Une collectivité, une association ou un tiers-lieu confie à son outil collaboratif des données d'agents, de bénévoles ou d'usagers. Où ces données sont stockées, qui peut y accéder, comment les récupérer en partant : ces points se vérifient avant la signature, pas après. Les questions ci-dessous valent pour n'importe quel éditeur, français ou non. Demandez des réponses écrites et des justificatifs.

1. Où les données sont-elles hébergées, sauvegardes comprises ? Demandez le pays et le nom de l'hébergeur, pour les données de production comme pour les copies de sauvegarde.

2. L'éditeur ou son hébergeur relève-t-il d'un droit étranger à portée extraterritoriale ? Un hébergement en France ne suffit pas si la maison mère est soumise, par exemple, au Cloud Act américain.

3. L'offre dispose-t-elle de la qualification SecNumCloud de l'ANSSI ? Si oui, demandez l'attestation et son périmètre exact : elle peut couvrir l'hébergeur sans couvrir l'application.

4. Quels sous-traitants ont accès aux données ? La liste doit figurer dans l'accord de traitement des données prévu par l'article 28 du RGPD.

5. Les données sont-elles chiffrées, en transit et au repos ? Demandez aussi qui détient les clés de chiffrement.

6. Comment récupérer toutes les données en fin de contrat ? Format d'export, délai, coût éventuel : c'est la réversibilité, à inscrire au contrat.

7. L'outil est-il accessible ? Demandez le taux de conformité au RGAA et la déclaration d'accessibilité de l'éditeur.

8. Où est basé le support, et dans quelle langue répond-il ? Vérifiez aussi les horaires et les délais d'intervention.

9. L'outil se connecte-t-il à votre annuaire existant ? Authentification unique (SSO), gestion des comptes à l'arrivée et au départ des personnes.

10. Quelles fonctions d'IA sont intégrées ? Demandez quel modèle est utilisé, où il tourne, si elles peuvent être désactivées et si vos contenus servent à l'entraîner.