Une PME industrielle découvre que son ERP historique stocke des données sensibles sur des serveurs hors UE. Audit de conformité RGPD, paralysie commerciale pendant six mois, coût juridique à six chiffres. Le dirigeant se demande comment on en est arrivé là. Réponse : personne ne s'est jamais posé la question avant de signer.
La sécurité des données en PME n'est pas un sujet IT, c'est un sujet de survie. Et contrairement à ce qu'on entend, un outil interne sur mesure protège bien mieux qu'un SaaS générique. Voici pourquoi, et comment l'exiger au cahier des charges.
Pourquoi le sujet est plus urgent qu'il n'y paraît
Trois dynamiques rendent la sécurité des données critique en 2026.
1. Le RGPD a des dents. Les amendes sont plus fréquentes, les contrôles plus systématiques. Une PME qui traite des données clients sans maîtriser où elles sont stockées joue gros.
2. Les cyberattaques ciblent les PME. Elles sont moins protégées que les grands groupes, et leurs données ont de la valeur. Les rançongiciels explosent sur le segment PME.
3. La dépendance à des SaaS rachetés ou fermés augmente. Chaque semaine, un SaaS change de propriétaire, modifie ses conditions, ou ferme. Les PME clientes subissent sans pouvoir agir.
Dans ce contexte, la question "qui possède mes données, où, et qui peut y accéder" devient centrale.
Les 5 piliers d'une vraie sécurité des données
1. L'hébergement maîtrisé
Vos données doivent être hébergées chez un acteur identifié, dans une juridiction que vous maîtrisez. L'UE pour la plupart des PME françaises, la France pour les plus sensibles. Les SaaS qui stockent aux États-Unis même avec "clauses contractuelles types" restent à risque.
2. La propriété réelle du code et des données
Vos données doivent être exportables à tout moment, dans un format ouvert, sans friction. Le code de l'outil doit vous appartenir — déposé dans un dépôt Git accessible, documenté, reprenable par n'importe quel développeur compétent.
3. Les accès granulaires et auditables
Qui accède à quelle donnée, quand, depuis où. Un bon système d'information trace tout cela sans effort. Un système opaque qui ne journalise pas les accès est un risque de conformité et de fuite.
4. Le plan de continuité
Que se passe-t-il si votre outil tombe 48 heures ? Sauvegardes quotidiennes testées, mode dégradé, procédure de restauration documentée. Un outil sans plan de continuité est un point de défaillance unique.
5. La portabilité
Vous devez pouvoir changer de prestataire sans tout refaire. Un outil dont le code est propriétaire à un éditeur vous rend captif — vous ne pouvez ni négocier ni partir.
Pourquoi le sur-mesure protège mieux qu'un SaaS générique
Sur l'hébergement
Un outil sur mesure est hébergé là où vous décidez. OVH, Scaleway, un cloud privé. Vous savez précisément où sont vos données. Un SaaS vous impose ses choix, souvent pas les plus favorables.
Sur la propriété du code
Un outil sur mesure bien construit vous livre le code sous licence commerciale cessible (vous en êtes propriétaire), déposé dans votre dépôt Git. Un SaaS ne vous livre jamais son code — vous ne faites que louer l'accès.
Sur les accès
Un outil sur mesure peut être configuré avec des règles d'accès fines alignées sur votre organisation. Un SaaS force sa propre logique d'accès, souvent incomplète.
Sur le plan de continuité
Vous pouvez exiger et documenter le plan de continuité sur un outil sur mesure. Un SaaS vous impose ses SLA — lisez les petites lignes, elles garantissent rarement ce qu'elles semblent promettre.
Sur la portabilité
Un outil sur mesure bien conçu utilise des standards ouverts (PostgreSQL, REST, OAuth). Si votre prestataire cesse, un autre reprend. Un SaaS vous enferme — migrer ailleurs coûte autant que refaire à zéro.
Les 6 clauses à exiger au cahier des charges
1. Hébergement en UE ou France — avec nom du prestataire d'infrastructure.
2. Données exportables en permanence — format ouvert (SQL, JSON), sans délai, sans friction.
3. Code livré sous licence commerciale cessible — déposé dans votre dépôt Git, pas celui du prestataire.
4. Documentation technique à jour — un développeur tiers doit pouvoir reprendre en moins d'une semaine.
5. Sauvegardes quotidiennes testées — procédure de restauration documentée et démontrée au moins une fois avant mise en production.
6. Journal d'accès et traçabilité RGPD — qui accède à quelle donnée, journalisé, consultable.
FAQ — sécurité et propriété des données en PME
Les SaaS américains sont-ils tous à risque RGPD ?
Techniquement, ils nécessitent des clauses contractuelles types depuis l'invalidation du Privacy Shield. En pratique, les autorités françaises et européennes ciblent en priorité les PME qui ne maîtrisent pas du tout leurs flux. Un outil sur mesure hébergé en UE élimine le sujet à la source.
Qu'est-ce qu'une licence commerciale cessible pour du code ?
C'est une licence qui transfère la propriété intellectuelle du code au client. Concrètement, vous pouvez revendre, modifier, sous-licencier, héberger où vous voulez. C'est la différence fondamentale avec une licence d'usage d'un SaaS.
Comment vérifier que le prestataire respecte ses engagements sécurité ?
Demandez les preuves concrètes : localisation physique des serveurs, test de restauration de sauvegarde, dump de la base exportée, documentation technique. Un prestataire sérieux fournit tout cela sans broncher. Un prestataire qui tergiverse doit alerter.
Que faire si un SaaS actuel stocke des données sensibles hors UE ?
Cartographier les données concernées, évaluer l'exposition, planifier une migration vers un outil conforme. Ce n'est pas une urgence immédiate dans 90 % des cas, mais c'est un chantier à ne pas repousser indéfiniment.
Ce qu'on en retient
La sécurité et la propriété des données ne sont pas un sujet IT — c'est un sujet de souveraineté pour la PME.
- Vos données sont stockées où vous ne savez pas exactement — premier signal d'alerte RGPD
- Vous ne pouvez pas exporter votre base en un clic — vous n'êtes pas propriétaire de vos données
- Votre code source n'est pas dans votre dépôt Git — vous êtes captif de votre prestataire ou éditeur
- Votre SaaS peut changer de propriétaire ou fermer demain — risque structurel que vous ne maîtrisez pas
- Votre plan de continuité tient sur une page sans avoir été testé — illusion de sécurité
C'est exactement le type de risque qu'on audite en phase amont de chaque projet. Un diagnostic de 45 minutes permet d'identifier vos points d'exposition réels avant qu'ils n'explosent.