Services cloud pour les PME : contrats, localisation des données et accès

Services cloud dans les PME : pourquoi contrat, localisation des données et accès vont de pair

Suisse Digital constate que les petites entreprises utilisent plus souvent que la moyenne des applications Internet basées sur le cloud ou tirent l’ensemble de leurs logiciels métier du cloud. Lorsqu’une PME externalise à cette échelle, elle ne transfère pas seulement de la puissance de calcul, mais aussi des données personnelles, des documents et des droits d’accès à un prestataire.

Il en résulte trois domaines de vérification interdépendants : le contrat, qui définit les rôles et le traitement ; la localisation des données, qui détermine le droit applicable et la surveillance ; et le contrôle des accès, qui fixe qui accède aux données au quotidien et ce qui reste traçable.

Ces trois domaines liés – contrat cloud, localisation des données et contrôle des accès – doivent être examinés conjointement avant toute signature.

Une localisation des données sans clause contractuelle adéquate, ou un contrat sans contrôle d’accès effectif, laisse des lacunes impossibles à combler en cas d’incident.

La structure de tels contrats apparaît clairement lorsqu’on examine les contrats types des grands fournisseurs : l’AVV (Auftragsbearbeitungsvertrag) y fait partie intégrante du dispositif contractuel standard et est fourni sous forme d’addendum à la protection des données (Data Protection Addendum, DPA).

Pour une PME, cela signifie que les engagements pertinents figurent dans des documents standards volumineux, qu’il faut lire et confronter à ses propres exigences – et non cocher comme une simple formalité.

Faits clés sur l’approvisionnement cloud dans les PME suisses

Contrats : clarifier les rôles, les catégories de données et les engagements de sécurité

Il convient d’abord de clarifier le rôle. La déclaration de protection des données du service cloud evidona désigne comme responsable du traitement la société SimplyConnect GmbH, Schulstrasse 2b, 5426 Lengnau, Suisse (IDE CHE-160.031.708), avec [email protected] comme contact pour les questions relatives à la protection des données.

L’instrument contractuel central est le contrat de traitement de données pour le compte d’autrui (AVV). L’art. 9 de la LPD révisée parle de « traitement pour le compte d’autrui », l’art. 28 du RGPD de « sous-traitance ». Dès qu’un prestataire traite des données personnelles pour le compte d’une PME, un AVV est obligatoire – c’est le cas pour pratiquement tous les services cloud.

Une PME moyenne ne compte pas un, mais cinq à quinze sous-traitants. Les cas typiques incluent l’hébergement, les outils de newsletter comme Brevo ou Mailchimp, les solutions de stockage cloud et suites bureautiques telles que Microsoft 365 ou Google Workspace, les logiciels CRM et de comptabilité, ainsi que la maintenance à distance.

Chez les grands fournisseurs, l’AVV fait partie du dispositif contractuel standard. Microsoft le fournit sous forme d’addendum à la protection des données (Data Protection Addendum, DPA). Votre tâche consiste à vérifier qu’un AVV existe et à archiver la preuve de manière ordonnée.

L’AVV doit être en place avant le premier flux de données. Conformément à l’art. 28 al. 3 du RGPD, il règle l’objet et la durée, la nature et la finalité du traitement, les catégories de données et les personnes concernées, ainsi que les mesures techniques et organisationnelles.

La responsabilité reste à la charge de la PME. Selon le document bref n° 13 de la CPCD, le traitement effectué par le sous-traitant est imputé au responsable du traitement. L’entreprise ne peut se décharger de sa responsabilité globale en délégant le traitement.

En cas d’auto-hébergement sur sa propre infrastructure, le client est seul responsable et exploitant. Le fournisseur n’est que concédant de licence et ne traite pas les données personnelles générées ; c’est le contrat de licence logicielle qui s’applique, et non la déclaration de protection des données.

De tels changements de rôle doivent figurer explicitement dans le contrat. Ils déterminent qui répond aux demandes d’information et de suppression, qui signale une violation de données et contre qui une personne concernée peut exercer ses droits.

Deuxièmement, les catégories de données traitées doivent être listées. Chez evidona, il s’agit des données de compte : nom, adresse e-mail professionnelle, rôle, identifiants de connexion, facteurs d’authentification multifacteur et paramètres linguistiques.

S’y ajoutent les documents téléchargés pour signature. Dans l’espace de signature, les données des signataires sont collectées : nom, adresse e-mail (obligatoire), et numéro de téléphone si un code à usage unique est envoyé par SMS. Les journaux techniques de signature et d’OTP font également partie des données traitées.

