Contrat SaaS santé : les clauses à verrouiller avant de signer

Vendre ou acheter une solution SaaS dans le secteur de la santé, ce n'est pas signer un contrat SaaS ordinaire avec une annexe RGPD. Les données traitées sont sensibles, l'hébergement est réglementé, les clients sont soumis à leurs propres obligations sectorielles, et chaque maillon de la chaîne doit pouvoir rendre des comptes. Voici les clauses qui font la différence entre un contrat qui protège et un contrat qui explose au premier incident, côté éditeur comme côté client.

Ce qui rend le SaaS santé différent

Trois spécificités structurent la négociation :

• La nature des données : les données de santé sont des données sensibles au sens de l'article 9 du RGPD. Leur traitement est interdit par principe, autorisé par exception. Le contrat doit refléter la base juridique retenue et le cadre strict qui l'entoure.
• L'hébergement réglementé : dès que l'éditeur héberge des données de santé issues du parcours de soins pour le compte de son client, la certification HDS entre en jeu (article L1111-8 du Code de la santé publique), avec des mentions contractuelles obligatoires.
• Le contexte du client : établissements et professionnels de santé sont soumis au secret médical, aux référentiels de sécurité du numérique en santé et, pour le secteur public, au droit de la commande publique. Leurs obligations redescendent contractuellement sur l'éditeur.

Conséquence : l'architecture contractuelle type combine un contrat de services SaaS, un accord de traitement des données (DPA) au titre de l'article 28 du RGPD, une annexe sécurité, une annexe hébergement HDS et un plan de réversibilité. Chaque pièce doit être cohérente avec les autres : les contentieux naissent souvent des contradictions entre annexes.

La qualification des parties : sous-traitant ou responsable ?

Premier point à trancher, car tout en découle : l'éditeur SaaS est-il sous-traitant ou responsable de traitement ? Dans le schéma classique, le client (établissement, professionnel) détermine les finalités et l'éditeur traite pour son compte : l'éditeur est sous-traitant, et le DPA de l'article 28 s'impose avec ses mentions obligatoires (objet, durée, nature et finalités du traitement, catégories de données, obligations de sécurité, sort des données, audits, sous-traitance ultérieure).

Mais le schéma se complique vite : si l'éditeur réutilise les données pour améliorer ses modèles, produire des statistiques ou entraîner une IA, il agit pour ses propres finalités et devient responsable de traitement sur ce périmètre. Cette réutilisation doit être expressément encadrée : base juridique propre, anonymisation ou pseudonymisation documentée, information des personnes, et clause claire sur ce qui est permis. Une clause vague du type "l'éditeur peut utiliser les données à des fins d'amélioration du service" ne protège personne, et surtout pas l'éditeur.

Les clauses de sécurité et d'hébergement

C'est le cœur technique du contrat. Points de vigilance :

• Mesures de sécurité : le renvoi à l'article 32 du RGPD ne suffit pas. L'annexe sécurité doit décrire les mesures concrètes : chiffrement en transit et au repos, gestion des habilitations, authentification forte, journalisation, tests d'intrusion, gestion des vulnérabilités. Côté client santé, exigez la cohérence avec les référentiels sectoriels de sécurité applicables à votre établissement.
• HDS : l'annexe doit préciser le périmètre exact du certificat (quelles activités, quel hébergeur d'infrastructure sous-jacent), joindre l'attestation, et prévoir l'obligation de maintien de la certification pendant toute la durée du contrat avec information immédiate en cas de suspension ou de retrait. Un certificat qui couvre l'infrastructure mais pas l'exploitation opérée par l'éditeur est un angle mort classique.
• Localisation et transferts : localisation des données dans l'EEE, liste des pays de traitement, encadrement de tout transfert hors EEE (clauses contractuelles types, mesures supplémentaires), et transparence sur l'exposition à des législations extraterritoriales. Les acheteurs publics en font de plus en plus une exigence ferme.
• Sous-traitance ultérieure : liste des sous-traitants annexée, régime d'autorisation (générale avec droit d'objection, ou spécifique), répercussion des obligations sur toute la chaîne, et responsabilité de l'éditeur du fait de ses sous-traitants.

SLA : la disponibilité qui compte vraiment

Dans la santé, une indisponibilité n'est pas un désagrément, c'est un risque opérationnel pour la prise en charge. Le SLA doit être négocié en conséquence :

• taux de disponibilité mesuré sur une période courte (le mois, pas l'année, qui dilue les incidents), avec une définition précise de l'indisponibilité et des exclusions (maintenances programmées encadrées en horaires et en volume) ;
• délais de prise en compte et de rétablissement par niveau de criticité, avec un canal d'escalade nommé ;
• pénalités automatiques sous forme d'avoirs, sans démarche du client, et un droit de résiliation en cas de manquements répétés ;
• RPO et RTO : perte de données maximale admissible et durée maximale de reprise, adossées à un plan de continuité et de reprise d'activité testé, avec communication des résultats de test ;
• attention à la clause qui fait des pénalités la réparation exclusive : côté client, refusez-la pour les incidents graves ; côté éditeur, c'est au contraire une protection à défendre, en la limitant aux indisponibilités simples.

