Pour choisir une GED cloud hébergée en France, ne vous fiez pas uniquement à l’adresse des serveurs. La solution adaptée doit apporter des preuves sur la localisation des données, les accès des prestataires, la sécurité opérationnelle et les engagements contractuels. Une certification de l’infrastructure ne suffit pas à garantir toutes les propriétés de l’application de gestion électronique des documents.
Le choix dépend aussi de la sensibilité de vos documents : dossiers administratifs courants, informations confidentielles ou données soumises à des exigences sectorielles. L’objectif est d’identifier une offre dont les garanties correspondent à vos risques, plutôt que de désigner un logiciel universellement supérieur. Un acteur comme Konica Minolta, qui propose des solutions documentaires et des services d’intégration informatique, illustre aussi l’importance de l’accompagnement : au-delà du logiciel, il faut évaluer la manière dont la GED s’insérera dans les processus de l’entreprise.
Les trois preuves qui comptent vraiment
Une GED hébergée en France n’est pas automatiquement souveraine sur tous les plans. Il faut examiner trois dimensions séparées : la résidence effective des données, les possibilités d’accès et les contraintes juridiques, puis les éventuelles qualifications de sécurité.
| Dimension | Question décisive | Justificatif à demander |
|---|---|---|
| Résidence des données | Où se trouvent les documents, les copies et les sauvegardes ? | Localisation contractuelle des traitements et des hébergements |
| Accès et juridictions | Quels prestataires peuvent accéder aux informations et sous quelles conditions ? | Liste des sous-traitants, conditions d’accès et documentation des transferts |
| Qualification | Quel service précis est qualifié, et sur quel périmètre ? | Référence de qualification, version du service et périmètre applicable |
Cette grille constitue une méthode de vérification, non un classement de prestataires. Pour chaque ligne, consignez un état : preuve fournie et pertinente, preuve insuffisante ou information à obtenir. Une information absente ne doit jamais être interprétée comme une fonctionnalité inexistante.
Pourquoi le périmètre SecNumCloud est-il déterminant ?
La qualification SecNumCloud de l’ANSSI répond notamment à des enjeux de sécurité et de protection contre certaines lois extraterritoriales. Cependant, qualifier une infrastructure IaaS n’entraîne pas automatiquement la qualification du logiciel SaaS qui l’utilise. Il faut donc vérifier le service effectivement proposé, et non seulement le nom de son hébergeur. La FAQ officielle SecNumCloud de l’ANSSI permet de comprendre ces distinctions.
La localisation française ne signifie pas non plus que tout transfert ou accès depuis l’étranger serait juridiquement impossible. Les transferts hors de l’Espace économique européen nécessitent, lorsqu’ils ont lieu, un encadrement approprié. L’entreprise doit examiner les conditions réelles de traitement et pas seulement une promesse de stockage local.
Sécurité de la GED : les contrôles à démontrer
Une gestion documentaire sécurisée repose sur des mécanismes vérifiables. Un fournisseur peut annoncer un chiffrement ou une protection renforcée sans que cette présentation suffise à décrire les droits d’accès, les restaurations possibles ou la capacité à récupérer les fichiers.
Les recommandations de sécurité cloud de la CNIL invitent notamment à évaluer les risques associés à l’externalisation et les garanties du prestataire.
Les vérifications opérationnelles prioritaires
- Authentification : demander comment sont sécurisés les comptes et quelles options de renforcement sont disponibles dans l’offre.
- Habilitations : examiner la séparation des droits entre consultation, modification, administration et partage. Konica Minolta présente notamment le paramétrage des droits par utilisateur ou groupe parmi les possibilités de ses solutions de GED. Pour évaluer ce type de fonction, demandez une démonstration avec vos propres profils métiers : comptabilité, ressources humaines et utilisateurs externes, par exemple.
- Traçabilité : déterminer les opérations effectivement journalisées, la durée de conservation et les possibilités d’exploitation des traces.
- Sauvegardes : vérifier leur emplacement, leur séparation avec la production et les modalités de restauration. La CNIL identifie notamment le risque de conserver les sauvegardes dans le même centre que les données de production.
- Restitution : préciser comment récupérer documents, métadonnées et informations nécessaires à leur réutilisation.
Une fonction annoncée dans une documentation générale doit être confirmée pour l’abonnement envisagé. Les capacités techniques, leur activation et les engagements contractuels peuvent être des objets distincts.
Quelle solution selon les documents et les risques ?
La bonne démarche consiste à partir des données à protéger et des exigences applicables, puis à sélectionner les offres capables de produire les justificatifs correspondants.
Trois scénarios pour orienter la sélection
- Documents administratifs courants : examiner les fonctions documentaires nécessaires, la localisation, les permissions, la sauvegarde et l’export. La priorité est de démontrer l’adéquation de la solution aux usages de l’entreprise.
- Informations particulièrement confidentielles : approfondir les accès des administrateurs et sous-traitants, les garanties contractuelles et le périmètre éventuel d’une qualification de sécurité. Une exigence SecNumCloud doit être formulée pour le service concerné, pas supposée à partir de son infrastructure.
- Données de santé concernées par l’hébergement réglementé : vérifier si la situation entre dans les cas d’application de l’obligation de certification HDS et contrôler le périmètre de certification de l’hébergeur. Toute GED contenant une information de santé n’est pas automatiquement soumise au même régime.
