Contrat SaaS : les 12 clauses à négocier en 2026

Depuis le 12 septembre 2025, une clause de votre contrat SaaS relative à l’accès et à l’usage des données peut être écartée par le juge, et c’est au fournisseur de prouver qu’il ne vous l’a pas imposée unilatéralement : le Data Act a créé un régime de clauses abusives entre entreprises. Et depuis l’arrêté du 17 novembre 2025, le montant maximal facturable pour transférer vos données vers un autre fournisseur cloud est fixé, en France, à zéro euro. Le contrat SaaS que vous signiez en 2022 n’est plus le même objet juridique.

Dans mon activité de conseil, je vois passer beaucoup de contrats SaaS signés en trois clics parce que « c’est du standard, il n’y a rien à négocier ». C’est faux sur deux plans. D’abord, une part croissante de ce standard est désormais imposée par la loi au fournisseur — donc négociable, ou plutôt exigible. Ensuite, ce qui reste vraiment libre (SLA, plafonds de responsabilité, révision tarifaire, propriété des données dérivées) est précisément ce qui vous coûtera cher le jour où ça se passe mal.

Voici les douze clauses que j’examine systématiquement, dans l’ordre où je les regarde.

Ce que le contrat SaaS est devenu juridiquement

Une prestation de service, pas une licence

Le réflexe de qualifier le SaaS de « licence de logiciel » a la vie dure et il induit en erreur. En SaaS, le client n’installe rien, ne reçoit aucune copie et n’exerce aucun des actes couverts par le droit d’auteur : il accède à distance à un service exécuté sur l’infrastructure du fournisseur. La qualification dominante est celle du contrat de prestation de service (louage d’ouvrage, art. 1710 du code civil), éventuellement mixte lorsqu’il s’accompagne de prestations d’intégration ou d’hébergement dédié.

La conséquence est pratique : le régime protecteur du droit des logiciels (interopérabilité, décompilation, copie de sauvegarde) ne joue pas à votre profit. Vos garanties viennent du contrat, du droit commun des contrats et — c’est nouveau — de textes sectoriels européens. D’où l’importance de la rédaction.

Un objet désormais régulé par au moins cinq textes

Un contrat SaaS conclu en 2026 avec un client établi dans l’Union croise :

Texte	Ce qu’il impose au contrat	Depuis / à partir de
RGPD, Art. 28(3)	Contenu obligatoire de l’acte de sous-traitance	25 mai 2018
Data Act, Art. 13	Régime des clauses abusives B2B, limité aux clauses sur l’accès et l’usage des données et sur la responsabilité en cas de manquement	12 sept. 2025 (contrats nouveaux)
Data Act, Art. 23 à 31	Réversibilité, assistance, délais, suppression des frais de changement	12 sept. 2025, frais à 0 le 12 janv. 2027
Loi SREN (n° 2024-449), art. 26 et 27	Encadrement des avoirs cloud et des frais de transfert en France	21 mai 2024, arrêté tarifaire du 17 nov. 2025
Cyber Resilience Act (règl. 2024/2847)	Sécurité des produits comportant des éléments numériques — seulement si le service est une solution de traitement à distance intégrale d’un tel produit	Signalement 11 sept. 2026, application complète 11 déc. 2027

Une précision sur le CRA, souvent mal comprise : le logiciel en tant que service n’entre pas dans son champ, sauf lorsqu’il constitue une solution de traitement de données à distance sans laquelle un produit comportant des éléments numériques ne pourrait remplir ses fonctions. La plupart des SaaS de gestion en sont donc hors ; les back-ends d’objets connectés, non.

À quoi s’ajoutent, selon le secteur, DORA pour les entités financières et la directive NIS2 pour la sécurité de la chaîne d’approvisionnement. Aucun de ces textes ne remplace la négociation : ils fixent un plancher. Le contrat sert à aller au-dessus.

Les clauses qui protègent vos données

1. La qualification des rôles et l’acte de sous-traitance

Première question à poser, avant toute autre : sur quelles données le fournisseur agit-il pour votre compte, et sur quelles données agit-il pour le sien ?

