Assurance Édition de logiciels en mode SaaS

Un plafond contractuel est utile mais fragile. Un juge peut l'écarter en cas de faute lourde ou de manquement à une obligation essentielle du contrat, et vos gros clients négocient presque toujours un plafond relevé ou déplafonné pour les fuites de données. Vos CGU ne s'imposent pas non plus aux tiers qui n'ont rien signé avec vous. La RC Pro couvre justement l'écart entre ce que vous avez limité par contrat et ce qu'un tribunal peut vous faire supporter, plus les frais de défense engagés dès la mise en cause.

En général non. Une pénalité forfaitaire prévue au contrat est une somme que vous vous êtes engagé à payer volontairement, pas un dommage causé à autrui : les contrats l'excluent quasi systématiquement, au même titre que les avoirs, gestes commerciaux et remboursements d'abonnement. Ce qui est indemnisable, c'est le préjudice réel prouvé par le client au-delà de ces forfaits. La bonne pratique est de calibrer vos SLA sur ce que vous pouvez absorber en trésorerie et de réserver l'assurance aux réclamations dépassant le forfait.

C'est un des sinistres les plus courants du SaaS et il faut vérifier explicitement la ligne « frais de reconstitution de données » ou « restauration de fichiers » dans votre contrat, car toutes les formules ne l'incluent pas. Quand elle existe, elle finance la ressaisie, la récupération auprès de tiers et les prestations d'un spécialiste. Attention aux exclusions habituelles : données jamais sauvegardées alors que votre contrat client promettait des sauvegardes, ou absence totale de plan de restauration testé. Documentez vos RPO et RTO réels.

Une sanction administrative reste personnelle et n'est pas assurable en tant que telle. En revanche, si votre client est sanctionné parce que vous, en tant que sous-traitant au sens du RGPD, avez manqué à vos obligations de sécurité, il peut se retourner contre vous en responsabilité : c'est cette action récursoire, ainsi que les indemnisations dues aux personnes concernées, qui peut relever de votre assurance. Le contrat de sous-traitance signé avec vos clients détermine largement l'ampleur de ce recours : relisez-en les clauses de responsabilité.

Les deux ne couvrent pas le même côté du sinistre. La RC Pro paie ce que vous devez aux autres à cause de votre faute. La garantie Cyber paie ce que l'incident vous coûte à vous : investigation forensique, remise en service, notification aux personnes concernées, communication de crise, pertes d'exploitation pendant l'arrêt. Un ransomware qui chiffre votre production déclenche massivement du Cyber, et de la RC Pro seulement si vos clients vous réclament un préjudice. Pour un éditeur SaaS hébergeant des données clients, l'un ne remplace pas l'autre.

Cela dépend du mode de déclenchement de votre contrat, un point à vérifier avant de signer. En base réclamation, c'est la date à laquelle la réclamation vous parvient qui compte, et le contrat prévoit une reprise du passé pour les fautes antérieures ainsi qu'une période subséquente après résiliation. Sans cette garantie subséquente, résilier votre contrat vous laisse nu face aux réclamations tardives, fréquentes en informatique où un bug se révèle longtemps après. Votre contrat professionnel se résilie à l'échéance annuelle avec deux mois de préavis, ou lors d'un changement de situation affectant le risque.