{"id":23458,"date":"2026-10-13T10:00:00","date_gmt":"2026-10-13T10:00:00","guid":{"rendered":"https:\/\/atiasavocats.com\/?p=23458"},"modified":"2026-10-05T11:27:04","modified_gmt":"2026-10-05T11:27:04","slug":"politique-confidentialite-saas","status":"publish","type":"post","link":"https:\/\/atiasavocats.com\/en\/politique-confidentialite-saas\/","title":{"rendered":"Politique de confidentialit\u00e9 SaaS : le mod\u00e8le qui rassure"},"content":{"rendered":"


Par\u00a0<\/em>David Joseph Atias<\/em><\/a>, avocat au Barreau de Paris \u00b7\u00a0<\/em>LinkedIn<\/em><\/a>\u00a0\u00b7 Octobre 2026<\/em><\/em><\/p>\n\n\n\n

\n

Avant de signer, le DPO de votre futur client lit votre politique de confidentialit\u00e9 SaaS. Il y cherche des r\u00e9ponses pr\u00e9cises : qui traite quoi, o\u00f9 sont les donn\u00e9es, avec quels sous-traitants. Une politique copi\u00e9e ou vague fait na\u00eetre le doute et ralentit la vente. \u00c0 l’inverse, une politique claire devient un argument commercial. Voici le mod\u00e8le en 8 rubriques et les pi\u00e8ges \u00e0 \u00e9viter.<\/p>\n<\/blockquote>\n\n\n\n

SOMMAIRE<\/p>\n\n\n\n

    \n
  1. Pourquoi la politique de confidentialit\u00e9 SaaS est un argument commercial<\/a><\/li>\n\n\n\n
  2. Le cadre juridique applicable<\/a><\/li>\n\n\n\n
  3. Politique de confidentialit\u00e9 SaaS : le mod\u00e8le en 8 rubriques<\/a><\/li>\n\n\n\n
  4. Privacy policy B2B : le tableau de synth\u00e8se<\/a><\/li>\n\n\n\n
  5. Les pi\u00e8ges \u00e0 \u00e9viter<\/a><\/li>\n\n\n\n
  6. Pourquoi faire appel \u00e0 Atias Avocats<\/a><\/li>\n\n\n\n
  7. FAQ \u2014 Questions fr\u00e9quentes<\/a><\/li>\n<\/ol>\n\n\n\n

    1. Pourquoi la politique de confidentialit\u00e9 SaaS est un argument commercial<\/h2>\n\n\n\n

    Beaucoup d’\u00e9diteurs voient leur politique de confidentialit\u00e9 comme une page obligatoire, en bas du site. Pourtant, en B2B, elle fait partie du dossier d’achat. Elle est donc lue, compar\u00e9e et parfois contest\u00e9e.<\/p>\n\n\n\n

    1.1 Le premier document lu par les acheteurs<\/h3>\n\n\n\n

    Les services achats, les DPO et les responsables de la s\u00e9curit\u00e9 examinent la politique avant tout appel d’offres. Ils la confrontent ensuite \u00e0 l’accord de sous-traitance et au questionnaire de s\u00e9curit\u00e9. Ainsi, une incoh\u00e9rence entre ces documents suffit \u00e0 bloquer une signature. Voir notre guide pour n\u00e9gocier un contrat SaaS<\/strong><\/a>.<\/p>\n\n\n\n

    1.2 Le RGPD s’applique aussi au B2B<\/h3>\n\n\n\n

    Une id\u00e9e re\u00e7ue tenace veut que le RGPD ne concerne pas les relations entre entreprises. C’est faux. En effet, le nom, l’e-mail professionnel ou la fonction d’un interlocuteur sont des donn\u00e9es personnelles (RGPD, art. 4, 1). Une privacy policy B2B doit donc informer les contacts des clients, des prospects et des partenaires.<\/p>\n\n\n\n

    1.3 Un document contr\u00f4l\u00e9 par la CNIL<\/h3>\n\n\n\n

    La transparence est un motif fr\u00e9quent de sanction. Par exemple, la CNIL a sanctionn\u00e9 Google pour une information dispers\u00e9e et difficile d’acc\u00e8s (CNIL, 21 janv. 2019, SAN-2019-001). Le Conseil d’\u00c9tat a ensuite confirm\u00e9 cette d\u00e9cision (CE, 19 juin 2020, n\u00b0 430810). Une information claire n’est donc pas un luxe r\u00e9serv\u00e9 aux grands groupes.<\/p>\n\n\n\n

