Solution de signature électronique en mode SaaS

Fourniture d’une solution de signature électronique en SaaS permettant aux utilisateurs des applications métiers de France Travail de faire signer des documents. Le parcours nominal est piloté par API, via une couche d’abstraction de France Travail ; un portail sert à créer et gérer les parapheurs de documents hors flux, qui représentent moins de 0,2 % des besoins.

La mise en service comprend l’appropriation du marché, la mise à jour du plan d’assurance qualité et du planning, la prise en main de la documentation, le déploiement des environnements, le paramétrage de l’API, la personnalisation et les tests. Sont également prévus l’hébergement, le stockage nécessaire aux volumes communiqués, ainsi que le support, l’assistance et la maintenance de la solution.

Parcours de signature et fonctions

La solution gère des parapheurs avec documents et annexes, étapes de validation et de signature, circuits séquentiels ou parallèles, seuils de validations ou signatures, durées de vie pouvant aller jusqu’à 90 jours, annulation, refus et clôture après signature des signataires obligatoires. Elle permet notamment la signature par lots, la personnalisation des interfaces et des cartouches, l’adaptation linguistique, les échanges par fil de discussion et le suivi statistique.

Les niveaux de signature eIDAS 2, 3 et 4 doivent être pris en charge, avec des moyens d’authentification adaptés, certificats, scellement et horodatage. Les cas d’usage comprennent notamment les contrats d’engagement, mandats de prélèvement, contrats liés aux API et documents hors flux. Le scellement automatisé concerne également des fichiers XML de conventions PEC/CUI, avec prise en charge de XAdES enveloppé ou détaché et génération d’un journal de preuve. Pour le CUI, le cahier des charges décrit un certificat de cachet serveur RGS 2* qualifié eIDAS QCP-L-QSCD sur HSM.

API, portail et exigences techniques

L’API REST permet de créer les parapheurs, charger les fichiers, produire des liens sécurisés, notifier les changements d’état par webhooks et récupérer les documents signés et leurs preuves. La récupération via API doit rester possible pendant au moins 90 jours calendaires. Le portail comprend la création et la gestion des parapheurs, l’administration des groupes et rôles, l’annuaire, l’authentification SSO/OpenID Connect et la consultation des documents signés.

Les environnements demandés sont la production, deux environnements de recette et un environnement de développement. Les notifications doivent parvenir en moins de 60 secondes en production et au plus en 3 minutes hors production. La disponibilité mensuelle visée est d’au moins 99,5 % en production et 99,0 % hors production ; la GTR production est de 4 heures au plus, avec RPO nul et PCA/PRA testé annuellement. Les temps de réponse visés sont de 500 ms au plus pour 95 % des appels de gestion courante, de 3 secondes pour 95 % des opérations de signature/scellement, et de 1 seconde pour l’initialisation du téléchargement des pièces et preuves.

Volumes et prestations complémentaires

Les volumes sont indicatifs. Le cahier des charges annonce environ 40 millions de signatures sur la durée du marché ; il détaille, pour les années 1 à 4, 9,1 / 9,6 / 10,1 / 10,1 millions de signatures simples, 0 / 500 / 1 000 / 1 000 avancées et 0 / 100 / 100 / 100 qualifiées. Le DQE financier présente des volumes différents pour les signatures simples : 9,1 / 9,1 / 9,8 / 11,1 millions ; il indique aussi 8,19 / 8,19 / 8,82 / 9,99 millions d’envois SMS OTP.

Les unités d’œuvre complémentaires couvrent l’expertise fonctionnelle et technique, le développement spécifique (forfaits d’un, trois ou cinq jours), la formation par demi-journée, l’ajout d’environnements, les supports matériels de signature eIDAS 3 et 4 pour un ou trois ans, et la réversibilité.