La responsabilité de l'éditeur SaaS repose sur quatre leviers contractuels : la clause limitative, le SLA, la clause de réversibilité et le contrat de sous-traitance RGPD.
Le cabinet d'avocat en droit du numérique Aurore Bonavia détaille ce que l'éditeur peut plafonner, ce qui échappe à tout plafond, et ce que le client négocie avant de signer.
Le tableau ci-dessous donne le levier à activer selon votre position dans le contrat ainsi que sa base légale. Chaque ligne renvoie à une section détaillée plus bas.
L'éditeur pose d'abord une clause limitative de responsabilité. Elle s'appuie sur l'article 1231-1 du Code civil, qui condamne le débiteur à des dommages et intérêts lorsqu'il exécute mal son obligation, sauf force majeure. Cette clause plafonne la réparation et exclut certaines catégories de préjudice.
La clause limitative de responsabilité exclut les dommages indirects comme:
Elle plafonne également les dommages directs à un montant chiffré. L'article 1231-3 protège l'éditeur en amont puisqu'il limite la réparation aux dommages prévisibles lors de la conclusion du contrat, sauf faute lourde ou dolosive. La loi écarte donc le préjudice imprévisible.
La frontière entre direct et indirect est assez floue. Par exemple, une perte de chiffre d'affaires liée à une indisponibilité est-elle directe ou indirecte ?
Je vous recommande de lister expressément les catégories exclues. Le client sait alors ce qu'il accepte en signant. C'est le premier point d'un audit de contrat informatique sérieux.
L'article 1170 du Code civil, en vigueur depuis le 1er octobre 2016, répute non écrite toute clause qui prive de sa substance l'obligation essentielle du débiteur.
Pour un éditeur SaaS, cette obligation essentielle couvre la disponibilité du service, la sécurité et la confidentialité des données. Le juge écarte une clause qui ne garantirait aucun de ces trois points.
L'arrêt Chronopost du 22 octobre 1996 a sanctionné les clauses qui vident l'engagement de sa portée. L'arrêt Faurecia du 29 juin 2010 l'a bien précisé : “la Cour de cassation valide un plafond qui reflète une répartition négociée du risque et reste proportionné à l'économie du contrat”.
Dans cette affaire, l'éditeur avait manqué à livrer son logiciel, mais son plafond a tenu car il correspondait au prix payé, remise de 49 % comprise.
Aucun plafond ne résiste à une négligence d'une gravité extrême ou à une inexécution délibérée. La Cour précise que la faute lourde suppose un comportement gravement défaillant du débiteur, et non le seul manquement à l'obligation essentielle.
Le marché SaaS s'organise autour de trois fourchettes lisibles :
La base courante d’un plafond de responsabilité se situe entre 3 et 6 mois de redevances. Un client averti demandera 12 mois sur un service critique ou un contrat à forte valeur.
Au-delà de ce plafond global, l'éditeur pourra prévoir des sous-plafonds plus élevés sur la violation de données et la confidentialité, deux points où le client accepte mal une réparation faible.
Alignez le plafond contractuel sur le montant garanti par votre police d'assurance responsabilité civile professionnelle, pour éviter de promettre une réparation que vous ne pourriez pas honorer.
Contrôlez ensuite l'assiette : le plafond porte-t-il sur les sommes versées les douze derniers mois, sur toute la durée du contrat ou sur l'année en cours ? Notre cabinet d'avocat en droit des contrats vous aide à valider cet équilibre.
Illustration à adapter avec votre avocat :
« La responsabilité de l'Éditeur, tous préjudices confondus, est plafonnée au montant des redevances versées au cours des six mois précédant le fait générateur, sauf faute lourde, dol ou manquement à la sécurité des données. »
Un client paie 2 000 € par mois. Une panne de cinq jours lui fait invoquer 40 000 € de perte d'exploitation.
Avec un plafond de six mois de redevances (12 000 €) et une exclusion des dommages indirects, la perte d'exploitation sort de la réparation et le plafond ramène l'indemnisation directe à 12 000 € au plus. Sans clause, le client réclamerait l'intégralité sur le fondement de l'article 1231-1, à charge pour lui de prouver un dommage prévisible. Les montants ci-dessus sont posés en hypothèse.
