Préservez la confidentialité de votre réponse à un RFP, partie par partie

La confidentialité d'un bid tient lorsque vous la définissez partie par partie. Marquez uniquement les parties de votre réponse dont l'acheteur pourrait justifier la non-divulgation, donnez pour chacune un motif qu'il pourra consigner et gardez une trace de chaque personne, partenaire et outil ayant reçu le dossier de l'acheteur. Une mention générale de confidentialité et un NDA signé ne couvrent chacun, au mieux, que la moitié du problème. Ce guide suit l'ordre des étapes d'une réponse à un RFP : lecture des conditions, extension de celles-ci aux partenaires, validation des outils, marquage de la réponse en vue de sa publication et clôture du bid.

Avant de commencer : responsables, contributions et politiques

Rassemblez quatre éléments avant l’arrivée du dossier et désignez un responsable pour chaque décision qu’ils éclairent. Cochez-les au fur et à mesure :

• Le NDA ou les conditions de confidentialité de l’acheteur, qu’il s’agisse d’un accord distinct ou de clauses figurant dans les instructions de l’appel d’offres.
• Les instructions de l’appel d’offres relatives au marquage des informations confidentielles, par exemple dans une annexe ou un formulaire requis.
• La politique de votre entreprise en matière d’IA et de traitement des informations, avec sa liste d’outils approuvés.
• Les partenaires, sous-traitants et consultants susceptibles d’avoir besoin de tout ou partie du dossier.

Désignez ensuite les responsables. Le service juridique examine toute clause qui engage l’entreprise au-delà de ce bid. La personne responsable de votre politique de l’information, de l’IT ou de la sécurité de l’information, par exemple, confirme quels outils et espaces de stockage peuvent contenir le dossier. Le bid manager décide quels éléments de la réponse sont marqués comme confidentiels et en assume la responsabilité, comme pour tout le reste de la réponse.

La norme PAS 360:2023 de BSI, le code de bonnes pratiques en matière de bid management et de gestion des propositions, considère la définition des rôles et responsabilités comme une bonne pratique de travail. C'est en matière de confidentialité que l'absence de responsable se manifeste le plus vite. Une décision dont personne n'est responsable est prise par la première personne qui télécharge le dossier et, lorsque vous vous en apercevez, les fichiers se trouvent déjà sur trois ordinateurs portables et dans l'historique de discussion de quelqu'un.

Lisez l’accord de confidentialité du RFP avant toute ouverture du dossier

Transmettez l’accord de confidentialité de l’acheteur à la personne chargée de le signer avant tout téléchargement du dossier, car l’acceptation de ses conditions est généralement requise pour y accéder. Les engagements ainsi pris régissent toutes les étapes suivantes.

Lisez-le en deux parties. La première régit le bid lui-même : ce qui constitue une information confidentielle, qui peut la recevoir, l’usage qui peut en être fait (préparer votre réponse et rien d’autre), où elle peut être stockée et ce qu’elle devient à la fin, qu’il s’agisse de sa restitution, de sa destruction ou d’une confirmation écrite de l’une ou l’autre. Le bid manager peut travailler à partir de ces conditions, qui fixent les règles applicables aux étapes ci-dessous concernant les partenaires, les outils et la clôture.

La seconde moitié va au-delà du bid et relève du service juridique. Repérez les clauses d’exclusivité ou de non-concurrence, de non-sollicitation du personnel de l’acheteur, toute revendication de droits de propriété intellectuelle sur votre réponse ou sur les idées que vous partagez lors des clarifications, les indemnités ou la responsabilité non plafonnée en cas de manquement, ainsi que toute obligation qui reste en vigueur pendant des années après l’attribution. Une clause de non-sollicitation, par exemple, peut engager toute votre entreprise plutôt que la seule équipe bid. Son acceptation doit donc être décidée par une personne dont l’autorité dépasse le cadre du bid. Si vous ne savez pas quels documents de l’acheteur vous engagent avant l’attribution, ce guide sur la valeur juridiquement contraignante d’un RFP en précise la distinction.

Relisez attentivement les conditions de stockage et de traitement. Une clause qui limite les lieux où les documents peuvent être conservés, ou interdit leur divulgation à un tiers sans consentement, déterminera ensuite si un espace de stockage cloud ou un outil d’IA est considéré comme un emplacement autorisé ou comme un tiers non autorisé. Si une condition manque de clarté, soulevez la question auprès de l’acheteur avant de signer. Une question de clarification sur une condition de confidentialité est peu coûteuse avant la signature, mais délicate une fois le dossier partagé.

