Un éditeur SaaS B2B est sous-traitant dans presque chaque relation client. Vous hébergez les données des clients, vous exploitez le traitement dans votre propre infrastructure et vous suivez les instructions de votre client. C'est précisément ce rôle qu'examine tout service achats enterprise dans le cadre de sa due diligence fournisseurs (gestion des risques liés aux tiers). Avant la signature d'un contrat arrive la pile de documents : questionnaires de sécurité, exigence d'un contrat de sous-traitance (CST) signé, liste des sous-traitants ultérieurs, déclarations sur la résidence des données et l'IA. L'éditeur qui livre immédiatement remporte le contrat. Celui qui reste bloqué des semaines au stade des achats le perd.

Cet article aborde la sous-traitance du point de vue de l'éditeur, et non du client. Nous présentons les obligations que vous portez vous-même en tant que sous-traitant au titre de l'art. 28 RGPD et de l'art. 9 nLPD, le contenu du CST que vos clients exigent, et la manière de structurer votre registre des activités de traitement selon l'art. 30 par. 2, votre sécurité selon l'art. 32, la chaîne de notification en cas de violation et les transferts internationaux de vos sous-traitants, de sorte que la réponse à chaque question fournisseur soit prête.

Ce guide s'adresse aux fondateurs, aux responsables juridiques et conformité, aux RSSI et aux responsables sécurité des entreprises SaaS, de la phase startup à l'éditeur établi. À la fin, vous trouverez une liste de contrôle compacte que vous pourrez confronter directement à votre situation.

La clarification des rôles est le point de départ de tout CST. En tant qu'éditeur SaaS, vous êtes sous-traitant au sens de l'art. 4 par. 8 RGPD et de l'art. 5 let. k nLPD : vous traitez des données personnelles pour le compte et selon les instructions de votre client, sans décider de manière autonome des finalités et des moyens du traitement. Votre client est le responsable du traitement. Cette attribution vaut pour les données clients qui transitent par votre plateforme.

Il importe de distinguer les données pour lesquelles vous êtes vous-même responsable du traitement. Pour vos propres données de compte, de facturation et de marketing, pour les données d'usage de vos collaborateurs et pour les analyses produit agrégées, vous décidez vous-même de la finalité et des moyens. Vous êtes alors responsable du traitement, avec vos propres obligations d'information et de respect des droits. Une séparation nette de ces deux catégories de données doit figurer dans chaque CST et dans votre registre des traitements.

L'analyse produit et l'entraînement de modèles constituent le point délicat. Dès que vous utilisez les données clients à vos propres fins, par exemple pour améliorer votre produit ou entraîner un modèle d'IA sur l'ensemble des clients, vous quittez la sous-traitance pure. Pour ce traitement, vous devenez responsable à part entière, vous avez besoin de votre propre base légale et vous devez le régler de façon transparente dans le CST. De nombreux clients enterprise posent exactement cette question. Une réponse claire et honnête est ici un argument de vente.

Selon l'art. 28 par. 3 RGPD, le contrat de sous-traitance est obligatoire et doit être conclu par écrit (y compris sous forme électronique) avant le début du traitement. L'art. 9 nLPD exige la même chose sur le fond, avec une forme plus ouverte, mais en pratique l'écrit est indispensable. En tant qu'éditeur, vous apportez idéalement votre propre CST, déjà examiné. Cela raccourcit la négociation, témoigne de votre maturité et évite de signer pour chaque client un contrat tiers comportant des clauses défavorables.

L'art. 28 par. 3 énumère le contenu obligatoire : objet, durée, nature et finalité du traitement, type de données personnelles et catégories de personnes concernées, obligations et droits du responsable du traitement. S'y ajoutent huit obligations du sous-traitant : traiter uniquement sur instruction documentée, garantir la confidentialité des personnes employées, assurer la sécurité selon l'art. 32, respecter les conditions de recours aux sous-traitants ultérieurs, prêter assistance pour les droits des personnes concernées, prêter assistance pour la sécurité, les violations et l'analyse d'impact, restituer ou supprimer les données à la fin, ainsi que permettre les audits et en apporter la preuve.

Pour une constellation CH/UE, vous construisez le CST selon le standard RGPD et complétez par les spécificités suisses (renvoi à la nLPD, adaptation suisse des clauses contractuelles types selon les directives du PFPDT). Un CST purement nLPD ne suffit pas pour des clients ayant un lien UE. Un bon CST d'éditeur couvre les deux espaces juridiques dans un seul document.

