Hébergement, sécurité, réversibilité : les questions à poser à un éditeur avant de lui confier vos dossiers
Publié le 29 septembre 2026 · Par Tristan Alterno, fondateur de Qorvex
Dans cette page
En une phrase : Un cabinet qui confie ses dossiers à un logiciel doit savoir cinq choses : où les données sont hébergées et sous quel droit, qui peut y accéder chez l’éditeur et comment c’est tracé, comment elles sont chiffrées et sauvegardées, quels sous-traitants interviennent, et comment il récupère tout s’il part. Un éditeur sérieux répond par écrit, dans son contrat, sans qu’on ait à insister.
Pourquoi ces questions avant le prix
Un logiciel de cabinet contient l’intégralité de ce que le cabinet sait de ses clients. Le choisir sur la démonstration et le tarif, sans avoir lu ce que l’éditeur s’engage à faire des données, c’est signer un bail sans visiter. Les cinq séries de questions ci-dessous tiennent sur une page et se posent par écrit : la qualité des réponses en dit autant que leur contenu.
Les cinq séries de questions
| Sujet | Questions | Bonne réponse |
|---|---|---|
| Hébergement | Où sont hébergées les données ? Chez quel prestataire, dans quelle région ? Sous quel droit ? | Union européenne, prestataire nommé, région précisée, dans le contrat |
| Accès | Qui, chez l’éditeur, peut lire les données d’un cabinet ? Dans quels cas ? Est-ce tracé ? | Accès restreint au support sur demande, journalisé, cloisonnement entre cabinets |
| Sécurité | Chiffrement en transit et au repos ? Authentification forte ? Sauvegardes, fréquence, tests de restauration ? Plan de reprise ? Gestion des incidents ? | Oui à tout, avec des délais écrits (notification d’incident, reprise) |
| Sous-traitants | Quels prestataires interviennent (hébergeur, messagerie, IA, signature) ? Sont-ils nommés ? Où sont-ils ? | Liste nominative dans le contrat, mise à jour notifiée |
| Réversibilité | Comment récupère-t-on tout si l’on part ? Dans quel format, quel délai, à quel prix ? Les archives scellées comprises ? | Export complet à tout moment, format ouvert, gratuit ou à coût connu, archives incluses avec leurs empreintes |
Ce que le contrat doit contenir
L’article 28 du RGPD liste ce qu’un contrat de sous-traitance contient. Un éditeur qui le connaît a un accord de traitement des données (souvent nommé DPA) prêt, annexé à ses conditions : objet, durée, nature et finalité du traitement, catégories de données et de personnes, obligations de sécurité, sous-traitants ultérieurs, assistance, sort des données à la fin, audit. Si le contrat ne parle que de licence et de prix, il manque la moitié.
La réversibilité est la clause qu’on lit le moins et qu’on regrette le plus. Un cabinet qui ne peut pas exporter ses dossiers et ses archives n’est pas client d’un logiciel, il en est prisonnier. Demandez à voir un export avant de signer.
Les signaux d’alerte
- « Nos données sont dans le cloud » sans nom de prestataire ni région.
- Un support qui accède aux dossiers sans demande ni trace.
- Pas de réponse écrite sur l’IA : ce qui est envoyé, à qui, conservé ou non.
- Un export limité à un CSV des contacts, sans les documents.
- Des frais de sortie non écrits.
Les archives, cas particulier
Les documents remis aux clients doivent être conservés tels quels, avec la preuve de leur intégrité, pendant des années. Si l’éditeur les régénère à la demande plutôt que de les archiver, la valeur probante est perdue. Et s’il les archive, l’export doit les inclure avec leurs empreintes, pour que le cabinet puisse encore prouver après avoir changé d’outil. Ce qui fait une archive.
Questions fréquentes
Un logiciel CGP doit-il être hébergé en France ?
Pas obligatoirement, mais un hébergement dans l’Union européenne simplifie la conformité RGPD : pas de transfert à documenter, un droit applicable connu. Un hébergement hors de l’Union exige une base légale de transfert et une analyse des risques d’accès par des autorités étrangères.
Que doit contenir le contrat avec l’éditeur ?
Les clauses de sous-traitance de l’article 28 du RGPD : objet et durée du traitement, nature et finalité, catégories de données, obligations de sécurité, sous-traitants ultérieurs autorisés, assistance en cas de demande d’une personne ou de violation, suppression ou restitution des données à la fin, et droit d’audit.
Qu’est-ce que la réversibilité ?
La possibilité de récupérer l’ensemble de vos données dans un format exploitable (export complet, documents archivés inclus) quand vous quittez le logiciel, dans un délai et sans frais prohibitifs. Un éditeur qui ne la garantit pas par écrit vous retient par les données.
Comment vérifier la sécurité d’un éditeur ?
Par ce qu’il écrit et accepte de prouver : chiffrement en transit et au repos, authentification forte, cloisonnement entre cabinets, journal des accès, sauvegardes testées, plan de reprise, gestion des incidents avec notification. Une certification (ISO 27001, HDS) de l’hébergeur est un indice ; celle de l’éditeur lui-même en est un meilleur.
Sources
- Règlement (UE) 2016/679 (RGPD), article 28 (sous-traitant) et article 32 (sécurité) — EUR-Lex
- CNIL, « Guide de la sécurité des données personnelles »
- ANSSI, « Guide d’hygiène informatique »
Et dans Qorvex
Qorvex est hébergé dans l’Union européenne (application sur Vercel, base de données sur Supabase, régions européennes), agit comme sous-traitant du cabinet avec les clauses de l’article 28, chiffre les données en transit et au repos, cloisonne strictement les cabinets, journalise les accès, et garantit l’export complet des données et des archives scellées à tout moment. Les sous-traitants ultérieurs, dont le prestataire d’IA, sont nommés. Nous préférons répondre à ces questions avant qu’on nous les pose.
Découvrir Qorvex · Poser une question