Politique de confidentialité SaaS : le modèle qui rassure

Par David Joseph Atias, avocat au Barreau de Paris · LinkedIn · Octobre 2026

Avant de signer, le DPO de votre futur client lit votre politique de confidentialité SaaS. Il y cherche des réponses précises : qui traite quoi, où sont les données, avec quels sous-traitants. Une politique copiée ou vague fait naître le doute et ralentit la vente. À l’inverse, une politique claire devient un argument commercial. Voici le modèle en 8 rubriques et les pièges à éviter.

SOMMAIRE

1. Pourquoi la politique de confidentialité SaaS est un argument commercial
2. Le cadre juridique applicable
3. Politique de confidentialité SaaS : le modèle en 8 rubriques
4. Privacy policy B2B : le tableau de synthèse
5. Les pièges à éviter
6. Pourquoi faire appel à Atias Avocats
7. FAQ — Questions fréquentes

1. Pourquoi la politique de confidentialité SaaS est un argument commercial

Beaucoup d’éditeurs voient leur politique de confidentialité comme une page obligatoire, en bas du site. Pourtant, en B2B, elle fait partie du dossier d’achat. Elle est donc lue, comparée et parfois contestée.

1.1 Le premier document lu par les acheteurs

Les services achats, les DPO et les responsables de la sécurité examinent la politique avant tout appel d’offres. Ils la confrontent ensuite à l’accord de sous-traitance et au questionnaire de sécurité. Ainsi, une incohérence entre ces documents suffit à bloquer une signature. Voir notre guide pour négocier un contrat SaaS.

1.2 Le RGPD s’applique aussi au B2B

Une idée reçue tenace veut que le RGPD ne concerne pas les relations entre entreprises. C’est faux. En effet, le nom, l’e-mail professionnel ou la fonction d’un interlocuteur sont des données personnelles (RGPD, art. 4, 1). Une privacy policy B2B doit donc informer les contacts des clients, des prospects et des partenaires.

1.3 Un document contrôlé par la CNIL

La transparence est un motif fréquent de sanction. Par exemple, la CNIL a sanctionné Google pour une information dispersée et difficile d’accès (CNIL, 21 janv. 2019, SAN-2019-001). Le Conseil d’État a ensuite confirmé cette décision (CE, 19 juin 2020, n° 430810). Une information claire n’est donc pas un luxe réservé aux grands groupes.

2. Le cadre juridique applicable

2.1 Les articles 12 à 14 du RGPD

L’information doit être concise, transparente, compréhensible et aisément accessible, en des termes clairs et simples (RGPD, art. 12). L’article 13 liste les mentions dues lorsque les données sont collectées auprès de la personne. En revanche, l’article 14 s’applique aux données obtenues indirectement, par exemple via un outil d’enrichissement de fichiers. L’information doit alors intervenir dans un délai raisonnable, au plus tard un mois après l’obtention (art. 14, 3, a).

2.2 Les lignes directrices sur la transparence

Les autorités européennes ont précisé ces exigences dans leurs lignes directrices sur la transparence (WP260 rév. 01), reprises par l’EDPB. Elles recommandent une information « par niveaux » : un résumé, puis le détail. De plus, elles proscrivent les formules vagues comme « nous pouvons utiliser vos données pour améliorer nos services ». Chaque finalité doit donc être décrite concrètement.

2.3 Les cookies et autres traceurs

Les traceurs non essentiels exigent un consentement préalable (loi n° 78-17 du 6 janvier 1978, art. 82). Une case précochée ne vaut pas consentement (CJUE, 1er oct. 2019, Planet49, C-673/17). La Cour exige aussi d’indiquer la durée des cookies et l’accès éventuel de tiers. Par ailleurs, la CNIL détaille ces règles dans ses lignes directrices et sa recommandation de septembre 2020.

2.4 Le double rôle de l’éditeur SaaS

L’éditeur est responsable de ses propres traitements : site, prospection, facturation, comptes administrateurs. Sa politique de confidentialité SaaS couvre ces traitements. En revanche, il agit souvent comme sous-traitant pour les données que ses clients importent dans l’outil. Ces données relèvent alors de l’accord de sous-traitance, et c’est au client d’informer ses propres utilisateurs. Voir notre décryptage de l’article 28 du RGPD.

