Générateur de questionnaire fournisseur sécurité et RGPD pour les universités

Décrivez l’outil que vous achetez en sept questions courtes et obtenez un questionnaire fournisseur qui ne pose que les questions utiles pour cet outil. Chaque question est accompagnée de sa justification, de sa référence juridique ou normative et des pièces à demander. Copiez-le, téléchargez-le en CSV ou en Markdown, ou imprimez-le.

Publié le 9 octobre 2026 · Sources vérifiées le 9 octobre 2026

Également disponible en: English · Svenska · Nederlands · Norsk · Suomi · Dansk · Español · Português

Qu’est-ce qu’un questionnaire de sécurité fournisseur ?

Un questionnaire de sécurité fournisseur est un ensemble structuré de questions qu’une université adresse à un fournisseur avant d’acheter ou de renouveler un service. Il porte sur la manière dont le fournisseur protège les données, les textes qu’il respecte et les documents qui le prouvent. Bien utilisé, c’est un index des preuves : chaque réponse renvoie à une clause contractuelle, un certificat, un rapport ou une liste que vous pouvez vérifier.

Dans une université européenne, le questionnaire sert plusieurs interlocuteurs à la fois. Le délégué à la protection des données a besoin des clauses de sous-traitance, des sous-traitants ultérieurs et des transferts au regard du RGPD. La sécurité informatique a besoin des certificats, du chiffrement, du contrôle des accès et de la gestion des incidents. Les achats ont besoin des clauses relatives au contrat, à la responsabilité et à la réversibilité, et il faut de plus en plus vérifier les fonctionnalités d’IA au regard du règlement européen sur l’IA et l’accessibilité au regard de la norme EN 301 549. Notre guide de l’évaluation des fournisseurs pour les universités décrit l’ensemble du processus ; le questionnaire n’en est qu’une étape.

Pourquoi adapter le questionnaire ?

Parce que les questionnaires longs et génériques produisent de mauvaises réponses. Les fournisseurs qui vendent à de nombreuses universités reçoivent des centaines de questionnaires par an. Lorsqu’un tableur de 300 lignes arrive pour un outil simple sans données personnelles, les réponses sont souvent recopiées d’une réponse précédente, et les questions importantes se perdent parmi celles qui ne le sont pas.

L’adaptation aide les deux parties :

• Le fournisseur répond à moins de questions, toutes clairement pertinentes : ses réponses sont donc plus précises.
• L’évaluateur lit moins de réponses et peut consacrer son temps aux documents qui les étayent.
• La décision est plus facile à justifier, car la profondeur de l’évaluation correspond au risque.

Le cadrage fondé sur le risque est aussi la logique actuelle des questionnaires sectoriels. EDUCAUSE indique que le HECVAT 4 commence par des questions de cadrage qui déterminent les questions applicables (voir notre guide du HECVAT pour les universités européennes). Plusieurs universités modulent leur processus selon le montant ou les données, comme le montrent les exemples ci-dessous.

Comment le générateur choisit les questions

Le générateur attribue un score à l’outil à partir de vos réponses de cadrage. Les données personnelles, les catégories particulières de données, les données de mineurs, l’IA générative, un hébergement inconnu ou hors EEE, des intégrations étendues, l’inclusion dans le champ de NIS2 et un montant élevé font chacun augmenter le score. Le score détermine un niveau, et chaque question de la banque a un niveau minimal et, le cas échéant, un déclencheur.

Les déclencheurs fonctionnent indépendamment du niveau. Si vous cochez LTI, vous obtenez les questions sur LTI 1.3 et sur les données de listes d’inscrits. Si l’outil utilise l’IA générative, vous obtenez les questions sur l’entraînement, les fournisseurs de modèles, la conservation des requêtes et la transparence de l’article 50. Si l’hébergement est situé hors de l’EEE ou inconnu, les questions sur les transferts passent au niveau allégé. Les catégories particulières de données et les données de mineurs produisent toujours un questionnaire complet.

