Le DPA, mode d'emploi pour un éditeur SaaS

{"id":"conformite-dpa-saas","titre":"Votre DPA vous protège-t-il vraiment ?","sousTitre":"5 questions, résultat immédiat","moteur":"score","questions":[{"id":"q1","label":"La liste de vos sous-traitants ultérieurs est-elle annexée au contrat et tenue à jour ?","options":[{"label":"Oui, annexée et actualisée à chaque changement","points":4},{"label":"Une liste existe mais elle n'est plus à jour","points":2},{"label":"Aucune liste, la clause reste générale","points":0}]},{"id":"q2","label":"Un délai de notification des violations de données est-il stipulé ?","options":[{"label":"Oui, un délai chiffré en heures avec un point de départ défini","points":4},{"label":"Un délai chiffré, sans définition de la prise de connaissance","points":2},{"label":"Une formule vague, ou rien du tout","points":0}]},{"id":"q3","label":"Votre annexe de mesures techniques et organisationnelles est-elle spécifique ?","options":[{"label":"Une annexe propre à votre service, mesure par mesure","points":4},{"label":"Un renvoi à une certification ISO 27001 ou SOC 2","points":2},{"label":"Une liste générique reprise d'un modèle","points":0}]},{"id":"q4","label":"Le droit d'audit de votre client est-il borné ?","options":[{"label":"Oui : préavis, fréquence, périmètre et coûts encadrés","points":4},{"label":"Le droit d'audit est stipulé sans aucune limite","points":1},{"label":"Le contrat ne prévoit rien sur l'audit","points":0}]},{"id":"q5","label":"Des données sont-elles transférées hors de l'Union européenne ?","options":[{"label":"Aucun transfert hors Union","points":4},{"label":"Des transferts encadrés par les clauses types 2021/914","points":3},{"label":"Des transferts existent, sans documentation","points":0}]}],"resultats":[{"min":16,"max":null,"niveau":"DPA solide","couleur":"vert","texte":"<p>Votre score de {total} sur {max} place votre accord de sous-traitance au-dessus de ce que je constate habituellement chez les éditeurs. Les points sensibles sont couverts : liste des sous-traitants ultérieurs, délai de notification, mesures de sécurité spécifiques et droit d'audit encadré. Il reste à vérifier que l'annexe de sécurité correspond à votre architecture réelle, et que le DPA n'écarte pas le plafond de responsabilité de votre contrat de service.</p>"},{"min":9,"max":15,"niveau":"DPA à consolider","couleur":"orange","texte":"<p>Votre score de {total} sur {max} révèle un accord partiellement tenu. Les manquements de ce type sont exactement ceux que la CNIL a retenus contre des sous-traitants : conservation des données après la fin du contrat, traitement hors instructions, absence de registre. Les corrections sont réalisables sans renégocier l'ensemble : une annexe de sécurité propre à votre service, un délai de notification chiffré et une liste de sous-traitants tenue à jour suffisent le plus souvent.</p>"},{"min":null,"max":8,"niveau":"DPA à réécrire","couleur":"rouge","texte":"<p>Votre score de {total} sur {max} signale un accord de sous-traitance qui ne remplit pas les exigences de l'article 28 du RGPD. En tant que sous-traitant, vous êtes directement exposé : la CNIL peut vous mettre en demeure et prononcer une amende pouvant atteindre 10 millions d'euros ou 2 % de votre chiffre d'affaires mondial, sans poursuivre votre client. La priorité est de reconstruire l'annexe de sous-traitance et de la rattacher à vos conditions générales.</p>"}],"disclaimer":"Estimation indicative fondée sur vos réponses. Elle ne constitue pas un conseil juridique et ne remplace pas l'analyse de votre accord de sous-traitance."}

La CNIL a reçu 6 167 notifications de violations de données en 2025, soit 9,5 % de plus qu'en 2024, et un incident sur deux relève du piratage. Dans son rapport annuel, elle tire un enseignement qui concerne directement les éditeurs de logiciels : ces violations impliquent souvent des prestataires. Le 11 décembre 2025, elle a infligé un million d'euros à un sous-traitant qui avait conservé les données de plus de 46 millions d'utilisateurs après la fin de son contrat. Cet article prend le DPA par le bout que personne ne traite : celui de l'éditeur qui le reçoit, ne l'a pas écrit, et doit décider ce qu'il signe.