Rares sont les éditeurs SaaS qui fonctionnent sans sous-traitants ultérieurs : hébergement cloud, envoi d'e-mails, supervision, outils de support, traitement des paiements et, de plus en plus, fournisseurs d'inférence d'IA. Chacun de ces prestataires qui traite des données clients est un sous-traitant supplémentaire au sens de l'art. 28 par. 2 et 4 RGPD. Trois obligations vous incombent en tant qu'éditeur.

Autorisation : vous ne pouvez recourir à un sous-traitant ultérieur qu'avec l'autorisation écrite préalable, spécifique ou générale, du client. En pratique, les éditeurs SaaS travaillent avec une autorisation générale assortie d'une procédure de modification : vous tenez une liste à jour des sous-traitants ultérieurs, vous annoncez tout ajout ou remplacement avec un préavis raisonnable (généralement 30 jours) et vous accordez au client un droit d'opposition.

Répercussion des obligations : vous devez imposer par contrat à chaque sous-traitant ultérieur les mêmes obligations de protection des données que celles que vous portez envers votre client (art. 28 par. 4). Cette obligation de répercussion n'est pas une simple formule : vous restez responsable envers le client du respect des obligations par vos sous-traitants ultérieurs.

Transparence : une liste complète et tenue à jour des sous-traitants ultérieurs, indiquant le nom, le siège, la finalité du traitement et les catégories de données concernées, est l'un des premiers documents que réclame le service achats enterprise. Publiez cette liste dans votre trust center, maintenez-la à jour et mettez en place un canal de notification auquel les clients peuvent s'abonner pour suivre les modifications. Cela répond à toute une série de questions de questionnaire avant même qu'elles ne soient posées.

Les sous-traitants doivent tenir leur propre registre des activités de traitement. L'art. 30 par. 2 RGPD en définit le contenu de manière autonome et plus allégée que le registre du responsable du traitement selon l'art. 30 par. 1. Il doit contenir : le nom et les coordonnées du sous-traitant (votre entreprise), de chaque responsable du traitement pour le compte duquel vous agissez, le cas échéant du représentant et du délégué à la protection des données ; les catégories de traitements effectués pour le compte de chaque responsable ; le cas échéant les transferts vers des pays tiers avec l'indication du pays et des garanties ; ainsi qu'une description générale des mesures techniques et organisationnelles de sécurité selon l'art. 32 par. 1.

La nLPD prévoit également une obligation de registre à son art. 12. Les petites entreprises de moins de 250 collaborateurs en sont partiellement dispensées selon la nLPD, mais l'exception ne s'applique pas en cas de traitement à grande échelle de données personnelles sensibles ou de risque élevé. Un éditeur SaaS qui traite de grands volumes pour de nombreux clients ne peut en règle générale pas se prévaloir de cette exception.

Au-delà de l'obligation, l'intérêt pratique est réel : un registre art. 30(2) bien tenu est la source à partir de laquelle vous alimentez les questionnaires de sécurité, les schémas de flux de données et les listes de sous-traitants ultérieurs. En gardant le registre structuré, par exemple dans la plateforme Priverion, vous répondez aux questions fournisseur à partir d'une base de données unique et à jour, plutôt qu'à partir de tableaux dispersés.

L'art. 32 RGPD et l'art. 8 nLPD avec l'ordonnance d'exécution exigent des mesures techniques et organisationnelles adaptées au risque : pseudonymisation et chiffrement, confidentialité, intégrité, disponibilité et résilience des systèmes, capacité de rétablissement après un incident, et un processus de vérification régulière de l'efficacité. En tant que sous-traitant, vous portez cette obligation directement, et pas seulement par contrat. C'est précisément là qu'interviennent les questionnaires, les preuves ISO 27001, les rapports SOC 2 et les attestations de tests d'intrusion que vos clients veulent voir.

En cas de violation de données à caractère personnel, une particularité importante s'applique à vous en tant que sous-traitant : le délai de 72 heures pour notifier l'autorité de contrôle au titre de l'art. 33 par. 1 incombe au responsable du traitement, et non à vous. Votre obligation au titre de l'art. 33 par. 2 est d'informer le responsable du traitement sans délai après en avoir pris connaissance, afin qu'il puisse respecter son délai de 72 heures. En pratique, sans délai signifie pour l'éditeur une période très courte, souvent fixée contractuellement à 24 ou 48 heures à compter de la connaissance.

