Hébergeur ou éditeur SaaS en faillite : comment ne pas perdre vos données

Quand le prestataire qui héberge vos données est placé en redressement ou en liquidation, la question qui décide de la suite est concrète : sur quelles machines vos données se trouvent réellement, et qui les fait encore tourner. Un logiciel métier, un site ou une base de données occupent des disques, dans une salle, reliés à une facture d’électricité que quelqu’un paie ou cesse de payer.

Des prestataires informatiques, hébergeurs comme éditeurs de logiciels en ligne, sont régulièrement placés en procédure collective, et leurs clients découvrent souvent trop tard où étaient vraiment stockées leurs informations. Si c’est votre propre entreprise qui est en procédure, c’est l’autre bout du problème, traité dans notre article sur les données informatiques en liquidation judiciaire. Ici, nous prenons le point de vue du client d’un prestataire défaillant.

Ce que la procédure change, en bref

L’ouverture d’une procédure collective ne résilie pas automatiquement les contrats en cours. C’est l’administrateur ou le liquidateur qui décide de les poursuivre ou d’y mettre fin. En pratique, le service peut s’interrompre bien avant toute décision, dès que l’hébergement sous-jacent ou l’électricité ne sont plus payés.

Pour tout ce qui touche à vos droits contractuels et à la marche à suivre juridique, un avocat reste l’interlocuteur. Ce qui suit concerne la partie que personne d’autre ne traite : la localisation et l’état de vos données.

Où sont physiquement vos données

Avant d’écrire au liquidateur ou de brandir votre contrat, il faut cartographier.

Selon l’endroit où vivent les données, le risque et les démarches ne sont pas les mêmes. Quatre situations se présentent, de la plus exposée à la plus discrète.

Sur les serveurs du prestataire lui-même

C’est la situation la plus exposée. Le prestataire possède son propre datacenter ou sa salle serveur, ses baies de stockage, et vos machines virtuelles tournent sur son infrastructure. Quand il s’arrête, tout s’arrête avec lui : il n’y a pas de tiers qui continue de maintenir les machines en marche. C’est là que la fenêtre pour agir est la plus étroite, et que la perte peut être totale si personne ne récupère les supports à temps.

Chez son propre hébergeur

Beaucoup d’éditeurs de logiciels en ligne ne possèdent aucun serveur. Ils louent leur capacité à un grand hébergeur cloud, et c’est sur les machines de ce dernier que vos données résident. Si cet hébergeur n’est pas lui-même en difficulté, les données continuent d’exister tant que sa facture est honorée. Le contacter directement, pour lui demander de conserver les données le temps d’organiser un export, peut faire gagner un temps décisif. Encore faut-il savoir qui il est, une information que trop d’entreprises n’ont jamais demandée à leur fournisseur.

Sur du matériel qui vous appartient

Il arrive qu’un serveur vous appartenant soit simplement hébergé dans les locaux du prestataire, en colocation. Il reste le vôtre, et pourtant le récupérer ne va pas de soi une fois les locaux sous le contrôle du liquidateur. La loi encadre cette restitution : la revendication d’un bien meuble doit être exercée dans un délai de trois mois à compter de la publication du jugement d’ouverture (article L624-9 du Code de commerce). Passé ce délai, votre propriété n’est plus opposable à la procédure, et le serveur peut être vendu avec le reste des actifs.

Il faut aussi pouvoir prouver que cette machine précise est la vôtre : factures, numéros de série, contrat de colocation. Un avocat sécurise la démarche, mais c’est le calendrier qui décide.

Dans vos sauvegardes externalisées chez lui

Si vos sauvegardes étaient confiées au même prestataire, la copie de secours s’éteint en même temps que l’original, ce qui est le défaut de toute sauvegarde qui n’est pas indépendante de ce qu’elle protège. Notre article sur les sauvegardes face aux ransomwares développe ce principe, valable ici à l’identique.

Obtenir un export exploitable

Récupérer ses données ne sert à rien si on ne sait pas les relire. Un export livré dans un format fermé, propre au logiciel du prestataire, peut se révéler aussi inutile qu’une absence de restitution. Il faut exiger un export dans un format ouvert et documenté, accompagné des paramétrages et pas seulement des données brutes, et vérifier qu’on sait effectivement le rouvrir pendant que le service fonctionne encore.

Sur le plan du droit, une distinction est essentielle. Pour les données personnelles, le prestataire agit comme sous-traitant : à la fin de la prestation, il doit les restituer ou les supprimer, au choix du client, en vertu de l’article 28 du RGPD (paragraphe 3, point g). Pour toutes les autres données, celles du métier, c’est le contrat qui décide, et singulièrement sa clause de réversibilité quand elle existe. D’où l’intérêt de savoir, avant toute difficulté, ce que prévoit ce contrat.

Quand les machines sont déjà arrêtées

Parfois il est trop tard pour un export : serveurs éteints, baies débranchées, disques entreposés par le liquidateur. Les données, elles, sont le plus souvent toujours là, inscrites sur les supports.

La récupération de données devient alors possible, mais à une condition préalable qui n’est pas technique : obtenir les supports, ce qui suppose l’accord du liquidateur, seul habilité à autoriser leur remise.

Une fois les disques confiés au laboratoire, le travail porte aussi bien sur des serveurs isolés que sur des grappes RAID ou des baies SAN récupérées à l’état brut. Seule réserve : si un disque a été effacé ou réinstallé avant d’être remis, la part réécrite est perdue. Le risque inverse existe aussi, quand c’est le matériel du prestataire, contenant vos données, qui est revendu sans précaution, un sujet que couvre notre article sur les obligations RGPD en fin de vie des supports.

Demander où vivent vos données, maintenant

Le meilleur moment pour poser la question se situe avant toute défaillance. Demandez à votre prestataire où sont physiquement hébergées vos données, qui exploite l’infrastructure, et réclamez un export de test que vous essaierez d’ouvrir vous-même. Si vous savez le relire quand tout va bien, vous ne dépendrez pas du bon vouloir d’une entreprise en train de fermer le jour où il faudra agir vite.