Une stratégie de sortie, aussi pour votre nouveau cloud

Module 8: Sauvegardes, sortie et gestion · Temps de lecture : 11 minutes

Objectif pédagogique : après cette leçon, vous saurez élaborer et tester une stratégie de sortie, afin de pouvoir quitter votre nouveau prestataire plus tard sans dommage, et vous connaîtrez les droits que le RGPD et le Data Act européen vous accordent à cet égard.

Notions clés : stratégie de sortie, test de sortie, format d'export, standard ouvert, délai de préavis, période de transition, restitution et suppression des données, art. 28 al. 3 point g du RGPD, Data Act européen (Règlement (UE) 2023/2854), droit à la portabilité, frais de changement de prestataire, nom de domaine en gestion propre

Pourquoi réfléchir dès maintenant à votre départ ?

Vous venez de changer de prestataire, ou vous êtes encore en train de le faire. Pourquoi réfléchir déjà au changement suivant ? Parce que sinon, vous réapprendrez la leçon de cette formation dans cinq ans. Avec votre ancien service, vous vous êtes heurté à des murs (leçon 2.3) : des fichiers dans un format propriétaire, des conversations de chat qui ne pouvaient pas être transférées, une connexion liée à un compte que vous vouliez supprimer. Une stratégie de sortie évite de reconstruire ces mêmes murs chez votre nouveau prestataire.

Il existe aussi des raisons que vous ne choisissez pas vous-même : le prestataire est racheté (par exemple par une entreprise hors UE, ce qui change soudainement les réponses aux questions de la leçon 2.1), il augmente fortement ses prix, arrête un service, ou fait faillite. Celui qui a un plan peut alors choisir sereinement. Celui qui n'en a pas doit migrer dans l'urgence.

Les trois niveaux d'une stratégie de sortie

Premier niveau, technique : pouvez-vous récupérer vos données, dans un format utilisable ?

Pour chaque composant, notez comment vous l'exportez et dans quel format. Avec un service qui utilise des standards ouverts (leçon 2.2), c'est simple à organiser :

Deuxième niveau, contractuel : que prévoient vos accords concernant le départ ?

Lisez ces clauses à la signature, pas au moment de la résiliation : le délai de préavis, la possibilité d'accéder pleinement à vos données pendant ce délai, la durée pendant laquelle vos données restent récupérables après la fin du contrat, et quand et comment elles seront supprimées. Souhaitez-vous recevoir une confirmation de suppression ?

Troisième niveau, organisationnel : qui sait comment procéder ?

Un plan qui n'existe que dans la tête d'un seul collègue n'est pas un plan. Consignez la stratégie de sortie dans un document rangé avec vos documents administratifs, avec les administrateurs et les identifiants du compte d'administration (dans le gestionnaire de mots de passe, leçon 7.4).

Ce que prévoit le RGPD

Si vous utilisez le service pour des données à caractère personnel de tiers (clients, membres, employés), le prestataire est votre sous-traitant et vous concluez un contrat de sous-traitance (leçon 9.2). L'article 28, alinéa 3, point g du RGPD prévoit que ce contrat doit stipuler qu'au terme de la prestation, au choix du responsable du traitement, le sous-traitant supprime toutes les données à caractère personnel ou les lui renvoie, et supprime les copies existantes, sauf si une loi impose leur conservation. C'est votre base légale pour récupérer vos données lors d'un départ et les faire ensuite supprimer. Demandez réellement cette suppression, et demandez une confirmation.

Ceci est une explication, pas un conseil juridique. En cas de doute sur votre propre situation, consultez un juriste ou votre délégué à la protection des données.

Ce que prévoit le Data Act européen

Depuis le 12 septembre 2025, le Data Act européen (Règlement (UE) 2023/2854) s'applique. Le chapitre VI (articles 23 à 31) traite du changement de prestataire de services cloud et s'applique aux fournisseurs de ce qu'on appelle les services de traitement de données, dont les services en ligne courants de stockage, de messagerie et de collaboration. Les points principaux :

• Le prestataire doit rendre possible le changement de prestataire et supprimer les obstacles (art. 23), et les modalités du changement doivent figurer dans un contrat écrit (art. 25).
• Le délai de préavis pour démarrer un changement de prestataire est de deux mois maximum (art. 25, al. 2, point d).
• Suit ensuite une période de transition de 30 jours calendaires maximum pendant laquelle le prestataire apporte son aide et le service continue de fonctionner (art. 25, al. 2, point a). Si cela n'est techniquement pas réalisable, le prestataire doit le signaler dans les 14 jours ouvrés et peut proposer une période plus longue, de sept mois maximum (art. 25, al. 4). Vous pouvez prolonger la période de transition une seule fois (art. 25, al. 5).
• Après la période de transition, vous disposez d'au moins 30 jours calendaires pour récupérer vos données (art. 25, al. 2, point g), après quoi le prestataire doit tout effacer complètement (point h).
• Le prestataire doit décrire au préalable quelles données vous pouvez emporter et dans quels formats (art. 25, al. 2, point e et art. 26).
• Frais de changement de prestataire : jusqu'au 12 janvier 2027, un prestataire ne peut facturer que des frais réduits, qui ne doivent pas dépasser ses propres coûts ; à partir du 12 janvier 2027, il ne pourra plus facturer aucun frais de changement de prestataire (art. 29). Les frais d'abonnement habituels et une pénalité pour résiliation anticipée ne sont pas concernés.

