Plan de continuité VTC : réservations et factures

À 6 h 40, l'outil de réservation ne répond plus. Trois chauffeurs ont déjà reçu des courses, deux clients appellent et la facturation est inaccessible. Le mauvais réflexe consiste à recréer immédiatement les dossiers dans un tableur partagé, puis à tout réimporter sans contrôle. On obtient alors des prises en charge oubliées, des factures en double et une liste de voyageurs exposée.

Un plan de continuité numérique VTC doit produire une décision simple : ce qui peut continuer, pendant combien de temps, avec quelles données et sous l'autorité de qui. Le plan de reprise décrit ensuite comment revenir à l'outil nominal sans créer une seconde vérité.

PCA, PRA et secours informatique : trois objets différents

PCA : maintenir les activités indispensables pendant l'indisponibilité, éventuellement en mode dégradé ;
PRA : restaurer les outils, les données et les échanges dans un ordre décidé ;
sauvegarde : conserver une copie exploitable ; elle ne décide ni qui travaille ni comment rapprocher les opérations créées pendant la panne.

La CNIL recommande de prévoir un fonctionnement dégradé sans abaisser le niveau de sécurité des données, d'identifier les intervenants et de tester restauration et plan. L'ANSSI place elle aussi sauvegarde, modes dégradés, gestion de crise et reprise dans la résilience. Un export jamais restauré n'est donc pas encore une continuité.

Cartographier les chaînes, pas seulement les logiciels

Inventorier « messagerie, CRM, facturation » ne suffit pas. Pour chaque chaîne métier, suivez l'information depuis son entrée jusqu'à sa preuve finale.

Chaîne	Dépendances	Effet d'une panne	Preuve à préserver
Réservation	Formulaire, téléphone, plateforme, dispatch	Course perdue ou attribuée deux fois	Heures, client, exploitant, chauffeur et trajet
Exécution	Application chauffeur, carte, messagerie	Retard, destination inaccessible	Acceptation, départ, arrivée et incident
Facturation	CRM, logiciel, plateforme électronique	Retard ou doublon comptable	Numéro, lignes, TVA, statut et destinataire
Encaissement	TPE, lien de paiement, banque	Paiement non rapproché	Référence et statut de transaction
Support	Téléphonie, boîte partagée, ticketing	Client sans interlocuteur	Message, décision et responsable

Ajoutez le propriétaire de chaque outil, le compte administrateur, le support, les exports disponibles et les dépendances cachées : authentification unique, DNS, téléphone sur Internet, fournisseur cloud, clé de chiffrement ou terminal confié à une seule personne.

Fixer deux objectifs par activité

Pour chaque chaîne, définissez une durée maximale d'interruption admissible et une perte de données maximale admissible. Les professionnels parlent souvent de RTO pour le délai de reprise et de RPO pour le point de restauration.

Exemple à adapter : réservation urgente, interruption tolérée de quinze minutes et perte tolérée nulle ; facturation de fin de mois, reprise sous quatre heures et perte maximale d'une heure ; bibliothèque marketing, reprise sous trois jours. Ces valeurs ne sont ni des normes ni des promesses au client : elles servent à dimensionner l'organisation et les sauvegardes.

Un objectif irréaliste coûte cher et ne sera pas tenu. Faites-le valider par le responsable métier, le prestataire technique et, si nécessaire, la direction financière. Reliez les activités à la matrice de délégation de la flotte.

Qualifier l'incident avant de basculer

Signal	Hypothèse	Premier geste
Un seul poste est en échec	Terminal ou compte	Isoler le poste et vérifier depuis un appareil sain
Tous les utilisateurs sont bloqués	Service ou connexion	Consulter le statut par un canal indépendant
Fichiers chiffrés, connexions inconnues	Incident cyber	Isoler sans effacer les traces et alerter
Données manquantes après synchronisation	Erreur d'intégrité	Geler les écritures et conserver les journaux

Le secours ne doit pas être raccordé machinalement à un environnement possiblement compromis. En cas de doute cyber, utilisez un terminal et des identifiants considérés comme sains, isolez les équipements suspects, révoquez les accès exposés et conservez heures, messages et journaux. L'urgence commerciale ne justifie pas de propager un rançongiciel vers la sauvegarde.

