Chaque nouvel outil SaaS adopté par un cabinet — logiciel de gestion, solution d'emailing, comptabilité en ligne, outil de signature — s'accompagne en théorie d'un DPA, ce document contractuel qui encadre le traitement des données personnelles par l'éditeur. En pratique, ce document est trop souvent signé sans être lu, ou pire, il n'existe pas. Voici la checklist des clauses à vérifier avant de vous engager, et les signaux qui doivent vous alerter.
Qu'est-ce qu'un DPA et quand un cabinet doit-il en exiger un ?
Le DPA (Data Processing Agreement, ou accord de traitement des données) est le document contractuel qui formalise la relation entre un responsable de traitement — votre cabinet — et un sous-traitant qui traite des données personnelles pour son compte. Il est imposé par l'article 28 du RGPD dès qu'un prestataire a un accès technique à des données personnelles, même s'il ne les consulte jamais activement.
Un cabinet doit exiger un DPA de la part de tout éditeur SaaS qui héberge ou manipule des données de clients, de parties adverses ou de salariés : logiciel de gestion de cabinet, solution de comptabilité, outil d'emailing, plateforme de signature électronique, service de visioconférence, outil de dictée vocale. La nature « cloud » ou « SaaS » du service ne change rien à l'obligation : c'est la nature du traitement qui compte, pas le modèle de distribution du logiciel.
💡 Bon à savoir : le DPA peut être un document séparé ou une annexe intégrée aux conditions générales d'utilisation. Ce qui compte n'est pas sa forme, mais son contenu : il doit couvrir explicitement les points listés à l'article 28.3 du RGPD. Un simple renvoi vague à « la conformité RGPD de l'éditeur » dans une CGU ne suffit pas.
Pour la méthode complète d'identification de tous vos sous-traitants numériques avant même de vérifier leurs DPA, consultez notre article sur la cartographie des sous-traitants du cabinet.
Quelles clauses sont strictement obligatoires ?
L'article 28.3 du RGPD liste les clauses qu'un DPA doit impérativement contenir. Voici la checklist minimale à cocher avant toute signature :
☐ L'objet, la nature et la durée précise du traitement
☐ La finalité du traitement et le type de données concernées
☐ L'obligation pour l'éditeur de n'agir que sur instruction documentée du cabinet
☐ L'engagement de confidentialité du personnel de l'éditeur
☐ Les mesures de sécurité mises en œuvre (article 32 du RGPD)
☐ Les conditions de recours à des sous-traitants ultérieurs
☐ L'assistance apportée pour répondre aux demandes d'exercice des droits
☐ La restitution ou suppression des données en fin de contrat
Un DPA qui omet l'un de ces points n'est tout simplement pas conforme, quelle que soit la réputation de l'éditeur. Le fait de continuer à utiliser un outil dont le DPA est incomplet expose le cabinet, en tant que responsable de traitement, à sa propre responsabilité — pas seulement celle de l'éditeur.
Quels points au-delà du minimum légal faut-il vérifier ?
Un DPA techniquement conforme peut néanmoins être insuffisant pour un cabinet d'avocats, dont les données traitées sont souvent plus sensibles que la moyenne. Quelques points méritent une lecture attentive au-delà des clauses obligatoires :
La localisation réelle des données
Un DPA peut mentionner un siège social européen tout en autorisant des transferts vers des serveurs hors UE. Vérifiez la clause de localisation, pas seulement l'adresse de l'éditeur. Voir notre article sur les transferts de données hors UE.
Les délais de notification en cas de violation
L'article 33 du RGPD impose au cabinet de notifier une violation à la CNIL sous 72 heures. Si le DPA de votre éditeur prévoit un délai de notification interne de 5 ou 10 jours, vous ne pourrez matériellement pas respecter ce délai légal.
Les droits d'audit
L'article 28.3.h prévoit que le sous-traitant met à disposition les informations nécessaires pour démontrer sa conformité et permet des audits. Un DPA qui exclut totalement tout droit d'audit ou de demande d'information mérite discussion.
Le format et le délai de restitution des données
En cas de changement de logiciel, pouvez-vous récupérer l'intégralité de vos dossiers dans un format exploitable, et sous quel délai ? Un DPA silencieux sur ce point expose à un risque de dépendance au prestataire (vendor lock-in).
