Contrat SaaS : les clauses à vérifier avant de signer

Ce qui distingue un contrat SaaS

Avec une licence installée, vous détenez une copie du logiciel qui tourne chez vous ; si l'éditeur disparaît, le programme continue en principe de fonctionner. Avec un contrat d'abonnement SaaS, vous payez l'accès à un service que l'éditeur héberge, met à jour et sauvegarde, et qu'il peut aussi interrompre. Le contrat doit donc couvrir ce qu'une licence n'avait pas à prévoir : la disponibilité, la garde de vos données et la sortie.

Il repose souvent sur plusieurs documents : conditions générales, bon de commande, annexe de niveau de service, accord de traitement des données, parfois une politique de sécurité publiée en ligne. Vérifiez lequel l'emporte en cas de contradiction, et repérez ceux qui ne sont qu'un lien vers le site de l'éditeur : un texte en ligne peut changer sans que vous le sachiez.

Le tableau sert de liste de contrôle ; les sections suivantes détaillent chaque clause et renvoient aux pages qui la traitent à fond.

Le niveau de service (SLA)

Dans un SaaS, la disponibilité est le produit lui-même. Le SLA doit préciser comment elle est mesurée, par qui, sur quelle période (au mois plutôt qu'à l'année : un taux annuel absorbe une longue panne) et ce qui est exclu du calcul. Pour fixer les idées, sur un mois de 30 jours, un engagement de 99,9 % tolère 43 minutes d'indisponibilité (43,2 exactement), et un engagement de 99 % en tolère 7 h 12 min.

Regardez la maintenance planifiée. L'exclure du calcul se défend si elle est limitée en durée, annoncée à l'avance et placée hors de vos heures ouvrées ; exclue sans limite, elle permet de tenir n'importe quel taux. Demandez aussi un accès à l'outil de mesure ou à la page d'état du service, et l'historique des incidents des derniers mois.

Le manquement donne souvent droit à des crédits de service, c'est-à-dire une réduction de facture. Présentés comme votre seul recours, ils limitent en pratique la responsabilité de l'éditeur à une fraction de la redevance. Faites écrire qu'ils ne sont pas libératoires : ils n'empêchent ni de demander réparation d'un préjudice plus important, ni de résilier après des manquements répétés. À défaut, s'ils valent clause pénale, ils fixent en principe l'indemnisation de façon forfaitaire (article 1231-5 du Code civil).

Côté support, exigez des délais écrits de prise en charge et de rétablissement par niveau de gravité, les horaires couverts et la langue. « Support inclus » ne décrit rien.

Les données et la sécurité

Vos données vivent chez l'éditeur ; le contrat doit dire à qui elles appartiennent et ce que l'éditeur peut en faire. Vérifiez trois points : vous restez titulaire de vos données et des résultats produits à partir d'elles ; l'éditeur ne les utilise que pour fournir le service (une clause qui l'autorise à les exploiter « pour améliorer ses produits », notamment pour entraîner des modèles d'IA, se discute avant la signature) ; les données dérivées, comme les journaux ou les statistiques d'usage, sont traitées explicitement.

Quand le service traite des données personnelles, l'éditeur est en principe sous-traitant au sens du RGPD et le contrat doit comporter les mentions de l'article 28 : traitement sur instruction documentée du client, mesures de sécurité, restitution ou suppression des données en fin de prestation au choix du client, informations nécessaires aux audits. L'éditeur ne recrute pas d'autre sous-traitant sans autorisation écrite préalable, spécifique ou générale ; dans le second cas, il vous informe des changements prévus pour que vous puissiez vous y opposer. Le détail est dans la page sur le DPA.

Pour les violations de données, le règlement impose seulement au sous-traitant de prévenir le client « dans les meilleurs délais » après en avoir pris connaissance (article 33, paragraphe 2), alors que vous devez, vous, notifier la CNIL si possible dans les 72 heures quand la violation présente un risque pour les personnes (paragraphe 1). Demandez un délai chiffré en heures : c'est lui qui conditionne votre capacité à tenir le vôtre.

Le reste de la clause sécurité se vérifie point par point :

• La localisation de l'hébergement et des équipes qui peuvent accéder aux données, y compris pour le support à distance.
• La liste des sous-traitants de l'éditeur, notamment son hébergeur, et la procédure pour la faire évoluer.
• Les certifications ou attestations revendiquées (ISO 27001, par exemple) : leur périmètre, leur date et le document qui les prouve, pas la simple mention sur un site.
• Les sauvegardes : fréquence, durée de conservation, localisation, et possibilité de restaurer un état antérieur à votre demande.
• Le droit d'audit, ou à défaut l'accès aux rapports d'audit indépendants.

