Tierce maintenance applicative du site grandpalaisrmn.fr

La prestation porte sur l'exploitation applicative, la maintenance et les évolutions ponctuelles du site institutionnel grandpalaisrmn.fr et de son back office Drupal 11. L'hébergement, l'administration système et l'infrastructure restent hors périmètre ; le titulaire coopère avec l'hébergeur et les intervenants tiers en cas d'incident coordonné.

Le site comprend les rubriques Institution, Expertises, Lieux, Programme et Actualités. Sa programmation est alimentée par des flux et API provenant de grandpalais.fr. Le GrandPalaisRmn assure la création et la publication des contenus ; le titulaire intervient uniquement pour les corrections techniques nécessaires. Le site dispose d'environnements de préproduction et de production sur serveurs Apache, avec une garantie SLA réseau de 99,95 %.

Maintenance préventive et corrective

La maintenance préventive et corrective vise la disponibilité, la sécurité, la compatibilité et le bon fonctionnement général :

• surveillance du site et de ses composants, contrôles périodiques de performance et d'intégrité ;
• mises à jour de sécurité de Drupal, des modules, bibliothèques et dépendances, et correction préventive des vulnérabilités ;
• analyse et correction des anomalies, rétablissement du service et maintien des performances, y compris en cas d'augmentation du nombre d'utilisateurs ;
• versionnement du code source, traçabilité des évolutions et restauration d'une version antérieure.

Les niveaux de service attendus sont les suivants :

• anomalie bloquante : prise en charge sous 2 heures ouvrées, contournement sous 4 heures ouvrées et correction définitive sous 1 jour ouvré maximum ;
• anomalie majeure : prise en charge sous 1 jour ouvré, contournement sous 2 jours ouvrés et correction définitive sous 3 jours ouvrés maximum ;
• anomalie mineure : prise en charge sous 5 jours ouvrés maximum et correction définitive sous 10 jours ouvrés maximum, selon une priorité définie d'un commun accord.

Les maintenances susceptibles d'interrompre le service sont planifiées autant que possible hors des périodes de forte fréquentation, après information du GrandPalaisRmn. Les correctifs de sécurité critiques Drupal sont analysés et déployés dans les meilleurs délais compatibles avec les validations requises. Un point de contact unique est prévu pour les incidents et demandes, ainsi qu'un rapport annuel de maintenance.

À titre indicatif, la maintenance préventive et corrective représente en moyenne 7 jours par an, dont deux tiers en développement et le solde en gestion de projet.

Maintenance évolutive, améliorative et initialisation

La maintenance évolutive couvre les ajustements fonctionnels, adaptations réglementaires, normatives ou techniques, optimisations ergonomiques, évolutions graphiques ponctuelles, développements limités, mises à jour Drupal et assistance au déploiement. La charge indicative est de 7 à 10 jours par an, sans minimum contractuel ; aucune refonte globale ni évolution structurante d'envergure n'est prévue.

Chaque demande est analysée par le chef de projet du titulaire : faisabilité, charge, délai et recommandations. Un devis détaillé est soumis à l'acceptation préalable du GrandPalaisRmn. Les évolutions suivent un calendrier validé, sont testées intégralement en préproduction, font l'objet d'une recette et d'une validation écrite avant mise en production.

La reprise opérationnelle initiale comprend la prise de connaissance du site, l'analyse de la documentation, la prise en main des environnements et procédures, la reprise des accès, la passation avec le titulaire sortant, la vérification du site et des outils associés, ainsi que les actions nécessaires à la continuité du service. La réversibilité de fin de marché relève du CCAP.

Organisation, documentation et exploitation

Le titulaire met en place un chef de projet dédié, interlocuteur unique, chargé du pilotage, des livraisons, de la coordination et du suivi des commandes. Il fournit en français la documentation technique, la documentation d'exploitation, le guide utilisateur du back office, les procédures d'administration, la journalisation des mises à jour, les devis, maquettes, plannings, comptes rendus et listes de tâches. La documentation est actualisée après chaque bug critique corrigé et chaque évolution.

Le titulaire fournit un outil de ticketing, un environnement collaboratif en français, les rapports de cause et de correction après dysfonctionnement, et accompagne le GrandPalaisRmn lors des mises en production. Il doit pouvoir collaborer avec les équipes du GrandPalaisRmn et un intégrateur tiers, participer physiquement aux réunions dans les locaux du client et assurer la disponibilité des services pendant les horaires d'ouverture du GrandPalaisRmn.

Compatibilité, données et accessibilité

Le site responsive doit rester compatible avec la version courante et les deux versions majeures précédentes de Chrome, Firefox et Edge, ainsi qu'avec les deux versions majeures précédentes de Safari sur macOS et iOS.

Les développements et maintenances doivent permettre la détection des violations de données, la gestion des habilitations donnée par donnée, la minimisation des collectes, l'information en français et en anglais, la traçabilité des consentements, la purge selon les règles du GrandPalaisRmn et la suppression des extractions après chaque opération. La gestion des traceurs doit notamment prévoir consentement préalable, refus aussi simple que l'acceptation, absence de dépôt sans choix, conservation du choix pendant six mois et possibilité de le modifier à tout moment.

Le titulaire maintient la conformité au RGAA applicable. Le niveau légal vise 100 % des critères applicables ; pour les développements, contenus et fonctionnalités relevant de la TMA, les objectifs indiqués sont un degré d'accessibilité de 80 % et un taux moyen de conformité du service en ligne de 95 %.

Sécurité et éco-conception

Le titulaire garantit la sécurité, l'intégrité, la confidentialité et la disponibilité des données, traitements et flux applicatifs. Il limite les composants au strict nécessaire, documente l'architecture, sécurise les entrées côté serveur et les flux externes, protège contre les défigurations, DDOS, exfiltrations, injections SQL, XSS et CSRF, et restreint l'administration aux postes autorisés avec authentification multifacteur et traçabilité.

L'offre comprend le sommaire d'un Plan d'Assurance Sécurité, puis le PAS détaillé en début de projet, révisé selon les évolutions et relu annuellement. Les compromissions ou tentatives de compromission sont signalées immédiatement ; les opérations de sécurité sont tracées, détaillées et documentées.

La prestation maintient la sobriété numérique et l'inclusivité : limitation des requêtes, réduction du poids des polices, images optimisées avec lazy loading, ressources de code allégées, objectif de score élevé Pagespeed, conception mobile-first et mesure via EcoIndex.fr, en référence au RGESN.