Une intrusion dans un logiciel de gestion (type SaaS), des SMS frauduleux envoyés à des milliers de clients, des demandes de rançon, la menace d’une fuite de données incluant parfois des IBAN… Ce scénario n’est plus théorique : il devient malheureusement courant pour les PME, réseaux de salles de sport, commerces, organismes de formation, etc.

Dans ce type de situation, les premières 72 heures sont déterminantes :

• pour limiter les dégâts techniques,
• protéger vos clients,
• et préserver vos chances d’indemnisation (assurance cyber / multirisque).

Voici un fil conducteur concret, pensé pour une entreprise « classique » qui découvre ce type d’incident.

1) Isoler, contenir, conserver les preuves

Le premier réflexe doit être double : limiter le mal et garder de quoi comprendre et prouver ce qui s’est passé.

À faire immédiatement :

• Identifier le périmètre atteint : logiciel SaaS, messagerie, serveur interne, comptes admin, API, etc.
• Avec votre prestataire/éditeur : bloquer l’intrusion.

À ne pas négliger — la preuve. Conservez sans « nettoyer » trop vite : journaux de connexion / logs, captures d’écran (comptes frauduleux, campagnes massives), exemples de SMS/e-mails reçus par les clients, échanges avec l’attaquant (mails, SMS, messageries). Trop souvent, les données sont écrasées ou supprimées trop tôt — ce qui complique ensuite l’investigation, le dépôt de plainte et le dossier d’assurance.

2) Qualifier l’incident : système, données, volumétrie, risques

Très vite, il faut passer de la « panique » à une vision structurée : quoi, quelles données, combien, quels risques.

Les 4 questions à se poser dès les premières heures :

1. Quel système est touché ? logiciel interne, SaaS chez un prestataire (gestion clients / planning / facturation) ou simple compromission d’une boîte mail. La réponse conditionne la répartition des responsabilités et les mesures à exiger du prestataire.
2. Quelles catégories de données sont concernées ? identification (nom, prénom), coordonnées (e-mail, téléphone), données contractuelles (abonnement, historique), données bancaires limitées (IBAN). L’agrégation augmente fortement le risque de phishing, escroquerie, usurpation d’identité.
3. Quelle volumétrie (même approximative) ? 3 000 clients effectivement touchés par des SMS frauduleux, 16 000 numéros ciblés, toute la clientèle active potentiellement exposée… Des ordres de grandeur suffisent pour calibrer réponse, communication et analyse de risque.
4. Quels risques concrets pour les personnes ? Au-delà de la « fuite », évaluer : smishing / phishing, tentatives d’arnaques bancaires / social engineering, usurpation d’identité, préjudice moral (anxiété liée au risque d’usage ultérieur des données).

3) Penser tout de suite aux 72 heures : plainte et assurance

Depuis la loi dite LOPMI, le Code des assurances impose, pour que certains dommages liés à une cyberattaque soient indemnisables, qu’une plainte soit déposée dans les 72 heures à compter du moment où l’entreprise a eu connaissance de l’atteinte à son système d’information.

Ce qui fait (souvent) la différence en pratique : documenter la chronologie dès le départ — préparer un brouillon de chronologie interne, même imparfait, puis l’actualiser.

Côté assurance : relire les contrats (cyber, RC pro, multirisque), identifier les garanties, et si prévu appeler sans tarder l’assistance / le référent cyber de l’assureur.

4) Ne pas oublier le RGPD : notification CNIL et information des clients

Dès lors que des données personnelles sont concernées (base clients, coordonnées, IBAN…), l’entreprise a des obligations spécifiques :

• Notification à la CNIL si la violation présente un risque pour les personnes, en principe dans les 72 heures après en avoir eu connaissance.
• Information directe des personnes concernées lorsque le risque est élevé, de manière claire et compréhensible.

Concrètement, préparer deux livrables :

1) Projet de notification structurée : entreprise + sous-traitant (prestataire), description de l’incident, catégories de données, nombre approximatif de personnes, risques identifiés, mesures prises / envisagées, modalités d’information des clients.

2) Message(s) clients — alerter sur la fraude (ne pas cliquer, ne pas répondre, ne pas transmettre d’infos), expliquer ce qui est certain vs en cours d’investigation, garder un ton utile, transparent, maîtrisé (ni minimisation, ni auto-accusation prématurée).

5) Organiser la gestion de crise : rôles, circuits, documentation

Une cyberattaque est autant un sujet de gouvernance que de technique. Les entreprises qui s’en sortent le mieux organisent la crise dès les premiers jours.

Le « noyau dur » recommandé : dirigeant, référent IT (interne/externe), conseil juridique / RGPD, interlocuteur assurance.

Deux outils très efficaces :

• Une FAQ interne pour les équipes en contact clients (évite réponses improvisées).
• Un dossier de violation : chronologie, décisions, échanges prestataire, notifications, réponses clients.

6) Tirer les leçons : sécurité, contrat, prestataires

Une fois l’incendie maîtrisé, la vraie question devient : que change-t-on pour réduire le risque de récidive ?

Pistes à auditer : politique mots de passe + MFA, gestion des droits d’accès, détection comportements anormaux, procédures d’alerte, sauvegardes et tests de restauration.

Spécifique SaaS : demander un rapport d’incident détaillé au prestataire, vérifier le respect des engagements de sécurité contractuels.

Contrats — le point aveugle des PME : revoir clauses de sécurité, obligations de coopération en cas d’incident, responsabilités, délais et mécanismes de notification.

Transformer l’expérience en préparation : mettre à jour un plan de réponse à incident, intégrer des scénarios smishing/phishing dans la sensibilisation, tester régulièrement la capacité de réaction.

Conclusion

Face à une cyberattaque ciblant un logiciel de gestion et une base clients, une entreprise ne peut plus « éteindre le feu » en silence. Elle doit agir vite et de manière structurée : sécuriser, conserver les preuves, penser plainte + assurance (72 h), respecter le RGPD, organiser communication et gouvernance de crise.

Les entreprises qui anticipent ces réflexes — même simplement — traversent beaucoup mieux ce type d’événement que celles qui improvisent sous pression.

Vous signez des contrats tous les jours. Mais sont-ils vraiment sécurisés ?

Partenariats, prestations, licences, cessions, CGV… Dans la plupart des entreprises, les contrats s’enchaînent. Et trop souvent, ils sont signés sans véritable filet de sécurité.

👉 L’acte d’avocat change radicalement la donne.

Un contrat :

• juridiquement renforcé,
• expliqué et sécurisé par un avocat,
• beaucoup plus difficile à contester,
• engageant la responsabilité professionnelle de celui qui le contresigne.

Introduit par la loi pour renforcer la sécurité juridique des contrats, l’acte d’avocat est un acte sous signature privée contresigné par un avocat.

Et surtout :

• ✅ 100 % dématérialisé
• ✅ rapide
• ✅ adapté au rythme des entreprises

Moins de risques aujourd’hui. Moins de litiges demain.

Si le contrat est stratégique, sa signature doit l’être aussi…

L’innovation implique des choix risqués. Et le bon prestataire peut tout changer.

➡️ Agences web, studios tech, freelances en IA, intégrateurs SaaS, hébergeurs cloud, cabinets UX, développeurs d’applications, bureaux d’ingénierie… Tous vous proposent des solutions. Mais que disent leurs contrats ?

📄 Notre rôle :

• ✔️ Traduire vos attentes en clauses précises
• ✔️ Identifier les zones de risque (PI, confidentialité, responsabilité, réversibilité…)
• ✔️ Construire un contrat sur mesure, pas un copier-coller de CGV

📌 Anticiper juridiquement dès la phase de sélection, ce n’est pas freiner le projet.

• 👉 C’est protéger vos intérêts.
• 👉 C’est sécuriser la relation pour durer.

💬 Vous hésitez entre plusieurs prestataires ? Parlons-en avant de signer.

Votre nom de domaine, ce n’est pas « juste » une adresse web. C’est un actif immatériel, une porte d’entrée commerciale, et parfois le premier angle d’attaque.

On parle beaucoup de marque, de site, de SEO. Mais le nom de domaine, lui, est souvent géré « à côté » — jusqu’au jour où ça coûte (cher).

1) Le nom de domaine fait partie de votre stratégie de marque. Même logique que pour une marque : cohérence, lisibilité, déclinaisons utiles, territoires clés, projets à venir.

2) Un portefeuille de noms de domaine, ça se pilote. Qui décide ? Qui achète ? Qui renouvelle ? Qui a accès au registrar ? Sans gouvernance interne, les risques explosent.

3) Les attaques ne sont pas théoriques. Cybersquatting, variantes trompeuses, détournements, sites miroirs, campagnes de phishing. La bonne approche, c’est une stratégie pragmatique : prévention + surveillance + réaction rapide.

