La démonstration s’est bien passée. L’outil répond au besoin, l’interface plaît aux équipes, le tarif entre dans le budget et l’éditeur propose de démarrer dès la semaine suivante. Il reste à signer. C’est précisément à ce moment que l’organisation dispose du plus fort pouvoir de négociation, et c’est souvent celui où elle l’utilise le moins.
Un logiciel métier, et plus encore une application SaaS, devient en quelques mois le dépositaire d’une partie des données de l’entreprise : fichiers clients, informations RH, historique de production, documents financiers. Les conditions acceptées à la signature fixeront pour plusieurs années la manière dont ces données sont hébergées, protégées, utilisées et récupérées. Quelques questions posées avant la signature évitent des renégociations difficiles, et parfois des situations de blocage complètes.
Qui a réellement signé ce contrat ?
La première situation à examiner se joue souvent en dehors de la DSI. Une responsable marketing souscrit un outil d’emailing avec la carte bancaire de son service, accepte les conditions générales en un clic et importe la base de prospects le jour même. L’outil fonctionne parfaitement. Six mois plus tard, un questionnaire client demande la liste des sous-traitants de l’entreprise, et personne ne pense à celui-là.
Juridiquement, l’éditeur est devenu sous-traitant au sens de l’article 28 du RGPD dès l’import des premières données. L’entreprise, responsable de traitement, a l’obligation de choisir un prestataire présentant des garanties suffisantes et de formaliser un contrat comportant les clauses imposées par ce texte. L’acceptation de conditions générales standardisées peut satisfaire cette exigence, à condition qu’elles intègrent effectivement ces clauses et que quelqu’un les ait lues.
La question préalable à toute souscription est donc interne : qui valide l’entrée d’un nouvel outil dans l’organisation ? Une procédure courte, impliquant la DSI et le référent conformité dès qu’un outil traite des données de l’entreprise, permet de garder une cartographie fidèle du système d’information et de répondre sereinement aux audits.
Le DPA, l’annexe qui engage réellement l’éditeur
Le Data Processing Agreement, ou accord de traitement des données, est le document qui traduit l’article 28 du RGPD en engagements concrets. Chez la plupart des éditeurs SaaS, il prend la forme d’une annexe aux conditions générales, souvent rédigée en anglais, accessible par un lien en bas de page et présentée comme standard. C’est pourtant ce texte, bien plus que la plaquette commerciale, qui définira ce que l’éditeur a le droit de faire avec vos données et ce qu’il vous doit en cas de difficulté.
Sa lecture commence par sa description du traitement. Le RGPD exige qu’il précise l’objet, la durée, la nature et la finalité du traitement, ainsi que les catégories de données et de personnes concernées. Un DPA générique qui décrit « les données fournies par le client » laisse l’entreprise dans l’incapacité de démontrer qu’elle maîtrise ce qu’elle confie. Pour un service RH qui déploie un logiciel de gestion des talents, cette description doit refléter la réalité : données d’évaluation, historiques de carrière, éventuellement des informations sensibles.
Trois clauses concentrent ensuite l’essentiel des enjeux :
- La première encadre les sous-traitants ultérieurs. La plupart des éditeurs demandent une autorisation générale et s’engagent à informer leurs clients de tout changement, ce qui ouvre un droit d’opposition. Dans les faits, cette information se limite souvent à la mise à jour d’une page web. S’abonner aux notifications prévues, ou exiger une information par courriel, permet d’exercer ce droit dans les délais.
- La deuxième porte sur les mesures de sécurité. Une annexe qui évoque des « mesures conformes aux standards du marché » offre une garantie faible ; une description du chiffrement, de la gestion des accès, de la journalisation et des sauvegardes donne à la DSI une base vérifiable.
- La troisième concerne le droit d’audit. Les éditeurs le restreignent fréquemment à la communication de leurs rapports de certification, ce qui reste acceptable pour un usage courant et mérite d’être élargi lorsque le logiciel traite des données sensibles ou soutient une activité critique.