Déclencher un mode dégradé sous contrôle

La fiche de déclenchement tient sur une page et contient :

heure, symptôme et outil affecté ;
responsable de crise et suppléant ;
niveau : surveiller, mode dégradé ou arrêt de sécurité ;
périmètre autorisé : nouvelles réservations, courses en cours, paiements, factures ;
canal de communication de secours ;
prochaine heure de décision ;
nom de la personne autorisant le retour à la normale.

Ne laissez pas chaque chauffeur improviser son propre tableur. Un registre de crise unique reçoit les opérations minimales, avec un identifiant réservé à la continuité, l'heure de saisie et l'auteur. Les copies de travail sont interdites ou rapprochées explicitement.

Réserver hors ligne sans perdre la preuve préalable

Depuis le 29 octobre 2025, le justificatif VTC sur papier ou support électronique doit préserver l’antériorité de la réservation et les sept informations de l’article 1 de l’arrêté du 6 août 2025 : identité et coordonnées de l’exploitant ; son numéro REVTC ; son numéro unique d’identification ; nom et téléphone du client demandeur ; date et heure de réservation ; date et heure de prise en charge souhaitées ; lieu de prise en charge. Si le nom et le téléphone du client ne figurent pas sur le justificatif, le conducteur doit fournir sans délai à l’agent de contrôle les moyens de contacter ce client. Une référence interne de mission ou l’identité d’un intermédiaire ne remplace pas le numéro unique de l’exploitant.

Préparez un formulaire local ou papier reprenant ces champs. Il est numéroté, horodaté, protégé et remis au conducteur sous une forme qu'il peut présenter. Un SMS reçu après la montée du voyageur ne répare pas rétroactivement la réservation.

Le registre de secours peut contenir : identifiant PCA, heure d'appel, données obligatoires, chauffeur affecté, statut et identifiant futur dans le système nominal. Limitez-le aux courses de la période ; n'exportez pas tout l'historique client dans le téléphone personnel du dispatcher.

Maintenir les contacts sans créer une fuite massive

Le kit hors ligne ne doit pas être une copie ouverte du CRM. Séparez :

les contacts d'urgence des chauffeurs actifs ;
les donneurs d'ordre dont une course est imminente ;
les supports des fournisseurs, de la banque, de l'assureur et du conseil informatique ;
les autorités ou points de signalement prévus par la procédure.

Chiffrez le support numérique, protégez son code séparément, interdisez les comptes partagés, tracez sa remise et mettez-le à jour. Une version papier est scellée dans un lieu accessible aux personnes désignées, pas dans un véhicule. Après chaque renouvellement, détruisez l'ancienne version de façon contrôlée.

Ne pas improviser la numérotation des factures

Émettre une facture dans un modèle bureautique pendant la panne peut casser la séquence chronologique et continue, créer un numéro déjà pris ou produire une facture électronique hors du circuit applicable. Le choix doit être écrit avec le comptable et le fournisseur avant l'incident.

Deux modes prudents sont possibles selon l'organisation :

différer l'émission : enregistrer les données de la prestation dans le registre de crise, puis émettre dans l'outil restauré après contrôle ;
utiliser une série de secours préparamétrée : uniquement si sa justification, sa séquence, ses droits et son rapprochement ont été validés.

Dans les deux cas, interdisez la suppression d'une pièce émise et le recyclage d'un numéro. Le guide avoir sur une facture VTC explique comment corriger une pièce sans réécrire l'historique.