Check-list express :

• Vos noms de domaine « cœur » sont-ils verrouillés, renouvelés automatiquement ?
• Avez-vous listé les variantes réellement utiles (et seulement celles-là) ?
• Savez-vous quoi faire si un tiers enregistre un nom proche ?

Le bon réflexe : traiter le nom de domaine comme ce qu’il est vraiment — un actif stratégique.

Vous envisagez d’intégrer une solution d’IA dans vos process : assistant conversationnel, outil de scoring, génération de contenus, analyse de données clients…

Sur le papier, tout va vite. En pratique, chaque projet IA emporte des obligations juridiques nouvelles — qui pèsent sur l’entreprise utilisatrice, et pas uniquement sur l’éditeur.

👉 L’AI Act change la donne. Depuis son entrée en application progressive, certains systèmes d’IA sont interdits, d’autres soumis à des obligations lourdes dès qu’ils sont « à haut risque ».

Les 4 réflexes à avoir avant toute intégration :

• Qualifier le système (usage général, haut risque, interdit ?)
• Cartographier les données entrantes et sortantes (RGPD, secret des affaires, PI)
• Sécuriser le contrat avec l’éditeur (responsabilité, réversibilité, transparence)
• Documenter la gouvernance interne (charte IA, formation des utilisateurs, journalisation)

📌 L’improvisation se paie cher. Un cadre clair, défini en amont, protège l’entreprise — et rassure les clients, les assureurs, les investisseurs.

Un projet IA en cours de réflexion ? Parlons-en avant le déploiement, pas après.

Vos équipes utilisent déjà ChatGPT, Copilot, Claude, Gemini. Souvent sans cadre. Parfois avec des données clients.

Interdire ? Irréaliste et contre-productif.
Laisser faire ? Inconfortable juridiquement.
La bonne réponse : un cadre clair, lisible, opérationnel.

Ce qu’une charte IA efficace doit trancher :

• ✔️ Les outils autorisés (versions entreprise, gratuites, personnelles)
• ✔️ Les données interdites de saisie (clients, RH, financières, stratégiques)
• ✔️ Les usages autorisés et interdits (brainstorming, rédaction, décision automatisée…)
• ✔️ Les règles de relecture humaine avant toute diffusion externe
• ✔️ Les obligations de transparence vis-à-vis des clients et partenaires

📌 Une charte IA bien rédigée ne freine pas l’adoption. Elle la sécurise et la légitime.

Besoin d’une charte IA adaptée à votre activité ? Nous la co-construisons avec vos équipes.

Hébergeurs, éditeurs SaaS, prestataires marketing, plateformes RH, outils CRM… Dès qu’un tiers traite des données personnelles pour votre compte, il devient sous-traitant au sens du RGPD.

Et vous ? Vous restez responsable. Y compris des manquements du prestataire.

👉 L’article 28 du RGPD impose un contrat écrit (ou DPA) avec chacun de vos sous-traitants.

Les points critiques à vérifier :

• 📄 Finalités et durée du traitement clairement définies
• 🔒 Mesures de sécurité techniques et organisationnelles précises
• 🌍 Transferts hors UE encadrés (clauses types, décisions d’adéquation)
• 🔁 Sous-traitance en cascade identifiée et autorisée
• 🚨 Notification d’incident dans un délai compatible avec vos obligations
• 🗑️ Sort des données en fin de contrat (restitution, suppression certifiée)

📌 Un DPA signé ne suffit pas. Il doit être lu, compris, et aligné avec vos obligations réelles.

Audit de vos contrats de sous-traitance : une matinée de travail, des années de tranquillité.

Un client, un salarié, un ancien prospect vous écrit :

• « Je souhaite accéder à mes données. »
• « Supprimez tout ce que vous détenez sur moi. »
• « Rectifiez cette information. »
• « Je m’oppose au traitement. »

⏱️ Vous avez 1 mois pour répondre. Prolongeable à 3 mois en cas de complexité, à condition d’en informer la personne dans le délai initial.

Ce qu’une procédure interne doit prévoir :

• ✔️ Un point d’entrée unique (adresse dédiée, formulaire, DPO)
• ✔️ Une méthode de vérification d’identité proportionnée
• ✔️ Une cartographie des données permettant de répondre vite
• ✔️ Des modèles de réponse pour chaque droit
• ✔️ Une traçabilité des demandes reçues et traitées

📌 La non-réponse est l’une des causes les plus fréquentes de plainte CNIL. Et l’une des plus évitables.

Nous vous aidons à bâtir une procédure simple, documentée et défendable.

Déposer une marque paraît simple. Les plateformes en ligne le promettent en quelques clics.

La réalité : un dépôt mal préparé fragilise votre marque — parfois définitivement.

Les 5 pièges les plus fréquents :

1. Le signe non distinctif. Descriptif, générique, élogieux : la marque sera refusée ou annulée.
2. L’absence de recherche d’antériorités. Une marque déjà déposée, même pour un secteur voisin, peut tout bloquer.
3. Le mauvais choix de classes. Trop étroit : vous n’êtes pas protégé sur vos produits. Trop large : votre dépôt sera contesté pour non-usage.
4. Le périmètre géographique inadapté. France, UE, international : à aligner sur votre stratégie réelle, pas sur une intuition.
5. L’oubli de la surveillance. Une marque non surveillée se dilue et perd en force.

📌 Une marque bien déposée est un actif. Une marque mal déposée est une illusion de protection.

Nous vous accompagnons : recherche, dépôt, surveillance, défense.

Vous découvrez qu’un concurrent utilise votre marque, copie votre modèle, reprend vos visuels, diffuse votre contenu.

Le réflexe naturel : appeler, écrire, alerter. Le bon réflexe : préparer d’abord la preuve.

Les 4 gestes à faire en premier :

1. Constater — captures d’écran horodatées, constat d’huissier, impressions des pages concernées.
2. Documenter votre titre — certificat d’enregistrement, date de création, preuves d’usage antérieur.
3. Qualifier l’atteinte — contrefaçon de marque, droit d’auteur, modèles, concurrence déloyale ? Chaque qualification ouvre des actions différentes.
4. Choisir la stratégie — mise en demeure, saisie-contrefaçon, référé, action au fond, signalement plateforme. Le bon outil dépend de l’objectif : faire cesser, obtenir réparation, dissuader le marché.

⚠️ Attention aux actions prématurées : une mise en demeure maladroite peut faire perdre l’effet de surprise d’une saisie.

📌 Quelques heures de réflexion stratégique économisent souvent des mois de procédure.

Une contrefaçon repérée ? Ne perdez pas la preuve. Appelez-nous avant d’agir.

On vous demande de signer les CGV de l’éditeur. Parfois un « order form » de deux pages. Parfois rien du tout.

Problème : ces contrats sont rédigés pour protéger le prestataire, pas vous.

Les clauses à vérifier — et à faire bouger :

1. Niveau de service (SLA) — engagements chiffrés, pénalités automatiques, exclusions
2. Réversibilité et portabilité — récupération des données en fin de contrat, formats exploitables
3. Responsabilité — plafond, exclusions, cas d’écartement du plafond
4. Sécurité et RGPD — DPA, hébergement, sous-traitants autorisés
5. Propriété intellectuelle — qui est titulaire de quoi ? Développements spécifiques, données clients, contenus générés
6. Modifications unilatérales — l’éditeur peut-il changer les conditions en cours de route ?
7. Fin de contrat — durée, tacite reconduction, sortie anticipée, préavis

📌 Un contrat SaaS se négocie. Même avec les grands éditeurs. Plus le volume est significatif, plus la marge existe.

Avant de signer un contrat SaaS stratégique, 2 heures d’analyse juridique peuvent tout changer.

Vous commandez un logiciel, une application, un site, un module sur mesure. Vous payez. Vous pensez être propriétaire.

Erreur fréquente : en droit français, le paiement d’une prestation ne transfère pas les droits d’auteur sur le code.

👉 Sans clause de cession écrite, précise et conforme au Code de la propriété intellectuelle, le prestataire reste titulaire des droits.

Ce que la cession doit impérativement préciser :

• 📋 Les droits cédés (reproduction, adaptation, traduction, modification, commercialisation…)
• 🌍 Le périmètre géographique (France, monde entier)
• ⏱️ La durée (durée légale des droits d’auteur)
• 💰 La destination et la rémunération de la cession
• 🧩 Les briques tierces (open source, licences, composants pré-existants)

⚠️ Les clauses standard type « le client est propriétaire » ne suffisent pas. Un juge peut les invalider faute de précision.

📌 Vérifier ce point avant la signature coûte peu. Le corriger après la rupture coûte très cher.

Contrat de développement en cours ? Faites relire la clause de cession avant signature.

La loi Sapin II impose un programme anticorruption complet à certaines entreprises. Mais beaucoup s’estiment à tort hors du champ.

