En 2024, le marché français des éditeurs de logiciels et des plateformes cloud est estimé à 26,8 milliards d'euros. Par ailleurs, 61 % du chiffre d'affaires des éditeurs français de logiciels provient désormais du modèle SaaS, illustrant l'adoption croissante de ce modèle économique. Or, la confusion entre licence logiciel vs contrat SaaS, entretenue par l'usage répandu de l'expression « licence SaaS », masque une distinction juridique fondamentale qui conditionne l'intégralité des droits et obligations des parties. CONNECT AVOCATS, cabinet intervenant sur toute la France et compétent en droit du numérique et droit des affaires, accompagne les entreprises pour décrypter ces enjeux et sécuriser leurs engagements contractuels. Cet article vous aide à comprendre les différences concrètes entre ces deux modèles, à identifier les risques et à savoir quoi négocier avant de signer.
Ce qu'il faut retenir
Le contrat de licence d’utilisation d’un logiciel repose sur le droit de la propriété intellectuelle. Conformément à l’article L.122-6 du Code de la propriété intellectuelle, l’auteur d’un logiciel détient notamment le droit exclusif d’autoriser sa reproduction permanente ou provisoire. En accordant une licence, l’éditeur concède au client un droit d’utilisation du logiciel dans les conditions prévues au contrat ; dans le modèle « on-premise », le logiciel est installé sur l’infrastructure du client.
Point de vigilance : la licence d’utilisation n’emporte pas transfert de propriété du logiciel ni cession des droits d’auteur. La doctrine considère qu’une licence onéreuse peut être assimilée à un contrat de louage (article 1709 du Code civil) et qu’une licence gratuite peut être assimilée à un contrat de prêt (article 1875 du Code civil). Le licencié dispose uniquement des droits d’utilisation concédés et n’a pas, en principe, qualité pour agir en contrefaçon contre un tiers, contrairement au cessionnaire qui devient titulaire de tout ou partie des droits patrimoniaux.
Un risque mérite toutefois d'être souligné : si une licence est requalifiée en contrat de vente, le régime de la garantie des vices cachés (art. 1641 et s. du Code civil) peut devenir applicable. Le client pourrait alors demander la résolution de la vente ou une réduction du prix si le logiciel est affecté d'un défaut caché le rendant impropre à son usage ou diminuant tellement cet usage qu'il ne l'aurait pas acquis, ou en aurait donné un moindre prix, s'il en avait eu connaissance.
À noter que la clause limitative de responsabilité insérée dans un contrat de licence n'est valide qu'entre professionnels (B2B) ; elle est réputée non écrite dans un contrat conclu avec un consommateur ou un non-professionnel (B2C), conformément au droit de la consommation français.
Selon la Cour de justice de l'Union européenne, la violation d'une clause d'un contrat de licence portant sur des droits de propriété intellectuelle peut relever de la contrefaçon, et non de la seule responsabilité contractuelle (CJUE, 18 déc. 2019, C-666/18, IT Development c/ Free Mobile). Il en va notamment des clauses limitant les droits d'utilisation du logiciel, telles que la modification non autorisée du code source ou l'utilisation au-delà des droits concédés. L'éditeur peut alors agir sur le fondement de la contrefaçon et solliciter les réparations prévues par le droit de la propriété intellectuelle. En revanche, cette solution ne s'applique pas aux simples obligations contractuelles étrangères aux droits d'auteur (paiement, maintenance, support, etc.). Il est donc essentiel de définir avec précision le périmètre des droits concédés afin d'éviter qu'un dépassement ne soit qualifié de contrefaçon.
Exemple concret : L'entreprise Méridian Solutions, éditeur d'un logiciel de gestion de flotte automobile, concède une licence à la société Bréval Transports pour 80 postes sur le territoire français uniquement. Après une croissance rapide, Bréval Transports déploie le logiciel sur 127 postes, dont 15 situés dans sa filiale belge, sans avenant au contrat. Méridian Solutions déclenche un audit contractuel et constate les dépassements. Sur le fondement de la Directive 2004/48/CE, l'éditeur engage une action en contrefaçon — et non en simple inexécution contractuelle. Résultat : les clauses de limitation de responsabilité plafonnées à 50 000 euros dans le contrat initial sont écartées par le juge, et Bréval Transports s'expose à des dommages-intérêts calculés sur la base de l'intégralité du préjudice subi par l'éditeur.
