RGPD SaaS : les obligations propres à l'éditeur

Quand un client s'abonne à votre logiciel, il vous confie les données de ses salariés ou de ses clients. En tant qu'éditeur SaaS, vous portez des obligations propres, distinctes de celles de vos clients, que la CNIL peut vous opposer directement. Cet article suit un contrat client, de la signature à la résiliation, et pose les règles RGPD SaaS qui s'appliquent à l'éditeur lui-même.

Un éditeur SaaS est-il responsable de traitement ou sous-traitant ?

Les deux, selon les données. Pour les données que vos clients chargent dans l'outil, vous êtes sous-traitant : vous traitez sur leurs instructions. Pour celles que vous collectez pour votre propre compte, vous êtes responsable de traitement. La fiche de la CNIL sur les acteurs du cloud pose ce point de départ : le fournisseur est en principe sous-traitant. Elle cite aussi les cas où il agit pour lui-même, repris dans le tableau ci-dessous. Le guide CNIL du sous-traitant en déduit que le prestataire tient deux registres.

Selon l'article 28.10 du RGPD, le sous-traitant qui détermine lui-même les finalités et les moyens d'un traitement, en violation du règlement, en devient responsable : réutiliser les données d'un client sans autorisation écrite vous fait changer de rôle, et la CNIL recommande de documenter le raisonnement qui fonde chaque qualification.

Quel contrat de sous-traitance l'éditeur doit-il proposer à ses clients ?

Un contrat écrit, électronique ou non. En pratique, c'est l'éditeur qui rédige ce contrat de sous-traitance, souvent appelé DPA, et le joint à ses conditions générales. Selon l'article 28.3, il décrit l'objet, la durée, la nature et la finalité du traitement, les données et les personnes concernées, puis engage le sous-traitant à :

• ne traiter les données que sur instruction documentée du client ;
• garantir la confidentialité et la sécurité de l'article 32 ;
• encadrer le recours à un sous-traitant ultérieur ;
• aider le client pour les droits des personnes, la sécurité, les violations et l'analyse d'impact ;
• supprimer ou restituer les données en fin de prestation ;
• fournir les informations nécessaires et permettre les audits.

Deux ressources publiques évitent de partir d'une page blanche : les clauses contractuelles types de la Commission européenne (décision d'exécution 2021/915, texte sur EUR-Lex) et les exemples de clauses de la CNIL. Le volet RGPD SaaS de vos conditions générales se relit chaque fois que votre architecture ou vos prestataires changent.

Hébergement et sous-traitants ultérieurs : que doit déclarer l'éditeur ?

Tout prestataire qui accède aux données de vos clients, hébergeur en tête, est un sous-traitant ultérieur. L'article 28.2 exige une autorisation écrite préalable du client, spécifique ou générale. En SaaS, l'autorisation générale est la pratique courante : vous publiez la liste de vos sous-traitants et informez vos clients de tout changement envisagé, pour qu'ils puissent s'y opposer. Selon l'article 28.4, les mêmes obligations s'imposent au sous-traitant ultérieur et vous restez pleinement responsable envers votre client s'il y manque.

Si un prestataire se situe hors de l'Union européenne, le transfert hors UE repose sur une décision d'adéquation ou sur des garanties appropriées au sens du chapitre V du RGPD, et figure dans votre registre comme dans votre documentation client. La liste RGPD SaaS la plus lisible tient en quatre colonnes : prestataire, pays, finalité, garantie.

Registre, sécurité et service client : les obligations au quotidien

Trois obligations pèsent sur l'éditeur en continu. La première est le registre des catégories d'activités de traitement de l'article 30.2 : pour chaque client, il identifie le responsable, les catégories de traitements effectués pour son compte, les transferts hors UE et, si possible, les mesures de sécurité. L'exemption des organismes de moins de 250 salariés ne joue pas pour un traitement non occasionnel, comme un hébergement continu.

La deuxième est la sécurité de l'article 32 : chiffrement ou pseudonymisation, confidentialité, intégrité, disponibilité et résilience des systèmes, rétablissement de l'accès après incident, tests réguliers.

La troisième concerne le service client. Quand un agent de support accède au compte d'un client pour résoudre un ticket, il traite des données sur instruction : accès habilité, tracé et limité au besoin, outil de ticketing déclaré comme sous-traitant ultérieur s'il reçoit des données clients. Les six bonnes pratiques publiées par la CNIL vont dans ce sens : instructions documentées, accès limités, fonctions qui aident le client comme la purge automatique. Un support organisé est souvent le premier signe d'une conformité RGPD SaaS réelle.

Droits des personnes et violations : comment assister ses clients ?

Vous devez permettre à vos clients de répondre aux personnes concernées. L'article 28.3 e) impose d'aider le responsable à traiter les demandes d'accès, de rectification, d'effacement ou de portabilité : export, suppression définitive, recherche par personne.

En cas de violation de données, l'article 33.2 vous impose de notifier votre client dans les meilleurs délais après en avoir pris connaissance ; lui dispose ensuite de 72 heures pour notifier la CNIL. Votre notification doit donc être rapide et complète : nature de l'incident, données et personnes touchées, mesures prises. Avec l'accord écrit du client, l'éditeur peut notifier à sa place.

Fin de contrat : restituer ou supprimer

L'article 28.3 g) prévoit qu'au terme de la prestation, le sous-traitant supprime toutes les données ou les restitue au client, à son choix, et détruit les copies existantes, sauf obligation légale de conservation. Cela suppose une période de réversibilité prévue au contrat, un export exploitable et une purge des sauvegardes documentée par écrit. Vos propres données, comme les factures, suivent leurs durées de conservation.

À retenir

• Sous-traitant pour les données de ses clients, l'éditeur est responsable de traitement pour ses comptes, sa facturation et sa prospection.
• Le contrat de l'article 28.3 est rédigé par l'éditeur, avec l'appui des clauses types et des exemples de la CNIL.
• Hébergeur et outils tiers sont des sous-traitants ultérieurs : autorisation du client, mêmes obligations, responsabilité conservée.
• Registre, sécurité, assistance aux droits, notification des violations et restitution en fin de contrat s'imposent au quotidien.

Une démarche RGPD SaaS structurée devient un argument commercial : les clients qui vérifient leurs fournisseurs retiennent celui qui produit contrat, liste de sous-traitants et preuves de sécurité sans délai.