Avant de signer : comment récupérer vos données auprès du prestataire

Avant de signer avec un prestataire, je demanderais un échantillon de ce que vous recevrez à la fin du service. Un tableau de contacts ? Les commandes avec leurs identifiants ? Les pièces jointes aussi, ainsi que le lien entre chaque commande et son client ? « Les données sont à vous » exprime une intention, sans répondre à ces questions.

Dans un scénario hypothétique, vous changez d’outil et recevez un CSV contenant des noms et des totaux. Les documents restent dans l’ancien système, sans clé permettant de les relier. Vous avez un fichier, mais vous ne pouvez pas encore poursuivre le travail. Ce problème peut être détecté plus tôt : en testant un export et en vérifiant ce qu’il permet de reconstituer.

Définir ce qui sera livré et comment le vérifier

Je distinguerais trois points dans l’accord : l’accès pendant le service, la remise des données à la fin et l’utilisation ultérieure de l’outil. Pour la remise, je préciserais les jeux de données, les formats, les pièces jointes, la documentation des champs et les relations nécessaires. Également le délai, le coût éventuel et la personne qui confirme que la livraison est complète.

Dans mon contrat, les données métier du client qui résident dans ses propres systèmes y restent et ne sont pas affectées par la fin du contrat. Lorsque la solution exige de stocker des données du client dans mon infrastructure, elles sont conservées dans un conteneur isolé et réservé exclusivement à ce client, séparé de la couche de traitement, avec un accès propre au client pendant toute la durée du contrat.

À la fin du contrat, quelle qu’en soit la cause, je remets la totalité des données du client hébergées dans ce conteneur dans un délai maximal de 15 jours calendaires, au format CSV ou JSON. Cette remise ne comprend ni les flux, ni le code, ni les prompts, ni l’architecture ; leur licence d’utilisation prend fin avec le contrat.

CSV et JSON peuvent être des formats utiles. Leur nom ne garantit pas qu’ils incluent l’historique ni que le logiciel suivant les importera sans ajustement. Je demanderais un essai avec des données fictives : ouvrir l’export, retrouver une commande, puis son client et ses documents. Si un élément manque, il doit figurer parmi les exclusions avant de s’engager.

Je vérifierais aussi qui administre le domaine, la messagerie et les comptes d’infrastructure. Je privilégierais des comptes contrôlés par votre entreprise, avec des droits délégués au prestataire lorsque c’est possible. Conserver tous les mots de passe dans un document partagé ne remplace pas la définition des accès, de leur récupération et de leur révocation.

Le RGPD a une portée précise

Pour une entreprise en Espagne, si le prestataire traite des données personnelles pour votre compte en qualité de sous-traitant, l’article 28 du RGPD impose d’encadrer ce traitement. Son paragraphe 3.g prévoit la restitution ou la suppression des données personnelles à la fin du service, au choix du responsable du traitement, ainsi que la suppression des copies, sauf conservation exigée par la réglementation applicable.

Cela ne fait pas du RGPD une règle générale de propriété de toutes les données de l’entreprise. Il ne remplace pas non plus l’accord de sortie. La portabilité prévue à l’article 20 est un droit de la personne concernant certaines données personnelles, soumis à ses conditions ; ce n’est pas un droit de l’entreprise à recevoir toute l’application ou n’importe quel fichier.

Je préciserais la gestion des sauvegardes et des obligations de conservation, plutôt que de promettre que tout disparaîtra immédiatement. Pendant la transition, l’accès aux données personnelles doit rester limité aux personnes autorisées.

Emporter vos données ne vous donne pas tous les droits sur le code

La licence d’utilisation, une éventuelle cession de droits et la remise du code sont des questions à distinguer. La loi espagnole sur la propriété intellectuelle, dans ses articles 43 et 45, délimite la cession des droits d’exploitation et exige qu’elle soit formalisée par écrit. Elle ne permet pas de conclure que tout mécanisme appartient toujours au prestataire ni que payer un développement transfère automatiquement l’ensemble des droits.

Je demanderais que le contrat identifie ce que vous pourrez continuer à utiliser après la fin du service et les dépendances à des tiers. Vous pouvez conserver vos données et avoir besoin d’un autre outil pour les exploiter. Cette transition demande du temps et une personne responsable.

Ces questions servent à préparer l’examen d’un contrat technologique ; elles ne constituent pas une appréciation juridique de votre situation. Avant de signer, il est utile de vérifier les modalités de sortie avec la personne qui réalisera la migration et avec un professionnel qui examinera les conditions applicables.