Les deux critères cumulatifs :

• 👥 500 salariés ou plus
• 💶 100 millions d’euros de chiffre d’affaires (consolidé le cas échéant)

⚠️ Le seuil s’apprécie au niveau consolidé du groupe — pas seulement sur l’entité juridique française. Une filiale de 80 salariés appartenant à un groupe international dépasse souvent le seuil.

Les 8 mesures exigées :

• Code de conduite
• Dispositif d’alerte interne
• Cartographie des risques de corruption
• Procédures d’évaluation des tiers
• Contrôles comptables
• Dispositif de formation
• Régime disciplinaire
• Dispositif de contrôle et évaluation

📌 L’AFA (Agence française anticorruption) contrôle, sanctionne — jusqu’à 1 M€ pour la personne morale. Et le juge pénal prend le relais si un fait de corruption est révélé.

Un doute sur votre situation ? Un diagnostic rapide vaut mieux qu’un contrôle surprise.

Textes, visuels, codes, musiques, maquettes : l’IA produit chaque jour des contenus que les entreprises utilisent, diffusent, commercialisent.

Une question revient : qui est titulaire des droits ?

Les règles à connaître :

1. Une IA n’est pas un auteur. Le droit français réserve le droit d’auteur aux personnes physiques. Un contenu 100 % IA, sans intervention humaine créative, n’est pas protégé.
2. L’intervention humaine peut faire basculer. Prompts détaillés, sélection, retouches, montage : selon le degré d’apport créatif, une protection peut naître — sur l’ensemble final, pas sur la production brute de l’IA.
3. Les CGU des outils encadrent l’usage. Chaque plateforme fixe ses règles (licence, usage commercial, attribution). À lire avant tout déploiement professionnel.
4. Les données d’entraînement soulèvent leurs propres questions. Contrefaçon, exception de fouille de textes, droits voisins : le sujet est en pleine construction jurisprudentielle.

Les bons réflexes pour l’entreprise :

• Documenter qui fait quoi sur chaque contenu IA produit
• Clarifier par écrit la titularité des productions des collaborateurs
• Vérifier les CGU des outils utilisés — et les mises à jour
• Encadrer l’usage dans vos contrats clients et prestataires

📌 Sans cadre, vous risquez de vous croire titulaire de contenus que vous ne pouvez ni protéger, ni céder, ni défendre.

Vous produisez ou diffusez du contenu IA ? Sécurisons ensemble votre chaîne de titularité.

Vos procédés, vos méthodes, vos listes clients, vos algorithmes, vos formules : autant d’actifs qui font la valeur de votre entreprise.

Mais attention : le secret des affaires n’est protégé que si vous le protégez.

👉 La loi exige trois conditions cumulatives. Si une seule manque, aucune protection.

Les 3 conditions :

1. L’information doit être secrète. Non connue, non accessible facilement à des personnes du même secteur.
2. Elle doit avoir une valeur commerciale. Parce qu’elle est secrète. Économique, technique, stratégique.
3. Elle doit faire l’objet de mesures de protection raisonnables. C’est ici que la majorité des entreprises échouent.

Ce que « mesures raisonnables » veut dire concrètement :

• Clauses de confidentialité dans les contrats (salariés, prestataires, partenaires)
• Accès restreints aux données sensibles (droits informatiques, coffres-forts)
• Marquage des documents confidentiels
• Formation et sensibilisation des équipes
• Traçabilité des accès et des transferts

📌 Sans preuve de protection active, un juge refusera de sanctionner l’atteinte. Votre secret n’en est plus un.

Audit de votre dispositif secret des affaires : un investissement modeste pour un actif majeur.

Un partenariat se profile, une levée de fonds, une acquisition, une discussion technologique. On vous tend un NDA. Vous signez.

Erreur : beaucoup de NDA sont déséquilibrés, mal rédigés, ou inadaptés au projet réel.

Les 5 points à vérifier systématiquement :

1. Le périmètre de l’information protégée. Trop large : vous vous engagez sur tout. Trop étroit : vous ne protégez rien.
2. Le caractère unilatéral ou mutuel. Qui divulgue ? Qui reçoit ? Un NDA unilatéral signé par les deux parties est un piège courant.
3. La durée de l’obligation. 2 ans ? 5 ans ? Illimitée ? Adaptée à la nature de l’information — un savoir-faire technique n’a pas la même temporalité qu’un budget.
4. Les exceptions. Information déjà publique, développée indépendamment, obtenue légitimement par un tiers : à préciser.
5. La sanction. Juridiction compétente, loi applicable, clause pénale, référé possible : un NDA sans dents n’intimide personne.

📌 Un NDA de 2 pages bien rédigé protège mieux qu’un NDA de 10 pages mal calibré.

Avant toute négociation sensible, faites relire votre NDA — ou demandez-nous d’en rédiger un à votre main.

Vos équipes et vos prestataires utilisent quotidiennement des composants open source. C’est moderne, efficace, économique.

C’est aussi risqué. Parce que l’open source n’est pas « libre de droits » : c’est un logiciel sous licence, avec des obligations précises.

Les grandes familles de licences :

• Licences permissives (MIT, Apache, BSD) — peu contraignantes, compatibles avec un usage commercial propriétaire.
• Licences copyleft faible (LGPL, MPL) — obligations limitées aux modifications du composant.
• Licences copyleft fort (GPL, AGPL) — tout logiciel les intégrant peut devoir être distribué sous la même licence. Impact majeur sur la valeur de votre code.

Les risques concrets :

• Obligation de publier votre code source propriétaire
• Perte de valorisation en cas de levée de fonds ou de cession (due diligence)
• Action en contrefaçon du titulaire de la licence
• Non-respect des mentions d’attribution

Les bons réflexes :

• Inventorier les composants open source utilisés (logiciels SCA)
• Adopter une politique interne d’usage de l’open source
• Imposer à vos prestataires un reporting des licences intégrées
• Anticiper l’audit avant toute opération stratégique

📌 Un investisseur sérieux auditera votre stack open source. Mieux vaut le faire avant lui.

Diagnostic open source de votre code : une démarche courte, des conséquences durables.

Designer, développeur, rédacteur, chef de projet, ingénieur : vos salariés créent chaque jour.

Idée reçue : « puisque c’est fait pendant le temps de travail, c’est à l’entreprise ».

En droit français, c’est faux. Le droit d’auteur naît sur la tête du créateur — le salarié — sauf exceptions précises.

Les règles à connaître :

1. Principe : le salarié reste titulaire de ses droits d’auteur sur ses créations.
2. Exception logiciel : le code développé dans l’exercice des fonctions appartient automatiquement à l’employeur (article L. 113-9 CPI).
3. Exception œuvre collective : sous conditions strictes, l’œuvre créée à l’initiative et sous la direction d’une entreprise lui appartient.
4. Pour le reste : il faut une cession écrite, précise, conforme au Code de la propriété intellectuelle.

Ce que doit contenir une clause de cession valable :

• Énumération précise des droits cédés
• Destination de l’exploitation
• Périmètre géographique et durée
• Rémunération distincte du salaire pour certaines exploitations

⚠️ Une clause générique « toutes les créations appartiennent à l’entreprise » est largement insuffisante et régulièrement invalidée.

📌 Audit de vos contrats de travail : un réflexe stratégique avant toute cession, levée ou partenariat.

Nous révisons vos clauses de PI dans les contrats de travail — salariés actuels et modèles pour l’avenir.

Photos de salariés sur le site, témoignages clients en vidéo, captation d’un événement, contenu tourné par un prestataire : chaque image implique un cadre juridique.

Principe : toute personne a un droit exclusif sur son image. Sa diffusion suppose son autorisation.

Les points à sécuriser avant toute publication :

• 📝 Une autorisation écrite — signée, datée, nominative
• 🎯 Une finalité précise — site web, réseaux sociaux, campagnes publicitaires, presse, plaquettes…
• ⏱️ Une durée définie — pas d’autorisation illimitée par défaut
• 🌍 Un périmètre géographique — usage local, national, international
• 🔁 Une possibilité de retrait — la personne peut revenir sur son accord, le contrat doit l’anticiper

Les cas particuliers :

• Mineurs : autorisation des deux parents
• Salariés : autorisation distincte du contrat de travail
• Foules et événements publics : règles spécifiques, encadrement à prévoir
• Personnes publiques dans l’exercice de leur fonction : régime plus souple, mais pas illimité

📌 Une photo diffusée sans cadre juridique valable peut coûter cher : dommages-intérêts, retrait contraint, risque réputationnel.

Modèles d’autorisation d’image adaptés à votre activité : nous les rédigeons et les tenons à jour.

Un site marchand n’est pas qu’une vitrine : c’est un établissement juridique, soumis à des obligations précises.

Manquer une obligation, c’est s’exposer à des sanctions DGCCRF, CNIL, parfois pénales — et offrir à vos clients des arguments de contestation.

