Contrat d’externalisation : les clauses qui protègent le client

L’article 1170 du Code civil répute non écrite « toute clause qui prive de sa substance l’obligation essentielle du débiteur ». Dans un contrat d’externalisation, cette règle borne le plafond de réparation proposé par le prestataire.

Les modèles de contrat en tête des résultats de Google reprennent la liste d’un contrat de prestation de services ordinaire. Ils sont écrits pour un indépendant ou une société de portage salarial. Aucun ne traite ce qui distingue l’externalisation : le personnel du prestataire, les données confiées, les outils automatisés et la fiscalité d’une facture payée à l’étranger.

La carte ci-dessous associe chaque clause au texte qui l’encadre et au guide qui la détaille. Une grille de douze questions sert ensuite à relire le projet, sans remplacer l’avis d’un avocat sur un contrat précis.

Contrat d’externalisation : ce que le client achète au prestataire

Transparence : le fondateur d’ExternFlow a aussi fondé LAPLUME.MG, prestataire établi à Madagascar qui signe ce type de contrat avec ses clients. Aucune entreprise, aucun cabinet ni aucun modèle de contrat n’est recommandé ici, et notre déclaration d’intérêts précise ce point.

L’entreprise qui externalise confie un processus entier, comme la saisie des factures ou la relation client. Elle achète un résultat ou des moyens décrits au contrat. Les salariés qui exécutent restent sous l’autorité du prestataire.

Le Code civil range cette prestation de services dans le louage d’ouvrage (article 1710). Chaque engagement s’y lit comme une obligation de moyens ou de résultat. Un délai chiffré en annexe engage un résultat ; une simple promesse de diligence oblige le client à prouver une faute.

Le contrat est consensuel par principe (article 1172), mais trois textes exigent un écrit.

• Le RGPD, quand le prestataire traite des données pour le client (article 28, § 9).
• Le Code de la propriété intellectuelle, pour toute cession de droits d’auteur (article L131-2).
• DORA, pour les contrats de services TIC des entités financières (article 30).

La fiche F36266 de Service-Public Entreprendre, vérifiée le 27 octobre 2023, déclare cette rédaction obligatoire. Aucun texte général ne l’impose. L’écrit reste néanmoins la seule preuve de ce que le client a acheté.

La mise à disposition de personnel obéit à d’autres règles que la prestation de services, vues plus bas. La sous-traitance désigne un cas voisin, que notre lexique distingue de l’externalisation.

La carte des clauses d’un contrat d’externalisation

La carte suit l’ordre de lecture d’un projet en seize lignes réparties en six blocs. La dernière colonne renvoie à la section de cette page qui traite chaque ligne et signale les guides dédiés.

Carte des clauses : six blocs, seize lignes

Treize lignes sur seize citent un texte. Les trois autres relèvent de la liberté contractuelle, que les articles 1170, 1171 et 1231-5 du Code civil encadrent. Notre guide sur les niveaux de service et leurs pénalités détaille les seuils, la source de mesure et le barème.

Le premier bloc comprend aussi la confidentialité et la propriété intellectuelle des livrables. Le client ne devient titulaire des droits d’auteur que par une cession écrite, qui mentionne chaque droit cédé et délimite son exploitation (CPI, L131-3).

La cession globale des œuvres futures est nulle (L131-1). Sur un logiciel, la dévolution automatique des droits profite seulement à l’employeur des développeurs, donc au prestataire (L113-9).

Responsabilité : ce qu’un plafond peut exclure, et ce qu’il ne peut pas

Un plafond de responsabilité fixe la somme maximale que le client pourra réclamer en cas de manquement, et le droit français l’admet dans deux limites. L’article 1170 protège l’obligation essentielle : une stipulation qui la prive de sa substance est réputée non écrite. Le juge vérifie que le montant laisse une portée à cet engagement.

L’article 1231-3 limite la réparation aux dommages prévisibles lors de la conclusion, sauf faute lourde ou dolosive. Dans ce cas, la limitation conventionnelle est écartée.

