Modèle de Contrat SaaS Gratuit
Un contrat SaaS conforme aux articles 1101 et suivants du Code civil et au RGPD (UE 2016/679). Niveaux de service, hébergement, données personnelles et réversibilité couverts.
SIRET : 123 456 789 00012
RCS Paris B 123 456 789
01 23 45 67 89
contact@cloudsoft.fr
06 12 34 56 78
contact@dupont.fr
CloudSoft SAS, siège situé à 30 rue de l’Innovation, 75008 Paris, SIRET 123 456 789 00012, ci-après « l’Éditeur »,
ET
Dupont SARL, siège situé à 10 rue du Commerce, 69001 Lyon, ci-après « le Client »,
Il a été convenu ce qui suit.
Gestion de la relation client (CRM), pipeline commercial, reporting automatise, integration API REST, tableau de bord analytique, gestion des devis et factures.
Accès : https://app.cloudsoft.fr
Nombre d’utilisateurs inclus : 10.
Stockage inclus : 50 Go.
L’Éditeur se réserve le droit de faire évoluer les fonctionnalités, sous réserve de ne pas en diminuer substantiellement la valeur. Les évolutions majeures seront communiquées avec un préavis de 30 jours.
Le Client s’interdit de :
• Copier, modifier, adapter, décompiler ou procéder à l’ingénierie inverse du service
• Sous-licencier, revendre ou mettre le service à disposition de tiers
• Utiliser le service à des fins illicites ou porter atteinte à son intégrité
• Tenter de contourner les mesures de sécurité ou les limitations techniques
Les factures sont émises au début de chaque période et payables sous 30 jours. Tout retard de paiement entraînera des pénalités de retard au taux de 3 fois le taux d’intérêt légal, plus une indemnité forfaitaire de 40,00 EUR (art. D. 441-5 Code de commerce).
En cas de non-paiement de deux échéances consécutives, l’Éditeur peut suspendre l’accès au service après mise en demeure restée infructueuse pendant 15 jours. Les prix sont révisables annuellement par l’Éditeur avec un préavis de 90 jours.
Il se renouvellera par tacite reconduction pour des périodes de même durée, sauf dénonciation par l’une des parties avec un préavis de 30 jours avant l’échéance.
• Mettre le service à disposition conformément aux spécifications du contrat
• Assurer la maintenance corrective et évolutive du service
• Héberger les données dans des conditions de sécurité conformes aux normes en vigueur
• Informer le Client des interruptions programmées avec un préavis de 48 heures
• Fournir un support technique selon les conditions convenues
• Respecter la réglementation sur la protection des données personnelles
• Notifier le Client de tout incident de sécurité affectant ses données dans les 72 heures
• Utiliser le service conformément au contrat et à la documentation
• Assurer la confidentialité de ses identifiants et mots de passe
• Ne pas perturber le fonctionnement du service par un usage excessif
• Effectuer ses propres sauvegardes complémentaires
• Signaler tout dysfonctionnement ou incident de sécurité dans les meilleurs délais
• Régler les factures dans les délais contractuels
Les données saisies par le Client restent sa propriété exclusive. L’Éditeur s’interdit de les utiliser à d’autres fins que la fourniture du service.
Disponibilité mensuelle garantie : 99.9 %, calculée comme le rapport entre le temps de disponibilité effectif et le temps total du mois, hors maintenance programmée.
Incident critique (service indisponible) : prise en charge sous 4 heures.
Incident majeur (fonctionnalité dégradée) : prise en charge sous 24 heures.
Support : Lundi-vendredi, 9h-18h (hors jours feries).
En cas de non-respect, le Client bénéficiera d’un avoir calculé proportionnellement au temps d’indisponibilité excédant le seuil garanti.
Les maintenances programmées ne sont pas prises en compte dans le calcul et seront planifiées en dehors des heures ouvrables dans la mesure du possible.
Chiffrement au repos (AES-256) et en transit (TLS 1.2+). L’Éditeur met en œuvre les mesures techniques et organisationnelles appropriées (art. 32 RGPD).
Sauvegardes quotidienne, conservées 30 jours minimum.
L’Éditeur s’interdit d’accéder aux données du Client sauf nécessité technique, demande du Client ou obligation légale.
• Traiter les données uniquement sur instruction documentée du Client
• Garantir la confidentialité et former le personnel autorisé
• Mettre en œuvre les mesures de sécurité appropriées
• Ne pas sous-traiter sans autorisation préalable écrite
• Assister le Client pour les droits des personnes et notifications de violations
• Supprimer ou restituer les données au terme du contrat
L’Éditeur s’engage à informer le Client de toute violation de données dans les 72 heures suivant sa découverte.
Pendant cette période, l’accès est maintenu en lecture seule. À l’expiration, les données sont supprimées définitivement.
Pour faute : 30 jours après mise en demeure restée infructueuse.
Pour non-paiement : Après deux échéances impayées et mise en demeure de 15 jours.
Pour convenance : À l’échéance de la période en cours, avec préavis de 30 jours.
En cas de résiliation, les sommes versées pour la période en cours restent acquises. Le Client conserve son droit à la réversibilité des données.
À défaut, compétence exclusive est attribuée à Tribunal de commerce de Paris.
Toute modification devra faire l’objet d’un avenant écrit signé par les deux parties.
La nullité d’une clause n’entraîne pas la nullité du contrat dans son ensemble.
Qu’est-ce qu’un contrat SaaS ?
