Éditeur SaaS : quoi faire en premier pour le RGPD ?
Pour qui : Vous éditez un logiciel en ligne. Un client vous envoie son premier contrat de sous-traitance ou vous demande votre registre, et rien n’est encore écrit chez vous.
Séparez d’abord vos deux rôles. Vous êtes responsable de traitement pour vos salariés et vos contacts commerciaux, et sous-traitant, c’est-à-dire prestataire agissant sur instruction, pour les données que vos clients déposent chez vous. La CNIL recommande deux registres.
Écrivez ensuite une fiche par catégorie de service, reliée à la liste de vos clients. Adoptez un contrat type, tenez à jour la liste de vos prestataires, puis écrivez trois procédures : demandes de droits, violation de données, fin de contrat. Un fichier suffit pour tout cela.
Notre avis
Séparez d’abord vos deux rôles, puis écrivez une fiche par catégorie de service reliée à la liste de vos clients. Contrat type, liste de prestataires et procédures suivent. N’achetez aucun logiciel à ce stade.
Pourquoi
- Pour vos salariés et vos contacts commerciaux, vous décidez : vous êtes responsable de traitement. Pour les données de vos clients, vous agissez sur leurs instructions : vous êtes sous-traitant.
- La CNIL décrit le registre du sous-traitant par catégorie d’activité, avec les coordonnées de chaque client. Une liste tirée de votre outil de facturation peut donc porter ce rattachement.
- Les clauses types de la Commission couvrent les dispositions obligatoires de l’article 28 sans rien coûter.
- Une sanction de la CNIL du 11 décembre 2025 retient contre un sous-traitant l’absence de registre et la conservation de données après le contrat.
Ce qui change le choix
Le rattachement des activités aux clients vous prend plus de temps que le service à décrire : nombreux clients à traitements différents, versions de contrat qui divergent. Comparez alors un outil pour cette tâche.
L’ordre à suivre
- Séparer les deux rôles et ouvrir deux registres.
- Écrire une fiche par catégorie de service, reliée à la liste des clients.
- Partir des clauses types de la Commission pour le contrat.
- Tenir à jour la liste de vos propres prestataires.
- Écrire les procédures : demandes de droits, violation, fin de contrat.
- Comparer un logiciel seulement si rattacher les activités aux clients devient votre travail principal.
Une fiche par service, reliée à vos clients
La CNIL demande une fiche par catégorie d’activité, comme l’hébergement ou la maintenance. Chacune porte le nom et les coordonnées de chaque client, vos propres prestataires, les opérations réalisées, les transferts hors de l’Union et une description générale de la sécurité. Aucun onglet n’existe pour cela dans le modèle de la CNIL : construisez le vôtre.
Exemple fictif : un éditeur compte 300 clients et propose 3 services, à savoir hébergement, support et envoi de messages. Il écrit 3 fiches et tient un tableau de 300 lignes, avec pour chaque client ses coordonnées et les services souscrits. Ce tableau vient de son outil de facturation. Un client qui a demandé un traitement sur mesure reçoit une fiche de plus, soit 4. Cette organisation est notre lecture du texte : elle doit vous permettre de produire sans délai ce qui concerne un client donné, car le registre se remet à la CNIL sur demande.
Le contrat et la liste de vos prestataires
L’article 28 impose un contrat et en fixe le contenu. Les clauses types publiées par la Commission le 4 juin 2021 vous donnent un point de départ gratuit. Leur usage reste facultatif si votre contrat contient tout ce que l’article exige. Elles ne se modifient pas, sauf les annexes, et ne servent pas aux transferts hors de l’Union. Un grand client peut imposer son modèle : vérifiez alors les mêmes points.
Vous ne pouvez pas ajouter un prestataire sans autorisation écrite du client, générale ou spécifique. Avec une autorisation générale, prévenez-le de tout changement prévu pour qu’il puisse s’y opposer. Le comité européen attend du sous-traitant qu’il fournisse de lui-même l’identité de toute la chaîne et la tienne à jour. Une page publique datée y aide, à condition que votre contrat dise comment vous prévenez le client.