La réponse est rarement binaire. Un éditeur SaaS est presque toujours sous-traitant au sens de l’Art. 4(8) du RGPD pour les données que vous hébergez dans l’outil, et responsable de traitement pour les données de facturation, de compte administrateur et de télémétrie de son propre service. Beaucoup de contrats mélangent les deux dans une annexe unique, ce qui rend impossible l’exercice des droits et fausse votre registre des traitements.

Exigez une annexe qui distingue les deux périmètres et qui, pour la partie sous-traitance, reprend les huit obligations de l’Art. 28(3). Si le fournisseur vous propose un DPA générique, vérifiez ligne à ligne : dans les contrats que j’audite, les points les plus souvent absents ou dénaturés sont l’assistance aux demandes de droits, l’assistance à l’analyse d’impact et le sort des données en fin de contrat. Le guide complet des obligations est détaillé dans notre article sur le sous-traitant RGPD, et un modèle de contrat de sous-traitance est disponible.

2. La sous-traitance ultérieure

L’Art. 28(2) du RGPD interdit au sous-traitant de recruter un autre sous-traitant sans autorisation écrite, préalable, spécifique ou générale. En pratique, tous les éditeurs SaaS optent pour l’autorisation générale assortie d’une information préalable des changements.

Ce qui se négocie, c’est le délai de préavis et l’effet de votre objection. Un préavis de quinze jours avec pour seule issue « le client peut résilier » est déséquilibré : quinze jours ne suffisent pas à migrer un SI. Je demande systématiquement trente jours minimum, une liste des sous-traitants ultérieurs accessible et versionnée, et — c’est le point clé — une clause précisant que la résiliation pour objection légitime ouvre droit au remboursement au prorata des sommes payées d’avance et n’entraîne aucune pénalité.

3. La localisation des données et les transferts

Trois questions distinctes, souvent confondues :

• Où les données sont-elles stockées ? Une clause « données hébergées dans l’UE » ne dit rien du support technique.
• Depuis où sont-elles accessibles ? Un accès administrateur depuis un pays tiers est un transfert au sens du chapitre V du RGPD, même sans copie. C’est le point que la plupart des contrats passent sous silence.
• Le fournisseur est-il soumis à une législation extraterritoriale ? Le sujet est traité en détail dans notre analyse de l’Art. 48 du RGPD et du CLOUD Act.

Si un transfert existe, identifiez l’outil prévu au chapitre V du RGPD : décision d’adéquation (Art. 45), clauses contractuelles types (Art. 46), ou adhésion au Data Privacy Framework pour les fournisseurs américains certifiés. Et demandez l’analyse d’impact des transferts, pas seulement la mention du mécanisme. Les enjeux pratiques sont détaillés dans notre guide RGPD et cloud : obligations AWS, Azure, GCP.

Pour les données sensibles, la certification HDS est obligatoire en santé, et la qualification SecNumCloud reste la référence pour les données sensibles non réglementées.

4. La propriété et les usages secondaires

C’est la clause que je vois le plus souvent mal rédigée, et celle qui crée le plus de contentieux latents.

Distinguez trois strates :

Strate	Exemple	Position à défendre
Données client brutes	Vos fichiers, vos enregistrements	Propriété et contrôle exclusifs du client, aucun usage hors exécution du contrat
Données d’usage / télémétrie	Logs de connexion, fréquence d’utilisation	Usage limité à la sécurité, la facturation et le maintien en condition opérationnelle
Données agrégées ou dérivées	Statistiques sectorielles, jeux d’entraînement	Anonymisation effective et opposabilité d’un refus

La clause à traquer : celle qui autorise le fournisseur à utiliser vos données « pour améliorer ses services », formule qui couvre aujourd’hui l’entraînement de modèles d’IA. C’est le terrain d’élection de l’Art. 13 du Data Act : une clause imposée unilatéralement qui permet au fournisseur d’accéder à vos données d’une manière portant gravement atteinte à vos intérêts légitimes — notamment quand elles contiennent des informations commercialement sensibles ou protégées par le secret des affaires — est présumée abusive au titre de l’Art. 13(5)(b). La présomption est réfragable, mais elle inverse la discussion : c’est au fournisseur de justifier la clause. Ce point rejoint l’analyse développée dans Data Act et secret des affaires.