La conservation doit également être réglée. Selon cette déclaration de protection des données, les documents téléchargés ne sont conservés que brièvement ; le service ne les archive pas. Une PME doit vérifier cet engagement et le confronter à ses propres obligations de conservation.

Troisièmement, le droit applicable et le cadre de sécurité doivent être nommés. La déclaration de protection des données mentionnée indique que la loi suisse sur la protection des données (LPD révisée) et, le cas échéant, le RGPD sont applicables.

Selon cette déclaration, reste ouverte la question de savoir si et comment un conseiller en protection des données selon la LPD révisée, ainsi qu’un représentant dans l’UE ou un délégué à la protection des données selon les art. 27 et 37 du RGPD, sont requis et doivent être désignés. De tels points en suspens doivent être clarifiés avant la signature.

Qui doit informer, notifier et engager sa responsabilité selon quel droit n’est pas une question d’installation technique, mais bien de texte contractuel.

Localisation des données : Suisse, UE ou centre de données hors zone

Le lieu où les données sont traitées détermine en partie le cadre juridique applicable. Pour les flux entre la Suisse et l’UE, la déclaration de protection des données d’evidona précise que le transfert de données personnelles est couvert par l’adéquation réciproque des niveaux de protection des données.

Pour les transferts vers des pays tiers, un exemple d’AVV cite la décision d’adéquation de la Commission, les clauses contractuelles types et les codes de conduite approuvés comme bases possibles. Tout transfert vers un pays tiers nécessite l’accord préalable du donneur d’ordre et doit satisfaire aux art. 44 ss. du RGPD ainsi qu’à la section 2 de la LPD.

Un AVV peut fixer concrètement la localisation des données. Un exemple stipule que la prestation est fournie exclusivement dans un État membre de l’UE, un État partie à l’EEE ou en Allemagne.

Pour Microsoft 365 ou Google Workspace en tant que solutions de stockage cloud et suites bureautiques, l’AVV est disponible sous forme standardisée. Microsoft publie son Data Protection Addendum de manière centralisée.

Cela facilite les configurations avec des centres de données dans l’UE, mais ne couvre pas arbitrairement tous les pays tiers. Des centres de données hors de Suisse existent en pratique et doivent être examinés avant l’achat.

Il en découle des questions concrètes à poser au fournisseur : dans quels pays se trouvent les centres de données principaux et de secours, et où opèrent les sous-traitants (sous-processeurs) ? Quel droit et quel for s’appliquent au contrat, et quel accès aux données le fournisseur doit-il accorder aux autorités étrangères ? Le chiffrement et la gestion des clés sont-ils organisés de sorte que la PME conserve le contrôle des clés ? Les journaux et les sauvegardes sont-ils conservés au même endroit que les données de production ?

La localisation est aussi une question de dépendance. Smart Cyber Compliance souligne qu’en plus des mesures techniques de protection, des stratégies de sécurité claires, la résilience et la souveraineté numérique sont nécessaires – associées à une moindre dépendance envers des fournisseurs individuels.

Concrètement, cela signifie : sécuriser contractuellement les formats d’exportation et la restitution des données à la fin du contrat, fixer les délais et coûts de rapatriement, et vérifier si un changement serait possible dans un délai raisonnable. Une solution cloud dont on ne peut sortir de manière ordonnée lie la PME, indépendamment de la qualité du fonctionnement courant.

Accès : qui a le droit de faire quoi – et comment le rendre traçable ?

L’accès commence par les rôles. Selon la déclaration de protection des données citée, les données de compte comprennent des informations sur l’organisation et les utilisateurs autorisés, le rôle, ainsi que les identifiants de connexion et les facteurs d’authentification multifacteur. Une PME devrait donc consigner par écrit quels rôles existent dans le service, quelles fonctions et données chaque rôle voit, et comment les accès sont retirés lorsqu’une personne quitte l’entreprise. L’authentification multifacteur fait partie des données de compte et relève donc du contrat, pas seulement des paramètres.

Deuxièmement, la journalisation. Lors des processus de signature, le service collecte, selon sa propre description, des données de journal techniques liées à l’événement de signature : horodatage, livraison et confirmation du code à usage unique (OTP), ainsi que l’adresse IP et les informations sur l’appareil, comme l’User-Agent, générées au moment de la signature. Si l’OTP est envoyé par SMS, le numéro de téléphone du signataire s’y ajoute. Pour chaque cycle de signature, un paquet de preuves scellé avec horodatage qualifié et somme de contrôle SHA-256 est également créé.

Ces informations constituent la preuve réelle pour les processus de validation et de signature. Avant l’achat, il convient donc de clarifier : quels événements sont journalisés – uniquement les connexions, aussi les tentatives échouées, aussi les modifications de droits ? Combien de temps les journaux sont-ils conservés, et qui dans l’entreprise est autorisé à les consulter ?