Violations de données : préparer la crise dans le contrat

L'article 33 du RGPD impose au responsable de traitement de notifier une violation à la CNIL dans les 72 heures. Pour tenir ce délai, le client a besoin que son éditeur remonte l'information très vite. Le contrat doit prévoir : un délai de notification de l'éditeur au client court et précis (24 à 48 heures maximum en pratique), le contenu minimal de la notification, la coopération dans l'investigation, la prise en charge des mesures de remédiation, et la répartition des coûts (notification des personnes, surveillance, communication de crise). Ajoutez l'obligation d'assurance cyber avec un montant de garantie adapté et la production annuelle de l'attestation.

Réversibilité : la clause qu'on lit trop tard

La réversibilité est la clause la plus négligée à la signature et la plus disputée à la sortie. Un plan de réversibilité sérieux prévoit :

• la restitution de l'intégralité des données dans un format structuré, couramment utilisé et lisible par machine, documentation du schéma incluse ;
• une période d'assistance à la migration, avec un niveau de service maintenu pendant la transition ;
• le coût : forfait ou barème défini à la signature, pas un devis unilatéral au moment de la sortie ;
• la destruction certifiée des données et des sauvegardes à l'issue, avec attestation écrite ;
• le maintien de ces obligations quelle que soit la cause de fin de contrat, y compris la résiliation pour faute ou la liquidation, sujet à traiter aussi via les conditions de dépôt ou d'entiercement le cas échéant.

Dans la santé, la continuité d'accès au dossier patient est une exigence de fond : un établissement ne peut pas se permettre une rupture d'accès aux données pendant un changement d'outil. C'est un argument de négociation puissant côté client, et un facteur différenciant côté éditeur qui sait y répondre proprement.

Responsabilité : les plafonds et leurs exceptions

Le plafond de responsabilité est le point dur de toute négociation SaaS. Dans la santé, quelques règles de bon sens :

• un plafond exprimé en multiple des sommes versées sur douze mois est le standard, mais son niveau doit refléter le risque réel : un plafond à trois mois de redevances face à des données de santé n'est pas sérieux côté client ;
• négociez des plafonds spécifiques rehaussés pour les violations de données personnelles et les manquements à la sécurité ou à la confidentialité, catégories où le préjudice réel dépasse vite le contrat ;
• vérifiez la clause de dommages indirects : la perte de données elle-même doit être qualifiée de dommage direct réparable, sinon l'exclusion des dommages indirects vide la responsabilité de sa substance ;
• côté éditeur, l'enjeu symétrique est de garder un plafond assurable : un déplafonnement général est rarement couvert par les polices, ce qui n'est dans l'intérêt de personne.

Les clauses sectorielles à ne pas oublier

Selon le cas d'usage, complétez avec : l'engagement de conformité aux référentiels d'interopérabilité et de sécurité du numérique en santé applicables au produit, les conditions de connexion aux services socles nationaux lorsque le produit y est raccordé, le respect du secret professionnel par le personnel de l'éditeur avec engagements individuels de confidentialité, et une clause d'évolution réglementaire organisant la mise à jour du service en cas de changement du cadre juridique (le secteur en connaît en permanence, l'espace européen des données de santé en est l'illustration). Si la solution embarque une fonction d'aide à la décision médicale, la question de la qualification en dispositif médical et de la conformité AI Act doit être traitée avant la signature : nous y consacrons un article dédié.

Propriété et usage des données : statistiques, IA, anonymisation

C'est la clause qui prend le plus de valeur avec le temps. Trois niveaux à distinguer :

• Les données du client restent la propriété du client, ou plus exactement sous sa maîtrise juridique : le contrat doit l'affirmer sans ambiguïté et interdire tout usage non prévu.
• Les statistiques agrégées et anonymisées : l'éditeur veut légitimement pouvoir les produire pour piloter et améliorer son service. Encore faut-il définir ce que "anonymisé" veut dire : une vraie anonymisation au sens du RGPD est irréversible et rend impossible toute réidentification, ce qui est exigeant sur des données de santé. Une pseudonymisation n'est pas une anonymisation, et les données pseudonymisées restent des données personnelles soumises à tout le régime. Le contrat doit nommer la technique, prévoir sa documentation et le droit pour le client de la vérifier.
• L'entraînement de modèles d'IA : c'est le sujet qui fâche. Un éditeur qui souhaite entraîner ses modèles sur les données clients doit le prévoir expressément, avec une option d'acceptation ou de refus par le client, un périmètre défini et des garanties d'anonymisation ou de cloisonnement. La clause enfouie dans les CGV, découverte par le client lors d'un audit, coûte des contrats entiers. Et côté conformité, cette réutilisation fait basculer l'éditeur en responsable de traitement, avec les obligations associées.

