Le modèle SaaS s'est imposé dans presque toutes les fonctions de l'entreprise — CRM, comptabilité, RH, ERP. Abonnement mensuel, mises à jour automatiques, infrastructure externalisée : sa simplicité apparente masque pourtant un contrat dense, dont les lacunes exposent les deux parties à des risques significatifs.

Pour le client, elles peuvent se traduire par une interruption de service, une perte de données ou des difficultés à changer de prestataire.

Pour l'éditeur, par une responsabilité mal encadrée, des obligations imprévues ou un contentieux coûteux. Identifier les clauses essentielles à l'entrée en relation, c'est sécuriser la relation dans la durée.

1. Définir précisément l'objet et le périmètre de la licence

Le contrat doit décrire avec précision les fonctionnalités accessibles, le nombre d'utilisateurs autorisés, les éventuelles restrictions d'usage et la version du logiciel concernée. Une description vague est source d'interprétations divergentes pour les deux parties : le client peut considérer qu'une fonctionnalité est incluse là où l'éditeur l'a conçue comme une option payante. La précision du périmètre protège autant l'un que l'autre.

2. Disponibilité et maintenance : l'indispensable SLA

Un logiciel indisponible au mauvais moment peut paralyser l'activité du client et engager la responsabilité de l'éditeur. Le contrat doit impérativement comporter un SLA (« Service Level Agreement ») encadrant deux volets distincts : la disponibilité (taux garanti, ex. : 99,5 %, et mode de calcul — la maintenance planifiée est-elle décomptée ?) et la maintenance (plages horaires, préavis, restrictions d'opérations pendant les interventions). Des engagements clairs sur les points suivants permettent à l'éditeur de maîtriser son exposition et au client de connaître ses recours :

  • les délais de traitement des incidents selon leur criticité (P1/P2/P3) ;
  • la nature des compensations en cas de défaillance (avoirs commerciaux ou dédommagement réel ?) ;
  • les plafonds de responsabilité applicables.

3. Y a-t-il des données personnelles ? La question à se poser au début

Avant toute signature, une question s'impose : le logiciel va-t-il traiter des données à caractère personnel — coordonnées clients, données RH, informations de santé ? Si oui, le RGPD s’applique. L'éditeur devient sous-traitant au sens du RGPD, et un Data Processing Agreement (DPA) conforme doit obligatoirement être annexé au contrat. Ce document précise les finalités du traitement, les données traitées, les mesures de sécurité adoptées, les conditions de sous-traitance ultérieure et l'encadrement des transferts hors UE. Son absence expose les deux parties à un risque de sanction CNIL. Le DPA doit également prévoir les facultés d’audit de l’Editeur par le Client.

4. AI ACT / NIS 2 / CRA : un cadre réglementaire en mouvement permanent

Les textes européens se succèdent à un rythme soutenu et modifient les obligations des deux parties : la directive NIS 2 (en cours de transposition) impose des exigences de cybersécurité et de notification d'incidents aux Editeurs de SAAS ; l'AI Act soumet les logiciels intégrant des composants d'intelligence artificielle à des obligations de transparence et de documentation ; le Cyber Resilience Act (CRA) imposera des obligations de sécurité « by design » aux éditeurs de produits comportant des éléments numériques.

À ces textes s'ajoute les jurisprudences comme celle-ci sur la transparence des briques open source intégrées dans les logiciels. Des décisions récentes ont engagé la responsabilité d'éditeurs qui n'avaient pas informé leurs clients des composants tiers utilisés — notamment lorsque ceux-ci présentaient des vulnérabilités connues ou des licences copyleft incompatibles avec l'usage envisagé. Prévoir contractuellement la fourniture d'une Software Bill of Materials (SBOM) et un engagement de mise à jour en cas de vulnérabilité critique est désormais une bonne pratique que les éditeurs ont intérêt à anticiper. Un contrat rédigé il y a trois ans sans clause NIS 2, sans mention de l'AI Act et sans SBOM appelle une révision.

5. La clause de responsabilité : encadrer, plafonner, délimiter

Mal rédigée, la clause de responsabilité crée des risques symétriques : une exposition illimitée pour l'éditeur d'un côté, une indemnisation dérisoire pour le client de l'autre. Un équilibre bien pensé protège les deux parties.

Le plafonnement. Deux approches coexistent : un montant fixe ou un plafond proportionnel aux sommes versées sur une période de référence. La seconde est plus équitable car elle évolue avec le volume contractuel. Des plafonds différenciés selon la nature du manquement sont également envisageables — un niveau standard pour les manquements courants, un niveau supérieur pour les violations de données personnelles.

Dommages directs ou indirects ? L'exclusion des dommages indirects — manque à gagner, perte de clientèle, préjudice commercial consécutif — est légitime pour les incidents mineurs. Elle devient problématique lorsque le manquement est grave. Il est recommandé de prévoir des exceptions explicites pour les violations de données personnelles, les fautes lourdes ou dolosives, ou les manquements à une obligation essentielle du contrat. En droit français, toute clause limitative qui vide de sa substance l'obligation essentielle du débiteur est réputée non écrite (Cass. com., 22 oct. 1996, Chronopost) — une limite que les éditeurs doivent intégrer dès la rédaction de leurs clauses.

6. Conditions financières et révision tarifaire

Les modalités d'évolution des tarifs doivent être encadrées avec précision : préavis minimal, indexation plafonnée, conditions dans lesquelles chaque partie peut mettre fin au contrat en cas de hausse ou de modification substantielle. L'absence de cadre clair génère des tensions au moment du renouvellement, souvent au détriment de la relation commerciale.

7. Durée, renouvellement et résiliation

Le renouvellement automatique tacite est fréquent dans les contrats SaaS. Il convient d'en définir clairement les modalités — délai de préavis, forme de la notification — pour éviter qu'un oubli n'engage l'une ou l'autre partie contre sa volonté. Les conditions de résiliation et les effets de la fin du contrat sur les données et les accès doivent être prévus avec précision.

8. Réversibilité et portabilité des données : ce que le Data Act change

Le Règlement (UE) 2023/2854 sur les données — dit « Data Act »  introduit des obligations nouvelles directement opposables aux prestataires de services en nuage, que les éditeurs doivent désormais intégrer dans leurs contrats standards.

Ce que le Data Act impose. Tout obstacle contractuel, commercial ou technique au changement de fournisseur doit être supprimé. Les données doivent être restituables dans un format interopérable et standardisé. Les frais de sortie sont progressivement supprimés : plafonnés depuis septembre 2025, ils doivent être ramenés à zéro au plus tard en septembre 2027. Le prestataire doit maintenir une équivalence de niveau de service pendant la période de transition, laquelle ne peut excéder trente jours sauf accord contraire.

Ce que le contrat doit préciser en complément. Il reste utile de détailler : le format exact de restitution des données, le délai effectif d'export, les modalités d'assistance technique pendant la migration et la durée de conservation des données après la fin du contrat. Ces points gagnent à figurer en annexe technique. Pour les éditeurs, anticiper ces exigences dès la rédaction des conditions générales est un gage de sérieux et réduit le risque de contentieux à la sortie.

En conclusion, un contrat SaaS bien rédigé n'avantage pas l'une des parties au détriment de l'autre : il sécurise la relation dans la durée, en définissant avec clarté les obligations, les risques et les recours de chacun. C'est à cette condition qu'il remplit sa véritable fonction. Edouard Verbecq Avocat associé Mayance Avocats https://www.mayance.law/edouard-verbecq.html