Sécurité et RGPD d’un SaaS : le socle, puis SOC 2 ou ISO 27001

Un SaaS qui stocke des données personnelles doit tenir un socle dès son premier client : chaque utilisateur ne voit que ses données, les clés secrètes restent hors du code, une sauvegarde a déjà été restaurée, les prestataires sont sous contrat et une procédure permet de signaler une fuite à la CNIL dans les 72 heures. Un audit sécurité et RGPD vérifie ce socle et classe les écarts par gravité. SOC 2 et ISO 27001 viennent ensuite : aucune loi ne les impose, mais certains clients les exigent avant de signer, et un rapport SOC 2 Type II suppose à lui seul une période d’observation de plusieurs mois.

Ce que le RGPD impose à un SaaS

Commencez par votre rôle. Pour vos propres fichiers (comptes clients, facturation, prospects), vous êtes responsable du traitement. Pour les données que vos clients professionnels confient à votre outil, vous êtes en général leur sous-traitant : vous les traitez pour leur compte et selon leurs instructions (CNIL). Chaque rôle a ses obligations, toutes inscrites dans le RGPD (texte publié par la CNIL).

• Sécuriser les données par des mesures adaptées au risque. L’article 32 cite notamment le chiffrement et la pseudonymisation, la capacité à rétablir l’accès aux données après un incident, et des tests réguliers de l’efficacité des mesures.
• Tenir un registre des traitements (article 30). Les organismes de moins de 250 salariés ont une dérogation, mais elle ne couvre ni les traitements réguliers comme la gestion des clients, ni les données sensibles (CNIL). Un SaaS est donc concerné. La CNIL propose un modèle de registre simplifié.
• Encadrer chaque sous-traitant par un contrat (article 28) : hébergeur, envoi d’e-mails, mesure d’audience, fournisseur d’IA. Et proposer à vos clients votre propre contrat de sous-traitance, souvent appelé DPA.
• Notifier une violation de données à la CNIL dans les meilleurs délais et, si possible, 72 heures au plus tard après en avoir pris connaissance (article 33). Chaque incident doit aussi être documenté en interne, même s’il n’est pas notifié (CNIL).
• Répondre aux demandes des personnes (accès, rectification, suppression) dans un délai d’un mois, prolongeable de deux mois si la demande est complexe (article 12).
• Encadrer les transferts hors de l’Union européenne par une décision d’adéquation ou des clauses contractuelles types (CNIL).
• Désigner un délégué à la protection des données (DPO) dans les cas prévus par l’article 37, par exemple un suivi régulier et systématique de personnes à grande échelle, ou le traitement à grande échelle de données de santé.

Les sanctions sont fixées par l’article 83. Les manquements aux obligations de sécurité, de registre ou de sous-traitance exposent à une amende pouvant atteindre 10 millions d’euros ou 2 % du chiffre d’affaires annuel mondial. Pour les manquements aux principes et aux droits des personnes, le plafond monte à 20 millions d’euros ou 4 %. Dans les deux cas, le montant le plus élevé s’applique.

Deux cadres s’ajoutent selon votre activité.

• Les données de santé. Si votre SaaS conserve des données de santé recueillies lors d’activités de prévention, de diagnostic, de soins ou de suivi, pour le compte de professionnels ou d’établissements, son hébergeur doit être certifié HDS (article L1111-8 du code de la santé publique).
• La directive NIS2. Elle impose des mesures de cybersécurité aux entités moyennes et grandes de 18 secteurs, et sa transposition en France est encore en cours (ANSSI). Une entreprise de moins de 50 salariés, dont le chiffre d’affaires et le bilan ne dépassent pas 10 millions d’euros, reste en général hors de son champ direct. Mais ses clients soumis à NIS2 doivent sécuriser leur chaîne d’approvisionnement, y compris leurs relations avec leurs fournisseurs directs (article 21 de la directive (UE) 2022/2555). Attendez-vous à des questionnaires et à des clauses de sécurité dans les contrats.