Si l’outil embarque de l’IA, ajoutez les clauses spécifiques listées dans SaaS et IA : clauses contractuelles pour les acheteurs, et vérifiez la qualification du système au regard de l’AI Act : vous êtes déployeur, avec des obligations propres si le système est à haut risque.

Les clauses qui protègent votre continuité

5. Le SLA : disponibilité, mesure, pénalité

Un SLA sans méthode de mesure ne vaut rien. Trois éléments doivent figurer, faute de quoi l’engagement est déclaratif :

• L’assiette : disponibilité mesurée sur quelle période (mois calendaire, glissant), et quelles exclusions (maintenance planifiée, force majeure, défaillance d’un tiers). Un 99,9 % mensuel autorise 43 minutes d’indisponibilité ; le même chiffre en annuel en autorise 8 h 45.
• La source de la mesure : les compteurs du fournisseur, un tiers indépendant, ou vos propres sondes. En l’absence de précision, c’est le fournisseur qui arbitre son propre manquement.
• La sanction : les avoirs de service (service credits) sont la norme, mais vérifiez s’ils sont le remède exclusif. Une clause qui fait des avoirs le seul recours, plafonné à quelques pourcents de l’abonnement mensuel, prive de fait l’obligation de disponibilité de toute portée.

C’est là que le droit français reste un allié utile. L’article 1170 du code civil répute non écrite toute clause qui prive de sa substance l’obligation essentielle du débiteur. Un fournisseur qui s’engage à fournir un service disponible et qui plafonne sa responsabilité à un montant dérisoire s’expose à ce que la clause soit écartée — la Cour de cassation admet la validité des clauses limitatives, mais pas lorsqu’elles contredisent la portée de l’engagement souscrit.

Distinguez enfin obligation de moyens et obligation de résultat. La disponibilité chiffrée est un résultat ; le délai de rétablissement est le plus souvent un moyen renforcé. Écrivez-le, plutôt que de laisser le juge le déduire.

6. La réversibilité et le changement de fournisseur

C’est la clause qui a le plus changé, et celle que la plupart des contrats en vigueur n’ont pas encore intégrée.

Le chapitre VI du Data Act (art. 23 à 31) s’applique aux services de traitement de données, ce qui inclut expressément le SaaS. Il impose un contrat écrit fixant les droits du client et un processus encadré :

Étape	Délai	Sens du délai	Base
Préavis pour déclencher le changement	2 mois	Maximum opposable au client	Art. 25(2)(d)
Période transitoire de migration	30 jours, prorogeable si techniquement infaisable	Maximum	Art. 25(4)
Période de récupération des données	30 jours à compter de la fin de la période transitoire	Minimum au bénéfice du client	Art. 25(2)(g)
Suppression par le fournisseur	À l’expiration de la période de récupération	Obligation du fournisseur	Art. 25(2)(g)

La nuance de la troisième ligne compte : trente jours de récupération est un plancher, pas un plafond. Un contrat qui présente ce délai comme un maximum inverse la règle.

Sur les frais, la trajectoire est en deux temps : du 11 janvier 2024 au 12 janvier 2027, le fournisseur peut imposer des frais de changement réduits, limités aux coûts qu’il supporte directement ; à compter du 12 janvier 2027, les frais de changement de fournisseur sont purement et simplement interdits (art. 29). L’Arcep a d’ailleurs adopté le 2 juillet 2026 deux jeux de lignes directrices détaillant les coûts admissibles pendant la période transitoire et en situation de multi-cloud.

