Hébergement et maintenance d’une plateforme de démarches

Le marché couvre l’hébergement SaaS, la maintenance et le support des briques libres Authentic, Combo, w.c.s., Passerelle, Chrono, Hobo et Lingo, utilisées pour la gestion de la relation usager et la dématérialisation des démarches. Il comprend aussi les prestations de configuration, les évolutions à la demande, l’accompagnement et la formation.

Combo fournit les portails usager et agent (création et suivi des demandes, traitement par les gestionnaires, tableaux de bord). w.c.s. sert à concevoir et exploiter formulaires, workflows, fiches et sources de données. Chrono gère notamment les rendez-vous; Passerelle relie les démarches au système d’information, interroge ses services et permet des extractions anonymisées. Le portail usager utilise un thème graphique personnalisé à maintenir lors des montées de version. Les usages cités comprennent FranceConnect, la signature électronique, des webservices, la génération de PDF et le paiement en ligne.

Le descriptif de la plateforme annonce huit démarches en production. Sept démarches sont accompagnées de volumes annuels indicatifs : abonnements de transport (environ 273 demandes), supplément familial de traitement (220), cumul d’activités (113), télétravail (91), DAPR (73), mobilité durable (134) et enquête de satisfaction (5). Le retrait des diplômes est décrit séparément comme n’étant pas encore en production.

Hébergement, sauvegardes et sécurité

Deux environnements de caractéristiques identiques sont requis : recette et production, avec les mises à jour disponibles d’abord en recette. Les serveurs et données sont hébergés dans l’Union européenne, dans des centres de données certifiés ISO 27001 en cours de validité; les sauvegardes sont conservées dans un site géographiquement distinct, également dans l’Union européenne.

L’architecture doit être redondante, sans point unique de défaillance, avec réplication continue, bascule automatique, répartition de charge, disques redondants et protection contre les attaques DoS/DDoS. La disponibilité demandée est supérieure à 99,5 %, hors maintenances planifiées et validées par l’Université. Une page web rend l’état du service accessible; un rapport complet est demandé après incident.

• Sauvegardes automatisées : sauvegarde complète quotidienne de l’infrastructure, externalisée sur une machine isolée hors production; sauvegarde complète de la base chaque nuit, transférée sur un site tiers sécurisé.
• Conservation : sauvegardes quotidiennes pendant 7 jours et mensuelles pendant 4 mois maximum; intégrité, lisibilité et restaurations partielles ou complètes à tester régulièrement, avec rapports communiqués sur demande.
• Perte de données maximale admissible : 24 heures ouvrées pour le PCA et 48 heures ouvrées pour le PRA.
• Sécurité : audits réguliers par des opérateurs tiers indépendants, chiffrement HTTPS/TLS dans les versions les plus récentes et sécurisées, mises à jour de sécurité, supervision, gestion des habilitations par rôles, cloisonnement et journalisation conformément au RGPD.

Maintenance et assistance

La maintenance préventive et corrective s’applique pendant toute la durée du marché. Elle couvre la surveillance des services et des environnements, l’administration technique, le contrôle des sauvegardes et le suivi des anomalies dans un outil de tickets accessible à l’Université. Les dysfonctionnements imputables au titulaire sont corrigés sans surcoût; les interventions nécessaires pour des dysfonctionnements extérieurs à la solution font l’objet d’un devis préalable.

Les versions sont déployées en recette avant production; le rythme souhaité pour les mises à jour est de deux par mois, à des horaires limitant les impacts, avec notes de version. Le socle comprend notamment le système d’exploitation (version stable Debian ou équivalent) et les composants logiciels (Python, Django LTS ou équivalents). Les demandes de modules complémentaires, raccordements ou nouvelles applications sont étudiées et chiffrées; l’Université reste libre d’accepter le devis. Une maintenance majeure interrompant le service doit être planifiée, de préférence hors forte fréquentation, et préalablement communiquée et validée.

Le support est centralisé sur une plateforme de tickets et assuré par une équipe dédiée, non par une personne seule. Les demandes de support (anomalies, assistance fonctionnelle simple) sont distinguées des demandes de gestion de projet (évolutions, connecteurs, raccordements et applications métiers complexes). Une solution de contact par courriel ou téléphone est prévue en cas d’indisponibilité de la plateforme; une procédure spécifique doit couvrir les incidents critiques et majeurs. Le forfait correctif couvre les interventions nécessaires au rétablissement du service, sans limite de volume, fréquence ou nombre d’incidents; les anomalies récurrentes liées au socle, à l’infrastructure ou aux mises à jour restent à la charge du titulaire.

| Criticité | Prise en charge | Résolution |
|---|---:|---:|
| Bloquante | moins de 2 h ouvrées | moins de 4 h ouvrées |
| Majeure | moins de 2 h ouvrées | moins de 8 h ouvrées |
| Mineure | moins de 8 h ouvrées | moins de 7 jours ouvrés |

Reprise, évolutions et accompagnement

La reprise porte sur les comptes, rôles et configurations d’authentification d’Authentic; le thème, la configuration du portail et les données de demandes de Combo; les 8 démarches de production et 12 démarches de test pour w.c.s. et Chrono; ainsi que les configurations de connecteurs et paramètres de flux de Passerelle. Aucune reprise de données n’est prévue pour Hobo et Lingo, qui doivent néanmoins être configurées pour fonctionner. La migration s’appuie sur un export fourni par l’Université ou l’exploitant sortant, sans perte ni altération, et comprend un jeu d’essai et une période de contrôle contradictoire.

Les évolutions à la demande peuvent concerner des fonctionnalités, connecteurs, modules ou développements spécifiques. Elles suivent une procédure d’expression du besoin, d’étude et de devis, puis de validation, réalisation, recette et mise en production. Une journée développeur correspond à 7 heures effectives. L’accompagnement est proposé par demi-journée de 3,5 heures, sur des sujets tels que la configuration, l’audit-conseil ou la mise en place de démarches; le nombre de participants estimé est de 2 à 4.

Deux formations sont prévues : administrateur technique (3 jours, 1 à 2 personnes; briques, formulaires, workflows, webservices et configuration) et administrateur métier/utilisateur (1 jour, 5 à 10 personnes; traitement des demandes, filtres, vues et rendez-vous). Elles peuvent avoir lieu en présentiel ou à distance; un support de formation et un environnement adapté sont à fournir. Le titulaire doit pouvoir former sur toutes les briques et justifier d’une expérience significative en dématérialisation des procédures.

Gouvernance et réversibilité

Les parties définissent les interlocuteurs, canaux d’échange, règles de gestion des demandes et incidents, fenêtres de maintenance et communications dans un document de référence validé conjointement. Le titulaire désigne un chef de projet référent et met en place une liste de diffusion commune. Pour les connecteurs, l’étude argumente leur complexité au regard notamment des webservices, formats, volumes, contraintes de sécurité et travaux de développement.

En fin de marché, les données sont restituées dans des formats standards, documentés et exploitables (CSV, JSON, XML ou équivalent; dumps de bases si nécessaire). L’accompagnement au transfert comprend l’assistance technique et un accès temporaire aux environnements; la solution libre peut être redéployée à l’identique sans surcoût de licence. Les formats propriétaires, verrous techniques et refus d’assistance sont proscrits. Après validation de la restitution complète, les données des environnements et sauvegardes sont détruites et cette suppression est attestée par écrit.