Trois procédures à écrire avant la première demande
La fin de contrat a un précédent. Le 11 décembre 2025, la CNIL a infligé un million d’euros à Mobius Solutions, sous-traitant établi hors de l’Union. Elle lui reproche d’avoir gardé après le contrat une copie des données de plus de 46 millions d’utilisateurs, sur un environnement hors production, de les avoir utilisées sans instruction pour améliorer ses services et de n’avoir tenu aucun registre. Ce dossier naît d’une fuite massive : il ne donne aucun ordre de grandeur pour une petite société.
| Situation | Votre rôle | Ce qui reste au client | À préparer |
|---|---|---|---|
| Une personne demande à exercer ses droits | Aider le client dans toute la mesure du possible, selon la nature du traitement | Donner suite à la demande, sauf si le contrat vous charge de répondre en son nom | Export et suppression par personne si votre produit le permet. Si la demande vous arrive directement, transmission au contact prévu. |
| Violation de données | Notifier toute violation au client dans les meilleurs délais, sans évaluer le risque à sa place | Décider de notifier la CNIL et d’informer les personnes, sauf délégation prévue au contrat | Un contact par client, tenu à jour. Si le contrat chiffre un délai, c’est lui que vous suivez. |
| Fin de contrat | Supprimer ou renvoyer les données selon le choix du client, et détruire les copies | Choisir entre suppression et renvoi | Une liste de tous les emplacements, environnements de test et de développement compris |
Votre second registre, et le délégué
Vos salariés, votre paie, vos contacts commerciaux et les comptes de vos clients en tant que société relèvent de votre registre de responsable. Là, le modèle de la CNIL vous sert de base.
L’article 37 vise aussi le sous-traitant : vous devez désigner un délégué à la protection des données si vos activités de base exigent un suivi régulier et systématique à grande échelle, ou un traitement à grande échelle de données sensibles. Éditer un logiciel ne suffit pas à le déclencher. Regardez ce que votre produit fait des personnes.
Limites de cette page
Le guide du sous-traitant de la CNIL date de septembre 2017, avant les clauses types de la Commission : ses exemples de clauses ne sont pas un point de départ. Nous décrivons le droit en vigueur au 5 novembre 2026, sans les projets européens en discussion. Votre responsabilité de responsable de traitement sur l’usage produit, notamment pour entraîner un modèle, se vérifie à part.
Prochaine action
Faites deux colonnes sur une page : traitements décidés par vous, traitements faits pour vos clients. Ouvrez ensuite une fiche par service et exportez la liste de vos clients. Si un client attend un contrat signé, partez des clauses de la Commission et remplissez leurs annexes.
Preuves et sources
Lu le 5 novembre 2026 : les articles 28, 30, 33 et 37 du RGPD dans le texte publié par la CNIL ; sa page sur le registre (13 avril 2018) ; son guide du sous-traitant (septembre 2017) ; sa page sur les clauses types (30 juin 2021) ; l’avis 22/2024 du comité européen de la protection des données ; le communiqué CNIL du 19 décembre 2025 sur la société Mobius Solutions ; le modèle de registre de la CNIL.
Chaque élément ci-dessous dit s’il s’agit d’un fait lu dans une source, d’une déclaration d’éditeur, de notre calcul, de notre méthode ou de notre avis. Aucun outil n’a été testé. Notre méthode
Fait lu. L’article 30 du RGPD impose à chaque sous-traitant un registre des catégories d’activités effectuées pour le compte du responsable, avec le nom et les coordonnées de chaque responsable, et la CNIL recommande deux registres à un organisme qui exerce les deux rôles.
Portée : Article 30, paragraphe 2, et page CNIL du 13 avril 2018.
Réserve : Dérogation limitée du paragraphe 5 pour moins de 250 employés. Numéros de paragraphe rétablis d’après l’ordre du texte.
- CNIL : Chapitre IV - Responsable du traitement et sous-traitant date non relevée. Lu le 5 novembre 2026. Reproduction par un tiers, à confirmer sur le texte officiel.