En France, la loi SREN va plus loin sur un point précis : l’arrêté du 17 novembre 2025, publié le 30 novembre 2025 et pris sur proposition de l’Arcep (décision n° 2025-0340 du 20 février 2025), fixe à zéro euro le montant maximal facturable au titre des frais de transfert de données lors d’un changement de fournisseur cloud. Autrement dit, sur le poste « egress », l’anticipation française était déjà effective avant l’échéance européenne.

Ce que je demande dans un contrat : un plan de réversibilité annexé (pas une clause de principe), les formats d’export nommés, la fréquence à laquelle un export test peut être déclenché sans frais, et l’engagement de coopération de bonne foi avec le fournisseur de destination. Le détail du mécanisme est développé dans Portabilité cloud : les nouvelles obligations du Data Act et, côté fournisseur, dans Data Act et sous-traitants cloud.

7. La suppression en fin de contrat

Deux obligations se superposent et il faut les articuler explicitement : l’Art. 28(3)(g) du RGPD impose au sous-traitant de supprimer ou restituer les données à la fin de la prestation, au choix du responsable de traitement ; le Data Act encadre le délai de récupération avant suppression.

La clause utile prévoit un ordre d’opérations — restitution, confirmation de bonne réception par le client, puis suppression — et un certificat de suppression daté couvrant les sauvegardes. Sans mention des sauvegardes, la suppression est incomplète et la preuve inexploitable. Notre guide sur l’effacement sécurisé des données détaille les méthodes acceptables et le format de preuve, et celui sur l’archivage à valeur probante traite du cas où vous devez conserver malgré tout.

8. Le plan de continuité et la sortie du fournisseur

Que se passe-t-il si l’éditeur cesse son activité ? Un séquestre de code source (escrow) n’a de sens en SaaS que s’il s’accompagne d’un droit d’usage et de la documentation d’exploitation — sinon vous récupérez un code que personne ne sait déployer. Pour les services critiques, la vraie protection est ailleurs : export périodique automatisé chez vous, et plan de continuité qui décrit le mode dégradé sans l’outil.

Les clauses qui protègent votre conformité et votre budget

9. Sécurité, incidents et audit

Trois engagements à obtenir, distincts :

• Les mesures techniques et organisationnelles, annexées et versionnées, avec interdiction de les dégrader unilatéralement. L’Art. 32 du RGPD fixe l’exigence ; l’annexe la matérialise. Vérifiez la gestion des accès (voir gestion des habilitations), le chiffrement, la politique de correctifs de sécurité et la politique de sauvegarde.
• La notification des incidents. L’Art. 33(2) du RGPD impose au sous-traitant de notifier « dans les meilleurs délais » ; c’est trop vague pour un contrat. Fixez un délai chiffré — 24 ou 48 heures après connaissance — et le contenu minimal de la notification, faute de quoi vous ne tiendrez pas vos propres 72 heures. Voir notification des violations de données.
• Le droit d’audit. L’Art. 28(3)(h) le prévoit, mais la plupart des éditeurs le neutralisent en le limitant à la remise d’un rapport de certification. Un compromis acceptable : rapport SOC 2 Type II ou ISO 27001 annuel par défaut, audit sur site ouvert en cas d’incident majeur ou de manquement documenté, avec préavis raisonnable.

Si le fournisseur relève du Cyber Resilience Act, la sécurité cesse d’être purement contractuelle : les exigences essentielles de l’annexe I et les obligations de signalement des vulnérabilités deviennent réglementaires. La question de savoir quand une évolution du service impose de refaire l’évaluation est traitée dans modification substantielle CRA, et la répercussion sur la chaîne de fourniture dans CRA fournisseurs.

10. Responsabilité : plafonds, exclusions, garanties

Le schéma standard des éditeurs : plafond égal aux sommes versées sur les douze derniers mois, exclusion des dommages indirects, exclusion du manque à gagner et de la perte de données.

Trois observations :

D’abord, la notion de « dommage indirect » n’a pas de définition légale en droit français — l’article 1231-4 du code civil parle de suite immédiate et directe. Une exclusion des dommages indirects non définie contractuellement est une source de litige garantie. Définissez-la, ou supprimez-la.

