Modèle de contrat SaaS éditeur RH gratuit (Word)

Sommaire

1. Quand utiliser ce contrat, et quand il ne convient pas
2. Ce que dit le droit français
3. Ce que contient ce modèle, article par article
4. Les pièges à éviter
5. Comment adapter ce modèle à votre situation
6. Ce que ce modèle ne remplace pas

Quand utiliser ce contrat, et quand il ne convient pas

Vous éditez un logiciel RH accessible en ligne par abonnement. Un éditeur qui propose un SIRH, un module de paie ou une plateforme de gestion des talents, hébergé sur ses propres serveurs ou ceux d’un prestataire cloud, met à disposition un service et non un produit installé. Le contrat SaaS décrit l’accès, les niveaux de disponibilité et le traitement des données des salariés du client.

Vous êtes une PME ou une ETI qui souscrit un SIRH. Le service RH d’une entreprise de taille intermédiaire qui remplace ses tableurs par une plateforme de congés, de notes de frais ou d’entretiens signe le même contrat, côté client. Les points sensibles deviennent alors la disponibilité du service, la sécurité des données de paie et la réversibilité en fin d’abonnement.

Vous facturez un abonnement récurrent avec des niveaux de service. Le SaaS repose sur une exécution successive : le client paie un abonnement, l’éditeur garantit un taux de disponibilité et des délais d’intervention. Les niveaux de service et le support utilisateur structurent alors la relation autant que le prix.

Vous traitez des données personnelles de salariés pour le compte du client. Dès que l’outil héberge des fiches de paie, des coordonnées ou des évaluations, l’éditeur agit comme sous-traitant au sens de l’article 28 du RGPD. Un acte de sous-traitance devient obligatoire, quelle que soit la taille du client.

Quand ce modèle ne convient pas. Si vous livrez un logiciel installé sur les serveurs du client, avec une licence d’utilisation d’un logiciel sur site, un contrat de licence logicielle classique est plus adapté que ce modèle de service hébergé. Si la prestation consiste avant tout à développer un outil sur mesure, un contrat de développement avec propriété des développements spécifiques prime. Enfin, pour un SaaS de santé traitant des données de santé, pour un SaaS financier soumis à la DSP2 ou pour une legaltech couverte par le secret professionnel, ce modèle sert de base mais appelle des stipulations sectorielles dédiées.

Ce que dit le droit français

Le SaaS est une prestation de services d’accès à un logiciel, non une vente de logiciel. L’éditeur ne transfère pas la propriété du programme : il en organise l’accès à distance contre un prix. La relation relève du droit commun des contrats et du louage d’ouvrage du Code civil, articles 1710 et 1779 et suivants. Cette qualification écarte le régime de la vente et laisse une grande liberté de rédaction, ce qui rend la clarté du contrat déterminante.

Le client reçoit un droit d’usage, pas la propriété du logiciel. Le logiciel reste protégé par le droit d’auteur spécial des articles L. 112-2 et L. 122-6 du Code de la propriété intellectuelle. Le contrat confère un droit d’usage non exclusif et non cessible : le client utilise le service, il n’acquiert ni le code, ni le droit de le reproduire ou de le modifier. Les développements spécifiques commandés par le client relèvent, eux, d’une négociation distincte sur leur propriété.

L’éditeur est sous-traitant des données au sens de l’article 28 du RGPD. Lorsqu’il traite les données des salariés pour le compte du client employeur, l’éditeur agit comme sous-traitant. L’article 28 du RGPD impose un acte juridique contraignant qui documente l’objet, la durée, la nature du traitement, les instructions du responsable, l’obligation de confidentialité, les mesures de sécurité et l’encadrement des sous-traitants ultérieurs. Le recours à un sous-traitant ultérieur suppose une autorisation, générale ou spécifique, du responsable de traitement.

Les transferts de données hors Union européenne sont encadrés. Si l’éditeur ou l’un de ses hébergeurs traite les données hors de l’Union, les articles 44 et suivants du RGPD imposent un mécanisme de transfert valable, tel que des clauses contractuelles types ou une décision d’adéquation. Pour des données RH, la localisation des données et les transferts hors Union européenne deviennent des points de vigilance à documenter.