Le contrat SaaS (Software as a Service) organise la mise à disposition d’une application informatique hébergée par l’éditeur et accessible en ligne par le client, généralement via un navigateur web. Contrairement à une licence classique, le logiciel n’est pas installé sur les postes du client : il reste hébergé sur l’infrastructure de l’éditeur, qui assure l’exploitation, la maintenance et la mise à jour.
Le contrat SaaS combine plusieurs régimes : licence d’utilisation d’un logiciel (articles L122-6 et suivants du Code de la propriété intellectuelle), prestation d’hébergement informatique, et contrat de service continu soumis au droit commun des obligations (articles 1101 et suivants du Code civil). Cette nature hybride appelle une rédaction spécifique, notamment sur les engagements de disponibilité (SLA), la sécurité et la réversibilité des données.
Lorsque le SaaS traite des données à caractère personnel pour le compte du client, l’éditeur intervient en qualité de sous-traitant au sens de l’article 28 du Règlement général sur la protection des données (RGPD). Un accord de sous-traitance (Data Processing Agreement) est alors obligatoire et doit préciser la nature, la finalité, la durée et les conditions du traitement.
Ce que contient ce modèle
Le modèle Doxuno couvre toutes les clauses essentielles d’un contrat SaaS conforme au droit français et au RGPD.
Identification des parties
Éditeur et client, SIRET, représentants
Description du service
Fonctionnalités, modules, environnement
Droit d’utilisation
Périmètre, nombre d’utilisateurs, usages autorisés
Disponibilité (SLA)
Engagement de disponibilité et pénalités
Sécurité
Mesures techniques et organisationnelles
Maintenance et mises à jour
Fréquence, fenêtres d’intervention
Support utilisateur
Niveaux de service, délais d’intervention
Redevances et facturation
Abonnement mensuel ou annuel, révision
Protection des données (RGPD)
Sous-traitance, article 28 du RGPD
Réversibilité
Restitution des données en fin de contrat
Limitation de responsabilité
Plafond et exclusions
Résiliation et durée
Conditions et préavis
Comment rédiger votre contrat SaaS
Le modèle Doxuno vous guide à travers chaque clause.
- 1
Identifiez les parties
Renseignez la raison sociale, le SIRET, le RCS, l’adresse du siège et le représentant légal de l’éditeur et du client.
- 2
Décrivez le service
Détaillez les fonctionnalités, les modules inclus, les environnements techniques, le nombre d’utilisateurs autorisés et les éventuelles options souscrites.
- 3
Définissez les engagements de service (SLA)
Fixez le taux de disponibilité (souvent 99,5 % à 99,9 %), les fenêtres de maintenance programmée, les délais de rétablissement et les pénalités en cas de manquement.
- 4
Fixez les redevances et la durée
Indiquez le tarif (par utilisateur, par mois, par volume), les modalités de facturation, les conditions de révision annuelle et la durée initiale de l’abonnement.
- 5
Activez les clauses Expert et signez
Ajoutez l’accord de sous-traitance RGPD (article 28), la réversibilité des données en fin de contrat, la limitation de responsabilité et les clauses de résiliation. Signez électroniquement ou en deux exemplaires originaux.
Considérations juridiques
Le contrat SaaS combine plusieurs régimes juridiques dont la bonne articulation est essentielle.
Ce modèle est fourni à titre informatif et ne constitue pas un conseil juridique. Pour les SaaS stratégiques ou traitant des données sensibles, consultez un avocat spécialisé en droit du numérique.
Vérifié par des professionnels du droit. Les clauses de ce modèle ont été relues par des avocats exerçant en France afin d’en garantir la conformité aux articles 1101 et suivants du Code civil et au RGPD (Règlement UE 2016/679).
RGPD et sous-traitance : article 28
L’article 28 du Règlement (UE) 2016/679 (RGPD) impose au responsable du traitement (le client) de choisir un sous-traitant (l’éditeur SaaS) présentant des garanties suffisantes. Un accord de sous-traitance écrit est obligatoire ; il doit préciser l’objet, la durée, la nature et la finalité du traitement, le type de données, les catégories de personnes concernées et les obligations des parties.
Réversibilité des données
La réversibilité est un enjeu majeur du SaaS : à la fin du contrat, le client doit pouvoir récupérer ses données dans un format exploitable. En application de l’article 20 du RGPD (droit à la portabilité) et des bonnes pratiques contractuelles, prévoyez une clause détaillant les formats, délais et coûts éventuels de restitution.
Transferts de données hors UE
Si l’éditeur ou ses sous-traitants hébergent ou traitent les données en dehors de l’Union européenne, les articles 44 à 49 du RGPD s’appliquent : adéquation, clauses contractuelles types (CCT) de la Commission européenne, règles d’entreprise contraignantes (BCR) ou consentement explicite. L’arrêt Schrems II de la CJUE (2020) impose une analyse complémentaire des garanties réelles.
Obligation de sécurité
L’article 32 du RGPD impose au sous-traitant la mise en œuvre de mesures techniques et organisationnelles appropriées pour garantir un niveau de sécurité adapté au risque : chiffrement, contrôle d’accès, sauvegardes, tests de résilience, notification de violation de données sous 72 heures. Ces obligations doivent être explicitement stipulées dans le contrat SaaS.
Questions fréquentes
Prêt à commercialiser votre solution SaaS ?
Rédigez votre contrat SaaS en quelques minutes. Modèle gratuit, conforme au droit français et au RGPD, téléchargeable en PDF.
Gratuit · PDF instantané · Aucun compte requis