Ensuite, refusez l’exclusion de la perte de données. Dans un contrat dont l’objet est de traiter vos données, c’est le dommage principal. Une exclusion générale s’expose au même reproche que celle évoquée plus haut à propos du SLA : si elle vide de sa portée l’engagement d’intégrité et de disponibilité, elle peut être réputée non écrite sur le fondement de l’article 1170. L’appréciation reste casuistique — mieux vaut ne pas dépendre du juge sur ce point et négocier la clause.

Enfin, prévoyez un plafond distinct et plus élevé — voire non plafonné — pour les manquements à la protection des données. Le raisonnement est simple : l’amende encourue au titre de l’Art. 83 et l’indemnisation due aux personnes concernées au titre de l’Art. 82 ne sont pas corrélées au montant de votre abonnement. Un contrat à 30 000 € par an avec un plafond de 30 000 € ne couvre rien du risque réel.

Deux leviers légaux complètent le dispositif quand la négociation échoue, avec chacun sa limite.

L’article 1171 du code civil répute non écrite la clause non négociable et déterminée à l’avance par une partie qui crée un déséquilibre significatif dans un contrat d’adhésion. Deux réserves : la qualification d’adhésion se discute dès lors que le contrat a fait l’objet d’échanges réels — un MSA amendé, avec annexes négociées, y échappe souvent ; et le texte exclut expressément de l’appréciation l’objet principal du contrat et l’adéquation du prix à la prestation. Il est donc efficace contre un plafond de responsabilité, beaucoup moins contre une grille tarifaire.

L’article L. 442-1, I, 2° du code de commerce sanctionne, lui, le fait de soumettre « l’autre partie » à des obligations créant un déséquilibre significatif — la rédaction issue de l’ordonnance n° 2019-359 du 24 avril 2019 a remplacé l’ancienne notion de « partenaire commercial », ce qui élargit nettement son domaine. Il s’applique indépendamment de tout caractère d’adhésion. Le raisonnement est proche de celui exposé dans notre article sur les clauses abusives en CGV, transposé au B2B.

11. Prix, révision et avoirs cloud

La clause de révision tarifaire est le principal angle mort des contrats pluriannuels. Un point mérite ici d’être clarifié, car il circule beaucoup d’approximations : l’Art. 13(5)(g) du Data Act présume abusive la clause qui permet de modifier unilatéralement le prix ou une condition substantielle relative à la nature, au format, à la qualité ou à la quantité des données à partager, lorsque le contrat ne prévoit ni motif valable ni droit de résiliation pour l’autre partie. C’est étroit. Et l’Art. 13(8) exclut expressément de l’appréciation les clauses définissant l’objet principal du contrat et l’adéquation du prix. Une clause d’indexation Syntec ordinaire ne relève donc pas du Data Act : c’est le droit commun qui s’applique.

Ce que je demande : un plafond d’augmentation (indice Syntec ou pourcentage fixe), un préavis de six mois minimum, et un droit de résiliation sans pénalité si l’augmentation dépasse le plafond. Vérifiez aussi le sort des remises de première année — beaucoup de contrats prévoient un retour automatique au tarif catalogue au renouvellement, ce qui produit des hausses de 40 à 60 % en année deux.

Sur les avoirs cloud (« credits »), l’article 26 de la loi SREN en encadre l’usage en France, précisément parce qu’ils constituent un mécanisme de verrouillage : des crédits gratuits importants créent un coût de sortie caché.

12. Durée, renouvellement et résiliation

Pour les contrats conclus avec un professionnel, la reconduction tacite relève de la liberté contractuelle : le formalisme protecteur du code de la consommation ne s’applique pas. D’où l’importance de la rédaction — un préavis de dénonciation de trois mois avant une échéance annuelle signifie que la fenêtre utile est de quelques jours par an, et elle se manque.