Étendez les conditions à chaque partenaire qui consulte le dossier

Avant de leur envoyer quoi que ce soit, vérifiez que la définition des destinataires autorisés dans le NDA couvre vos sous-traitants, consultants et partenaires de consortium, car c'est vous, et non eux, qui êtes lié par les conditions de l'acheteur.

Les accords vous autorisent généralement à partager des informations avec des « représentants » selon le principe du besoin d’en connaître, mais les définitions varient. Certains couvrent les salariés, les conseils professionnels et les sociétés affiliées, sans aller au-delà. D’autres exigent le consentement écrit de l’acheteur pour tout tiers. Certains vous tiennent responsable de tout usage des informations par un représentant. Vérifiez la clause au regard de votre liste réelle de partenaires, nom par nom.

Lorsque les conditions autorisent le partage, répercutez-les avant de transmettre les fichiers. Cela implique un accord de confidentialité reprenant les mêmes obligations ou un engagement signé par chaque partenaire, conforme aux conditions de l'acheteur en matière d'utilisation, de stockage et de restitution, plutôt que votre NDA de groupement standard, qui peut être moins contraignant que les conditions que vous venez d'accepter. Lorsque les conditions exigent un consentement, demandez-le à l'acheteur en nommant les partenaires concernés.

Tenez ensuite un registre des destinataires dès le premier partage. Consignez-y les champs suivants :

• Nom et organisation
• Rôle dans le bid
• Fichiers ou sections reçus, avec leur version
• Date de partage et mode d’envoi (portail, lien vers le drive, e-mail)
• Conditions qui leur sont applicables : le NDA de l’acheteur, un accord de répercussion des obligations ou une référence de consentement
• Date de restitution ou de destruction, et confirmation reçue

Le même registre sert lors de la clôture, lorsque les conditions de l’acheteur exigent que chaque copie soit restituée ou détruite. Sans lui, vous devez vous fier à votre mémoire. Dans la mesure du possible, partagez aussi les documents par section : un sous-traitant qui chiffre un lot n’a peut-être pas besoin du dossier complet, et chaque fichier que vous n’envoyez pas est un fichier que vous n’aurez pas à récupérer.

Validez chaque outil d’IA et chaque espace partagé avant d’y verser le dossier

Appliquez deux contrôles à chaque outil d’IA et espace partagé avant d’y verser la moindre partie du dossier : vérifiez d’abord les conditions de l’acheteur, puis la politique interne de votre entreprise. Les conditions de l’acheteur déterminent où ses documents peuvent être stockés et traités, et si un tiers peut les prendre en charge. Votre politique interne détermine les outils approuvés par l’entreprise. Un outil peut satisfaire à un contrôle et pas à l’autre.

De nombreux responsables de la sécurité soupçonnent déjà que ce risque existe au sein de leur propre organisation, ou en ont la preuve. Une enquête Gartner menée auprès de 302 responsables de la cybersécurité, réalisée entre mars et mai 2025, a révélé que 69 % des organisations soupçonnent que leurs collaborateurs utilisent des outils d’IA générative publics interdits, ou en ont la preuve. Dans le cadre d’un bid, il peut s’agir d’un rédacteur qui colle un long cahier des charges dans son compte personnel sur un assistant conversationnel afin de le résumer. Gartner conseille aux DSI de définir des politiques claires à l’échelle de l’entreprise pour l’utilisation des outils d’IA et de contrôler régulièrement les usages non autorisés de l’IA. Une équipe bid ne peut pas attendre le contrôle : elle applique donc la politique dès le chargement du document.

Le test reste le même, quelle que soit la forme que prend l’IA : un assistant conversationnel comme ChatGPT, Claude ou Gemini ; Microsoft Copilot dans Office ; une IA ajoutée à votre bibliothèque de contenus ; ou une solution développée en interne. Une IA généraliste produit rapidement un premier jet correct, mais là n’est pas la question. Il s’agit de savoir si les conditions de l’acheteur vous autorisent à stocker et à traiter les documents là où l’outil les stocke et les traite, et si votre entreprise a approuvé l’utilisation de cet outil pour des contenus confidentiels reçus d’un tiers. Pour chaque outil, vérifiez les points suivants dans cet ordre :

1. Le lieu où l’outil stocke et traite les fichiers importés, au regard des éventuelles exigences de localisation prévues dans les conditions de l’acheteur.
2. Si le fournisseur de l’outil est considéré comme un tiers au regard des conditions de l’acheteur et, dans ce cas, si vous devez obtenir le consentement de l’acheteur.
3. Si votre politique en matière d’IA autorise l’utilisation de l’outil pour des informations confidentielles reçues dans le cadre d’un NDA.

