Sortie du SaaS et migration des données – que doit prévoir le contrat ?
Une bonne sortie SaaS commence dès la signature du contrat, et non pas une fois le préavis envoyé. Le contrat doit permettre de quitter le service sans que les données, les métadonnées, les intégrations ou l'accès au système ne deviennent un moyen de pression. Réglez donc dès le départ les formats d'exportation, les périodes d'exportation, le support à la migration, les coûts, l'accès après résiliation et la suppression vérifiée.
Pourquoi les conditions de sortie ont leur place dans le contrat SaaS initial
Lorsqu'un service cloud est utilisé au quotidien, la dépendance grandit rapidement. Les données du client sont combinées aux comptes utilisateurs, aux autorisations, à l'historique, aux flux de travail, aux intégrations, aux rapports et à la configuration. Si la question de l'exportation est laissée en suspens, un changement de fournisseur peut devenir nettement plus coûteux et complexe que prévu.
La sortie doit donc être considérée comme faisant partie de l'architecture et des conditions commerciales du service. Lisez d'abord Contrats SaaS – 12 points à réglementer pour une vue d'ensemble et le guide SLA pour la disponibilité et les niveaux de service.
1. Définir exactement quelles données le client peut exporter
« Le client est propriétaire de ses données » ne suffit pas s'il est impossible de les extraire sous une forme exploitable. Spécifiez les catégories incluses dans l'exportation :
- registres et documents principaux,
- historique et données de transaction,
- commentaires et pièces jointes,
- journaux d'audit ou tout autre historique de journalisation pertinent,
- informations sur les utilisateurs et les autorisations, le cas échéant,
- configurations, taxonomies et champs personnalisés,
- relations entre les enregistrements et autres dépendances.
Déterminez également si l'exportation peut être effectuée en continu pendant la durée du contrat ou uniquement lors de la résiliation. Une exportation continue réduit la dépendance vis-à-vis du fournisseur et améliore la préparation.
2. Format, métadonnées et API – ce qui détermine l'utilisabilité de l'exportation
Un fichier zip contenant des milliers de documents déconnectés peut techniquement constituer une exportation, mais rester difficile à migrer. Réglez donc le format lisible par machine, l'encodage des caractères, le format des dates, les clés/ID, les relations, les métadonnées et la documentation de la structure des données.
| Question | Ce que le contrat devrait clarifier |
|---|---|
| Format | CSV, JSON, XML, dump SQL ou tout autre format défini. |
| Fichiers | Comment les pièces jointes sont liées aux enregistrements correspondants. |
| Métadonnées | Quels champs système, horodatages et relations sont inclus. |
| API | Si l'exportation est possible via API, limites de débit et documentation. |
| Vérification | Comment le client contrôle l'exhaustivité et l'intégrité. |
3. Déterminer la période de sortie et l'accès continu
Le contrat doit indiquer combien de temps le service reste accessible après la résiliation et sous quelles conditions. Si l'accès est coupé le jour même de la fin du contrat, le client peut devoir effectuer toute la migration à l'avance.
Déterminez donc par exemple :
- quand une exportation finale peut être demandée,
- le délai accordé au fournisseur pour la livrer,
- la durée pendant laquelle un accès en lecture seule ou complet est conservé,
- si l'exportation peut être répétée en cas d'erreur,
- ce qui se passe si la migration est retardée par le fournisseur.
4. Support de migration et prix
Des formulations telles que « le fournisseur assiste raisonnablement » peuvent créer des litiges le moment venu. Définissez quelle aide est incluse et laquelle est facturée séparément. Il peut s'agir de travaux d'exportation, d'ateliers techniques, de cartographie de données, de support API ou de dépannage lors de la vérification.
Si le support est facturé au fur et à mesure, le contrat doit indiquer le principe de tarification ou le tarif horaire, éventuellement un plafond, et comment passer commande. Le client doit pouvoir estimer les coûts de sortie avant de décider de changer de fournisseur.
5. Suppression, sauvegardes et RGPD
Lorsque le fournisseur SaaS est un sous-traitant, l'accord de traitement des données doit réglementer la manière dont les données personnelles sont gérées à la fin du mandat. Selon l'article 28.3 g du RGPD, le sous-traitant doit, au choix du responsable du traitement, supprimer ou renvoyer les données personnelles et supprimer les copies existantes, sauf si la loi impose une conservation ultérieure.
Il convient également de souligner que la suppression doit être sécurisée. En pratique, le contrat doit donc couvrir :
- les données primaires,
- les copies et le cache,
- les sauvegardes et l'élimination normale du cycle de sauvegarde,
- les obligations légales pouvant nécessiter une conservation ultérieure,
- le certificat de suppression ou toute autre confirmation pertinente.
Voir aussi le guide sur les accords de sous-traitance.
6. Terminer les autorisations et les intégrations de manière contrôlée
La sortie inclut également les clés API, les connexions SSO, les comptes de service, les webhooks et les autorisations d'administration. Créez une liste de désactivation afin qu'aucun accès actif inutile ne reste après la migration.
Déterminez qui est responsable de la révocation des clés, de l'exportation des journaux d'audit, de la fermeture des intégrations et de la vérification que les anciennes connexions ne fonctionnent plus.
7. Tester la sortie avant qu'elle ne soit urgente
Une clause d'exportation a une valeur limitée si personne ne sait si elle fonctionne réellement. Pour les services critiques, le client peut tester régulièrement une exportation partielle ou réaliser un exercice de simulation de changement de fournisseur.
Vérifiez que le format de fichier est lisible, que les relations sont conservées et que le temps d'exportation est compatible avec les besoins de l'entreprise. Le résultat peut être lié au BIA et au plan de continuité si le service SaaS est critique.
Check-list pour une sortie SaaS
- Quelles catégories de données doivent pouvoir être exportées ?
- Le format, les métadonnées et les relations sont-ils définis ?
- L'exportation API et ses limites sont-elles documentées ?
- À quelle vitesse une exportation finale est-elle livrée ?
- Combien de temps le client a-t-il accès après la résiliation ?
- Le support de migration est-il inclus et quel est son prix ?
- Le client peut-il vérifier l'exhaustivité de l'exportation ?
- Quand les données de production sont-elles supprimées ?
- Comment les sauvegardes et les copies sont-elles gérées ?
- Le fournisseur peut-il fournir une confirmation de suppression ?
- Comment sont clôturés les clés API, les intégrations et les comptes ?
- La capacité de sortie a-t-elle été testée avant d'en avoir besoin ?
Réglementez la sortie dès la rédaction du contrat SaaS
Le contrat SaaS 2026 de Mallbutiken comprend une annexe séparée pour la sortie, l'exportation de données et le certificat de suppression, ainsi que des annexes relatives au SLA, à la sécurité et au RGPD. Prix en boutique : 149 kr.
Voir le contrat SaaSConseils connexes
Voir aussi le guide principal sur les contrats SaaS, le guide SLA et Rôles RGPD – responsable ou sous-traitant ?.
Sources et lectures complémentaires
Le guide fournit des informations générales. Les conditions de sortie doivent être adaptées à l'architecture technique du service, à sa criticité, au volume de données et aux rôles réels des parties.