À noter : Dans la licence on-premise, l'éditeur peut insérer une clause d'audit autorisant la vérification du respect du périmètre contractuel (nombre de licences utilisées, périmètre géographique, connexions simultanées, ...). Cette clause est structurellement absente des contrats SaaS, où le contrôle est opéré en temps réel par le fournisseur via ses outils de gestion des accès. Côté client, exigez un encadrement strict de cette clause : préavis minimum de 15 jours ouvrés, durée limitée de l'audit, périmètre d'accès restreint au strict nécessaire. Accepter une clause d'audit sans limitation de périmètre expose votre entreprise à des investigations techniques potentiellement très intrusives et à des redressements financiers lourds.
À l'inverse, le contrat SaaS (Software as a Service) est généralement analysé comme un contrat hybride, combinant une prestation de services et un droit d'utilisation limité du logiciel. Le logiciel demeure hébergé sur les serveurs du fournisseur et le client y accède à distance via Internet, sans disposer d'une copie installée sur son infrastructure. Le contrat porte principalement sur la fourniture d'un service (accès, hébergement, maintenance, support), tout en accordant au client un droit d'usage limité de l'application.
Cette distinction influe sur le régime juridique applicable, les obligations des parties et les risques contractuels. En cas de litige, le juge qualifie le contrat d'après son contenu réel et non son intitulé : un contrat présenté comme une « licence SaaS » pourra être analysé comme un contrat de prestation de services si son objet principal est la fourniture d'une application hébergée.
Conseil : Les abonnements SaaS prévoient fréquemment des clauses de renouvellement tacite pour des périodes d'un an. En B2B, sauf stipulation contractuelle contraire, le fournisseur n'est pas tenu de rappeler l'approche de l'échéance avant le renouvellement. Sans mécanisme d'alerte ou processus interne de suivi, l'entreprise peut ainsi être engagée pour une nouvelle période contractuelle. Il est donc recommandé de négocier une clause imposant un préavis d'information (par exemple 30 à 60 jours avant l'échéance) et de tenir un registre des dates de renouvellement de chaque contrat SaaS.
Le modèle économique constitue la première divergence visible. La licence repose sur un achat unique, éventuellement complété par des frais de maintenance séparés. Le SaaS fonctionne sur un abonnement périodique modulable selon le nombre d'utilisateurs ou l'usage. Par exemple, une entreprise de 50 collaborateurs peut ajuster mensuellement le nombre de licences SaaS actives en fonction de ses besoins réels.
Attention toutefois : 42 % des éditeurs SaaS modifient leurs tarifs plus d'une fois par an. Il est donc indispensable d'encadrer contractuellement les révisions tarifaires, en exigeant un préavis minimum de trois mois, un plafonnement de la hausse annuelle et un droit de résiliation sans pénalité en cas de dépassement du seuil convenu.
Concernant la maintenance, elle constitue une obligation distincte dans la licence on-premise — il est fortement recommandé de séparer le contrat de licence du contrat de maintenance, car leurs régimes juridiques diffèrent. Dans le SaaS, elle est intégrée et transparente, entièrement à la charge du prestataire. L'hébergement, quant à lui, incombe au client dans la licence et se trouve externalisé chez le fournisseur dans le SaaS, avec la perte de contrôle sur l'infrastructure que cela implique.
Le SLA (Service Level Agreement), ou accord de niveau de service, est une clause propre aux contrats SaaS et plus largement aux contrats de services informatiques. Il fixe notamment un taux de disponibilité du service — par exemple 99,9 %, soit un maximum théorique d'environ 8 heures 46 minutes d'indisponibilité par an — ainsi que des objectifs de temps de rétablissement (RTO), des délais d'intervention et, le cas échéant, des crédits de service en cas de manquement. Vérifiez que la clause limitative de responsabilité ne prive pas le SLA de son efficacité en plafonnant excessivement les réparations dues au client.
En pratique, les contrats SaaS prévoient souvent un plafond de responsabilité fixé aux sommes versées par le client au cours des douze derniers mois. Ainsi, pour une PME acquittant un abonnement de 500 € par mois, ce plafond serait de 6 000 €. Il est donc recommandé de négocier un plafond adapté aux risques encourus et de prévoir des exclusions (« carve-outs ») pour certains manquements, notamment en cas de faute lourde ou dolosive, d'atteinte aux droits de propriété intellectuelle, de violation des obligations relatives aux données personnelles lorsque cela est justifié, ainsi que pour les dommages corporels.
