Modèle de contrat SaaS conforme au RGPD : clauses et annexe DPA
Jullian Hoareau
- Un éditeur SaaS qui héberge les données personnelles de ses clients agit en principe comme sous-traitant au sens du RGPD.
- L'article 28 du RGPD impose un contrat écrit avec le client, responsable de traitement.
- Un modèle de contrat SaaS RGPD associe les conditions commerciales et une annexe DPA (Data Processing Agreement) reprenant les mentions obligatoires.
- Points sensibles : sécurité, violations de données, sous-traitants ultérieurs, transferts hors UE et restitution des données.
Besoin d'un juriste freelance ou d'un avocat ?
Accédez en -24h à un avocat d'affaires sélectionné parmi les meilleurs, à des honoraires maîtrisés.
Sommaire
Pourquoi un contrat SaaS doit intégrer le RGPD
Responsable de traitement ou sous-traitant : qui fait quoi ?
Les clauses RGPD obligatoires de l'article 28
Sécurité, violations de données et sous-traitants ultérieurs
Transferts hors UE et fin du contrat
Erreurs fréquentes dans les contrats SaaS
Pourquoi un contrat SaaS doit intégrer le RGPD
Un contrat SaaS doit intégrer le RGPD dès que l'éditeur traite des données personnelles pour le compte de son client. Le SaaS (Software as a Service) est un logiciel hébergé sur les serveurs de l'éditeur. Un modèle de contrat SaaS RGPD fixe par écrit ce que l'éditeur peut faire de ces données.
Sans ce cadre, la CNIL peut sanctionner les deux parties et aucune clause ne répartit les responsabilités en cas de fuite.
L'annexe RGPD répartit les responsabilités entre client et éditeur en cas de contrôle ou d'incident.
Consulter un avocat en protection des données
Responsable de traitement ou sous-traitant : qui fait quoi ?
Le client est responsable de traitement car il décide des finalités et des moyens ; l'éditeur est sous-traitant car il agit sur ses instructions. La CNIL détaille cette répartition dans son guide du sous-traitant.
| Rôle | Acteur | Obligations principales |
|---|---|---|
| Responsable de traitement | Client utilisateur du logiciel | Définir les finalités, informer les personnes, choisir un sous-traitant offrant des garanties suffisantes |
| Sous-traitant | Éditeur SaaS | Traiter sur instruction documentée, sécuriser les données, assister le client |
L'éditeur qui réutilise les données à ses propres fins, comme la prospection, devient responsable de traitement pour cet usage.
Les clauses RGPD obligatoires de l'article 28
L'article 28 du RGPD, consultable sur le chapitre IV du RGPD publié par la CNIL, liste les mentions que regroupe l'annexe DPA.
Trame du modèle de contrat SaaS RGPD
Le contrat décrit le traitement : objet, durée, nature, finalité, types de données et catégories de personnes concernées. L'éditeur s'engage à :
- traiter les données uniquement sur instruction documentée du client ;
- soumettre son personnel à une obligation de confidentialité ;
- appliquer des mesures de sécurité appropriées ;
- aider le client à répondre aux demandes des personnes concernées ;
- supprimer ou restituer les données en fin de prestation ;
- fournir les informations nécessaires aux audits du client.
La CNIL publie des clauses contractuelles types servant de base à cette annexe.
Une annexe DPA incomplète expose les deux parties lors d'un contrôle de la CNIL.
Faire relire son contrat SaaS par un avocat spécialisé
Sécurité, violations de données et sous-traitants ultérieurs
La sécurité se décrit par des mesures vérifiables : chiffrement, gestion des accès, journalisation, localisation des sauvegardes.
Une violation de données désigne une perte, une fuite ou un accès non autorisé. Le sous-traitant doit en alerter le client dans les meilleurs délais, puis le client dispose de 72 heures pour notifier la CNIL lorsqu'elle présente un risque pour les personnes. Le contrat fixe donc un délai d'alerte chiffré.
Les sous-traitants ultérieurs, comme l'hébergeur, exigent une autorisation écrite du client.
| Autorisation | Fonctionnement | Point de vigilance |
|---|---|---|
| Spécifique | Le client valide chaque sous-traitant nommément | Procédure lourde à chaque changement |
| Générale | L'éditeur informe le client de tout ajout ou remplacement | Le client doit pouvoir s'y opposer |
L'éditeur impose les mêmes obligations à ses sous-traitants et en reste responsable envers le client.
Transferts hors UE et fin du contrat
Un transfert hors de l'Union européenne exige une instruction documentée du client et un encadrement reconnu, comme une décision d'adéquation de la Commission européenne ou des clauses contractuelles types.
À la fin du contrat, le client choisit entre suppression et restitution des données. Le contrat précise le format d'export, le délai et la preuve de suppression.
Les transferts hors UE et la réversibilité des données se négocient avant la signature.
Échanger avec un avocat en protection des données
Erreurs fréquentes dans les contrats SaaS
Les erreurs courantes tiennent à des clauses absentes ou vagues :
- Annexe DPA non renseignée : catégories de données et de personnes vides.
- Sécurité générique : « mesures conformes à l'état de l'art », sans contrôle possible.
- Sous-traitants non listés : localisation des données inconnue.
- Audit limité : un rapport annuel remplace le droit de vérification.
- Plafond de responsabilité unique : le plafond commercial couvre aussi les violations de données.
FAQ
Un éditeur SaaS est-il toujours sous-traitant ?
Non, il l'est lorsqu'il traite les données pour le compte du client et sur ses instructions. Il devient responsable de traitement s'il réutilise les données à ses propres fins.
Qu'est-ce qu'une annexe DPA ?
C'est la partie du contrat qui contient les mentions de l'article 28 du RGPD. Elle décrit le traitement, les obligations de l'éditeur et les mesures de sécurité.
Les conditions générales d'un éditeur SaaS suffisent-elles ?
Oui, si elles reprennent toutes les mentions de l'article 28. À défaut, le client demande une annexe complémentaire.
Peut-on utiliser les clauses types de la CNIL ?
Oui, elles servent de base. Elles se complètent par la description du traitement propre au logiciel.
Qui répond d'une fuite chez un sous-traitant ultérieur ?
L'éditeur reste pleinement responsable envers son client. Le client conserve son obligation de notifier la CNIL.
Pour aller plus loin
RGPD, chapitre IV : responsable du traitement et sous-traitant (article 28) - CNIL
Clauses contractuelles types entre responsable de traitement et sous-traitant - CNIL
Guide du sous-traitant, RGPD - CNIL
SWIM LEGAL est une alternative au cabinet d'avocats traditionnel pour les besoins juridiques des entreprises. Incubé par le Barreau de Paris, SWIM a reçu le Prix de l'Innovation pour sa solution permettant à toute entreprise, quelle que soit sa taille ou sa localisation, d'accéder rapidement via la plateforme à des avocats d'affaires expérimentés. Les entreprises peuvent déposer leur besoin, qu'il s'agisse d'un dossier, d'une consultation ou d'un renfort temporaire, de manière confidentielle et recevoir des propositions d'avocats pour répondre rapidement à leur demande.
Avocat au Barreau de Paris (Toque L086), fondateur de SWIM LEGAL
