Quelles clauses négocier avec son hébergeur et ses prestataires ?

Introduction

Un éditeur de SaaS s’engage envers ses clients sur des obligations qu’il n’exécute pas seul. La cohérence de la chaîne conditionne la tenue de ces engagements.

Le principe de répercussion

Lorsque le sous-traitant recrute un autre sous-traitant, les mêmes obligations en matière de protection des données que celles fixées dans son propre contrat doivent être imposées à ce sous-traitant ultérieur.

Le sous-traitant initial demeure pleinement responsable devant le responsable de traitement de l’exécution par le sous-traitant ultérieur de ses obligations.

Cette responsabilité est intégrale : l’éditeur ne peut opposer à son client la défaillance de son hébergeur.

La difficulté pratique

Les grands fournisseurs d’infrastructure imposent leurs propres conditions et ne négocient pas.

Leurs accords de traitement sont généralement conformes, mais leurs engagements peuvent être moins favorables que ceux que l’éditeur a consentis à ses clients.

L’écart entre les deux crée une exposition que l’éditeur supporte seul.

Le travail consiste donc à aligner ses engagements clients sur ce que sa chaîne permet réellement de tenir.

Les clauses à examiner en priorité

Le délai de notification des violations. Un fournisseur qui s’engage à notifier sans délai injustifié, sans chiffre, ne permet pas à l’éditeur de tenir un engagement de vingt-quatre heures envers ses clients.

La localisation des données et des accès, y compris pour le support et les astreintes.

La liste des sous-traitants ultérieurs du fournisseur et le mécanisme de notification des changements.

Les mesures de sécurité décrites, avec leur niveau de détail et les certifications produites.

Les modalités d’audit, généralement remplacées par la communication de rapports indépendants.

Les conditions de suppression et de restitution en fin de contrat.

La limitation de responsabilité, souvent très basse au regard des engagements pris aux clients.

L’usage des données par le fournisseur

Point devenu central.

Certaines conditions autorisent le fournisseur à utiliser les données pour améliorer ses services ou entraîner des modèles.

Un tel usage excède l’instruction du responsable et fait sortir le fournisseur de son rôle de sous-traitant.

Il est incompatible avec les engagements que l’éditeur prend envers ses clients.

Cette clause doit être vérifiée dans chaque service intégré, y compris les outils d’assistance et d’analyse.

Les services souvent oubliés

L’outil d’envoi de courriels transactionnels.

Le service de journalisation et de surveillance, qui capte fréquemment des données applicatives.

L’outil d’assistance conversationnelle intégré au produit.

Les outils d’analyse de session et d’enregistrement de parcours, particulièrement intrusifs.

Le prestataire de paiement.

Les services d’intelligence artificielle appelés depuis l’application.

Chacun est un sous-traitant ultérieur, à déclarer et à encadrer.

La sélection du fournisseur

Le responsable ne fait appel qu’à des sous-traitants présentant des garanties suffisantes.

Cette obligation de sélection s’applique à l’éditeur pour le choix de ses propres prestataires.

Elle suppose une vérification documentée : questionnaire, certifications avec leur périmètre exact, rapports d’audit, localisation, liste des sous-traitants.

Cette documentation doit être conservée : elle est demandée lors des audits clients.

Le suivi

Les conditions des fournisseurs évoluent.

Les notifications de changement de sous-traitants ultérieurs doivent être suivies, et non archivées sans lecture.

Un réexamen annuel des prestataires critiques permet de détecter un déplacement des traitements, une perte de certification ou un changement d’usage des données.

L’alignement contractuel

Un éditeur doit pouvoir démontrer que ses engagements clients sont couverts par sa chaîne.

Un tableau de correspondance, engagement par engagement, entre ce qu’il promet et ce que ses fournisseurs garantissent, met en évidence les écarts.

Ces écarts se traitent par la négociation, par le changement de fournisseur, ou par l’ajustement des engagements clients.

Aligner la chaîne avant de s’engager

Un engagement client que la chaîne ne permet pas de tenir est une exposition certaine. Notre expertise RGPD et protection des données personnelles conduit ces alignements.

En résumé

• L’éditeur répond intégralement de ses sous-traitants ultérieurs devant ses clients.
• Négocier en priorité un délai chiffré et court de notification des violations.
• Vérifier dans chaque service l’absence d’usage des données par le fournisseur pour ses propres finalités.
• Ne pas oublier journalisation, assistance conversationnelle, analyse de session et services d’intelligence artificielle.
• Établir un tableau de correspondance entre engagements clients et garanties fournisseurs.