- CNIL : Le registre des activités de traitement 13 avril 2018 (date de page). Lu le 5 novembre 2026. Document d’origine.
Déclaration de l’éditeur. La CNIL indique qu’une fiche de registre doit être établie pour chaque catégorie d’activité effectuée pour les clients, comme l’hébergement ou la maintenance, avec notamment le nom et les coordonnées de chaque client et des sous-traitants auxquels l’organisme fait appel.
Portée : Page CNIL du 13 avril 2018.
Réserve : Doctrine de la CNIL.
- CNIL : Le registre des activités de traitement 13 avril 2018 (date de page). Lu le 5 novembre 2026. Document d’origine.
Notre méthode. Relier la fiche par catégorie à un tableau de clients tiré d’un outil de facturation est notre lecture du texte ; aucune source lue ne décrit cette organisation.
Portée : Éditeur à services standard.
Réserve : Le registre doit permettre de retrouver ce qui concerne chaque client et une fiche s’ajoute pour un traitement sur mesure.
Daté du 5 novembre 2026.
Fait lu. Le modèle de registre de la CNIL lu le 5 novembre 2026 ne comporte pas d’onglet pour le registre du sous-traitant.
Portée : Fichier ODS téléchargé le 5 novembre 2026.
Réserve : Nouvelle version possible.
- CNIL : Modèle de registre simplifié (registre-traitement-simplifie.ods) Métadonnée dc:date du fichier : 18 février 2020. Lu le 5 novembre 2026. Document d’origine.
Déclaration de l’éditeur. Selon la CNIL, les clauses types publiées par la Commission le 4 juin 2021 n’ont pas obligatoirement à être utilisées si le contrat contient tout ce que l’article 28 exige, ne se modifient pas hors ajout ou mise à jour des annexes, et ne peuvent servir aux fins du chapitre V du RGPD.
Portée : Page CNIL du 30 juin 2021 sur les clauses entre responsable et sous-traitant.
Réserve : Présentation par la CNIL ; le texte de la décision n’a pas été relu ici.
- CNIL : Clauses contractuelles types entre responsable de traitement et sous-traitant | CNIL Page datée du 30 juin 2021. Lu le 5 novembre 2026. Document d’origine.
- Commission européenne : Standard contractual clauses for controllers and processors in the EU/EEA - European Commission 4 juin 2021. Lu le 5 novembre 2026. Document d’origine.
Fait lu. L’article 28 interdit au sous-traitant de recruter un autre sous-traitant sans autorisation écrite préalable, spécifique ou générale, et, en cas d’autorisation générale, l’oblige à informer le responsable de tout changement prévu pour lui permettre d’émettre des objections.
Portée : Article 28, paragraphe 2.
Réserve : Texte reproduit par la CNIL.
- CNIL : Chapitre IV - Responsable du traitement et sous-traitant date non relevée. Lu le 5 novembre 2026. Reproduction par un tiers, à confirmer sur le texte officiel.
Déclaration de l’éditeur. Pour le comité européen de la protection des données, le sous-traitant devrait fournir de lui-même au responsable l’identité de tous les sous-traitants de la chaîne et tenir cette information à jour.
Portée : Avis 22/2024, adopté le 7 octobre 2024, point 32.
Réserve : Avis du comité : le contrat peut préciser le format.
- CEPD/EDPB : Opinion 22/2024 on certain obligations following from the reliance on processor(s) and sub-processor(s) 9 octobre 2024. Lu le 5 novembre 2026. Document d’origine.
Fait lu. L’article 28 prévoit que le sous-traitant aide le responsable, dans toute la mesure du possible et compte tenu de la nature du traitement, à donner suite aux demandes d’exercice des droits, et le guide CNIL de 2017 propose deux options de clause : transmettre la demande au contact du responsable ou répondre en son nom.
Portée : Article 28, paragraphe 3, point e ; guide du sous-traitant de septembre 2017.
Réserve : Exemple de clause antérieur aux clauses types de la Commission.
