Logiciel de service de garde : 12 questions au fournisseur

Recommendations Par Eric Rousseau · 31 octobre 2026 · 11 min de lecture

Rangées de disques durs alignés dans une baie de serveurs d'un centre de données

En bref

Douze questions écrites, avec la bonne réponse et le signal d’alarme pour chacune, avant de confier les dossiers des enfants à un logiciel.

Un service de garde confie aujourd’hui à un logiciel ce qu’il a de plus sensible : les noms, dates de naissance, allergies, photos et coordonnées des enfants, les renseignements bancaires des parents, la paie du personnel. La Loi 25 est claire : même quand ces données sont hébergées chez un fournisseur, c’est le service de garde qui en reste responsable. Les incidents des dix dernières années, résumés dans notre article « Fuites de données en éducation et en petite enfance : ce que 10 ans d’incidents nous apprennent », montrent que la plupart des fuites passent par un fournisseur, un accès mal protégé ou une donnée qui n’aurait pas dû être là.

Cet article ne nomme aucun fournisseur et n’en recommande aucun. Il vous donne douze questions à poser par écrit, et pour chacune : pourquoi elle compte, à quoi ressemble une bonne réponse, et quel signal doit vous faire hésiter. Une précision honnête : Amisgest, qui publie ce blogue, est elle-même un fournisseur. Ce sont donc aussi les questions auxquelles nous devons être capables de répondre.

Avant de poser les questions

Posez-les par courriel, pas au téléphone, pour garder une trace. Posez-les avant de signer, mais aussi à votre fournisseur actuel : un contrat en cours n’empêche pas d’exiger des réponses. Et gardez les réponses dans le dossier du fournisseur, avec le contrat : c’est votre preuve de diligence raisonnable si la Commission d’accès à l’information (CAI) vous pose un jour la question.

Les 12 questions

1. Où nos données sont-elles hébergées, physiquement ?

Pourquoi ça compte : le pays d’hébergement détermine quelles lois s’appliquent et qui peut exiger l’accès aux données. La Loi 25 exige une évaluation des facteurs relatifs à la vie privée avant de communiquer des renseignements personnels hors du Québec.

Bonne réponse : le pays et la ville du centre de données, le nom de l’hébergeur, et une mention claire si une copie de sauvegarde se trouve ailleurs.

Signal d’alarme : « dans le nuage », sans précision, ou un fournisseur qui ne sait pas où son propre hébergeur stocke les données.

2. Les données sont-elles chiffrées, au repos et en transit ?

Pourquoi ça compte : le chiffrement en transit (le cadenas dans le navigateur) empêche l’interception ; le chiffrement au repos rend un disque volé ou une copie de sauvegarde exfiltrée inutilisable sans la clé.

Bonne réponse : « oui aux deux », avec les technologies utilisées (TLS pour le transit, chiffrement du stockage et des sauvegardes), et une réponse à la question « qui détient les clés ? ».

Signal d’alarme : seulement le transit est chiffré, ou le fournisseur confond les deux.

3. À quelle fréquence sont faites les sauvegardes, où sont-elles, et quand avez-vous testé une restauration complète ?

Pourquoi ça compte : contre un rançongiciel, la sauvegarde est la seule vraie protection. Une sauvegarde jamais restaurée est une hypothèse.

Bonne réponse : sauvegardes au moins quotidiennes, conservées dans un lieu distinct et isolées du système principal, avec une date de dernier test de restauration et un délai de reprise annoncé (par exemple, « retour en service en moins de 24 heures »).

Signal d’alarme : pas de date de test, ou des sauvegardes stockées sur le même serveur que les données.

4. L’authentification multifacteur est-elle offerte pour nos comptes, et obligatoire pour vos employés ?

Pourquoi ça compte : dans la majorité des incidents documentés, l’entrée s’est faite par un identifiant volé ou compromis. Un deuxième facteur (code sur le téléphone, clé physique) bloque cette voie.

Bonne réponse : offerte à tous les utilisateurs du service de garde, activable par l’administrateur pour tout le personnel, et obligatoire pour les employés du fournisseur qui ont accès aux données des clients, y compris le soutien technique.

Signal d’alarme : « c’est sur notre feuille de route », ou une authentification multifacteur offerte aux clients mais pas imposée aux employés du fournisseur.