Les piliers à respecter :

1. Les mentions légales. Identification de l’éditeur, SIRET, capital, hébergeur, directeur de publication.
2. Les CGV. Prix, caractéristiques essentielles, modalités de paiement et de livraison, droit de rétractation, garanties, médiateur de la consommation.
3. La politique de confidentialité. Traitement des données, finalités, bases légales, durées, droits des personnes, DPO le cas échéant.
4. Le bandeau cookies. Consentement préalable, granularité, refus aussi simple que l’acceptation.
5. Le parcours de commande. Récapitulatif, double clic, confirmation, facture.
6. Les obligations sectorielles. Produits réglementés (alimentaire, santé, alcool, cosmétiques), normes environnementales, étiquetage.

📌 Copier les CGV d’un concurrent est une fausse économie : en plus du risque de contrefaçon, vous héritez de ses erreurs.

Audit complet de votre site e-commerce : conformité, solidité contractuelle, performance juridique.

Vous collectez des données clients depuis des années. Factures, emails, historiques de commande, fiches CRM, support client, prospects inactifs.

Combien de temps avez-vous le droit de les conserver ? La plupart des entreprises ne savent pas — et gardent tout, indéfiniment.

👉 Le RGPD impose une durée de conservation limitée, adaptée à la finalité. Conserver « au cas où » est illicite.

Les grandes durées à retenir :

• Prospects non transformés : 3 ans maximum après le dernier contact
• Clients actifs : durée de la relation contractuelle
• Clients inactifs : 3 ans après la fin de la relation, sauf finalité spécifique
• Données comptables : 10 ans (obligation fiscale)
• Données RH : durées variables selon les pièces et obligations sociales

La distinction à maîtriser :

• Base active — données utilisables au quotidien.
• Archivage intermédiaire — accès restreint, finalité probatoire, durée légale.
• Archivage définitif ou suppression — à l’échéance.

📌 Une politique de purge documentée est la meilleure défense en cas de contrôle CNIL. Et souvent la plus simple à mettre en place.

Nous vous aidons à bâtir une matrice de conservation claire, sectorielle, défendable.

Une entreprise porte plusieurs noms. Chacun protège quelque chose de différent — ou ne protège rien du tout.

L’erreur classique : croire que déposer sa société au RCS, ou acheter son nom de domaine, suffit à protéger le nom.

Les quatre signes distincts :

1. La dénomination sociale. Le nom de la personne morale au RCS. Donne des droits sur le territoire national, contre d’autres sociétés. Ne protège pas contre l’usage commercial d’un tiers.
2. Le nom commercial. Le nom sous lequel vous exploitez. Protégé par l’usage, dans sa zone de rayonnement effective. Fragile dès qu’on sort du local.
3. Le nom de domaine. Premier arrivé, premier servi. N’emporte aucun droit de propriété intellectuelle en soi.
4. La marque. Le seul véritable titre de propriété. Territorial, limité aux classes déposées, opposable à tous.

👉 Seule la marque permet d’agir en contrefaçon, d’interdire efficacement un concurrent, de valoriser un actif.

📌 Beaucoup d’entreprises exploitent un nom depuis des années sans aucune marque. Un concurrent peut le déposer — et les obliger à changer d’identité.

Faire le point sur votre portefeuille de signes distinctifs : une démarche indispensable, souvent révélatrice.

La loi impose un dispositif de recueil des alertes à de plus en plus d’entreprises. Pas seulement aux grands groupes.

Seuil désormais abaissé : 50 salariés pour les entités soumises à la loi Waserman, en application de la directive européenne sur la protection des lanceurs d’alerte.

Ce qu’un dispositif conforme doit permettre :

• 🔒 Un canal de signalement confidentiel (écrit, oral, physique, en ligne)
• 🛡️ Une protection du lanceur d’alerte contre toute représaille
• ⏱️ Des délais de traitement (accusé réception sous 7 jours, retour sous 3 mois)
• 🧾 Une traçabilité des signalements, des suites, des décisions
• 👤 Un référent ou service désigné formé et indépendant

Les erreurs fréquentes :

• Utiliser une simple boîte mail générique
• Déléguer le traitement à un manager hiérarchique
• Ignorer les alertes « mineures » ou ambiguës
• Ne pas documenter les décisions prises

⚠️ L’absence de dispositif, ou son dysfonctionnement, peut entraîner des sanctions — et surtout, prive l’entreprise d’un outil précieux de détection des risques internes.

📌 Un dispositif d’alerte bien pensé est un instrument de gouvernance, pas une formalité administrative.

Nous concevons des dispositifs adaptés à votre taille, votre culture, votre secteur.

Vous avez souscrit une cyber-assurance. Vous vous croyez couvert.

Au moment de la crise, vous découvrez que telle garantie ne joue pas, que telle condition n’a pas été remplie, que tel délai a été dépassé.

👉 Un contrat cyber se lit à froid, quand tout va bien. Pas sous pression, à 3 heures du matin, avec une rançon qui tombe.

Les points à vérifier dans votre police :

• ✔️ Le périmètre couvert — attaques, erreurs humaines, défaillances prestataires, atteintes aux données
• ✔️ Les garanties activables — frais de gestion de crise, réparation, perte d’exploitation, cyber-rançon, reconstitution de données
• ✔️ Les plafonds et franchises — souvent très en dessous des coûts réels d’une crise
• ✔️ Les exclusions — actes de guerre, négligence grave, non-respect des obligations de sécurité
• ✔️ Les obligations déclaratives — notification à l’assureur, délais, pièces exigées
• ✔️ Le lien avec la plainte 72 h — imposée par la loi LOPMI pour certaines indemnisations

Les pré-requis pour être indemnisé :

• Mesures de sécurité déclarées effectivement en place
• Sauvegardes testées et fonctionnelles
• Procédures internes documentées
• Formation régulière des équipes

📌 Lire sa cyber-assurance à froid, c’est la moitié du travail de gestion de crise déjà fait.

Analyse juridique de votre contrat cyber : ce qu’il couvre vraiment, ce qu’il ne couvre pas, les négociations à rouvrir.

Trois textes structurent désormais le paysage européen de la cybersécurité et entrent simultanément dans leur phase opérationnelle. Quelques repères.

Cyber Resilience Act (CRA)

Règlement (UE) 2024/2847, entré en vigueur le 10 décembre 2024, d’application progressive entre juin 2026 et le 11 décembre 2027. Il régit la cybersécurité des produits comportant des éléments numériques : du logiciel embarqué à l’objet connecté, en passant par les SaaS et les composants matériels.

Ce que cela implique en pratique :

• Apposition du marquage CE conditionnée à la conformité aux exigences essentielles de cybersécurité fixées par le CRA. Sans cette conformité, plus d’accès au marché européen à compter du 11 décembre 2027.
• Obligation de notification dès le 11 septembre 2026 des vulnérabilités activement exploitées et des incidents graves, via la plateforme unique de l’ENISA, avec transmission au CERT-FR.
• Quatre catégories de produits aux exigences graduées (par défaut, importants classes I et II, critiques). Un acte d’exécution de novembre 2025 a précisé les descriptions techniques ; un acte délégué de décembre 2025 a encadré le reporting d’incidents.
• Sanctions jusqu’à 15 M€ ou 2,5 % du chiffre d’affaires mondial. Surveillance assurée en France par l’ANFR, avec l’appui technique de l’ANSSI.

NIS 2

NIS 2 régit, elle, l’organisation, pas le produit. Elle impose à 15 000 à 18 000 entités françaises classées « essentielles » ou « importantes » des obligations de gouvernance, de gestion des risques et de notification d’incidents.

Point d’attention : la France n’a toujours pas adopté sa loi de transposition alors que la plupart des États membres l’ont fait ; la Commission européenne a d’ailleurs envoyé à la France un avis motivé en mai 2025.

Le projet de « Loi Résilience » (qui transpose NIS 2 et la directive REC, et qui adapte le droit français au règlement DORA) a été adopté par le Sénat en mars 2025 et par la commission spéciale de l’Assemblée nationale en septembre 2025. Le vote en hémicycle est attendu courant 2026.

L’ANSSI a parallèlement publié le 17 mars 2026 son Référentiel Cyber France (ReCyF), qui décline les 20 objectifs de sécurité applicables aux entités essentielles (15 pour les entités importantes).

DORA

DORA (Règlement (UE) 2022/2554) régit la résilience opérationnelle du secteur financier et de ses prestataires TIC critiques. Il est en application depuis le 17 janvier 2025 : c’est le seul des trois textes déjà pleinement opérationnel.

En France, l’ACPR a qualifié 2026 d’« année de supervision » : la collecte annuelle des registres d’information (ROI) sur les prestataires TIC a été fixée au 31 mars 2026.

Comment ces textes s’articulent

Une même entreprise peut tomber sous les trois régimes simultanément : éditeur logiciel (CRA), qualifié d’entité importante au sens NIS 2, et prestataire d’une banque (chaîne DORA). Les obligations s’additionnent.