La clause de réversibilité représente un autre enjeu majeur, quasi absent dans la licence mais crucial dans le SaaS. Elle doit être négociée dès la signature du contrat et répondre à trois questions structurantes : (1) que peut-on récupérer exactement — données brutes, fichiers, journaux d'événements (logs), métadonnées, paramétrages et configurations de la plateforme — et pas seulement les données « métier » visibles ? (2) sous quel format technique exploitable (CSV, JSON, XML, SQL — impérativement non propriétaire) et dans quel délai précis (30 à 90 jours) ? (3) avec quelle assistance technique du fournisseur pendant la période de migration active ? Le contrat doit également préciser le coût éventuel de la restitution, la destruction certifiée des données chez le prestataire et les modalités d'accompagnement à la migration. Sans cette clause, vous êtes en situation de vendor lock-in.
Le risque de dépendance fournisseur dans le SaaS a été formellement documenté par l'Autorité de la concurrence française dans ses avis 23-A-05 et 23-A-08, qui ont identifié les pratiques de verrouillage propres aux écosystèmes d'AWS, Microsoft Azure et Google Cloud : utilisation de crédits cloud (avoirs d'informatique en nuage) rendant la migration coûteuse, coûts de sortie disproportionnés, obstacles techniques à la portabilité des données, ventes liées de logiciels et clauses d'exclusivité. Ces avis constituent un appui documenté pour négocier ou contester contractuellement ces pratiques auprès des grands éditeurs américains.
Le cadre réglementaire évolue en faveur de la réversibilité des services cloud. Depuis le 12 septembre 2025, le Data Act (Règlement UE 2023/2854) impose aux fournisseurs de services de traitement de données de faciliter le changement de fournisseur en supprimant les obstacles commerciaux, techniques, contractuels et organisationnels. Le règlement encadre notamment les délais de changement (préavis maximal de deux mois et période de transition pouvant aller jusqu'à 30 jours calendaires), la portabilité des données et la suppression progressive des frais de changement. En France, la loi SREN du 21 mai 2024 complète ce dispositif en renforçant l'encadrement concurrentiel du marché du cloud. L'article L.442-12 du Code de commerce limite notamment certaines pratiques susceptibles de renforcer la dépendance des clients, telles que l'utilisation abusive d'avoirs cloud, certaines ventes liées ou pratiques d'autopréférence des fournisseurs intégrés. Ces dispositions sont assorties de sanctions administratives pouvant atteindre 1 million d'euros pour une personne morale dans les cas prévus par le texte.
Pour les applications critiques, envisagez une clause d'entiercement SaaS (SaaS Escrow) auprès d'un tiers de confiance comme l'APP (Agence pour la Protection des Programmes). Ce dispositif garantit l'accès au code source, aux accès techniques et à la documentation en cas de défaillance du fournisseur — un complément indispensable à la réversibilité des données.
À noter : le Data Act constitue un levier important pour encadrer la réversibilité et limiter les situations de dépendance excessive aux fournisseurs cloud. Depuis le 12 septembre 2025, les fournisseurs de services de traitement de données doivent faciliter le changement de fournisseur en supprimant les obstacles commerciaux, techniques, contractuels et organisationnels injustifiés. Ces dispositions peuvent être invoquées lors de la négociation des contrats concernés, notamment pour encadrer les clauses de sortie, les frais de changement et les modalités de restitution des données. En complément, l'article L.442-12 du Code de commerce et les avis n° 23-A-05 et n° 23-A-08 de l'Autorité de la concurrence fournissent un cadre d'analyse des pratiques susceptibles de renforcer la dépendance des clients aux fournisseurs cloud.
Dans un contrat SaaS, le fournisseur traite des données personnelles pour le compte du client et est qualifié de sous-traitant au sens de l'article 28 du RGPD. Un DPA (Data Processing Agreement) est alors obligatoire. Ce contrat écrit doit mentionner l'objet et la durée du traitement, les catégories de données concernées, les obligations de sécurité, la liste des sous-traitants ultérieurs avec droit d'opposition du client, et le sort des données en fin de contrat.
Le DPA doit également encadrer la sous-traitance ultérieure, notamment lorsque le fournisseur SaaS recourt à des hébergeurs cloud (AWS, Azure, Google Cloud). Conformément à l'article 28 §2 du RGPD, le fournisseur doit obtenir une autorisation écrite du client avant de faire appel à un sous-traitant ultérieur, selon un mécanisme d'autorisation spécifique ou générale. En cas d'autorisation générale, il doit informer le client de tout changement envisagé concernant l'ajout ou le remplacement d'un sous-traitant, afin de permettre au client de formuler une objection.
