driven :
Data-Driven & Gouvernance : transformer votre organisation grâce aux données objectives
6) Messagerie & SMTP (Office 365)
Objectif : sécuriser les envois et industrialiser les intégrations email.
Clause type
Les emails sortants (notifications, factures, etc.) transitent via SMTP Office 365 (connecteur Exchange Online, SSL/TLS). Toute ingestion par email (ex. factures entrantes) utilise la messagerie O365 selon les protocoles les plus sécurisés. Un compte de service est fourni par le client.
7) Postes & MDM (Intune/Autopilot)
Objectif : assurer la compatibilité et le déploiement silencieux.
Clause type
La solution est compatible Windows 11, Edge (ou ESR Firefox) et Office 2019/O365 (plugins/macros 32/64 bits). En cas de client/plug‑in, le titulaire fournit un package silencieux + documentation pour déploiement via Intune/Autopilot. L’application fonctionne avec des droits utilisateurs standard.
8) Accès mobile
Objectif : garantir l’usage terrain.
Clause type
Une version mobile ou responsive couvre les modules pertinents, iOS et Android.
9) Environnements & cycle de vie
Objectif : cadrer qualif/préprod/prod et la traçabilité.
Clause type
Mise en place d’au moins 3 environnements (Qualification, Préproduction avec copie de prod, Production). Le titulaire définit le cycle de vie (déploiements, migrations, régressions) et trace toutes les maintenances sur chaque environnement.
10) Supervision & logs techniques
Objectif : visibilité en continu.
Clause type
Rapport quotidien des anomalies et des sauvegardes ; tableau de bord temps réel listant indisponibilités/dégradations ; accès aux logs de synchronisation (interfaces, jobs), plus logs techniques pertinents recommandés par le titulaire.
11) Sauvegardes (RPO), PRA/PCA & tests
Objectif : limiter la perte de données et prouver la restaurabilité.
Clause type
RPO ≤ 8h. Granularité de restauration : J+1 sur 2 semaines, puis hebdo sur le reste du mois ; mensuelleconservée pendant toute la durée de la prestation. Test de restauration trimestriel avec rapport transmis au client.
12) Sécurité périmétrique
Objectif : une défense en profondeur au périmètre.
Clause type
Le titulaire décrit son dispositif périmétrique incluant : journalisation nominative des accès aux VM, détection des évasions/contournements (proxy, accès distants), contrôles applicatifs, IDS/IPS, et monitoring des pare‑feu.
13) Disponibilité & RTO/SLA
Objectif : cadrer la disponibilité et la remise en service.
Clause type
SLA de disponibilité ≥ 99,8% (moyenne 12 mois). GTR 4h (8h‑18h, ouvrés) pour chaque service. Les dégradations de performance sont traitées comme des dysfonctionnements et entrent dans les modalités de rétablissement.
14) Pénalités
Objectif : aligner l’incitation à tenir les engagements.
Clause type
En cas de non‑respect du RTO 4h :
• 4h < dépassement < 36h → 5 jours défalqués
• 36h < dépassement < 3 jours consécutifs → 1 mois défalqué
• 3 jours < dépassement → 1 an défalqué + résiliation + frais de transfert à la charge du titulaire
En cas de non‑respect du RPO 8h :
• 8h < perte < 2j → 1 mois défalqué
• 2j < perte < 5j → 2 mois défalqués
• 5j < perte → 1 an défalqué + résiliation + transfert à la charge du titulaire.
15) Protection des données & RGPD
Objectif : prouver la conformité et couvrir la responsabilité.
Clause type
Le titulaire maintient un registre des traitements (nature du traitement, catégories de données, finalité, durées de rétention). Il assume les conséquences d’une non‑conformité RGPD due à l’architecture de son application ou à ses propres défaillances (sauf demande explicite du client contredisant ses préconisations dûment documentées — devoir de conseil).
16) Gouvernance fournisseurs & certifications (informationnelle)
Objectif : démontrer le niveau de maturité sécu.
Clause type
Le titulaire liste ses bonnes pratiques et certifications (ISO 2700x, SOC, ANSSI…) ou, à défaut, décrit précisément son SMSI et ses mesures compensatoires.
✅ Checklist récapitulative (copier‑coller dans le CCTP)
- Full SaaS + MCO infra/app/interfaces, interconnexion sécurisée et supervision.
- Support outillé + hotline (8‑18h ouvrés) + SLA par criticité.
- SSO SAML 2.0 (Azure AD), MFA contextuel, logs nominatif + accès à données personnelles.
- Ouverture des données (SQL ou API versionnées) sans surcoût, réversibilité ≥ 6 mois.
- Nextcloud comme référentiel documentaire cible.
- Emails via SMTP O365 (SSL/TLS) + ingestion sécurisée.
- Compatibilité postes (Windows/Edge/Office), packaging Intune/Autopilot, droits standard.
- Environnements Qualif/Préprod/Prod + traçabilité des maintenances.
- Supervision quotidienne + dashboard temps réel + logs de synchro/jobs.
- RPO ≤ 8h, restauration J+1/hebdo/mensuelle, tests trimestriels.
- Périmètre : IDS/IPS, contrôle applicatif, monitoring pare‑feu.
- Disponibilité ≥ 99,8%, RTO 4h, pénalités structurées.
- RGPD : registre, responsabilités, devoir de conseil.
Vous souhaitez obtenir un modèle complet et personnalisé ?
FAQs
Qu’est-ce qu’une clause de cybersécurité dans un appel d’offres ?
Une clause de cybersécurité dans un appel d’offres est une disposition contractuelle qui vise à garantir la protection des données et des systèmes informatiques contre les cybermenaces.
Quelles sont les clauses de cybersécurité à intégrer à un appel d’offres ?
Les clauses de cybersécurité à intégrer à un appel d’offres peuvent inclure des exigences en matière de protection des données, de gestion des accès, de notification en cas de violation de données, de conformité aux normes de sécurité, etc.
Pourquoi est-il important d’intégrer des clauses de cybersécurité à un appel d’offres ?
Il est important d’intégrer des clauses de cybersécurité à un appel d’offres pour garantir la sécurité des données et des systèmes informatiques, réduire les risques de cyberattaques et assurer la conformité aux réglementations en matière de protection des données.
Comment rédiger des clauses de cybersécurité efficaces dans un appel d’offres ?
Pour rédiger des clauses de cybersécurité efficaces dans un appel d’offres, il est recommandé de définir clairement les exigences en matière de sécurité des données et des systèmes informatiques, de spécifier les mesures de protection à mettre en place, et d’inclure des mécanismes de contrôle et de suivi.
