Contrat prestataire visibilité PME en 2026 : les clauses qui protègent un dirigeant (réversibilité, propriété, responsabilité)

Le jour où vous décidez de changer de prestataire, vous découvrez qui possède vraiment votre visibilité. L'agence part avec les identifiants Google Analytics. Le compte Search Console est rattaché à une adresse e-mail que vous n'avez jamais vue. Vos trois ans d'articles sont sur un CMS dont vous n'avez pas l'admin. Et le fichier de vos contacts prospects ? Personne ne sait précisément où il est stocké. C'est le moment où un contrat prestataire visibilité PME bien rédigé aurait tout changé — et où son absence coûte des semaines.

Cet article n'est pas un cours de droit. C'est la liste de ce que nous vérifions, nous, avant de laisser un dirigeant signer quoi que ce soit sur sa visibilité en ligne. Trois questions, trois clauses : à qui appartiennent les accès et les données, comment on récupère tout en cas de rupture, et qui répond de ce qui est publié en votre nom. Pour votre cas précis, faites relire le contrat par votre conseil ; ici, nous vous donnons le cadre pour décider sans vous faire peur.

Ce qu'un contrat de prestataire visibilité doit trancher noir sur blanc

Un bon contrat de sous-traitance marketing règle trois sujets que 90 % des devis d'agence passent sous silence : la propriété, la réversibilité, la responsabilité. Le reste — le nombre d'articles, le prix, le reporting — se négocie facilement. Ces trois-là décident si vous êtes propriétaire ou locataire de votre présence en ligne.

La confusion vient de là : un devis, un tarif de freelance et une fiche de poste ne décrivent pas la même chose, et aucun ne parle spontanément de ce qui vous reste quand le prestataire s'en va. Un dirigeant d'agence B2B qui prospecte entre deux livraisons n'a pas le temps de décortiquer 12 pages de conditions générales. Voici donc les points à isoler avant de valider :

• Propriété : les comptes, les données et les contenus sont-ils créés à votre nom ou à celui du prestataire ?
• Réversibilité : que récupérez-vous, sous quel format et sous quel délai, si le contrat s'arrête ?
• Responsabilité : qui répond, vis-à-vis de vos clients et de la CNIL, des données traitées et des contenus publiés ?

À qui appartiennent les accès Google, le site et les données

La règle est simple à énoncer et rarement écrite : tout compte lié à votre activité doit être créé à votre nom, sur une adresse e-mail que vous contrôlez, le prestataire y étant ajouté comme utilisateur — jamais comme propriétaire. C'est valable pour Google Analytics, Search Console, Google Business Profile, un éventuel compte Google Ads, votre hébergement et votre CMS.

La question « à qui appartiennent les accès Google » n'a pas de réponse dans un texte de loi unique. Aucune règle officielle n'attribue automatiquement ces comptes à la PME ou au prestataire : cela dépend du contrat que vous signez et des conditions d'utilisation de chaque outil. Autrement dit, si le contrat ne le dit pas, c'est celui qui a cliqué sur « créer le compte » qui tient la clé. D'où l'exigence à poser d'entrée : la propriété des données du site internet, des comptes publicitaires et des accès administrateur reste à la PME, le prestataire disposant d'un accès délégué révocable.

Pour la propriété intellectuelle, même vigilance. Le RGPD ne règle pas la propriété du site, du logo, des textes, des photos ni du code. Les créations d'un prestataire ne vous sont pas automatiquement cédées : il faut une clause de cession de droits expresse, appuyée sur le code de la propriété intellectuelle. Sans elle, vous pouvez vous retrouver à payer un site dont vous ne détenez pas les droits d'exploitation complets. Exigez une cession écrite couvrant les contenus, la charte graphique, les développements spécifiques et les bases de données.

C'est un principe que nous appliquons à nous-mêmes : le client reste propriétaire de son site, de ses comptes et de ses contenus. upora.com est d'ailleurs produit par notre Moteur de Visibilité, et le site appartient à UPORA — ce que vous lisez est la preuve du modèle, pas une promesse.

La clause de réversibilité : ce que vous récupérez quand ça s'arrête

La clause de réversibilité définit ce que le prestataire vous restitue, dans quel format et sous quel délai, le jour où le contrat prend fin. C'est la clause qui transforme une rupture douloureuse en simple passation. Sur le volet données personnelles, elle n'est pas optionnelle : elle est prévue par le RGPD.

