Conditions et contrats SaaS : que vérifier avant de signer (DPA compris)

Pourquoi un contrat SaaS n’est pas une licence de logiciel

Page du service : Commerce numérique et IA : un avocat pour les conditions générales, la vie privée et la prospection directe.

Avec une licence de logiciel classique, vous recevez une copie et l’exécutez sur du matériel que vous contrôlez. Avec le logiciel en tant que service (SaaS), vous recevez seulement un droit d’accès. Le logiciel, les serveurs et les données sont chez le fournisseur, et votre capacité à continuer à travailler dépend de lui. Toutes les questions juridiques en découlent : que se passe-t-il quand le service tombe en panne, quand le prix augmente, quand le fournisseur est vendu ou ferme, et quand quelqu’un accède à la base de données sans autorisation.

Un contrat SaaS se compose presque toujours de plusieurs couches : un bon de commande ou un devis, des conditions d’utilisation générales publiées sur le site du fournisseur, un document de niveau de service et une annexe de traitement des données. Beaucoup de litiges naissent d’une hiérarchie peu claire entre ces couches. Une clause d’ordre de priorité expresse, qui dit quel document prévaut sur quel autre, est l’une des clauses les plus simples et les plus utiles du contrat.

Des conditions d’utilisation acceptées par un clic, et ce qui en tient en Israël

Des conditions d’utilisation standard publiées sur un site et acceptées en cochant une case sont un contrat d’adhésion : un texte dont les conditions ont été fixées à l’avance par une partie pour servir à de nombreux contrats avec des clients indéterminés. Les dispositions de la loi sur les contrats d’adhésion, 5743-1982, s’y appliquent donc, à côté du droit général des contrats de la loi sur les contrats (partie générale), 5733-1973 (חוק החוזים (חלק כללי), התשל״ג-1973).

L’article 5 de la loi prévoit deux clauses nulles : la clause qui supprime ou limite le droit du client de saisir la justice, et la clause qui exonère le fournisseur, totalement ou partiellement, de sa responsabilité pour un dommage corporel ou un acte malveillant. L’article 4 ajoute des présomptions de clause abusive, dont plusieurs concernent directement les formulations courantes du secteur :

• Alinéa (1) : l’exonération d’une responsabilité imposée par la loi, ou une limitation déraisonnable de la responsabilité contractuelle. Un plafond de responsabilité égal à un mois d’abonnement, alors que le dommage prévisible d’une interruption est bien plus important, est exactement le type de clause examiné ici.
• Alinéa (2) : un droit déraisonnable du fournisseur d’annuler, de suspendre ou de reporter l’exécution du contrat, ou de modifier des obligations essentielles. « Le fournisseur peut supprimer une fonctionnalité à tout moment » en fait partie.
• Alinéa (4) : le droit de fixer ou de modifier le prix après la conclusion du contrat, à la seule discrétion du fournisseur.
• Alinéa (6) : la suppression ou la limitation d’un droit ou d’un recours dont le client dispose selon la loi, ou leur subordination à un avis dans une forme ou un délai déraisonnables.
• Alinéas (8)–(10) : une clause d’arbitrage, en particulier un arbitrage dans lequel le fournisseur a plus d’influence sur le choix de l’arbitre, le lieu et la procédure.
• Alinéa (9) : une dérogation aux dispositions légales sur la compétence territoriale, ou un droit exclusif du fournisseur de choisir la juridiction.

La conclusion pratique pour le client : une clause qui paraît inattaquable ne l’est pas forcément. La conclusion pour le fournisseur : un plafond de responsabilité raisonnable, lié à la rémunération effectivement reçue sur une période définie et qui exclut expressément le dommage corporel et l’acte malveillant, résiste mieux qu’une exonération générale.

Le niveau de service : disponibilité, avoir et recours

Le document de niveau de service définit la disponibilité du service en pourcentage. La différence est faible en chiffres et grande en pratique : 99,9 % autorisent environ huit heures et quarante-six minutes d’interruption par an ; 99,99 % en autorisent environ cinquante-deux minutes. Avant de discuter du chiffre, il est conseillé de vérifier trois autres choses :

• Comment l’interruption est mesurée : qui mesure, sur quelle fenêtre de temps, et si une fenêtre de maintenance programmée est exclue du calcul.
• Quel est le recours : dans la plupart des contrats, le seul recours est un avoir en pourcentage de l’abonnement, parfois qualifié de « recours exclusif ». Un avoir n’est pas une indemnisation, et un « recours exclusif » est exactement une clause examinée selon l’article 4(6) de la loi sur les contrats d’adhésion.
• Ce qui se passe en cas de violation continue : un client qui dépend du service a besoin d’un droit de sortie anticipée et d’un remboursement au prorata si la disponibilité tombe sous le seuil pendant plusieurs mois consécutifs, et pas seulement d’un avoir.

