Portail dédié vs Drive ou WeTransfer : risques pour la collecte URSSAF

Portail dédié vs Drive ou WeTransfer : risques pour la collecte URSSAF

Ce que l'URSSAF attend du donneur d'ordre

L'article L.8222-1 impose une obligation de vigilance sur les prestataires dont le montant des commandes dépasse certains seuils. Concrètement, vous devez obtenir et conserver une attestation de vigilance URSSAF, vérifier sa validité, et pouvoir démontrer que vous avez agi de manière organisée et répétée.

« Envoie-moi l'attestation sur mon mail » ou « dépose-la dans le dossier Drive Achats » : ces consignes circulent encore dans beaucoup de PME. Elles semblent pragmatiques. En réalité, elles fragilisent la preuve de diligence que vous devez pouvoir exhiber en cas de contrôle URSSAF, de litige avec un client tier-1 ou d'audit QSE.

Le choix du canal de collecte n'est pas un détail IT. C'est un choix de risque juridique et opérationnel.

L'inspecteur ne se contente pas d'une attestation valide au jour du contrôle. Il examine aussi votre processus : qui a demandé quoi, quand, combien de relances, qui a validé. Un PDF retrouvé par hasard dans une boîte mail personnelle ne raconte pas cette histoire.

Mail avec pièce jointe : le défaut le plus courant

Points faibles :

• Pas de centralisation : les attestations sont éparpillées entre dix boîtes mail
• Pas d'horodatage fiable côté registre : la date du mail n'est pas toujours la date de réception traitée
• Versions multiples : le prestataire renvoie une V2, la V1 reste archivée ailleurs
• Absence de lien nominatif avec la ligne registre (SIREN, site, lot)
• Départ d'un salarié = perte d'historique si rien n'a été exporté

Quand le mail reste acceptable : notification d'envoi du lien vers le portail, ou relance textuelle. Jamais comme lieu d'archivage principal.

Google Drive, SharePoint, Dropbox : l'illusion de la centralisation

Un dossier partagé « Attestations fournisseurs 2025 » donne l'impression d'ordre. Les risques persistent :

• Droits d'accès flous : qui peut supprimer, qui peut voir, qui a partagé le lien en externe
• Nommage anarchique : « attestation_urssaf_final_v2.pdf » sans SIREN
• Pas de workflow : aucun feu tricolore, aucune relance automatique, aucune alerte d'expiration
• Traçabilité limitée : les logs Drive ne sont pas structurés pour un audit conformité sociale
• RGPD : hébergement et sous-traitants à documenter ; mélange possible de documents hors périmètre

Drive convient au travail collaboratif interne, pas à la collecte structurée de centaines d'attestations annuelles avec preuve de diligence.

WeTransfer et services de transfert temporaire

WeTransfer et équivalents résolvent le problème des pièces jointes trop lourdes pour le mail. Ils créent d'autres problèmes pour la conformité :

• Durée de vie courte : le lien expire, le fichier disparaît si personne ne l'a téléchargé à temps
• Aucune intégration registre : ressaisie manuelle obligatoire
• Pas d'identification du déposant au-delà de l'adresse mail saisie
• Usage non professionnel perçu par les grands donneurs d'ordre : signal de processus immature en due diligence fournisseur

Réservez WeTransfer aux plans techniques ou aux fichiers volumineux hors périmètre URSSAF.

Portail dédié : ce qu'il apporte de différent

Un portail de dépôt par lien magique, intégré ou couplé à votre registre prestataires, adresse les faiblesses ci-dessus :

Le portail n'est pas une garantie juridique absolue. C'est un outil qui structure la charge de la preuve en votre faveur si vous l'utilisez de manière exclusive et disciplinée.

Risques RGPD souvent sous-estimés

Les attestations URSSAF contiennent des données d'identification d'entreprise et parfois des informations sur l'effectif. Leur collecte relève d'un traitement à documenter.

Avec mail et Drive personnel :

• Base légale floue si non mentionnée au registre des traitements
• Transferts vers des comptes cloud grand public non validés par le DPO
• Durées de conservation non appliquées (boîtes mail jamais purgées)

Avec portail structuré :

• Finalité claire : vigilance L.8222-1
• Durée de conservation paramétrée
• Accès restreints et journalisés
• Hébergeur identifié dans le registre des sous-traitants

Un client tier-1 ou un auditeur ISO peut demander votre analyse d'impact ou votre registre des traitements sur ce flux. Mieux vaut une réponse documentée qu'une explication après coup.

Scénario contentieux : ce qui se joue au tribunal

La Cour de cassation et les cours d'appel ont rappelé à plusieurs reprises que le donneur d'ordre doit apporter la preuve de sa diligence. Un dossier bâti sur des mails éparpillés laisse des trous dans la chronologie :

• « Nous avons relancé le 12 mars » sans preuve d'envoi tracée
• Attestation reçue le 8 avril mais jamais vérifiée (code sécurité non contrôlé)
• Prestataire affirmant ne jamais avoir reçu de demande : pas de log d'ouverture de lien

Un export registre montrant envoi du lien, ouverture, dépôt, validation et relances automatiques constitue un dossier bien plus solide qu'une compilation de captures d'écran Drive.

Règle pratique pour le DAF

Canal unique obligatoire pour les attestations URSSAF : le portail. Les exceptions (prestataire sans mail, urgence chantier) font l'objet d'une saisie manuelle avec mention « exception » et pièce justificative dans le registre.

Formation interne : interdiction de dire « envoie-moi par WhatsApp ». Les conducteurs redirigent vers le propriétaire registre.

Revue annuelle : audit de dix dossiers prestataires tirés au sort. Vérifier que 100 % des pièces proviennent du canal officiel avec traçabilité complète.

Livrable à emporter

Tableau comparatif canaux de collecte URSSAF

Décision à formaliser (1 page DAF)

Canal officiel attestations URSSAF : _________________________

Exceptions autorisées (liste) : _________________________

Responsable contrôle canal : _________________________

Date d'application : _________ Signature DAF : _________

Sur le même sujet

• Portail dépôt prestataire sans compte : mise en place en PME
• Traçabilité : prouver que le prestataire a ouvert le lien et déposé
• Charte fournisseur à joindre au lien de dépôt attestation

---

Proceda centralise le registre de vigilance prestataires : attestations URSSAF, relances tracées, feux tricolores. Essai 14 jours, sans carte bancaire. Démarrer