Deux clauses à obtenir :

• La résiliation pour manquement avec mise en demeure et délai de remédiation raisonnable, symétrique entre les parties. Beaucoup de contrats permettent au fournisseur de suspendre le service immédiatement en cas d’impayé, tandis que le client doit patienter trente jours face à une indisponibilité prolongée.
• La résiliation pour changement de contrôle, utile quand l’éditeur est racheté par un concurrent ou par un acteur soumis à une législation extraterritoriale. Ce point recoupe les vérifications décrites dans notre guide de due diligence RGPD.

La méthode de revue en une heure

Face à un contrat SaaS de trente pages, voici l’ordre dans lequel je procède. Il maximise le rendement du temps passé.

1. Chercher l’annexe données. Si elle n’existe pas, le reste est secondaire : il faut d’abord obtenir un DPA conforme à l’Art. 28(3).
2. Chercher le mot « supprimer ». Le sort des données en fin de contrat révèle la philosophie du fournisseur en une phrase.
3. Chercher le plafond de responsabilité et le comparer au montant annuel. Un ratio de 1 signifie que le fournisseur n’assume aucun risque au-delà d’un remboursement.
4. Chercher « réversibilité », « export », « migration ». Depuis le 12 septembre 2025, l’absence de ces stipulations est un manquement du fournisseur au Data Act, pas une lacune de rédaction.
5. Chercher la clause de révision du prix et la clause de préavis de dénonciation. Ce sont les deux qui coûtent de l’argent silencieusement.
6. Vérifier la localisation et les accès depuis les pays tiers.

Les six points restants se traitent au second passage. Sur un portefeuille de plusieurs dizaines de contrats fournisseurs, cette revue devient un exercice de cartographie — c’est typiquement le travail que Legiscope automatise en rattachant chaque sous-traitant à ses traitements, ses annexes et ses échéances contractuelles.

Les cas particuliers à ne pas manquer

Secteur financier. Si vous êtes une entité financière au sens de DORA, l’article 30 du règlement impose un contenu contractuel obligatoire pour tout accord relatif aux services TIC, plus exigeant que le droit commun : description complète des fonctions, localisation, niveaux de service quantifiés, droits d’accès et d’audit renforcés, stratégies de sortie documentées. Voir DORA et cloud et prestataires TIC critiques.

Entités soumises à NIS2. La sécurité de la chaîne d’approvisionnement fait partie des mesures de gestion des risques exigées par l’article 21 de la directive NIS2. En France, le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité assurant la transposition n’était pas encore promulgué à l’été 2026 : le calendrier de mise en conformité reste donc à confirmer, mais les exigences contractuelles vis-à-vis des fournisseurs sont connues et il n’y a aucune raison d’attendre pour les intégrer aux nouveaux contrats.

Contrats antérieurs au 12 septembre 2025. Le régime des clauses abusives de l’Art. 13 du Data Act ne leur est pas immédiatement applicable. Il jouera à compter du 12 septembre 2027 pour ceux qui sont à durée indéterminée ou qui expirent au moins dix ans après le 11 janvier 2024. En revanche, les obligations de réversibilité du chapitre VI pèsent sur le fournisseur indépendamment de la date du contrat. Pour aligner un contrat existant sur le RGPD sans le renégocier entièrement, un avenant RGPD suffit souvent.

Ce qu’il faut retenir

• Le contrat SaaS est une prestation de service, pas une licence : vos garanties viennent du contrat et des règlements européens, pas du droit d’auteur.
• Depuis le 12 septembre 2025, l’Art. 13 du Data Act permet d’écarter une clause abusive imposée unilatéralement, mais son domaine est étroit : accès et usage des données, responsabilité et voies de droit — pas l’objet principal du contrat ni le prix.
• À compter du 12 janvier 2027, les frais de changement de fournisseur sont interdits ; en France, l’arrêté du 17 novembre 2025 fixe déjà à zéro euro les frais de transfert de données lors d’un changement.
• Le SLA n’a de valeur que s’il précise l’assiette de mesure, la source de la mesure et une sanction qui ne soit pas le remède exclusif.
• Le plafond de responsabilité aligné sur douze mois d’abonnement ne couvre pas le risque RGPD : demandez un plafond distinct pour les manquements à la protection des données.
• Les articles 1170 et 1171 du code civil et L. 442-1, I, 2° du code de commerce restent des leviers efficaces face à des conditions générales non négociées — sous réserve que le déséquilibre invoqué ne porte ni sur l’objet principal du contrat ni sur le prix.
• Six recherches par mots-clés — annexe données, suppression, plafond, réversibilité, révision de prix, localisation — traitent l’essentiel du risque en moins d’une heure.