Les espaces partagés sont soumis au même contrôle, avec une étape supplémentaire. Créez un dossier à accès restreint pour chaque bid, réservé aux personnes figurant dans votre registre des destinataires, plutôt que de déposer le dossier d'appel d'offres dans l'espace général de l'équipe bid, où toute personne ayant accès aux offres précédentes pourrait l'ouvrir. Lors du lancement, indiquez nommément aux rédacteurs et aux experts métier quels outils sont autorisés pour ce bid.

Marquez les informations confidentielles partie par partie dans une réponse à un appel d’offres

Marquez uniquement les parties de votre réponse dont un acheteur pourrait justifier la non-divulgation, et indiquez-en chaque fois le motif. En effet, lorsqu'un acheteur public est saisi d'une demande de divulgation de vos informations, il prend lui-même la décision, et un motif clair lui fournit un élément à prendre en compte. En Angleterre, les recommandations du Cabinet Office aux acheteurs publics sur la publication précisent que des informations ne peuvent être retenues pour des motifs de sensibilité commerciale qu'après un examen de l'intérêt public, et demandent aux acheteurs de consigner et de conserver leur justification. Votre marquage ne détermine pas l'issue de la demande, contrairement au raisonnement consigné par l'acheteur. Une mention générale sur chaque page ne donne à l'acheteur aucun motif à consigner. De plus, marquer une information manifestement publique, comme l'historique de votre entreprise, peut donner l'impression que les marquages importants sont appliqués par réflexe.

Ce qu’un acheteur peut légitimement ne pas divulguer

Les mêmes lignes directrices donnent des exemples d’informations commerciales qui pourraient ne pas être divulguées : les modèles financiers et les plans d’affaires, y compris le détail des marges bénéficiaires et des frais généraux ; les différents éléments tarifaires ; ainsi que les informations exclusives relatives à votre solution. Cette liste restreinte constitue un bon point de départ, car la divulgation de ces éléments fournirait à un concurrent des informations qu’il pourrait exploiter. Dans une réponse type, cela concerne la ventilation des prix par tarif ou par poste, le modèle de coûts sous-jacent, ainsi que les notes méthodologiques ou la conception technique qui distinguent votre solution.

Attendez-vous à ce que certaines informations soient publiées, quel que soit le marquage que vous leur attribuez. Selon les lignes directrices, la sensibilité commerciale ne devrait pas justifier la non-divulgation de la valeur du marché elle-même. Prévoyez donc que la valeur totale soit publiée, même si le détail de vos prix est caviardé. Dans l’UE, la directive 2014/24/UE interdit à un acheteur public de divulguer les informations qu’un fournisseur a désignées comme confidentielles, notamment les secrets techniques ou commerciaux et les aspects confidentiels des offres, sous réserve du droit national, en particulier des règles relatives à l’accès à l’information. Cette désignation déclenche donc l’obligation de confidentialité, sans pour autant trancher chaque demande. En vertu du Procurement Act 2023, en Angleterre, au pays de Galles et en Irlande du Nord, un acheteur qui ne divulgue pas certaines informations doit publier ou notifier qu’il le fait et préciser sur quel fondement. Ainsi, même un caviardage est visible par vos concurrents.

Le motif associé à chaque marquage

Associez à chaque marquage un motif que l’acheteur pourra reprendre tel quel dans son propre dossier. Un motif utile comporte trois éléments : ce qui est marqué, avec la référence de la section ou du tableau ; le préjudice que causerait la divulgation et les personnes concernées ; et la durée de la sensibilité de l’information.

Par exemple, le motif associé à une grille tarifaire pourrait indiquer que les tarifs journaliers figurant dans le deuxième tableau du bordereau de prix reflètent votre structure de marge actuelle, qu’un concurrent pourrait les utiliser pour proposer un prix inférieur au vôtre lors du prochain marché et qu’ils restent sensibles pendant toute la durée du contrat. Ce dernier point a toute son importance. Un tarif sensible pendant la durée du contrat peut ne plus l’être quelques années plus tard. Le préciser renforce la crédibilité du reste de votre raisonnement.