Le barème d’un niveau de service manqué forme une clause pénale. Le juge peut le modérer ou l’augmenter, même d’office, s’il est manifestement excessif ou dérisoire (article 1231-5).

Une limite imposée sans négociation ouvre deux recours, selon la relation entre les parties.

• Dans un contrat d’adhésion, l’article 1171 répute non écrite la stipulation non négociable qui crée un déséquilibre significatif, hors objet principal et prix.
• Entre partenaires commerciaux, l’article L442-1, I, 2° du Code de commerce engage la responsabilité de celui qui impose un tel déséquilibre.

La chambre commerciale réserve l’article 1171 aux contrats qui échappent à ce texte spécial (Cass. com., 26 janvier 2022, n° 20-16.782, publié). L’arrêt a été rendu sous l’ancien article L442-6.

Avant de négocier, chiffrez le pire scénario, comme une fuite de données ou l’arrêt d’un processus externalisé critique, et comparez-le au montant proposé. Exigez aussi l’attestation d’assurance, avec ses garanties et ses montants. Notre guide sur ce qu’une clause limitative de responsabilité peut exclure propose une grille d’exposition.

Le personnel du prestataire : trois clauses à ne pas confondre

Trois clauses visent les salariés affectés au processus externalisé. Elles répondent à trois risques distincts : un débauchage, une direction des équipes par le client et un transfert de contrats de travail.

Non-sollicitation : licite si elle est proportionnée

La clause interdit au client d’embaucher les salariés du prestataire, pendant le contrat et pendant une période fixée après sa fin. La chambre commerciale l’admet si elle est proportionnée aux intérêts légitimes à protéger.

L’arrêt du 27 mai 2021 (Cass. com., n° 18-23.261 et 18-23.699, publié) opposait des distributeurs concurrents et n’exige aucune contrepartie financière. Le salarié n’est pas partie à la clause. Négociez une période courte, limitée au personnel affecté à la prestation ; notre guide sur la clause de non-sollicitation du personnel détaille l’indemnité et sa levée.

Encadrement des équipes : le prestataire reste l’employeur

Le contrat nomme un responsable chez le prestataire. Lui seul donne les consignes aux agents. Si le client dirige lui-même l’équipe, l’opération peut devenir un prêt de main-d’œuvre illicite (C. trav., L8241-1). Notre article sur le prêt de main-d’œuvre dans une équipe dédiée liste les signaux d’alerte.

Dès 5 000 euros hors taxes, le client contrôle les pièces sociales du prestataire, à la signature puis tous les six mois (L8222-1, R8222-1, D8222-5). La liste diffère pour une entreprise établie à l’étranger (D8222-7).

Reprise d’un service : le transfert des contrats de travail

Quand l’externalisation reprend un service existant, les contrats de travail passent au prestataire si une entité économique autonome est transférée (C. trav., L1224-1). Une telle entité réunit des personnes et des moyens organisés autour d’un objectif propre (Cass. soc., 28 juin 2023, n° 22-14.834, publié). La perte d’un marché ne suffit pas, à elle seule, à entraîner ce transfert.

Le contrat précise qui supporte les coûts si le transfert a lieu ; notre article sur le transfert des contrats de travail détaille les cas.

Prix et fiscalité : ce que le devis offshore ne montre pas

Le prix d’une prestation de services se révise selon une formule écrite au contrat, qui nomme l’indice, la périodicité et la hausse maximale. Sans formule, chaque révision redevient une négociation.

Une externalisation à l’étranger ajoute deux charges absentes du devis : la retenue de l’article 182 B du Code général des impôts et la TVA.

Ce que le devis d’un prestataire étranger ne montre pas

La retenue vise les prestations fournies ou utilisées en France et payées à une entreprise sans installation professionnelle permanente en France. La convention fiscale du pays concerné peut modifier cette règle ; elle se lit avant le premier paiement.