Le résultat est un point de départ. Supprimez les questions inadaptées et ajoutez vos propres exigences d’établissement, comme les règles nationales de classification de sécurité ou les clauses de licence de la bibliothèque.

Existe-t-il une alternative européenne au HECVAT ?

Le HECVAT reste utile en Europe, mais il ne remplace pas les questions propres à l’UE. Tenu à jour par EDUCAUSE avec Internet2 et REN-ISAC, le HECVAT est un questionnaire large sur la sécurité, la vie privée et l’accessibilité que de nombreux fournisseurs de l’enseignement supérieur ont déjà rempli. Le droit européen exige des documents précis : un contrat de sous-traitance au sens de l’article 28, un instrument de transfert pour chaque destinataire hors EEE, une classification au regard du règlement sur l’IA et un rapport de conformité à la norme EN 301 549.

Analyse de Validemic
Si un fournisseur transmet un HECVAT 4 récent, acceptez-le pour les questions générales de sécurité et n’envoyez que les domaines propres à l’UE issus de ce générateur : RGPD et contrat de sous-traitance, sous-traitants ultérieurs, transferts, IA et accessibilité. Cela évite de poser deux fois la même question au fournisseur. Pour une version Word de 77 questions en 11 sections, voir le questionnaire fournisseur européen sur notre page consacrée au HECVAT.

Vous évaluez un fournisseur en ce moment ? Validemic analyse ses documents au regard du RGPD et du règlement sur l’IA, et cite la source de chaque constat. Essayer l’espace de démonstration

Comment évaluer les réponses ?

Évaluez les preuves, pas le texte des réponses. Une réponse au questionnaire est une déclaration du fournisseur ; la décision doit reposer sur les documents auxquels elle renvoie. Lisez chaque réponse à côté de ses pièces, notez les manques et envoyez une série de questions complémentaires avant de décider.

1. Vérifier que les réponses correspondent à l’offre achetée. Les conditions de confidentialité, les paramètres par défaut d’entraînement de l’IA et la localisation des données diffèrent souvent entre les offres gratuites, éducation et entreprise.
2. Lire le contrat de sous-traitance au regard de l’article 28, paragraphe 3. Chacun des points a à h doit figurer dans le contrat, et pas seulement dans le questionnaire. Notre outil de vérification des contrats de sous-traitance confronte un projet de contrat point par point.
3. Vérifier la liste des sous-traitants ultérieurs et les flux de données. Selon le CEPD, les responsables du traitement devraient disposer de l’identité de tous les sous-traitants et sous-traitants ultérieurs « readily available at all times » (facilement accessible à tout moment) (avis 22/2024). Comparez la liste avec les réponses sur les lieux de stockage et les accès à distance, puis utilisez l’outil sur les mécanismes de transfert pour chaque destinataire hors EEE.
4. Vérifier le périmètre et la date des certificats. Un certificat ISO/IEC 27001 ou un rapport SOC 2 n’a de valeur que s’il couvre le produit et l’hébergement achetés et s’il est en cours de validité.
5. Classer les fonctionnalités d’IA. Utilisez l’outil de vérification du règlement sur l’IA pour l’éducation pour toute fonctionnalité qui note, admet, oriente ou surveille des étudiants pendant les épreuves.
6. Décider si une AIPD est nécessaire. Lancez la pré-évaluation AIPD avec les informations recueillies.
7. Consigner les conditions. Validez sous conditions si nécessaire, par exemple « authentification unique uniquement » ou « fonctionnalités d’IA désactivées », et fixez une date de réexamen.

Signaux d’alerte dans les réponses des fournisseurs

Analyse de Validemic
Aucune de ces réponses n’est éliminatoire en soi. Chacune appelle une question complémentaire avant validation.

Les outils non autorisés échappent souvent entièrement à cet examen. Notre guide sur le shadow IT et les outils d’IA dans les universités explique comment les faire entrer dans le processus.