Le socle sécurité : ce qu’un audit vérifie en premier

• Accès aux donnéesChaque client ne voit que ses données, vérifié côté serveur.
• Comptes d’administrationNominatifs, double authentification, au moins deux administrateurs.
• Clés secrètesAucune clé dans le code envoyé au navigateur ni dans le dépôt.
• DépendancesAlertes de vulnérabilités actives et traitées.
• SauvegardesUne restauration testée, datée et documentée.
• EnvironnementsLes tests se font sur une base séparée, sans données réelles.
• JournauxLes actions d’administration sont tracées et conservées.
• DépartsLes accès d’une personne qui part sont retirés le jour même.
• Sous-traitantsListe, contrat et lieu d’hébergement de chacun.
• IncidentUne procédure écrite pour décider et notifier sous 72 heures.

L’OWASP, la fondation de référence en sécurité des applications web, classe les risques les plus critiques dans son Top 10 (OWASP Top 10:2025). Ses trois premiers concernent directement un SaaS.

1. Le contrôle d’accès défaillant : un utilisateur lit ou modifie des données qui ne sont pas les siennes. Les applications générées par l’IA y sont exposées quand les règles d’accès de la base sont absentes ou trop larges. En 2025, une fiche CVE a signalé des sites générés avec Lovable (jusqu’au 15 avril 2025) dont les règles de sécurité de la base laissaient lire ou modifier des tables sans authentification. Lovable conteste la qualification de faille et rappelle que chaque client est responsable de la protection de ses données (CVE-2025-48757).
2. La mauvaise configuration : un environnement de test ouvert sur Internet, un espace de stockage de fichiers public, un compte d’administration sans double authentification.
3. Les défaillances de la chaîne d’approvisionnement logicielle : une dépendance vulnérable ou abandonnée, un composant tiers compromis.

Pour aller plus loin, deux référentiels publics servent de base de travail : le guide de la sécurité des données personnelles de la CNIL (25 fiches, édition 2024) et le guide d’hygiène informatique de l’ANSSI (42 mesures). Pour l’équipe technique, le guide RGPD du développeur de la CNIL traduit ces règles en pratiques de développement.

Le socle RGPD : les documents qu’un client vous demandera

Avant de signer, un client professionnel peut vous envoyer un questionnaire de sécurité et de conformité. Ayez ces pièces prêtes :

• le registre des traitements, à jour ;
• une politique de confidentialité qui décrit ce que fait vraiment l’application ;
• votre modèle de contrat de sous-traitance, à signer avec chaque client ;
• la liste de vos propres sous-traitants, avec leur lieu d’hébergement et leur contrat ;
• les durées de conservation, et la preuve que les données sont bien supprimées à l’échéance ;
• la procédure de réponse aux demandes des personnes, testée sur un compte de test ;
• la procédure en cas de violation, avec le registre interne des incidents ;
• une description courte des mesures de sécurité, qui renvoie aux contrôles réels.

Comment se déroule un audit sécurité et RGPD ?

1. CartographieQuelles données, où, chez qui, qui y accède.
2. Contrôles techniquesAccès, secrets, dépendances, sauvegardes.
3. Revue des documentsRegistre, contrats, procédures.
4. ClassementChaque écart classé P0, P1 ou P2.
5. PlanCorrections datées, responsables nommés.

Chaque écart reçoit une priorité :

• P0, immédiat : ce qui peut causer une fuite ou une perte de données, ou bloquer une vente en cours. À traiter avant toute nouvelle fonctionnalité.
• P1, dans le mois : ce qui réduit nettement la probabilité d’un incident ou d’un manquement.
• P2, dans le trimestre : ce qui renforce l’organisation dans la durée.

Un audit de ce type lit le code, la configuration et les documents. Il ne remplace pas un test d’intrusion, qui attaque l’application de l’extérieur pour trouver ce que la lecture ne montre pas.

Chez Techvisor, l’audit d’application couvre la partie technique de ce socle : accès aux données, clés secrètes, sauvegardes, propriété des comptes et coûts. Le diagnostic express prend environ 3 jours ouvrés (1 200 € HT), l’audit complet avec feuille de route chiffrée environ 5 jours ouvrés (2 400 € HT). Pour la dette qui ralentit l’équipe, voir aussi l’article sur l’audit de dette technique.

SOC 2 et ISO 27001 : de quoi parle-t-on ?

