Le Data Act se lit comme un règlement sur les produits connectés et les données industrielles, et l'essentiel de son texte l'est. Mais un de ses chapitres concerne toute entreprise qui héberge du logiciel pour des clients, et ce chapitre s'applique depuis le 12 septembre 2025 sans transition, sans seuil de taille et sans enregistrement. Une entreprise qui vend du SaaS est un fournisseur de service de traitement de données au sens de l'article 2, point 8, qui couvre l'infrastructure, les plateformes et les applications fournies par le réseau à partir de ressources partagées et extensibles, et le chapitre VI lui fait supprimer tout obstacle au départ d'un client. Cet article lit le chapitre VI pour une entreprise SaaS, clause par clause, puis les frais et les obligations techniques, puis le chapitre II pour une entreprise dont le produit est un produit connecté ou un service connexe ; les 96 lignes du règlement qui lient un détenteur de données, un utilisateur, un tiers, un fournisseur de services de traitement de données, un fabricant ou un vendeur de contrats intelligents sont un jeu de données en six langues, chaque ligne avec son article.

Qui vous êtes à ce titre, et pourquoi la taille n'aide pas

Le chapitre VI nomme deux parties : le fournisseur de services de traitement de données et son client. Le fournisseur est toute entreprise qui offre un service donnant un accès réseau à la demande à un réservoir partagé de ressources informatiques, et le règlement nomme les trois modèles de fourniture dans ses considérants : infrastructure, plateforme et logiciel. Une entreprise SaaS est un fournisseur de service de traitement de données, et le cloud sur lequel elle tourne l'est aussi, chacun envers ses propres clients. Le chapitre II, celui des produits connectés, a l'exemption de l'article 7, paragraphe 1, pour les microentreprises et les petites entreprises ; le chapitre VI n'en a aucune, seulement la dérogation de l'article 31 pour les services construits sur mesure pour un client et non offerts à grande échelle, et pour les versions hors production servant aux essais, et même là l'article 31, paragraphe 3, oblige le fournisseur à dire au client potentiel quelles obligations ne s'appliquent pas. Une entreprise qui héberge un produit pour de nombreux clients porte le chapitre VI en entier, quel que soit son effectif.

Les neuf clauses contractuelles de l'article 25, paragraphe 2

L'article 25, paragraphe 1, veut les droits de changement du client et les obligations du fournisseur dans un contrat écrit, disponible avant la signature sous une forme que le client peut stocker et reproduire. L'article 25, paragraphe 2, liste ce qu'il doit contenir, et la liste est la check-list. Un : une clause permettant au client de changer de fournisseur ou de tout porter vers une infrastructure sur site dans une période de transition d'au plus 30 jours civils, pendant laquelle le fournisseur assiste, maintient le service, nomme les risques connus pour la continuité et garde les données en sécurité. Deux : une obligation de soutenir la stratégie de sortie du client avec toutes les informations pertinentes. Trois : une clause sur le moment où le contrat est réputé résilié, au terme du changement réussi ou à la fin du préavis lorsque le client ne veut que l'effacement. Quatre : un préavis maximal pour lancer le changement qui ne dépasse pas deux mois. Cinq : une spécification exhaustive des catégories de données et d'actifs numériques qui peuvent être portés, au minimum toutes les données exportables. Six : une spécification exhaustive des données propres au fonctionnement interne du fournisseur qui sont exemptées lorsque des secrets d'affaires sont en jeu, sans entraver le changement. Sept : une période de récupération d'au moins 30 jours civils après la période de transition. Huit : une garantie d'effacement complet des données et actifs exportables du client après la période de récupération, une fois le changement réussi. Neuf : les frais de changement, dans les limites de l'article 29. L'article 25, paragraphe 3, ajoute la notification par le client de ce qu'il fera à la fin du préavis, l'article 25, paragraphe 4, l'obligation du fournisseur de dire dans les 14 jours ouvrables que la période de transition est techniquement infaisable et de proposer une alternative d'au plus sept mois, et l'article 25, paragraphe 5, le droit du client de prolonger une fois la période de transition.