Comment les universités évaluent leurs fournisseurs

Les procédures publiées par les universités suivent le même schéma : l’évaluation est déclenchée par l’accès aux données ou aux systèmes, sa profondeur dépend du risque ou du montant, et elle commence bien avant la signature du contrat.

• Université d’Aberdeen (Royaume-Uni). Ses consignes aux personnels d’octobre 2020 choisissent la procédure selon le montant du contrat : « If the total value of your contract is under £10,000, complete the Standard Assessment » (si le montant total de votre contrat est inférieur à 10 000 livres, remplissez l’évaluation standard). Au-delà, l’évaluation renforcée utilise le Cyber Security Procurement Support Tool du gouvernement écossais. Les consignes prévoient environ quatre semaines.
• Université d’Édimbourg (Royaume-Uni). Ses consignes sur les services cloud demandent aux personnels de vérifier les accords négociés, les lieux de stockage des données et le chiffrement : « Check that any cloud service provider handling data on your behalf will encrypt it, both at rest and in transit » (vérifiez que tout fournisseur cloud qui traite des données pour votre compte les chiffre, au repos comme en transit).
• Université de technologie de Luleå (Suède). Ses lignes directrices sur la sécurité de l’information dans les achats, fondées sur les recommandations de l’Agence suédoise de protection civile (MSB), exigent des exigences détaillées et évaluables, en précisant « which requirements are mandatory ("must") and which are non-mandatory ("should") » (quelles exigences sont obligatoires (« doit ») et lesquelles ne le sont pas (« devrait »)).
• Montclair State University (États-Unis). Elle impose un examen de sécurité des services cloud et SaaS avant tout achat, renouvellement ou pilote, accepte le HECVAT 3.x ou ultérieur, et précise que « Generally, vendor security reviews are valid for two years » (en général, les examens de sécurité des fournisseurs sont valables deux ans).

Le générateur suit la même logique : le cadrage fixe la profondeur, et le résultat distingue ce qu’il faut demander de ce qu’il faut vérifier.

Sources

Toutes les sources ont été consultées le 9 octobre 2026. Les textes juridiques européens ont été lus dans leur version au Journal officiel publiée par l’Office des publications et sont liés sur EUR-Lex. Les citations en anglais sont suivies de notre traduction entre parenthèses.