    2. Le cadre juridique applicable<\/h2>\n\n\n\n

    2.1 Les articles 12 \u00e0 14 du RGPD<\/h3>\n\n\n\n

    L’information doit \u00eatre concise, transparente, compr\u00e9hensible et ais\u00e9ment accessible, en des termes clairs et simples (RGPD, art. 12). L’article 13 liste les mentions dues lorsque les donn\u00e9es sont collect\u00e9es aupr\u00e8s de la personne. En revanche, l’article 14 s’applique aux donn\u00e9es obtenues indirectement, par exemple via un outil d’enrichissement de fichiers. L’information doit alors intervenir dans un d\u00e9lai raisonnable, au plus tard un mois apr\u00e8s l’obtention (art. 14, 3, a).<\/p>\n\n\n\n

    2.2 Les lignes directrices sur la transparence<\/h3>\n\n\n\n

    Les autorit\u00e9s europ\u00e9ennes ont pr\u00e9cis\u00e9 ces exigences dans leurs lignes directrices sur la transparence (WP260 r\u00e9v. 01), reprises par l’EDPB. Elles recommandent une information \u00ab par niveaux \u00bb : un r\u00e9sum\u00e9, puis le d\u00e9tail. De plus, elles proscrivent les formules vagues comme \u00ab nous pouvons utiliser vos donn\u00e9es pour am\u00e9liorer nos services \u00bb. Chaque finalit\u00e9 doit donc \u00eatre d\u00e9crite concr\u00e8tement.<\/p>\n\n\n\n

    2.3 Les cookies et autres traceurs<\/h3>\n\n\n\n

    Les traceurs non essentiels exigent un consentement pr\u00e9alable (loi n\u00b0 78-17 du 6 janvier 1978, art. 82). Une case pr\u00e9coch\u00e9e ne vaut pas consentement (CJUE, 1er oct. 2019, Planet49, C-673\/17). La Cour exige aussi d’indiquer la dur\u00e9e des cookies et l’acc\u00e8s \u00e9ventuel de tiers. Par ailleurs, la CNIL d\u00e9taille ces r\u00e8gles dans ses lignes directrices et sa recommandation de septembre 2020.<\/p>\n\n\n\n

    2.4 Le double r\u00f4le de l’\u00e9diteur SaaS<\/h3>\n\n\n\n

    L’\u00e9diteur est responsable de ses propres traitements : site, prospection, facturation, comptes administrateurs. Sa politique de confidentialit\u00e9 SaaS couvre ces traitements. En revanche, il agit souvent comme sous-traitant pour les donn\u00e9es que ses clients importent dans l’outil. Ces donn\u00e9es rel\u00e8vent alors de l’accord de sous-traitance, et c’est au client d’informer ses propres utilisateurs. Voir notre d\u00e9cryptage de l’article 28 du RGPD<\/strong><\/a>.<\/p>\n\n\n\n

    3. Politique de confidentialit\u00e9 SaaS : le mod\u00e8le en 8 rubriques<\/h2>\n\n\n\n

    Ce mod\u00e8le de politique de confidentialit\u00e9 SaaS suit l’ordre des articles 13 et 14. Il convient \u00e0 la plupart des \u00e9diteurs B2B et s’adapte facilement \u00e0 une offre grand public.<\/p>\n\n\n\n

    3.1 L’identit\u00e9 de l’\u00e9diteur et le contact du DPO<\/h3>\n\n\n\n

    Indiquez la d\u00e9nomination sociale, l’adresse et un moyen de contact d\u00e9di\u00e9 aux donn\u00e9es personnelles (art. 13, 1, a). Mentionnez aussi les coordonn\u00e9es du d\u00e9l\u00e9gu\u00e9 \u00e0 la protection des donn\u00e9es, s’il existe (art. 13, 1, b). Une adresse g\u00e9n\u00e9rique \u00ab contact@ \u00bb ne suffit pas : pr\u00e9voyez une adresse d\u00e9di\u00e9e.<\/p>\n\n\n\n

    3.2 Le p\u00e9rim\u00e8tre de la politique<\/h3>\n\n\n\n

    Pr\u00e9cisez d’embl\u00e9e ce que la politique couvre : le site, les comptes clients, la relation commerciale. Pr\u00e9cisez aussi ce qu’elle ne couvre pas : les donn\u00e9es trait\u00e9es pour le compte des clients. Cette clarification \u00e9vite la confusion la plus fr\u00e9quente chez les acheteurs. Elle prot\u00e8ge en outre l’\u00e9diteur contre une requalification de son r\u00f4le.<\/p>\n\n\n\n

    3.3 Les finalit\u00e9s et les bases l\u00e9gales<\/h3>\n\n\n\n

    Associez chaque finalit\u00e9 \u00e0 une base l\u00e9gale pr\u00e9cise (art. 6). Par exemple, la gestion des comptes repose sur le contrat. La prospection B2B s’appuie en g\u00e9n\u00e9ral sur l’int\u00e9r\u00eat l\u00e9gitime, qu’il faut alors d\u00e9crire (art. 13, 1, d). Enfin, les traceurs non essentiels exigent le consentement.<\/p>\n\n\n\n