Le prix et son évolution

Un prix SaaS se lit en trois temps : la métrique (utilisateurs nommés ou simultanés, volumes, modules, environnements), les paliers qui font changer de tarif, et la façon dont le tout évolue. Vérifiez la définition de la métrique avant le prix unitaire : ce qui fait un « utilisateur » (compte créé ou personne qui se connecte), la réaffectation d'une licence quand un salarié part, la possibilité de réduire les quantités à la date anniversaire, le prix d'un dépassement.

Cherchez ensuite la clause qui encadre l'évolution du prix : indice de référence, plafond de hausse, périodicité, absence de révision pendant la période ferme. L'indexation des prix SaaS est détaillée dans sa page. Sans plafond, une hausse annuelle ne trouve de limite que dans votre capacité à changer d'éditeur, ce qui est rarement une négociation équilibrée.

Surveillez aussi la clause qui autorise l'éditeur à modifier ses conditions, ses tarifs ou ses fonctionnalités par simple publication. En bonne pratique, demandez un préavis suffisant pour étudier la modification, et un droit de résilier sans pénalité si elle vous est défavorable. Même logique pour une fonctionnalité retirée ou passée dans une offre supérieure en cours de période ferme.

Durée, résiliation et réversibilité

Un abonnement SaaS se reconduit le plus souvent seul. La durée ferme et le préavis de non-renouvellement fixent une date limite ; la manquer, c'est se réengager pour une période complète. Notez-la dès la signature, avec la forme exigée pour la notification (lettre recommandée, courriel, interface de l'éditeur), et préparez le renouvellement bien avant. Hors manquement grave de l'éditeur, partir avant le terme suppose une clause de résiliation pour convenance, à demander à la signature.

La suspension est propre au SaaS : l'éditeur a la main sur le service et peut couper l'accès en quelques minutes. Demandez qu'elle soit limitée aux impayés non contestés, précédée d'une mise en demeure restée sans effet pendant un délai fixé au contrat, et qu'elle épargne l'accès aux données pour export. Sinon, un désaccord sur une ligne de facture suffit à bloquer une équipe qui dépend de l'outil.

Enfin, la sortie. La réversibilité doit prévoir un export complet des données dans un format exploitable et documenté, possible à tout moment et pas seulement à la fin, une période de conservation après l'arrêt du contrat pour les récupérer, puis leur suppression certifiée. Pour les services de cloud, SaaS compris, le règlement européen sur les données (Data Act) encadre en plus le changement de fournisseur depuis le 12 septembre 2025. Si le contrat ne dit nulle part dans quel format et sous quel délai sortent vos données, la réponse figurera dans un devis, le jour où vous voudrez partir.

Dans Naigo, un contrat SaaS déposé en PDF ou en Word est lu par l'IA, qui remonte la durée, le préavis, les clauses de données et de responsabilité, chacune avec sa source dans le document, et calcule la date limite de résiliation depuis le préavis. Le suivi des renouvellements prend le relais, avec des rappels par e-mail avant l'échéance.

GlossaireRéversibilité

DéfinitionRéversibilité : clause et plan pour sortir d'un contrat ITLa réversibilité d'un contrat informatique : clause, plan de réversibilité, données restituées, délais, coût et assistance, côté client.Lire la définition →

Négocier un contrat SaaS

Les conditions standard d'un éditeur sont un point de départ, et la marge grandit avec le montant, la durée d'engagement et l'alternative que vous pouvez opposer. Concentrez l'effort sur les clauses qui coûtent cher quand elles tournent mal, plus que sur le seul prix unitaire :

• Le plafond de hausse du prix au renouvellement et la durée pendant laquelle le prix est figé.
• Le caractère non libératoire des crédits de service, et un droit de résilier après des manquements répétés.
• L'usage des données limité à la fourniture du service, et un délai chiffré de notification des incidents.
• Un préavis sur les modifications des conditions, avec un droit de sortie.
• L'export des données, son format et la durée de conservation après la fin du contrat.
• Le plafond de responsabilité : s'il est limité à quelques mois d'abonnement, demandez-le plus haut, avec des exceptions pour les violations de données et la confidentialité.

Demandez les conditions complètes avant d'entamer les discussions, y compris les documents auxquels le contrat renvoie. Faites traiter la sécurité et les données par le juriste et le RSSI en parallèle du prix, pour ne pas découvrir une exigence bloquante la veille de la signature. La méthode est détaillée dans la page sur la négociation avec un éditeur de logiciel.

Cette page donne des repères d'acheteur et des informations générales ; elle ne remplace pas la relecture d'un contrat précis par un juriste.

Informations générales, à jour à la date indiquée : elles ne remplacent pas l'avis d'un professionnel du droit sur votre situation.