3. Politique de confidentialité SaaS : le modèle en 8 rubriques

Ce modèle de politique de confidentialité SaaS suit l’ordre des articles 13 et 14. Il convient à la plupart des éditeurs B2B et s’adapte facilement à une offre grand public.

3.1 L’identité de l’éditeur et le contact du DPO

Indiquez la dénomination sociale, l’adresse et un moyen de contact dédié aux données personnelles (art. 13, 1, a). Mentionnez aussi les coordonnées du délégué à la protection des données, s’il existe (art. 13, 1, b). Une adresse générique « contact@ » ne suffit pas : prévoyez une adresse dédiée.

3.2 Le périmètre de la politique

Précisez d’emblée ce que la politique couvre : le site, les comptes clients, la relation commerciale. Précisez aussi ce qu’elle ne couvre pas : les données traitées pour le compte des clients. Cette clarification évite la confusion la plus fréquente chez les acheteurs. Elle protège en outre l’éditeur contre une requalification de son rôle.

3.3 Les finalités et les bases légales

Associez chaque finalité à une base légale précise (art. 6). Par exemple, la gestion des comptes repose sur le contrat. La prospection B2B s’appuie en général sur l’intérêt légitime, qu’il faut alors décrire (art. 13, 1, d). Enfin, les traceurs non essentiels exigent le consentement.

3.4 Les données collectées et leurs sources

Listez les catégories de données : identité, coordonnées professionnelles, données de connexion, données de facturation. Ensuite, indiquez la source des données collectées indirectement : salons, bases de prospection, partenaires (art. 14, 2, f). Cette mention est souvent oubliée par les équipes commerciales.

3.5 Les destinataires, les sous-traitants et les transferts

D’abord, décrivez les catégories de destinataires : hébergeur, CRM, outil d’e-mailing, prestataire de paiement. Les transferts hors de l’Union doivent être signalés, avec leurs garanties (art. 13, 1, f). En pratique, une liste publique des sous-traitants, tenue à jour, rassure fortement les acheteurs. Voir notre point sur les transferts de données hors UE.

3.6 Les durées de conservation

Indiquez une durée, ou au moins les critères qui la déterminent (art. 13, 2, a). Par exemple, la CNIL retient trois ans après le dernier contact pour un prospect. De même, les factures se conservent dix ans (C. com., art. L. 123-22). Les journaux de connexion suivent, eux, une durée limitée et justifiée.

3.7 Les droits des personnes et la réclamation

Rappelez les droits d’accès, de rectification, d’effacement, de limitation, de portabilité et d’opposition (art. 15 à 22). Le droit d’opposition doit être présenté clairement et séparément de toute autre information (art. 21, 4). Indiquez aussi le droit d’introduire une réclamation auprès de la CNIL (art. 13, 2, d). Enfin, précisez comment exercer ces droits, et dans quel délai.

3.8 Les cookies, la sécurité et les mises à jour

D’abord, renvoyez à une politique cookies distincte, accessible depuis le bandeau. Décrivez aussi, de façon générale, les mesures de sécurité mises en place. Enfin, datez la politique et expliquez comment les changements importants seront notifiés.

4. Privacy policy B2B : le tableau de synthèse

Le tableau suivant reprend les traitements types d’un éditeur SaaS B2B. Il indique pour chacun la base légale, une durée indicative et le niveau de criticité.

5. Les pièges à éviter

5.1 Copier la politique d’un géant américain

Les politiques américaines mentionnent souvent la « vente » de données ou des droits propres au droit californien. Elles abusent aussi des formules vagues, comme « nous pouvons partager vos données ». Or ces textes ignorent les bases légales et la réclamation auprès de la CNIL. Une simple traduction affaiblit donc la crédibilité de l’éditeur.

5.2 Se tromper de rôle

Certains éditeurs se présentent comme responsables de toutes les données hébergées dans leur outil. D’autres affirment n’être que sous-traitants, alors qu’ils exploitent les données pour leur compte. Dans les deux cas, la politique contredit l’accord de sous-traitance. Ainsi, le DPO du client relève l’incohérence et rouvre la négociation.

5.3 Faire « accepter » la politique de confidentialité

La politique de confidentialité informe ; elle ne se fait pas accepter. Une case « j’accepte la politique de confidentialité » ne vaut donc pas consentement. En effet, une demande de consentement doit se distinguer clairement des autres questions (art. 7, 2). Pour la prospection ou les traceurs, prévoyez plutôt des choix séparés.