5. Qui, chez vous, peut voir nos données, et est-ce journalisé ?

Pourquoi ça compte : les employés du soutien technique, les développeurs et les sous-traitants ont souvent un accès large. Un journal d’accès permet de savoir qui a consulté quoi, et quand, le jour où une question se pose.

Bonne réponse : accès limité aux rôles qui en ont besoin, journal des consultations et des exportations conservé pendant une durée précise, et possibilité pour vous d’obtenir le journal des accès à votre propre compte.

Signal d’alarme : « tous nos employés sont de confiance », sans mécanisme technique derrière.

6. Avez-vous un plan de réponse aux incidents, et dans quel délai nous avisez-vous ?

Pourquoi ça compte : la Loi 25 vous oblige à déclarer à la CAI et à aviser les parents tout incident présentant un risque de préjudice sérieux. Vous ne pouvez pas le faire si le fournisseur vous avise trois semaines plus tard. Les cas où des données ressortent des mois après l’incident montrent aussi que le plan doit couvrir l’après.

Bonne réponse : un plan écrit, un délai d’avis contractuel court (par exemple 72 heures ou moins après la découverte), un point de contact nommé, et un engagement à vous fournir l’information nécessaire pour votre propre déclaration à la CAI.

Signal d’alarme : aucun délai écrit dans le contrat, ou un délai qui dépend de « la fin de l’enquête interne ».

7. Quels sous-traitants ont accès à nos données ?

Pourquoi ça compte : le fournisseur utilise lui-même un hébergeur, un service de courriel, parfois un outil de soutien ou d’analyse. Chacun est un maillon. La brèche la plus importante de l’histoire scolaire canadienne est passée par les identifiants d’un ancien sous-traitant.

Bonne réponse : une liste nominative des sous-traitants qui traitent des renseignements personnels, leur rôle, leur pays, et l’engagement de vous aviser avant tout changement.

Signal d’alarme : refus de nommer les sous-traitants, ou une liste « disponible sur demande » qui n’arrive jamais.

8. Votre contrat contient-il les clauses exigées par la Loi 25 ?

Pourquoi ça compte : la loi québécoise exige qu’un contrat avec un tiers qui traite des renseignements personnels prévoie, entre autres, les mesures de protection, l’utilisation limitée aux fins prévues, l’avis en cas d’incident et la destruction ou le retour des données à la fin. Un contrat muet vous laisse seul responsable.

Bonne réponse : une annexe de protection des renseignements personnels qui reprend ces obligations, et un responsable de la protection des renseignements personnels nommé chez le fournisseur.

Signal d’alarme : des conditions générales en ligne, modifiables sans avis, comme seul document contractuel.

9. Détenez-vous une certification en cybersécurité, et laquelle ?

Pourquoi ça compte : une certification ne garantit pas l’absence d’incident, mais elle prouve qu’un tiers a vérifié des pratiques de base. Au Canada, le programme CyberSécuritaire Canada, du gouvernement fédéral, est conçu pour les petites et moyennes organisations ; des normes internationales comme ISO 27001 ou un rapport SOC 2 vont plus loin.

Bonne réponse : le nom de la certification, sa date, l’organisme qui l’a délivrée, et une copie du certificat ou du rapport sur demande.

Signal d’alarme : « nous suivons les meilleures pratiques » sans document, ou une certification expirée.

10. Que se passe-t-il avec nos données à la fin du contrat ?

Pourquoi ça compte : changer de fournisseur ne doit pas signifier perdre dix ans de dossiers, ni laisser une copie de ces dossiers chez l’ancien fournisseur pour toujours.

Bonne réponse : exportation complète dans un format lisible (CSV, PDF, ou format standard) sans frais abusifs, délai de conservation après la fin du contrat précisé, puis destruction confirmée par écrit, sauvegardes comprises.

Signal d’alarme : exportation impossible ou facturée à un prix qui vous retient, ou aucune réponse sur la destruction.

11. Détenez-vous une assurance cyber, et que couvre-t-elle pour nous ?

Pourquoi ça compte : après un incident, les coûts d’avis aux parents, de surveillance de crédit et de reconstruction sont réels. Une commission scolaire québécoise a dû payer de sa poche une assurance contre la fraude pour son personnel après une fuite chez elle ; vous voulez savoir qui paierait dans un cas qui part du fournisseur.