Établissez une chaîne de notification claire : détection, triage interne, qualification de violation soumise à notification, information de chaque responsable du traitement concerné avec les éléments dont il a besoin pour sa propre notification (nature de la violation, catégories et nombre de personnes concernées, conséquences probables, mesures prises), et assistance à sa notification auprès de l'autorité et des personnes concernées. La nLPD prévoit à son art. 24 sa propre logique de notification au PFPDT, déclenchée par le responsable du traitement en cas de risque élevé, le sous-traitant informant le responsable. Tenez la chaîne de notification prête avant le premier incident. SIDD est positionné comme partenaire de gouvernance et de conseil et n'exploite pas de SOC interne 24/7 ni de service géré de réponse aux incidents.

Dès qu'un sous-traitant ultérieur est établi hors de Suisse, de l'UE/EEE et des pays reconnus comme offrant un niveau de protection adéquat, vous avez besoin d'une garantie de transfert supplémentaire. Le standard actuel est constitué par les clauses contractuelles types (CCT, décision d'exécution 2021/914), complétées pour les situations suisses par les adaptations du PFPDT. Pour les transferts vers les États-Unis, vous pouvez vous appuyer sur le cadre de protection des données UE-États-Unis (pour les données UE) ou sur le Swiss-US DPF (reconnu par le PFPDT), à condition que le destinataire soit certifié et que le type de données concerné soit couvert par le cadre. Vérifiez la certification du sous-traitant concret, et pas seulement du groupe.

Les CCT s'accompagnent d'une analyse d'impact des transferts (TIA) : une évaluation documentée de la question de savoir si le droit et la pratique du pays de destination compromettent la protection des données transférées, et quelles mesures supplémentaires (chiffrement avec des clés détenues par le client ou conservées dans l'espace UE/CH, pseudonymisation, contrôles d'accès stricts, transparence sur les demandes des autorités) garantissent le niveau de protection. La TIA n'est pas une formalité, mais un élément matériel de la décision de transfert et un document que les clients enterprise exigeants veulent consulter.

La résidence des données devient de plus en plus un critère d'achat. De nombreux clients en Suisse et dans l'UE demandent explicitement un hébergement UE ou CH. Si vous pouvez proposer un choix de région, une résidence des données en UE/CH ou une gestion des clés par le client, documentez-le clairement dans votre trust center. Cela raccourcit la discussion sur les transferts et désamorce de nombreux points de questionnaire.

Confrontez votre situation à ces points :

• Rôles nettement séparés : données clients (sous-traitant) et données propres (responsable du traitement), y compris l'analyse produit et l'entraînement de modèles.
• Votre propre CST d'éditeur, déjà examiné, conforme à l'art. 28 RGPD et à l'art. 9 nLPD, prêt à l'emploi sans négociation au cas par cas.
• Liste à jour des sous-traitants ultérieurs avec siège, finalité et catégories de données, publiée dans le trust center, avec notification des modifications et droit d'opposition.
• CST de répercussion conclu avec chaque sous-traitant ultérieur.
• Registre des traitements selon l'art. 30 par. 2 RGPD et l'art. 12 nLPD, tenu à jour et utilisable comme source pour les questionnaires.
• Mesures art. 32 documentées et étayées par des preuves ISO 27001, SOC 2 et tests d'intrusion.
• Chaîne de notification au responsable du traitement définie, avec un délai concret (24 à 48 heures) et un modèle de texte.
• CCT et TIA pour chaque sous-traitant ultérieur hors UE/CH, certification DPF vérifiée.
• Déclaration de résidence des données et gouvernance des fonctionnalités d'IA préparées.

SIDD construit cette couche sous forme de conseil à pilotage juridique. Nous rédigeons votre CST d'éditeur, le registre selon l'art. 30 par. 2, les contrats de sous-traitance ultérieure et de répercussion, les CCT avec TIA et la chaîne de notification. En tant que conseiller externe en protection des données (nLPD) et délégué externe à la protection des données (art. 37 RGPD), nous assurons l'entretien continu, et via un mandat ISO 27001/SMSI ainsi que des tests d'intrusion, nous fournissons les preuves de sécurité que vos clients exigent. La protection des données passe ainsi du poste de coût à l'argument de vente. Demandez une offre ou écrivez-nous via le formulaire de contact.