Pour les entités financières concernées à la fois par DORA et NIS 2, DORA prime en tant que lex specialis (article 1.2 DORA) sur la gestion des risques et la notification d’incidents.

L’enjeu pratique : cartographier ses produits, ses activités et sa clientèle pour identifier les textes applicables — et bâtir une conformité cohérente plutôt que trois silos parallèles.

Recevoir une assignation en contrefaçon de brevet est impressionnant, mais ce n’est pas une condamnation. Le défendeur dispose de plusieurs leviers sérieux. Voici les repères essentiels pour réagir avec méthode.

1. Comprendre ce qu’on vous reproche exactement

Une assignation en contrefaçon de brevet allègue que votre produit ou procédé reproduit les revendications d’un brevet appartenant à un tiers. Avant toute chose, il faut distinguer trois questions entièrement distinctes : le brevet adverse est-il valable ? votre produit reproduit-il réellement ses revendications ? et les personnes qui agissent ont-elles qualité pour le faire ? Chacune de ces questions ouvre un axe de défense autonome.

2. La validité du brevet adverse : votre premier levier

Contrairement à une idée reçue, un brevet délivré par l’Office européen des brevets ou l’INPI ne bénéficie que d’une présomption de validité — réfragable. La nullité d’un brevet peut être soulevée en défense à l’action en contrefaçon, et l’action en nullité d’un brevet n’est soumise à aucun délai de prescription depuis la loi PACTE du 22 mai 2019 (art. L. 615-8-1 du Code de la propriété intellectuelle).

Les causes de nullité les plus fréquentes :

• Défaut de nouveauté : l’invention était déjà connue avant la date de dépôt. Une seule antériorité divulguant toutes les caractéristiques essentielles suffit — brevet antérieur, article, vidéo en ligne, produit commercialisé, catalogue.
• Défaut d’activité inventive : la solution revendiquée découlait de manière évidente, pour l’homme du métier, de la combinaison de documents antérieurs.
• Insuffisance de description : la description ne permet pas à l’homme du métier d’exécuter l’invention.
• Extension au-delà du contenu de la demande initiale : le brevet délivré couvre plus que ce qui était décrit au dépôt.

Un argument souvent sous-estimé : l’auto-divulgation. Il arrive que le titulaire du brevet ait lui-même rendu publique son invention — vidéos promotionnelles, salons, articles, catalogues — avant la date de dépôt. Ces auto-divulgations constituent des antériorités opposables en nullité, parfois décisives. Le fait qu’elles émanent du breveté lui-même n’y change rien en droit européen des brevets.

3. L’absence de contrefaçon : votre deuxième levier

Même si le brevet est valable, encore faut-il que votre produit reproduise effectivement toutes les caractéristiques essentielles de la revendication opposée, de manière cumulative. Une seule caractéristique absente ou techniquement différente rompt la contrefaçon littérale.

L’analyse se fait caractéristique par caractéristique. Les termes de la revendication s’interprètent à la lumière de la description et des dessins, ni trop étroitement ni trop largement. Une contrefaçon peut aussi être reconnue par équivalence, lorsque des moyens différents remplissent la même fonction pour le même résultat — un terrain qui se discute techniquement.

4. La qualité à agir des co-demandeurs : un angle mort souvent décisif

Lorsque l’action est engagée non seulement par le titulaire du brevet mais aussi par un ou plusieurs licenciés — sociétés françaises, étrangères, filiales —, leur recevabilité est soumise à des conditions strictes. La qualité à agir d’une société se présentant comme licenciée n’est pas automatique : elle peut fonder une fin de non-recevoir autonome.

5. La procédure d’opposition : un outil à ne pas négliger

Parallèlement à la procédure judiciaire, une opposition peut être engagée devant l’Office européen des brevets dans les neuf mois suivant la délivrance d’un brevet européen. Une procédure d’opposition existe également devant l’INPI pour les brevets français. Ces voies administratives sont moins coûteuses que le contentieux judiciaire et peuvent conduire à la révocation totale ou partielle du brevet.

6. Les demandes indemnitaires : comment les contester

Les sommes réclamées à titre provisionnel sont souvent spectaculaires. Leur contestation s’appuie notamment sur l’absence de contrefaçon ou de validité du titre, sur la disproportion manifeste entre le montant réclamé et le préjudice réel, et sur les exigences de la jurisprudence récente, qui encadre strictement le calcul des dommages et intérêts.

7. La procédure abusive : agir en contre-attaque

Lorsque l’action est manifestement infondée et s’apparente à une manœuvre d’intimidation, une demande reconventionnelle en procédure abusive peut être formée sur le fondement des articles 32-1 du Code de procédure civile et 1240 du Code civil. Elle suppose de démontrer la légèreté blâmable ou la mauvaise foi du demandeur — par exemple lorsqu’il connaissait les antériorités ruinant son brevet avant d’agir.

8. Les 10 réflexes dès réception d’une assignation

• Ne pas céder à la panique : une assignation n’est pas une condamnation.
• Noter immédiatement les délais de procédure et ne pas les laisser courir.
• Réunir tous les documents relatifs au produit ou procédé visé.
• Identifier précisément le brevet opposé et ses revendications.
• Rechercher les antériorités, y compris les divulgations du breveté lui-même.
• Vérifier la qualité à agir de chaque demandeur.
• Conserver les preuves de la conception et de la commercialisation de votre produit.
• Ne communiquer avec la partie adverse que de manière maîtrisée.
• Évaluer l’opportunité d’une procédure d’opposition en parallèle.
• Consulter un avocat sans tarder pour construire la stratégie de défense.

Références. Art. L. 611-11, L. 611-14, L. 613-9, L. 613-25, L. 614-12, L. 615-1, L. 615-2, L. 615-7, L. 615-8-1 du Code de la propriété intellectuelle ; art. 54, 56, 69, 83, 100, 138 de la Convention sur le brevet européen ; art. 32-1 du Code de procédure civile ; art. 1240 du Code civil ; loi PACTE n° 2019-486 du 22 mai 2019.

Voir aussi : Cas client lié · Page Propriété intellectuelle

Le Stanc & Carbonnier — Propriété intellectuelle, droit du numérique et droit des affaires.

Cette fiche présente l’état du droit à des fins d’information générale. Elle ne constitue pas une consultation juridique et ne dispense pas d’une analyse personnalisée.

Réparateur, revendeur, prestataire technique : une entreprise a souvent besoin de nommer la marque d’un tiers pour décrire ce qu’elle fait. Cette mention est-elle une contrefaçon ? La réponse, encadrée par la loi, est généralement négative — sous conditions.

1. Le droit de marque n’est pas un droit absolu

L’enregistrement d’une marque confère à son titulaire un monopole d’exploitation, qui lui permet d’interdire aux tiers l’usage de son signe pour des produits ou services identiques ou similaires, dans des conditions portant atteinte à la fonction de la marque (article L. 713-2 du Code de la propriété intellectuelle). Mais ce monopole connaît des limites légales — dont l’exception dite de référence nécessaire.

2. Ce que dit le texte

L’article L. 713-6, I, 3°, du Code de la propriété intellectuelle, dans sa rédaction issue de l’ordonnance du 13 novembre 2019, prévoit qu’une marque ne permet pas à son titulaire d’interdire à un tiers d’en faire usage, dans la vie des affaires et conformément aux usages loyaux du commerce, pour désigner ou mentionner des produits ou services comme étant ceux du titulaire — en particulier lorsque cet usage est nécessaire pour indiquer la destination d’un produit, notamment en tant qu’accessoire ou pièce détachée.

La règle française transpose l’article 14 du règlement (UE) 2017/1001 et l’article 14 de la directive (UE) 2015/2436. Elle s’applique aux marques françaises comme aux marques de l’Union européenne. Il ne s’agit pas d’une tolérance, mais d’une limite intrinsèque du droit de marque.

3. Les deux conditions à réunir

Condition n° 1 — la nécessité. L’usage doit être nécessaire pour indiquer la destination du produit ou service. La Cour de justice de l’Union européenne, dans son arrêt Gillette du 17 mars 2005 (C-228/03), a précisé que l’usage est nécessaire lorsqu’il constitue en pratique le seul moyen de fournir au public une information compréhensible et complète.

Condition n° 2 — la loyauté. L’usage doit rester conforme aux usages honnêtes en matière industrielle et commerciale. La condition n’est pas remplie, notamment, lorsque l’usage suggère un lien commercial avec le titulaire, tire indûment profit de la notoriété de la marque, la dénigre, ou présente le produit comme une imitation.

4. L’apport de la jurisprudence récente

Par un arrêt du 15 mai 2024 (Cass. com., n° 22-17.813, publié au Bulletin), la Cour de cassation a censuré une décision ayant prononcé une interdiction générale d’usage d’une marque par un fabricant de pièces de rechange. L’enseignement est double : une interdiction générale et absolue, prononcée sans examen concret des conditions de nécessité et de loyauté, est contraire au droit ; et l’exception ne se limite pas aux seules pièces détachées.