Propriété des données, entraînement de modèles et exportation

La règle doit être écrite expressément : les données que saisit le client appartiennent au client, et le fournisseur reçoit sur elles une licence limitée, dans le seul but de fournir le service. Trois points exigent une rédaction distincte :

• L’usage secondaire : le fournisseur peut-il utiliser les données pour améliorer le produit ou entraîner des modèles ? Si oui, dans quelle mesure, et après suppression des éléments d’identification ? Une option par défaut silencieuse en faveur du fournisseur est un vrai risque, surtout lorsque les données contiennent des informations sur les clients du client.
• L’exportation : pas une « possibilité d’exportation » en général, mais un format, un périmètre (y compris les pièces jointes et l’historique d’activité) et une fenêtre de temps pendant laquelle l’exportation est possible après la fin du contrat.
• L’effacement : quand les données sont effacées de l’environnement de production et des sauvegardes, et qui confirme par écrit que l’effacement a été effectué.

Sécurité des données et sous-traitance : ce que le droit israélien exige dans le contrat

C’est la partie que la plupart des contrats SaaS en Israël oublient. Selon la loi sur la protection de la vie privée, 5741-1981 (חוק הגנת הפרטיות, התשמ״א-1981), telle que modifiée par l’amendement n° 13 entré en vigueur le 14 août 2025, le responsable de la base de données est celui qui fixe les finalités du traitement, et le détenteur est un tiers qui traite des informations pour son compte. Le client est en général le responsable de la base de données ; le fournisseur SaaS est le détenteur.

Le règlement sur la protection de la vie privée (sécurité des données), 5777-2017 impose, à son article 15, une obligation concrète pour tout contrat avec un tiers qui implique l’accès à une base de données. Il faut évaluer à l’avance les risques pour la sécurité des données, et fixer expressément dans le contrat : les informations que le tiers peut traiter et les finalités d’utilisation permises ; les systèmes auxquels il peut accéder ; le type de traitement ou d’opération ; la durée du contrat, la manière dont les informations sont restituées à sa fin, leur destruction chez le tiers et le rapport à ce sujet ; la manière d’appliquer les obligations de sécurité des données qui incombent au détenteur ; l’obligation de faire signer aux personnes autorisées un engagement de confidentialité ; l’obligation du tiers d’inclure les mêmes points dans le contrat avec un sous-traitant approuvé ; et une obligation de rapport annuel au responsable de la base de données, ainsi qu’un rapport immédiat en cas d’incident de sécurité. Il faut en outre détailler ces éléments dans la procédure de sécurité et prendre des mesures de contrôle du respect du contrat par le fournisseur. La mise en cohérence de l’annexe de traitement des données et du contrat commercial est l’essentiel du travail d’accompagnement juridique en commerce numérique et intelligence artificielle.

Autrement dit : en Israël, inutile de s’appuyer sur un modèle étranger pour savoir ce qui doit figurer dans l’annexe de traitement des données, car l’article énumère la liste. Un contrat SaaS qui renvoie seulement à la « politique de confidentialité du fournisseur » ne la respecte pas.

Pour les incidents de sécurité, l’article 11 impose de documenter tout événement qui fait craindre une atteinte à l’intégrité des informations ou une utilisation sans autorisation, et de fixer des instructions de traitement dans la procédure de sécurité. En cas d’incident de sécurité grave, tel que défini par le règlement selon le niveau de sécurité de la base de données, naît une obligation d’en informer immédiatement l’Autorité et de rendre compte des mesures prises. Le contrat doit donc fixer un calendrier contraignant pour que le fournisseur informe le client, et non « dès que possible ».

Une couche supplémentaire : l’article 17B1 de la loi impose la nomination d’un délégué à la protection de la vie privée (DPO), notamment chez le responsable ou le détenteur dont les activités principales impliquent des traitements exigeant une surveillance régulière et systématique de personnes à une échelle significative, ou le traitement d’informations particulièrement sensibles à une échelle significative. De nombreux fournisseurs SaaS entrent dans cette définition, et la question de la nomination est une question légitime d’audit préalable (due diligence) face à un fournisseur.

