Cartographier les SaaS étrangers d'une PME québécoise

Déclencheur

L'article « Souveraineté numérique: comprenez-vous “la game”? » dans Les Affaires remet sur la table une inquiétude très concrète pour les PME québécoises: elles utilisent des dizaines d'outils cloud sans toujours savoir où les données sont hébergées, quels transferts sortent du Canada et quels fournisseurs créent un risque légal ou contractuel.

Ce n'est pas un débat abstrait. Entre les exigences de clients corporatifs, les questions de confidentialité, les politiques internes et les appels d'offres, plusieurs PME doivent maintenant documenter leur posture numérique rapidement.

Le problème vécu par le client

Le client type n'a pas besoin d'une grosse plateforme GRC à 20 000 $ par an. Il a surtout besoin de répondre à des questions simples, tout de suite:

• Quels SaaS utilise-t-on vraiment?
• Les données vont-elles aux États-Unis ou ailleurs?
• Quels outils posent le plus grand risque?
• Quelles alternatives canadiennes ou québécoises peut-on envisager?

Aujourd'hui, il bricole avec:

• Excel pour tenir une liste d'outils;
• les factures et relevés de carte de crédit pour retrouver les abonnements;
• le téléphone et les courriels au fournisseur TI ou au MSP;
• des recherches Google manuelles pour comprendre l'hébergement et les politiques de données;
• parfois un PDF de politique interne jamais mis à jour.

Résultat: inventaire incomplet, décisions lentes, et incapacité à répondre proprement à un client, un conseil d'administration ou un donneur d'ordres.

La solution logicielle

Un SaaS web très ciblé: SouverainetéScan QC.

Le produit commence comme un audit assisté vendu dès le départ à des PME, MSP et DSI fractionnels. Le client importe quelques éléments simples — domaines, liste d'outils connus, factures PDF ou CSV — puis l'application aide à:

1. dresser l'inventaire des fournisseurs SaaS;
2. qualifier le pays d'hébergement ou le risque de transfert hors Canada;
3. produire un rapport PDF bilingue prêt à remettre à la direction ou à un client;
4. proposer un plan d'action priorisé et quelques alternatives canadiennes/québécoises.

C'est un produit vendable immédiatement comme service + logiciel, sans attendre une base d'utilisateurs massive.

Périmètre du MVP

Les 5 fonctions à livrer

1. Création d'un dossier client avec secteurs, contraintes et niveau de sensibilité des données.
2. Import simple: domaines d'entreprise, liste manuelle d'outils, CSV de dépenses, factures PDF.
3. Détection assistée des fournisseurs: correspondance semi-automatique des noms marchands vers une base interne de SaaS courants.
4. Fiche de risque par fournisseur: pays, hébergement déclaré, type de données, risque de transfert, criticité, note manuelle du conseiller.
5. Génération de rapport PDF bilingue avec sommaire exécutif, inventaire, drapeaux rouges et plan d'action sur 30/90 jours.

Ce qu'il faut couper sans hésiter

• surveillance continue en temps réel;
• connecteurs API natifs vers tous les SaaS du marché;
• scoring juridique avancé par province/pays;
• SSO, RBAC complexe et multi-entités sophistiqué;
• marketplace complète d'alternatives canadiennes;
• scanner réseau ou agent installé sur les postes.

Le MVP doit rester un outil d'audit rapide, pas une plateforme de cybersécurité complète.

Pile technique suggérée et temps de développement

Stack

• Frontend / app web: Next.js
• Backend: routes Next.js ou FastAPI si tu préfères séparer
• Base de données: PostgreSQL via Supabase
• Auth: Supabase Auth ou Clerk
• Extraction PDF / CSV: Python + bibliothèques de parsing simples
• Rapports: HTML vers PDF avec Playwright ou Puppeteer
• Hébergement: Vercel + Supabase
• Base de connaissance initiale: table maison de 150 à 300 fournisseurs SaaS fréquents

Infra de départ

• Vercel + Supabase + stockage fichiers: sous 100 $/mois au lancement si tu limites le volume et le nombre de comptes.

