Que deviennent vos données si votre éditeur de logiciel disparaît ?

La question ne se pose pas le jour où elle se pose

Un cabinet de courtage confie à son logiciel la totalité de son fonds de commerce : ses clients, ses contrats, ses pièces, son historique. La question « et si l’éditeur disparaît ? » arrive presque toujours trop tard. Elle se règle des années plus tôt, à la signature, et elle se règle sur trois plans qu’on confond : ce que les textes imposent, ce qu’un contrat promet, et ce que vous savez faire seul.

Les trois ne se valent pas. Deux textes européens obligent votre éditeur, chacun dans son cadre : le RGPD pour les données à caractère personnel au terme de la prestation, et le règlement européen sur les données — le « règlement sur les données », applicable depuis le 12 septembre 2025 — pour le changement de fournisseur et l’ensemble de vos données exportables. Le reste — le format du fichier, le sort des sauvegardes — est contractuel. Et la dernière garantie ne dépend d’aucun des deux : avoir déjà sorti un export, l’avoir ouvert, et savoir dans quoi le remettre.

Le premier texte qui oblige : l’article 28 du RGPD, et son point g)

Dans le montage habituel — c’est aussi ce que publient nos propres pages —, le cabinet est responsable de traitement pour les données de ses clients, et l’éditeur qui les héberge et les traite pour lui intervient comme sous-traitant au sens de l’article 28 du règlement général sur la protection des données. Cette qualification se vérifie dans votre contrat : c’est elle qui déclenche tout ce qui suit. L’article 28 exige d’ailleurs l’écrit — son paragraphe 9 dispose que « le contrat ou l’autre acte juridique visé aux paragraphes 3 et 4 se présente sous une forme écrite, y compris en format électronique » — et il énumère ce que cet écrit doit prévoir.

RGPD, article 28, paragraphe 3 : « Le traitement par un sous-traitant est régi par un contrat ou un autre acte juridique au titre du droit de l’Union ou du droit d’un État membre, qui lie le sous-traitant à l’égard du responsable du traitement, définit l’objet et la durée du traitement, la nature et la finalité du traitement, le type de données à caractère personnel et les catégories de personnes concernées, et les obligations et les droits du responsable du traitement. »

Suit la liste des clauses obligatoires, de a) à h). Celle qui vous intéresse le jour où vous partez est le point g), à lire mot à mot : chacun de ses termes compte.

RGPD, article 28, paragraphe 3, point g) : le contrat prévoit que le sous-traitant « selon le choix du responsable du traitement, supprime toutes les données à caractère personnel ou les renvoie au responsable du traitement au terme de la prestation de services relatifs au traitement, et détruit les copies existantes, à moins que le droit de l’Union ou le droit de l’État membre n’exige la conservation des données à caractère personnel ».

Quatre enseignements s’y lisent. Le choix entre suppression et restitution est le vôtre, pas celui de l’éditeur. L’obligation se déclenche « au terme de la prestation », pas pendant. Elle porte aussi sur « les copies existantes », donc au-delà de la base de production. Et elle cède devant une obligation légale de conservation. En revanche, le texte ne dit rien du format, rien du délai, rien de l’assistance. Trois silences — dont deux, le délai et l’assistance, sont comblés depuis par le second texte, que nous lisons plus bas ; le format, lui, reste à votre contrat.

Ce que la CNIL propose d’écrire, et la phrase qu’on oublie toujours

La CNIL publie un exemple de clauses de sous-traitance — page du 4 octobre 2017, dont le texte figure aussi dans son « RGPD : Guide du sous-traitant », édition septembre 2017. Elle en précise la portée dès la première ligne : « Ces exemples de clauses de sous-traitance sont proposés dans l’attente de l’adoption de clauses contractuelles types au sens de l’article 28.8 du règlement européen sur la protection des données. » Et, dans un encadré, que « ces clauses ne constituent pas, à elles seules, un contrat de sous-traitance ». Sa clause « Sort des données » propose trois options — détruire, renvoyer au responsable de traitement, ou renvoyer au sous-traitant que celui-ci désigne — là où le point g) n’en nomme que deux, la suppression ou le renvoi au responsable ; puis elle ajoute deux phrases qu’il vaut la peine d’aller chercher dans le vôtre.

