SaaS ou logiciel sous licence : comment choisir
Pour une direction générale ou une DSI qui arbitre entre deux modèles d'accès au logiciel, le choix entre SaaS et logiciel sous licence engage bien plus qu'une ligne budgétaire : il détermine qui maîtrise les données, qui supporte la responsabilité en cas de violation du cadre des données personnelles, et quelle marge de manœuvre l'entreprise conserve à l'échéance du contrat. Ces deux voies sont encadrées par des régimes juridiques distincts – le Code de la propriété intellectuelle pour la licence, et l'ensemble formé par le Règlement général sur la protection des données (RGPD) et la loi Informatique et Libertés pour le traitement des données en mode hébergé – et commandent des négociations contractuelles radicalement différentes.
Au premier trimestre 2026, nous observons que la pression réglementaire sur les flux de données transfrontaliers et la jurisprudence de la Commission nationale de l'informatique et des libertés (CNIL) ont rendu ce choix encore plus structurant pour les entreprises françaises et européennes. Le présent comparatif expose les critères objectifs de décision, les risques juridiques propres à chaque option et une recommandation conditionnelle adaptée à votre situation.
Ce document parcourt successivement : la définition et le cadre juridique de chaque modèle, les critères de décision objectifs, les risques et coûts juridiques associés, puis une matrice de recommandation et une check-list opérationnelle.
Qu'est-ce que le SaaS et le logiciel sous licence ? Cadre juridique de chaque option
Le SaaS (Software as a Service, ou logiciel en tant que service) désigne un mode d'accès au logiciel dans lequel l'éditeur héberge l'application sur ses propres serveurs et en concède l'usage à distance, sans transfert de l'objet logiciel lui-même. Le contrat de SaaS est un contrat de service : l'utilisateur ne détient aucun exemplaire du code, il loue un accès. Le logiciel sous licence, en revanche, correspond à un contrat par lequel le titulaire des droits sur le logiciel autorise l'utilisateur à installer et à exécuter une copie du programme sur ses propres infrastructures, conformément aux dispositions du Code de la propriété intellectuelle relatives à la protection des œuvres logicielles.
Cette distinction n'est pas seulement technique. Elle détermine la qualification juridique du contrat, les garanties légales applicables, le régime de responsabilité et l'articulation avec le RGPD. Dans notre pratique de la structuration des contrats logiciels, nous accompagnons régulièrement des DSI qui sous-estiment la portée de ce clivage au moment de la signature, et la découvrent lors d'un incident ou d'une renégociation tarifaire.
Trois points de divergence méritent d'être soulignés dès ce stade :
- La titularité sur le code source reste intégralement chez l'éditeur dans les deux cas, sauf stipulation contractuelle contraire négociée lors d'un contrat de développement logiciel spécifique.
- Le SaaS place l'éditeur en qualité de sous-traitant au sens du RGPD dès lors que des données personnelles transitent par sa plateforme, ce qui impose la conclusion d'un accord de traitement des données (Data Processing Agreement).
- Le logiciel sous licence n'emporte pas, en lui-même, de relation de sous-traitance au sens du RGPD : c'est l'entreprise elle-même qui exploite et héberge les données.
Un dossier à examiner avant de signer ? Pour une analyse de votre situation au regard du choix entre SaaS et logiciel sous licence, écrivez-nous à contact@vernaylestang.com.
Quels critères objectifs permettent de trancher entre SaaS et logiciel sous licence ?
Le comparatif et critères décisifs se structurent autour de cinq axes : la maîtrise des données, la flexibilité contractuelle, le niveau de personnalisation, les contraintes réglementaires sectorielles et le coût total de possession.
Maîtrise des données et localisation
En mode SaaS, les données sont hébergées sur l'infrastructure de l'éditeur – ou d'un sous-traitant ultérieur de l'éditeur. L'entreprise doit vérifier la localisation effective des serveurs, les clauses de transfert hors Union européenne et les mécanismes de garantie (clauses contractuelles types de la Commission européenne, ou décision d'adéquation). Le logiciel sous licence hébergé en interne maintient les données sous le contrôle exclusif de l'entreprise, ce qui simplifie l'analyse de conformité au RGPD mais transfère l'intégralité de la responsabilité opérationnelle de sécurité.
Flexibilité contractuelle et sortie
Le contrat de SaaS est généralement renouvelable par tacite reconduction et soumis à des conditions unilatérales de modification tarifaire ou fonctionnelle par l'éditeur. La clause de portabilité des données et les conditions de réversibilité en fin de contrat sont des points de négociation critiques. Le logiciel sous licence confère en principe une durée d'usage plus stable, mais les mises à jour et la maintenance sont généralement contractualisées séparément, créant une dépendance de facto à l'éditeur.