Le DPA n'est pas le document de votre client, c'est votre exposition

Quand un grand compte vous envoie son accord de sous-traitance de quinze pages, le réflexe naturel consiste à y voir une formalité d'achat. Une pièce contractuelle de plus, imposée par une direction juridique, à signer pour débloquer la commande. C'est une erreur de lecture, et elle coûte cher.

Le règlement fait du sous-traitant un débiteur direct d'obligations. Il ne les tient pas de son client, il les tient du texte. La société MOBIUS SOLUTIONS LTD l'a plaidé devant la CNIL : elle soutenait n'être « qu'indirectement soumise à certaines obligations de l'article 28, paragraphe 3 du RGPD, imposées par la société DEEZER ». La formation restreinte a écarté l'argument et prononcé une amende d'un million d'euros pour des manquements aux articles 28, 29 et 30 du règlement (délibération SAN-2025-014 du 11 décembre 2025, publiée).

Le droit français dit la même chose sans détour. L'article 20 de la loi du 6 janvier 1978, dans sa rédaction en vigueur depuis le 17 février 2024, vise à chaque paragraphe « le responsable de traitement ou son sous-traitant ». La CNIL peut donc vous mettre en demeure, vous enjoindre de vous mettre en conformité sous astreinte pouvant atteindre 100 000 euros par jour de retard, et vous infliger une amende plafonnée à 10 millions d'euros ou 2 % du chiffre d'affaires mondial. Votre client n'a pas besoin d'être poursuivi pour que vous le soyez.

Ce qui vous rend sous-traitant, et ce qui vous en fait sortir

Vous êtes sous-traitant dès lors que vous traitez des données personnelles pour le compte, sur instruction et sous l'autorité d'un client. Le guide du sous-traitant de la CNIL vise expressément les prestataires informatiques (hébergement, maintenance), les intégrateurs de logiciels et les entreprises de services du numérique qui ont accès aux données. Il en exclut les éditeurs de logiciels qui n'y accèdent pas : un logiciel livré sur les serveurs du client, sans télémaintenance ni accès distant, ne fait pas de vous un sous-traitant. Le modèle SaaS, lui, vous y place mécaniquement, parce qu'il suppose que les données transitent et résident chez vous.

La sortie existe, mais elle se paie. L'article 28.10 prévoit qu'un sous-traitant qui détermine les finalités et les moyens d'un traitement est considéré comme responsable de ce traitement. Ce n'est pas un statut à choisir pour se simplifier la vie : il vous impose une base légale, une information des personnes, un registre complet et la gestion des droits. J'y reviens plus bas, parce que la plupart des éditeurs y basculent sans le savoir.

Les huit obligations de l'article 28.3, traduites en travail réel

L'article 28.3 énumère ce que le contrat doit prévoir. Lu comme une liste juridique, il paraît abstrait. Lu comme un plan de charge, il devient concret. Voici ce que chaque point vous coûte réellement.

1. Traiter sur instruction documentée. Il vous faut une annexe qui décrit l'objet, la durée, la nature et la finalité du traitement, les catégories de données et de personnes concernées. Tout ce qui n'y figure pas doit faire l'objet d'une instruction écrite. Cette obligation s'accompagne d'un devoir d'alerte : si une instruction vous paraît illicite, vous devez en informer immédiatement votre client.
2. Garantir la confidentialité des personnes autorisées. Engagement de confidentialité signé, ou obligation légale équivalente, plus la formation. Cela suppose de savoir qui, chez vous, accède à quoi.
3. Prendre les mesures de sécurité de l'article 32. C'est l'annexe TOMs, et c'est le sujet le plus mal traité du lot.
4. Respecter les conditions de recrutement d'un autre sous-traitant. Votre hébergeur, votre outil de support, votre solution d'envoi d'e-mails, votre prestataire de sauvegarde : chacun est un sous-traitant ultérieur.
5. Aider aux demandes d'exercice des droits. Accès, rectification, effacement, portabilité, opposition. En pratique, cela veut dire des fonctions produit, pas des promesses contractuelles.
6. Aider au respect des articles 32 à 36. Sécurité, notification de violation, analyse d'impact, consultation préalable. Vos clients vous solliciteront pour leurs AIPD.
7. Supprimer ou renvoyer les données en fin de prestation. Le texte est précis : le sous-traitant, « selon le choix du responsable du traitement, supprime toutes les données à caractère personnel ou les renvoie au responsable du traitement au terme de la prestation de services relatifs au traitement, et détruit les copies existantes ».
8. Permettre les audits. Mettre à disposition les informations démontrant le respect de vos obligations et permettre les audits, y compris les inspections, par le client ou un auditeur qu'il a mandaté.