5. Situations concrètes où la question se pose

• Les réparateurs et services après-vente qui indiquent les marques d’appareils pris en charge.
• Les fabricants et distributeurs de pièces, consommables et accessoires compatibles.
• Les prestataires de services techniques désignant la technologie sur laquelle ils interviennent.
• Les revendeurs et intégrateurs mentionnant les marques des produits commercialisés.
• Les entreprises présentant leurs références et les projets sur lesquels elles sont intervenues.

6. Bonnes pratiques pour sécuriser votre communication

• Limiter l’usage au strict nécessaire, sans multiplier la marque au-delà du besoin d’information.
• Conserver votre propre identité — dénomination et logo —, sans suggérer de lien officiel.
• Indiquer clairement l’absence d’affiliation avec le titulaire de la marque.
• Rester factuel et neutre, sans propos dénigrant ni présentation en imitation.
• Documenter la nécessité : cahiers des charges, appels d’offres, usages du secteur.
• Vérifier l’état réel des droits invoqués : déchéance, non-renouvellement, changement de titulaire.

7. Ce qu’il faut retenir

Mentionner la marque d’un tiers n’est pas en soi une contrefaçon : le droit l’autorise lorsque l’usage est nécessaire pour indiquer la destination d’un produit ou service et qu’il demeure loyal. Tout se joue dans la mesure et la présentation. Chaque situation reste un cas d’espèce : une analyse préalable, en amont d’une campagne ou en réponse à une mise en demeure, permet d’arbitrer en connaissance de cause.

Références. Art. L. 713-2 et L. 713-6, I, 3° du Code de la propriété intellectuelle ; règlement (UE) 2017/1001 et directive (UE) 2015/2436, art. 14 ; CJUE, 17 mars 2005, C-228/03, Gillette ; Cass. com., 15 mai 2024, n° 22-17.813.

Voir aussi : Cas client lié · Page Propriété intellectuelle

Le Stanc & Carbonnier — Propriété intellectuelle, droit du numérique et droit des affaires.

Cette fiche présente l’état du droit à des fins d’information générale. Elle ne constitue pas une consultation juridique et ne dispense pas d’une analyse personnalisée.

Votre contrat de franchise arrive à terme et le franchiseur vous adresse une nouvelle version, présentée comme une simple reconduction. C’est en réalité le seul moment où le franchisé dispose d’un vrai pouvoir de négociation. Voici les six points sur lesquels se concentrer.

1. L’exclusivité territoriale et ses exceptions

L’exclusivité territoriale est le cœur économique de la franchise. Mais elle est presque toujours assortie d’exceptions — gares, aéroports, centres commerciaux, zones d’aménagement concerté — où le franchiseur reste libre d’implanter un autre établissement. Une exception rédigée largement peut vider l’exclusivité de sa substance. Chaque exception doit être discutée au regard de l’implantation réelle de votre fonds.

2. La clause de garantie : caution, nantissement, sûretés

Les réseaux demandent de plus en plus une garantie du paiement des redevances : caution personnelle du dirigeant, ou nantissement du fonds de commerce (articles L. 142-1 et suivants du Code de commerce). Trois points doivent être verrouillés : le montant plafonné de la garantie, l’assiette précise des sommes garanties, et les conditions de mainlevée — notamment en cas de revente du fonds et à l’expiration du contrat.

3. L’agrément du repreneur en cas de revente

Le contrat soumet généralement la revente à l’agrément du franchiseur. Un droit d’agrément discrétionnaire fragilise la valeur de revente du fonds. La bonne pratique : négocier un agrément à motifs limitativement énumérés et objectifs — capacité financière du repreneur, absence d’antécédents de défaillance, engagement de signer le contrat en vigueur. Tout refus doit être motivé, et le silence prolongé doit valoir acceptation.

4. Non-concurrence ou non-affiliation après le contrat ?

À la fin du contrat, le franchisé est souvent tenu par une clause post-contractuelle. La clause de non-concurrence interdit purement et simplement d’exercer une activité similaire, y compris en indépendant. La clause de non-affiliation, plus mesurée, interdit seulement de rejoindre un réseau concurrent.

L’article L. 341-2 du Code de commerce, issu de la loi du 6 août 2015, encadre strictement ces clauses : pour être valables, elles doivent réunir quatre conditions cumulatives — porter sur des biens ou services en concurrence avec ceux du contrat, être limitées aux locaux d’exploitation, être indispensables à la protection du savoir-faire transmis, et ne pas excéder un an après la fin du contrat. La Cour de cassation a jugé que ces conditions s’appliquent aussi aux franchises de services (Cass. com., 5 juin 2024, n° 23-15.741). Toute clause excédant ces limites est réputée non écrite.

5. Les seuils financiers et conditions chiffrées

Apport minimum d’un repreneur, redevance mensuelle minimale, droits d’entrée, plancher de chiffre d’affaires : un contrat de franchise est parsemé de seuils chiffrés, qui pèsent directement sur la rentabilité et la valeur de revente. Ces montants ne sont pas intangibles : ils se négocient, chiffre par chiffre, en cohérence avec la réalité économique de l’établissement.

6. La cohérence entre tous les documents signés

Un renouvellement s’accompagne souvent d’actes annexes : engagement des dirigeants, acte de caution, conditions particulières, annexes cartographiques. Ces documents doivent être lus ensemble. Une incohérence fréquente — un délai d’agrément différent du contrat à l’annexe, une définition du « contrôle » qui varie — est une source de litige. La vérification de cohérence de l’ensemble contractuel est un réflexe indispensable avant signature.

À retenir

Le renouvellement d’un contrat de franchise est une véritable renégociation, pas une formalité. Exclusivité, garanties, agrément du repreneur, clause post-contractuelle, seuils financiers, cohérence des annexes : chacun de ces points a un effet concret sur la rentabilité et la valeur de revente du fonds. Le franchisé n’est jamais aussi bien placé pour négocier qu’au moment du renouvellement.

Références. Art. L. 142-1 et suivants, L. 330-3 et L. 341-2 du Code de commerce ; loi n° 2015-990 du 6 août 2015 ; Cass. com., 5 juin 2024, n° 23-15.741.

Voir aussi : Page Affaires & contrats

Le Stanc & Carbonnier — Propriété intellectuelle, droit du numérique et droit des affaires.

Cette fiche présente l’état du droit à des fins d’information générale. Elle ne constitue pas une consultation juridique et ne dispense pas d’une analyse personnalisée.

Vous commandez ou vous développez une application, un logiciel de gestion, un module sur mesure. Les délais glissent, le périmètre bouge, la relation se tend. Ce type de litige est l’un des plus fréquents en matière de contrats informatiques — et l’un des plus évitables.

1. Identifier le bon régime juridique : le statut du client change tout

Avant de discuter du retard, une question commande l’analyse : à quel titre le client a-t-il contracté ? L’article liminaire du Code de la consommation distingue le consommateur, le professionnel et le non-professionnel. Cette qualification détermine le corps de règles applicable.

Si le client est un consommateur, il bénéficie des dispositions protectrices du Code de la consommation (articles L. 216-1 et suivants). S’il a contracté pour une activité professionnelle, même en cours de constitution, le litige relève du droit commun des contrats. Un projet présenté comme « personnel » peut révéler une finalité professionnelle — application destinée à être commercialisée, noms de domaine dédiés, annonce d’un lancement d’activité.

2. Le délai : le rédiger précisément et anticiper ses causes de glissement

• Éviter le délai imprécis : une fourchette ou un délai « à compter du début du projet » ouvre la porte à l’interprétation. Préférer une date ferme ou un point de départ et une durée sans ambiguïté.
• Prévoir une clause de glissement : le délai doit être prolongé d’autant en cas de retard imputable au client — réponse tardive, validation différée, modification de périmètre.
• Ne pas confondre date indicative et date ferme : avec un consommateur, une clause privant toute date de caractère contraignant est fragile et peut être jugée abusive.

3. La conformité : définir le « livré » et le « conforme »

Pour un logiciel, livrer ne se résume pas à annoncer que le produit est terminé. Le contrat doit préciser le support, les modalités de mise à disposition, et ce qui accompagne la livraison : code, documentation, accès, formation.

La conformité s’apprécie par rapport au cahier des charges — encore faut-il qu’il soit précis, daté, annexé au contrat, et que les versions fassent l’objet d’une validation écrite. Attention : le règlement, sans réserve, d’une échéance liée à une étape peut être interprété comme une acceptation de cette version. Émettre des réserves écrites préserve les droits de celui qui conteste.