La clause de brutage fixe qui supporte la retenue. Notre guide sur la retenue à la source sur un prestataire étranger compare six conventions et les formulaires à obtenir.

Données, sécurité et IA : les clauses que les textes imposent

Le contrat de l’article 28 du RGPD

L’article 28 du RGPD impose, pour tout traitement de données personnelles confié au prestataire, un contrat écrit (§ 9) qui prévoit au minimum :

• des instructions documentées du client ;
• la confidentialité imposée aux personnes autorisées ;
• des mesures de sécurité adaptées au risque ;
• l’autorisation écrite préalable avant tout sous-traitant ultérieur ;
• l’aide au client face aux demandes des personnes concernées ;
• la suppression ou la restitution des données en fin de prestation ;
• les audits et les informations qui prouvent la conformité.

Hors de l’Union, les transferts reposent sur les clauses contractuelles types de la décision (UE) 2021/914. Les anciennes, abrogées le 27 septembre 2021, sont inutilisables depuis le 27 décembre 2022, fin de la période de transition. Notre fiche sur le sous-traitant au sens de l’article 28 précise la répartition des rôles.

Déclarer les outils et suivre le calendrier européen

Le contrat liste les outils automatisés que le prestataire utilise sur le processus, désigne le déployeur de chaque système et ouvre un droit d’audit. L’article 50 du règlement (UE) 2024/1689, sur la transparence, s’applique depuis le 2 août 2026. Notre guide sur les clauses à imposer à un prestataire qui utilise l’IA les détaille.

Le règlement (UE) 2026/1744 du 8 juillet 2026 a reporté les obligations des déployeurs de systèmes à haut risque, prévues à l’article 26. Elles s’appliqueront le 2 décembre 2027 pour l’annexe III et le 2 août 2028 pour l’annexe I. Une clause renvoyant à l’obligation applicable, sans date fixe, suit ces reports sans avenant. Notre article explique comment indexer la clause sur l’obligation.

NIS2 et DORA dans la chaîne d’approvisionnement

NIS2 demande aux entités qu’elle vise de sécuriser leur chaîne d’approvisionnement, relations avec les fournisseurs directs comprises (article 21, § 2, d). Au 21 octobre 2026, la France ne l’a pas encore transposée. Le projet de loi voté par le Sénat le 12 mars 2025 attend la séance publique à l’Assemblée nationale.

DORA concerne d’abord les entités financières. Il fixe depuis le 17 janvier 2025 le contenu minimal de leurs contrats TIC (article 30). Ce contenu couvre les lieux de traitement, les niveaux de service, l’assistance en cas d’incident et la résiliation. Leurs fournisseurs TIC entrent aussi dans son champ, et notre calendrier de l’AI Act, de NIS2 et de DORA récapitule ces échéances.

Prestataire hors de France : quel droit, quel juge, quel arbitre

Les parties choisissent la loi applicable à leur contrat (règlement Rome I, article 3). Sans choix, un contrat de prestation de services relève de la loi du pays du prestataire, celui de sa résidence habituelle (article 4, § 1, b). Des liens manifestement plus étroits avec un autre pays écartent cette règle (§ 3).

Avec une entreprise établie à Madagascar, au Maroc ou en Tunisie, un contrat muet relève donc le plus souvent du droit local. Les lois de police restent réservées. Notre analyse du droit applicable à un contrat de sous-traitance offshore détaille ce cas.

La clause attributive de juridiction désigne le tribunal compétent. Si elle désigne une juridiction d’un État membre, elle s’applique quel que soit le domicile des parties (Bruxelles I bis, article 25). Elle reste donc valable face à une entreprise établie hors Union. Le jugement devra ensuite être exécuté dans le pays de cette entreprise.

Une clause d’arbitrage protège le client si la sentence peut être exécutée là où le prestataire a ses actifs. La convention de New York de 1958 compte 172 États parties, dont Madagascar, le Maroc, la Tunisie, Maurice, l’Inde et les Philippines. Tous, sauf Maurice, appliquent la réserve de réciprocité.

