Comment choisir une firme de développement logiciel au Canada
Si vous cherchez comment choisir une firme de développement logiciel au Canada, commencez par une question que la plupart des acheteurs se posent trop tard. Que demanderont vos propres clients au sujet du logiciel une fois qu’il sera construit? La plupart des firmes se ressemblent sur le prix et le portfolio. Les différences apparaissent plus tard, quand un client vous envoie un questionnaire de sécurité ou demande où ses données sont hébergées. Voici comment comparer les firmes, et dix questions à poser dès le premier appel.
Commencez par ce que vos clients vous demanderont
Si vous vendez à des universités, des hôpitaux, des gouvernements ou de grandes entreprises, votre logiciel sera évalué avant l’achat. Une université peut vous envoyer un HECVAT, un long questionnaire de sécurité destiné aux fournisseurs. Un client de plus grande taille peut demander un rapport SOC 2. Un client du secteur de la santé en Ontario demandera comment vous traitez les renseignements personnels sur la santé en vertu de la LPRPS (PHIPA). Les clients du secteur privé demanderont comment vous traitez les renseignements personnels en vertu de la LPRPDE (PIPEDA), et de la Loi 25 du Québec si vous traitez les renseignements personnels de personnes au Québec. Les organismes publics poseront les mêmes questions en vertu de leurs propres lois sur la protection de la vie privée.
Une firme qui n’a jamais vu ces évaluations peut livrer un logiciel qui fonctionne, mais qui traverse difficilement une revue de sécurité. Vous payez alors une deuxième fois pour ajouter la journalisation, les contrôles d’accès et la documentation qui auraient dû être là dès le départ. Demandez donc tôt si la firme a déjà construit un logiciel qui a fait l’objet de ce type d’évaluation.
Sachez qui fera le travail
Certaines firmes envoient des personnes d’expérience à l’appel de vente, puis confient le projet à une autre équipe une fois le contrat signé. Cette équipe peut être moins expérimentée, ou se trouver dans un autre pays. Demandez à rencontrer les ingénieurs qui écriront votre code. Demandez depuis combien de temps ils sont dans la firme, et s’ils resteront sur votre projet jusqu’à la fin.
Le travail à l’étranger peut très bien convenir. Assurez-vous de savoir où le travail est fait, qui en est responsable, et qui vous pouvez appeler quand quelque chose ne fonctionne plus.
Demandez où se trouveront votre code et vos données
Demandez dans quel pays vos données seront hébergées, et qui y aura accès pendant le développement. Beaucoup de clients canadiens, surtout dans le secteur public et la santé, s’attendent à ce que leurs données restent au Canada. Cette exigence vient habituellement d’un contrat ou d’une politique. Souvent, la loi elle-même ne l’exige pas. La LPRPS, par exemple, n’exige pas l’hébergement au Canada. Si des développeurs à l’extérieur du Canada peuvent voir de vraies données de clients, vous devrez peut-être l’expliquer plus tard à vos propres clients.
Demandez aussi où le code source est conservé, et à qui appartiennent les comptes où il se trouve. Il devrait se trouver dans des comptes que vous contrôlez, dès le premier jour.
Demandez à voir le travail
Méfiez-vous des firmes qui disent que leur logiciel est « certifié LPRPS » ou « certifié LPRPDE ». Aucune de ces deux lois ne prévoit de certification pour les logiciels, et aucun des deux commissariats à la protection de la vie privée n’en délivre. La conformité dépend de la façon dont le système est construit et de la façon dont votre organisation l’exploite.
Le cas de SOC 2 est différent. Il existe un rapport officiel, mais il provient d’un cabinet de CPA indépendant qui audite votre entreprise et le système que vous exploitez. Votre développeur ne peut pas en produire un. Ce qu’un développeur peut faire, c’est mettre en place les contrôles que l’auditeur vérifiera.
Demandez à voir le travail lui-même. Demandez un exemple de la façon dont la firme consigne qui a accédé à quoi. Demandez comment elle gère les mots de passe et les clés, comment elle détecte les failles de sécurité, et quels documents elle remet à la fin. Une firme qui a une vraie expérience peut répondre en mots simples et vous montrer des exemples.
Lisez le contrat : propriété et transfert
Le contrat devrait dire que le code, les maquettes et la documentation écrits pour vous vous appartiennent une fois que vous les avez payés. Il devrait aussi dire ce qui arrive si vous mettez fin à la relation : ce qui vous est remis, sous quelle forme et dans quel délai. Demandez comment les composants à code source ouvert et les outils existants de la firme vous sont concédés sous licence. Faites lire le contrat par votre avocat.
Demandez à quoi ressemble le soutien après le lancement. Un logiciel a besoin de mises à jour et de correctifs de sécurité aussi longtemps qu’il est en service. Si une firme n’a aucun plan pour la deuxième année, vous devrez trouver quelqu’un d’autre pour entretenir le logiciel.
Comparez les prix de la bonne façon
Un prix forfaitaire vous donne une certitude, mais seulement si la portée est claire. La facturation à l’heure est flexible, mais c’est vous qui assumez le risque que le travail prenne plus de temps. Les deux peuvent fonctionner. Demandez à la firme d’expliquer ce qui est inclus, ce qui ne l’est pas, et ce qui ferait changer le coût.
Si une soumission est bien en dessous des autres, demandez ce qu’elle laisse de côté. La sécurité, les tests et la documentation sont souvent les premiers éléments coupés.
Dix questions à poser au premier appel
- Qui écrira le code, et pouvons-nous rencontrer ces personnes avant de signer?
- Avez-vous construit un logiciel qui a fait l’objet d’une revue de sécurité par un client? De quel type?
- Où nos données seront-elles hébergées, et qui peut y accéder pendant le développement?
- À qui appartiendront les comptes qui contiennent le code source et l’hébergement?
- Comment consignez-vous qui a fait quoi dans le système?
- Comment vérifiez-vous la sécurité du logiciel avant chaque mise en production?
- Quels documents recevons-nous à la fin?
- À qui appartient le code, et que se passe-t-il si nous cessons de travailler ensemble?
- Qu’est-ce qui est inclus dans le prix, et qu’est-ce qui le ferait changer?
- À quoi ressemble le soutien après le lancement?
Vous devriez obtenir une réponse claire aux dix questions. Si plusieurs réponses sont vagues, continuez à chercher.
Notre façon de faire
NorthSight Technologies est une firme de développement logiciel en Ontario, au Canada. Nous construisons des logiciels sur mesure pour les organisations dont les clients posent des questions difficiles sur la sécurité et la vie privée. Des ingénieurs seniors définissent le travail et écrivent le code. Nous ne faisons pas d’audit et nous ne donnons pas d’avis juridique. Nous construisons le logiciel et préparons les documents que votre auditeur ou votre client demandera à voir.
Si vous êtes en train de choisir une firme de développement logiciel au Canada et que vous voulez une réponse franche sur ce dont votre projet a besoin, nous offrons un appel gratuit de 20 minutes. Vous pouvez lire comment nous travaillons et réserver l’appel sur notre page développement logiciel et conformité.