La démo fonctionnelle s’était bien déroulée, les gestionnaires de contrats étaient enthousiastes, puis est venue la revue de sécurité. La DSI a posé une seule question : sous quelle juridiction relève ce fournisseur ? Personne n’avait la réponse. Une demi-procédure d’appel d’offres plus tard, la plateforme a finalement été écartée. Non pas sur les fonctionnalités, mais sur la question de savoir où se trouvent les données contractuelles et qui peut y accéder juridiquement.
Pour un logiciel de gestion des contrats européen, le choix repose de plus en plus sur la souveraineté des données. Depuis l’entrée en vigueur des exigences de cybersécurité, la question de la localisation de vos données contractuelles est définitivement passée du détail informatique au critère d’appel d’offres. Solution nationale ou internationale, et qu’est-ce que cette différence signifie concrètement pour vos données ?
Pourquoi la question « national ou international ? » compte soudainement
Jusqu’à récemment, le choix d’un logiciel portait sur les fonctionnalités. La plateforme pouvait-elle suivre les KPI, calculer les indexations, assurer le suivi des actions ? Cela reste important, mais ce n’est plus le premier obstacle. Dans le secteur public, la santé et l’enseignement, c’est de plus en plus la revue de sécurité qui décide si un fournisseur entre même en ligne de compte.
Un cahier des charges précise aujourd’hui littéralement où les données peuvent être hébergées, quelles certifications sont obligatoires et qui y a accès. Une collectivité qui rédige un appel d’offres pour un logiciel de gestion des contrats doit inscrire la résidence des données et la garantie RGPD comme exigences. Un établissement d’enseignement supérieur qui exige la norme ISO 27001 pour chaque nouvelle application voit à travers les belles démos dès que la juridiction reste floue. Le choix n’est pas rejeté sur ce que le logiciel sait faire, mais sur l’endroit où vos données aboutissent.
La résidence des données n’est pas la souveraineté des données
C’est le cœur du sujet, et précisément là où de nombreux fournisseurs restent vagues. La résidence des données indique où vos données sont physiquement hébergées : dans quel centre de données, dans quel pays. La souveraineté des données va plus loin : sous quel droit relève la partie qui gère ces données.
Un exemple. Un fournisseur héberge vos données contractuelles dans un centre de données à Francfort. « Nos données sont dans l’UE », voilà qui rassure. Mais si la société mère est américaine, ce fournisseur relève du CLOUD Act américain. Cette loi oblige les entreprises américaines à remettre des données à leurs autorités, peu importe où se trouvent les serveurs. Vos données sont alors bien en Europe, mais hors de la protection du seul droit européen.
C’est la distinction que fait un bon gardien informatique. « Où se trouvent les données ? » est la première question. « Sous quelle juridiction relève la partie qui peut y accéder ? » tranche la question. Un centre de données situé dans l’UE ne confère pas à lui seul la souveraineté. Ce qui compte, c’est la combinaison de la localisation physique et du contrôle juridique.
Ce que cela signifie pour le secteur public, la santé et l’enseignement
Pour une entreprise commerciale sans données sensibles, une solution internationale convient souvent parfaitement. Pour le secteur public, la santé et l’enseignement, la situation est différente. Ces secteurs gèrent des informations sensibles et rendent des comptes à des autorités de contrôle, à un service de conformité interne ou à un conseil municipal.
Prenons un gestionnaire de contrats dans un établissement de santé comptant 12 sites et 40 contrats externalisés. Il doit pouvoir expliquer à l’auditeur pourquoi un fournisseur a été choisi. Les contrats comportent des liens fournisseurs vers des processus liés aux patients. Si l’autorité de contrôle ou le service de conformité interne demande où se trouvent ces données et qui peut y accéder, « quelque part dans l’UE, je pense » n’est pas une réponse acceptable. La justification doit être démontrable, pas une supposition. Vous trouverez davantage d’exigences propres au secteur sur la page dédiée à la santé.
Ici, une position claire s’impose. Pour ces secteurs, la souveraineté des données n’est pas un luxe que l’on règle plus tard, mais une exigence que vous fixez dès le début du parcours. Un fournisseur qui n’échoue qu’au stade de la revue de sécurité vous coûte des semaines, parfois une année entière d’appel d’offres. Utilisez la question de la juridiction comme premier filtre, avant même la démo fonctionnelle.
Votre logiciel de gestion des contrats est lui-même un fournisseur de votre chaîne
Il existe un angle mort dans de nombreux processus de sélection. Vous achetez un logiciel de gestion des contrats pour maîtriser les risques fournisseurs, mais ce logiciel est lui-même un fournisseur de votre chaîne. La partie qui traite vos données contractuelles est un maillon dont vous devez pouvoir rendre compte.
Les obligations de cybersécurité issues de la NIS2 s’appliquent désormais, sans délai de transition général. Des milliers d’organisations y sont directement soumises. La réglementation vous oblige à maîtriser de manière démontrable les cyberrisques de votre chaîne de fournisseurs : savoir quels fournisseurs interviennent, quelles exigences figurent dans les contrats et quels engagements restent ouverts.
