Contrat SaaS : CGV, niveau de service et sous-traitance RGPD

Un contrat SaaS entre un éditeur et ses clients professionnels réunit en général trois documents : des conditions générales (accès, prix, durée, résiliation, responsabilité), un engagement de niveau de service (le SLA, pour disponibilité et support) et un accord de sous-traitance des données personnelles, exigé par l'article 28 du RGPD. Depuis le 12 septembre 2025, le règlement européen sur les données, dit Data Act, ajoute des clauses obligatoires sur le changement de fournisseur.

Cet article est une grille de lecture, pas un conseil juridique. Il sert à préparer la discussion avec votre avocat, qui seul peut rédiger un contrat adapté à votre activité, à vos clients et à vos risques. Les textes cités ont été consultés le 3 novembre 2026.

Il traite du contrat entre l'éditeur et ses clients. Le contrat entre une entreprise et le prestataire qui développe son logiciel est un autre sujet, traité dans contrat de développement logiciel : les clauses à vérifier.

Les documents qui composent le contrat

Pour un abonnement en libre-service, les conditions générales acceptées en ligne, avec l'accord de sous-traitance en annexe, suffisent souvent. Pour un grand compte, attendez-vous à négocier chaque document.

Les conditions générales : les clauses essentielles

L'objet et l'accès. Le client obtient un droit d'utiliser le service pendant la durée de l'abonnement, pas une propriété sur le logiciel. Précisez le nombre d'utilisateurs ou le volume compris, et ce qui se passe au-delà.

La durée et le renouvellement. Mensuel ou annuel, renouvellement tacite ou non, préavis de résiliation. La clause doit correspondre à ce que votre outil de facturation fait réellement.

Le prix et sa révision. Indiquez comment le prix peut évoluer, avec quel préavis, et la faculté pour le client de résilier s'il refuse. Notre guide pour fixer le prix d'un SaaS B2B aborde la façon de faire évoluer une grille sans perdre ses clients.

Le paiement. Entre professionnels, la loi encadre les délais. Selon Service Public Entreprendre, le délai est en principe de 30 jours après l'exécution de la prestation, et ne peut pas dépasser 60 jours à compter de l'émission de la facture, ou 45 jours fin de mois si le contrat le prévoit. Les pénalités de retard ne peuvent être inférieures à trois fois le taux d'intérêt légal, et une indemnité forfaitaire de 40 € pour frais de recouvrement est due ; les deux doivent figurer dans vos CGV. Le volet technique de l'encaissement est détaillé dans facturer les abonnements d'un SaaS.

La suspension. Que se passe-t-il en cas d'impayé : accès restreint, lecture seule, suspension après relance ? Écrivez la règle que votre application applique vraiment.

Les données du client. Le client reste maître de ses données. Le contrat dit comment il les exporte, dans quel format, et quand elles sont supprimées après la fin du contrat.

La responsabilité. Une limite de responsabilité, souvent rapportée aux sommes payées sur une période, et l'exclusion de certains dommages, sont courantes. Leur validité dépend du droit applicable et des circonstances : c'est la clause sur laquelle l'avis d'un avocat compte le plus.

La propriété intellectuelle. Le logiciel reste celui de l'éditeur, les données et contenus restent ceux du client. Prévoyez le sort des suggestions d'amélioration et des données d'usage anonymisées.

Le droit applicable et le tribunal compétent, surtout si vous vendez à l'étranger.

Le niveau de service (SLA)

Un SLA transforme une promesse vague (« le service est fiable ») en engagements mesurables. Il couvre en général quatre points.

La disponibilité. Un pourcentage, mesuré sur une période, avec une méthode. Avant de choisir, faites le calcul : sur un mois de 30 jours, soit 43 200 minutes, 99,9 % autorise 43 minutes d'indisponibilité, et 99,5 % environ 3 heures 36. Définissez aussi les exclusions : maintenance annoncée à l'avance, panne causée par le client, force majeure.

Le support. Les canaux, les horaires, et un délai de prise en charge par niveau de gravité : service inaccessible, fonction dégradée, simple question.

Les sauvegardes et la reprise. Fréquence des sauvegardes, durée de conservation, et la quantité de données qu'un incident peut faire perdre au maximum.

La compensation. En cas de manquement, le plus courant est un avoir proportionné sur l'abonnement, plafonné. Une compensation illimitée met l'éditeur en risque.

La règle de prudence : ne promettez jamais plus que ce que votre propre hébergeur vous garantit. Si votre infrastructure repose sur un fournisseur de cloud, son engagement de disponibilité est un plafond pour le vôtre.