- CNIL : Chapitre IV - Responsable du traitement et sous-traitant date non relevée. Lu le 5 novembre 2026. Reproduction par un tiers, à confirmer sur le texte officiel.
- CNIL : Règlement européen sur la protection des données. Guide du sous-traitant Édition septembre 2017. Lu le 5 novembre 2026. Document d’origine.
Notre avis. Prévoir un export et une suppression par personne dans le produit est notre conseil pour rendre cette aide praticable ; le texte parle de mesures techniques et organisationnelles sans nommer ces fonctions.
Portée : Éditeurs de logiciels en ligne.
Réserve : Selon la nature du produit.
- CNIL : Chapitre IV - Responsable du traitement et sous-traitant date non relevée. Lu le 5 novembre 2026. Reproduction par un tiers, à confirmer sur le texte officiel.
Fait lu. L’article 33 impose au sous-traitant de notifier au responsable toute violation dans les meilleurs délais après en avoir pris connaissance, le seuil de risque et le délai de 72 heures portant sur la notification du responsable à l’autorité, et le guide CNIL admet une notification par le sous-traitant pour le compte du client si le contrat le prévoit.
Portée : Article 33, paragraphes 1 et 2 ; droit en vigueur au 5 novembre 2026.
Réserve : Un projet européen modifierait les règles de notification sans être adopté.
- CNIL : Chapitre IV - Responsable du traitement et sous-traitant date non relevée. Lu le 5 novembre 2026. Reproduction par un tiers, à confirmer sur le texte officiel.
- CNIL : Règlement européen sur la protection des données. Guide du sous-traitant Édition septembre 2017. Lu le 5 novembre 2026. Document d’origine.
Fait lu. L’article 28 prévoit que, selon le choix du responsable, le sous-traitant supprime toutes les données ou les renvoie au terme de la prestation et détruit les copies existantes, sauf si le droit impose leur conservation.
Portée : Article 28, paragraphe 3, point g.
Réserve : Texte reproduit par la CNIL.
- CNIL : Chapitre IV - Responsable du traitement et sous-traitant date non relevée. Lu le 5 novembre 2026. Reproduction par un tiers, à confirmer sur le texte officiel.
Fait lu. Le 11 décembre 2025, la CNIL a infligé une amende d’un million d’euros à Mobius Solutions, sous-traitant non établi dans l’Union, pour avoir conservé après le contrat une copie des données de plus de 46 millions d’utilisateurs sur un environnement hors production, utilisé ces données sans instruction pour améliorer ses services et ne pas avoir tenu de registre de sous-traitant.
Portée : Communiqué CNIL du 19 décembre 2025, délibération SAN-2025-014.
Réserve : Communiqué lu, sans la délibération. Le montant tient à la gravité, au nombre de personnes et au chiffre d’affaires.
- CNIL : Violation de données : sanction d'un million d'euros à l'encontre de la société MOBIUS SOLUTIONS LTD 19 décembre 2025 ; décision du 11 décembre 2025. Lu le 5 novembre 2026. Document d’origine.
Fait lu. L’article 37 du RGPD vise le sous-traitant aussi bien que le responsable pour la désignation d’un délégué lorsque ses activités de base exigent un suivi régulier et systématique à grande échelle ou un traitement à grande échelle de données sensibles.
Portée : Article 37, paragraphe 1.
Réserve : « Grande échelle » s’apprécie au cas par cas.
- CNIL : Chapitre IV - Responsable du traitement et sous-traitant date non relevée. Lu le 5 novembre 2026. Reproduction par un tiers, à confirmer sur le texte officiel.
Notre avis. N’acheter aucun logiciel avant que le rattachement des activités aux clients devienne un travail à part entière est notre avis ; l’article 30 admet un registre écrit, y compris électronique, sans imposer d’outil.
Portée : Premiers pas d’un éditeur.
Réserve : Aucun logiciel n’a été essayé pour cette page.
- CNIL : Chapitre IV - Responsable du traitement et sous-traitant date non relevée. Lu le 5 novembre 2026. Reproduction par un tiers, à confirmer sur le texte officiel.