Modèle de contrat SaaS (abonnement logiciel) gratuit (Word)

Sommaire

1. Quand utiliser ce contrat, et quand il ne convient pas
2. Ce que dit le droit français
3. Ce que contient ce modèle, article par article
4. Les pièges à éviter
5. Comment adapter ce modèle à votre situation
6. Ce que ce modèle ne remplace pas

Quand utiliser ce contrat, et quand il ne convient pas

Vous éditez un logiciel en mode abonnement. Une société qui commercialise une application accessible à distance, facturée au forfait ou à l’usage, fournit un service et non un bien. Le contrat SaaS fixe le périmètre du droit d’usage, les niveaux de service et le sort des données à la fin de la relation. Il organise un accès contrôlé et réversible, pas une cession de logiciel.

Vous souscrivez une solution SaaS pour votre entreprise. Une PME qui adopte un outil de gestion, une ETI qui déploie une plateforme métier signe le même contrat, en position de client. La vigilance porte alors sur la disponibilité du service, la sécurité des données et les conditions de sortie, pour ne pas devenir captif d’un prestataire dont dépend une fonction quotidienne.

Le service traite des données personnelles. Dès que le logiciel manipule des données de clients, de salariés ou de prospects, l’éditeur agit comme sous-traitant au sens de l’article 28 du RGPD. Le contrat doit alors être adossé à un acte de sous-traitance et préciser les mesures de sécurité, la localisation des données et les éventuels transferts hors Union européenne.

Le service est exposé via une API. Beaucoup de solutions s’intègrent au système d’information du client par des interfaces programmatiques. Le contrat encadre alors l’accès et l’usage de l’API : quotas, authentification, responsabilités en cas d’usage détourné.

Quand ce modèle ne convient pas. Si le logiciel est installé chez le client avec transfert d’une licence perpétuelle, la qualification relève de la licence d’utilisation classique, non du SaaS. Si la prestation consiste principalement en un développement spécifique livré au client, un contrat de réalisation logicielle est plus adapté. Si le service héberge des données de santé, l’activité est soumise à la certification HDS (article L. 1111-8 du Code de la santé publique) et appelle un contrat dédié. [À VÉRIFIER JURISTE : qualification exacte lorsque l’abonnement s’accompagne de développements spécifiques significatifs.]

Ce que dit le droit français

Le SaaS est une prestation de services, non une vente de logiciel. L’éditeur ne cède pas la propriété du programme : il concède un droit d’usage à distance, non exclusif et non cessible, sur une solution qu’il héberge et exploite lui-même, sans remise du code source. Les droits du client restent encadrés par l’article L. 122-6 du Code de la propriété intellectuelle, qui réserve à l’auteur la reproduction et l’adaptation du logiciel. Le contrat, innommé, à exécution successive et à titre onéreux, relève du droit commun des contrats et emprunte au louage d’ouvrage (article 1710 du Code civil). Il obéit aux principes de force obligatoire (article 1103) et de bonne foi (article 1104), et suppose un contenu certain et licite (article 1128).

Les niveaux de service engagent l’éditeur. Un taux de disponibilité, des délais de rétablissement (GTR) et d’intervention (GTI), assortis de pénalités, transforment une promesse commerciale en obligation contractuelle mesurable. À défaut de SLA écrit, la disponibilité relève d’une simple obligation de moyens, difficile à sanctionner. La rédaction du contrat détermine ici le régime de responsabilité applicable en cas d’indisponibilité, et les pénalités convenues s’analysent comme une clause pénale, dont le juge peut modérer le montant (article 1231-5 du Code civil).

L’éditeur est sous-traitant de données au sens du RGPD. Lorsqu’il traite des données personnelles pour le compte de son client, l’article 28.3 du Règlement général sur la protection des données impose un acte juridique contraignant : instructions documentées, confidentialité, mesures de sécurité au sens de l’article 32, encadrement des sous-traitants ultérieurs, assistance en cas de violation. Les transferts hors Union européenne obéissent aux articles 44 et suivants du RGPD, qui exigent une garantie appropriée telle que les clauses contractuelles types. La localisation des données devient un point contractuel à part entière.

Les clauses limitant la responsabilité connaissent des bornes. Entre professionnels, un plafond de responsabilité et l’exclusion des dommages indirects sont licites, mais une clause qui prive de sa substance l’obligation essentielle de l’éditeur est réputée non écrite, en application de l’article 1170 du Code civil (jurisprudence Chronopost, puis Faurecia). La limitation de responsabilité ne joue pas davantage en cas de faute lourde ou dolosive. Le régime de responsabilité contractuelle se fonde sur l’article 1231-1 du Code civil, et la prescription de droit commun est de cinq ans (article 2224).

