Quelles obligations en matière de données pour un éditeur de SaaS ?

Introduction

Un éditeur de SaaS occupe une position particulière : il traite pour le compte de ses clients tout en menant ses propres traitements. Cette double qualification structure l’ensemble de ses obligations.

La double qualification

Pour les données que ses clients saisissent et gèrent dans l’outil, l’éditeur agit sur instruction : il est sous-traitant.

Pour ses propres traitements, il est responsable : prospection, gestion des comptes et de la facturation, support, mesure d’audience, analyse d’usage à des fins d’amélioration du produit.

Cette distinction doit être opérée traitement par traitement, car elle détermine les obligations applicables et les documents à produire.

Une analyse d’usage menée pour l’amélioration du produit, dans l’intérêt propre de l’éditeur, le fait basculer en responsable pour ce traitement : ce point est fréquemment mal traité et constitue un axe de vérification des clients professionnels.

Les obligations du sous-traitant

Ne traiter les données que sur instruction documentée du responsable.

Garantir la confidentialité des personnes autorisées à traiter les données.

Mettre en œuvre les mesures de sécurité appropriées.

Ne pas recruter de sous-traitant ultérieur sans autorisation écrite, spécifique ou générale, du responsable.

Aider le responsable à répondre aux demandes d’exercice des droits.

Aider le responsable à respecter ses obligations de sécurité, de notification de violation et d’analyse d’impact.

Supprimer ou renvoyer les données au terme de la prestation, au choix du responsable.

Mettre à disposition les informations nécessaires pour démontrer le respect de ces obligations et permettre les audits.

Le registre

Le sous-traitant tient un registre des catégories d’activités de traitement effectuées pour le compte de chaque responsable.

Il y indique notamment son identité, celle de chaque responsable, les catégories de traitements effectués, les transferts vers des pays tiers et une description générale des mesures de sécurité.

Il tient par ailleurs un registre distinct pour ses traitements propres, en qualité de responsable.

Ces deux registres sont les premières pièces demandées par un client lors d’un audit fournisseur.

La protection dès la conception et par défaut

Le responsable met en œuvre les mesures appropriées, tant au moment de la détermination des moyens que lors du traitement lui-même.

Il garantit par défaut que seules les données nécessaires à chaque finalité sont traitées.

Pour un éditeur, cette exigence se traduit dans le produit : granularité des habilitations, paramétrage par défaut restrictif, durées de conservation configurables, fonctions d’export et de suppression, journalisation des accès.

Ces fonctions ne sont pas seulement des exigences réglementaires : elles conditionnent la capacité des clients à être eux-mêmes conformes, et deviennent un argument commercial.

Les fonctions attendues par les clients

L’export des données dans un format structuré et couramment utilisé.

La suppression sélective, permettant de répondre à une demande d’effacement.

La configuration des durées de conservation et la purge automatique.

La gestion fine des habilitations.

La journalisation des accès et des actions, avec une durée de conservation adaptée.

La pseudonymisation ou l’anonymisation des environnements de test.

Un client soumis à un contrôle demandera à son éditeur de démontrer ces capacités : leur absence constitue un motif de non-sélection.

La sécurité

Chiffrement des données en transit et au repos.

Authentification renforcée, en particulier pour les accès administrateurs.

Gestion des habilitations fondée sur le besoin d’en connaître, avec revue périodique.

Cloisonnement des environnements et séparation des données entre clients.

Sauvegardes régulières et testées.

Journalisation et détection.

Procédure de gestion des violations, avec un délai de notification au client permettant à celui-ci de respecter sa propre échéance de soixante-douze heures.

Les transferts

L’hébergement et les sous-traitants ultérieurs déterminent les transferts hors de l’Union.

Chacun doit être encadré et documenté, ce sujet faisant l’objet d’un article dédié de ce guide.

La liste des sous-traitants ultérieurs doit être publiée et tenue à jour, avec une procédure de notification des changements.

La documentation opposable

Un éditeur doit disposer d’un ensemble documentaire remis à ses clients.

Accord de traitement, annexes décrivant les traitements, mesures de sécurité, liste des sous-traitants ultérieurs, localisation des données, politique de gestion des violations, certifications éventuelles.

Cet ensemble, standardisé et à jour, évite de renégocier avec chaque client et accélère considérablement les cycles de vente.

Construire la conformité dans le produit

Ce qui est demandé par les clients relève autant du produit que du contrat. Notre expertise RGPD et protection des données personnelles construit ces dispositifs.

En résumé

• Double qualification : sous-traitant pour les données des clients, responsable pour ses propres traitements.
• L’analyse d’usage menée dans son intérêt propre fait basculer l’éditeur en responsable.
• Deux registres distincts, premières pièces demandées lors d’un audit fournisseur.
• Export, suppression sélective, durées configurables et habilitations fines sont attendus par les clients.
• Un ensemble documentaire standardisé accélère les cycles de vente.