Contrat infogérance site assurance : DORA, SLA et 8 clauses clés

Q: Quelle différence entre infogérance et hébergement simple ?

L'hébergement simple est la location d'un serveur (physique ou virtuel) : l'assureur loue l'infrastructure et gère tout lui-même (OS, sécurité, sauvegardes, monitoring). L'infogérance inclut la gestion complète de cette infrastructure : maintenance technique, mises à jour, surveillance 24/7, sécurisation, sauvegardes et résolution des incidents. Le coût passe de 10-60 €/mois (VPS nu) à 200-800 €/mois (infogérance site vitrine) — la différence de prix correspond à la valeur ajoutée humaine et technique qui décharge l'équipe IT interne.

Q: DORA impose-t-il de modifier les contrats d'infogérance existants ?

Oui. Les contrats signés avant le 17 janvier 2025 qui ne contiennent pas les clauses DORA (registre prestataire TIC, PRA/PCA documenté, droit d'audit ACPR, notification d'incidents) doivent être mis à jour par avenant. L'ACPR peut demander lors d'un contrôle le contrat d'infogérance et vérifier qu'il contient ces clauses. Un contrat non conforme expose l'assureur à un constat de non-conformité DORA — pas l'infogéreur (c'est l'assureur qui est responsable de la conformité de ses prestataires TIC).

Q: L'hébergement HDS est-il obligatoire pour tout site de mutuelle santé ?

Non, uniquement si le site ou l'espace adhérent traite des données de santé au sens du RGPD : remboursements, télétransmission, profil de consommation médicale, prise en charge hospitalière. Un site institutionnel qui ne fait que présenter des produits de mutuelle santé (sans espace adhérent connecté) n'a pas besoin d'HDS. En pratique, dès qu'il y a un espace adhérent avec consultation de remboursements, l'HDS est nécessaire. Surcoût : 30 à 50 % par rapport à un hébergement standard.

Q: Comment négocier la clause de réversibilité ?

La clause de réversibilité doit préciser cinq éléments : (1) le format de transfert des données (export SQL, fichiers compressés, accès FTP/SFTP), (2) le calendrier de transition (1 à 3 mois d'assistance), (3) la documentation technique à fournir (architecture serveur, configurations, procédures), (4) l'absence de rétention sur les données, le code source et le nom de domaine, (5) le coût de la prestation de réversibilité (forfait ou JH). DORA impose une stratégie de sortie documentée — la réversibilité n'est plus une clause optionnelle mais une obligation réglementaire.

Q: Combien coûte l'infogérance d'un site d'assurance avec espace adhérent ?

Pour un site vitrine institutionnel seul : 200 à 500 €/mois (infogérance standard). Pour un site avec parcours de souscription et espace adhérent : 800 à 2 000 €/mois (SLA renforcés, monitoring 24/7, sauvegardes plus fréquentes). Pour une mutuelle santé avec hébergement HDS : ajouter 300 à 600 €/mois au tarif ci-dessus. Le budget annuel total d'infogérance se situe donc entre 2 400 € (site vitrine simple) et 30 000 € (plateforme complète avec HDS) — à comparer au coût d'un incident non couvert (50 000 à 200 000 € pour une compromission ou une indisponibilité prolongée).

En synthèse ■

Le contrat d’infogérance d’un site d’assurance n’est plus un simple contrat d’hébergement : depuis l’entrée en vigueur de DORA en janvier 2025, l’infogéreur est un prestataire TIC inscrit au registre ACPR dont les engagements de service, de sécurité et de réversibilité doivent être documentés et auditables. Pour une mutuelle santé, l’hébergement doit être certifié HDS dès que des données de santé transitent par le site ou l’espace adhérent. Huit clauses structurent un contrat solide : périmètre, SLA, sécurité, conformité DORA, HDS, réversibilité, gouvernance et tarification. Budget : 200 à 800 €/mois pour un site vitrine, 800 à 2 000 €/mois pour un site avec espace adhérent et parcours de souscription. L’erreur la plus coûteuse : signer un contrat sans clause de réversibilité, puis découvrir qu’on est captif quand on veut changer de prestataire.