Le contrat d’adhésion appelle une vigilance particulière. Lorsque les conditions sont imposées sans négociation, toute clause créant un déséquilibre significatif entre les droits et obligations des parties est réputée non écrite (article 1171 du Code civil), et l’interprétation se fait contre celui qui a rédigé le contrat (article 1190). En B2B, un déséquilibre significatif peut aussi être sanctionné au titre de l’article L. 442-1, I, 2° du Code de commerce. Un abonnement standardisé, souscrit en ligne, entre souvent dans cette catégorie.

La durée et la sortie sont encadrées. Un abonnement à durée indéterminée peut toujours être résilié moyennant un préavis (articles 1210 et 1211 du Code civil, qui prohibent les engagements perpétuels). Entre professionnels, la reconduction tacite est libre, l’obligation d’information de la loi Chatel (article L. 215-1 du Code de la consommation) ne visant que les consommateurs. Aucun texte général n’impose une clause de réversibilité, mais son absence expose le client à perdre l’accès à ses données à l’échéance. Le contrat organise la restitution des données dans un format exploitable, puis leur suppression par l’éditeur.

Ce que contient ce modèle, article par article

Article 1. Objet et périmètre du service. L’article fondateur décrit la solution mise à disposition, les fonctionnalités incluses, le nombre d’utilisateurs ou le volume couvert, et renvoie à une documentation technique. Un périmètre flou nourrit les litiges sur ce qui relève de l’abonnement et ce qui appelle une option facturée.

Article 2. Droit d’usage. Le modèle concède un droit d’usage non exclusif, non cessible et limité à la durée du contrat. Il rappelle que le client ne devient pas propriétaire du logiciel et n’acquiert aucun droit de reproduction ou d’adaptation au-delà de l’usage convenu, dans le cadre de l’article L. 122-6 du Code de la propriété intellectuelle.

Article 3. Niveaux de service et disponibilité. Taux de disponibilité cible, fenêtres de maintenance, délais de rétablissement et d’intervention, pénalités en cas de manquement. Cet article convertit l’engagement de service en obligation mesurable et donne au client un levier en cas d’indisponibilité prolongée.

Article 4. Accès, API et support utilisateur. Conditions d’accès à l’interface et à l’API, quotas, authentification, canaux et horaires de support, délais de prise en charge des incidents. L’article distingue le support courant de la maintenance corrective et précise les responsabilités en cas d’usage anormal de l’API.

Article 5. Prix, abonnement et facturation. Montant de l’abonnement, modalités de calcul à l’usage le cas échéant, périodicité, délai de paiement conforme au plafond de l’article L. 441-10 du Code de commerce, pénalités de retard. Un service à l’usage appelle un mode de comptage transparent et vérifiable.

Article 6. Sécurité et protection des données personnelles. L’article renvoie à un acte de sous-traitance conforme à l’article 28 du RGPD, détaille les mesures de sécurité, la localisation des données et l’encadrement des transferts hors Union européenne. Il précise qui répond de quoi en cas de violation de données.

Article 7. Confidentialité. Chaque partie protège les informations sensibles reçues de l’autre. L’éditeur accède aux données d’exploitation et parfois stratégiques du client, ce qui justifie une obligation ferme, distincte de l’engagement de sécurité technique.

Article 8. Propriété intellectuelle. L’article réserve à l’éditeur la propriété du logiciel et de ses évolutions, et traite le sort des éventuels développements spécifiques commandés par le client. La frontière entre le socle de l’éditeur et ce qui est développé pour le client doit être fixée sans ambiguïté.

Article 9. Responsabilité. Plafond de responsabilité, exclusion des dommages indirects, et rappel que la limitation ne joue ni pour la faute lourde ou dolosive, ni au point de vider l’obligation essentielle de sa substance. La rédaction reste dans les bornes des articles 1170 et 1231-1 du Code civil.

Article 10. Durée, résiliation et réversibilité. Durée de l’abonnement, conditions de reconduction et de résiliation, préavis, puis organisation de la sortie : restitution des données dans un format exploitable, assistance à la migration, suppression des données par l’éditeur avec preuve. Cet article protège le client contre la perte d’accès à ses propres données.

Article 11. Force majeure. Reprise des conditions de l’article 1218 du Code civil, avec information sans délai et mécanisme de suspension puis de résolution si l’empêchement se prolonge, adapté à la continuité d’un service en ligne.