CNIL, exemple de clauses de sous-traitance, clause « Sort des données » : « Le renvoi doit s’accompagner de la destruction de toutes les copies existantes dans les systèmes d’information du sous-traitant. Une fois détruites, le sous-traitant doit justifier par écrit de la destruction. »

Une justification écrite de la destruction : une clause qui se demande, et qui ne coûte rien à accorder. Le guide du sous-traitant de la CNIL dit la même chose du côté du prestataire : « Au terme de votre prestation et selon les instructions de votre client », il doit « supprimer toutes les données ou les renvoyer à votre client ».

Ce que la portabilité du RGPD ne fera pas pour votre cabinet

On entend souvent qu’« il y a la portabilité ». Il y a un droit à la portabilité, à l’article 20 du RGPD, mais il n’est pas écrit pour vous. Son titulaire est nommé dans sa première ligne.

RGPD, article 20, paragraphe 1 : « Les personnes concernées ont le droit de recevoir les données à caractère personnel les concernant qu’elles ont fournies à un responsable du traitement, dans un format structuré, couramment utilisé et lisible par machine […] »

Ce sont vos clients, pas votre cabinet, et cela porte sur les données qu’ils ont « fournies », pas sur votre travail : vos annotations, vos rapprochements, vos historiques de commissions ne sont pas visés. Le texte pose d’ailleurs ses propres conditions, tenant au consentement ou au contrat et au caractère automatisé du traitement. Bref : l’article 20 est un droit des personnes. Vos leviers à vous sont ailleurs — dans l’article 28, dans le règlement sur les données, et dans le contrat qui les met en œuvre.

Le second texte : le règlement européen sur les données, depuis le 12 septembre 2025

Depuis le 12 septembre 2025, un second texte oblige votre éditeur, et il est plus précis que le premier. Le règlement (UE) 2023/2854 du 13 décembre 2023, dit « règlement sur les données », consacre son chapitre VI au changement de fournisseur de « services de traitement de données », et son article 50 est daté : « Il est applicable à partir du 12 septembre 2025. » Il ne parle pas de données à caractère personnel : il parle de vos données exportables.

Son article 25 énumère ce que le contrat écrit « comporte au moins » : le portage, sur demande, de « toutes les données exportables et tous les actifs numériques », un préavis « qui ne dépasse pas deux mois », une période transitoire maximale de trente jours calendaires pendant laquelle le contrat « reste applicable » et le fournisseur « fournit une assistance raisonnable au client », une période de récupération « d’au moins trente jours calendaires » qui débute après elle, l’effacement intégral ensuite, et le concours du fournisseur à « la stratégie de sortie du client ». L’article 26 y ajoute « une référence à un registre en ligne à jour » décrivant les formats disponibles ; l’article 29 supprime tout frais de changement de fournisseur à compter du 12 janvier 2027.

Qu’un logiciel de courtage vendu en abonnement soit un « service de traitement de données » est notre lecture de l’article 2, point 8), et du préambule qui y range le logiciel à la demande (SaaS) : nous n’avons lu aucune décision qui le juge. Et rien, dans les articles que nous avons ouverts, ne traite de la faillite du fournisseur — le chapitre VI organise un changement voulu, pas une disparition subie. Le détail de ce chapitre tient dans l’article que nous lui consacrons : « Le règlement européen sur les données oblige-t-il votre éditeur à vous rendre vos données ? ».

Cinq questions à poser avant de signer — pas après

Elles se demandent par écrit. Un éditeur qui répond volontiers à ces cinq-là est un éditeur qui a réfléchi à votre sortie.

• L’export : que contient-il exactement — clients, contrats, pièces, historiques, registres — dans quel format de fichier, et sous combien de temps ? « Toutes vos données » n’est pas une réponse : un état imprimé aussi contient toutes vos données, et ne se réimporte nulle part.
• La suppression : à quel moment part-elle, sur quoi porte-t-elle, et vous en est-il remis une trace ? C’est la phrase de la CNIL — « justifier par écrit de la destruction » — qui transforme une promesse en preuve.
• Les sauvegardes : elles survivent à la base de production par construction. Demandez leur cycle de rotation, leur chiffrement, leur lieu, et la date à laquelle la dernière copie de vos données aura disparu.
• L’hébergement et les sous-traitants ultérieurs : qui héberge, où, et qui d’autre intervient ? L’article 28, paragraphe 2, du RGPD pose la règle : « Le sous-traitant ne recrute pas un autre sous-traitant sans l’autorisation écrite préalable, spécifique ou générale, du responsable du traitement. » En autorisation générale, l’éditeur informe le responsable du traitement de tout changement prévu, ce qui donne à ce dernier « la possibilité d’émettre des objections à l’encontre de ces changements ».
• Les clauses de l’article 25 : votre contrat écrit comporte-t-il le portage sur demande de toutes les données exportables, un préavis qui « ne dépasse pas deux mois », la période transitoire, la période de récupération « d’au moins trente jours calendaires », l’effacement ensuite et le concours du fournisseur à votre « stratégie de sortie » ? Si aucune de ces clauses n’y figure, demandez par écrit à votre éditeur comment il situe son service au regard du chapitre VI de ce règlement.

