Maintenance et évolution de la plateforme Publik

Le marché porte sur l’hébergement, l’exploitation, la maintenance et l’évolution de la plateforme Publik et de ses composants, ainsi que sur l’assistance associée. Il ne porte pas sur l’acquisition d’une nouvelle solution de gestion de la relation usager. La plateforme sert aux démarches en ligne, aux téléservices, aux workflows internes et à la gestion des demandes des usagers et des agents. Le périmètre comprend notamment les instances de Toulouse Métropole, de la Ville de Toulouse et des usages internes ; l’instance Parcifal du portail Famille est exclue.

Hébergement, exploitation et sécurité

Le service comprend les droits d’usage en mode SaaS, sur une infrastructure dédiée, le maintien en condition opérationnelle et la gestion des environnements. Les données du marché, sauvegardes et journaux compris, doivent être hébergées exclusivement dans l’Union européenne. Le titulaire fournit annuellement les justificatifs de localisation ; toute modification des pays destinataires ou des sous-traitants concernés nécessite une information préalable et l’accord écrit requis. Les traces d’accès sont conservées 6 mois.

Le service doit être disponible 7 j/7 et 24 h/24, avec une disponibilité supérieure à 99 % hors maintenance planifiée, au plus un arrêt planifié par an et une indisponibilité cumulée annuelle maximale d’un jour hors ces arrêts. Le RTO maximal est de 4 heures ouvrées et le RPO est de 0 pour les données transactionnelles critiques. Les performances attendues sont un affichage du portail usager en moins de 2 secondes dans 95 % des cas, du back-office en moins de 3 secondes dans 95 % des cas et l’exécution d’un workflow standard en moins de 5 secondes dans 95 % des cas. Les heures sensibles aux coupures sont de 1 h à 6 h.

Le titulaire met en œuvre sauvegardes, continuité de service, protections physiques et logiques, gestion des accès et des correctifs, et processus documenté de gestion des incidents de sécurité. Toute compromission avérée ou suspectée est signalée sous 4 heures ; un rapport détaillé suit sous 5 jours ouvrés. Les vulnérabilités critiques, élevées et moyennes sont corrigées respectivement sous 24 heures, 15 jours calendaires et 30 jours calendaires ; les faibles le sont dans la version corrective ou évolutive suivante. Le reporting des vulnérabilités et des performances de sécurité est trimestriel. Les services doivent respecter le RGAA en vigueur, y compris les évolutions, et ne pas dégrader l’accessibilité acquise.

Maintenance, support et assistance

La maintenance couvre les anomalies de la solution, de ses composants, interfaces et développements spécifiques : qualification, analyse des causes, correction, tests, déploiement, traçabilité et mise à jour documentaire, sans régression. La maintenance évolutive inclut les évolutions techniques, réglementaires et de sécurité, les améliorations intégrées au produit et l’adaptation aux environnements techniques. Les nouvelles versions sont accompagnées d’une note de version, des listes de corrections et d’évolutions, de consignes de mise en œuvre et d’un plan de recette ; les versions majeures sont annoncées au moins 15 jours ouvrés avant déploiement.

La TMA comprend la maintenance corrective, évolutive, préventive et adaptative, le support technique, l’assistance aux administrateurs, le suivi des performances et l’accompagnement des montées de version. Elle couvre les composants Publik, téléservices, workflows, développements spécifiques, connecteurs, interfaces métier, mécanismes d’authentification, supervision et environnements de production, préproduction et recette. Les interfaces existantes citées comprennent SMART, SAGAWEB, ESABORA, FOEDERIS, API.gouv.fr, API Entreprise, API Particulier et API SIRENE.

Délais de service minimaux, sur la plage ouvrée du lundi au vendredi de 9 h à 17 h :

• Incident bloquant : prise en charge sous 1 heure ; correction sous 6 heures ouvrées.
• Incident majeur : prise en charge sous 4 heures ; correction sous 3 jours ouvrés.
• Incident mineur : prise en charge sous 2 jours ouvrés ; correction sous un mois calendaire.
• Incident cosmétique : prise en charge sous 5 jours ouvrés ; correction sous 3 mois calendaires.

Une astreinte doit recevoir et traiter les incidents bloquants ou de sécurité majeurs pendant les nuits, week-ends et jours fériés. Le titulaire précise ses moyens de contact, délais de mobilisation, modalités d’escalade et engagements de prise en charge. Les interruptions planifiées nécessitent un préavis d’au moins 10 jours ouvrés ; une intervention nécessitant un arrêt est également annoncée avec sa date, sa durée et son motif, avec le préavis contractuel de 10 jours ouvrés. La documentation d’exploitation, d’administration, d’architecture, de spécifications, de sauvegarde, de restauration, de supervision et de gestion des incidents est tenue à jour ; les mises à jour issues de la maintenance ne donnent pas lieu à facturation complémentaire.

Développements et prestations associées

Les prestations commandables comprennent les évolutions des briques Publik (Authentic 2, W.C.S., Passerelle, Combo, eopayment/Lingo, Agenda/Chrono et Hobo), les développements spécifiques et téléservices, l’intégration graphique responsive, ainsi que l’évolution de la GRU. Pour un développement spécifique, sont notamment attendus une étude détaillée, les spécifications, l’évaluation des charges et un planning, puis une maquette d’interface, les traitements, la mise à disposition des modules, la formation et la documentation. Les livrables comprennent les dossiers fonctionnels et techniques, les descriptions des données, bases et interfaces, le cahier de recette et le manuel utilisateur. Pour la GRU, un rapport présentant enjeux, objectifs, périmètre, ressources, planning, méthode et prototype est attendu.

L’assistance à la recette comprend l’instruction et la correction des anomalies, les livraisons de versions corrigées en test, la mise à jour éventuelle des spécifications et l’assistance aux questions d’utilisation. Pendant la recette, la prise en charge est limitée à 0,5 jour ouvré ; la résolution est limitée à 1 jour ouvré pour les anomalies bloquantes ou majeures et à 2 jours ouvrés pour les mineures. Des formations adaptées aux niveaux des utilisateurs et concepteurs peuvent être commandées ; le titulaire fournit des supports de cours à jour et des attestations de présence. Des études et expertises techniques et fonctionnelles, des instances supplémentaires avec niveau de service équivalent et des prestations de réversibilité, portabilité et destruction des données sont également prévues.

La réversibilité demandée doit être réalisée sous 3 mois. Elle comprend le transfert de compétences et la restitution, dans un format ouvert et exploitable, des données et éléments nécessaires à la reprise : bases, workflows, formulaires, modèles de courriers, connecteurs, développements, paramétrages, configurations, procédures et documentation. Sur demande, les données sont fournies dans un format structuré et couramment utilisé ; après restitution, les copies sont détruites sous 3 mois et la destruction est justifiée.