Notre recommandation aux éditeurs : traitez ce sujet frontalement dans le contrat, avec un article dédié. La transparence est devenue un argument commercial, l'ambiguïté un motif de disqualification.

Durée, prix et évolutions du service

Quelques clauses économiques méritent autant d'attention que les clauses données :

• Durée et tacite reconduction : côté client, préférez des engagements initiaux courts avec reconduction expresse ou préavis raisonnable ; côté éditeur, la visibilité pluriannuelle se négocie contre des concessions tarifaires, pas par défaut.
• Révision des prix : une indexation encadrée (indice défini, plafond annuel) vaut mieux qu'une clause de révision unilatérale, systématiquement contestée. Les hausses libres en cours de contrat sont le premier motif de tension sur les renouvellements SaaS.
• Évolution du service : le SaaS évolue en continu, le contrat doit l'organiser. Interdiction de dégrader les fonctionnalités substantielles, information préalable sur les changements majeurs, et droit de sortie sans pénalité si une évolution retire une fonction essentielle. Dans la santé, où l'outil s'insère dans des protocoles de travail, une régression fonctionnelle n'est pas anodine.
• Dépendances réglementaires : si le service doit maintenir une certification, un référencement ou une conformité réglementaire pour être utilisable par le client, faites-en une obligation essentielle dont la perte ouvre un droit de résiliation immédiat.

Vendre au secteur public : les règles du jeu changent

Une part importante du marché de la e-santé passe par la commande publique. L'éditeur qui répond à un hôpital public ou à un GHT doit intégrer plusieurs réalités : les cahiers des clauses administratives générales applicables aux marchés de techniques de l'information imposent un socle contractuel auquel il est difficile de déroger, la négociation est encadrée par la procédure, et certaines clauses habituelles des CGV éditeur (plafonds bas, réversibilité payante non chiffrée, modification unilatérale du service) sont tout simplement inopposables ou éliminatoires. Anticipez en préparant une version "secteur public" de votre trame : annexe HDS complète, réversibilité chiffrée, engagement de localisation, et une matrice de dérogations que vos équipes commerciales peuvent utiliser sans revenir vers le juridique à chaque consultation. Côté acheteur public, le levier est inverse : les exigences posées au dossier de consultation font le contrat, ce qui suppose de les rédiger avec précision dès l'amont.

Les cinq erreurs qu'on voit le plus souvent

En revue de contrats SaaS santé, les mêmes failles reviennent : un DPA copié d'un modèle générique qui contredit le corps du contrat sur les sous-traitants ou les durées de conservation ; une annexe HDS réduite à la mention du certificat sans périmètre ni obligation de maintien ; une réversibilité renvoyée à un devis futur, donc à un rapport de force défavorable ; une clause d'usage des données assez vague pour couvrir l'entraînement de modèles sans le dire ; et un plafond de responsabilité unique qui traite une panne d'affichage et une fuite de dossiers patients de la même manière. Chacune de ces failles se corrige en quelques lignes à la signature. Aucune ne se rattrape facilement après l'incident.

Checklist : les 10 clauses à verrouiller

1. Qualification des parties (sous-traitant / responsable) et encadrement strict de toute réutilisation des données.
2. DPA complet conforme à l'article 28 du RGPD, cohérent avec le corps du contrat.
3. Annexe sécurité détaillée et opposable.
4. Annexe HDS : périmètre du certificat, maintien, information en cas de retrait.
5. Localisation EEE, encadrement des transferts, transparence sur les lois extraterritoriales.
6. Sous-traitants : liste, autorisation, responsabilité de la chaîne.
7. SLA avec pénalités automatiques, RPO/RTO et PRA testé.
8. Notification des violations en 24 à 48 heures et coopération de crise, assurance cyber.
9. Réversibilité chiffrée et organisée dès la signature, destruction certifiée.
10. Responsabilité : plafonds réalistes, plafonds rehaussés données et sécurité, perte de données en dommage direct.

Ce qu'il faut retenir

Un contrat SaaS santé se joue sur la cohérence : qualification des rôles, sécurité documentée, HDS au bon périmètre, SLA à la hauteur de la criticité, réversibilité organisée et responsabilité calibrée sur le risque données. Côté éditeur, un contrat solide est un argument commercial qui accélère les due diligences. Côté client, c'est la seule protection réelle le jour de l'incident.

Le cabinet Mirabile Avocat rédige et négocie des contrats SaaS et des DPA pour les éditeurs e-santé et leurs clients : trames contractuelles, annexes sécurité et HDS, négociations grands comptes et marchés publics. Envoyez-nous votre contrat actuel, on vous dit en un rendez-vous où il craque.