Un cadrage honnête s’impose : GRIP n’est pas un outil de cybersécurité ou de conformité et ne rend personne « conforme à la NIS2 ». Ce que GRIP fait, c’est vous donner une prise sur le volet contractuel de ce devoir de vigilance. Et le logiciel avec lequel vous le faites doit lui-même répondre aux mêmes exigences que celles que vous imposez à vos autres fournisseurs.
Les questions à poser à chaque fournisseur
Une courte liste de contrôle qui anticipe une revue de sécurité tôt dans le parcours plutôt que tard.
- Où les données sont-elles physiquement hébergées, dans quel pays et quel centre de données ?
- Sous quelle juridiction relèvent le fournisseur et la société mère ?
- Quelles certifications existent, avec numéro de certificat et périmètre ? ISO 27001 pour la sécurité de l’information, ISO 9001 pour la gestion de la qualité.
- Qui a accès aux données, et comment cet accès est-il encadré et journalisé ?
- Quels sous-traitants sont mobilisés, et sous quel droit relèvent-ils ?
- Existe-t-il un accord de traitement fondé sur le RGPD ?
La question des sous-traitants est souvent oubliée. Un fournisseur peut être lui-même européen, mais recourir à un service d’IA ou d’hébergement américain. Poussez les questions jusqu’à connaître toute la chaîne. Si vous souhaitez rattacher ces exigences à vos propres contrats externalisés, vous le faites dans le Contract Dashboard.
RGPD by design et ISO 27001 : ce que cela signifie concrètement
Les certifications ne sont pas des logos en bas d’un site web. Elles disent quelque chose sur la manière dont le logiciel est conçu. Le RGPD by design signifie que la protection des données est intégrée dès la conception : minimisation des données, limitation des finalités et contrôle des accès sont intégrés dès la base, et non ajoutés après coup.
L’ISO 27001 est une certification pour la sécurité de l’information. Une partie externe évalue la manière dont l’accès, le chiffrement et la gestion des incidents sont organisés. Chez GRIP, les données contractuelles sont traitées exclusivement sur des plateformes européennes, au sein de l’Espace économique européen et sous droit européen. Ces données échappent ainsi à la portée du CLOUD Act. Le sous-traitant IA est Mistral AI, une entreprise française soumise au droit européen avec un accord de traitement fondé sur le RGPD. C’est la différence entre revendiquer une résidence et démontrer une souveraineté.
Questions fréquentes
Quelle est la différence entre la résidence et la souveraineté des données ?
La résidence des données indique où vos données sont physiquement hébergées. La souveraineté des données concerne le droit sous lequel relève la partie qui gère ces données. Des données hébergées dans un centre de données de l’UE appartenant à une entreprise américaine relèvent toujours de la juridiction américaine via le CLOUD Act. La résidence seule ne confère donc pas la souveraineté.
Pourquoi le CLOUD Act est-il pertinent pour les organisations européennes ?
Le CLOUD Act oblige les entreprises américaines à remettre des données aux autorités américaines, peu importe où se trouvent les serveurs. Si vous travaillez avec un fournisseur soumis au droit américain, vos données contractuelles peuvent en théorie être réclamées, même si elles sont hébergées en Europe.
Une solution de gestion des contrats internationale est-elle toujours un problème ?
Non. Pour les organisations sans données sensibles ni obligation de reddition de comptes, une solution internationale peut parfaitement convenir. L’essentiel est de savoir ce que vous choisissez et de pouvoir le justifier. Pour le secteur public, la santé et l’enseignement, la souveraineté des données est souvent une exigence stricte.
Que signifie la NIS2 pour mon choix de logiciel de gestion des contrats ?
La réglementation de cybersécurité vous oblige à maîtriser de manière démontrable les cyberrisques de votre chaîne de fournisseurs. Votre logiciel de gestion des contrats est lui-même un fournisseur de cette chaîne. Le logiciel doit donc répondre aux mêmes exigences que celles que vous imposez à vos autres fournisseurs.
GRIP rend-il mon organisation conforme à la NIS2 ?
Non. GRIP n’est pas un outil de cybersécurité ou de conformité et ne rend personne conforme à la NIS2. GRIP vous donne une prise sur le volet contractuel du devoir de vigilance : quelles exigences de sécurité et de continuité figurent dans vos contrats externalisés et quels engagements restent ouverts.
Quelles certifications GRIP possède-t-il ?
GRIP est certifié ISO 27001 pour la sécurité de l’information et ISO 9001 pour la gestion de la qualité. Les données contractuelles sont traitées exclusivement au sein de l’Espace économique européen, sous droit européen.
La maîtrise de vos données contractuelles et de leur localisation
GRIP est un logiciel de gestion des contrats européen avec résidence des données au sein de l’UE, ISO 27001, ISO 9001 et RGPD by design. Pas une case marketing à cocher, mais une réponse concrète à la question d’appel d’offres que votre service informatique va de toute façon poser. Découvrez le Contract Dashboard et réservez une démo.