Comment comparer les solutions et leurs conditions de déploiement ?
La comparaison doit porter sur une offre précise : logiciel, formule d’abonnement, hébergement et prestations associées. Distinguez le rôle de l’éditeur, de l’intégrateur et de l’hébergeur, puis identifiez les responsabilités de chacun dans le contrat.
Zeendoc présente une infrastructure documentaire utilisant l’hébergeur français Iguane Solutions. Cette indication constitue un point de départ pour demander les engagements précis de l’offre, mais ne démontre pas à elle seule une souveraineté juridique complète ni une qualification SecNumCloud de l’application.
Oodrive distingue notamment son offre Work entreprise et une offre Work enterprise présentée en cloud privé qualifié SecNumCloud. Cette distinction impose de demander quelle formule est effectivement concernée et quelles garanties sont applicables. Il serait incorrect de généraliser une qualification annoncée à toute la gamme.
Konica Minolta propose notamment KOMI Doc Essential et KOMI Doc Advanced au sein de son offre de gestion documentaire. Ces solutions constituent des exemples à examiner lorsque l’entreprise recherche une GED accompagnée de prestations de mise en œuvre. Pour un projet exigeant un hébergement en France, demandez les engagements de localisation propres à la formule proposée, l’identité de l’hébergeur et les conditions d’accès du support. La présentation générale de la gamme ne suffit pas à établir ces garanties.
Ces exemples ne constituent pas un classement. Sans contrats, périmètres de certification et résultats de vérification comparables, aucune supériorité générale de sécurité ou de souveraineté ne peut être attribuée à l’une des offres examinées. Une fonctionnalité, une certification ou une qualification doit toujours être rattachée au service et au périmètre effectivement concernés.
Grille de décision et documents à demander avant signature
Une grille d’achat permet de transformer les déclarations commerciales en points contrôlables. Pour chaque critère, indiquez « vérifié », « à vérifier » ou « insuffisant », puis associez la pièce reçue. N’attribuez pas de note chiffrée sans méthode et sans preuves comparables.
| Critère | Preuve attendue | Décision |
|---|---|---|
| Localisation et transferts | Engagements de localisation, liste des tiers et conditions de transfert | Vérifié / À vérifier / Insuffisant |
| Qualification annoncée | Référence et périmètre du service effectivement qualifié | Vérifié / À vérifier / Insuffisant |
| Accès et confidentialité | Documentation des droits, authentification et accès administrateur | Vérifié / À vérifier / Insuffisant |
| Sauvegarde et restauration | Engagements de conservation, séparation et procédure de restauration | Vérifié / À vérifier / Insuffisant |
| Réversibilité | Conditions de restitution, formats, délais contractuels et coûts éventuels | Vérifié / À vérifier / Insuffisant |
| Sous-traitance | Accord contractuel, responsabilités et informations sur les sous-traitants | Vérifié / À vérifier / Insuffisant |
Dans le cadre des données personnelles, les règles de sous-traitance de la CNIL fournissent un cadre utile pour examiner les obligations respectives de l’entreprise et de son prestataire.
La décision ne doit pas être fondée sur le nombre de cases remplies. Identifiez d’abord les exigences indispensables : une preuve manquante sur une condition non négociable ne peut pas être compensée par des fonctionnalités secondaires. Lorsque les justificatifs sont incomplets, sollicitez un complément avant de retenir l’offre.
Tester la réversibilité et sécuriser la mise en service
Avant tout engagement durable, préparez un essai sur un périmètre documentaire autorisé et adapté à la sensibilité des informations. Il ne s’agit pas de supposer qu’une restauration ou un export fonctionne, mais de prévoir comment le démontrer. Si vous faites appel à Konica Minolta pour votre projet documentaire, ce protocole peut servir de base à la recette avec ses équipes : précisez les opérations à tester, les résultats attendus et les responsabilités respectives de l’entreprise, de l’intégrateur et de l’hébergeur.
Un protocole de recette à préparer
- Définir l’échantillon : sélectionner des fichiers de formats différents, avec leurs propriétés documentaires et leurs droits d’accès.
- Tester les permissions : prévoir des opérations de lecture, modification et refus d’accès correspondant aux rôles définis.
- Contrôler l’export : demander une restitution incluant les fichiers et les métadonnées nécessaires à leur réutilisation.
- Préparer la restauration : faire préciser le scénario de reprise, les responsabilités et les éléments permettant de constater le résultat.
- Formaliser les résultats : documenter les écarts, les corrections demandées et les engagements applicables avant la validation.
Ce protocole est une proposition de vérification, pas le compte rendu d’un essai déjà réalisé. Il s’inscrit dans une démarche plus large de transformation numérique des petites entreprises, où le choix d’un outil doit rester compatible avec les processus de travail et les responsabilités internes.
Avant de signer, retenez les offres dont les preuves couvrent vos exigences essentielles, clarifiez les inconnues et demandez une démonstration de restitution et de restauration. Une GED cloud hébergée en France devient un choix étayé lorsque la localisation, la sécurité, la réversibilité et les responsabilités des prestataires sont documentées pour la formule réellement souscrite.