Le DPA s’articule enfin avec le reste du contrat. Les plafonds de responsabilité prévus dans les conditions générales s’appliquent souvent aux manquements en matière de données, alors que les conséquences d’une violation peuvent dépasser largement le montant de l’abonnement annuel.
Vérifier l’ordre de priorité entre les documents contractuels, le droit applicable et la juridiction compétente fait partie de la même lecture. Face à un éditeur de taille importante, la négociation du texte reste parfois limitée. Elle porte alors utilement sur les points critiques pour votre activité, et la documentation de cette analyse constitue en elle-même une preuve de la diligence attendue du responsable de traitement.
Où sont hébergées les données, et qui peut y accéder ?
La plaquette commerciale indique « hébergement en France ». La réalité contractuelle est souvent plus nuancée. L’éditeur est français, ses serveurs principaux sont situés à Paris, et il s’appuie sur un fournisseur de cloud américain, un outil de support client hébergé aux États-Unis et une équipe de maintenance basée hors de l’Union européenne.
Pour le RGPD, un accès à distance depuis un pays tiers constitue un transfert de données, au même titre qu’un stockage à l’étranger. La liste des sous-traitants ultérieurs, que l’éditeur doit communiquer, est le document qui révèle cette chaîne. Elle permet d’identifier les transferts et les mécanismes qui les encadrent : décision d’adéquation, comme le Data Privacy Framework pour les entreprises américaines certifiées, ou clauses contractuelles types accompagnées d’une analyse d’impact du transfert.
Pour les données les plus sensibles, la question porte aussi sur l’exposition aux législations extraterritoriales. Un hébergeur soumis au droit américain peut être tenu de communiquer des données aux autorités de son pays, quel que soit le lieu de stockage. Les organisations qui traitent des données de santé, des données stratégiques ou des informations relevant de la sphère publique s’orientent alors vers des offres certifiées HDS ou qualifiées SecNumCloud, selon leur contexte.
Que signifie concrètement la certification affichée ?
L’éditeur met en avant sa certification ISO 27001, logo à l’appui. C’est un indicateur sérieux de maturité, et il mérite une vérification simple : la lecture du certificat. Celui-ci précise un périmètre, et ce périmètre couvre parfois une seule entité du groupe, un seul centre de données ou une activité distincte du produit souscrit.
Demander le certificat, sa date de validité et sa déclaration d’applicabilité permet de savoir si le service utilisé par l’entreprise entre réellement dans le champ certifié. Pour une DSI, le rapport SOC 2 de type II, lorsqu’il existe, apporte un éclairage complémentaire sur l’efficacité opérationnelle des contrôles sur une période donnée. Ces documents se demandent naturellement pendant la phase de sélection, sous accord de confidentialité si nécessaire.
Comment récupérer vos données le jour où vous partez ?
La question de la sortie se pose rarement au moment de l’entrée. Elle conditionne pourtant la liberté future de l’organisation. Un cabinet comptable qui souhaite changer de logiciel de production découvre que l’export proposé produit des fichiers PDF, inexploitables pour alimenter le nouvel outil. La migration se transforme en ressaisie manuelle de plusieurs années d’historique.
Une clause de réversibilité précise le format des données restituées, le délai de restitution, l’assistance fournie par l’éditeur et son coût, puis la suppression effective des données à l’issue de la période de transition. Le règlement européen sur les données, le Data Act, applicable depuis le 12 septembre 2025, renforce la position des clients de services cloud : il encadre le changement de fournisseur, avec un préavis maximal de deux mois et une période de transition de trente jours, et prévoit la suppression complète des frais de changement à partir du 12 janvier 2027. Ces règles s’intègrent désormais à la négociation contractuelle.
Vos données servent-elles à entraîner l’intelligence artificielle de l’éditeur ?
La plupart des éditeurs intègrent aujourd’hui des fonctionnalités d’IA : Rédaction assistée, synthèse automatique, recommandations. Cette évolution soulève une question nouvelle, qui figure rarement dans les grilles de sélection classiques. Les contenus saisis par les utilisateurs alimentent-ils l’amélioration des modèles de l’éditeur ou de ses fournisseurs ?
