Comment un e-commerçant se protège-t-il face à la fuite d'informations ? (contrat de sous-traitance, Micro-entrepreneur)
La plupart des e-commerçants travaillent sur devis accepté par email, sans conditions annexées. Tant que tout se passe bien, personne ne s'en aperçoit. Le jour où vous ouvrez vos méthodes, vos tarifs ou vos données à un tiers qui n'est engagé à rien, l'absence de cadre écrit coûte le montant de la mission. Pour une structure de type Micro-entrepreneur, dont l'enjeu est la simplicité et la franchise de TVA, c'est un risque qui se supprime en une heure de mise en place.
Ce que prévoit le droit, et ce qu'il ne prévoit pas
Le secret des affaires est protégé, mais seulement si vous prouvez avoir pris des mesures de protection. Cette règle découle de art. L151-1 du Code de commerce (secret des affaires). Elle s'applique de plein droit entre professionnels, sans qu'il soit nécessaire de la rappeler dans le contrat.
Le point de vigilance propre au secteur e-commerce tient à la responsabilité sur les délais de livraison et la conformité RGPD. S'y ajoute le cadre posé par le Code de la consommation (art. L221-1 et suivants) et le RGPD, qui encadre la pratique professionnelle sans se substituer à ce que les parties ont convenu.
Une règle légale ne vaut que si vous pouvez prouver les faits qui la déclenchent : la date d'échéance, le périmètre convenu, la livraison effectuée. Le contrat ne crée pas vos droits — il constitue la preuve qui les rend utilisables. C'est la raison pour laquelle un contrat de deux pages bien rédigé vaut mieux qu'un contrat de vingt pages recopié d'un autre métier.
Un cas concret
Votre prestataire d'emailing expose 42 000 fiches clients
Vous confiez vos campagnes à une agence de 4 personnes, facturée 1 800 € HT par mois, qui exporte votre base de 42 000 clients — nom, adresse, téléphone, historique d'achat — vers un outil d'envoi hébergé hors Union européenne, choisi sans vous en informer. Une mauvaise configuration rend un fichier accessible publiquement pendant onze jours. Vous l'apprenez par un client qui a retrouvé ses données via un moteur de recherche. Aucun contrat de sous-traitance n'a été signé avec l'agence, aucune analyse n'a été faite sur le transfert hors Union européenne, et vous ignorez quels autres outils détiennent des copies de votre base.
Ce qui se joue juridiquement
En tant que responsable du traitement, c'est vous qui devez répondre de la sécurité des données de vos clients, y compris lorsque l'incident provient d'un prestataire : le recours à un sous-traitant impose un contrat écrit fixant les obligations de sécurité, l'interdiction de recourir à un sous-traitant ultérieur sans autorisation et l'encadrement des transferts hors Union européenne. La violation doit en outre être notifiée à l'autorité de contrôle dans un délai très bref et, selon sa gravité, aux personnes concernées. Sans contrat ni cartographie, vous ne pouvez ni identifier l'étendue de la fuite, ni démontrer votre diligence, ce qui pèse lourdement dans l'appréciation de votre responsabilité.
Signez un contrat de sous-traitance conforme au règlement européen avec chaque prestataire manipulant vos données, avec autorisation préalable pour tout sous-traitant ultérieur et pour tout transfert hors Union européenne. Tenez à jour la cartographie des outils détenant une copie de votre base et documentez une procédure de notification en cas de violation.
Document concerné : contrat de sous-traitance RGPD et procédure de notification de violation de données — Art. 28 et 33 du règlement général sur la protection des données
Les quatre erreurs qui reviennent le plus souvent
Aucune de ces erreurs ne relève de l'ignorance juridique. Elles viennent toutes du fait que le sujet paraît secondaire tant que la relation se passe bien. Elles ne coûtent rien à corriger en amont, et beaucoup en aval.
- Travailler sur un dropshipping accepté par email sans conditions annexées. Le devis fixe un prix, pas des règles : il ne dit rien du délai de paiement, ni de ce qui se passe si la mission s'arrête.
- Omettre les pénalités de retard dans les conditions de vente. Elles sont dues de plein droit, mais un client qui ne les voit écrites nulle part ne les paiera jamais spontanément.
- Laisser le périmètre s'étendre sans avenant. Chaque ajout non écrit devient une prestation gratuite, et la question de taux de retour ne se pose qu'au moment de facturer, c'est-à-dire trop tard.
- Attendre pour relancer. Le taux de recouvrement d'une créance décroît avec le temps : passé plusieurs mois, vous ouvrez vos méthodes, vos tarifs ou vos données à un tiers qui n'est engagé à rien.