Estimation de développement solo

• Semaine 1: structure app, auth, dossiers clients
• Semaine 2: imports CSV/PDF et modèle de données fournisseurs
• Semaine 3: moteur de détection assistée + formulaires d'analyse
• Semaine 4: rapport PDF bilingue
• Semaine 5: polish, sécurité de base, onboarding, page de vente
• Semaine 6: pilotes payants et ajustements

MVP livrable en 5 à 6 semaines si tu assumes une part d'analyse manuelle au début.

Modèle de prix

Tu ne vends pas un "logiciel magique"; tu vends un livrable concret.

Option de départ recommandée

• Audit unique: 1 490 $ CAD par entreprise jusqu'à 25 outils recensés
• Audit étendu: 2 490 $ CAD jusqu'à 75 outils
• Suivi mensuel léger: 249 $ CAD / mois pour mise à jour trimestrielle, accès au portail et nouveaux rapports

Option canal MSP / DSI fractionnel

• 129 $ CAD / client / mois pour conserver les dossiers actifs
• 690 $ CAD par rapport initial généré et révisé

C'est assez cher pour être rentable, assez simple pour être signé sans long comité d'achat.

Les 10 premiers clients à viser et comment les rejoindre

1. MSP régionaux au Québec
   Les rejoindre via LinkedIn, téléphone direct et réseau BNI/Chambre de commerce. Leur proposer une offre en marque blanche.

2. DSI à temps partiel / vCIO
   Chercher les consultants TI indépendants sur LinkedIn et leur offrir un outil pour standardiser leurs audits clients.

3. Cabinets comptables de 10 à 50 employés
   Angle: données clients sensibles et demandes croissantes de documentation. Approche par courriel personnalisé au associé responsable TI.

4. Petits cabinets d'avocats
   Angle: confidentialité, stockage documentaire, outils de signature et IA. Approche via le bottin du Barreau et appels ciblés.

5. Cliniques privées et groupes de professionnels de la santé non hospitaliers
   Angle: données personnelles et fournisseurs cloud étrangers. Approche via associations sectorielles et références MSP.

6. Firmes de génie et d'architecture
   Angle: appels d'offres, données de projets, partage de fichiers et sous-traitance. Approche via l'AQTr, l'AFG et réseaux locaux d'affaires.

7. Manufacturiers exportateurs
   Angle: questionnaires de sécurité imposés par clients américains et européens. Approche par les chambres de commerce régionales.

8. Municipalités de petite taille
   Angle: manque de ressources TI internes et pression pour documenter les outils. Approche via directeurs généraux et responsables TI partagés.

9. OBNL et organismes parapublics
   Angle: subventions, données des membres, outils disparates. Approche via regroupements sectoriels et bouche-à-oreille local.

10. Agences marketing et studios numériques de 15 à 60 employés
    Angle: multiplication d'outils SaaS et données clients partout. Approche via communautés entrepreneuriales québécoises et réseaux Slack/Discord locaux.

Stratégie de vente sans pub

• offrir un audit pilote à prix fondateur aux 5 premiers clients;
• produire un exemple de rapport anonymisé;
• contacter 30 MSP / consultants TI avec une offre partenaire;
• publier un mini-guide LinkedIn: "12 SaaS qui sortent vos données du Canada sans que vous le sachiez".

Principal risque

Le principal risque est la qualité et la fiabilité de la qualification des fournisseurs: l'hébergement, les sous-traitants et les transferts de données changent vite, et un client pourrait prendre le rapport comme avis juridique.

Il faut donc:

• présenter le produit comme audit opérationnel, pas comme opinion juridique;
• afficher clairement la source et le niveau de confiance de chaque conclusion;
• garder une révision humaine obligatoire avant émission du rapport final.

Appel à l'action

Si tu veux lancer un produit B2B vendable en quelques semaines, celui-ci a un bon profil: douleur actuelle, acheteurs identifiables, ticket suffisant et MVP étroit.

Ton prochain pas: vendre 3 audits avant même de tout construire. Prépare une page simple, un exemple de rapport PDF et une offre fondateur à 990 $ CAD pour valider la demande cette semaine.