Infogérance et hébergement de l’écosystème SYTADIN

Le marché couvre l’infogérance de l’écosystème SYTADIN : site internet grand public en front-office et back-office, applications mobiles iOS et Android, hébergement et fonctionnalités annexes telles que les notifications push et les outils statistiques. Le titulaire prend en charge l’hébergement, le maintien en conditions opérationnelles et de sécurité (MCO/MCS), la tierce maintenance applicative (TMA), l’assistance à maîtrise d’ouvrage et la réception des données en interface.

L’infrastructure doit être industrielle, robuste, évolutive et conçue sans point unique de défaillance. Les serveurs web, bases de données et répartiteurs de charge critiques sont redondés. La plateforme et la bande passante doivent absorber des pics de trafic pouvant être décuplés en quelques minutes, avec montée en charge automatique.

Hébergement, sécurité et continuité

• Fourniture, installation et administration des serveurs, CDN, WAF et bases de données.
• Données et serveurs hébergés en France métropolitaine ou, à défaut, dans l’Union européenne.
• Datacenters de niveau Tier III minimum et certifications de sécurité standard, dont ISO 27001.
• Protection DDoS et pare-feu applicatif WAF pour le site et les API.
• Environnements distincts et isolés de production, pré-production et développement/test.
• PRA permettant un basculement rapide vers une infrastructure de secours, avec sauvegardes complètes des systèmes, bases de données et fichiers et restauration granulaire ou totale.

Les interfaces et nouveaux développements respectent le DSFR et le RGAA. Tout nouveau développement doit être audité et ne pas dégrader le taux de conformité existant.

Prise en charge initiale

La phase initiale comprend la mise en place de la gouvernance, des plateformes d’hébergement, l’audit des codes sources Web, iOS et Android, la reprise des comptes stores, l’acquisition des connaissances, l’inventaire des actifs, l’analyse de l’existant, le recensement des supports et licences, la cartographie des flux et la mise à jour de la documentation.

Les livrables comprennent notamment les PAQ, PAS et plan de réversibilité, le dossier d’architecture technique, le rapport d’audit, le procès-verbal de mise en ordre de marche, les synthèses système et applicatives, les matrices de flux, les inventaires et la documentation technique. La phase globale est limitée à 3 mois, avec une plateforme de production à mettre à disposition sous 1 mois maximum. L’admission comprend une vérification d’aptitude sur environnement de test puis une vérification de service régulier d’un mois après la bascule en production. La collaboration avec le prestataire sortant est requise.

Pilotage, connaissance et réversibilité

Le titulaire assure le pilotage général, les indicateurs, la mise à jour des PAQ, PAS et plan de réversibilité, l’assistance aux relations avec les autres fournisseurs, les propositions de prestations et les réunions de suivi. La comitologie comprend un COSTRAT, un COSEC et un COPIL. Les comités peuvent se tenir en présentiel dans les locaux de la DiRIF ou en visioconférence ; les occurrences indicatives sont de 4 COPIL/an, 1 COSTRAT/an et 2 COSEC/an.

La gestion de la connaissance comprend la documentation accessible aux acteurs, les cartographies du système d’information, les fiches systèmes, applicatives et plateformes, le suivi des modifications et le versement des documents dans l’outil documentaire de la DiRIF. Les mises à jour des livrables généraux interviennent sous 30 jours après un changement.

La réversibilité continue comprend la mise à jour du plan, l’analyse des conditions de restitution, les inventaires matériels et logiciels, le versement des livrables et la détection des lacunes. En fin de marché ou sur demande, elle comprend notamment la restitution des configurations, mots de passe, sauvegardes, lots de rechange, codes sources, bases de données, outils et documentation, ainsi que la destruction des données non archivées après accord de la DiRIF.

Hébergement, MCO et MCS

Le service doit assurer la continuité d’exploitation 24/7. Un guichet unique est accessible 24 heures sur 24 ; en cas de contact téléphonique, l’attente avant échange avec une personne physique ou dépôt d’un message vocal ne doit pas dépasser 1 minute. Tout incident signalé est acquitté sous 15 minutes, enregistré dans l’outil ITSM et assorti de la communication de son numéro de ticket.

Le titulaire gère les incidents, problèmes, anomalies logicielles, changements, mises à jour, sauvegardes et tests de restauration, comptes utilisateurs et comptes iOS/Google des stores. Les mises à jour majeures sont appliquées sous 6 mois ; les correctifs de sécurité sous 2 mois pour les correctifs mineurs et sous 7 jours pour les vulnérabilités critiques ou majeures publiées par le CERT-FR et/ou l’ANSSI. Il prévient la DiRIF au moins 6 mois avant une fin de support.

Les niveaux de service comprennent une GTR 24/7 de 4 heures et moins de 3 incidents par trimestre. Les problèmes avec incident reproductible doivent être résolus ou faire l’objet d’un plan d’action sous 5 jours ouvrés ; le délai est de 20 jours ouvrés lorsqu’aucun incident n’est reproductible. Un rapport mensuel présente les niveaux de service, statistiques de fréquentation, plans d’action, état de fonctionnement, retours d’expérience, difficultés, documents produits ou modifiés, recommandations, veille technologique et changements. Il est remis sous 7 jours après la fin du mois.

Les métriques communiquées comprennent notamment 180 Go de données web par jour en moyenne, une amplitude de 14 à 1 500 Go/jour, 2 000 à 160 000 visites/jour et 1 à 140 millions de hits/jour ; 21 millions de sessions web en 2024 ; 600 Go de données applicatives par jour en moyenne, 47 millions de sessions iOS et Android en 2025, 190 000 à 1 800 000 appels API par jour, 460 000 en moyenne et moins de 250 Go de données métier utiles.

TMA et projets techniques

La TMA comprend les études, projets techniques, opérations de recette et accompagnement au changement, avec gestion des versions, conception et exécution des tests. Les outils comprennent au minimum une plateforme de développement collaboratif, un outil de gestion du patrimoine de tests et un outil ITSM, ou des équivalents validés.

Les projets techniques couvrent le cadrage, l’étude, la spécification, la conception, la construction et la mise en exploitation des changements. Le cadrage et l’étude comprennent 4 phases : cadrage, analyse des solutions, approfondissement de la solution arbitrée et terminaison. La réalisation comprend 7 phases : lancement ; spécifications et conception ; construction ; installations ; support aux opérations de vérification ; déploiement en production ; terminaison.

Les livrables incluent notes de cadrage, propositions de solutions, rapports d’étude et d’impact, spécifications générales et détaillées, maquettes ou prototypes le cas échéant, dossiers de conception, sources documentées, manuels d’installation et d’exploitation, plans et jeux de tests, cahiers de recette, procès-verbaux, rapports de fin de mission et rapport de conformité RGAA/DSFR pour les interfaces modifiées. La validation documentaire intervient sous 1 mois ; la VA est réalisée en pré-production et la VSR dure 1 mois après le déploiement, sous réserve de l’absence d’anomalie bloquante ou majeure. Les développements restent compatibles avec les navigateurs et systèmes mobiles supportés, sur une profondeur de n-4 versions majeures.

Modalités économiques intégrées aux prestations

Les prix intègrent le pilotage, la réversibilité continue, la gestion de la connaissance et la restitution. Les prestations régulières sont rémunérées au forfait ; les activités normales et complexes sont valorisées par niveaux d’activité. Le forfait annuel couvre l’hébergement, le MCO et le MCS ; la prise en charge initiale est commandée une seule fois. Les comités disposent de prix forfaitaires distincts en présentiel et en distanciel.