L'absence de DPA conforme à l'article 28 du RGPD constitue un manquement susceptible d'être sanctionné par l'autorité de contrôle. Le RGPD prévoit des amendes pouvant atteindre 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial pour les violations les plus graves. Les sanctions de la CNIL montrent que les obligations liées à la sous-traitance, à la sécurité et à la gouvernance des données font l'objet d'un contrôle effectif.
Les transferts de données hors UE constituent un enjeu structurel, notamment avec les fournisseurs internationaux comme Microsoft, Salesforce ou Google. Le contrat ou l'accord encadrant le traitement doit identifier le mécanisme juridique applicable au transfert (par exemple les clauses contractuelles types de la Commission européenne, une décision d'adéquation ou un autre fondement prévu par le RGPD) et préciser les garanties mises en œuvre. L'entreprise qui détermine les finalités du traitement reste responsable du choix d'un prestataire présentant des garanties suffisantes, même lorsque celui-ci maîtrise les choix techniques d'hébergement. Elle peut voir sa responsabilité engagée en cas de défaut de contrôle ou de diligence, sans être automatiquement co-responsable des manquements du fournisseur.
Enfin, la question de la propriété des données d'usage — logs, statistiques, comportements générés par votre activité sur la plateforme — mérite une attention particulière. Ces données peuvent avoir une valeur stratégique pour l'éditeur et constituer des données personnelles au sens du RGPD. Le contrat doit donc définir précisément les droits de chaque partie sur ces données, les finalités d'utilisation autorisées et les conditions d'exploitation éventuelle des données agrégées ou anonymisées.
Conseil : Lors de l'audit d'un DPA, vérifiez systématiquement la liste des sous-traitants ultérieurs, leur rôle et la localisation des traitements. En cas de transfert hors EEE, identifiez le mécanisme juridique applicable (décision d'adéquation, clauses contractuelles types de la Commission européenne ou autre garantie prévue par le RGPD) et documentez l'analyse du transfert. Un changement de sous-traitant non conforme aux exigences de l'article 28 du RGPD peut engager la responsabilité du fournisseur et exposer le responsable de traitement à un risque de sanction s'il n'a pas correctement exercé ses obligations de contrôle.
Que vous optiez pour une licence on-premise ou un SaaS, certaines précautions s'imposent. Voici les recommandations essentielles selon le modèle choisi :
Gardez à l'esprit que de nombreux décideurs IT n'ont jamais relu intégralement les conditions contractuelles de leurs fournisseurs SaaS. Or chaque abonnement est un contrat distinct qui engage juridiquement votre entreprise. Prenez le temps de vérifier la nature juridique réelle de chaque engagement avant de signer.
Exemple concret : La société Carvalet Ingénierie, PME de 35 salariés, utilise un logiciel SaaS de gestion de projet facturé 420 euros HT par mois. Le contrat prévoit un renouvellement automatique annuel et une clause de limitation de responsabilité plafonnée à 12 mois d'abonnement, soit 5 040 euros. Suite à une panne serveur de 6 jours chez le fournisseur, Carvalet Ingénierie subit un préjudice commercial évalué à 78 000 euros (retards de livraison, pénalités clients, heures supplémentaires). Le plafond contractuel limite l'indemnisation à 5 040 euros. Aucun carve-out n'avait été négocié. De surcroît, le contrat ne comporte aucune clause de réversibilité exploitable : les données exportées par le fournisseur sont dans un format propriétaire inexploitable par un concurrent. Un audit juridique préalable aurait permis de négocier un plafond d'indemnisation rehaussé, des carve-outs adaptés et une clause de réversibilité en format standard.
La complexité de la distinction entre licence logiciel vs contrat SaaS nécessite un accompagnement juridique adapté à chaque situation. CONNECT AVOCATS intervient sur toute la France pour aider les entreprises à sécuriser leurs contrats informatiques, qu'il s'agisse de négocier un SLA, de rédiger un DPA conforme au RGPD, d'auditer des contrats SaaS existants au regard du Data Act et de la loi SREN, ou d'encadrer les clauses d'audit et de limitation de responsabilité dans les licences on-premise.
En alliant conseil et contentieux, le cabinet accompagne ses clients dans la rédaction, la négociation et la mise en conformité de leurs engagements contractuels liés au numérique, en toute confidentialité et avec la rigueur qu'exige la protection de vos intérêts. N'hésitez pas à solliciter CONNECT AVOCATS pour sécuriser vos prochaines signatures ou auditer vos contrats en cours.