La plupart des contrats SaaS la laissent dans le flou. Un éditeur tenu d'une obligation de résultat doit atteindre l'objectif promis : sa responsabilité est engagée dès le constat de l'échec.
Un éditeur tenu d'une obligation de moyen, lui, s'engage à mettre en œuvre les diligences d'un professionnel avisé. C’est au client de prouver la faute.
L'éditeur retient en général une obligation de moyen sur la disponibilité du service, car aucune infrastructure ne garantit un fonctionnement absolu.
Le SLA peut toutefois adapter l’engagement : Par exemple, en chiffrant un taux de disponibilité garanti, il crée une obligation de moyen renforcée voire un engagement de résultat sur ce taux. Sur la sécurité et la confidentialité, le juge se montre nettement plus strict car ces engagements touchent au cœur du service.
Pensez à nommer l'intensité de chaque obligation dans le contrat.
Le SLA (ou accord de niveau de service), chiffre la responsabilité de l'éditeur SaaS sur la disponibilité : il fixe le taux garanti et les conséquences d'un manquement.
Un taux de 99,9% de disponibilité autorise près de neuf heures d'indisponibilité par an. La rédaction du SLA doit préciser la fenêtre de calcul et les maintenances programmées.
Quand le taux de disponibilité descend sous le seuil validé, l'éditeur verse des crédits, le plus souvent sous forme d'avoir sur la facture suivante.
Il faut définir si ces crédits suffisent en dédommagement ou s’ils s'ajoutent à une action en réparation. C’est au contrat de trancher cette question. Sans stipulation claire, le client garde son action de droit commun fondée sur l'article 1231-1, en plus des crédits.
L'éditeur qui veut faire des crédits SLA son unique remède doit l'écrire expressément. Le client devra alors vérifier que ce remède exclusif lui offre quand même une réparation utile. Sans cette précision, la responsabilité de l'éditeur SaaS reste engagée au-delà des crédits et peut amener un contentieux contractuel B2B.
La réversibilité désigne la capacité du client à récupérer ses données et à les redéployer chez un autre fournisseur à la fin du contrat. Attention aux clauses qui promettent la seule restitution : des données brutes, sans paramétrages ni structure, restent inexploitables.
Le contrat doit imposer un format exploitable comme un export documenté à l’instar d’un dump SQL ou des fichiers CSV accompagnés du schéma de données, un délai, ainsi que le coût de l'opération.
L'article 27 de la loi n° 2024-449 du 21 mai 2024 interdit au fournisseur de services cloud de facturer des frais de transfert de données ou des frais de changement de fournisseur supérieurs aux coûts qu'il supporte réellement et qui sont directement liés à ce changement. Ces frais doivent figurer dans le contrat. Le fournisseur informe son client de leur nature et de leur montant avant la signature.
L'article L442-12 du Code de commerce encadre les avoirs informatique crédits cloud offerts à l'entrée. Leur durée de validité ne dépasse pas un an, renouvellement compris. Leur octroi ne peut être assorti d'aucune condition d'exclusivité. Conclure un contrat en violation de cette règle expose à une amende administrative d'un million d'euros pour une personne morale, portée à deux millions en cas de réitération sous deux ans.
Le règlement européen sur les données, le Data Act, s'applique depuis le 12 septembre 2025. Les frais de changement de fournisseur, frais de transfert compris, disparaissent totalement à partir du 12 janvier 2027. L'éditeur SaaS doit donc revoir dès maintenant les clauses de sortie qui monétisent la rétention des données. Cela peut être un levier de négociation du client sur la portabilité, à faire valoir dès la signature. Ce point rejoint l'examen des CGV SaaS avant engagement.
Dès qu'il héberge et traite des données personnelles pour le compte de son client, l'éditeur SaaS devient sous-traitant au sens de l'article 28 du RGPD.
Le client, lui, reste responsable de traitement. Cet article impose un contrat de sous-traitance écrit qui liste huit obligations, dont l'instruction documentée du responsable, la confidentialité, la sécurité et le sort des données en fin de contrat.
L'article 32 impose des mesures techniques et organisationnelles adaptées au risque, comme le chiffrement et la capacité de rétablir l'accès après incident. En cas de violation de données, l'article 33 oblige le responsable de traitement à notifier l'autorité de contrôle dans les 72 heures. L'éditeur sous-traitant doit alerter son client sans délai injustifié, pour lui permettre de tenir ce compte à rebours.
