Modèle de contrat SaaS legaltech gratuit (Word)

Sommaire

1. Quand utiliser ce contrat, et quand il ne convient pas
2. Ce que dit le droit français
3. Ce que contient ce modèle, article par article
4. Les pièges à éviter
5. Comment adapter ce modèle à votre situation
6. Ce que ce modèle ne remplace pas

Quand utiliser ce contrat, et quand il ne convient pas

Vous éditez un logiciel juridique en mode hébergé. Un éditeur legaltech qui commercialise une plateforme de gestion de contrats ou de dossiers, accessible par abonnement, fournit un service et non un bien. Le contrat fixe le périmètre du droit d’usage, les niveaux de service garantis, les modalités de facturation et le sort des données à l’échéance.

Vous équipez un cabinet ou une direction juridique. Un cabinet d’avocats qui s’abonne à un outil de rédaction d’actes, une direction juridique qui déploie une solution de signature électronique ou de suivi contractuel achète un accès continu à un service critique pour son activité. La disponibilité du service et la confidentialité des dossiers deviennent les points sensibles du texte.

Vous hébergez des données couvertes par un secret. Les données traitées par un logiciel juridique relèvent fréquemment du secret professionnel de l’avocat ou du secret des affaires du client. L’éditeur doit alors offrir des garanties renforcées de confidentialité et de sécurité informatique, au-delà des obligations de droit commun.

Vous préparez une sortie propre. Un abonnement se termine, un cabinet change d’outil : sans réversibilité ni restitution des données organisées, le client risque de perdre l’accès à son historique. Le contrat SaaS anticipe cette fin de relation dès sa signature.

Quand ce modèle ne convient pas. Si le logiciel est installé et exploité sur les serveurs du client, la relation relève plutôt d’une licence de logiciel et d’un contrat de maintenance, non d’un SaaS. Si la mission consiste à développer un logiciel sur mesure, un contrat de développement s’impose. Enfin, certains secteurs appellent un cadre dédié : l’hébergement de données de santé suppose une certification spécifique, et un service financier peut relever d’exigences propres à l’externalisation bancaire. [À VÉRIFIER JURISTE : périmètre exact des régimes sectoriels applicables selon la nature des données hébergées.]

Ce que dit le droit français

Le SaaS est une prestation de services, pas une vente de logiciel. L’accès à un logiciel hébergé et exploité par l’éditeur se rattache au droit commun des contrats et au louage d’ouvrage des articles 1710 et suivants du Code civil. Le client ne devient pas propriétaire du logiciel : il bénéficie d’un droit d’usage, à distinguer de la licence d’utilisation d’un logiciel installé et, plus encore, d’une cession.

Les droits de l’éditeur sur le logiciel restent protégés. Les droits patrimoniaux de l’auteur d’un logiciel sont régis par l’article L. 122-6 du Code de la propriété intellectuelle. Le contrat SaaS concède un droit d’usage en général non exclusif et non cessible, sans emporter transfert de ce droit. La question de la propriété des développements spécifiques réalisés à la demande du client se règle par une stipulation expresse, faute de quoi elle reste incertaine.

L’éditeur qui héberge des données personnelles est sous-traitant. Dès que le logiciel traite des données personnelles pour le compte du client, l’éditeur agit comme sous-traitant au sens de l’article 28 du RGPD. Cet article impose un acte juridique contraignant : instructions documentées, confidentialité, encadrement des sous-traitants ultérieurs, assistance au responsable de traitement et sort des données en fin de contrat. L’accord de sous-traitance est distinct du contrat commercial.

Les transferts hors Union européenne sont encadrés. Lorsque les données sont hébergées ou accessibles depuis un pays tiers, les articles 44 et suivants du RGPD imposent un mécanisme de garantie, décision d’adéquation ou clauses contractuelles types. La localisation des données et l’encadrement des transferts hors Union européenne sont donc des points contractuels à part entière, non de simples mentions techniques.