Conditions de sortie et continuité d’activité

La sortie d’un fournisseur SaaS est le moment où tout ce qui n’a pas été écrit se révèle. Quatre clauses qui tiennent la route :

• Un préavis symétrique : si le client doit prévenir 90 jours à l’avance, le fournisseur aussi.
• Une période d’assistance à la transition : une durée définie pendant laquelle le compte reste actif en lecture et en exportation, même après la fin du contrat, et une rémunération convenue à l’avance pour les services de transition.
• La continuité en cas d’insolvabilité ou de changement de contrôle : le dépôt du code et des données auprès d’un tiers séquestre (escrow), ou au minimum un engagement d’exportation immédiate et complète. Un tel dispositif ne vaut son coût que pour les services critiques pour l’activité.
• Les droits sur les adaptations : les développements spécifiques commandés et financés par le client : à qui ils appartiennent, et ce qu’ils deviennent à la sortie.

Tarification, volume d’utilisation et renouvellement automatique

Trois litiges récurrents dans les contrats SaaS naissent des définitions et non des montants. Le premier porte sur l’unité de facturation : abonnement par siège (nombre d’utilisateurs autorisés) ou facturation selon l’utilisation réelle. Dans les deux modèles, il faut une définition précise de l’« utilisateur » et de l’« utilisation » : un utilisateur désactivé en milieu de mois est-il compté, et les appels automatiques comptent-ils comme une utilisation ?

Le deuxième porte sur le dépassement du volume convenu : que se passe-t-il quand on dépasse le quota ? Facturation automatique selon le barème, blocage, ou avertissement et possibilité de régulariser. Le troisième porte sur le renouvellement automatique : la durée d’engagement, la date limite pour l’avis de non-renouvellement, et le maintien ou non du prix pendant la période de renouvellement. Un contrat qui prévoit un renouvellement automatique pour une année de plus avec une fenêtre de résiliation d’une semaine est un contrat qui se renouvelle presque toujours.

À côté de cela, le fournisseur a besoin d’une politique d’usage loyal (fair use) qui définit ce qui est interdit dans le service, d’une interdiction de l’ingénierie inverse et d’une précision indiquant que la propriété intellectuelle du logiciel lui reste acquise. Le client reçoit, lui, une licence d’utilisation limitée et non exclusive pour la durée du contrat.

Modifications unilatérales, prix et droit applicable

La clause « Le fournisseur peut mettre à jour les conditions de temps à autre, et la poursuite de l’utilisation vaut acceptation » est standard dans le secteur. Dans un contrat d’adhésion, elle s’apprécie selon les présomptions de clause abusive de l’article 4. Une rédaction équilibrée prévoit un avis préalable dans un délai défini, distingue la modification technique de la modification substantielle, et donne au client le droit de résilier sans pénalité si la modification est substantielle. Pour le prix, un mécanisme connu à l’avance (par exemple un plafond de révision annuelle) vaut mieux qu’un pouvoir discrétionnaire illimité.

Dans un contrat avec un fournisseur étranger, la clause de droit applicable et de juridiction détermine combien coûtera un litige. Une juridiction étrangère rend non rentable une action d’un montant moyen : c’est donc une clause commerciale, et non une formalité. S’il est impossible d’obtenir la juridiction israélienne, un arbitrage auprès d’une institution reconnue, dans une langue et un lieu convenus à l’avance, vaut mieux qu’un procès dans un pays lointain. Il faut toutefois que le client ne soit pas partie à un contrat d’adhésion dans lequel la clause d’arbitrage elle-même relève de la présomption de clause abusive.

La clause de « droit applicable » dans les conditions d’utilisation d’un fournisseur étranger n’est pas non plus inattaquable face à une petite entreprise. Dans l’affaire Troim Miller, il a été jugé à la majorité que la clause de droit californien des conditions d’utilisation de Facebook est abusive envers ses clients consommateurs, dont les petites entreprises qui lui ont acheté des services de publicité. Le tribunal de première instance a reçu pour instruction de vérifier si l’entreprise demanderesse est une petite entreprise, et la juge Y. Willner a souligné que sa décision repose dans une large mesure sur les circonstances de l’espèce (demande d’autorisation d’appel civil (רע״א) 1901/20, 26 juillet 2022). Face aux consommateurs particuliers, lorsque le service vise des clients en Israël et que le droit israélien s’applique, la règle est plus nette : une clause de droit étranger n’écarte pas les dispositions impératives de la loi sur la protection du consommateur, 5741-1981 (חוק הגנת הצרכן, התשמ״א-1981) (article 36 ; dans l’affaire Agoda, cela a été jugé pour l’obligation d’afficher le prix total, demande d’autorisation d’appel civil 6992/22 ; une demande de nouvelle audience a été rejetée le 18 janvier 2026). La question de savoir si toute clause de droit étranger face à un petit client est abusive n’a pas été tranchée comme règle de principe. Dans un contrat important avec un fournisseur étranger, il reste donc conseillé de négocier cette clause plutôt que de compter sur son annulation.

