GCC de Billtrust à Hyderabad : ce que doit vérifier un client de logiciel

Le courriel arrive un matin, entre deux relances : « Mise à jour de la liste de nos sous-traitants ». Beaucoup d’acheteurs le classent sans l’ouvrir. C’est pourtant par ce message qu’un client apprend, en général, que son éditeur de logiciel confie une partie du travail à une nouvelle entité, parfois dans un autre pays.

Le GCC de Billtrust à Hyderabad, inauguré le 28 septembre, en donne l’occasion. Rien n’indique que des données de clients y soient traitées. Rien n’indique le contraire non plus, et c’est ce silence qui intéresse un client.

Voici ce que l’éditeur a annoncé, ce que son communiqué ne précise pas, puis les quatre documents à demander à tout éditeur qui s’installe offshore. Aucun ne suppose de soupçonner qui que ce soit.

Ce que contient le GCC de Billtrust à Hyderabad

Billtrust édite une plateforme de gestion du poste clients, c’est-à-dire de tout ce qui mène de la facture à l’encaissement : facturation, paiements, crédit, relances, lettrage. Le 28 septembre 2026, l’éditeur américain a inauguré à Hyderabad son Global Capability Center (GCC), présenté comme l’établissement formel de ses opérations en Inde.

Les chiffres viennent du communiqué : 450 crores de roupies sur trois ans, un site de plus de 40 000 pieds carrés au Mindspace IT Park, dans le quartier de Madhapur, une capacité de 250 salariés, et 100 salariés en six mois. Selon la direction, citée par The Hindu, l’objectif est de 1 000 salariés en trois ans ; ce chiffre ne figure pas dans le communiqué.

Le centre travaille sur l’ingénierie, le développement de l’IA et les opérations de la plateforme. Son directeur général, Grant Halloran, présente les équipes réunies à Hyderabad comme le moyen d’intégrer l’IA dans les flux d’encaissement.

Le centre est dirigé par Farhad H. Baria, responsable pays, et a été inauguré par D. Sridhar Babu, ministre des technologies de l’État du Telangana. Hyderabad accueille déjà d’autres centres de ce type, comme le GCC de JLL à Hyderabad. Pour ses clients, il s’agit d’une implantation offshore.

Ingénierie, IA, « opérations » : ce que le communiqué ne précise pas

Le communiqué décrit des travaux qui alimentent directement la plateforme. Il ne dit pas ce que recouvrent les « opérations », ni qui, parmi ces équipes, touche aux données des clients.

Ce que Billtrust a annoncé, et ce que le communiqué ne précise pas

Source : communiqué de Billtrust du 28 septembre 2026. Les données d’échelle décrivent la plateforme, pas le centre de Hyderabad.

Ces silences ne sont pas des fautes : un communiqué d’inauguration n’est pas une notice de protection des données. Ils indiquent simplement où poser les questions.

Quand l’éditeur ouvre un centre offshore, le client change de sous-traitant sans l’avoir choisi

Le mécanisme est connu des juristes, beaucoup moins des acheteurs. Si la filiale étrangère d’un éditeur accède aux données personnelles que les clients lui confient, elle devient en général un sous-traitant ultérieur, notion détaillée dans la fiche sous-traitant RGPD.

L’article 28, paragraphe 2, du règlement général sur la protection des données encadre ce recrutement. Le sous-traitant ne fait appel à un autre sous-traitant qu’avec l’autorisation écrite préalable du responsable du traitement. Si l’autorisation est générale, il doit l’informer de tout ajout ou remplacement prévu, ce qui laisse au client la possibilité d’émettre des objections.

S’y ajoute la question du transfert. À la date de rédaction, l’Inde ne figure pas parmi les pays couverts par une décision d’adéquation de la Commission européenne. Un transfert vers une entité indienne exige donc des garanties appropriées au sens de l’article 46, par exemple les clauses contractuelles types. Le détail relève de la checklist RGPD d’une externalisation hors UE.

Le client n’a rien décidé. Il reste pourtant responsable du traitement, et c’est à lui que la liste des sous-traitants est adressée. Dans beaucoup de contrats, l’absence d’objection dans le délai prévu vaut acceptation du nouveau sous-traitant : d’où l’intérêt de lire le courriel.

L’IA ajoute une question : sur quelles données le modèle est-il construit ?

Un centre qui développe l’IA d’un produit peut avoir besoin de données pour entraîner, tester ou ajuster ses modèles. Les données réelles des clients sont les plus parlantes, et les plus sensibles. Rien, dans l’annonce, ne dit qu’elles sont utilisées : la question vaut pour tout éditeur qui fait ce choix.

Le contrat doit y répondre sur trois points : l’usage des données pour l’amélioration du produit, autorisé ou non ; le recours à des données anonymisées ou identifiantes ; leur sort en fin de contrat. Un éditeur peut aussi travailler sur des données synthétiques : encore faut-il que le contrat le dise.

Ces questions prolongent celle de la propriété des données confiées à un prestataire IA. Toute application à un contrat précis se relit avec un juriste ou le délégué à la protection des données.

Ce que cela change pour vous

Vous utilisez un logiciel dont l’éditeur annonce un GCC

Relisez la liste des sous-traitants annexée au contrat et le délai d’opposition qui y est prévu. Si ce délai est court, il court peut-être déjà. Vérifiez aussi que l’annexe indique le pays de chaque sous-traitant, pas seulement son nom.

Vous choisissez un logiciel

Demandez où travaillent les équipes qui accèdent aux données, pas seulement où elles sont hébergées. Pour situer l’Inde, notre guide de l’externalisation en Inde tient lieu de fiche pays.

Vous êtes éditeur

Annoncez le centre à vos clients avant la presse. Un client qui découvre la nouvelle dans un journal pose ensuite toutes ses questions à la fois. Joignez à l’annonce la liste des sous-traitants mise à jour et le mécanisme de transfert retenu.

Quatre documents à demander à un éditeur qui s’installe offshore

Aucune de ces demandes ne suppose un soupçon. Elles valent pour tout éditeur qui ouvre un centre à l’étranger.

• La liste des sous-traitants ultérieurs, à jour et datée.
• Le mécanisme de transfert : clauses contractuelles types et analyse d’impact du transfert.
• La politique d’accès des équipes offshore aux données de production.
• La règle d’usage des données pour l’IA, entraînement des modèles compris.

Demandez ces quatre pièces dès la notification d’un nouveau sous-traitant, pas au renouvellement du contrat. La checklist d’une externalisation hors UE, citée plus haut, détaille la suite.

Sources et références

Cet article s’appuie notamment sur les articles 28 et 46 du règlement général sur la protection des données et la liste des décisions d’adéquation tenue par la Commission européenne. Les faits de l’annonce proviennent du communiqué de Billtrust du 28 septembre 2026 sur son centre de Hyderabad, de l’article de The Hindu sur l’ouverture du GCC et l’objectif de 1 000 salariés et de l’article de The Hindu BusinessLine sur l’investissement de 450 crores.