Article 12. Droit applicable et litiges. Droit français, langue du contrat et attribution de juridiction, le cas échéant précédées d’une étape de règlement amiable.

Les pièges à éviter

Confondre SaaS et licence de logiciel. Rédiger le contrat comme une cession de licence perpétuelle, alors que le service est hébergé et facturé par abonnement, brouille la qualification et le sort des données. Le SaaS concède un droit d’usage temporaire à distance : le client n’installe rien et ne devient jamais propriétaire du logiciel. Cette distinction commande tout le reste du contrat.

Promettre une disponibilité sans la chiffrer. Annoncer un service disponible en continu, sans taux mesurable ni pénalité, laisse la disponibilité à l’état de simple engagement de moyens. Un SLA précis, avec délais de rétablissement et sanctions, transforme la promesse en obligation opposable. Pour un service dont dépend l’activité quotidienne, l’indisponibilité se compte en pertes directes.

Négliger l’acte de sous-traitance RGPD. Traiter des données personnelles pour le compte du client sans acte conforme à l’article 28 du RGPD expose les deux parties à des sanctions. Localisation, transferts hors Union européenne, sous-traitants ultérieurs et mesures de sécurité doivent être documentés, pas simplement évoqués. Un simple renvoi à une politique en ligne modifiable ne suffit pas.

Oublier la réversibilité. Un contrat qui ne prévoit ni format de restitution, ni délai, ni suppression des données laisse le client captif à l’échéance. La récupération des données doit être organisée à l’avance et, pour un service critique, testée avant que la sortie ne devienne urgente. Sans preuve de suppression, le client reste exposé après la fin du contrat.

Fixer un plafond de responsabilité dérisoire. Un plafond limité à quelques mois d’abonnement, face à un service dont dépend une fonction essentielle du client, risque d’être écarté par le juge comme privant l’obligation essentielle de sa substance. Le plafond doit rester proportionné à l’enjeu réel du service et à la nature des données traitées.

Imposer des clauses déséquilibrées dans un contrat d’adhésion. Un abonnement souscrit en ligne, sans négociation, expose les clauses les plus rudes à être réputées non écrites pour déséquilibre significatif (article 1171 du Code civil), et interprétées contre l’éditeur qui les a rédigées (article 1190). Mieux vaut une rédaction équilibrée qu’une clause spectaculaire mais inapplicable.

Comment adapter ce modèle à votre situation

Quelques champs se renseignent systématiquement : l’identité des parties, la description du service et de son périmètre, le prix et ses modalités, la durée de l’abonnement et le préavis de résiliation. Le reste du texte convient à la plupart des solutions SaaS courantes.

Le niveau de service mérite le plus grand soin. C’est lui qui départage un simple engagement commercial d’une obligation opposable. Pour un service critique, fixez un taux de disponibilité élevé, des délais de rétablissement courts et des pénalités dissuasives ; pour un outil de confort non temps réel, un SLA plus souple suffit. Veillez à articuler les pénalités et le plafond de responsabilité pour éviter les doubles comptes.

L’encadrement des données s’ajuste selon la nature du service. Dès que des données personnelles sont traitées, l’acte de sous-traitance conforme à l’article 28 du RGPD n’est pas optionnel, et la localisation comme les transferts hors Union européenne doivent être arrêtés noir sur blanc. Si le client relève d’un secteur réglementé ou externalise une fonction sensible, ajoutez un droit d’audit et une clause de réversibilité renforcée.

Adaptez enfin la clause de propriété intellectuelle au contenu réel du contrat. Un abonnement standard n’appelle qu’un droit d’usage, quand une solution comportant des développements spécifiques commandés par le client impose de trancher, à l’avance, qui détient les droits sur ce qui est créé. [À VÉRIFIER JURISTE : opportunité d’une clause de propriété sur les développements spécifiques selon le cas d’espèce.]

Ce que ce modèle ne remplace pas

Un modèle est un point de départ, pas un avis. Il ne connaît ni votre secteur, ni la nature exacte des données traitées, ni le rapport de force entre les parties. Trois situations appellent une relecture par un professionnel : un service soumis à un régime sectoriel spécifique, comme l’hébergement de données de santé (HDS) ou une activité financière contrôlée ; un traitement de données à grande échelle ou de données sensibles, qui appelle un acte de sous-traitance renforcé et une analyse d’impact ; et un contrat international où la localisation des données, le droit applicable et la juridiction compétente sont eux-mêmes en négociation.

C’est la raison pour laquelle ce modèle signale ses propres limites, plutôt que de se présenter comme suffisant en toute circonstance.