Le secret professionnel impose une confidentialité renforcée. Les données d’un cabinet d’avocats peuvent être couvertes par le secret professionnel. L’éditeur qui les héberge doit garantir qu’aucun tiers, y compris ses propres équipes, n’y accède en dehors des besoins d’exploitation, et documenter ses mesures de sécurité. [À VÉRIFIER JURISTE : articulation entre l’hébergement externalisé et les règles déontologiques applicables au secret professionnel de l’avocat.]

Les clauses limitant la responsabilité connaissent des bornes. Entre professionnels, une clause de limitation de responsabilité est valable, mais elle ne peut priver de sa substance l’obligation essentielle de l’éditeur, sous peine d’être réputée non écrite en application de l’article 1170 du Code civil. Elle ne joue pas davantage en cas de faute lourde ou dolosive. La responsabilité contractuelle se fonde sur l’article 1231-1 du Code civil.

Ce que contient ce modèle, article par article

Article 1. Objet et description du service. L’article fondateur. Il décrit la nature du service hébergé, les fonctionnalités couvertes par l’abonnement et le périmètre des utilisateurs autorisés. Un objet imprécis nourrit les litiges sur ce qui est réellement inclus dans le prix.

Article 2. Droit d’usage concédé. Le modèle qualifie le droit accordé au client : usage non exclusif, non cessible, limité à ses besoins internes et au nombre d’utilisateurs souscrit. Cet article rappelle que le client n’acquiert pas le logiciel et que l’éditeur en conserve la titularité au sens de l’article L. 122-6 du Code de la propriété intellectuelle.

Article 3. Niveaux de service et disponibilité. Taux de disponibilité garanti, fenêtres de maintenance, délais de rétablissement et d’intervention, pénalités en cas de manquement. Pour un cabinet dont l’activité dépend de l’outil, cet article est le cœur économique du contrat : il transforme une promesse commerciale en engagement mesurable, adossé au support utilisateur.

Article 4. Prix, facturation et durée. Montant de l’abonnement, périodicité, modalités de révision, durée du contrat et conditions de reconduction. Une reconduction tacite doit être assortie d’un préavis raisonnable, faute de quoi le client se retrouve engagé sans l’avoir choisi.

Article 5. Données personnelles et sous-traitance. Lorsque l’éditeur traite des données personnelles pour le compte du client, l’article 28 du RGPD impose un acte de sous-traitance. Le modèle renvoie à un accord dédié précisant les instructions, l’autorisation des sous-traitants ultérieurs et l’encadrement des transferts hors Union européenne.

Article 6. Localisation et sécurité des données. Lieu d’hébergement, mesures de sécurité, chiffrement, gestion des accès et notification des violations. Pour un logiciel juridique, la localisation des données et le niveau de sécurité conditionnent la confiance des clients finaux.

Article 7. Confidentialité. Chaque partie protège les informations sensibles reçues de l’autre. L’éditeur d’un service juridique accède à des dossiers stratégiques, parfois couverts par un secret professionnel, ce qui justifie une obligation de confidentialité ferme et durable.

Article 8. Responsabilité. Plafond de responsabilité, exclusion des dommages indirects, et rappel que la limitation ne joue ni pour la faute lourde ou dolosive, ni au point de vider l’obligation essentielle de sa substance. La rédaction reste dans les bornes des articles 1170 et 1231-1 du Code civil.

Article 9. Réversibilité et restitution des données. Avant la coupure du service, l’éditeur permet l’export des données dans un format réutilisable, assiste le client si besoin et maintient l’accès pendant un délai défini. La réversibilité protège le client contre la perte de son historique.

Article 10. Suppression des données. Une fois la restitution effectuée, l’éditeur supprime les données de ses systèmes et de ses sauvegardes, sur justificatif. La suppression des données ferme le cycle et évite qu’une copie ne subsiste indéfiniment.

Article 11. Résiliation. Résiliation pour faute après mise en demeure restée sans effet, sort des données en cours, et articulation avec la réversibilité. L’article organise une sortie ordonnée plutôt qu’une coupure brutale.

Article 12. Droit applicable et litiges. Droit français, avec attribution de juridiction, et le cas échéant une étape de règlement amiable préalable.