Si l’adresse IP et les informations sur l’appareil figurent dans un paquet de preuves, la PME peut-elle exporter ce paquet elle-même et le conserver de manière indépendante ? Qui laisse ces questions en suspens pourra, en cas de litige, invoquer un événement de signature, mais ne pourra pas prouver le chemin d’accès y menant.

Surveillance et résilience : garder un œil sur l’exploitation cloud

Selon la définition de Four Data, un outil de surveillance est une solution logicielle qui surveille, analyse et pilote les composants clés d’un système informatique ou d’une infrastructure réseau.

Il collecte régulièrement des données techniques, les analyse automatiquement, génère des alertes en cas d’anomalies et fournit des rapports de performance via une interface visuelle, souvent sous forme de tableau de bord. Four Data classe ces outils en trois catégories principales : réseau, système et application.

Pour une PME, cela signifie définir le périmètre d’utilisation avant le choix – réseau, systèmes, applications ou une combinaison – et fixer les seuils à partir desquels une alerte est déclenchée.

L’utilité n’apparaît que si les alertes atteignent quelqu’un. Le déploiement implique donc de répondre à trois questions : qui reçoit les alertes en dehors des heures de bureau ? Pour quelles anomalies escalade-t-on, pour lesquelles se contente-t-on de journaliser ? Et quels rapports la direction besoin-t-elle pour évaluer régulièrement la disponibilité et les incidents de sécurité ?

Les rapports constituent également la base pour vérifier si les valeurs de disponibilité et de sécurité promises dans le contrat sont respectées.

La surveillance s’articule avec la planification de sortie. Smart Cyber Compliance vise des stratégies de sécurité claires, la résilience et la souveraineté numérique avec une moindre dépendance envers des fournisseurs individuels.

Celui qui observe durablement son propre fonctionnement et connaît les services utilisés peut circonscrire les pannes et préparer un changement de fournisseur. Les deux supposent que les données de monitoring soient accessibles à la PME elle-même et ne résident pas uniquement chez le fournisseur.

Avant le déploiement : analyse des risques, responsabilités et questions de contrôle

Première étape : sécuriser les responsabilités et l’analyse des risques. Dans le cadre d’une analyse d’impact relative à la protection des données (AIPD), la répartition des responsabilités entre les parties impliquées doit être clarifiée.

La même logique s’applique aux PME : qui porte la responsabilité de la solution cloud, qui est chargé des questions de protection des données, qui assure le support technique – et cette répartition est-elle consignée par écrit avant que les données ne circulent ?

Deuxième étape : clore les points juridiques en suspens. À titre d’exemple d’une telle démarche, la déclaration de protection des données d’evidona mentionne les points encore à clarifier concernant l’exigence et la désignation d’un conseiller en protection des données selon la LPD révisée, ainsi que d’un représentant dans l’UE ou d’un délégué à la protection des données selon les art. 27 et 37 du RGPD.

Une PME devrait suivre la même liste de contrôle : droit applicable, for, rôle du fournisseur, obligations de représentation, obligations de notification en cas de violations.

Troisième étape : passer en revue les catégories de données et la conservation. Il faut lister toutes les données générées dans le service – données de compte, documents téléchargés, informations sur les signataires, données de journal – et, pour chaque catégorie, la finalité, la durée de conservation et la procédure de suppression.

Lorsqu’une courte conservation est promise – comme pour les documents téléchargés qui ne sont pas archivés –, il faut vérifier si cela correspond aux propres obligations de conservation.

Quatrième étape : réunir les trois domaines de vérification et ne signer qu’ensuite. Contrat : rôles, catégories de données, engagements de sécurité et de conservation, clause de sortie.

Localisation des données : pays des centres de données et des sous-processeurs, base légale du transfert entre la Suisse et l’UE, accès des autorités étrangères.

Accès et surveillance : rôles et autorisations, authentification multifacteur et codes à usage unique, événements journalisés incluant adresse IP et informations sur l’appareil, seuils d’alerte et voies d’escalade.

Cinquième étape : vérifier l’AVV et la localisation des données. Existe-t-il un AVV conforme à l’art. 9 de la LPD révisée ou à l’art. 28 du RGPD ? Les pays des centres de données et des sous-processeurs sont-ils nommés, et des clauses contractuelles types ou une décision d’adéquation sont-elles convenues pour les pays tiers ?

Si l’un de ces points reste sans réponse, il devient une condition préalable à la signature – et non un point à clarifier ultérieurement.