Clause de sauvegarde des données : définition, rédaction et exemple

Exemple de rédaction commenté

L’exemple ci-dessous vise un service applicatif hébergé chez le prestataire. Il se transpose à d’autres prestations, mais chaque valeur (fréquence, rétention, RPO, RTO) doit être calée sur la criticité réelle des données et sur ce que le prestataire peut tenir techniquement.

Article X. Sauvegarde et restauration des données

X.1. Le Prestataire réalise des sauvegardes régulières des Données Client hébergées dans le cadre du Service. Ces sauvegardes ont pour objet la continuité du Service et la restauration des Données en cas d’incident. Elles sont distinctes de la restitution des Données prévue à la fin du contrat.

X.2. Le Prestataire effectue une sauvegarde complète [quotidienne] des Données et conserve chaque sauvegarde pendant une durée de [trente] jours glissants. Les sauvegardes sont chiffrées et conservées sur une infrastructure [distincte de celle hébergeant les Données de production, située sur le territoire de l’Union européenne].

X.3. Le Prestataire garantit une perte de données maximale (RPO) n’excédant pas [vingt-quatre heures] et un délai de remise en service après incident (RTO) n’excédant pas [huit heures ouvrées] à compter de la qualification de l’incident. Ces engagements ne s’appliquent pas aux données que le Client aurait lui-même supprimées ou altérées.

X.4. Le Prestataire teste la restauration des sauvegardes au moins [une fois par an] et remet au Client, sur demande, un compte rendu attestant du bon déroulement du test. Une sauvegarde qui ne peut pas être restaurée n’est pas réputée valable.

X.5. À la demande écrite du Client, le Prestataire restaure les Données à un point de reprise disponible. Une restauration rendue nécessaire par un fait du Client peut donner lieu à une facturation au temps passé, selon [le barème figurant en Annexe X].

X.6. Le présent article ne dispense pas le Client de conserver ses propres exportations des Données lorsque le Service le permet. Le Prestataire n’est pas responsable des Données que le Client choisit de traiter ou de stocker hors du périmètre du Service.

Commentaire de X.1 : délimiter l’objet évite la confusion avec les autres clauses. La sauvegarde sert la continuité en cours d’exécution ; elle n’est pas la clause de retour et suppression des données, qui règle le sort des données à la fin du contrat, ni la clause de réversibilité, qui organise la reprise du service. Le rappeler dès la première ligne empêche qu’une obligation de sauvegarde soit invoquée pour obtenir une restitution de fin de contrat, ou l’inverse.

Commentaire de X.2 : la fréquence, la rétention et la localisation sont les trois curseurs. Une sauvegarde quotidienne conservée trente jours et une sauvegarde hebdomadaire conservée sept jours ne protègent pas le même risque. La rétention décide de la profondeur dans le temps à laquelle on peut revenir, ce qui compte face à une corruption détectée tardivement. Conserver les copies sur une infrastructure distincte de la production est essentiel : une sauvegarde stockée sur le même système qu’elle est censée protéger disparaît avec lui. La mention de la localisation s’articule avec une éventuelle clause de localisation des données.

Commentaire de X.3 : le RPO et le RTO transforment la promesse en engagement mesurable. Sans ces deux valeurs, « le Prestataire sauvegarde les Données » ne garantit rien de vérifiable. Le RPO fixe la perte de données acceptable, le RTO le temps d’indisponibilité acceptable. Ce sont ces deux chiffres, et non la seule existence de copies, qui permettent de constater un manquement. L’exclusion des données supprimées par le Client lui-même évite que la sauvegarde ne devienne une assurance contre ses propres erreurs.

Commentaire de X.4 : une sauvegarde jamais testée est une sauvegarde présumée. L’expérience montre que des sauvegardes réalisées fidèlement se révèlent inexploitables le jour de la restauration. Imposer un test périodique et sa preuve écrite déplace le débat : le prestataire ne garantit pas d’avoir copié, il garantit de pouvoir restaurer. La dernière phrase donne sa portée à l’obligation en refusant de compter comme valable une copie non restaurable.

Commentaire de X.5 : la restauration a un déclencheur et parfois un coût. Distinguer la restauration due à un incident du Prestataire, gratuite, de celle rendue nécessaire par un fait du Client, facturable, évite les malentendus. Sans cette distinction, chaque restauration devient un point de friction sur qui paie.