Ce que change concrètement un cadre écrit
La question n'est pas de savoir si vous avez raison sur le fond : dans les situations de type « confidentialité », le prestataire a généralement raison. La question est de savoir combien de temps et d'argent il lui faut pour le démontrer.
| Critère | Sans cadre écrit | Avec un contrat adapté |
|---|---|---|
| Position de négociation | Vous demandez une faveur. | Vous rappelez un engagement. |
| Charge de la preuve | Vous devez prouver ce qui avait été convenu, souvent des mois après. | L'écrit fait foi entre les parties ; le débat porte sur son application, pas sur son contenu. |
| Coût d'un recours | Constitution d'un dossier de preuves, souvent avec un conseil : plusieurs centaines d'euros avant toute action. | Le contrat est la pièce du dossier ; la mise en demeure suffit dans la majorité des cas. |
| Effet sur la relation client | Le désaccord devient personnel, faute de référence commune. | Le contrat sert de tiers : on applique une règle acceptée, on ne s'oppose pas. |
La marche à suivre, dans l'ordre
Chaque étape prépare la suivante. Sauter la deuxième pour aller directement à la quatrième fonctionne parfois, mais fragilise le dossier si l'affaire va plus loin.
- Définissez le périmètre du secret. Un engagement portant sur « toute information » est presque toujours écarté par le juge, faute de précision.
- Fixez une durée. Une obligation perpétuelle est suspecte. Deux à cinq ans après la fin de la relation constituent une durée courante.
- Prévoyez le sort des supports. Restitution ou destruction, avec confirmation écrite, à la fin de la relation.
- Traitez le cas des salariés et sous-traitants. L'engagement doit se répercuter sur toute personne à qui l'information est transmise.
- Articulez avec le RGPD. Si les informations comportent des données personnelles, la confidentialité ne suffit pas : un cadre de sous-traitance est nécessaire.
Les clauses qui traitent ce risque
Voici trois extraits du document tel qu'il vous sera livré, déjà calibrés pour un contrat de sous-traitance de type « Plus de 20 000 € ». Les mentions surlignées sont les seuls éléments qu'il vous reste à compléter.
Périmètre exclu de la prestation
Le périmètre de la prestation est strictement limité aux tâches et aux livrables énumérés à l'annexe technique. Sont expressément exclus, sans que cette liste soit limitative : les prestations rendues nécessaires par une modification des besoins du Client postérieure à la signature, la reprise de travaux réalisés par un tiers, la formation des équipes du Client au-delà de la session prévue, l'assistance après réception, ainsi que toute intervention en dehors des jours et heures ouvrés. Toute prestation située hors du périmètre fait l'objet d'un devis complémentaire préalable et n'est exécutée qu'après acceptation écrite. Le silence du Client sur un devis complémentaire ne vaut jamais acceptation.
Art. 1163 du Code civil (l'obligation doit avoir un objet déterminé ou déterminable) — Décrire ce que l'on ne fait pas protège mieux que décrire ce que l'on fait : la dérive de périmètre naît toujours d'un implicite. Personnalisez la liste des exclusions avec les trois demandes hors sujet que vous recevez le plus souvent dans votre métier.
Prix forfaitaire ferme et définitif
En contrepartie de l'exécution de la prestation définie au présent contrat, le Client verse au Prestataire un prix forfaitaire de Plus de 20 000 € euros hors taxes, auquel s'ajoute la taxe sur la valeur ajoutée au taux en vigueur au jour de la facturation. Ce prix est ferme et définitif pour le périmètre décrit à l'annexe technique et pour la durée du contrat. Il couvre l'ensemble des moyens humains et matériels nécessaires à l'exécution, à l'exclusion des frais et débours expressément visés par ailleurs. Toute prestation étrangère à ce périmètre, ainsi que toute reprise rendue nécessaire par une information erronée ou tardive communiquée par le Client, donne lieu à facturation complémentaire après acceptation écrite du devis correspondant.
Art. 1163 du Code civil (détermination du prix) et art. L441-9 du Code de commerce — Le forfait n'est protecteur que si le périmètre auquel il se rattache est décrit avec précision ailleurs dans le contrat, sinon il devient un plafond opposable pour un travail extensible. Indiquez toujours le prix hors taxes et le régime de TVA applicable, en particulier si vous relevez de la franchise en base.
Transmission des factures par voie électronique
Les factures sont transmises par voie électronique dans les conditions prévues par la réglementation applicable à la facturation électronique entre assujettis. Chaque partie déclare à l'autre, à la signature du contrat, la plateforme agréée par laquelle elle reçoit ses factures ainsi que les identifiants nécessaires à leur acheminement, et l'informe sans délai de tout changement. Le Client ne peut opposer au Prestataire un défaut de réception résultant d'informations d'acheminement erronées, incomplètes ou non mises à jour de son fait ; la facture est alors réputée reçue à la date de sa première transmission. Tant que l'obligation d'émission n'est pas applicable au Prestataire, les factures peuvent être adressées par tout autre moyen convenu entre les parties, sans que cela affecte les délais de règlement stipulés au présent contrat.