    3.4 Les donn\u00e9es collect\u00e9es et leurs sources<\/h3>\n\n\n\n

    Listez les cat\u00e9gories de donn\u00e9es : identit\u00e9, coordonn\u00e9es professionnelles, donn\u00e9es de connexion, donn\u00e9es de facturation. Ensuite, indiquez la source des donn\u00e9es collect\u00e9es indirectement : salons, bases de prospection, partenaires (art. 14, 2, f). Cette mention est souvent oubli\u00e9e par les \u00e9quipes commerciales.<\/p>\n\n\n\n

    3.5 Les destinataires, les sous-traitants et les transferts<\/h3>\n\n\n\n

    D’abord, d\u00e9crivez les cat\u00e9gories de destinataires : h\u00e9bergeur, CRM, outil d’e-mailing, prestataire de paiement. Les transferts hors de l’Union doivent \u00eatre signal\u00e9s, avec leurs garanties (art. 13, 1, f). En pratique, une liste publique des sous-traitants, tenue \u00e0 jour, rassure fortement les acheteurs. Voir notre point sur les transferts de donn\u00e9es hors UE<\/strong><\/a>.<\/p>\n\n\n\n

    3.6 Les dur\u00e9es de conservation<\/h3>\n\n\n\n

    Indiquez une dur\u00e9e, ou au moins les crit\u00e8res qui la d\u00e9terminent (art. 13, 2, a). Par exemple, la CNIL retient trois ans apr\u00e8s le dernier contact pour un prospect. De m\u00eame, les factures se conservent dix ans (C. com., art. L. 123-22). Les journaux de connexion suivent, eux, une dur\u00e9e limit\u00e9e et justifi\u00e9e.<\/p>\n\n\n\n

    3.7 Les droits des personnes et la r\u00e9clamation<\/h3>\n\n\n\n

    Rappelez les droits d’acc\u00e8s, de rectification, d’effacement, de limitation, de portabilit\u00e9 et d’opposition (art. 15 \u00e0 22). Le droit d’opposition doit \u00eatre pr\u00e9sent\u00e9 clairement et s\u00e9par\u00e9ment de toute autre information (art. 21, 4). Indiquez aussi le droit d’introduire une r\u00e9clamation aupr\u00e8s de la CNIL (art. 13, 2, d). Enfin, pr\u00e9cisez comment exercer ces droits, et dans quel d\u00e9lai.<\/p>\n\n\n\n

    3.8 Les cookies, la s\u00e9curit\u00e9 et les mises \u00e0 jour<\/h3>\n\n\n\n

    D’abord, renvoyez \u00e0 une politique cookies distincte, accessible depuis le bandeau. D\u00e9crivez aussi, de fa\u00e7on g\u00e9n\u00e9rale, les mesures de s\u00e9curit\u00e9 mises en place. Enfin, datez la politique et expliquez comment les changements importants seront notifi\u00e9s.<\/p>\n\n\n\n

    4. Privacy policy B2B : le tableau de synth\u00e8se<\/h2>\n\n\n\n

    Le tableau suivant reprend les traitements types d’un \u00e9diteur SaaS B2B. Il indique pour chacun la base l\u00e9gale, une dur\u00e9e indicative et le niveau de criticit\u00e9.<\/p>\n\n\n\n

    Traitement<\/th>Base l\u00e9gale<\/th>Dur\u00e9e indicative<\/th>Criticit\u00e9<\/th><\/tr><\/thead>
    Visiteurs du site et traceurs<\/strong><\/td>Consentement (traceurs non essentiels)<\/td>Traceurs : 13 mois au plus<\/td>\ud83d\udfe0 \u00c9lev\u00e9e<\/td><\/tr>
    Prospects B2B<\/strong><\/td>Int\u00e9r\u00eat l\u00e9gitime<\/td>3 ans apr\u00e8s le dernier contact<\/td>\ud83d\udfe0 \u00c9lev\u00e9e<\/td><\/tr>
    Contacts clients et facturation<\/strong><\/td>Contrat et obligation l\u00e9gale<\/td>Dur\u00e9e du contrat ; factures 10 ans<\/td>\ud83d\udfe1 Moyenne<\/td><\/tr>
    Comptes administrateurs<\/strong><\/td>Contrat<\/td>Dur\u00e9e du compte<\/td>\ud83d\udfe1 Moyenne<\/td><\/tr>
    Statistiques d’usage du produit<\/strong><\/td>Int\u00e9r\u00eat l\u00e9gitime<\/td>Limit\u00e9e, puis anonymisation<\/td>\ud83d\udfe0 \u00c9lev\u00e9e<\/td><\/tr>
    Entra\u00eenement d’une IA<\/strong><\/td>Int\u00e9r\u00eat l\u00e9gitime avec garanties renforc\u00e9es<\/td>\u00c0 justifier, opposition possible<\/td>\ud83d\udd34 Critique<\/td><\/tr>
    Donn\u00e9es import\u00e9es par les clients<\/strong><\/td>Hors politique : accord de sous-traitance<\/td>Selon les instructions du client<\/td>\ud83d\udd34 Critique<\/td><\/tr><\/tbody><\/table><\/figure>\n\n\n\n

