Contrat de sous-traitance paie : les 12 clauses clés

Le prix se négocie en une réunion, le contrat se lit en trente minutes, et c’est lui qui décide de ce qui se passera dans dix-huit mois. Voici les douze clauses d’un contrat de sous-traitance de paie, ce que chacune doit dire, les trois sur lesquelles la négociation se tend, et le volet RGPD que personne ne peut ignorer.

Ce que le contrat doit trancher avant la première paie

Un contrat de sous-traitance de paie ne sert pas à prévoir le litige, il sert à éviter les trois conversations pénibles qui arrivent toujours : celle du bulletin en retard, celle du client démarché, et celle du jour où l’on veut partir. Ces trois sujets se règlent en amont, en quelques lignes, ou ils se règlent mal.

Un point de vocabulaire utile : au sens du RGPD, le sous-traitant est celui qui traite les données pour le compte du responsable de traitement. Dans une sous-traitance de paie pour cabinet, le client final est responsable de traitement, votre cabinet et le prestataire interviennent dans une chaîne qu’il faut décrire explicitement. La CNIL en précise le cadre.

Les 12 clauses

Clause	Risque couvert	Ce qu’elle doit dire
Périmètre	Le flou sur ce qui est inclus	Liste des prestations incluses et exclues, dossier par dossier ou par catégorie
Délais de production	Le bulletin en retard	Nombre de jours ouvrés entre réception des variables et mise à disposition
Pénalités	L’engagement sans contrepartie	Mécanisme chiffré, plafonné, déclenché sur constat écrit
Non-démarchage	La perte du client	Interdiction de démarcher clients et collaborateurs, durée et sanction
Confidentialité	La fuite d’information	Portée, durée au-delà du contrat, personnes couvertes
Propriété du paramétrage	La dépendance technique	Le paramétrage et sa documentation appartiennent au cabinet
Responsabilité et assurance	L’erreur coûteuse	Attestation RC professionnelle, plafond, franchise, procédure de réclamation
Réversibilité	La sortie impossible	Délai, format des données restituées, accompagnement de la reprise
Tarifs et révision	La hausse unilatérale	Grille, hors-forfait listé, mécanisme et fréquence de révision
Durée et résiliation	L’enfermement	Durée initiale, préavis, résiliation pour manquement
Sous-traitance en cascade	Le tiers inconnu	Autorisation préalable écrite, information sur tout changement
Données personnelles	La non-conformité RGPD	Mentions de l’article 28, localisation des données, durée de conservation

Douze clauses, quelques pages. Un contrat de sous-traitance de paie qui tient en une page et demie n’est pas plus simple : il laisse onze sujets à arbitrer au moment où ils deviennent conflictuels.

Les 3 clauses sur lesquelles la négociation se tend

Les pénalités de retard

Beaucoup de prestataires acceptent un engagement de délai mais refusent d’y associer une conséquence. Un engagement sans contrepartie n’en est pas un. La formulation raisonnable existe : pénalité forfaitaire par jour ouvré de retard, plafonnée à un pourcentage de la facture mensuelle du dossier, déclenchée sur constat écrit et hors cas où les variables ont été transmises en retard.

La propriété du paramétrage

C’est le point le plus stratégique et le moins discuté. Si le paramétrage et sa documentation restent au prestataire, votre réversibilité est théorique : vous récupérez des données, pas la logique qui les produit. La clause doit être explicite et couvrir la documentation, pas seulement les fichiers.

La sous-traitance en cascade

Un prestataire qui confie tout ou partie de la production à un tiers, y compris hors de l’Union européenne, sans vous en informer, vous met en difficulté vis-à-vis de vos clients. L’autorisation préalable écrite est la règle, et l’information sur tout changement de sous-traitant ultérieur doit être contractuelle.

Sur le non-démarchage, la discussion est généralement plus simple parce que la clause protège les deux parties. Nous l’avons traitée en détail dans notre article dédié à la clause de non-démarchage en sous-traitance de paie.

Ce qu’une clause de périmètre bien écrite évite

Le périmètre est la clause la plus ennuyeuse à rédiger et celle qui produit le plus de désaccords quand elle est vague. « Production des bulletins et déclarations sociales » ne dit rien : cela n’indique ni qui saisit les variables, ni qui contrôle avant diffusion, ni qui répond au salarié qui conteste son solde de congés, ni qui traite une DSN rejetée trois semaines après le dépôt.

La méthode la plus rapide consiste à lister une quinzaine d’opérations concrètes du cycle de paie et à cocher, pour chacune, qui la réalise : le cabinet, le prestataire, ou les deux. Collecte des variables, contrôle de cohérence, mise à disposition des bulletins, dépôt de la DSN mensuelle, traitement des retours, DSN événementielles, soldes de tout compte, attestations, réponses aux organismes, veille conventionnelle, mise à jour du paramétrage, réponses aux salariés, relation avec le client final. Cette grille tient sur une page et supprime l’essentiel des malentendus des six premiers mois.

