Logiciel de gestion de cabinet au Maroc : cloud ou auto-hébergement ?

Le matin d’une audience, votre cabinet doit pouvoir retrouver ses pièces, consulter son agenda et vérifier ses échéances. Pour choisir entre un logiciel de gestion en cloud et une installation auto-hébergée, partez de cette exigence concrète plutôt que du seul prix de l’abonnement.

Notre méthode consiste à distinguer trois questions : qui exploite le logiciel, où circulent les données personnelles et comment le cabinet travaillera en cas d’interruption. Le bon choix est celui dont vous pouvez vérifier les engagements et assurer le fonctionnement dans la durée.

Ne confondez pas mode d’exploitation et lieu d’hébergement

La définition du cloud du NIST distingue notamment le logiciel fourni comme service des services d’infrastructure. Utiliser une application en SaaS n’équivaut donc pas à louer un serveur pour y exploiter soi-même un logiciel.

Dans cet article, l’auto-hébergement désigne une installation administrée par le cabinet ou par le prestataire informatique qu’il mandate. Demandez aux fournisseurs de préciser séparément le mode d’exploitation et les lieux physiques d’hébergement.

Le guide du NCSC sur la responsabilité partagée rappelle que le cloud délègue certaines responsabilités de sécurité au fournisseur, selon le service choisi. Le client reste notamment chargé du choix du service, de sa configuration et des données confiées. Pour une installation sur site, l’organisation assume la sécurité du service.

Trois vérifications au regard du cadre marocain

Déterminer les formalités CNDP applicables

La page Notifier un traitement de la CNDP présente la déclaration préalable comme régime général, sous réserve des exclusions, dispenses et cas d’autorisation. Les données sensibles et le numéro de CIN figurent parmi les cas d’autorisation. Pour les données relatives aux infractions et condamnations, une exception vise les traitements des auxiliaires de justice. Faites qualifier le traitement réel du cabinet, sans appliquer automatiquement une procédure unique à tous les dossiers.

Examiner les transferts à l’étranger

La CNDP précise les voies admises pour le transfert de données à l’étranger : pays figurant sur sa liste ou conditions prévues pour les autres destinations. Elle propose le formulaire F118 et subordonne l’autorisation de transfert à l’approbation préalable de la déclaration ou demande d’autorisation du traitement sous-jacent. Faites confirmer la démarche applicable avant la mise en service.

Dans votre consultation fournisseurs, demandez une cartographie écrite : stockage principal, sauvegardes, site de secours, accès du support et sous-traitants. Repérez les opérations effectuées hors du Maroc pour en faire examiner les conséquences. Soumettez aussi les offres auto-hébergées à cette vérification.

Vérifier les garanties, pas seulement les promesses

L’article 23, repris sur la page Sécurité du SI de la CNDP, prévoit des mesures techniques et organisationnelles adaptées. En cas de sous-traitance, il encadre aussi le choix du prestataire, le contrôle des garanties et les engagements relatifs aux instructions et à la sécurité. Notre conclusion pratique : ni la mention « cloud » ni une adresse d’hébergement locale ne suffisent à démontrer la conformité.

Comparer deux organisations complètes

Les critères suivants constituent une méthode d’achat, et non un classement universel des solutions.

Quand privilégier l’étude d’une offre cloud gérée

Si le cabinet ne dispose pas d’un administrateur informatique fiable, nous recommandons d’examiner d’abord une offre gérée. Exigez une répartition précise des tâches, les modalités de maintenance, les horaires du support, la procédure d’escalade et les engagements de reprise. Testez l’accès depuis le cabinet et les lieux de travail habituels des avocats.

Quand envisager l’auto-hébergement

Retenez cette piste si le contrôle de l’installation répond à un besoin identifié et si son exploitation dispose d’un budget et d’un responsable. Avant de décider, attribuez explicitement les mises à jour, la supervision, le renouvellement des certificats, les sauvegardes et les interventions urgentes. Prévoyez un remplaçant en cas d’absence.

Pour comparer les offres, demandez un chiffrage sur trois ans intégrant licences ou abonnements, infrastructure, migration, croissance du stockage, administration de la sécurité, assistance, formation, tests de restauration et accompagnement à la sortie. Ajoutez le temps consacré par votre équipe. Cette grille ne présume pas que l’un des modèles sera moins cher.

Exiger une démonstration de reprise et de réversibilité

Le guide sur les rançongiciels du Centre canadien pour la cybersécurité recommande des sauvegardes hors ligne et des tests réguliers de restauration. Demandez donc une preuve de reprise, pas seulement la confirmation qu’une sauvegarde existe. Faites préciser son chiffrement, son isolation vis-à-vis des accès de production et la date du dernier test réussi.

Pour un cabinet d’avocats, nous proposons quatre exercices de recette, réalisés avec des dossiers fictifs :

1. Restaurer un dossier exploitable : retrouver les documents, les liens avec le client, les tâches, les échéances et les audiences. Vérifier la cohérence du dossier, pas seulement la présence des fichiers.
2. Simuler une interruption : fixer la durée d’indisponibilité et la perte de données maximales acceptables. Tester l’accès aux informations indispensables sur les audiences et échéances, sans multiplier les copies incontrôlées.
3. Contrôler les habilitations : faire démontrer les mécanismes d’authentification disponibles, les droits d’accès, le retrait des accès d’un collaborateur et l’encadrement du support. Consigner les fonctions absentes.
4. Tester la sortie : obtenir un export, vérifier son format et les liens entre pièces et dossiers. Faire préciser par écrit les frais, les délais de remise et les modalités de suppression.

Préparez également les règles de conservation avant la migration. L’article 3 de la loi 09-08 rattache la conservation des données identifiantes à la durée nécessaire aux finalités du traitement. Faites examiner les exigences professionnelles et légales applicables plutôt que de retenir une conservation illimitée par défaut.

Choisir un fonctionnement que le cabinet peut tenir

Notre recommandation reste conditionnelle : étudier en priorité le cloud géré lorsque les moyens d’exploitation sont limités ; envisager l’auto-hébergement lorsque le besoin de contrôle est précis et la maintenance financée. Dans les deux cas, fondez la décision sur des flux de données documentés, des formalités vérifiées, une restauration réussie et une sortie réellement praticable.

Cet article propose des repères éditoriaux et techniques pour l’achat d’un logiciel. Il ne constitue pas un conseil juridique. Confirmez les exigences propres à votre cabinet auprès de la CNDP et de conseils qualifiés avant le déploiement.