La checklist de sécurité que les franchises demandent aux fournisseurs tech

Quand une franchise choisit un logiciel, elle confie à un éditeur les clients de chacune de ses agences. L'évaluation de sécurité lui permet de vérifier cette confiance avant que des milliers d'agents se connectent.

Les franchises et les grands réseaux d'agences posent sans cesse les mêmes questions aux éditeurs, généralement dans un long questionnaire. Ce n'est pas de la paperasse inutile. La marque d'une franchise figure sur chaque agence, et un seul accès mal protégé peut exposer des dossiers clients, des contrats et des mouvements de fonds. Le FBI a recensé plus de $275 millions de pertes liées à la fraude immobilière en 2025, selon la NAR.

Voici la checklist en termes simples : quoi demander, pourquoi c'est important et à quoi ressemble une bonne réponse. À la fin, nous y répondons pour RealtyMind en nous appuyant uniquement sur notre propre page sécurité.

1. Connexion et accès

• Authentification unique (SSO). Les agents peuvent-ils se connecter avec le compte d'entreprise qu'ils utilisent déjà, via votre fournisseur d'identité ? Demandez dans quel sens cela fonctionne : l'éditeur accepte-t-il votre connexion, ou veut-il être la connexion ?
• Authentification multifacteur. Selon la CISA, l'authentification multifacteur vous rend 99 % moins susceptible d'être piraté. Demandez si elle est disponible et si vous pouvez l'imposer.
• Applications mobiles. Connexion par Face ID ou empreinte digitale, pour que les agents ne tapent pas de mot de passe pendant une visite.
• Départ géré dès le premier jour. Quand un agent s'en va, un administrateur peut-il couper ses accès immédiatement, partout ?

2. Rôles et cloisonnement des données

• Rôles. Que voient respectivement un agent, un chef d'équipe, un administrateur d'agence et un broker ?
• Cloisonnement par agence. Les données de chaque agence sont-elles séparées de celles des autres ? Les régions et l'équipe nationale peuvent-elles voir des synthèses sans voir chaque liste de clients ?
• Cloisonnement par client. Les données de chaque client sont-elles séparées de celles de tous les autres clients ?
• L'IA suit les mêmes règles. Si un assistant IA peut consulter des informations, vérifie-t-il d'abord qui pose la question ?

3. Propriété et export des données

• Qui possède quoi. Contacts, transactions et dossiers : appartiennent-ils à l'agent, à l'agence ou à la franchise ? Faites-le mettre par écrit avant le déploiement, pas au premier départ.
• Export à tout moment. Dans quels formats, et qui peut exporter quoi ?
• Le consentement suit. Les désinscriptions sont-elles exportées avec les contacts, pour que le système suivant continue de les respecter ?
• Pas à vendre. L'éditeur vend-il ou loue-t-il vos données à qui que ce soit ?

4. Chiffrement et sauvegardes

• Chiffrement en transit et au repos. Les données qui circulent entre appareils et serveurs, et celles stockées sur les serveurs, fichiers et sauvegardes compris.
• Sauvegardes automatiques. À quelle fréquence, et une restauration a-t-elle été testée ?

5. Journaux d'activité

Demandez si les connexions, les exports et les modifications de fiches sensibles sont journalisés, et si un broker peut voir qui a fait quoi et quand. Quand un problème survient, c'est le journal qui permet de savoir ce qui s'est passé.

6. Audits et certifications

Beaucoup de franchises demandent un rapport d'audit indépendant. Le plus courant est le SOC 2. L'AICPA décrit ses rapports SOC comme une gamme de prestations que les CPA peuvent fournir sur les contrôles des systèmes d'un prestataire de services. Demandez si l'éditeur en dispose, quelle période il couvre et si vous pouvez le consulter sous accord de confidentialité. Renseignez-vous aussi sur les tests de sécurité externes. Tout aussi important : méfiez-vous d'un éditeur qui laisse entendre des certifications qu'il ne peut pas vous montrer.

7. Questions propres à l'IA

• L'IA respecte-t-elle les mêmes rôles et le même cloisonnement des données que les personnes ?
• Les appels sont-ils enregistrés, et l'IA le dit-elle dès le début ?
• L'IA appelle-t-elle ou écrit-elle uniquement aux personnes qui ont donné leur accord ?
• Comment l'IA utilise-t-elle les données clients, et pouvez-vous obtenir cette réponse par écrit ?

8. Quand un problème survient

Demandez comment l'éditeur vous informe d'un problème de sécurité, dans quel délai, et qui est votre interlocuteur. Demandez comment une personne extérieure peut lui signaler une faille. Une réponse claire sur ce point en dit long sur le reste.

Les réponses de RealtyMind aujourd'hui

Voici notre propre checklist, avec des réponses tirées uniquement de notre page sécurité, de notre page franchises et de nos articles d'aide.

Cette dernière ligne sur les certifications compte. Tout éditeur devrait vous dire clairement ce qu'il a obtenu et ce qu'il n'a pas encore obtenu, pour que vous puissiez décider de ce dont votre déploiement a besoin.

Ce que les agents vous demanderont

L'évaluation de sécurité ne concerne pas que l'équipe informatique de la franchise. Les agents poseront leur propre version des mêmes questions, généralement avec des mots plus simples, et les réponses décideront s'ils utilisent vraiment l'outil :

• « Mon broker peut-il voir mes clients ? » Expliquez les rôles en une phrase, et montrez-les.
• « Si je pars, est-ce que je garde mes contacts ? » Ayez la réponse sur la propriété des données prête, par écrit, avant le déploiement.
• « Est-ce que ça va envoyer des SMS à mes clients sans me demander ? » Montrez qui valide quoi, et que seules les personnes ayant donné leur accord reçoivent des SMS.
• « Me faut-il encore un mot de passe ? » Avec la connexion Google ou Microsoft, les agents utilisent l'identifiant professionnel qu'ils ont déjà.

Mettez ces réponses dans le kit de déploiement de chaque agence. Une réponse claire le premier jour évite une rumeur le deuxième.

Une méthode simple pour mener l'évaluation

1. Envoyez le questionnaire tôt, avant la démo, pour que les réponses orientent ce que vous regarderez.
2. Demandez des réponses écrites et des liens vers les pages de l'éditeur lui-même.
3. Testez-le dans votre première agence : connectez-vous avec votre identifiant d'entreprise, essayez chaque rôle et lancez un export.
4. Vérifiez la gestion des départs en supprimant un agent de test et en confirmant que l'accès est coupé.
5. Décidez région par région. Notre guide sur le déploiement d'une technologie dans une franchise couvre le reste.

Questions