Le point 7 mérite un arrêt, parce qu'il est celui sur lequel la CNIL a frappé le plus fort. Dans l'affaire MOBIUS, le contrat avait pris fin le 1er décembre 2020. La copie des données a été découverte en novembre 2022, après une fuite. Deux ans de conservation illicite, sur un environnement de non-production. Les copies existantes visées par le texte incluent vos sauvegardes, vos exports de support et vos bases de test.

Point de vigilance. « Détruire les copies existantes » signifie être capable de démontrer la destruction. Le modèle de clauses de la CNIL prévoit d'ailleurs que le sous-traitant « doit justifier par écrit de la destruction ». Si vous n'avez pas de procédure de fin de contrat écrite, avec un délai, un périmètre et une attestation, vous ne pourrez rien prouver le jour où on vous le demandera.

La liste des sous-traitants ultérieurs, premier point de blocage

C'est le sujet qui bloque le plus de négociations, et c'est aussi celui où les éditeurs cèdent le plus vite sans mesurer ce qu'ils acceptent.

Deux régimes existent. L'autorisation spécifique vous oblige à obtenir l'accord écrit et préalable du client pour chaque nouveau sous-traitant. L'autorisation générale vous permet d'en changer à condition d'informer préalablement le client de tout ajout ou remplacement, ce qui lui ouvre un droit d'objection. Pour un éditeur SaaS, la première est intenable : elle transforme un changement d'outil de monitoring en tour de table auprès de quarante clients. La seconde est le régime à obtenir, systématiquement.

Encore faut-il tenir la contrepartie. Le modèle de clauses de la CNIL précise que l'information « doit indiquer clairement les activités de traitement sous-traitées, l'identité et les coordonnées du sous-traitant et les dates du contrat de sous-traitance ». Dans un avis adopté le 7 octobre 2024, le Comité européen de la protection des données va plus loin : le responsable de traitement doit disposer à tout moment de l'identité de l'ensemble des sous-traitants de la chaîne, nom, adresse et personne de contact, et c'est au sous-traitant de la lui fournir spontanément et de la tenir à jour en permanence (avis 22/2024, points 31 et 32).

Ce même avis contient une bonne nouvelle pour vous. Le Comité y considère que le responsable de traitement n'a pas l'obligation de réclamer systématiquement les contrats que vous avez conclus avec vos propres sous-traitants pour vérifier que les obligations ont bien été reportées. Quand un acheteur exige la communication de vos contrats fournisseurs, vous avez un argument de refus, ou à tout le moins de limitation à une attestation.

La contrepartie brutale figure à l'article 28.4 : si votre sous-traitant ultérieur manque à ses obligations, vous demeurez pleinement responsable devant votre client de l'exécution des obligations de ce tiers. La défaillance de votre hébergeur est la vôtre.

Le droit d'audit, comment le borner sans le refuser

Refuser l'audit n'est pas une option. Le point h) de l'article 28.3 en fait une obligation, et le guide de la CNIL range explicitement le fait de ne pas permettre la réalisation d'audits parmi les cas de sanction. Un éditeur qui écrit « aucun audit sur site » dans son DPA se met en faute.

Ce qui se négocie, ce n'est pas le principe, c'est le format. Six paramètres suffisent à rendre la clause vivable :

• un préavis écrit, trente jours ouvrés pour un audit planifié ;
• une fréquence plafonnée, une fois par an, sauf incident de sécurité avéré ou demande d'une autorité de contrôle ;
• un périmètre limité aux traitements réalisés pour ce client, à l'exclusion des données des autres clients ;
• l'exclusion des auditeurs concurrents, et un engagement de confidentialité de l'auditeur mandaté ;
• la priorité aux éléments existants : rapport ISO 27001, SOC 2, synthèse de test d'intrusion. L'audit sur site n'intervient que si ces éléments ne répondent pas à la question posée ;
• la prise en charge des coûts par le client au-delà du premier audit annuel, hors cas d'incident imputable à l'éditeur.

Cette rédaction ne restreint pas le droit du client, elle l'organise. Aucune direction juridique sérieuse ne la refuse, parce qu'elle est plus opérationnelle que la clause ouverte qu'elle vous avait envoyée.