Les 8 clauses clés d'un contrat d'infogérance assurance

Ce que DORA a changé pour les contrats d’infogérance en assurance ■

Avant DORA, un contrat d’infogérance de site web était un contrat commercial classique entre un assureur et un hébergeur, avec des engagements de disponibilité et un support technique. Depuis le 17 janvier 2025, ce contrat est devenu un contrat de prestation TIC au sens de DORA, soumis à des obligations spécifiques qui impactent sa rédaction et sa gouvernance. Notre article sur l’impact de DORA sur les sites assurance détaille l’ensemble du cadre.

Concrètement, DORA impose trois obligations nouvelles dans le contrat d’infogérance. La première est l’inscription de l’infogéreur au registre des prestataires TIC que l’assureur doit tenir à jour et présenter à l’ACPR sur demande : nom du prestataire, nature des services, localisation des données, niveau de criticité, date de début et de fin de contrat. La deuxième est la documentation du PRA/PCA : l’infogéreur doit fournir un plan de reprise d’activité testé, avec des RTO/RPO chiffrés par actif digital — notre article sur le PRA et PCA en assurance détaille les objectifs cibles. La troisième est le droit d’audit : l’assureur (et l’ACPR) doivent pouvoir auditer les installations et les pratiques de l’infogéreur — cette clause doit figurer explicitement dans le contrat.

Les 8 clauses à négocier dans un contrat d’infogérance assurance ■

Clause	Ce qu’elle doit contenir	Piège à éviter	Exigence DORA
1. Périmètre des services	Liste exhaustive des services inclus (hébergement, monitoring, sauvegardes, SSL, mises à jour OS/PHP/DB) et exclus (CMS, plugins, contenu)	Zones grises entre infogérance et TMA — chaque prestation doit être dans un contrat ou l’autre, pas dans aucun	Le périmètre doit distinguer services TIC critiques et non critiques
2. SLA (engagements de service)	Taux de disponibilité (99,9 % min), temps de réponse serveur (< 200 ms), délai d’intervention (< 1h critique), délai de résolution (< 4h critique)	SLA sur la disponibilité du serveur uniquement, pas sur la disponibilité du site (deux choses différentes)	Les SLA doivent être documentés et mesurables pour le registre DORA
3. Sécurité	WAF, pare-feu réseau, protection DDoS, détection d’intrusion, gestion des accès, mises à jour de sécurité, chiffrement au repos et en transit	Sécurité réseau uniquement, sans sécurité applicative (le WAF est essentiel)	DORA impose des mesures de sécurité proportionnées au risque
4. Conformité DORA	Registre prestataire TIC, PRA/PCA documenté et testé 2×/an, droit d’audit ACPR, notification d’incidents sous 24h	Contrat signé avant DORA et jamais mis à jour — les clauses DORA doivent être ajoutées par avenant	Clause obligatoire depuis janvier 2025
5. HDS (données de santé)	Certification HDS de l’hébergeur, localisation France/UE, traçabilité des accès, chiffrement renforcé	L’hébergeur est certifié HDS mais le périmètre certifié ne couvre pas les serveurs de la mutuelle	Obligatoire dès que des données de santé transitent
6. Réversibilité	Transfert complet des données et configurations, assistance de 1 à 3 mois, documentation technique, pas de rétention sur le nom de domaine	Clause de réversibilité vague ou absente — la clause doit détailler le format de transfert et le calendrier	DORA impose une stratégie de sortie documentée
7. Gouvernance et suivi	Comité trimestriel, KPI mensuels (disponibilité, temps de réponse, incidents), rapport annuel de synthèse	Aucun comité prévu — le contrat vit dans un tiroir sans suivi ni évolution	Le rapport de suivi est un livrable présentable à l’ACPR
8. Tarification	Forfait mensuel clair, liste des prestations supplémentaires et leurs prix unitaires, conditions de révision annuelle	Tarification variable liée au trafic sans plafond — une tempête qui génère un pic de visites ne doit pas doubler la facture	La tarification n’est pas directement réglementée par DORA mais la transparence est une bonne pratique

La clause la plus souvent négligée est la réversibilité. Tant que la relation avec l’infogéreur se passe bien, personne ne pense à la sortie. Mais quand la relation se dégrade (SLA non tenus, support dégradé, prix en hausse unilatérale) ou quand l’assureur fusionne avec un groupe qui a sa propre infrastructure, l’absence de clause de réversibilité peut bloquer la transition pendant 6 à 12 mois et coûter des dizaines de milliers d’euros en migration d’urgence.