Personnalisation et intégration
Le SaaS limite souvent les possibilités de personnalisation aux paramètres prévus par l'éditeur. Le logiciel sous licence peut, selon le périmètre de la licence, autoriser des adaptations internes, sous réserve des clauses restrictives habituellement stipulées par l'éditeur. Toute adaptation non autorisée engage la responsabilité de l'entreprise au titre du Code de la propriété intellectuelle.
Contraintes réglementaires sectorielles
Certains secteurs – santé, finance, défense – imposent des exigences de souveraineté et de localisation des données incompatibles avec certaines offres SaaS standard. Nous observons que la qualification préalable des contraintes sectorielles est souvent négligée, ce qui expose l'entreprise à des remises en conformité coûteuses après déploiement.
Coût total de possession
Le SaaS présente un coût d'entrée plus faible et une prévisibilité budgétaire par abonnement, mais le cumul sur plusieurs années peut dépasser le coût d'une licence perpétuelle avec maintenance. Le logiciel sous licence génère des coûts d'infrastructure, de maintenance interne et de mise à jour qui doivent être intégrés à l'analyse.
Si une démarche de déploiement antérieure a produit des difficultés contractuelles ou réglementaires, un second regard permet d'identifier les leviers restants. Écrivez-nous à contact@vernaylestang.com pour examiner l'application de ces critères à votre opération.
Quels sont les risques juridiques propres au SaaS ?
Le SaaS concentre plusieurs risques juridiques spécifiques que la direction juridique doit anticiper avant la signature du contrat.
Le premier risque est celui de la qualification de sous-traitance au sens du RGPD. Dès lors que l'éditeur SaaS traite des données personnelles pour le compte de l'entreprise, il revêt la qualité de sous-traitant. L'absence d'accord de traitement des données conforme expose le responsable de traitement – l'entreprise cliente – à des sanctions de la CNIL. Les obligations du RGPD s'imposent sans délai, et nous accompagnons régulièrement des entreprises dans la négociation de ces accords avec des éditeurs dont les contrats types présentent des lacunes au regard des exigences françaises et européennes.
Le deuxième risque porte sur la réversibilité. En cas de cessation de la relation contractuelle – résiliation, liquidation de l'éditeur, absorption par un concurrent – l'entreprise doit pouvoir récupérer ses données dans un format exploitable. L'absence de clause de réversibilité détaillée crée une dépendance fonctionnelle qui peut paralyser l'activité.
Le troisième risque concerne les modifications unilatérales. L'éditeur SaaS peut faire évoluer ses conditions générales, ses fonctionnalités ou sa tarification, parfois avec un préavis réduit. Sans clause de stabilité contractuelle négociée, l'entreprise subit ces évolutions sans recours efficace.
Illustration : lors d'un projet récent (Bordeaux, printemps 2025), nous avons assisté une entreprise de services financiers dans la renégociation de son contrat SaaS après que l'éditeur avait modifié unilatéralement les conditions de localisation des données, rendant le dispositif non conforme aux exigences du régulateur sectoriel. L'intervention a permis de rétablir une clause de localisation contraignante et d'obtenir un droit d'audit.
Quels sont les risques juridiques propres au logiciel sous licence ?
Le logiciel sous licence transfère la charge de la sécurité et de la conformité sur l'entreprise elle-même, ce qui n'est pas sans risque.
Le premier enjeu est celui de la titularité et du périmètre de la licence. La licence désigne, au sens du Code de la propriété intellectuelle, l'autorisation conférée par le titulaire des droits à un tiers d'utiliser l'œuvre dans les conditions définies au contrat. Toute utilisation hors périmètre – nombre d'utilisateurs, nombre de serveurs, périmètre géographique, droits de modification – constitue une atteinte aux droits de l'auteur. Dans notre pratique, nous constatons fréquemment des glissements de périmètre non identifiés lors d'audits de portefeuille logiciel, notamment lors d'opérations de fusion-acquisition.
Le deuxième enjeu est la maintenance et l'obsolescence. Un logiciel sous licence dont l'éditeur cesse d'assurer la maintenance crée un risque opérationnel et de sécurité croissant. L'entreprise doit négocier des clauses d'escrow (séquestre du code source) permettant d'accéder au code source en cas de défaillance de l'éditeur.
Le troisième enjeu concerne la conformité RGPD interne. L'entreprise est responsable de traitement pour l'ensemble des données hébergées en interne. Elle supporte seule la charge de la sécurité technique et organisationnelle, des notifications en cas de violation, et de la documentation des traitements.