L'annexe TOMs, le piège de la surpromesse

L'article 32 impose les mesures techniques et organisationnelles au responsable de traitement et au sous-traitant. Le modèle de la CNIL recommande d'ailleurs « de déterminer précisément les responsabilités de chacune des parties au regard des mesures à mettre en œuvre ». Autrement dit, l'annexe TOMs n'est pas une brochure commerciale : c'est un engagement contractuel opposable, et une pièce que la CNIL lira si un incident survient.

L'affaire DEDALUS BIOLOGIE illustre ce que coûte l'écart entre le papier et la réalité. Éditeur de logiciels pour laboratoires d'analyses médicales, la société a été sanctionnée en sa qualité de sous-traitant à hauteur de 1 500 000 euros après la diffusion en ligne, en février 2021, des informations de près de 500 000 patients (délibération SAN-2022-009 du 15 avril 2022). Les manquements de sécurité relevés par la formation restreinte forment une liste que tout responsable technique reconnaîtra :

• absence de procédure spécifique pour les opérations de migration de données ;
• absence de chiffrement des données stockées sur le serveur FTP ;
• absence d'effacement automatique des données après migration ;
• absence d'authentification requise depuis Internet pour accéder à la zone publique du serveur ;
• comptes utilisateurs partagés entre plusieurs salariés ;
• absence de procédure de supervision.

Un ancien salarié avait signalé des problèmes de sécurité à sa hiérarchie dès mars 2020. Onze mois avant la fuite. La même décision retient également un manquement à l'article 28 : les conditions générales de vente que la société proposait à ses clients laboratoires ne comportaient aucune des mentions requises. Un éditeur peut donc être sanctionné pour l'absence des clauses que ses clients auraient dû exiger de lui.

La règle de rédaction qui en découle est simple. N'écrivez dans l'annexe TOMs que ce qui est vrai aujourd'hui et vérifiable demain. « Chiffrement au repos » engage sur toutes les bases, y compris les sauvegardes et les environnements de test. « Journalisation des accès » suppose des journaux conservés et exploitables. Ajoutez une clause d'évolution qui vous autorise à remplacer une mesure par une mesure d'effet au moins équivalent, sans quoi chaque changement d'architecture devient un avenant.

Le délai de notification d'incident, ce que vous signez vraiment

Le règlement impose au sous-traitant de notifier la violation au responsable de traitement dans les meilleurs délais, sans fixer d'heure. C'est donc le contrat qui chiffre, et le modèle de la CNIL laisse le champ vide : « le sous-traitant notifie au responsable de traitement toute violation de données à caractère personnel dans un délai maximum de […] heures après en avoir pris connaissance ».

Les DPA de grands comptes remplissent ce blanc par 24 heures, parfois 12. Le chiffre n'est pas le seul enjeu. Trois éléments comptent davantage :

• Le point de départ. « Après en avoir pris connaissance » n'est pas « après la survenance ». Définissez ce qui vaut prise de connaissance : la qualification d'un incident par votre équipe sécurité, pas la première alerte d'un outil de supervision.
• Le contenu. Engagez-vous sur une notification initiale factuelle, complétée de manière échelonnée. Le modèle de la CNIL prévoit explicitement que les informations peuvent être communiquées par étapes sans retard indu.
• La qualification. Ne vous engagez pas à décider si la violation doit être notifiée à la CNIL : c'est l'appréciation du responsable de traitement. Le modèle de la CNIL ne prévoit la notification par le sous-traitant, au nom du client, qu'« après accord du responsable de traitement ».

Ce qui vous fait basculer en responsable de traitement

C'est le risque le plus sous-estimé chez les éditeurs, et le plus facile à déclencher. Dès que vous réutilisez pour votre compte des données confiées par un client, vous sortez du rôle de sous-traitant pour ce traitement.

L'affaire MOBIUS est un cas d'école. Trois salariés ont copié des données non anonymisées d'utilisateurs vers un environnement de non-production, dans le but d'améliorer les performances des services de l'entreprise. La formation restreinte a retenu que la copie « a été réalisée pour un usage propre à la société », et qu'en copiant les données de plus de 9 millions d'utilisateurs en France, la société avait traité ces données en dehors des instructions de son client. Manquement à l'article 29. Dans l'affaire DEDALUS, la CNIL a jugé de la même façon que la société « ne saurait se prévaloir d'un outil inadapté pour justifier d'avoir outrepassé les instructions des responsables de traitement », l'outil de migration extrayant plus de données que demandé.