Une sixième question ne regarde pas l’éditeur mais vous : où réimporteriez-vous ce fichier ? Un export dont aucun autre outil ne sait lire la structure vous laisse exactement là où vous étiez.

Si l’éditeur dépose le bilan : ce que le code de commerce prévoit

Une procédure collective ne fait pas disparaître les contrats du jour au lendemain : c’est le premier réflexe à corriger. En sauvegarde, l’article L. 622-13 du code de commerce, dans sa version en vigueur depuis le 1er juillet 2014, ouvre sur une règle générale.

Code de commerce, article L. 622-13, I : « Nonobstant toute disposition légale ou toute clause contractuelle, aucune indivisibilité, résiliation ou résolution d’un contrat en cours ne peut résulter du seul fait de l’ouverture d’une procédure de sauvegarde. »

Le II confie ensuite la décision à une seule personne : « L’administrateur a seul la faculté d’exiger l’exécution des contrats en cours en fournissant la prestation promise au cocontractant du débiteur. » Et le III prévoit que « le contrat en cours est résilié de plein droit », son 1° visant le cas suivant : « Après une mise en demeure de prendre parti sur la poursuite du contrat adressée par le cocontractant à l’administrateur et restée plus d’un mois sans réponse. […] » — et le même 1° permet au juge-commissaire d’abréger ce délai ou de le prolonger, sans excéder deux mois. L’article L. 631-14, en vigueur depuis le 1er octobre 2021, étend le dispositif : « Les articles L. 622-3 à L. 622-9, à l’exception de l’article L. 622-6-1, et L. 622-13 à L. 622-33 sont applicables à la procédure de redressement judiciaire, sous réserve des dispositions qui suivent. » En liquidation, l’article L. 641-11-1 reprend la même architecture.

Code de commerce, article L. 641-11-1, I : « Nonobstant toute disposition légale ou toute clause contractuelle, aucune indivisibilité, résiliation ou résolution d’un contrat en cours ne peut résulter du seul fait de l’ouverture ou du prononcé d’une liquidation judiciaire. »

Le II de ce même article dit du liquidateur ce que L. 622-13 disait de l’administrateur : « Le liquidateur a seul la faculté d’exiger l’exécution des contrats en cours en fournissant la prestation promise au cocontractant du débiteur. » Et son III rejoue la résiliation de plein droit après une mise en demeure restée plus d’un mois sans réponse. Ces textes règlent le sort du contrat. Ils ne disent rien de ce qu’il advient de vos fichiers, ni de qui, en pratique, exécutera la clause de restitution — et nous n’écrirons pas ici ce qu’un mandataire de justice « fait » : le texte ne le dit pas, et la question se tranche avec votre conseil, dossier en main.

La seule garantie qui ne dépend de personne

Tout ce qui précède se joue entre des tiers : deux règlements européens, un contrat, un tribunal. Il reste une garantie qui ne dépend que de vous, la seule qui fonctionne un vendredi soir : avoir déjà fait l’export, l’avoir ouvert, et l’avoir montré à quelqu’un d’autre. Un export jamais déclenché est une promesse ; un fichier ouvert dans un tableur est un fait.

• Faites l’export la première semaine, pas la dernière : vous découvrirez à ce moment-là ce qu’il ne contient pas.
• Ouvrez-le. Comptez les lignes, cherchez trois clients que vous connaissez, vérifiez qu’un contrat porte bien sa compagnie, sa date d’effet et son numéro.
• Refaites-le une fois par an, et gardez la date : c’est ce qui vous dira si le format a changé sans prévenir.