La fin du contrat : durée, résiliation et sortie, écrites dès la signature

Le Code civil prohibe les engagements perpétuels (article 1210). Un contrat à durée indéterminée se résilie à tout moment, avec le préavis prévu ou, à défaut, un délai raisonnable (article 1211). La tacite reconduction donne naissance à un nouveau contrat, à durée indéterminée (articles 1214 et 1215). Fixez une revue des conditions avant chaque échéance.

La rupture d’une relation commerciale établie exige un préavis écrit qui tient compte de son ancienneté (C. com., L442-1, II). Un préavis de dix-huit mois écarte tout reproche d’insuffisance.

La force majeure suspend le contrat si l’empêchement est temporaire et le résout s’il est définitif (article 1218). Le contrat peut lister les événements retenus, comme une coupure prolongée du réseau électrique dans le pays d’exécution.

La sortie d’une externalisation se prépare dès la signature, sur trois points :

• la restitution des données et de la documentation, avec la destruction des copies garantie par écrit ;
• la période de transition, avec l’assistance du sortant ;
• les coûts de sortie, chiffrés à l’avance.

Une clause de changement de contrôle permet de résilier sans pénalité si le prestataire passe sous le contrôle d’un autre groupe. Notre guide pour bâtir un plan de réversibilité détaille ces étapes. La page consacrée à piloter le prestataire une fois le contrat signé suit la relation jusqu’à son terme.

Relire un contrat d’externalisation avant de signer : douze questions

Posez ces douze questions au projet, clause par clause. Notez en marge l’article du contrat qui répond à chacune.

Questions 1 à 6 sur la prestation et l’argent

1. Le périmètre et les livrables figurent-ils dans une annexe ?
2. Chaque engagement est-il qualifié d’obligation de moyens ou de résultat ?
3. Les niveaux de service ont-ils une source de mesure désignée ?
4. Le plafond couvre-t-il le pire scénario chiffré ?
5. L’assurance est-elle attestée, avec ses montants ?
6. La fiscalité est-elle chiffrée, retenue et TVA comprises ?

Questions 7 à 12 sur le personnel et la sortie

1. L’interdiction d’embaucher est-elle limitée dans le temps et au personnel affecté ?
2. Le responsable des équipes est-il nommé chez le prestataire ?
3. Le contrat de l’article 28 est-il annexé, avec la liste des sous-traitants ultérieurs ?
4. Les systèmes automatisés sont-ils déclarés, avec un droit d’audit ?
5. Le droit applicable et le juge, ou l’arbitre, sont-ils désignés ?
6. La sortie et ses coûts sont-ils écrits, avec un délai de restitution ?

Une question sans réponse écrite se négocie avant la signature, quand le client peut encore changer de prestataire.

Annotez le contrat clause par clause avant de signer

Faites chiffrer par écrit le plafond, la fiscalité et la sortie. Ces trois montants fixent le coût d’un incident ou d’un départ anticipé du prestataire.

Relisez ensuite le projet avec la grille. Ouvrez enfin le guide de la clause la plus exposée, par exemple la clause limitative de responsabilité pour un processus externalisé critique. La Lettre ExternFlow signale les reports du calendrier européen, la loi française de transposition de NIS2 et chaque changement du taux de retenue.

Sources et références

Cet article s’appuie notamment sur la fiche F36266 de Service-Public Entreprendre et sur le texte officiel du RGPD. Il reprend aussi le règlement (UE) 2026/1744 qui reporte une partie de l’AI Act et le règlement Rome I sur la loi applicable. Il cite l’arrêt de la chambre commerciale du 27 mai 2021 et la doctrine fiscale sur l’article 182 B. L’état de la convention de New York publié par la CNUDCI donne la liste des États parties. Ces pages ont été consultées le 21 octobre 2026.