Bonne réponse : une police de cyberassurance en vigueur, avec un montant de couverture, et une clause contractuelle sur qui assume les coûts d’avis et de surveillance de crédit si l’incident survient chez le fournisseur.

Signal d’alarme : aucune assurance, ou une limitation de responsabilité qui plafonne tout dommage au montant d’un mois d’abonnement.

12. Avez-vous déjà eu un incident de sécurité, et comment l’avez-vous communiqué ?

Pourquoi ça compte : ce n’est pas l’absence d’incident qui distingue un bon fournisseur, c’est la façon dont il en parle. Un fournisseur qui a géré un incident avec transparence en dit plus qu’un fournisseur qui affirme n’en avoir jamais eu.

Bonne réponse : une réponse directe, avec, le cas échéant, ce qui s’est passé, ce qui a été changé, et comment les clients ont été avisés. Un historique de bulletins de sécurité ou de notes de version publiés régulièrement est un bon signe.

Signal d’alarme : « jamais rien eu » sans nuance, ou un malaise visible à la question.

Planchettes à pince avec des formulaires de vérification et des stylos rouges posées au sol

Des planchettes avec des listes de vérification, comme celles à passer en revue avant de choisir un fournisseur. Photo : U.S. Marine Corps (photo 100914-M-0646Q-45), domaine public (Wikimedia Commons)

Comment utiliser cette liste

Envoyez les 12 questions par courriel à votre fournisseur actuel et à tout fournisseur que vous évaluez. Donnez-lui deux semaines.
Notez les réponses dans un tableau à trois colonnes : réponse reçue, bonne / à améliorer / absente, action à faire.
Trois questions sont éliminatoires à notre avis : la 4 (authentification multifacteur), la 6 (délai d’avis) et la 10 (sortie des données). Sans réponse satisfaisante à ces trois, les autres comptent peu.
Rangez le tout avec le contrat. C’est votre dossier de diligence raisonnable, celui que la CAI ou votre assureur pourrait demander.
Refaites l’exercice chaque année, au renouvellement. Les réponses changent, et les fournisseurs qui s’améliorent aiment le montrer.

Foire aux questions

Mon fournisseur est au Québec : est-ce suffisant ?

Non. Un fournisseur québécois peut héberger chez un tiers à l’extérieur du Québec ou utiliser des sous-traitants étrangers. Les questions 1 et 7 servent précisément à le savoir. La Loi 25 s’applique peu importe l’adresse du fournisseur.

Un fournisseur peut-il refuser de répondre ?

Il le peut, mais vous restez responsable des données. Un refus est en soi une réponse. Pour un fournisseur sérieux, ces questions sont routinières et leurs réponses existent déjà dans ses documents de sécurité.

Qu’est-ce que CyberSécuritaire Canada ?

Un programme de certification du gouvernement fédéral destiné aux petites et moyennes organisations, qui vérifie un ensemble de contrôles de sécurité de base définis par le Centre canadien pour la cybersécurité (sauvegardes, mises à jour, authentification, formation, plan d’incident). Un organisme certificateur accrédité délivre la certification pour deux ans.

Et si mon service de garde a un incident qui part de chez le fournisseur ?

Vous devez quand même tenir votre registre des incidents, évaluer le risque de préjudice sérieux et, le cas échéant, déclarer à la CAI et aviser les parents. Le contrat détermine ensuite qui paie quoi. C’est pourquoi les questions 6, 8 et 11 doivent avoir des réponses écrites avant l’incident, pas après.

Transparence

Ce blogue est publié par Amisgest Technologie inc., éditeur de logiciels pour les services de garde éducatifs. Les faits rapportés ici proviennent de sources publiques citées en fin d’article. Une erreur à signaler ? Écrivez à info@amisgest.ca.

Amisgest étant elle-même un fournisseur de logiciel de gestion pour services de garde, les douze questions de cet article sont aussi celles auxquelles nous devons pouvoir répondre, par écrit, à tout service de garde qui nous les pose.

Votre fournisseur de logiciel de gestion de service de garde : 12 questions à lui poser avant de lui confier les données des enfants