LA DOUILLE #55 – De l’audit à la faute, il n’y a qu’un pas

Bienvenue dans le cinquante-cinquième épisode de La Douille by Volkane, la newsletter qui raconte le droit au monde des affaires.

Volkane, c’est aussi le cabinet en droit des affaires qui propose des solutions juridiques pragmatiques et opérationnelles (surtout) pour accompagner les éditeurs de SaaS et de plateformes.

Pour nous soutenir :

• Suivez-nous sur LinkedIn : Lydia & Clémence

• Mettez un cœur sur cet épisode

Si vous souhaitez plus de contenus :

• Guide : Tout savoir avant d’acheter ou vendre un SaaS

• Guide : Recruter en conformité avec le RGPD

• Guide à lire avant de s’associer avec un CTO

• Programme audio : Vendre un SaaS en maximisant sa valeur

• Quizz : Mesurez votre niveau de préparation à la vente de votre SaaS

Nous sommes déjà +3177 à lire La Douille. Rejoignez-nous.

1. L’histoire : L’audit de sécurité qui tombe à pic

2. Le temps technique : Sécuriser contractuellement un audit client

3. L’actu de Volkane : Fin d’année et vœux

L’entreprise d’Eugénie vient de changer de dimension.

FlowSync, son SaaS de synchronisation de données, devient le prestataire d’un grand groupe du secteur médical. Une catégorie de référence client qui rassure tout le monde : investisseurs, partenaires, équipes internes.

Le contrat de prestation de services conclu entre FlowSync et ce grand client est long (50 pages), dense et sérieux.

Evidemment, ce contrat prend des mois à être signé, avec un nombre d’aller-retours qu’on ne veut même plus compter.

Pendant la négociation, la responsabilité liée aux données personnelles est particulièrement débattue. Sur ce point, le client est inflexible. Il est d’accord pour un plafond de responsabilité classique sur les manquements contractuels, mais avec une exception prévoyant une responsabilité illimitée pour les obligations liées à la protection des données personnelles.

Eugénie s’en souvient très bien. Elle avait lâché.

À l’époque, cela lui avait semblé logique. FlowSync traitait des données sensibles et son client ne pouvait pas se permettre de prendre des risques sur ce point.

Au début, la licence FlowSync était très abordable, et puis chaque année elle augmentait.

Le client était content du produit, il n’avait jamais vraiment grincé des dents à l’annonce des augmentations.

Jusqu’en février 2025.

Le client râle, négocie, laisse entendre qu’il ne sera plus possible de travailler ensemble si cela continue.

Mais Eugénie tient bon. Elle assume le prix du service et rappelle ce qu’il couvre : des charges importantes pour assurer la sécurité des données, et une clause de responsabilité potentiellement illimitée en cas de problème.

Finalement, le contrat est renouvelé. C’est reparti pour 3 ans.

Un mois plus tard, le client informe qu’il souhaite exercer son droit d’audit sur les mesures de sécurité, conformément au contrat.

Le préavis est respecté. Les auditeurs signent un engagement de confidentialité.

Tout est juridiquement propre.

L’audit commence. Les consultants travaillent méthodiquement pendant trois jours.

Eugénie n’en revient pas quand elle reçoit le rapport : dix pages de « manquements aux obligations de sécurité prévues au contrat. »

Et encore moins lorsque, deux jours plus tard, elle reçoit une lettre recommandée l’informant de la résiliation du contrat pour faute.

Eugénie tente d’obtenir des explications.
De comprendre ce qui justifie une rupture aussi brutale alors que les manquements lui semblent largement exagérés et amplifiés.

En réponse, son client lui mentionne seulement qu’en plus de résilier le contrat, il pourrait même notifier les violations à la CNIL.

C’est là qu’elle comprend que la gravité réelle des manquements n’est plus le sujet.

Ils sont discutables. Corrigeables.