Des conditions SaaS qui s’adressent aussi aux consommateurs : résiliation, renouvellement et facturation

Tout ce qui précède concerne un contrat entre entreprises. Lorsque le service logiciel est aussi vendu à un « consommateur », c’est-à-dire à celui qui l’achète pour un usage principalement personnel, domestique ou familial (article 1 de la loi sur la protection du consommateur), les conditions doivent respecter plusieurs obligations supplémentaires. Toutes découlent du fait que la vente sur un site est une vente à distance, et qu’un abonnement est une transaction continue (contrat à exécution successive) :

En pratique, un fournisseur qui vend aux deux publics a souvent deux versions, ou une seule version avec un chapitre distinct pour les consommateurs. Des clauses adaptées à un contrat entre entreprises, comme un engagement annuel sans aucune possibilité de sortie ou un renouvellement silencieux pour une année supplémentaire, ne tiennent pas face à un consommateur. Une formule annuelle est permise, mais le consommateur peut remettre un avis de résiliation, et les paiements dus en cas d’annulation doivent être indiqués à l’avance (articles 13C(b)(3), 13D(c), 13A(c)). Sur le renouvellement automatique et les avis avant la fin d’une période, voir Renouvellement automatique d’un abonnement : ce que la loi exige de l’entreprise, et sur les obligations du site lui-même, voir les conditions d’utilisation d’une boutique en ligne.

Questions fréquentes

Quelle est la différence entre des conditions d’utilisation et un contrat SaaS ?

Les conditions d’utilisation sont un document d’adhésion que le fournisseur publie et met à jour, et qui vise surtout à le protéger. Un véritable contrat SaaS ajoute ce dont le client a besoin : un engagement de niveau de service avec un recours réel, une propriété expresse des données, une annexe de traitement des données conforme à l’article 15 du règlement sur la sécurité des données, et des conditions de sortie. Lorsque les documents du fournisseur contredisent le bon de commande, c’est la clause d’ordre de priorité qui tranche.

Une annexe de traitement des données est-elle requise dans un contrat avec un fournisseur israélien ?

Oui, lorsque le contrat implique l’accès à une base de données et que le fournisseur n’est pas une personne physique (article 15(c)). L’article 15 du règlement sur la protection de la vie privée (sécurité des données), 5777-2017, impose de fixer expressément dans le contrat l’étendue du traitement, les systèmes, le type d’opérations, la durée du contrat, la restitution et la destruction des informations, l’application des obligations de sécurité, un engagement de confidentialité, des règles pour les sous-traitants et des obligations de rapport. C’est vrai même sans aucun lien avec l’Europe.

Un plafond de responsabilité égal à l’abonnement est-il valable ?

Pas automatiquement. Dans un contrat d’adhésion, l’exonération d’une responsabilité imposée par la loi ou une limitation déraisonnable de la responsabilité contractuelle relève de la présomption de clause abusive de l’article 4(1). Et l’exonération de responsabilité pour un dommage corporel ou un acte malveillant est nulle selon l’article 5(b). Un plafond proportionné, qui exclut expressément le dommage corporel, l’acte malveillant et la violation de la confidentialité, résiste bien mieux qu’une exonération générale.

Que vérifier chez un fournisseur avant de signer ?

Où les données sont hébergées et quels sous-traitants interviennent ; quelles normes de sécurité et quels audits externes le fournisseur possède ; s’il a nommé un délégué à la protection de la vie privée selon l’article 17B1 de la loi sur la protection de la vie privée ; quel est le calendrier de signalement d’un incident de sécurité ; et ce qu’il sera exactement possible d’exporter le lendemain de la fin du contrat.

Un client particulier peut-il annuler un abonnement SaaS acheté sur un site ?

Oui. Pour un service continu vendu dans le cadre d’une vente à distance, l’annulation est possible dans les 14 jours suivant la transaction ou la réception du document qui en contient les détails, la date la plus tardive étant retenue, même si le service a déjà commencé. Le consommateur paie la contrepartie proportionnelle à ce qu’il a reçu (articles 14C(c)(2), 14E(b1)). Et lorsqu’un consommateur remet un avis de résiliation selon l’article 14I, le contrat d’une transaction continue prend fin dans les trois jours ouvrés (article 13D(c)).

Un fournisseur SaaS étranger renvoie au droit californien. Cela s’applique-t-il à une petite entreprise en Israël ?

Pas nécessairement. Dans l’affaire Troim Miller, il a été jugé à la majorité que la clause de droit californien du contrat de publicité de Facebook est abusive envers ses clients consommateurs, dont les petites entreprises qui lui ont acheté des services de publicité (demande d’autorisation d’appel civil 1901/20). Aucune règle générale n’a été fixée comme règle de principe pour toute clause de droit étranger face à un petit client : chaque cas s’apprécie donc selon ses circonstances.