RGPD, SOC 2 et ISO 27001 côte à côte

Critère	RGPD	SOC 2	ISO/IEC 27001
Nature	Règlement européen	Rapport d’attestation, cadre de l’AICPA	Norme internationale certifiable
Obligatoire	Oui, dès la première donnée personnelle	Non, exigé par contrat	Non, exigé par contrat
Qui contrôle ou délivre	La CNIL contrôle	Un cabinet CPA indépendant	Un organisme certificateur accrédité
Ce que vous obtenez	Aucun certificat obligatoire	Un rapport Type I ou Type II	Un certificat
Période couverte	En continu	Type I : une date. Type II : 3 à 12 mois	3 ans, avec un audit de suivi chaque année

SOC 2 est un cadre d’attestation défini par l’AICPA, l’association professionnelle des experts-comptables américains. Un cabinet d’expertise comptable agréé (CPA) et indépendant examine vos contrôles au regard des Trust Services Criteria, qui couvrent cinq catégories : sécurité, disponibilité, intégrité du traitement, confidentialité et vie privée (AICPA & CIMA). Le rapport existe en deux types (Schellman) :

• le Type I évalue la conception et la mise en place des contrôles à une date donnée ;
• le Type II évalue leur conception et leur fonctionnement réel sur une période, de 3 mois (souvent pour un premier rapport) à 12 mois (le rythme habituel des renouvellements), selon Schellman et A-LIGN.

Le rapport SOC 2 n’est pas public : il est destiné à vos clients et partenaires, parfois sous accord de confidentialité. Le SOC 3 en est une version publique, sans le détail des tests (Schellman).

ISO/IEC 27001 est une norme internationale qui fixe les exigences d’un système de management de la sécurité de l’information : une organisation qui évalue ses risques, choisit ses mesures et les améliore en continu (ISO). La certification est délivrée par un organisme certificateur accrédité (en France, l’accréditation relève du Cofrac), après une revue documentaire puis un audit sur site. Le certificat vaut 3 ans, avec un audit de suivi chaque année et un audit de renouvellement tous les 3 ans (AFNOR Certification).

Aucun des deux ne remplace le RGPD. Et un audit comme celui de Techvisor prépare le socle, sans délivrer de rapport SOC 2 ni de certificat ISO 27001 : seuls un cabinet CPA ou un organisme certificateur accrédité peuvent le faire.

Quand viser SOC 2 ou ISO 27001 ?

Lancez la démarche dans l’une de ces situations :

• un client ou un appel d’offres l’exige par contrat. Demandez-lui quel référentiel il accepte, pour quel périmètre, et s’il accepte une démarche en cours ;
• les questionnaires de sécurité occupent votre équipe au point de ralentir les ventes : un rapport ou un certificat peut remplacer une partie des réponses ;
• vos clients sont soumis à NIS2 ou à une réglementation sectorielle et doivent prouver la sécurité de leurs fournisseurs.

Tant qu’aucune de ces situations ne se présente, tenez le socle et préparez un dossier de réponses : un questionnaire type déjà rempli, la description de vos mesures de sécurité, le schéma d’architecture, la liste des sous-traitants et le dernier rapport d’audit.

Pour choisir entre les deux, partez de ce que vos clients acceptent. SOC 2 vient des États-Unis ; ISO/IEC 27001 est une norme internationale, que des organismes comme AFNOR Certification, accrédité par le Cofrac, certifient en France. Si vos clients acceptent les deux, comparez le périmètre, le coût de l’auditeur et l’effort de maintien : un rapport SOC 2 Type II se renouvelle sur une nouvelle période, un certificat ISO 27001 passe un audit de suivi chaque année.

Le chemin vers un premier rapport SOC 2 Type II

1. 01PréparationMesurer l’écart entre vos pratiques et les critères retenus.
2. 02CorrectionsMettre en place les contrôles manquants et leurs preuves.
3. 03Rapport Type IL’auditeur vérifie la conception des contrôles à une date.
4. 04Période d’observationDe 3 à 12 mois, les contrôles doivent fonctionner.
5. 05Rapport Type IIL’auditeur atteste leur fonctionnement sur toute la période.

