Un projet informatique mal encadré est synonyme de dérapage budgétaire et de litige technique.
Je rédige des contrats clairs qui définissent précisément le cahier des charges et les niveaux de service ("SLA"). En parallèle, je m'assure que votre usage de la Data est conforme au RGPD pour éviter les sanctions de la CNIL et rassurer vos clients.
Quand me consulter ?
- Vous éditez un logiciel SaaS B2B ou B2C et voulez sécuriser vos CGU/CGV de souscription, vos SLA (Service Level Agreement), votre politique de réversibilité des données et votre clause de limitation de responsabilité.
- Vous lancez un site e-commerce ou une marketplace et avez besoin du pack juridique complet (CGV, CGU plateforme, politique de confidentialité, mentions légales, processus d'achat conforme C. conso.).
- Vous faites développer un logiciel sur mesure par un prestataire et voulez sécuriser la cession des droits de propriété intellectuelle sur le code source (art. L. 113-9 CPI), le cahier des charges et les jalons de livraison.
- Vous mettez en conformité RGPD votre organisation : registre des activités de traitement, AIPD pour les traitements à risque, désignation d'un DPO externe, cartographie des sous-traitants et clauses sous-traitants (DPA art. 28 RGPD).
- Vous recevez une mise en demeure ou un contrôle de la CNIL et avez besoin d'une défense immédiate avec préparation des observations.
- Vous structurez un contrat d'infogérance, de TMA ou d'hébergement avec obligations de moyens vs résultats clairement définies et SLA quantifiés.
- Vous lancez une application mobile ou un dispositif connecté et voulez sécuriser la collecte de données utilisateurs (consentement, cookies, finalités).
- Vous êtes victime de dénigrement en ligne, d'usurpation d'identité ou de cyber-attaque et avez besoin d'une gestion de crise rapide (signalement Pharos, droit à l'oubli, action en référé).
Cas pratiques récents (anonymisés)
Cas n°1 - Refonte des contrats SaaS d'un éditeur en levée de Série A
Cas anonymisé. Détails et chiffres modifiés pour préserver la confidentialité.
Un éditeur SaaS B2B (12 salariés, 1,2 M€ d'ARR, 80 clients dont 8 grands comptes) prépare sa Série A. Les investisseurs exigent un audit juridique de ses contrats clients. Constat : les CGV ont été générées par un site low-cost il y a 3 ans, sans SLA chiffrés, sans clause de plafonnement de responsabilité, sans clause de réversibilité, avec une politique RGPD obsolète post-Schrems II.
Solution apportée : refonte intégrale du contrat SaaS (CGV B2B + Conditions Particulières par tier de client + SLA disponibilité 99,5 % avec pénalités cappées + plafonnement de responsabilité à 12 mois d'abonnement + clause de réversibilité avec exports en formats standards), reconstruction de la documentation RGPD (registre, DPA, sous-traitants, transferts hors UE avec clauses contractuelles types), formation de l'équipe commerciale aux 10 clauses non-négociables.
Résultat : levée Série A bouclée sans réserve juridique, valorisation préservée à 18 M€, mise en place d'un template négocié pour les 4 grands comptes suivants (gain de temps 30 % sur les cycles de négociation).
Cas n°2 - Mise en conformité RGPD post-mise en demeure CNIL
Cas anonymisé. Détails et chiffres modifiés pour préserver la confidentialité.
Une PME de e-commerce B2C (40 salariés, 8 M€ de CA) reçoit une mise en demeure de la CNIL suite à une plainte d'utilisateur : politique de cookies non conforme (consentement présumé au lieu de positif), bandeau cookies trompeur, droits des personnes mal exercés (délais dépassés, motifs de refus illégitimes), registre des traitements absent, transferts hors UE non encadrés.
Solution apportée : analyse de la mise en demeure (délai de 2 mois pour réponse), plan d'action en 5 chantiers (refonte bandeau cookies en conformité avec lignes directrices CNIL 2020 modifiées 2023, reconstruction du registre, mise en place des processus de réponse aux demandes des personnes avec délais 1 mois, rédaction des DPA pour 12 sous-traitants principaux, encadrement des transferts US via clauses contractuelles types + EU-US Data Privacy Framework), rédaction d'un mémoire de réponse à la CNIL démontrant les correctifs.