Vous suivez ces sujets de près ? Chaque semaine, je publie une analyse des textes et décisions qui changent réellement quelque chose pour les entreprises françaises. Recevez nos analyses conformité.

FAQ

Un contrat SaaS doit-il obligatoirement comporter une clause de réversibilité ?

Oui, depuis le 12 septembre 2025. L’article 25 du Data Act impose que les droits du client et les obligations du fournisseur en matière de changement de fournisseur soient clairement énoncés dans un contrat écrit. Un contrat SaaS silencieux sur ce point place le fournisseur en situation de manquement, quelle que soit la pratique antérieure du marché.

Puis-je encore me voir facturer des frais pour récupérer mes données ?

En France, non pour les frais de transfert de données lors d’un changement de fournisseur cloud : l’arrêté du 17 novembre 2025, pris sur proposition de l’Arcep, en fixe le montant maximal à zéro euro. D’autres frais liés au processus de migration restent facturables jusqu’au 12 janvier 2027, à condition d’être réduits aux coûts directement supportés par le fournisseur et documentés — l’Arcep a publié le 2 juillet 2026 des lignes directrices sur leur périmètre. À compter du 12 janvier 2027, tous les frais de changement de fournisseur disparaissent.

Un plafond de responsabilité limité à un an d’abonnement est-il valable ?

Il est licite en principe : le droit français admet les clauses limitatives de responsabilité entre professionnels. Mais il peut être écarté sur le fondement de l’article 1170 du code civil s’il prive de sa substance l’obligation essentielle du fournisseur — appréciation au cas par cas, dans la lignée de la jurisprudence Chronopost puis Faurecia. Les articles 1171 du code civil (contrats d’adhésion) et L. 442-1, I, 2° du code de commerce offrent une seconde voie en cas de déséquilibre significatif. La faute lourde ou dolosive fait par ailleurs tomber le plafond.

Le DPA proposé par mon fournisseur suffit-il à me mettre en conformité ?

Pas nécessairement. Un DPA standard couvre généralement les obligations de l’Art. 28(3) du RGPD dans leur formulation minimale, mais il laisse fréquemment de côté trois points : le délai de notification des incidents, les modalités concrètes d’assistance aux demandes de droits, et le sort des sauvegardes lors de la suppression. Ce sont précisément ces trois points qui se révèlent bloquants en situation réelle.

Mon fournisseur peut-il utiliser mes données pour entraîner ses modèles d’IA ?

Seulement si le contrat le prévoit et si la base juridique tient. Une clause générique autorisant l’usage des données « pour améliorer les services » est fragile : elle relève potentiellement du régime des clauses abusives de l’Art. 13 du Data Act lorsqu’elle est imposée unilatéralement et porte gravement atteinte aux intérêts légitimes du client, notamment en présence de secrets d’affaires. Sur le plan RGPD, s’ajoute la question de la base légale du traitement et de l’information des personnes concernées.

Ces règles s’appliquent-elles aux contrats signés avant septembre 2025 ?

Partiellement. Les obligations de réversibilité du chapitre VI du Data Act pèsent sur le fournisseur indépendamment de la date de conclusion. Le régime des clauses abusives de l’Art. 13, en revanche, ne s’appliquera aux contrats conclus au plus tard le 12 septembre 2025 qu’à compter du 12 septembre 2027, et seulement s’ils sont à durée indéterminée ou expirent au moins dix ans après le 11 janvier 2024.