Mon avis de CTO

Pendant 8 mois, j’ai été Engineering Manager chez Resilience Care, une scale-up de 200 personnes : j’y ai encadré 10 personnes réparties sur deux équipes, sur le périmètre oncologie, dans un cadre médical réglementé. À mon sens, dans un cadre réglementé comme ailleurs, la sécurité tient moins au jour de l’audit qu’aux habitudes quotidiennes de l’équipe : des accès revus, des mises en production tracées, des données de test qui ne sont pas des données réelles. Quand j’audite une application qui traite des données de santé ou bancaires, je vérifie aussi leur hébergement et qui peut y accéder, et je peux travailler sans aucune donnée patient réelle. Mon conseil pour un SaaS de quelques personnes : tenez le socle et préparez un dossier de réponses avant de parler de SOC 2. Lancez une démarche de certification quand un client la demande par écrit, avec le référentiel qu’il accepte.

Questions fréquentes

Le RGPD s’applique-t-il à un SaaS qui ne vend qu’à des entreprises ?

Oui. Les utilisateurs de vos clients sont des personnes : leur nom, leur e-mail ou leurs connexions sont des données personnelles. Pour ces données, vous êtes en général le sous-traitant de vos clients, et vous restez responsable du traitement pour vos propres fichiers.

Faut-il désigner un DPO ?

Seulement dans les cas de l’article 37 du RGPD : organisme public, suivi régulier et systématique de personnes à grande échelle, ou traitement à grande échelle de données sensibles comme les données de santé. Sinon, c’est facultatif, mais une personne doit porter le sujet.

SOC 2 Type I ou Type II : par lequel commencer ?

Le Type I est plus rapide : il vérifie la conception de vos contrôles à une date donnée, et Schellman le présente comme un bon point de départ pour un premier examen. Le Type II prouve leur fonctionnement sur plusieurs mois. Avant de choisir, demandez à votre client lequel il accepte.

Combien de temps faut-il pour un premier rapport SOC 2 Type II ?

Comptez la préparation et les corrections, dont la durée dépend de vos écarts, puis une période d’observation de 3 à 12 mois, puis la rédaction du rapport par l’auditeur. Le total se compte en mois : méfiez-vous des promesses en quelques semaines.

NIS2 concerne-t-elle ma startup ?

Directement, seulement si votre activité relève de l’un des 18 secteurs visés et que vous dépassez la taille d’une petite entreprise (au moins 50 salariés, ou un chiffre d’affaires et un bilan supérieurs à 10 millions d’euros). Certaines activités, comme les services DNS, sont concernées quelle que soit leur taille. Indirectement, dès que vos clients y sont soumis : ils vous demanderont des garanties de sécurité. La transposition française était encore en cours début novembre 2026 ; l’ANSSI tient à jour sa page sur NIS2.

Prochaine étape

Pour faire le point vous-même, la checklist « Votre app est-elle prête pour de vrais clients ? » consacre plusieurs sections au socle décrit ici : sécurité des données et des accès, secrets et clés d’API, comptes, sauvegardes et RGPD.

Pour un regard extérieur sur la partie technique, l’audit d’application donne un feu vert, orange ou rouge par point, avec des exemples tirés de votre code et un plan. Pour savoir s’il répond à votre situation, réservez un échange de 15 minutes. Cet échange est gratuit et sans engagement.

Sources

• CNIL, texte du RGPD, notamment les chapitres III, IV et VIII
• EUR-Lex, règlement (UE) 2016/679 (RGPD)
• CNIL, Responsable du traitement, sous-traitant : comment bien identifier son rôle ?
• CNIL, Le registre des activités de traitement
• CNIL, Notifier une violation de données personnelles
• CNIL, Transferts de données hors UE : le cadre général
• CNIL, Guide de la sécurité des données personnelles et Guide RGPD du développeur
• ANSSI, Guide d’hygiène informatique et page NIS 2
• EUR-Lex, directive (UE) 2022/2555 (NIS2)
• Légifrance, article L1111-8 du code de la santé publique
• OWASP, Top 10:2025
• CVE, fiche CVE-2025-48757
• AICPA & CIMA, 2017 Trust Services Criteria (points of focus révisés en 2022)
• Schellman, SOC Type 1 vs Type 2 et SOC 2 vs SOC 3
• A-LIGN, SOC 2 Type I et Type II
• ISO, ISO/IEC 27001
• AFNOR Certification, Certification ISO 27001