Commentaire de X.6 : la sauvegarde du prestataire ne fait pas disparaître la vigilance du client. Rappeler que le client garde la faculté d’exporter ses propres copies répartit la charge du risque de façon réaliste. Une sauvegarde côté prestataire n’exonère jamais totalement le client de conserver ses données critiques quand le service le permet.

Ce que dit le droit

La clause de sauvegarde est largement innommée : elle relève du droit commun des contrats. Aucun régime légal spécifique ne la gouverne en tant que telle. Sa force vient de la liberté contractuelle reconnue par l’article 1102 du Code civil, qui laisse aux parties le soin de déterminer le contenu du contrat dans les limites fixées par la loi, et de l’article 1103 du Code civil, selon lequel les contrats légalement formés tiennent lieu de loi à ceux qui les ont faits. La fréquence, la rétention, le RPO et le RTO que les parties inscrivent s’imposent donc à elles.

Pour les données personnelles, la capacité de restauration est une obligation légale. L’article 32, 1, c) du RGPD impose au responsable de traitement et au sous-traitant de mettre en œuvre des moyens permettant de rétablir la disponibilité des données à caractère personnel et l’accès à celles-ci dans des délais appropriés en cas d’incident physique ou technique. La sauvegarde et la restauration font ainsi partie des mesures de sécurité exigées par la loi dès que des données personnelles sont en jeu. Cette obligation se prolonge dans les rapports entre donneur d’ordre et sous-traitant : l’article 28 du RGPD encadre les engagements de sécurité du sous-traitant, ce que traduisent la clause de sous-traitance des données et la clause RGPD de protection des données. La clause de sauvegarde traduit cette exigence légale en indicateurs chiffrés et opposables.

L’intensité de l’engagement dépend de sa rédaction : obligation de moyens ou de résultat. La distinction, d’origine jurisprudentielle, commande la charge de la preuve. Une clause qui promet des sauvegardes « régulières » sans seuil s’analyse plutôt en obligation de moyens : le client doit démontrer une négligence du prestataire. Une clause chiffrant un RPO et un RTO tend vers l’obligation de résultat : le seul constat que le point de reprise ou le délai promis n’a pas été tenu suffit à établir le manquement. En cas d’inexécution, l’article 1231-1 du Code civil condamne le débiteur au paiement de dommages et intérêts, sauf force majeure. [À VÉRIFIER JURISTE : qualification en obligation de moyens ou de résultat d’un engagement de sauvegarde chiffré par un RPO et un RTO.]

Une pénalité forfaitaire attachée à un manquement de sauvegarde s’analyse en clause pénale. Si le contrat prévoit un avoir ou une somme forfaitaire en cas de non-respect du RPO ou du RTO, l’article 1231-5 du Code civil s’applique : le juge peut, même d’office, modérer une pénalité manifestement excessive ou augmenter une pénalité manifestement dérisoire, toute stipulation contraire étant réputée non écrite. Un montant que l’une des parties croirait intangible reste donc soumis à ce pouvoir de révision, selon le régime propre à la clause pénale.

Le plafonnement de la responsabilité rencontre deux garde-fous. Si le contrat fait d’un avoir la réparation exclusive d’une perte de données, ou plafonne l’indemnisation, l’article 1170 du Code civil répute non écrite toute clause qui prive de sa substance l’obligation essentielle du débiteur : présenter un dédommagement dérisoire comme unique recours contre la perte irréversible de données critiques expose la clause à cette sanction. Dans un contrat d’adhésion dont les stipulations ne sont pas négociables, l’article 1171 du Code civil répute non écrite toute clause créant un déséquilibre significatif entre les droits et obligations des parties. Entre professionnels, l’article L. 442-1, I, 2° du Code de commerce sanctionne en outre le fait de soumettre ou de tenter de soumettre un partenaire commercial à un déséquilibre significatif, indépendamment de la qualification de contrat d’adhésion. La clause de sauvegarde doit donc se coordonner avec une clause de limitation de responsabilité cohérente, et non servir de plafond déguisé. [À VÉRIFIER JURISTE : articulation entre l’article 1171 du Code civil et l’article L. 442-1 du Code de commerce pour un contrat SaaS entre professionnels.]