Art. 289 bis du CGI ; art. L441-9 du Code de commerce — Une facture qui n'atteint pas le bon canal n'est jamais payée, et le retard vous est imputé. Depuis le 1er septembre 2026, toutes les entreprises doivent pouvoir recevoir leurs factures par une plateforme agréée ; l'obligation d'en émettre s'impose aux grandes entreprises et aux ETI à cette même date, et aux PME, TPE et indépendants au 1er septembre 2027. Cette clause fait deux choses : elle vous fait obtenir les coordonnées d'acheminement dès la signature, et elle empêche votre client de justifier un retard par une adresse qu'il n'a pas tenue à jour. Réclamez ces informations avant la première facture, pas après.
Non-contournement du prestataire par le client
Le Client s'interdit, pendant la durée du contrat et pendant les douze (12) mois suivant son terme, de conclure directement ou par personne interposée un contrat portant sur des prestations identiques ou similaires avec un sous-traitant, un partenaire ou un fournisseur que le Prestataire lui aurait présenté à l'occasion de l'exécution du contrat. Cette interdiction ne s'applique pas aux relations préexistantes dont le Client justifie par écrit. En cas de manquement, le Client verse au Prestataire une indemnité égale à la marge que celui-ci aurait perçue sur les prestations concernées, évaluée forfaitairement à quinze pour cent (15 %) du montant du contrat conclu en violation de la présente clause.
Art. 1102 du Code civil (liberté contractuelle) et art. 1231-5 du Code civil — Le contournement est un risque structurel pour les intégrateurs et les apporteurs d'affaires, dont la valeur ajoutée réside précisément dans leur réseau. Limitez la clause dans le temps et réservez l'exception des relations préexistantes, sans quoi elle serait jugée disproportionnée au regard de la liberté du commerce.
Résiliation pour manquement après mise en demeure
En cas de manquement de l'une des parties à l'une quelconque de ses obligations, l'autre partie la met en demeure d'y remédier par lettre recommandée avec demande d'avis de réception mentionnant expressément la présente clause résolutoire. Si le manquement persiste à l'expiration d'un délai de trente (30) jours à compter de la réception de la mise en demeure, le contrat est résilié de plein droit, sans qu'il soit besoin d'une décision de justice, par l'envoi d'une notification de résiliation précisant les motifs. La résiliation prend effet à la date de première présentation de cette notification. Elle intervient sans préjudice des dommages et intérêts que la partie lésée serait en droit de réclamer.
Art. 1224 à 1226 du Code civil (résolution par clause résolutoire et par notification) — La clause résolutoire ne joue que si la mise en demeure vise expressément la clause et laisse un délai réel pour s'exécuter : ces deux formalités sont contrôlées strictement. Résilier sans mise en demeure fait basculer le litige, c'est alors l'auteur de la rupture qui se retrouve en position de fautif.
Ce qui change selon la taille de votre structure
Le droit applicable est le même, mais l'effort de mise en place et le point de vigilance diffèrent nettement.
| Structure | Enjeu principal | Point de vigilance |
|---|---|---|
| Micro-entrepreneur (0 salarié) Votre cas | La simplicité et la franchise de TVA | Ne pas passer une journée sur de la paperasse |
| TPE (1 à 9 salariés) | La trésorerie et les délais de paiement | être payé dans les temps sans embaucher de juriste |
| PME (10 à 49 salariés) | La standardisation des contrats entre commerciaux | Que tous les commerciaux utilisent le même contrat |
| ETI (50 à 250 salariés) | La conformité et la traçabilité documentaire | Aligner les contrats sur la politique de conformité groupe |
Ce document est un modèle type destiné à être personnalisé par son utilisateur. Il ne constitue ni une consultation juridique, ni un acte rédigé par un professionnel du droit au sens de la loi n° 71-1130 du 31 décembre 1971. Son adéquation à votre situation particulière relève de votre appréciation. Pour un enjeu significatif ou une situation complexe, l'avis d'un avocat ou d'un juriste reste recommandé.
Le document correspondant est prêt
Vous venez de lire ce qu'il faut écrire. L'Abonnement Expert contient ces clauses déjà rédigées et calibrées pour le secteur e-commerce : il ne vous reste qu'à compléter les champs identifiés.
Voir l'Abonnement Expert — 19,90 € / moisLivraison immédiate · Remboursé avant téléchargement · Modèles à personnaliser
À lire aussi sur des situations proches
- Sous-traitance en e-commerce : les clauses qui écartent la fuite d'informations — Abonnement Expert
- Formation en e-commerce : les clauses qui écartent la fuite d'informations — Pack Pro
- Comment un e-commerçant se protège-t-il face à la fuite d'informations ? (convention de formation professionnelle, Micro-entrepreneur)
- Consulting en e-commerce : les clauses qui écartent la contestation — Pack Pro
- Comment un organisme de formation se protège-t-il face à la fuite d'informations ? (contrat de sous-traitance, Micro-entrepreneur)
- Vous êtes un consultant ? Votre contrat de maintenance face à la fuite d'informations — Pack Pro