Contrat d’infogérance : SLA, réversibilité et clauses indispensables

Un bon contrat d’infogérance décrit précisément le périmètre confié, des niveaux de service mesurables avec des pénalités, les obligations de sous-traitance imposées par l’article 28 du RGPD, une réversibilité organisée et des conditions de durée et de résiliation équilibrées. Depuis le 12 septembre 2025, le règlement européen sur les données (Data Act) encadre en plus le changement de fournisseur pour les services cloud : préavis de deux mois au maximum et transition de 30 jours. Voici, clause par clause, ce qu’il faut vérifier avant de signer.

Périmètre : que confiez-vous exactement ?

La plupart des litiges en infogérance naissent d’un malentendu sur ce qui était inclus. Le contrat doit renvoyer à une annexe technique qui liste les éléments couverts : nombre de postes et d’utilisateurs, serveurs, équipements réseau, logiciels métier, sauvegardes, messagerie, téléphonie. Chaque service y est décrit avec ses horaires de couverture.

Deux listes complètent utilement cette annexe :

• Les exclusions : projets de migration, déploiement de nouveaux sites, matériel, licences, interventions sur des logiciels tiers non maîtrisés par le prestataire.
• Les tarifs hors forfait : taux horaire, majorations le soir et le week-end, frais de déplacement. Notre article sur le coût de l’infogérance en 2026 donne des repères.

Prévoyez aussi la manière dont le périmètre évolue. L’arrivée de dix salariés ou d’un nouveau serveur doit pouvoir s’ajouter par simple avenant, à un prix connu d’avance.

SLA, pénalités et plan d’assurance qualité

Le SLA (accord de niveau de service) traduit vos attentes en chiffres. Les indicateurs les plus utiles pour une PME sont les suivants.

Un SLA sans conséquence ne protège pas grand-chose. Les pénalités prennent généralement la forme d’un avoir calculé sur la redevance mensuelle, et constituent juridiquement une clause pénale. L’article 1231-5 du Code civil permet au juge de les réduire si elles sont manifestement excessives, ou de les augmenter si elles sont dérisoires : visez un montant proportionné, qui incite sans étrangler.

Le plan d’assurance qualité (PAQ) décrit l’organisation concrète : interlocuteurs de chaque côté, circuit d’escalade, fréquence des comités de suivi, contenu du rapport mensuel, procédure de changement. C’est souvent le document le plus utile au quotidien. Pour bien chiffrer vos exigences, relisez nos critères pour choisir un prestataire d’infogérance.

La clause de sous-traitance RGPD

Dès qu’il accède à vos fichiers, votre messagerie ou votre CRM, l’infogérant traite des données personnelles pour votre compte : il est sous-traitant au sens du RGPD. L’article 28 du RGPD impose un contrat écrit qui précise l’objet, la durée, la nature et la finalité du traitement, les types de données et les catégories de personnes concernées. Le prestataire doit notamment s’engager à :

• n’agir que sur vos instructions documentées ;
• garantir la confidentialité des personnes autorisées à traiter les données ;
• mettre en œuvre les mesures de sécurité de l’article 32 ;
• ne recourir à un autre sous-traitant qu’avec votre autorisation écrite préalable ;
• vous aider à répondre aux demandes des personnes et à gérer les violations de données ;
• supprimer ou restituer les données en fin de contrat ;
• vous fournir les informations nécessaires et permettre des audits.

Ajoutez un délai de notification des incidents : vous devez vous-même prévenir la CNIL dans les 72 heures après avoir pris connaissance d’une violation, ce qui suppose que le prestataire vous alerte bien avant. Nous détaillons ces points dans notre article sur les clauses RGPD avec les sous-traitants IT.

Réversibilité et propriété des données

Un plan de réversibilité solide prévoit la remise de la documentation à jour (schéma réseau, inventaire, procédures), le transfert des comptes administrateurs et des mots de passe, l’export des données dans des formats standards et une période pendant laquelle l’ancien prestataire répond aux questions du nouveau. Écrivez noir sur blanc que les données, les noms de domaine et les licences sont à votre nom et vous appartiennent.

Si le contrat comprend de l’hébergement ou des services cloud, le Data Act vous donne des droits supplémentaires. Le préavis exigé pour changer de fournisseur ne peut dépasser deux mois. La transition dure ensuite 30 jours, prolongeables jusqu’à sept mois en cas d’impossibilité technique justifiée, et vous disposez d’au moins 30 jours pour récupérer vos données. Les frais de changement, réduits au coût réel depuis 2025, disparaîtront totalement le 12 janvier 2027. Attention : ces règles ne neutralisent pas les indemnités de résiliation anticipée prévues par le contrat, qui relèvent du droit commun.

Durée, résiliation et responsabilité

Les contrats d’infogérance sont souvent conclus pour un à trois ans. Un contrat à durée déterminée doit être exécuté jusqu’à son terme (article 1212 du Code civil), d’où l’intérêt de prévoir une sortie anticipée en cas de manquements répétés aux SLA. Regardez de près la reconduction. À défaut de clause contraire, un contrat qui se poursuit après son terme devient à durée indéterminée (articles 1214 et 1215), résiliable à tout moment avec un préavis raisonnable (article 1211). Mais beaucoup de contrats prévoient au contraire une reconduction par périodes fermes d’un an : notez la date limite de dénonciation dans votre agenda.

Côté responsabilité, le prestataire plafonnera presque toujours son indemnisation, souvent à un multiple de la redevance annuelle. C’est admis, mais pas sans limite : l’article 1170 du Code civil répute non écrite toute clause qui prive de sa substance l’obligation essentielle du débiteur. Vérifiez aussi l’assurance responsabilité civile professionnelle du prestataire et son montant.

Enfin, si la relation se dégrade malgré tout, connaître vos droits et recours face à un prestataire IT évite des erreurs coûteuses, comme une rupture brutale. Si vous hésitez encore entre externaliser et recruter, notre comparatif infogérance ou DSI interne pose les chiffres.