4. Modifications en cours de route : tracer tout changement de périmètre

Les projets logiciels évoluent — c’est la principale cause de dérive des délais et des coûts. Règle de prudence : toute modification du périmètre par rapport au cahier des charges initial doit être formalisée par écrit, dans son principe et dans son prix. Un avenant, un devis accepté, un échange de courriels validant le changement. Cet écrit protège les deux parties.

5. L’obligation de collaboration du client : une obligation réelle

La bonne exécution d’un contrat informatique suppose la participation active du client : exprimer clairement ses besoins, fournir en temps utile informations, accès et validations, effectuer les tests prévus. Si le retard résulte d’un manquement du client à ce devoir, le prestataire peut s’en prévaloir. À l’inverse, le prestataire reste tenu d’un devoir d’information et de conseil : il doit alerter par écrit sur tout fait de nature à retarder le projet.

6. Sortie de crise : exception d’inexécution ou refus de livrer ?

Le droit autorise une partie à suspendre sa propre obligation tant que l’autre n’exécute pas la sienne — l’exception d’inexécution, prévue aux articles 1219 et 1220 du Code civil. Mais entre exercer cette exception et refuser purement et simplement de livrer, la frontière est étroite et se joue dans les mots. Une lettre rédigée comme un ultimatum peut être retournée contre son auteur. Avant d’écrire ce type de courrier, mieux vaut le faire relire.

7. La cession des droits : payer ne rend pas propriétaire

En droit français, le paiement d’une prestation de développement n’emporte pas, à lui seul, transfert de la propriété du code. Pour que le client devienne titulaire des droits, le contrat doit contenir une clause de cession conforme à l’article L. 131-3 du Code de la propriété intellectuelle : chaque droit cédé fait l’objet d’une mention distincte, et le domaine d’exploitation doit être délimité quant à son étendue, sa destination, son lieu et sa durée. Une clause générale « le client est propriétaire de tout » est insuffisante.

En résumé

Un litige sur un contrat de développement logiciel se prépare à froid, dès la rédaction du contrat, et se gagne souvent grâce aux écrits accumulés pendant l’exécution. Quelques heures d’anticipation juridique évitent des mois de procédure.

Références. Article liminaire et art. L. 216-1 et suivants du Code de la consommation ; art. 1219 et 1220 du Code civil ; art. L. 131-3 du Code de la propriété intellectuelle.

Voir aussi : Cas client lié · Page Numérique & données

Le Stanc & Carbonnier — Propriété intellectuelle, droit du numérique et droit des affaires.

Cette fiche présente l’état du droit à des fins d’information générale. Elle ne constitue pas une consultation juridique et ne dispense pas d’une analyse personnalisée.

Vous faites réaliser une fresque, un décor peint, une enseigne illustrée pour votre établissement. Vous signez un devis, vous réglez la facture — et vous pensez être pleinement propriétaire de l’œuvre. C’est l’erreur la plus répandue.

1. Payer la prestation ne transfère pas les droits d’auteur

Dès qu’une création présente une dimension artistique originale, elle est protégée par le droit d’auteur, sans formalité. L’article L. 111-1 du Code de la propriété intellectuelle pose que l’auteur jouit sur son œuvre d’un droit de propriété incorporelle exclusif, et précise que la conclusion d’un contrat de commande n’emporte pas dérogation à ce droit. Conséquence : sans clause de cession écrite, le prestataire reste titulaire des droits patrimoniaux, même après paiement intégral. Vous êtes propriétaire du support — le mur, le panneau — mais pas de l’œuvre.

2. La cession de droits : un acte écrit, précis, à part entière

Pour exploiter librement la création — la reproduire, la photographier pour vos réseaux, la décliner —, vous avez besoin d’une clause de cession rigoureuse. L’article L. 131-3 du Code de la propriété intellectuelle exige que chaque droit cédé fasse l’objet d’une mention distincte et que le domaine d’exploitation soit délimité quant à son étendue, sa destination, son lieu et sa durée.

Ce qu’une cession utile doit préciser :

• Les droits cédés : reproduction, représentation, adaptation, modification, et le cas échéant commercialisation.
• La destination : vitrine de l’établissement, site internet, réseaux sociaux, supports publicitaires, presse.
• Le territoire : exploitation locale, nationale ou mondiale.
• La durée : déterminée, ou durée légale de protection des droits d’auteur.
• La rémunération de la cession, distincte du prix de la prestation et identifiable.

3. Le droit moral : ce que vous ne pourrez jamais acquérir

À côté des droits patrimoniaux existe le droit moral de l’auteur. L’article L. 121-1 du Code de la propriété intellectuelle énonce que ce droit, attaché à la personne de l’auteur, est perpétuel, inaliénable et imprescriptible. Concrètement, même titulaire d’une cession patrimoniale parfaite, vous ne pouvez pas dénaturer l’œuvre : la modifier, la repeindre, la transformer sans l’accord de son auteur. La jurisprudence l’a rappelé fermement, y compris pour des œuvres installées dans l’espace public.

4. Le devis et l’acompte : un engagement ferme des deux côtés

Un devis signé et un acompte versé forment un contrat ferme : les engagements tiennent lieu de loi entre les parties (article 1103 du Code civil) et doivent être exécutés de bonne foi (article 1104). Cela vaut pour le prestataire comme pour le client. Une insatisfaction qui n’apparaît qu’après la livraison, et surtout après les premières demandes de paiement, est juridiquement fragile : celui qui invoque une prestation non conforme doit en rapporter la preuve (article 1353 du Code civil).

5. Les sept réflexes avant de commander une création

• Exiger un devis écrit détaillé : objet, étapes, délais, prix, conditions de validation et de réception.
• Intégrer une clause de cession de droits conforme à l’article L. 131-3 du Code de la propriété intellectuelle.
• Vérifier les conditions générales du prestataire : certaines prévoient qu’il conserve tous ses droits.
• Lister précisément tous les usages prévus de la création, sans en oublier.
• Anticiper par écrit l’avenir de l’œuvre : modification, restauration, déplacement, retrait.
• Formaliser les validations d’étapes et la réception, par un écrit daté.
• Conserver toutes les traces : devis signé, échanges écrits, photographies, justificatifs.

Références. Art. L. 111-1, L. 121-1, L. 131-1 et L. 131-3 du Code de la propriété intellectuelle ; art. 1103, 1104 et 1353 du Code civil.

Voir aussi : Cas client lié · Page Propriété intellectuelle

Le Stanc & Carbonnier — Propriété intellectuelle, droit du numérique et droit des affaires.

Cette fiche présente l’état du droit à des fins d’information générale. Elle ne constitue pas une consultation juridique et ne dispense pas d’une analyse personnalisée.

Rejoindre un projet collaboratif de recherche et développement suppose presque toujours de signer un accord de consortium. Souvent transmis tardivement et perçu comme une formalité, ce contrat fixe pourtant, pour des années, qui détient les résultats du projet et qui peut les exploiter.

1. Ce qu’est un accord de consortium, et pourquoi il vous engage durablement

L’accord de consortium est le contrat conclu entre tous les partenaires d’un projet collaboratif — entreprises, organismes de recherche, universités. Il organise leur coopération et, surtout, la propriété et l’exploitation des résultats. Ses clauses de propriété intellectuelle produisent leurs effets pendant toute la durée de vie des titres concernés — jusqu’à vingt ans pour un brevet. Le modèle-type diffusé n’est qu’un point de départ : la version signée résulte de la négociation entre partenaires.

2. Distinguer ce qui vous appartient déjà de ce que le projet va produire

L’accord repose sur une distinction fondamentale. Les connaissances antérieures sont ce que chaque partenaire apporte — savoir-faire, logiciels, brevets préexistants — et restent sa propriété. Les résultats du projet sont ce qui est créé pendant son exécution. Point pratique : l’annexe qui recense vos connaissances propres est un document clé. Tout ce qui n’y figure pas risque d’être traité comme un résultat du projet. Recensez et décrivez précisément vos apports avant de signer.

3. La copropriété des résultats : un régime à organiser, pas à subir

Lorsque plusieurs partenaires créent ensemble un résultat protégeable, ils en deviennent copropriétaires. Pour les brevets, le Code de la propriété intellectuelle organise un régime aux articles L. 613-29 à L. 613-32 : chaque copropriétaire peut exploiter l’invention, à charge d’indemniser ceux qui ne l’exploitent pas ; il peut concéder seul une licence non exclusive, mais une licence exclusive requiert l’accord de tous.

Ce régime légal est supplétif : il ne s’applique qu’à défaut de stipulations contraires. Un accord qui se borne à renvoyer le partage à un règlement de copropriété futur laisse l’entreprise dans l’incertitude. Les principes essentiels — qui exploite, qui décide, qui perçoit — doivent être négociés dès l’accord de consortium.