Elle sert aussi de base au chiffrage : ce qui n’est pas coché côté prestataire reste du temps interne, et c’est ce temps-là qu’il faut ajouter au prix au bulletin pour comparer deux offres.

Réversibilité et sortie du contrat

La réversibilité est la clause qu’on lit le jour où il est trop tard. Quatre éléments la rendent opérante.

1. Le délai : un cycle de paie pour une production seule, trois à six mois pour un pôle complet.
2. Le format : données exploitables et non des PDF. Un export structuré des salariés, contrats, cumuls et variables récurrentes.
3. La documentation : notes de paramétrage, règles conventionnelles retenues, historique des arbitrages.
4. L’accompagnement : nombre d’heures incluses pour la passation, et ce qui est facturé au-delà.

Ajoutez une règle simple : la réversibilité s’applique quelle que soit la cause de la sortie, y compris en cas de résiliation pour manquement. Une clause qui ne joue qu’en cas de sortie amiable ne protège pas dans le seul cas où l’on en a besoin.

Le volet RGPD : l’article 28 en pratique

L’article 28 du RGPD impose un contrat écrit entre responsable de traitement et sous-traitant, avec un contenu minimal. En paie, six mentions méritent une attention particulière.

Mention	Ce qu’on vérifie en pratique
Objet, durée, nature et finalité	Décrire le traitement de paie, pas renvoyer à « la prestation »
Catégories de données et de personnes	Salariés, données d’identité, de rémunération, de santé pour les arrêts
Instructions documentées	Le prestataire n’agit que sur instruction écrite du responsable
Sous-traitance ultérieure	Autorisation préalable, information sur les changements
Localisation et hébergement	Où sont hébergées les données, et transferts hors UE le cas échéant
Sort des données en fin de contrat	Restitution ou suppression, avec preuve

La CNIL publie des clauses contractuelles types qui servent de base solide. Deux points spécifiques à la paie s’y ajoutent : les données d’arrêt de travail relèvent de la santé et appellent une vigilance particulière, et la chaîne à trois acteurs — client final, cabinet, prestataire — doit être décrite, faute de quoi la responsabilité de chacun reste floue. Le cadre de notre propre contrat est présenté sur la page sous-traitance de paie pour cabinets d’expertise comptable.

Questions fréquentes sur le contrat de sous-traitance de paie

Un contrat de sous-traitance de paie est-il obligatoire ?

Oui, dès lors que des données personnelles sont traitées, ce qui est le cas par définition en paie. L’article 28 du RGPD impose un acte juridique écrit entre le responsable de traitement et son sous-traitant, avec un contenu minimal. Au-delà de l’obligation, c’est le document qui fixe les délais, les responsabilités et les conditions de sortie.

Quelle durée de non-démarchage est valable ?

Une clause de non-démarchage doit être limitée dans son objet, dans le temps et dans l’espace pour rester défendable. En pratique, on la trouve sur la durée du contrat plus douze à vingt-quatre mois, ciblée sur les clients et les collaborateurs effectivement connus à l’occasion de la prestation. Une interdiction générale et perpétuelle est fragile.

Que prévoir en cas de retard de production ?

Un délai exprimé en jours ouvrés à compter de la réception complète des variables, et une pénalité forfaitaire par jour de retard, plafonnée à un pourcentage de la facture mensuelle du dossier. Prévoyez aussi le cas symétrique : le prestataire n’est pas responsable d’un retard causé par une transmission tardive des variables.

À qui appartient le paramétrage ?

Au cabinet, à condition que le contrat le dise. Sans cette clause, vous récupérez en sortie des données brutes sans la logique qui les produit, ce qui revient à refaire une migration complète. La clause doit couvrir les fichiers de paramétrage et leur documentation écrite.

Le sous-traitant peut-il sous-traiter à son tour ?

Seulement avec votre autorisation préalable écrite, et à condition de vous informer de tout changement. Ce point est doublement important : il engage votre responsabilité vis-à-vis de vos clients et il conditionne la localisation effective des données. Vérifiez également l’hébergement et l’existence éventuelle de transferts hors Union européenne.

Combien de préavis pour résilier ?

Trois mois est le préavis le plus courant sur un contrat annuel, mais le chiffre importe moins que son articulation avec la réversibilité. Un préavis de trois mois assorti d’une restitution de données en six mois ne sert à rien. Les deux délais doivent être cohérents et couvrir au moins un cycle de paie complet après la reprise.

Article publié par Archipaie — Externalisation paie et veille juridique — Cabinet certifié Silae Partner.