SLA recommandés par actif digital assurance

Des SLA différenciés selon la criticité de l’actif digital ■

L’erreur la plus fréquente dans les contrats d’infogérance d’assureur est d’appliquer le même SLA à tous les actifs hébergés. Or un espace client en assurance connecté au SI de gestion, qui traite 500 connexions par jour et des données de remboursement, ne justifie pas le même engagement qu’un blog éditorial de 200 visites quotidiennes. La bonne pratique est de négocier des SLA différenciés par actif, avec des engagements et des coûts proportionnés à la criticité.

Actif digital	Disponibilité cible	Délai d’intervention	Délai de résolution	Budget mensuel indicatif
Espace adhérent / client	99,95 %	< 30 minutes, 24/7	< 2 heures	800 — 1 500 €
Parcours devis-souscription	99,9 %	< 1 heure, 24/7	< 4 heures	500 — 1 000 €
Site institutionnel	99,9 %	< 2 heures en heures ouvrées	< 8 heures	200 — 500 €
Blog / contenus éditoriaux	99,5 %	< 4 heures en heures ouvrées	< 24 heures	100 — 250 €

Chaque ligne de ce tableau doit être formalisée dans le contrat comme un niveau de service distinct, avec ses pénalités associées (réduction de la facturation mensuelle proportionnelle au dépassement du SLA). Notre offre d’infogérance et hébergement structure les engagements selon cette logique de criticité différenciée.

L’hébergement HDS : une obligation pour les mutuelles qui traitent des données de santé ■

Pour les mutuelles santé et les complémentaires dont le site ou l’espace adhérent traite des données de santé (remboursements, télétransmission Noémie, profil de consommation médicale, prise en charge hospitalière), l’hébergement doit être certifié HDS (Hébergement de Données de Santé). Cette certification, délivrée sur la base d’un audit ISO 27001 enrichi, impose des exigences supérieures : chiffrement des données au repos et en transit, traçabilité des accès, procédures de notification en cas d’incident, et audits annuels de conformité.

En termes de contrat, la clause HDS doit préciser trois éléments. Le premier est la confirmation que le périmètre certifié HDS couvre bien les serveurs utilisés par la mutuelle — un hébergeur peut être certifié HDS sur certaines infrastructures et pas d’autres. Le deuxième est la localisation des données en France ou dans l’UE — les transferts hors UE sont incompatibles avec le cadre HDS et RGPD pour des données de santé. Le troisième est la responsabilité en cas d’incident impliquant des données de santé — l’hébergeur est sous-traitant au sens du RGPD et doit notifier la mutuelle sous 24 heures en cas de violation. Le surcoût HDS par rapport à un hébergement standard est de 30 à 50 %, soit typiquement 300 à 600 €/mois supplémentaires. Notre article sur la sécurité WordPress assurance détaille les couches de protection complémentaires à l’hébergement.

Infogérance et TMA : deux contrats distincts qui ne se chevauchent pas ■

La confusion la plus fréquente dans le secteur est le chevauchement entre le contrat d’infogérance (qui couvre l’infrastructure : serveur, OS, réseau, sauvegardes, SSL, monitoring) et le contrat de TMA WordPress et conformité DORA (qui couvre l’applicatif : CMS, plugins, thème, contenus, évolutions fonctionnelles, accessibilité RGAA). Les deux sont nécessaires mais portent sur des périmètres différents et sont souvent opérés par des prestataires différents. Un site WordPress d’assurance a besoin des deux — et chaque prestation doit être dans un contrat ou l’autre, pas dans aucun.

Le piège classique : le responsable digital pense que « l’infogérance couvre tout » et découvre après un incident que la mise à jour de WordPress, la correction d’un plugin de formulaire ou le renouvellement du certificat Let’s Encrypt ne sont pas dans le périmètre de l’infogéreur. La bonne pratique est de formaliser une matrice de responsabilité RACI entre les deux contrats, signée par les deux prestataires et par le responsable digital de l’assureur, qui précise pour chaque tâche (mise à jour CMS, mise à jour OS, sauvegarde base, sauvegarde fichiers, monitoring uptime, monitoring sécurité, correction de bug, etc.) qui est responsable, qui est consulté et qui est informé.