4. Les frais de propriété intellectuelle : qui paie, et jusqu’à quand

Le dépôt des brevets, leur extension à l’étranger et leur maintien représentent des coûts significatifs, étalés sur des années. Une clause fréquente fait porter ces frais à l’entreprise industrielle. Plusieurs aménagements se négocient : une répartition au prorata des quotes-parts, ou un mécanisme d’avance remboursable par prélèvement prioritaire sur les revenus. Dans ce dernier cas, prévoir une clause de sécurité si les revenus s’avèrent insuffisants.

5. Le champ d’exploitation : délimiter votre exclusivité à votre mesure

De nombreux accords réservent à l’entreprise une exclusivité d’exploitation dans un champ déterminé. L’erreur classique consiste à revendiquer le champ le plus large possible : une exclusivité étendue s’accompagne presque toujours d’une obligation d’exploiter tout aussi étendue. La bonne méthode : définir le champ par destination d’usage, calé sur la capacité réelle de l’entreprise. Un champ laissé indéfini doit être traité comme un point bloquant.

6. L’obligation d’exploiter et la rémunération

Vérifiez la nature de l’engagement d’exploitation : une obligation de résultat expose au manquement dès que la commercialisation échoue. Mieux vaut une obligation de moyens. Vérifiez la rémunération : une clause renvoyant le montant à un accord ultérieur, sans formule, expose à un blocage. Le droit exige que la prestation soit déterminée ou déterminable sans nouvel accord (article 1163 du Code civil) : prévoir une fourchette ou la désignation d’un tiers évaluateur.

7. Publications, sortie du projet et changement de contrôle

Les partenaires académiques ont vocation à publier — or une publication prématurée détruit la brevetabilité. L’accord doit prévoir une information préalable et une faculté de différer la publication le temps des dépôts. Examinez aussi les clauses de résiliation : dans certains accords, un changement de contrôle de l’entreprise, après un rachat ou une levée de fonds, autorise les autres partenaires à l’exclure. Pour une société en croissance, ce risque est majeur et doit être encadré.

Avant de signer : les points de vigilance

• L’accord a-t-il été transmis assez tôt pour être réellement négocié ?
• Vos connaissances propres sont-elles recensées précisément dans l’annexe dédiée ?
• Le régime de copropriété est-il organisé dès l’accord, ou renvoyé à un règlement futur incertain ?
• La répartition des frais de propriété intellectuelle est-elle équilibrée au regard de votre financement ?
• Le champ d’exploitation réservé correspond-il à ce que vous pouvez réellement exploiter ?
• L’obligation d’exploiter est-elle une obligation de moyens, et non de résultat ?
• La rémunération est-elle déterminée ou déterminable, sans renvoi à un accord ultérieur ?
• Un changement de contrôle de votre société peut-il déclencher votre exclusion ?

Références. Art. L. 113-3, L. 613-29 à L. 613-32 du Code de la propriété intellectuelle ; art. 1163 du Code civil ; art. L. 533-1 du Code de la recherche et décret n° 2020-24 du 13 janvier 2020.

Voir aussi : Cas client lié · Page Propriété intellectuelle

Le Stanc & Carbonnier — Propriété intellectuelle, droit du numérique et droit des affaires.

Cette fiche présente l’état du droit à des fins d’information générale. Elle ne constitue pas une consultation juridique et ne dispense pas d’une analyse personnalisée.

Par Bruno Carbonnier, avocat associé.

Le contrat de licence de brevet paraît simple : le titulaire autorise l’exploitation de son invention, le licencié verse une redevance.

Deux questions resurgissent pourtant dès que la relation se distend. Jusqu’où s’étend la redevance, à la seule technologie concédée ou à tout ce qui s’en approche ? Et jusqu’à quand est-elle due, au gré de l’usage ou aussi longtemps que vit le brevet ? Le concédant penche pour l’assiette large et la durée longue ; le licencié, pour le strict périmètre de ce qu’il exploite. Le droit, sur ces deux terrains, n’est pas avare de repères.

L’assiette de la redevance

Commençons par l’assiette. La redevance rémunère une autorisation d’exploiter une solution technique déterminée, celle que le contrat définit et que le brevet protège ; elle n’a pas vocation à frapper, par contagion, des produits qui n’en font pas usage. Lorsque la stipulation rattache expressément la redevance à l’emploi de la technologie concédée, l’étendre à des solutions développées indépendamment revient à lui faire dire ce qu’elle ne dit pas : le juge ne réécrit pas une clause claire (article 1192 du code civil). Et si le sens se discute, c’est la commune intention des parties qui tranche, telle qu’elle ressort de leurs négociations et de leur comportement (article 1188). Le refus, par le licencié, d’un avenant qui aurait précisément élargi cette assiette pèse alors lourd : on n’ajoute pas à un contrat ce qu’il était censé déjà contenir.

La durée : jusqu’où courir ?

Reste la durée. Il arrive qu’un concédant réclame des redevances détachées de tout usage, prolongées jusqu’au terme du brevet, voire maintenues après son annulation. Le droit de l’Union ne l’interdit pas, mais à une condition décisive. Dès 1989, la Cour de justice a jugé qu’une redevance survivant au brevet échappe au reproche d’entrave à la concurrence pourvu que le licencié reste libre de résilier moyennant un préavis raisonnable (CJCE, 12 mai 1989, Ottung, C-320/87). L’arrêt Genentech a confirmé et étendu la solution : la redevance peut être due pendant toute la durée de l’accord, même en cas d’annulation ou de non-contrefaçon du brevet, dès lors, encore, que le licencié pouvait librement en sortir (CJUE, 7 juillet 2016, C-567/14). La proposition se retourne aisément. Une obligation élargie, imposée jusqu’au terme du brevet et privant le licencié de toute faculté de départ, perd ce fondement et glisse vers la restriction prohibée par l’article 101 du Traité. La clause de non-restitution des redevances versées, fréquente, ne se conçoit elle-même que pour un licencié resté libre de partir. Le cadre d’exemption des accords de transfert de technologie le confirme, qui range la clause interdisant au licencié de contester le brevet parmi les restrictions exclues (règlement (UE) n° 316/2014, article 5, expiré le 30 avril 2026 et remplacé, depuis le 1er mai 2026, par le règlement révisé adopté le 16 avril 2026, lequel maintient cette qualification).

L’annulation du brevet en cours de licence

L’annulation du brevet en cours de licence mérite une halte. Rétroactive et dotée d’un effet absolu (article L. 613-27 du code de la propriété intellectuelle), elle prive la licence de son objet et tarit les redevances futures. Le sort des sommes déjà versées est plus nuancé. La Cour de cassation refuse la restitution automatique : tant que le licencié a tiré du contrat une jouissance effective, monopole de fait ou exclusivité utile, les redevances passées lui restent acquises au concédant (Cass. com., 28 janvier 2003, n° 00-12.149). La cour d’appel de Paris a récemment éclairé l’envers de cette règle : faute pour le concédant d’établir un avantage réellement retiré par le licencié, les redevances échues elles-mêmes ne sont pas dues (CA Paris, 29 octobre 2025, n° 23/18018). Les deux analyses ne se contredisent pas : le droit de la concurrence juge la licéité de la clause, le droit des contrats en règle les effets restitutoires à la mesure de la jouissance reçue.

La survie post-contractuelle

La survie post-contractuelle, ensuite, ne se présume pas. Lorsque le contrat énumère les stipulations qui demeurent après la résiliation, cette liste s’interprète strictement : ce qui a été désigné survit, le reste s’éteint. On ne transforme pas une clause de survie limitée, attachée à un objet précis, en une obligation générale couvrant tous les projets futurs du licencié. La force obligatoire joue dans les deux sens : elle maintient ce qui fut stipulé et interdit d’y rien ajouter.

Ce qu’il faut retenir

La redevance de licence n’est donc ni sans rivage ni sans terme. Son assiette est celle que les parties ont dessinée et que la technologie concédée délimite ; sa durée se mesure à l’usage, le maintien d’une obligation qui s’en détache restant suspendu à la liberté du licencié de se retirer. Entre l’élargissement réclamé et le cantonnement revendiqué, c’est le contrat, lu à la lumière de l’intention commune et sous le regard du droit de la concurrence, qui trace la ligne.

Références. Articles 1188 et 1192 du Code civil ; article L. 613-27 du Code de la propriété intellectuelle ; article 101 du TFUE ; règlement (UE) n° 316/2014 et règlement révisé adopté le 16 avril 2026 ; CJCE, 12 mai 1989, Ottung, C-320/87 ; CJUE, 7 juillet 2016, Genentech, C-567/14 ; Cass. com., 28 janvier 2003, n° 00-12.149 ; CA Paris, 29 octobre 2025, n° 23/18018.

Voir aussi : Page Propriété intellectuelle

Par Bruno Carbonnier, avocat associé — Le Stanc & Carbonnier — Propriété intellectuelle, droit du numérique et droit des affaires.

Cette fiche présente l’état du droit à des fins d’information générale. Elle ne constitue pas une consultation juridique et ne dispense pas d’une analyse personnalisée.