5.4 Laisser la politique dériver du produit

Un nouvel outil d’analytics, un nouveau sous-traitant ou une fonctionnalité d’IA modifient les traitements. Pourtant, la politique de confidentialité SaaS reste souvent inchangée pendant des années. Mieux vaut l’intégrer au cycle de mise en production, avec une revue à chaque évolution majeure. De plus, conservez les versions successives, datées.

5.5 Passer l’IA sous silence (AI Act et RGPD)

Un éditeur qui entraîne un modèle sur les données de ses utilisateurs devient responsable de ce traitement. La CNIL admet alors l’intérêt légitime, sous réserve de garanties (recommandations du 19 juin 2025). Il s’agit notamment d’une information claire, d’un droit d’opposition discrétionnaire et de la pseudonymisation. Par ailleurs, une décision automatisée impose d’expliquer la logique sous-jacente (art. 13, 2, f). La Cour de justice l’a précisé (CJUE, 27 févr. 2025, Dun & Bradstreet Austria, C-203/22). Côté AI Act, l’utilisateur d’un chatbot doit savoir qu’il échange avec une IA. Cette obligation s’applique depuis le 2 août 2026 (règlement (UE) 2024/1689, art. 50). Voir notre article sur la transparence des chatbots IA.

6. Pourquoi faire appel à Atias Avocats

Une politique de confidentialité SaaS efficace ne se rédige pas isolément. Elle doit refléter le produit réel, vos contrats et vos pratiques commerciales. C’est pourquoi notre cabinet la construit avec vos équipes produit, marketing et sécurité. Nous l’alignons ensuite sur votre accord de sous-traitance et votre registre des traitements.

Nous intervenons notamment pour :

• la rédaction d’une politique de confidentialité claire, par niveaux ;
• la politique cookies et le paramétrage du bandeau de consentement ;
• la liste publique des sous-traitants et la page sécurité de votre « trust center » ;
• la mise en cohérence avec l’accord de sous-traitance et les CGU ;
• l’information sur l’IA : entraînement, décisions automatisées, transparence ;
• la revue des réponses aux questionnaires de sécurité des clients.

Découvrez nos services en contrats informatiques. Un client bloque sur votre politique ? Contactez le cabinet.

Conclusion

En B2B, la politique de confidentialité SaaS n’est pas une page de plus en bas du site. Elle fait partie de votre offre, au même titre que la sécurité ou le niveau de service. Claire, précise et cohérente avec vos contrats, elle accélère les ventes. En revanche, vague ou copiée, elle déclenche des questions sans fin. Investir dans ce document est donc un choix commercial autant que juridique.

FAQ — Questions fréquentes

Un SaaS B2B doit-il avoir une politique de confidentialité ?

Oui. Les contacts professionnels de vos clients et prospects sont des personnes physiques protégées par le RGPD. L’éditeur doit donc les informer de ses propres traitements (RGPD, art. 13 et 14).

Que doit contenir la politique de confidentialité d’un SaaS ?

L’identité de l’éditeur, les finalités et bases légales, les données et leurs sources, les destinataires et les transferts. S’y ajoutent les durées de conservation, les droits des personnes et la réclamation auprès de la CNIL.

La politique couvre-t-elle les données des clients hébergées dans l’outil ?

En général, non. Pour ces données, l’éditeur agit le plus souvent comme sous-traitant. Elles relèvent donc de l’accord de sous-traitance, et c’est le client qui informe ses utilisateurs.

Faut-il faire accepter la politique de confidentialité ?

Non. Elle a une fonction d’information, pas de contrat. Lorsqu’un consentement est nécessaire, par exemple pour les traceurs, il doit être recueilli séparément (RGPD, art. 7, 2).

Comment mentionner l’IA dans une politique de confidentialité ?

Indiquez si les données servent à entraîner un modèle, sur quelle base légale et comment s’y opposer. Expliquez aussi la logique de toute décision automatisée (RGPD, art. 13, 2, f). Enfin, signalez les échanges avec un chatbot (AI Act, art. 50).

Contact : david@atiasavocats.com | LinkedIn: David Joseph Atias | https://www.atiasavocats.com | 42 rue de la Clef, 75005 Paris

Atias Avocats — RGPD & données, Contrats IT & SaaS, AI Act, Conformité B2B