⚠️ Attention : certains éditeurs limitent contractuellement leur responsabilité à un montant forfaitaire dérisoire (parfois le montant de l'abonnement mensuel) en cas de violation de données imputable à leur négligence. Cette clause ne dispense jamais le cabinet de sa propre responsabilité envers ses clients, mais elle indique le niveau de sérieux réel de l'engagement de l'éditeur.
Comment lire la liste des sous-traitants ultérieurs ?
Un éditeur SaaS a lui-même généralement recours à d'autres prestataires : hébergeur cloud, service d'envoi d'emails transactionnels, outil de supervision technique, solution de paiement. Ces prestataires sont des « sous-traitants ultérieurs » au sens du RGPD, et le DPA doit encadrer ce recours.
Ce que le DPA doit préciser sur ce point :
- La liste actualisée des sous-traitants ultérieurs, ou l'engagement de la tenir à jour et accessible
- L'obligation d'obtenir une autorisation préalable (générale ou spécifique) du cabinet avant tout changement
- Le droit pour le cabinet de s'opposer à l'ajout d'un nouveau sous-traitant ultérieur
- L'engagement contractuel imposant à ces sous-traitants les mêmes obligations que celles prévues dans le DPA principal
Quels signaux doivent alerter dans un DPA ?
Certains éléments, ou leur absence, doivent conduire à approfondir l'examen d'un DPA avant signature — voire à écarter le prestataire pour les traitements les plus sensibles.
❌ Absence totale de DPA
Un éditeur incapable de fournir un DPA sur demande n'est, par définition, pas en conformité avec l'article 28 du RGPD.
❌ DPA générique non daté ni signé
Un simple document PDF téléchargeable, sans référence au contrat spécifique ni engagement formel, a une valeur probante limitée en cas de litige.
❌ Silence total sur la localisation des données
Si le DPA ne précise pas où sont hébergées les données de production et des sauvegardes, il est impossible d'évaluer le risque de transfert hors UE.
❌ Aucune mention de la fin de contrat
Sans clause de restitution ou de suppression des données, rien ne garantit qu'un éditeur supprimera vos données après résiliation.
L'avantage d'un éditeur spécialisé cabinets d'avocats
Un éditeur qui connaît les spécificités du secret professionnel et du RGPD pour les professions du droit propose généralement un DPA plus détaillé, une localisation garantie en France ou en UE, et une liste de sous-traitants ultérieurs restreinte et documentée — plutôt qu'un DPA générique conçu pour tout type d'entreprise.
Chez NetJuris
Un DPA détaillé, une localisation 100% France et une liste de sous-traitants ultérieurs limitée et documentée sont fournis à chaque cabinet client. Découvrez nos fonctionnalités ou nos tarifs.
FAQ
Un éditeur SaaS peut-il refuser de signer un DPA spécifique et renvoyer uniquement à ses CGU ?
Ce n'est pas une bonne pratique, mais ce n'est pas nécessairement non conforme si les CGU contiennent effectivement l'ensemble des clauses de l'article 28.3. Il faut alors vérifier le contenu, pas la forme. En cas de doute, demandez explicitement une annexe RGPD dédiée.
Faut-il un DPA distinct pour chaque module d'un même logiciel SaaS ?
Non, un seul DPA couvrant l'ensemble des traitements réalisés par l'éditeur dans le cadre du contrat suffit, à condition qu'il décrive précisément chaque finalité et catégorie de données concernée.
Que faire si le DPA existant chez un prestataire déjà utilisé est incomplet ?
Contactez l'éditeur pour obtenir une version à jour ou un avenant conforme. En l'absence de réponse satisfaisante, documentez la démarche entreprise dans votre registre des traitements et envisagez un changement de prestataire pour les traitements les plus sensibles.
Le DPA doit-il être renégocié à chaque évolution du logiciel ?
Pas systématiquement, sauf si l'évolution modifie la nature ou la finalité du traitement (par exemple l'ajout d'une fonctionnalité d'intelligence artificielle traitant les données différemment). Une clause de mise à jour dans le DPA initial permet d'anticiper ce cas.
Publié le 2026-04-27. Contenu informatif destiné aux professionnels du droit ; il ne constitue pas une consultation juridique. Pour l'analyse précise de vos contrats, référez-vous au texte de l'article 28 du RGPD et aux ressources de la CNIL sur les contrats de sous-traitance.