    5. Les pi\u00e8ges \u00e0 \u00e9viter<\/h2>\n\n\n\n

    5.1 Copier la politique d’un g\u00e9ant am\u00e9ricain<\/h3>\n\n\n\n

    Les politiques am\u00e9ricaines mentionnent souvent la \u00ab vente \u00bb de donn\u00e9es ou des droits propres au droit californien. Elles abusent aussi des formules vagues, comme \u00ab nous pouvons partager vos donn\u00e9es \u00bb. Or ces textes ignorent les bases l\u00e9gales et la r\u00e9clamation aupr\u00e8s de la CNIL. Une simple traduction affaiblit donc la cr\u00e9dibilit\u00e9 de l’\u00e9diteur.<\/p>\n\n\n\n

    5.2 Se tromper de r\u00f4le<\/h3>\n\n\n\n

    Certains \u00e9diteurs se pr\u00e9sentent comme responsables de toutes les donn\u00e9es h\u00e9berg\u00e9es dans leur outil. D’autres affirment n’\u00eatre que sous-traitants, alors qu’ils exploitent les donn\u00e9es pour leur compte. Dans les deux cas, la politique contredit l’accord de sous-traitance. Ainsi, le DPO du client rel\u00e8ve l’incoh\u00e9rence et rouvre la n\u00e9gociation.<\/p>\n\n\n\n

    5.3 Faire \u00ab accepter \u00bb la politique de confidentialit\u00e9<\/h3>\n\n\n\n

    La politique de confidentialit\u00e9 informe ; elle ne se fait pas accepter. Une case \u00ab j’accepte la politique de confidentialit\u00e9 \u00bb ne vaut donc pas consentement. En effet, une demande de consentement doit se distinguer clairement des autres questions (art. 7, 2). Pour la prospection ou les traceurs, pr\u00e9voyez plut\u00f4t des choix s\u00e9par\u00e9s.<\/p>\n\n\n\n

    5.4 Laisser la politique d\u00e9river du produit<\/h3>\n\n\n\n

    Un nouvel outil d’analytics, un nouveau sous-traitant ou une fonctionnalit\u00e9 d’IA modifient les traitements. Pourtant, la politique de confidentialit\u00e9 SaaS reste souvent inchang\u00e9e pendant des ann\u00e9es. Mieux vaut l’int\u00e9grer au cycle de mise en production, avec une revue \u00e0 chaque \u00e9volution majeure. De plus, conservez les versions successives, dat\u00e9es.<\/p>\n\n\n\n

    5.5 Passer l’IA sous silence (AI Act et RGPD)<\/h3>\n\n\n\n

    Un \u00e9diteur qui entra\u00eene un mod\u00e8le sur les donn\u00e9es de ses utilisateurs devient responsable de ce traitement. La CNIL admet alors l’int\u00e9r\u00eat l\u00e9gitime, sous r\u00e9serve de garanties (recommandations du 19 juin 2025). Il s’agit notamment d’une information claire, d’un droit d’opposition discr\u00e9tionnaire et de la pseudonymisation. Par ailleurs, une d\u00e9cision automatis\u00e9e impose d’expliquer la logique sous-jacente (art. 13, 2, f). La Cour de justice l’a pr\u00e9cis\u00e9 (CJUE, 27 f\u00e9vr. 2025, Dun & Bradstreet Austria, C-203\/22). C\u00f4t\u00e9 AI Act, l’utilisateur d’un chatbot doit savoir qu’il \u00e9change avec une IA. Cette obligation s’applique depuis le 2 ao\u00fbt 2026 (r\u00e8glement (UE) 2024\/1689, art. 50). Voir notre article sur la transparence des chatbots IA<\/strong><\/a>.<\/p>\n\n\n\n

    6. Pourquoi faire appel \u00e0 Atias Avocats<\/h2>\n\n\n\n

    Une politique de confidentialit\u00e9 SaaS efficace ne se r\u00e9dige pas isol\u00e9ment. Elle doit refl\u00e9ter le produit r\u00e9el, vos contrats et vos pratiques commerciales. C’est pourquoi notre cabinet la construit avec vos \u00e9quipes produit, marketing et s\u00e9curit\u00e9. Nous l’alignons ensuite sur votre accord de sous-traitance et votre registre des traitements.<\/p>\n\n\n\n

    Nous intervenons notamment pour :<\/p>\n\n\n\n