Résultat : clôture de la procédure de mise en demeure 3 mois plus tard sans sanction, mise en place d'un audit annuel léger pour maintenir la conformité. Économie estimée vs sanction probable : 150 à 400 K€.
Mes articles de référence sur le droit du numérique et le RGPD
Questions fréquemment posées
Quelles sont les clauses critiques d'un contrat SaaS B2B ?
Sept clauses non-négociables : (1) définition précise du périmètre du service et des fonctionnalités, (2) SLA chiffré (disponibilité 99-99,9 % selon criticité) avec pénalités cappées et qualifiantes d'inexécution, (3) clause de plafonnement de responsabilité (généralement à 12 mois d'abonnement) avec exclusions claires des préjudices indirects, (4) clause de réversibilité (récupération des données en formats standards en fin de contrat, durée d'accompagnement), (5) propriété intellectuelle (le client garde ses données, l'éditeur garde le logiciel), (6) RGPD avec DPA art. 28 obligatoire intégré ou annexé, (7) résiliation et renouvellement (préavis raisonnable, conditions de résiliation pour faute, anti-tacite-reconduction). L'absence de l'une de ces clauses fait chuter la valorisation lors d'une levée ou d'une due diligence M&A.
Mon entreprise doit-elle désigner un DPO (Délégué à la Protection des Données) ?
La désignation d'un DPO est obligatoire dans 3 cas (art. 37 RGPD) : (1) autorité ou organisme public, (2) traitement à grande échelle de catégories particulières (données de santé, biométriques, infractions), (3) suivi régulier et systématique à grande échelle de personnes (ex : marketing comportemental, profilage, géolocalisation). Pour les PME B2B classiques, la désignation n'est généralement pas obligatoire, mais reste fortement recommandée si le volume de traitements dépasse 10-20 finalités ou si l'entreprise traite des données sensibles. Le DPO peut être interne ou externe (mutualisé). Coût d'un DPO externe : 250 à 800 €/mois selon volume.
Combien coûte une refonte juridique RGPD complète ?
Selon le périmètre : (1) pack conformité site web (politique de confidentialité, cookies, mentions légales, processus minimum) : 800 à 1 500 € HT, (2) mise en conformité PME complète (cartographie traitements, registre, DPA fournisseurs, AIPD, politique interne, formation équipe) : 5 à 12 K€ HT selon volume, (3) audit RGPD approfondi avec recommandations : 6 à 15 K€ HT, (4) accompagnement contrôle ou mise en demeure CNIL : 8 à 25 K€ HT selon ampleur. À mettre en perspective des sanctions encourues : amende administrative jusqu'à 4 % du CA mondial ou 20 M€ (montant le plus élevé retenu).
Qui détient la propriété intellectuelle d'un logiciel développé par un prestataire ?
Par défaut (art. L. 113-9 CPI), le prestataire (auteur du code) reste titulaire des droits patrimoniaux. La cession des droits au client doit être expresse et écrite (art. L. 131-3 CPI), avec mention précise du périmètre cédé (droit de reproduction, droit de représentation, droit d'adaptation), de la durée, du territoire et de la destination. À défaut, le client n'acquiert qu'une licence d'utilisation, parfois implicite et révocable. Sur un projet stratégique (cœur de l'activité), la cession totale et exclusive doit être prévue dès le contrat, avec garantie d'éviction de la part du prestataire et clause de non-concurrence sur les développements similaires.
Mon site doit-il afficher un bandeau cookies, et comment le rendre conforme ?
Oui, dès qu'il dépose des cookies ou traceurs non strictement nécessaires (art. 82 loi Informatique et Libertés). Les lignes directrices CNIL 2020 modifiées exigent : (1) un consentement positif (cocher est requis, le silence ne vaut pas consentement), (2) le refus aussi facile que l'accord (bouton "Tout refuser" ou "Continuer sans accepter" en clair, même hiérarchie visuelle), (3) granularité du consentement par finalité (cookies analytiques vs publicitaires vs réseaux sociaux), (4) information préalable lisible avant tout dépôt, (5) durée du consentement maximum 13 mois, (6) traçabilité des consentements (registre). Les CMP (Consent Management Platform) comme Axeptio, Didomi, Cookiebot apportent une solution technique mais nécessitent un paramétrage juridiquement validé.