Les clauses limitant la responsabilité connaissent des bornes. Entre professionnels, une clause limitative de responsabilité est valable, mais elle ne peut priver de sa substance l’obligation essentielle de l’éditeur, sous peine d’être réputée non écrite en application de l’article 1170 du Code civil. La responsabilité contractuelle se fonde sur l’article 1231-1 du Code civil, et une limitation ne joue ni pour la faute lourde, ni pour la faute dolosive. Un plafond calé sur les redevances annuelles est d’usage, à condition de rester proportionné à l’enjeu.

La sécurité obéit à une obligation renforcée pour des données RH. L’article 32 du RGPD impose des mesures techniques et organisationnelles adaptées au risque. Des données de paie et de santé au travail appellent un niveau de sécurité élevé et une notification des violations de données dans les délais prévus par le règlement. [À VÉRIFIER JURISTE : articulation avec les certifications sectorielles éventuelles, notamment l’hébergement de données de santé et les exigences applicables aux prestataires financiers.]

Ce que contient ce modèle, article par article

Article 1. Objet et définition du service. L’article fondateur décrit le logiciel RH mis à disposition, ses modules, ses limites d’usage et le fait qu’il s’agit d’un service hébergé, non d’une licence installée. Un périmètre fonctionnel flou est la première source de litige sur ce qui est compris dans l’abonnement.

Article 2. Droit d’usage. Le modèle confère un droit d’usage non exclusif, non cessible et limité à la durée du contrat, pour les seuls besoins internes du client. Il rappelle que le client n’acquiert aucun droit de propriété sur le logiciel, protégé par l’article L. 122-6 du Code de la propriété intellectuelle.

Article 3. Niveaux de service. L’article fixe le taux de disponibilité garanti, les fenêtres de disponibilité du service, les garanties de temps de rétablissement et d’intervention, et les niveaux de service assortis de pénalités ou d’avoirs en cas de manquement. Pour un SIRH qui commande la paie, l’indisponibilité a un coût direct pour le client.

Article 4. Support et maintenance. Le modèle organise le support utilisateur, ses canaux et ses horaires, ainsi que la maintenance corrective et évolutive. Il distingue les correctifs inclus des évolutions facturées, pour éviter le débat sur ce que couvre l’abonnement.

Article 5. Prix et facturation. Montant de l’abonnement, périodicité, modalités de révision et délais de paiement conformes au plafond légal entre professionnels. L’article prévoit les pénalités de retard et l’indemnité forfaitaire de recouvrement.

Article 6. Protection des données personnelles. L’article central pour un éditeur RH. Il qualifie l’éditeur de sous-traitant au sens de l’article 28 du RGPD, renvoie à un accord de sous-traitance des données, encadre l’autorisation de sous-traitance ultérieure et fixe le régime des transferts hors Union européenne.

Article 7. Sécurité et localisation. Mesures de sécurité proportionnées au risque, localisation des données et notification des violations. Pour des données de paie, le modèle prévoit un niveau d’exigence élevé et documenté.

Article 8. Confidentialité. Chaque partie protège les informations sensibles reçues de l’autre. L’éditeur accède à des données stratégiques et personnelles du client, ce qui justifie une obligation ferme de confidentialité, distincte de ses obligations RGPD.

Article 9. Responsabilité. Plafond de responsabilité, exclusion des dommages indirects, et rappel que la limitation ne joue ni pour la faute lourde ou dolosive, ni au point de vider l’obligation essentielle de sa substance, dans les bornes des articles 1170 et 1231-1 du Code civil.

Article 10. Durée et résiliation. Durée de l’abonnement, reconduction, préavis et cas de résiliation pour faute après mise en demeure. L’article organise une sortie ordonnée, sans blocage des données du client.

Article 11. Réversibilité et sort des données. L’article qui protège le client en fin de contrat : réversibilité, restitution des données dans un format exploitable, puis retour et suppression des données par l’éditeur et ses sous-traitants.

Article 12. Droit applicable et litiges. Droit français, attribution de juridiction et, le cas échéant, étape de règlement amiable préalable.

