Éditeurs de logiciels & RGPD : les obligations du sous-traitant

De quoi parle RGPD ?

Le RGPD distingue le responsable de traitement, qui décide des finalités, et le sous-traitant, qui agit pour son compte. L’éditeur SaaS est l’archétype du sous-traitant : il héberge et traite des données dont la finalité est définie par son client.

L’article 28 impose un contrat écrit encadrant strictement ce que le sous-traitant peut faire, comment il sécurise les données et ce qu’il advient d’elles en fin de relation.

Le secteur « Éditeurs de logiciels » est-il concerné ?

Tout éditeur traitant des données personnelles pour le compte de ses clients est sous-traitant, sans seuil. La qualification ne dépend ni de la taille ni du secteur, mais de la réalité du traitement.

L’éditeur devient en revanche responsable de traitement dès qu’il définit ses propres finalités : mesure d’audience produit, prospection commerciale, ou entraînement de modèles d’IA sur les données de ses clients. Il cumule alors les deux qualités et les obligations correspondantes.

Obligations détaillées

Sanctions & risques

Les amendes peuvent atteindre 20 M€ ou 4 % du chiffre d’affaires mondial. Un éditeur défaillant expose en cascade l’ensemble de ses clients, ce qui en fait un point de défaillance contractuel majeur et un sujet récurrent en due diligence.

Au risque administratif s’ajoute un risque contractuel : les clients exigent désormais des garanties (DPA, certifications, tests) et peuvent engager la responsabilité de l’éditeur en cas de manquement.

Erreurs fréquentes dans le secteur

• 1Pas de DPA standardisé. Négocier au cas par cas faute de contrat type, ce qui ralentit les ventes et laisse des trous.
• 2Sous-traitants ultérieurs cachés. Ne pas déclarer l’hébergeur ou des services tiers, en violation de l’obligation d’information.
• 3Transferts hors UE non encadrés. Utiliser des services hors UE sans clauses ni mesures complémentaires.
• 4Notification défaillante. Ne pas savoir alerter le client sans délai en cas de violation.

Cas pratique

Un éditeur RH héberge des données de candidats pour ses clients via un sous-traitant cloud hors UE non déclaré. Lors d’un audit de sécurité mené par un grand compte, l’absence de mention du sous-traitant et de clauses de transfert bloque la signature. L’éditeur régularise en déclarant le sous-traitant, en activant les clauses contractuelles types et en publiant un DPA standard — condition désormais systématique de ses ventes grands comptes.

Feuille de route de mise en conformité

1. 1

   Cartographier les flux. Recenser les données traitées, leur localisation, les sous-traitants ultérieurs et les transferts hors UE.

2. 2

   Publier un DPA standard. Mettre à disposition un DPA type et une documentation de sécurité accessibles aux clients.

3. 3

   Tenir la liste des sous-traitants. Maintenir à jour la liste des sous-traitants ultérieurs et le mécanisme d’information des clients.

4. 4

   Documenter la sécurité. Formaliser les mesures de l’article 32 dans un registre et les faire évoluer.

5. 5

   Outiller la notification. Mettre en place une procédure de détection et de notification des violations au client sans délai.

Questions fréquentes