Illustration : lors d'une mission menée pour une ETI industrielle (Strasbourg, automne 2024), nous avons identifié, au cours d'un audit pré-acquisition, que le périmètre de la licence logicielle principale de la cible avait été étendu à trois filiales sans accord de l'éditeur. La régularisation a nécessité une renégociation de la licence préalablement au closing de l'opération, avec un impact sur la valorisation et les garanties d'actif et de passif.
Matrice de décision : quelle option selon votre situation ?
Le choix entre SaaS et logiciel sous licence n'obéit pas à une règle universelle. Il dépend de la combinaison de critères propres à chaque organisation. La matrice suivante, présentée de manière conditionnelle, illustre les recommandations que nous formulons dans notre pratique, sans valeur de garantie quant à l'issue de votre dossier spécifique.
Situation A – Entreprise soumise à des contraintes fortes de localisation des données (santé, finance réglementée, défense) : le logiciel sous licence hébergé en infrastructure propre ou auprès d'un hébergeur certifié constitue généralement l'option la plus robuste au regard des exigences réglementaires sectorielles. Le niveau de risque réglementaire est réduit, mais le coût d'infrastructure et la charge de conformité interne sont élevés. Le délai de déploiement est plus long.
Situation B – PME ou ETI sans contrainte sectorielle particulière, à la recherche d'une mise en œuvre rapide : le SaaS permet une entrée en service accélérée et une charge de maintenance réduite. Le niveau de risque contractuel est modéré à condition de négocier les clauses de réversibilité, de localisation des données et de stabilité tarifaire. Le suivi de la conformité RGPD repose en partie sur l'éditeur, dont les engagements doivent être vérifiés contractuellement.
Situation C – Groupe international avec flux de données transfrontaliers complexes : la structure hybride (licence pour les applications critiques, SaaS pour les fonctions support) peut s'avérer pertinente, sous réserve d'une cartographie précise des flux de données et d'une analyse de conformité au regard du RGPD et des réglementations locales applicables. Le niveau de complexité juridique est élevé et justifie un guide de décision détaillé adapté à votre organisation.
Situation D – Entreprise en phase de croissance rapide envisageant une levée de fonds ou une cession à moyen terme : les investisseurs et acquéreurs examinent systématiquement le portefeuille de licences et la conformité des contrats SaaS lors des diligences raisonnables. Une documentation contractuelle rigoureuse, quelle que soit l'option retenue, constitue un actif immatériel valorisable.
Check-list – Ce qu'il faut préparer avant de décider :
- Cartographier les données personnelles traitées par le logiciel et leur localisation actuelle ou projetée.
- Identifier les contraintes réglementaires sectorielles applicables à votre activité et à vos données.
- Analyser les clauses de réversibilité, de portabilité et de résiliation du contrat envisagé.
- Vérifier le périmètre exact de la licence ou de l'abonnement au regard de votre organisation (nombre d'utilisateurs, filiales, territoires).
- Consulter un conseil juridique avant toute signature, en particulier lorsque des données sensibles ou un environnement réglementé sont en jeu.
Comment les contrats SaaS et de licence s'articulent-ils avec le RGPD et les obligations de conformité ?
L'articulation entre le choix du modèle logiciel et les obligations découlant du RGPD et de la loi Informatique et Libertés est une dimension que nous observons régulièrement sous-estimée dans les arbitrages de la DSI.
En mode SaaS, l'éditeur est sous-traitant au sens du RGPD et doit s'engager contractuellement à respecter les instructions du responsable de traitement, à garantir la sécurité des données, à notifier les violations dans les délais prévus par le règlement et à assister le responsable de traitement dans l'exercice des droits des personnes. L'accord de traitement des données doit couvrir l'ensemble de ces obligations. Son absence ou son caractère lacunaire expose l'entreprise cliente à sa propre responsabilité en tant que responsable de traitement.
En mode licence, l'entreprise est seule responsable de traitement pour les données hébergées en interne. Elle doit mettre en œuvre les mesures techniques et organisationnelles appropriées, tenir un registre des activités de traitement et, le cas échéant, réaliser une analyse d'impact relative à la protection des données lorsque le traitement présente des risques élevés pour les droits et libertés des personnes. Les obligations d'encadrement des échanges de données avec des partenaires ou prestataires doivent également être anticipées : notre guide sur l'encadrement des échanges entre concurrents illustre l'importance de cette démarche dans les contextes de coopération ou de mutualisation.