Aucun incident n’a eu lieu. Aucune donnée n’a été compromise.

Ce qui compte, c’est que ces manquements permettent juridiquement de qualifier une faute et que le contrat ne la protège pas bien pour démontrer que cela ne suffit pas pour résilier le contrat.

L’audit de sécurité est un outil légitime pour un client. Mais il peut aussi être détourné de son objectif.

Un client, cherchant à sortir d’un contrat, pourrait s’appuyer sur un audit pour identifier des failles mineures et les monter en épingle afin de fonder une résiliation pour faute grave.

Et c’est normal : la sécurité absolue n’existe pas. Un auditeur trouvera toujours quelque chose.

Le but n’est pas d’empêcher l’audit, mais de le neutraliser en tant que prétexte abusif.

Et ce n’est pas une fatalité, car vous avez totalement la main sur le cadre contractuel.

Voici ce que vous pouvez faire pour éviter ce type de mauvaise surprise :

C’est le point essentiel. Vous ne promettez pas une forteresse imprenable (obligation de résultat), mais vous vous engagez à mettre en œuvre les “règles de l’art” pour la protéger.

Conséquence : La simple découverte d’une faille ne suffit pas à prouver votre faute. Le client devra démontrer que vous n’avez pas été diligent.

L’audit ne doit pas être une pêche aux informations ou une exploration libre de toute l’infrastructure. Le contrat doit fixer les règles du jeu :

• Le périmètre : Limitez l’audit aux seuls systèmes et environnements liés au service fourni et excluez tout ce qui n’est pas directement en lien avec le service fourni.

• Prévoyez un référentiel : C’est votre “loi” en matière de sécurité. Si la sécurité est un point important, prévoyez une annexe la plus précise possible sur les exigences de sécurité. Si vous le respectez, vous êtes couvert.

Pour cela, voici les points à prévoir :

• Imposez un préavis (par exemple, trente jours ouvrés) pour ne pas être pris de court.

• Exigez un accord de confidentialité de l’auditeur tiers pour vous protéger et imposez également qu’il ne soit pas un concurrent.

• Encadrez les coûts : Prévoyez que l’audit devient payant au-delà d’une certaine durée (par exemple, deux jours). C’est très efficace pour décourager les audits à rallonge.

Et si un rapport d’audit pointe des vulnérabilités ? Ne paniquez pas et répondez méthodiquement.

Voici un panel d’actions possibles :

• Qualifiez les failles : Utilisez une grille de criticité objective (par exemple utilisez le score CVSS) pour distinguer les failles mineures des failles critiques.

• Proposez un plan de remédiation : Pour chaque faille avérée, proposez un délai de correction réaliste et proportionné à sa criticité. C’est la meilleure preuve de votre bonne foi et de votre diligence.

• Contestez les “fausses failles” : N’hésitez pas à réfuter les points qui ne sont pas de réelles vulnérabilités mais des choix d’architecture conformes à votre référentiel.

• Anticipez l’argument de la “faute grave”. C’est le seul argument qui justifierait une résiliation immédiate. En proposant un plan de remédiation, vous montrez que vous exécutez votre obligation de moyens. La mise en demeure du client de “corriger la faute” devient sans objet, car vous êtes déjà en train de le faire. Vous lui coupez l’herbe sous le pied.

Nous venons de finaliser la commande des cartes de vœux.
Les vraies, en papier. Celles qui arrivent dans une boîte aux lettres et qu’on garde parfois sur un coin de bureau.

Si vous n’êtes pas encore dans notre liste et que ça vous intrigue de savoir ce que Volkane met dans une carte de vœux, envoyez-nous simplement un email avec votre adresse postale.
On s’occupe du reste.

D’ici là, nous vous souhaitons d’excellentes fêtes de fin d’année.

Toute ressemblance avec des faits et des personnages existants ou ayant existé serait purement fortuite et ne pourrait être que le fruit d'une pure coïncidence.