Les pièges à éviter

Confondre SaaS et licence de logiciel. Traiter un abonnement hébergé comme la vente d’une licence conduit à des stipulations inadaptées : garantie des vices cachés, transfert de propriété, maintenance sur site. Le SaaS est une prestation d’accès continu à un service exploité par l’éditeur ; le vocabulaire du contrat doit refléter cette réalité, sous peine d’ambiguïté sur ce que le client a réellement acquis.

Signer un SaaS sans acte de sous-traitance RGPD. Dès que l’éditeur héberge des données personnelles, l’article 28 du RGPD impose un acte juridique contraignant, quelle que soit l’ampleur du traitement. Un contrat commercial silencieux sur ce point expose les deux parties, responsable de traitement comme sous-traitant, à un manquement. Le renvoi vers un accord de sous-traitance conforme n’est pas optionnel.

Négliger la localisation et les transferts hors Union européenne. Un hébergement, une sauvegarde ou un simple accès support depuis un pays tiers déclenche les exigences des articles 44 et suivants du RGPD. Ignorer où transitent les données d’un logiciel juridique fait courir un risque de non-conformité, d’autant plus sensible que les dossiers hébergés peuvent relever du secret professionnel.

Oublier la réversibilité. Un contrat qui prévoit tout sauf la sortie enferme le client : à l’échéance, sans export organisé ni délai d’accès, un cabinet peut perdre l’accès à ses dossiers. La réversibilité et la restitution des données se négocient à la signature, quand le rapport de force le permet, pas au moment de la rupture.

Accepter un SLA sans mesure ni sanction. Une disponibilité annoncée sans taux chiffré, sans mode de calcul ni pénalité, n’engage à rien. Pour un service critique, un niveau de service doit fixer un taux vérifiable, des délais de rétablissement et une conséquence en cas de manquement, sinon la garantie reste théorique.

Comment adapter ce modèle à votre situation

Quelques champs se renseignent systématiquement : l’identité des parties, la description du service, le nombre d’utilisateurs, le prix et la durée de l’abonnement. Le reste du texte convient à la plupart des services hébergés courants.

Les niveaux de service méritent le plus grand soin. Un outil utilisé ponctuellement se contente d’un taux de disponibilité standard ; une plateforme dont dépend l’activité quotidienne d’un cabinet appelle un taux élevé, des délais de rétablissement courts et des pénalités dissuasives. Calibrez l’engagement sur la criticité réelle du service, pas sur un modèle générique.

Adaptez ensuite le volet données au contenu réellement hébergé. Dès que des données personnelles sont traitées pour le compte du client, l’accord de sous-traitance de l’article 28 du RGPD, la localisation des données et l’encadrement des transferts hors Union européenne deviennent centraux. Pour un service manipulant des dossiers couverts par un secret professionnel, renforcez les clauses de confidentialité et de sécurité au-delà du droit commun.

Ajustez enfin les clauses de sortie. La réversibilité et la suppression des données prennent une importance particulière lorsque le client bascule d’un outil à l’autre ou lorsque l’historique conservé a une valeur probatoire. Précisez le format d’export, le délai d’accès après résiliation et les justificatifs de suppression attendus. Ce modèle s’articule avec les autres contrats de la famille IT et SaaS, notamment les variantes éditeur RH, fintech et industrie lorsque le secteur du client impose des exigences propres.

Ce que ce modèle ne remplace pas

Un modèle est un point de départ, pas un avis. Il ne connaît ni la nature exacte des données hébergées, ni le régime sectoriel applicable, ni le rapport de force entre l’éditeur et son client. Trois situations appellent une relecture par un professionnel : un service hébergeant des données particulièrement sensibles, comme des données de santé ou des données financières soumises à un régime spécifique ; un logiciel manipulant des dossiers couverts par le secret professionnel de l’avocat, dont l’externalisation soulève des questions déontologiques ; et un contrat international où la localisation des données, le droit applicable et la juridiction compétente sont eux-mêmes en négociation.

C’est la raison pour laquelle ce modèle signale ses propres limites, plutôt que de se présenter comme suffisant en toute circonstance.