Les sanctions de la CNIL peuvent être significatives en cas de manquement. La gravité et la nature des sanctions dépendent des circonstances concrètes du dossier ; leur détermination relève de l'appréciation de l'autorité de contrôle et, le cas échéant, des juridictions compétentes. Ce risque doit être intégré à l'analyse coût-bénéfice de chaque option.
Domaines liés
- Contrat de développement logiciel – structurer la titularité, les livrables et la maintenance dès la commande
- Guide de décision SaaS / licence – approfondir l'analyse selon la taille et le secteur de votre organisation
FAQ – Questions fréquentes sur le choix entre SaaS et logiciel sous licence
1. Quelle est la différence entre SaaS et logiciel sous licence ?
Le SaaS est un contrat de service qui donne accès à un logiciel hébergé par l'éditeur, sans transfert de l'objet logiciel ; le logiciel sous licence est un contrat par lequel le titulaire des droits autorise l'installation d'une copie du programme sur les infrastructures de l'utilisateur, conformément au Code de la propriété intellectuelle. La distinction détermine qui contrôle les données, qui supporte la sécurité et quelle est la nature des obligations contractuelles de chaque partie.
2. Comment choisir entre SaaS et logiciel sous licence ?
Le choix entre SaaS et logiciel sous licence dépend de la combinaison de cinq critères : la localisation et la maîtrise des données personnelles, les contraintes réglementaires sectorielles, le niveau de personnalisation requis, la flexibilité contractuelle souhaitée et le coût total de possession sur la durée envisagée. Une analyse juridique préalable est recommandée, en particulier lorsque des données sensibles ou un secteur réglementé sont concernés.
3. Peut-on changer d'option par la suite ?
Le passage d'un modèle à l'autre est techniquement et juridiquement possible, mais implique une migration des données, une renégociation contractuelle et une nouvelle analyse de conformité au RGPD. La transition du SaaS vers une licence nécessite de vérifier les clauses de portabilité et de réversibilité du contrat en cours ; la transition inverse implique la cession ou l'abandon de la licence existante et la qualification du nouvel éditeur SaaS comme sous-traitant. Ces opérations doivent être anticipées contractuellement dès la première signature.
4. Le SaaS est-il toujours concerné par le RGPD ?
Le SaaS est concerné par le RGPD dès lors que des données personnelles sont traitées par la plateforme, ce qui est le cas de la quasi-totalité des usages en entreprise. L'éditeur SaaS revêt alors la qualité de sous-traitant et doit conclure un accord de traitement des données conforme aux exigences du règlement européen. L'entreprise cliente reste responsable de traitement et engage sa responsabilité en cas de défaillance non encadrée contractuellement.
5. Quelles clauses négocier en priorité dans un contrat SaaS ou de licence ?
Dans un contrat SaaS, les clauses à négocier en priorité sont : la localisation des données et les conditions de transfert hors Union européenne, la réversibilité et la portabilité des données en fin de contrat, les conditions de modification unilatérale et le préavis applicable, ainsi que l'accord de traitement des données conforme au RGPD. Dans un contrat de licence, les priorités portent sur le périmètre exact de la licence (utilisateurs, sites, filiales), les droits d'adaptation et d'intégration, et la clause de séquestre du code source en cas de défaillance de l'éditeur.
Vernay & Lestang – Avocats d'affaires · Paris
Notre équipe intervient dans la structuration des contrats logiciels, la négociation des accords SaaS et de licence, la mise en conformité au RGPD et la défense des actifs immatériels. Nous accompagnons des directions générales, des DSI et des directions juridiques d'ETI et de groupes, ainsi que des investisseurs en phase de diligences raisonnables portant sur des portefeuilles logiciels. Notre approche repose sur une analyse précise du périmètre contractuel et réglementaire propre à chaque dossier, sans formule standardisée. Les honoraires sont définis après analyse du dossier.
Pour examiner l'application de ces critères à votre situation, contactez-nous à contact@vernaylestang.com.
Avertissement : cette publication a une vocation purement informative et ne constitue pas un conseil juridique. Elle ne saurait se substituer à une analyse adaptée à votre situation. Pour un avis sur votre dossier, écrivez-nous à contact@vernaylestang.com.
Florence Delcourt – Analyste juridique au sein de Vernay & Lestang, Florence Delcourt traite les dossiers de propriété intellectuelle, numérique, données et conformité. Voir son profil. – Publié le 3 février 2026.
Parlons de votre situation
Pour une première analyse, écrivez-nous à info@vernaylestang.com.
Ce contenu est une information générale et ne constitue pas un conseil juridique. Pour une analyse de votre situation, contactez info@vernaylestang.com.