1. Règlement (UE) 2016/679 (RGPD), en particulier les articles 3, 5, 8, 9, 22, 25, 27, 28, 30, 32 à 36, 44 à 49 et 89 : eur-lex.europa.eu/eli/reg/2016/679/oj/fra
2. Règlement (UE) 2024/1689 (règlement sur l’IA), articles 3, 4, 5, 6, 13 à 15, 25 à 27, 50 et 53 et annexe III : eur-lex.europa.eu/eli/reg/2024/1689/oj/fra
3. Règlement (UE) 2026/1744 (Omnibus numérique sur l’IA), modifiant l’article 4, la transition de l’article 50 et les dates de l’article 113 : eur-lex.europa.eu/eli/reg/2026/1744/oj/fra
4. Directive (UE) 2022/2555 (NIS2), article 2, paragraphe 5, articles 21 et 23 et annexes I et II : eur-lex.europa.eu/eli/dir/2022/2555/oj/fra
5. Règlement (UE) 2023/2854 (règlement sur les données), articles 25 et 29 : eur-lex.europa.eu/eli/reg/2023/2854/oj/fra
6. Règlement (UE) 2024/2847 (règlement sur la cyberrésilience), articles 14 et 71 : eur-lex.europa.eu/eli/reg/2024/2847/oj/fra
7. Directive (UE) 2016/2102 (directive sur l’accessibilité des sites internet), article 7 : eur-lex.europa.eu/eli/dir/2016/2102/oj/fra
8. Décision d’exécution (UE) 2021/1339 de la Commission (référence de la norme EN 301 549 V3.2.1) : eur-lex.europa.eu/eli/dec_impl/2021/1339/oj/fra
9. Directive 2014/24/UE (marchés publics), articles 4, 42, paragraphe 1, et 58, paragraphe 4 : eur-lex.europa.eu/eli/dir/2014/24/oj/fra
10. Décision d’exécution (UE) 2018/1523 de la Commission (modèle de déclaration sur l’accessibilité) : eur-lex.europa.eu/eli/dec_impl/2018/1523/oj/fra
11. Directive 2002/58/CE (directive vie privée et communications électroniques), article 5, paragraphe 3, tel que remplacé par la directive 2009/136/CE : eur-lex.europa.eu/eli/dir/2009/136/oj/fra
12. Décision d’exécution (UE) 2021/914 de la Commission (clauses contractuelles types), clauses 14 et 15 : eur-lex.europa.eu/eli/dec_impl/2021/914/oj/fra
13. Décision d’exécution (UE) 2023/1795 de la Commission (cadre de protection des données UE-États-Unis) : eur-lex.europa.eu/eli/dec_impl/2023/1795/oj/fra
14. CEPD, avis 22/2024 sur certaines obligations découlant du recours à des sous-traitants et sous-traitants ultérieurs, adopté le 9 octobre 2024 : edpb.europa.eu, avis 22/2024
15. CEPD, lignes directrices 07/2020 concernant les notions de responsable du traitement et de sous-traitant dans le RGPD : edpb.europa.eu, lignes directrices 07/2020
16. CEPD, recommandations 01/2020 sur les mesures supplémentaires pour les transferts, version 2.0, point 13 (l’accès à distance constitue un transfert) : edpb.europa.eu, recommandations 01/2020
17. ENISA, Good Practices for Supply Chain Cybersecurity (13 juin 2023) : enisa.europa.eu
18. EDUCAUSE, Higher Education Community Vendor Assessment Toolkit (HECVAT) : educause.edu (détails tels que résumés dans notre guide du HECVAT, vérifiés le 7 octobre 2026)
19. ISO/IEC 27001:2022, systèmes de management de la sécurité de l’information : iso.org/standard/27001 ; ISO/IEC 42001:2023, systèmes de management de l’IA : iso.org/standard/42001
20. ETSI EN 301 549 V3.2.1 (2021-03), exigences d’accessibilité applicables aux produits et services TIC : etsi.org (PDF)
21. 1EdTech, Learning Tools Interoperability (LTI 1.3 et LTI Advantage) : 1edtech.org/standards/lti
22. Université d’Aberdeen, « How to undertake a supplier assessment » (21 octobre 2020) : abdn.ac.uk
23. Université d’Édimbourg, Information Security, « Using cloud services » : infosec.ed.ac.uk
24. Université de technologie de Luleå, « Guidelines for information security in procurement and purchasing » (LTU-2486-2021, 4 décembre 2023) : ltu.se (PDF)
25. Montclair State University, Information Security, « Vendor Assessment (HECVAT) » : inside.montclair.edu

À propos de cette page

Nous avons rédigé la banque de questions à partir des textes juridiques et des normes cités ci-dessus, lus le 9 octobre 2026, et des procédures publiées par des universités. Les questions sont les nôtres et ne sont tirées ni du HECVAT ni d’aucun autre questionnaire sous licence. Les références renvoient à la disposition sur laquelle repose chaque question ; lorsqu’une disposition ne s’applique que dans certains cas (par exemple aux systèmes d’IA à haut risque, ou aux services de traitement de données au sens du règlement sur les données), la question le précise. Les modifications du RGPD envisagées par la proposition « Digital Omnibus » de la Commission ne sont pas en vigueur et ne sont pas prises en compte. Cet outil ne constitue pas un conseil juridique, et l’université reste responsable de son évaluation. Si vous trouvez une erreur ou une référence qui a changé, contactez-nous et nous la corrigerons.