Ce que fait ACTUAL DATA

Nous vendons un logiciel : la règle est donc publiée chez nous aussi, vérifiable sans nous. Notre page consacrée à la sécurité des données porte un intertitre sans détour, « La réversibilité, écrite noir sur blanc », et une chronologie qui engage : « Un export complet et exploitable est remis sur demande à tout moment, et systématiquement en cas de résiliation. Vient ensuite une période transitoire de trente jours calendaires au plus, qui court à compter du terme du préavis et pendant laquelle le service est maintenu, puis une période de récupération d’au moins trente jours calendaires qui débute à la fin de cette période transitoire. »

Le contrat dit la même chose, au même endroit que la promesse. L’article 6 des conditions générales, « Propriété, portabilité et réversibilité des données », pose que « Les données saisies par le Client demeurent sa propriété exclusive », énumère ce que contient chaque export — « ses clients et ses contrats en CSV, la fiche d’un client avec ses contrats, ses interactions, ses sinistres et la liste de ses pièces en JSON, les pièces de la gestion documentaire en archive ZIP » —, ouvre après la période transitoire « une période de récupération d’au moins trente jours calendaires », et écrit qu’aucun frais de changement de fournisseur n’est facturé. L’accord de sous-traitance reprend l’exigence à l’endroit prévu par le RGPD, sous l’intitulé « Sort des données en fin de traitement (art. 28.3.g) », avec la même chronologie.

Côté outil, ce que produit le bouton est décrit : « Un export en un clic produit une archive contenant vos clients et vos contrats en CSV, avec un manifeste qui indique ce qu’elle contient ; les pièces de la gestion documentaire se récupèrent depuis chaque fiche. » Et l’opération n’est pas silencieuse : « L’export est réservé aux comptes qui en ont la capacité et l’opération est tracée dans le journal d’audit : on sait qui a extrait le portefeuille, et quand. » Depuis le 17 septembre 2026, le détail de ces fichiers — catégories, colonnes, encodage, champs exclus — est publié dans un registre en ligne, « Formats d’export et structures de données ».

Ce que ça change, concrètement, lundi matin

• Sortez le contrat et cherchez le mot « réversibilité ». S’il n’y est pas, cherchez « export », « restitution », « suppression ». Si aucun des quatre n’y est, vous savez déjà.
• Vérifiez qu’un accord de sous-traitance existe et qu’il porte une clause sur le sort des données en fin de traitement : c’est le point g) de l’article 28, paragraphe 3, du RGPD.
• Relisez ensuite le contrat avec l’article 25 du règlement sur les données à côté : préavis, période transitoire, période de récupération, effacement, stratégie de sortie. Ce qui manque se demande par écrit.
• Demandez par écrit la justification de destruction — la CNIL l’écrit dans ses exemples de clauses, ce n’est pas une exigence exotique.
• Faites un export maintenant, ouvrez-le, et notez ce qui manque. C’est le seul test qui ne se discute pas.
• Et posez la question de la réimportation à votre futur éditeur avant de signer chez lui : un import qui lit votre export existant vaut mieux qu’une reprise promise.

Transparence : ACTUAL DATA est un logiciel de gestion destiné aux cabinets de courtage, édité par un cabinet en exercice. Nous sommes donc partie prenante du sujet traité ici, et vous devez le lire en le sachant. C’est pourquoi chaque texte est cité avec son numéro et sa date : vous pouvez tout vérifier sans nous, et poser les mêmes questions à n’importe quel éditeur, nous compris.

Sources consultées le 16 septembre 2026 : règlement (UE) 2016/679 (RGPD), articles 20 et 28, dans le texte servi par la CNIL ; CNIL, « Sous-traitance : Exemple de clauses », page du 4 octobre 2017, et « RGPD : Guide du sous-traitant », édition septembre 2017, PDF de 19 pages publié sur cnil.fr ; code de commerce, articles L. 622-13 (version en vigueur depuis le 1er juillet 2014), L. 631-14 (version en vigueur depuis le 1er octobre 2021) et L. 641-11-1, sur legifrance.gouv.fr. Source consultée le 17 septembre 2026, jour de la mise à jour de cet article : règlement (UE) 2023/2854 du Parlement européen et du Conseil du 13 décembre 2023 (règlement sur les données), publié au Journal officiel de l’Union européenne le 22 décembre 2023, lu sur EUR-Lex le 17 septembre 2026 — ici, ses articles 2 (point 8), 25, 26, 29 et 50, ainsi que le considérant sur les modèles IaaS, PaaS et SaaS ; le relevé complet des articles ouverts, et de ceux qui ne l’ont pas été, figure dans l’article que nous consacrons à ce règlement. Faits produit relevés sur nos pages publiées et dans nos conditions générales. Cet article présente des textes applicables et des questions à poser ; il ne constitue pas une consultation juridique sur votre situation, et les points que les textes ne tranchent pas se tranchent avec votre conseil.