Intégrer la facturation électronique au scénario

Depuis le 1er septembre 2026, toutes les entreprises doivent pouvoir recevoir des factures électroniques. À cette même date, les grandes entreprises et ETI doivent aussi émettre électroniquement et transmettre les données prévues. L'émission devient obligatoire le 1er septembre 2027 pour les PME, TPE et micro-entreprises.

Le PCA doit donc identifier la plateforme agréée utilisée, le chemin des statuts, les possibilités d'export, les procédures d'indisponibilité et le support. Une facture marquée « créée » dans le logiciel n'est pas nécessairement reçue par le client. Pendant la panne, distinguez brouillon, émission, dépôt, rejet, mise à disposition et paiement.

Demandez au fournisseur comment il empêche un renvoi en double après reprise. Pour une entreprise déjà soumise à l'émission électronique, appliquez la procédure officielle et contractuelle de sa plateforme : un PDF envoyé en parallèle ne doit pas devenir une seconde facture.

Sauvegarder selon l'impact réel

La CNIL recommande des sauvegardes fréquentes, une copie géographiquement distincte, au moins une sauvegarde hors ligne, une protection équivalente à la production et des tests de restauration. La règle 3-2-1 — trois copies, deux supports, une hors ligne — constitue un repère, pas une dispense d'analyse.

Définissez pour chaque ensemble :

contenu : réservations, justificatifs, factures, contrats, paramétrage et journaux ;
fréquence alignée sur la perte maximale admissible ;
durée et versions conservées ;
chiffrement, emplacement et détenteur des clés ;
personnes autorisées à restaurer ;
date du dernier test et résultat ;
procédure de suppression à l'expiration.

Synchroniser un dossier n'est pas toujours sauvegarder : si la suppression ou le chiffrement malveillant se réplique immédiatement, la copie disparaît avec l'original. Conservez une version isolée et vérifiez que le logiciel, sa configuration et les clés nécessaires peuvent également être reconstruits.

Respecter les durées sans tout conserver indéfiniment

L'article L. 123-22 du Code de commerce prévoit la conservation pendant dix ans des documents comptables et pièces justificatives. La fiche officielle Entreprendre.Service-Public précise, pour les livres, registres, factures clients et fournisseurs, un délai de dix ans à partir de la clôture de l'exercice.

Ce délai ne signifie pas que tout fichier de géolocalisation, toute conversation de support ou tout carnet de contacts doit vivre dix ans. Attribuez une catégorie et une durée à chaque donnée. Les archives obligatoires sont isolées et accessibles aux seules personnes autorisées ; les données opérationnelles devenues inutiles suivent leur règle de suppression.

Traiter une violation de données en parallèle

Une panne peut aussi constituer une perte de disponibilité de données personnelles ; un accès frauduleux peut affecter leur confidentialité ou leur intégrité. Tenez un registre interne de l'incident, qualifiez les données et les personnes concernées, les conséquences possibles et les mesures prises.

Lorsque la violation présente un risque pour les droits et libertés, la CNIL indique qu'elle doit lui être notifiée dans les meilleurs délais et au plus tard sous 72 heures. En cas de risque élevé, les personnes concernées doivent aussi être informées, sous réserve des cas prévus. La décision appartient au responsable du traitement ; le contrat du prestataire doit permettre une alerte assez rapide pour l'exercer.

Ne promettez pas publiquement l'absence de fuite avant l'analyse. Préparez trois messages distincts : accusé de réception client, point opérationnel sur la course et communication relative aux données si elle devient nécessaire.

Organiser le retour à la normale

La reprise n'est pas « le site remarche ». Le responsable prononce un gel court des nouvelles écritures de secours, relève un point de restauration et réconcilie dans cet ordre :

courses en cours et passagers à prendre en charge ;
réservations de crise contre réservations du système ;
affectations, annulations et heures réelles ;
factures, avoirs, numéros et statuts électroniques ;
paiements, remboursements et soldes ;
tickets clients et décisions ;
journaux, exports et preuves du rapprochement.