Les situations qui déclenchent cette bascule sont familières à toute équipe produit : entraîner un modèle sur les données clients, construire des statistiques sectorielles à revendre, alimenter un outil d'analyse comportementale interne, ou simplement peupler un environnement de recette avec un export de production. Aucune n'est interdite. Toutes exigent autre chose qu'un DPA : une base légale propre, une information des personnes, et le cas échéant un accord de responsabilité conjointe au sens de l'article 26.

Conseil. Traitez la question des jeux de données de test avant celle des clauses. Dans les deux sanctions citées, la faute matérielle est la même : des données de production qui se retrouvent là où elles n'ont rien à faire. Une clause bien rédigée ne vous protège pas d'un pipeline mal conçu, et c'est le sujet que je vois le plus souvent traité en dernier chez les éditeurs.

Sur l'articulation entre ces obligations et le reste de votre conformité, l'article consacré aux bonnes pratiques RGPD des éditeurs de solutions SaaS pose le cadre général, et celui sur les obligations juridiques à vérifier avant de lancer un logiciel couvre les documents à produire en amont.

Négocier un DPA de grand compte, les cinq points à obtenir

Vous ne réécrirez pas le DPA d'un groupe du CAC 40. Vous pouvez en revanche obtenir cinq modifications, et je conseille de les demander ensemble, dans un seul retour rédigé, plutôt qu'au fil de l'eau.

1. L'autorisation générale des sous-traitants ultérieurs, avec un délai d'objection chiffré (trente jours) et un effet borné : en cas d'objection motivée, discussion puis résiliation limitée au périmètre concerné, sans indemnité automatique ni résiliation de l'ensemble du contrat.
2. Un droit d'audit encadré selon les six paramètres décrits plus haut, avec priorité donnée à vos certifications et rapports existants.
3. Une annexe TOMs propre à votre service, pas la liste générique du client, assortie d'une clause d'évolution à effet équivalent.
4. Un délai de notification réaliste, avec une définition écrite de la prise de connaissance et une notification échelonnée.
5. L'articulation avec le contrat principal : le DPA ne doit pas créer un régime de responsabilité parallèle, illimité, échappant au plafond négocié dans le contrat de service. C'est le point le plus coûteux et le moins regardé.

Un mot sur la forme. Depuis la décision d'exécution (UE) 2021/915 du 4 juin 2021, la Commission européenne a adopté des clauses contractuelles types entre responsable de traitement et sous-traitant. Leur usage est facultatif, et elles ne couvrent que les traitements au sein de l'Union : elles ne valent pas outil de transfert vers un pays tiers, où il faut recourir aux clauses de la décision (UE) 2021/914. Les invoquer en négociation reste utile, parce qu'elles offrent un terrain neutre quand chaque partie défend son modèle.

Pour un éditeur qui vend en B2B, je recommande d'intégrer le DPA en annexe de vos conditions générales plutôt que d'en faire un contrat séparé. C'est ce que la sanction DEDALUS enseigne en creux : des CGV qui ne comportent aucune mention de l'article 28 constituent un manquement. Une annexe unique, à jour, opposée à tous vos clients, vaut mieux que quarante DPA négociés un par un et impossibles à faire évoluer. Le raisonnement rejoint celui des clauses indispensables d'un contrat SaaS : la valeur d'un socle contractuel tient à sa capacité à être maintenu.

Ce qu'il faut retenir avant de signer

Un DPA n'est pas une pièce administrative, c'est la description écrite de ce que votre produit fait des données de vos clients. Signé sans relecture, il crée des engagements que votre architecture ne tient pas. Relu correctement, il devient un argument commercial : l'éditeur qui sait expliquer sa liste de sous-traitants, son annexe TOMs et sa procédure d'incident passe les revues sécurité plus vite que ses concurrents.

J'accompagne des éditeurs sur ce travail, du cadrage de leur conformité RGPD à la négociation ligne à ligne des DPA de leurs grands comptes, avec la lecture technique que suppose un produit SaaS. Les enjeux propres à ce modèle sont détaillés sur la page dédiée aux éditeurs de logiciels et SaaS. Si vous avez un DPA sur la table et deux semaines pour répondre, échangeons sur votre situation avant de renvoyer le document signé.