Il existe des exceptions, par exemple pour les services largement conçus sur mesure pour un seul client, et pour les versions d'essai (art. 31). Le Data Act facilite donc le changement de prestataire, mais il n'exporte pas vos données à votre place. Un format d'export que personne d'autre ne peut lire reste un problème ; c'est pourquoi les standards ouverts restent importants.

Votre nom de domaine : la clé la plus importante

Un élément facilite grandement toute sortie : votre propre nom de domaine, en gestion propre. Si votre adresse e-mail est info@example.com et que le nom de domaine est au nom de votre organisation, vous pouvez transférer la messagerie vers n'importe quel prestataire en modifiant les enregistrements MX (leçon 4.3). Si votre adresse est bakkerijdekorrel@gmail.com ou si le nom de domaine est lié au compte de votre prestataire, vous perdez votre adresse en cas de départ, ou vous dépendez de sa coopération.

Vérifiez donc :

• que le nom de domaine est au nom de l'organisation (titulaire), et non d'un ex-employé ou d'un prestataire web ;
• vous savez auprès de quel registrar il est enregistré et comment demander le code de transfert ;
• que votre cloud utilise une adresse sur votre propre domaine, comme cloud.example.com, afin que les applications et les liens ne dépendent pas d'une adresse du prestataire.

Le test de sortie

Une stratégie de sortie se teste comme une sauvegarde : en la réalisant réellement, à petite échelle. Chez Bakkerij De Korrel, Ruud le fait une fois par an, un après-midi calme :

1. Il exporte un dossier de documents, l'agenda partagé « Bezorging » (ICS) et le carnet d'adresses « Leveranciers » (vCard).
2. Il ouvre ces fichiers dans un autre environnement : un autre logiciel d'agenda, un autre carnet d'adresses, une autre suite bureautique.
3. Il vérifie : les rendez-vous arrivent-ils avec les bons horaires et les bonnes récurrences ? Les numéros de téléphone sont-ils associés aux bons noms ? Les documents s'ouvrent-ils avec la bonne mise en forme ?
4. Il note ce qui n'a pas fonctionné, et ajuste la stratégie.

Dans l'exercice A8.2, vous laisserez un programme vérifier cela automatiquement.

En pratique : à quoi cela ressemble chez un prestataire

Un Nextcloud WebOké fonctionne avec des standards ouverts : vous récupérez vos fichiers avec l'application de bureau ou via WebDAV, vous exportez les agendas en ICS et les contacts en vCard, et les documents sont stockés en docx, xlsx, pptx ou odt dans vos fichiers. Le guide explique aussi comment changer d'un autre prestataire Nextcloud avec l'application de bureau et des fichiers ICS et vCard ; le même chemin fonctionne dans l'autre sens. La messagerie se trouve dans une offre de messagerie que vous pouvez copier via IMAP vers n'importe quel autre prestataire. Les noms de domaine peuvent être transférés vers un autre registrar à l'aide d'un code de transfert.

Chez d'autres prestataires européens, cela fonctionne de manière similaire, s'ils utilisent les mêmes standards ouverts. Renseignez-vous avant de signer.

Résumé

• Planifiez votre départ dès le début : techniquement (formats d'export), contractuellement (résiliation, restitution, suppression) et organisationnellement (qui sait comment procéder).
• Art. 28, al. 3, point g du RGPD : à l'issue du contrat, restitution ou suppression des données, au choix du responsable du traitement.
• Le Data Act : délai de préavis de deux mois maximum, période de transition de 30 jours maximum (exceptionnellement sept mois), au moins 30 jours pour récupérer les données, et à partir du 12 janvier 2027, plus aucun frais de changement de prestataire.
• Votre propre nom de domaine en gestion propre est la clé la plus importante pour toute sortie.
• Testez votre sortie une fois par an, à petite échelle.

Quiz

Exercice

Exercice A8.2 : Test de sortie avec vérification automatique. Exportez depuis votre nouveau service un agenda (ICS), un carnet d'adresses (vCard) et quelques documents, et téléversez-les sous forme de zip ou de fichiers séparés. Le programme vérifie si les fichiers sont valides et dans un format ouvert ou courant, et compare les comptages avec ceux que vous indiquez.

Exercice E8.2 : Votre stratégie de sortie sur une page. Indiquez pour chaque composant comment vous l'exportez et dans quel format, recherchez dans votre contrat ou vos conditions générales le délai de préavis et les modalités de restitution et de suppression, et vérifiez au nom de qui votre nom de domaine est enregistré.

Pour aller plus loin

Les étapes décrites dans ces articles s'appliquent aux services de WebOké ; chez d'autres prestataires, le fonctionnement est similaire.

• Guide Nextcloud 13.7: Passer de Nextcloud Free à un forfait payant, ou d'un autre fournisseur Nextcloud
• Guide Nextcloud 14.5: Votre Nextcloud sur votre propre domaine (cloud.votreentreprise.fr)
• Guide WebOké 5.12: Transférer un domaine : code de transfert (EPP) et verrou de transfert
• Guide WebOké 11.7: Confidentialité : télécharger ou supprimer vos données
• Règlement (UE) 2023/2854 (Data Act), chapitre VI, articles 23 à 31 : https://eur-lex.europa.eu/legal-content/NL/TXT/?uri=CELEX:32023R2854
• RGPD (Règlement (UE) 2016/679), article 28 : https://eur-lex.europa.eu/legal-content/NL/TXT/?uri=CELEX:32016R0679