Chaque ligne reçoit un statut : déjà présente, créée après reprise, doublon neutralisé ou anomalie à arbitrer. N'effacez pas le registre de crise ; archivez-le avec l'identifiant de l'opération nominale. Terminez par un contrôle de la clôture mensuelle VTC.

Cas pratique : six heures sans outil de réservation

À 6 h 40, le service est indisponible mais aucun signe de compromission n'est observé depuis un terminal sain. La direction déclenche le niveau « mode dégradé », ouvre le registre PCA-2026-03 et suspend les réservations non essentielles pendant vingt minutes.

les douze courses déjà exportées sont confirmées par le canal prévu ;
les nouvelles demandes reçoivent un identifiant PCA et les mentions nécessaires ;
le dispatcher n'utilise que la liste des chauffeurs de permanence ;
les paiements sont marqués « à rapprocher » ;
aucune facture n'est improvisée, l'émission étant différée ;
à 12 h 20, la reprise est annoncée puis les saisies sont gelées quinze minutes ;
vingt-deux opérations sont rapprochées, dont une réservation déjà recréée par le fournisseur ;
le doublon est signalé, les statuts sont contrôlés et le registre est archivé.

Le bilan mesure le délai réel de bascule, les appels manqués, les opérations ressaisies et les écarts. Il produit des actions attribuées, pas seulement une conclusion « incident résolu ».

Tester par scénario chaque trimestre

Un test de trente à soixante minutes peut suffire : indisponibilité du SaaS, perte du téléphone du dispatcher, compte administrateur bloqué, export corrompu ou restauration d'un échantillon. Mesurez :

temps pour alerter et décider ;
fraîcheur des contacts et exports ;
capacité d'un suppléant à ouvrir le kit ;
présence des mentions de réservation ;
absence de numéro de facture en double ;
temps et intégrité de restauration ;
capacité à rapprocher toutes les opérations.

Après le test, corrigez la fiche, renouvelez les supports et formez les personnes. Une fois par an, ajoutez un exercice impliquant fournisseur, direction et équipe opérationnelle. Reliez les incidents clients à une chaîne de responsabilité claire.

Douze questions à poser au fournisseur

Quel engagement de disponibilité est contractuel et comment est-il mesuré ?
Quel canal d'alerte fonctionne si l'espace client est indisponible ?
Quels exports sont disponibles, dans quel format et à quelle fréquence ?
Qui sauvegarde quoi et pendant combien de temps ?
La restauration a-t-elle été testée et dans quel délai ?
Comment accéder aux données pendant l'incident ou après résiliation ?
Comment les doublons de réservation et de facture sont-ils détectés ?
Quels statuts de facturation électronique sont conservés ?
Dans quel délai une violation de données est-elle signalée au client ?
Quels sous-traitants et lieux de traitement interviennent ?
Comment les comptes administrateurs et clés sont-ils récupérés ?
Quelle assistance est joignable aux heures critiques de l'activité VTC ?

Checklist de validation du plan

chaînes métier et dépendances cartographiées ;
RTO et RPO décidés par activité ;
responsable de crise et suppléant nommés ;
modes panne simple, cyber et intégrité distingués ;
registre de secours unique et numéroté ;
justificatif de réservation hors ligne conforme ;
contacts minimisés, chiffrés et à jour ;
règle de facturation de secours validée ;
plateforme de facturation électronique intégrée ;
sauvegarde isolée et restauration testée ;
durées de conservation différenciées ;
procédure de violation de données prête ;
rapprochement de reprise testé ;
date du prochain exercice fixée.

Sources officielles

Sources consultées le 6 septembre 2026. Les objectifs de reprise, la série de facturation de secours et les durées propres à l'entreprise doivent être validés avec ses prestataires et conseils. Une fiche générique ne remplace pas un test réel.