Regroupez les motifs dans un tableau unique au début de la réponse, ou sous toute autre forme exigée par les instructions de l'appel d'offres, et marquez les pages en conséquence. Avant la remise de l'offre, vérifiez une fois les marquages par rapport au tableau, afin qu'aucun élément ne soit marqué sans motif et qu'aucun élément assorti d'un motif ne reste non marqué. Si l'acheteur pose une question sur un marquage, indiquez comme contact la personne qui a rédigé les motifs.

Clôturez le bid et tenez les contenus de vos clients à l’écart des autres bids

Lorsque le marché est attribué, ou que l'offre n'est pas retenue, restituez ou détruisez les documents de l'acheteur conformément aux conditions prévues, puis parcourez le registre des destinataires afin de retrouver chaque copie, y compris celles détenues par les partenaires. Chaque partenaire restitue ou détruit les documents reçus, le confirme par écrit, et vous consignez la date sur la ligne correspondante. Vos propres copies sont également concernées : le dossier à accès restreint, les téléchargements locaux, les pièces jointes aux e-mails et tout élément chargé dans un outil approuvé. Si les conditions vous autorisent à conserver une copie à des fins juridiques ou de conformité, consignez ce que vous avez conservé, où et pourquoi.

N’intégrez pas les documents de l’acheteur à votre bibliothèque de contenus. Vos propres réponses peuvent y être réintégrées une fois leur réutilisation approuvée. Le cahier des charges de l’acheteur, ses modèles de tarification et toutes les informations qu’il vous a communiquées lors des clarifications ont été reçus selon ses conditions et restent soumis à celles-ci.

La même rigueur s'applique dans l'autre sens, pour vos propres clients. Une étude de cas qui cite un client et ses résultats peut avoir été approuvée pour un bid ou un usage précis. La réutiliser ailleurs sans l'accord de ce client met en péril la relation même qu'elle devait illustrer. Consignez chaque approbation avec l'élément concerné dans la bibliothèque : qui a donné son accord, pour quel usage et jusqu'à quelle date. Le rédacteur peut ainsi voir d'un coup d'œil si une étude de cas nominative est approuvée pour cette réponse. Pour savoir comment créer une bibliothèque dont chaque élément comporte un responsable et un statut de réutilisation, consultez l'article « constituer une base de réponses traçable et vérifiable ».

Dans SEQUESTO : votre équipe attribue à chaque document du Knowledge Hub de l'agentic operating system (aOS) de SEQUESTO un niveau de confidentialité, et une étude de cas propre à un client peut nécessiter une approbation avant toute réutilisation. Seuls les documents identifiés comme partageables sont suggérés pour une remise externe.

Liste de contrôle de confidentialité pour chaque bid

Passez cette liste en revue au lancement, puis à nouveau à la clôture. Chaque point s’applique au bid ou ne s’applique pas :

• Le NDA de l’acheteur a été lu avant l’ouverture du dossier, et le service juridique a validé toutes les clauses dont la portée dépasse le bid.
• Chaque partenaire, sous-traitant et consultant ayant reçu des fichiers est soumis aux conditions applicables, qui lui ont été répercutées si nécessaire, et figure dans le registre des destinataires.
• Chaque outil et espace de stockage contenant le dossier a été validé au regard des conditions de l’acheteur et de la politique de l’entreprise en matière d’IA. Le dossier est conservé dans un répertoire à accès restreint pour ce bid.
• Chaque marquage de confidentialité dans la réponse est justifiée en précisant la partie concernée, le préjudice et la durée de la sensibilité, et le tableau récapitulatif correspond aux pages marquées.
• Le bid manager sait ce qu’un acheteur public peut malgré tout publier, notamment la valeur totale du marché en Angleterre, et l’a accepté avant la remise de l’offre.
• Chaque exemplaire du dossier de l’acheteur, y compris ceux des partenaires, a été restitué ou détruit, et cette opération a été consignée dans le registre. Aucun document de l’acheteur ni aucun contenu client non approuvé ne figure dans la bibliothèque de contenus.

Commencez par la première ligne dès votre prochain bid, avant même de cliquer sur le lien de téléchargement. C'est à ce stade qu'il est encore facile de bien traiter les cinq autres lignes.