En conclusion : un contrat d’infogérance est un document vivant, pas un formulaire à signer ■

Le contrat d’infogérance d’un site d’assurance mérite le même niveau d’attention qu’un contrat de réassurance ou qu’un accord de distribution. Il engage la disponibilité du service client digital, la sécurité des données personnelles et la conformité DORA de la compagnie — trois dimensions qui sont désormais auditables par l’ACPR. Les 8 clauses documentées dans cet article constituent la check-list minimale à vérifier avant signature ou renouvellement. Les contrats signés avant janvier 2025 qui ne contiennent pas les clauses DORA doivent être mis à jour par avenant. Eficiens accompagne depuis plus de quinze ans les assureurs et mutuelles dans la structuration de leurs contrats d’infogérance et de TMA. Contactez notre équipe pour un audit de votre contrat existant ou consultez notre grille tarifaire 2026.

Questions fréquentes sur le contrat d’infogérance d’un site d’assurance ■

Quelle différence entre infogérance et hébergement simple ?

L’hébergement simple est la location d’un serveur (physique ou virtuel) : l’assureur loue l’infrastructure et gère tout lui-même (OS, sécurité, sauvegardes, monitoring). L’infogérance inclut la gestion complète de cette infrastructure : maintenance technique, mises à jour, surveillance 24/7, sécurisation, sauvegardes et résolution des incidents. Le coût passe de 10-60 €/mois (VPS nu) à 200-800 €/mois (infogérance site vitrine) — la différence de prix correspond à la valeur ajoutée humaine et technique qui décharge l’équipe IT interne.

DORA impose-t-il de modifier les contrats d'infogérance existants ?

Oui. Les contrats signés avant le 17 janvier 2025 qui ne contiennent pas les clauses DORA (registre prestataire TIC, PRA/PCA documenté, droit d’audit ACPR, notification d’incidents) doivent être mis à jour par avenant. L’ACPR peut demander lors d’un contrôle le contrat d’infogérance et vérifier qu’il contient ces clauses. Un contrat non conforme expose l’assureur à un constat de non-conformité DORA — pas l’infogéreur (c’est l’assureur qui est responsable de la conformité de ses prestataires TIC).

L'hébergement HDS est-il obligatoire pour tout site de mutuelle santé ?

Non, uniquement si le site ou l’espace adhérent traite des données de santé au sens du RGPD : remboursements, télétransmission, profil de consommation médicale, prise en charge hospitalière. Un site institutionnel qui ne fait que présenter des produits de mutuelle santé (sans espace adhérent connecté) n’a pas besoin d’HDS. En pratique, dès qu’il y a un espace adhérent avec consultation de remboursements, l’HDS est nécessaire. Surcoût : 30 à 50 % par rapport à un hébergement standard.

Comment négocier la clause de réversibilité ?

La clause de réversibilité doit préciser cinq éléments : (1) le format de transfert des données (export SQL, fichiers compressés, accès FTP/SFTP), (2) le calendrier de transition (1 à 3 mois d’assistance), (3) la documentation technique à fournir (architecture serveur, configurations, procédures), (4) l’absence de rétention sur les données, le code source et le nom de domaine, (5) le coût de la prestation de réversibilité (forfait ou JH). DORA impose une stratégie de sortie documentée — la réversibilité n’est plus une clause optionnelle mais une obligation réglementaire.

Combien coûte l'infogérance d'un site d'assurance avec espace adhérent ?

Pour un site vitrine institutionnel seul : 200 à 500 €/mois (infogérance standard). Pour un site avec parcours de souscription et espace adhérent : 800 à 2 000 €/mois (SLA renforcés, monitoring 24/7, sauvegardes plus fréquentes). Pour une mutuelle santé avec hébergement HDS : ajouter 300 à 600 €/mois au tarif ci-dessus. Le budget annuel total d’infogérance se situe donc entre 2 400 € (site vitrine simple) et 30 000 € (plateforme complète avec HDS) — à comparer au coût d’un incident non couvert (50 000 à 200 000 € pour une compromission ou une indisponibilité prolongée).