Une sanction administrative de la CNIL atteint jusqu'à 20 millions d'euros ou 4% du chiffre d'affaires mondial au titre de l'article 83 et ne peut pas être plafonnée par une clause. Seule l'action récursoire entre éditeur et client se répartit contractuellement, en cohérence avec le droit à réparation de l'article 82.
Force majeure et suspension du service SaaS
L'article 1218 du Code civil définit la force majeure comme un événement échappant au contrôle du débiteur, imprévisible lors de la conclusion du contrat SaaS et dont les effets ne peuvent être évités par des mesures appropriées. Une cyberattaque massive ou une panne d'infrastructure cloud peut y répondre, avec suspension du service pendant l'empêchement temporaire.
La défaillance d'un sous-traitant que l'éditeur a lui-même choisi, son hébergeur par exemple, est un risque d'entreprise. Le juge la qualifie difficilement de force majeure vis-à-vis du client. L'éditeur qui s'appuie sur un tiers reste tenu envers son client de ce qu'il a promis, à charge pour lui de se retourner contre son propre fournisseur.
Un éditeur SaaS qui compte des banques, assurances ou fintechs parmi ses clients entre dans le cadre du règlement européen DORA (UE 2022/2554), applicable depuis le 17 janvier 2025. Le régulé direct reste l'entité financière, mais ses obligations se répercutent sur ses prestataires informatiques par des clauses contractuelles imposées.
Le client financier exigera des stipulations précises :
Le prestataire tiers jugé critique s'expose lui-même à des mesures de supervision. Ce sujet croise le droit du numérique et le contrat informatique.
Le client d'un service SaaS lit trop souvent le contrat comme un formulaire à accepter. Plusieurs éléments peuvent toutefois se négocier :
L'éditeur a tout intérêt à répondre à ces demandes par un contrat négociable. Des CGV rigides pourraient lui faire perdre des grands comptes. Un examen mené par un avocat en droit des contrats sécurise les deux camps.
Un bon contrat SaaS répartit un risque assumé. Bien évidemment il ne fait pas disparaître la responsabilité de l'éditeur. Depuis la loi SREN et l'entrée en application de DORA, je vois la clause de sortie et la trame de conformité servir d'arguments de vente autant que de protections juridiques.
L'avocat qui cadre la responsabilité de l'éditeur SaaS devient utile quand :
Le cabinet Aurore Bonavia, au 4 Boulevard Jean Jaurès à Pontoise (95300), accompagne éditeurs de logiciel et clients SaaS sur l'audit et la rédaction de ces contrats. Une consultation de diagnostic se situe entre 200 et 350 €, l'audit ou la rédaction d'un contrat SaaS complet entre 1 500 et 3 000 €. Pour une architecture contractuelle solide, contactez le cabinet.
Non. L'article 1170 du Code civil répute non écrite toute clause qui prive l'obligation essentielle de sa substance, comme la disponibilité ou la sécurité du service. La faute lourde et le dol écartent aussi tout plafond. Un éditeur limite sa responsabilité, il ne l'annule pas.
Aucun seuil légal n'existe. La jurisprudence Faurecia valide un plafond négocié et proportionné à l'économie du contrat, souvent de 3 à 12 mois de redevances selon la criticité. Un plafond symbolique ou dérisoire reste fragile et peut être écarté par le juge.
Seulement si le contrat le prévoit expressément comme remède exclusif. À défaut de stipulation claire, le client cumule les crédits SLA et son action en réparation fondée sur l'article 1231-1 du Code civil. La rédaction doit trancher ce point.
Le client reste responsable de traitement face aux personnes concernées et à la CNIL. L'éditeur, sous-traitant au sens de l'article 28 du RGPD, répond de ses manquements à la sécurité de l'article 32 et de ses engagements contractuels. Une amende administrative ne se plafonne jamais par contrat.
La loi SREN de 2024 et le Data Act encadrent les frais de transfert et la portabilité, avec une suppression des frais de changement de fournisseur au 12 janvier 2027. Une simple clause de restitution ne suffit pas : le contrat doit garantir un format exploitable et un délai précis.