L'accord de sous-traitance RGPD

Dès que votre SaaS stocke des données personnelles pour le compte de vos clients (leurs salariés, leurs clients, leurs contacts), vous êtes en général leur sous-traitant au sens du RGPD. L'article 28 du RGPD impose alors un contrat qui décrit l'objet, la durée, la nature et la finalité du traitement, les types de données et les catégories de personnes, et qui engage le sous-traitant à :

1. ne traiter les données que sur instruction documentée du client ;
2. soumettre les personnes autorisées à une obligation de confidentialité ;
3. prendre les mesures de sécurité de l'article 32 ;
4. ne recruter un autre sous-traitant qu'avec l'autorisation écrite du client, spécifique ou générale ; dans le second cas, l'informer de tout changement pour qu'il puisse s'y opposer ;
5. aider le client à répondre aux demandes des personnes concernées ;
6. l'aider à respecter ses obligations de sécurité, de notification et d'analyse d'impact ;
7. supprimer ou rendre les données en fin de prestation, au choix du client ;
8. fournir les informations nécessaires et permettre les audits.

Deux points pratiques. La liste de vos propres sous-traitants (hébergeur, envoi d'e-mails, paiement, support, fournisseur d'IA) doit être tenue à jour et communiquée. Et l'article 33 vous oblige à notifier toute violation de données au client dans les meilleurs délais, pour qu'il puisse lui-même prévenir l'autorité de contrôle, si possible dans les 72 heures.

La Commission européenne a publié des clauses contractuelles types entre responsables et sous-traitants (décision 2021/915), qui remplissent les exigences de l'article 28 : une base solide, à compléter par les annexes propres à votre service. Notre article sur le RGPD dans une application métier détaille ce que le logiciel lui-même doit prévoir.

Le Data Act : changer de fournisseur

Le règlement (UE) 2023/2854, applicable depuis le 12 septembre 2025, vise les « services de traitement de données » et cite expressément, dans son considérant 81, le logiciel à la demande (SaaS). Son chapitre VI organise le changement de fournisseur. L'article 25 impose un contrat écrit, remis avant la signature, qui prévoit au moins :

• un préavis de deux mois au plus pour lancer le changement ;
• une période de transition de 30 jours calendaires au plus, pendant laquelle le service continue ; si c'est techniquement impossible, le fournisseur le justifie dans les 14 jours ouvrables et propose une autre durée, de sept mois au plus ;
• la liste exhaustive des données et actifs exportables ;
• une période de récupération des données d'au moins 30 jours calendaires ;
• l'effacement complet des données une fois le changement achevé.

L'article 29 encadre les frais de changement : jusqu'au 12 janvier 2027, ils peuvent être facturés mais limités aux coûts directement liés au changement ; à partir de cette date, ils sont interdits.

Attention au régime particulier de l'article 31 : certaines obligations, dont la suppression des frais, ne s'appliquent pas aux services dont la majorité des caractéristiques a été conçue sur mesure pour un client et qui ne sont pas proposés à grande échelle sur catalogue. Un SaaS vendu à de nombreux clients n'en relève a priori pas. La qualification de votre service reste une question pour votre avocat. Le versant client du sujet est traité dans réversibilité : pouvoir changer de prestataire logiciel.

Ce que les grands comptes demandent en plus

• Un questionnaire de sécurité, parfois long, et l'annexe des mesures techniques qui va avec.
• La localisation des données et la liste des sous-traitants hors de l'Union européenne.
• Un droit d'audit, que l'article 28 prévoit déjà, et ses modalités pratiques (préavis, fréquence, coût).
• Une attestation d'assurance de responsabilité civile professionnelle.
• Un environnement dédié, qui relève autant de l'architecture que du contrat ; notre article sur le SaaS multi-tenant explique comment s'y préparer.

Les erreurs les plus fréquentes

• Copier un modèle trouvé en ligne, rédigé pour un autre droit, une autre activité ou une autre taille d'entreprise.
• Promettre une disponibilité que l'hébergeur ne garantit pas.
• Oublier les sous-traitants ultérieurs : le prestataire d'e-mails ou le fournisseur d'IA ajouté en cours de route doit apparaître dans la liste.
• Laisser diverger le contrat et le produit : une règle de suspension, un délai d'export ou une durée de conservation écrits dans le contrat doivent exister dans le logiciel.
• Ignorer le Data Act dans des conditions générales rédigées avant 2025.

Ce que le logiciel doit permettre

Un contrat SaaS s'exécute en grande partie dans le code. Avant de signer avec vos premiers clients, vérifiez que votre application sait :

• exporter toutes les données d'un client, dans un format documenté ;
• supprimer toutes les données d'un client, et seulement les siennes ;
• restreindre l'accès selon la règle d'impayé écrite dans les CGV ;
• mesurer la disponibilité comme le SLA la définit ;
• tracer les accès aux données, pour répondre à un audit ou à une violation.

LPR Studio développe des logiciels, il ne rédige pas de contrats. Quand nous construisons un SaaS, nous prévoyons ces fonctions dès la conception ; les clauses elles-mêmes relèvent de votre avocat.

Par où commencer

1. Listez vos sous-traitants et les données personnelles que votre service traite.
2. Mesurez la disponibilité réelle de votre service avant de la promettre.
3. Rédigez avec un avocat les conditions générales, l'accord de sous-traitance et le SLA, en partant de votre fonctionnement réel.
4. Vérifiez le produit contre le contrat : export, suppression, suspension, mesure.
5. Relisez l'ensemble chaque année, et à chaque nouveau sous-traitant.