La réponse se trouve généralement dans les conditions d’utilisation ou dans une politique dédiée à l’IA, parfois modifiable par paramétrage. Pour un service juridique, l’enjeu touche à la confidentialité des informations confiées par les clients. Pour une direction des ressources humaines, il concerne des données personnelles dont la réutilisation pour une autre finalité exige une base légale propre. Obtenir un engagement écrit sur ce point, et savoir quel modèle est utilisé et où il est hébergé, permet de déployer ces fonctionnalités en confiance. L’AI Act ajoute à cela des obligations pour l’entreprise en tant que déployeur, proportionnées au niveau de risque des usages.
Que se passe-t-il en cas d’incident ?
Un éditeur de logiciel de paie subit une intrusion. Ses clients l’apprennent par la presse, cinq jours plus tard. Pendant ce temps, chacun d’eux dispose de soixante-douze heures, à compter du moment où il a connaissance de la violation, pour la notifier à la CNIL lorsqu’elle présente un risque pour les personnes.
Le RGPD impose au sous-traitant d’informer son client dans les meilleurs délais. Cette formule gagne à être précisée contractuellement par un délai chiffré, généralement compris entre vingt-quatre et quarante-huit heures, et par le contenu attendu de la notification. La même logique s’applique à la disponibilité du service : un engagement de niveau de service, des pénalités associées et un plan de continuité documenté donnent une vision réaliste de la capacité de l’éditeur à faire face.
Quand le secteur impose des exigences supplémentaires
Pour les entités financières soumises à DORA, le choix d’un prestataire de services informatiques s’inscrit dans un cadre précis. Le règlement impose des clauses contractuelles minimales à l’article 30, renforcées lorsque le service soutient une fonction critique ou importante :
- Description complète des services,
- Localisation des traitements,
- Droits d’audit,
- stratégies de sortie. Chaque contrat alimente le registre d’informations que l’entité doit tenir et transmettre à son autorité de supervision.
Les entités couvertes par NIS2 intègrent quant à elles la sécurité de la chaîne d’approvisionnement dans leurs mesures de gestion des risques. Pour les acheteurs publics enfin, l’accessibilité du logiciel au sens du RGAA fait partie des critères attendus, et sa conformité se vérifie avant la signature, idéalement par une déclaration d’accessibilité fournie par l’éditeur.
Faire de la sélection un réflexe partagé
Ces questions relèvent de plusieurs métiers à la fois. La DSI apprécie l’architecture, la sécurité et la gestion des accès. Le juridique sécurise les clauses de sous-traitance, de responsabilité et de réversibilité. Le métier porte le besoin et le référent conformité vérifie la cohérence avec le registre des traitements. Lorsqu’elles sont réunies dans une grille de sélection commune, elles deviennent un réflexe rapide plutôt qu’un frein au projet.
| Question à poser | Document à demander | Interlocuteur clé |
|---|---|---|
| Où sont hébergées les données et qui y accède ? | Liste des sous-traitants ultérieurs et localisation des traitements | DPO, DSI |
| Le contrat encadre-t-il la sous-traitance ? | Accord de traitement des données conforme à l’article 28. Ou un DPA | Juridique |
| Le service est-il dans le périmètre certifié ? | Certificat ISO 27001, déclaration d’applicabilité, rapport SOC 2 | DSI, RSSI |
| Comment récupérer les données en fin de contrat ? | Clause de réversibilité précisant formats, délais et coûts | Juridique, DSI |
| Les données entraînent-elles l’IA de l’éditeur ? | Politique IA et engagement contractuel écrit | DPO, Juridique |
| Quel délai d’alerte en cas d’incident ? | Clause de notification chiffrée, SLA, plan de continuité | DSI, Direction |
Le temps consacré à ces vérifications représente quelques heures. Il protège un engagement de plusieurs années et place l’entreprise en position de négocier au moment où elle en a le plus la capacité.