Les pièges à éviter

Vendre le SaaS comme une licence de logiciel. Confondre un service hébergé et une licence installée brouille la qualification, le régime de propriété et les obligations. Le client n’acquiert pas le logiciel : il reçoit un droit d’usage non exclusif, limité à la durée du contrat. Écrire cette distinction évite qu’un client ne revendique un jour un droit qu’il n’a jamais acquis.

Négliger l’acte de sous-traitance RGPD. Un éditeur RH qui héberge des données de salariés sans acte de sous-traitance conforme à l’article 28 du RGPD s’expose, comme son client, à un manquement. Un simple renvoi vague au RGPD ne suffit pas : l’acte doit documenter les instructions, la sécurité, les sous-traitants ultérieurs et les transferts. C’est une obligation, non une option.

Rédiger des SLA sans mesure ni sanction. Annoncer un taux de disponibilité sans définir sa méthode de calcul, ses exclusions et les conséquences d’un manquement rend la garantie illusoire. Un SLA utile précise la période de mesure, ce qui est exclu du calcul, et l’avoir ou la pénalité applicable, faute de quoi le client n’a aucun levier en cas d’indisponibilité répétée.

Oublier la réversibilité. Un contrat qui ne prévoit ni format de restitution, ni délai d’accès aux données après résiliation, ni suppression documentée enferme le client dans l’outil. Pour un SIRH, l’absence de réversibilité met en péril la continuité de la paie et la migration. Ce point se négocie avant la signature, pas au moment de la rupture.

Ignorer la localisation et les transferts hors Union. Héberger des données RH chez un sous-traitant établi hors de l’Union, ou dont la maison mère y est soumise, sans mécanisme de transfert valable au titre des articles 44 et suivants du RGPD, expose les deux parties. La localisation réelle des données et de leurs sauvegardes mérite d’être documentée, pas seulement affirmée.

Comment adapter ce modèle à votre situation

Quelques champs se renseignent systématiquement : l’identité des parties, la description du logiciel et de ses modules, le nombre d’utilisateurs ou de salariés gérés, le prix de l’abonnement et sa périodicité, la durée. Le reste du texte convient à la plupart des offres SaaS RH courantes.

Les niveaux de service s’ajustent selon la criticité de l’outil. Un module d’entretiens annuels tolère une disponibilité moindre qu’un logiciel de paie dont dépend le versement des salaires. Calez le taux garanti, les fenêtres de maintenance et les pénalités sur l’usage réel du client, sans promettre un niveau que votre infrastructure ne tient pas.

L’accord de sous-traitance des données mérite le plus grand soin. Décrivez précisément les catégories de données de salariés traitées, les finalités, la localisation, la liste des sous-traitants ultérieurs et les durées de conservation. Pour un éditeur RH, ce document n’est pas un accessoire : il conditionne la conformité du client, employeur et responsable de traitement.

Adaptez enfin les stipulations sectorielles au public visé. Un SaaS RH qui héberge des données de santé au travail, un outil connecté à des flux financiers ou une solution destinée à des professions couvertes par un secret appellent des clauses supplémentaires sur les certifications, l’externalisation et la confidentialité renforcée. La réversibilité et la restitution des données, elles, restent centrales quel que soit le secteur.

Ce que ce modèle ne remplace pas

Un modèle est un point de départ, pas un avis. Il ne connaît ni votre infrastructure, ni la nature exacte des données traitées, ni le rapport de force entre l’éditeur et son client. Trois situations appellent une relecture par un professionnel : un SaaS RH qui héberge des données de santé et suppose une certification dédiée ; une solution connectée à des services financiers soumis à des obligations d’externalisation ; et un contrat international où la localisation des données, le droit applicable et la juridiction compétente sont eux-mêmes en négociation.

L’accord de sous-traitance des données, en particulier, gagne à être vérifié au regard du traitement réel : catégories de données, sous-traitants ultérieurs et transferts hors Union européenne ne se rédigent pas de mémoire. C’est la raison pour laquelle ce modèle signale ses propres limites, plutôt que de se présenter comme suffisant en toute circonstance.