Un contrat de maintenance informatique se signe souvent sur la foi d'un prix par poste. C'est pourtant lui qui dira, le jour d'une panne, ce que le prestataire doit faire, en combien de temps, et comment vous pourrez partir. L'ANSSI le souligne dans son guide « Maîtriser les risques de l'infogérance » (décembre 2010) : les risques viennent aussi de « spécifications contractuelles déficientes ou incomplètes ». Voici les 8 clauses à lire et la question à poser pour chacune.
01Le périmètre
Le périmètre dit sur quoi porte le contrat : postes, serveurs, réseau (box, pare-feu, bornes Wi-Fi), logiciels (Microsoft 365, logiciels métier), téléphonie, imprimantes. Il liste aussi les exclusions : matériel et licences, projets (migration, déménagement), interventions hors horaires, déplacements.
« Maintenance du parc » ne suffit pas : faites annexer la liste des équipements couverts, tirée d'un inventaire de votre parc, et prévoyez son évolution quand vous ajoutez un poste.
La question à poser : en cas de panne du logiciel métier ou d'internet, qui appelle l'éditeur ou l'opérateur ?
02Les délais : prise en charge, GTI et GTR
Ces engagements forment la convention de service, ou SLA (Service Level Agreement), avec trois délais à distinguer :
- la prise en charge : le temps pour qu'un technicien commence à traiter votre demande ;
- la GTI, « temps garanti d'intervention sur site » selon l'ANSSI : le prestataire s'engage à être là, pas à avoir réparé ;
- la GTR, « temps garanti de remise en état d'un composant matériel ou logiciel défectueux » : il s'engage sur le résultat.
Demandez des délais selon la gravité : un serveur arrêté n'est pas une imprimante capricieuse. Les pénalités en cas de retard se négocient aussi, note l'ANSSI.
Bon à savoir
Un délai en heures ouvrées ne court que pendant les horaires couverts. Avec une GTR de 4 heures ouvrées, de 9 h à 18 h en semaine, un serveur en panne le vendredi à 17 h peut n'être réparé que le lundi à 12 h, engagement tenu.
La question à poser : quels délais, pour quelle gravité, sur quels horaires, et quelle contrepartie s'ils ne sont pas tenus ?
03Le mode de facturation
Forfait par poste, à l'acte (« au ticket ») ou au temps passé (la « régie ») : les trois modes sont comparés dans notre article sur le prix de l'infogérance. Dans le contrat, vérifiez ce que le forfait inclut, le tarif de ce qui en sort (taux horaire, déplacement, urgence) et la clause de révision des prix.
La question à poser : combien coûte une intervention hors forfait, et comment le prix évolue-t-il chaque année ?
04Les sauvegardes
Le contrat doit dire qui choisit la solution, qui surveille les sauvegardes, ce qui est sauvegardé, à quelle fréquence, où et combien de temps. Une sauvegarde peut échouer sans bruit : « Testez vos sauvegardes », rappelle Cybermalveillance.gouv.fr (fiche mise à jour le 14 septembre 2026).
Les exigences types du guide de l'ANSSI prévoient un compte rendu de chaque sauvegarde « avec indicateur de réussite ou d'échec » et des « tests de restauration mensuels », rapports à l'appui. La méthode : la règle du 3-2-1.
La question à poser : qui est prévenu quand une sauvegarde échoue, et quand une restauration a-t-elle été testée ?
05La sécurité et les données personnelles
La CNIL range les « prestataires de services informatiques (hébergement, maintenance,…) » parmi les sous-traitants au sens du RGPD (guide du sous-traitant, septembre 2017). L'article 28 du RGPD impose alors un contrat écrit qui fixe notamment les engagements du prestataire :
- traiter les données uniquement « sur instruction documentée » de votre entreprise ;
- garantir la confidentialité et la sécurité ;
- n'engager un autre sous-traitant qu'avec votre autorisation écrite préalable ;
- vous aider face aux demandes des personnes et aux violations de données ;
- supprimer ou restituer les données en fin de contrat ;
- permettre des audits.
