Une unité métier veut transmettre des données personnelles clients à un nouveau fournisseur SaaS dès la semaine prochaine. Qu'exige d'abord l'architecte ?

Confier des données personnelles clients à un nouveau fournisseur SaaS est une décision de risque tiers, non une formalité d'achat. Dès que les données quittent votre périmètre, la posture de sécurité du fournisseur fait partie de la vôtre — mais la responsabilité de ces données reste la vôtre. Le rôle de l'architecte est d'insérer la diligence raisonnable avant le transfert, pas après.

Ce que l'évaluation doit couvrir

Une véritable évaluation de sécurité du fournisseur demande, concrètement :

• Traitement et localisation des données. Où les données personnelles sont-elles stockées et traitées ? Qui peut y accéder ?
• Chiffrement en transit et au repos, et gestion des clés.
• Contrôles d'accès — MFA, moindre privilège, séparation des administrateurs, journalisation.
• Assurance indépendante — SOC 2 Type II à jour, ISO 27001 ou équivalent, examiné (et pas seulement revendiqué).
• Sous-traitants — qui d'autre touche les données en aval, et selon quelles modalités.
• Notification de violation — à quelle vitesse et par quel canal ils vous préviendront.

Puis un accord de traitement des données (DPA) codifie ces obligations par contrat — finalité du traitement, mesures de sécurité, encadrement des sous-traitants, délais de notification et suppression à la sortie — avant l'envoi d'un seul enregistrement. Sous des réglementations comme le RGPD, ce n'est pas optionnel.

Pourquoi les mauvaises réponses sont fausses

« Rien — le fournisseur a un site web soigné » confond le vernis marketing avec la maturité sécurité ; une interface léchée ne dit rien sur la protection des données derrière. « Juste un contrat signé sur le prix » traite le commercial, pas la sécurité ni la protection des données — vous avez convenu du montant à payer, pas de la façon dont les données de vos clients sont protégées. « Une assurance verbale du commercial » est invérifiable, non contraignante, et exactement ce qu'un commercial est incité à donner, indépendamment de la réalité.

Ce que sonde l'examinateur

Il veut une maturité de gouvernance : l'instinct de traiter les fournisseurs comme une extension de votre surface d'attaque, la connaissance des preuves précises à exiger (certifications, DPA, modalités de violation) et la discipline de bloquer le transfert tant que la diligence n'est pas faite. Une bonne réponse la relie à la responsabilité — régulateurs et clients vous tiennent pour responsable des données personnelles, même quand c'est un tiers qui les perd.