La sauvegarde s’inscrit dans un dispositif de sécurité plus large. Elle protège la disponibilité et l’intégrité des données, mais ne remplace pas les mesures qui préviennent l’incident. Elle se lit avec la clause de sécurité informatique et la clause de mesures de sécurité, qui organisent la protection en amont : la sauvegarde est le filet, non le garde-fou.

Les erreurs fréquentes

Prévoir des sauvegardes sans chiffrer le RPO et le RTO. « Le prestataire réalise des sauvegardes régulières » ne garantit ni la fraîcheur des copies ni la rapidité de restauration. Deux contrats affichant cette même phrase peuvent tolérer, l’un une perte d’une heure, l’autre d’une semaine. Sans ces deux indicateurs, aucun manquement n’est mesurable.

Confondre sauvegarde et restitution de fin de contrat. La sauvegarde assure la continuité pendant l’exécution ; elle ne remplace ni la clause de retour et suppression des données, ni la clause de réversibilité. Compter sur les sauvegardes du prestataire pour récupérer ses données à la sortie expose à une mauvaise surprise : rien n’oblige un prestataire à restituer, à partir de ses copies internes, des données dans un format exploitable par le client.

Stocker les sauvegardes au même endroit que la production. Une copie conservée sur l’infrastructure qu’elle est censée protéger disparaît avec elle en cas de sinistre matériel, de chiffrement par rançongiciel ou d’erreur de configuration. L’isolement des sauvegardes est la condition de leur utilité.

Ne jamais tester la restauration. Une sauvegarde réalisée fidèlement mais jamais restaurée est une présomption, pas une garantie. Des copies corrompues, incomplètes ou illisibles ne se découvrent souvent que le jour où l’on en a besoin. Le test périodique, et sa preuve, sont ce qui transforme la copie en sécurité réelle.

Fixer une rétention trop courte face au risque réel. Une corruption de données ou une compromission peut n’être détectée que plusieurs semaines après sa survenance. Une rétention de sept jours ne permet alors de revenir qu’à un état déjà corrompu. La profondeur de conservation doit tenir compte du délai probable de détection, pas seulement du dernier incident visible.

Laisser indéterminé le responsable de la sauvegarde. Dans un service partagé, chacun peut présumer que l’autre s’en occupe. Un contrat qui ne désigne pas expressément qui sauvegarde, quoi et à quelle fréquence, laisse un angle mort : le jour de la perte, il n’existe personne à qui reprocher un manquement.

Négociation : ce que défend chaque partie

Ce que défend le prestataire ou l’éditeur. Il cherche des engagements de sauvegarde tenables à grande échelle : RPO et RTO calés sur son architecture réelle, fréquence et rétention standardisées, exclusion des données supprimées par le client, et une responsabilité plafonnée en cas de perte. Il souhaite souvent réserver la sauvegarde à la continuité du service et renvoyer au client la charge de ses propres exportations, pour ne pas garantir une restitution individualisée qu’il ne pourrait pas industrialiser.

Ce que défend le client. Il veut un RPO et un RTO adaptés à la criticité de son activité, une rétention couvrant son délai réel de détection des incidents, des sauvegardes isolées et testées, et une preuve de restauration opposable. Il refuse qu’un dédommagement forfaitaire dérisoire rachète à bas prix la perte de données vitales, et demande que la sauvegarde du prestataire n’exclue pas la réparation du préjudice réellement subi.

Où se situe l’équilibre. Il se joue le plus souvent sur trois arbitrages : le niveau du RPO et du RTO au regard de la criticité, la profondeur de rétention, et le caractère exclusif ou cumulatif de l’indemnisation en cas de perte. Un compromis courant retient des indicateurs chiffrés et testés, une rétention proportionnée au risque de détection tardive, un dédommagement forfaitaire pour les manquements ponctuels, et le maintien du droit commun de la responsabilité au-delà d’un plafond négocié. La clause de sauvegarde se coordonne alors avec les clauses voisines : la clause de sécurité informatique et la clause de mesures de sécurité pour la prévention, la clause de retour et suppression des données pour la sortie, et une clause de limitation de responsabilité pour caler le plafond global. La sauvegarde répare l’accident en cours d’exécution ; ces clauses préviennent l’incident, organisent la fin du contrat et bornent le montant du dommage. Les articuler évite qu’un même risque soit couvert deux fois ou laissé sans réponse.