Il doit vous signaler une violation « dans les meilleurs délais » (article 33) : vous devez vous-même la notifier à la CNIL dans les meilleurs délais et, si possible, 72 heures au plus tard après en avoir pris connaissance, sauf si elle ne présente pas de risque pour les personnes concernées. Des clauses contractuelles types, facultatives, peuvent servir de modèle (CNIL, 30 juin 2021). L'ANSSI propose aussi de rendre le prestataire responsable du « maintien en condition de sécurité » pendant toute la prestation.
La question à poser : où est l'annexe article 28, et à quels sous-traitants faites-vous appel ?
06Les accès, les comptes et la documentation
Comptes administrateur, nom de domaine, abonnement Microsoft 365 et licences doivent être au nom de votre entreprise, même si le prestataire les gère. L'ANSSI demande qu'il documente « la liste exhaustive des comptes d'accès existants » et leurs droits, avec des comptes nominatifs et sans mots de passe par défaut.
La documentation produite (schéma du réseau, configurations, inventaire) doit vous appartenir, être tenue à jour et remise sur simple demande.
La question à poser : si vous disparaissiez demain, pourrions-nous reprendre la main sur notre informatique ?
07La durée, la reconduction et la résiliation
Un contrat à durée déterminée s'exécute « jusqu'à son terme » (article 1212 du Code civil, en vigueur au 30 octobre 2026) : sans clause de sortie, un engagement de 36 mois vous lie 36 mois, sauf manquement suffisamment grave du prestataire (article 1224 du Code civil). Poursuivi après l'échéance, il est tacitement reconduit (article 1215). Un contrat à durée indéterminée se résilie à tout moment, avec le préavis prévu ou, à défaut, « un délai raisonnable » (article 1211).
Attention
L'obligation de prévenir le client avant l'échéance d'un contrat reconductible (article L215-1 du Code de la consommation) protège les consommateurs et les non-professionnels (article L215-3), pas une entreprise qui signe pour son activité. Notez la date limite de résiliation dès la signature.
La question à poser : quelle durée, quel préavis, et puis-je partir plus tôt si les délais promis ne sont pas tenus ?
08La réversibilité et la responsabilité
La réversibilité
Pour l'ANSSI, elle permet au client de reprendre la gestion lui-même ou de la confier à « un tiers de son choix », avec « l'assistance nécessaire durant la période de migration ». Faites préciser la durée de cette assistance et son prix. Ce qu'il faudra récupérer est listé dans notre article sur le changement de prestataire.
La responsabilité et l'assurance
Un contrat peut plafonner la responsabilité du prestataire, par exemple au montant facturé sur un an. Mais une clause qui « prive de sa substance l'obligation essentielle du débiteur est réputée non écrite » (article 1170 du Code civil) ; en cas de litige, le juge apprécie. L'ANSSI conseille que cette clause décrive aussi les risques et les montants couverts par l'assurance responsabilité civile du prestataire.
La question à poser : quel est le plafond, et pouvez-vous nous transmettre votre attestation d'assurance ?
Le récapitulatif
| Clause | Question à poser | Signal d'alerte |
|---|---|---|
| Périmètre | Quels équipements, quelles exclusions ? | « Maintenance du parc », sans liste |
| Délais | Quels délais, sur quels horaires ? | « Dans les meilleurs délais », sans chiffre |
| Facturation | Combien coûte le hors forfait ? | Aucun tarif hors forfait |
| Sauvegardes | Qui teste la restauration ? | Aucun compte rendu |
| Données personnelles | Où est l'annexe article 28 ? | Aucune clause RGPD |
| Accès | Sont-ils à notre nom ? | Mots de passe gardés par le prestataire |
| Durée | Quel préavis ? | Engagement long, reconduit pour la même durée |
| Réversibilité, responsabilité | Quelle aide au départ, quelle assurance ? | Réversibilité absente |
En résumé
- Faites annexer la liste des équipements couverts et des exclusions.
- Distinguez GTI (intervenir) et GTR (réparer), et vérifiez les horaires couverts.
- Exigez des sauvegardes surveillées et des restaurations testées.
- Vérifiez l'annexe article 28 du RGPD et la propriété de vos accès.
- Notez l'échéance, faites chiffrer la réversibilité et demandez l'attestation d'assurance.
Pour en parler, découvrez notre maintenance informatique autour de Rennes : nous commençons par un audit gratuit de votre parc, puis nous vous remettons une proposition de contrat adaptée. Vous pouvez aussi nous contacter du lundi au vendredi, de 9 h à 18 h.