Avocat contrat SaaS : rédaction et négociation

Le socle tient en quatre documents. Les conditions générales d'abonnement fixent l'objet, le prix, la durée, la responsabilité et la sortie. L'annexe de niveaux de service mesure la disponibilité, les délais de prise en charge et les crédits de service. Le contrat de sous-traitance RGPD est obligatoire dès que l'éditeur traite des données personnelles pour son client (article 28). Le plan d'assurance sécurité décrit les mesures techniques et organisationnelles. S'y ajoutent le bon de commande et, depuis le Data Act, la procédure de changement de fournisseur. Les autres vérifications avant lancement sont listées dans l'article sur les obligations juridiques d'un SaaS.

Les deux coexistent. Un éditeur qui établit des conditions générales de vente doit les communiquer à tout acheteur professionnel qui les demande, et elles constituent le socle unique de la négociation commerciale (article L441-1 du code de commerce). Pour les petits comptes, des conditions acceptées en ligne suffisent, à condition de pouvoir prouver l'acceptation (article 1119 du code civil). Pour un grand compte, des conditions particulières adaptent le socle et l'emportent en cas de contradiction. Le piège est le contrat d'adhésion : quand le client ne peut rien négocier, chaque clause déséquilibrée devient contestable.

Un plafond tient s'il n'est pas dérisoire au regard de l'engagement et s'il a une contrepartie. Dans l'affaire Faurecia contre Oracle, la clause a été maintenue parce que le montant négocié n'était pas dérisoire et que le client avait obtenu une forte remise. L'usage rattache le plafond aux sommes payées sur une période de référence, avec des exclusions explicites : confidentialité, atteinte aux données, faute lourde ou dolosive, que la jurisprudence écarte de toute façon du plafond. Côté client, je négocie un plafond distinct et plus élevé pour les incidents de données. Côté éditeur, je documente la contrepartie consentie.

Oui, à compter du 12 janvier 2027 (article 29 du règlement 2023/2854). Jusque-là, l'éditeur peut facturer des frais réduits, limités aux coûts directement liés au changement et annoncés avant la signature, comme les pénalités de résiliation anticipée (article 29). Le régime est allégé pour les services conçus en majorité sur mesure et non proposés à grande échelle (article 31). Une proposition de la Commission du 19 novembre 2025, dite omnibus numérique, prévoit d'autres assouplissements : au 3 novembre 2026, elle n'est pas adoptée. Le calendrier est détaillé dans l'article Data Act et contrats SaaS.

Le Data Act fixe un minimum (article 25). Le client peut lancer le changement de fournisseur avec un préavis de deux mois au plus. La migration se fait pendant une période transitoire de trente jours au plus, où le service continue et où l'éditeur assiste le client. Si ce délai est techniquement impossible, l'éditeur doit le justifier sous quatorze jours ouvrables et proposer une autre période, de sept mois au plus. Le contrat liste les données exportables, laisse au moins trente jours pour les récupérer, puis organise leur effacement. Je vérifie aussi que l'export existe réellement, dans un format exploitable.

Négocier d'abord ce qui déplace le risque : responsabilité illimitée, pénalités de disponibilité sans plafond, audit sur site sans préavis, cession des développements, résiliation pour convenance sans indemnité. Le rapport de force n'efface pas le droit : l'article L442-1, I, 2° du code de commerce sanctionne le fait de soumettre son partenaire à des obligations créant un déséquilibre significatif, et la victime peut obtenir la nullité de la clause et la réparation de son préjudice (article L442-4). Je prépare une réponse clause par clause, avec une contre-proposition argumentée et une position de repli pour chacune.

Tout dépend du point de départ et de l'interlocuteur en face. La reprise de conditions générales existantes demande moins de travail qu'une architecture complète créée de zéro. Une négociation avec un grand compte suit le rythme de sa direction juridique et de ses achats. Je fixe donc le calendrier après lecture de vos documents, dans la lettre de mission, avec les livrables et les interlocuteurs. Deux leviers accélèrent toujours le dossier : une documentation technique à jour, et une personne chez vous qui peut trancher les arbitrages commerciaux. Indiquez-moi votre échéance de signature dès le premier échange.

Pour l'essentiel, oui. Le Data Act vise les fournisseurs de services de traitement de données quel que soit leur lieu d'établissement, dès lors qu'ils servent des clients dans l'Union (article 1er, paragraphe 3, f). Le RGPD peut aussi s'appliquer à un prestataire établi hors de l'Union (article 3, paragraphe 2), et le client européen doit de toute façon encadrer les transferts de données hors de l'Union. Le contrat type d'un éditeur étranger désigne souvent un droit et un tribunal lointains : ces clauses se négocient, car plaider à l'étranger coûte cher.