Informations, frais et la date à laquelle les frais s'arrêtent

L'article 26 fait donner au client les procédures de changement et de portage, les méthodes, les formats et les limites connues, et une référence à un registre en ligne hébergé par le fournisseur avec les structures de données, les formats, les normes et les spécifications ouvertes dans lesquels les données exportables sont disponibles ; l'article 30, paragraphe 4, fait tenir ce registre à jour. L'article 28 place deux choses sur le site web : la juridiction dont relève l'infrastructure derrière chaque service, et une description générale des mesures techniques, organisationnelles et contractuelles contre un accès gouvernemental depuis l'extérieur de l'Union qui entrerait en conflit avec le droit de l'Union ou d'un État membre, le site web étant nommé dans chaque contrat. L'article 27 demande à toutes les parties, fournisseur de destination compris, de coopérer de bonne foi. L'article 29 est l'argent : du 11 janvier 2024 au 12 janvier 2027, un fournisseur peut facturer des frais de changement réduits, pas plus que les coûts directement liés au changement, et à partir du 12 janvier 2027 aucun ; avant le contrat, le client potentiel est informé des tarifs standard, des pénalités de résiliation anticipée et des frais de changement réduits, et lorsque le changement est très complexe ou impossible sans interférence significative, il en est informé aussi, dans une section dédiée du site web.

Les obligations techniques, selon le type de service

L'article 30 sépare les fournisseurs en deux. Les services d'infrastructure, les ressources de calcul, de stockage et de réseau extensibles sur lesquelles le client fait tourner son propre logiciel, doivent au titre de l'article 30, paragraphe 1, toutes les mesures raisonnables pour que le client atteigne l'équivalence fonctionnelle sur le service de destination, avec des capacités, de la documentation, du support et des outils. Tout autre service, SaaS compris, doit au titre de l'article 30, paragraphe 2, des interfaces ouvertes disponibles pour tous les clients et fournisseurs de destination sans frais, avec assez d'informations pour écrire un logiciel qui dialogue avec le service à des fins de portabilité et d'interopérabilité, et au titre de l'article 30, paragraphe 3, la compatibilité avec les spécifications communes ou les normes harmonisées d'interopérabilité au plus tard 12 mois après la publication de leurs références dans le répertoire central de l'Union ; tant que ces références n'existent pas, l'article 30, paragraphe 5, fait exporter par le fournisseur, sur demande, toutes les données exportables dans un format structuré, couramment utilisé et lisible par machine. L'article 34 applique les mêmes règles lorsqu'un client utilise deux services en parallèle, avec des frais de sortie limités aux coûts de sortie. Les articles 33 et 36 ajoutent des exigences essentielles pour les participants qui offrent des données dans des espaces de données et pour les vendeurs de contrats intelligents exécutant des accords de partage de données, ces derniers avec une évaluation de la conformité et une déclaration UE de conformité.

Le côté du détenteur de données, et quoi en faire

Une entreprise dont le produit est un produit connecté, ou un service connexe qui fait faire à ce produit ce qu'il fait, est aussi un détenteur de données au titre du chapitre II. L'article 3, paragraphe 1, veut le produit et le service conçus pour que leurs données, avec les métadonnées nécessaires pour les lire, soient accessibles à l'utilisateur par défaut, facilement, en sécurité, sans frais, dans un format structuré et lisible par machine et directement lorsque c'est faisable, pour les produits et services mis sur le marché après le 12 septembre 2026 ; l'article 4, paragraphe 1, rend les données facilement disponibles accessibles à l'utilisateur sur demande, l'article 5, paragraphe 1, les met à la disposition d'un tiers que l'utilisateur désigne, et l'article 6, paragraphe 2, liste huit choses que ce tiers ne peut pas en faire, du profilage à la construction d'un produit concurrent. Le chapitre III ajoute des conditions équitables, raisonnables et non discriminatoires au titre de l'article 8 et une compensation raisonnable au titre de l'article 9 partout où les données doivent être mises à disposition en vertu du droit de l'Union. Quoi en faire : mettre les neuf clauses dans le modèle de contrat, publier les procédures, le registre et la mention de l'article 28, facturer le changement au coût avec le 12 janvier 2027 dans la feuille de route, ouvrir les interfaces et, si vous construisez des produits connectés, concevoir la prochaine version pour remettre ses données à l'utilisateur. Les lignes se placent à côté des clauses contractuelles DORA qu'un client financier demandera de toute façon, des obligations RGPD qui régissent toute donnée à caractère personnel dans l'ensemble exporté, et du Cyber Resilience Act qui atteint le même produit connecté par le côté sécurité ; StandardOS tient chaque ligne du catalogue comme une position avec un responsable et une preuve, comme il tient les autres cadres.