Concrètement, à la fin du contrat, le sous-traitant doit — selon votre choix — soit supprimer toutes les données personnelles, soit vous les renvoyer, puis détruire les copies existantes, sauf obligation légale de conservation. C'est le point g du paragraphe 3 de l'article 28 du RGPD, détaillé par la CNIL. Cette obligation est applicable depuis le 25 mai 2018 et ne concerne que les données personnelles : elle ne couvre ni votre site, ni vos maquettes, ni vos comptes publicitaires. Pour ces éléments-là, seule votre clause de réversibilité contractuelle vous protège.

Une réversibilité prestataire SEO sérieuse précise donc :

• la liste des livrables restitués : contenus rédigés, fichiers sources, exports de données, accès administrateur, historique de reporting ;
• le format exploitable (un export CSV lisible, pas une capture d'écran) ;
• le délai de restitution après la demande, par exemple sous 15 jours ;
• l'engagement de suppression des copies et la fourniture d'un justificatif.

La résiliation d'un contrat d'agence SEO se prépare à la signature, jamais au moment du conflit. Un contrat sans clause de sortie propre, c'est une dépendance déguisée en service.

Responsabilité RGPD : qui répond de vos données et de vos contenus

Dès que la prestation touche des données personnelles — formulaires, cookies, CRM, e-mailing, analytics, fichier prospects — le prestataire est votre sous-traitant au sens du RGPD, et un contrat écrit conforme à l'article 28 devient obligatoire. Ce n'est pas une recommandation : c'est le droit applicable depuis le 25 mai 2018 en vertu du règlement (UE) 2016/679, dont la CNIL précise les modalités de sous-traitance.

Un sous-traitant, ici, est le prestataire qui traite des données personnelles pour votre compte et selon vos instructions. Le contrat doit préciser l'objet, la durée, la nature et la finalité du traitement, le type de données, les catégories de personnes concernées, et les obligations de chacun. À l'inverse, ces obligations ne s'appliquent pas à une prestation sans aucune donnée personnelle : une pure création graphique ou un traitement anonymisé de façon irréversible sort du champ.

Les obligations que votre prestataire doit accepter par écrit, au titre de l'article 28 :

• Sécurité et confidentialité : garanties de sécurité, mesures techniques, notification des incidents (points c à f du paragraphe 3).
• Aide aux droits des personnes : il doit vous assister, dans la mesure du possible, pour répondre aux demandes d'accès, de rectification, d'effacement, d'opposition, de limitation ou de portabilité (article 28-3, articles 12 à 22).
• Pas de sous-traitance en cascade libre : recourir à un autre sous-traitant — hébergeur, freelance, outil tiers — exige votre autorisation écrite, préalable et spécifique ou générale. En cas d'autorisation générale, il doit vous informer de tout changement et vous laisser vous y opposer (article 28-2).
• Pas de réutilisation pour son compte : il ne peut réutiliser vos données prospects ou clients pour ses propres finalités que si c'est compatible avec le traitement initial et autorisé par écrit ; sinon il s'en tient à vos instructions documentées (articles 28 et 29).

Un point que beaucoup de dirigeants découvrent trop tard : la responsabilité au titre du RGPD du sous-traitant existe, mais vous restez l'acteur central vis-à-vis de vos clients et de la CNIL. La qualification dépend des faits réels, pas de l'intitulé « agence » sur le devis. Le contrat doit donc répartir les rôles noir sur blanc. Et sur ce que le prestataire publie en votre nom — un article, une page, une prise de position — la responsabilité du contenu publié sur le site de votre entreprise reste largement la vôtre : c'est votre marque qui parle.

Ce que vous devez vérifier avant de signer avec une agence

Avant de valider un contrat de sous-traitance marketing, passez chaque point de cette liste. Si le prestataire hésite sur l'un d'eux, vous avez votre réponse.

• Les comptes Google, l'hébergement et le CMS sont créés à votre nom, sur vos adresses e-mail.
• Une clause de cession de droits couvre les contenus, la charte, le code et les bases de données.
• Une clause de réversibilité liste les livrables, le format, le délai et le justificatif de suppression.
• Un contrat article 28 encadre tout traitement de données personnelles.
• La sous-traitance en cascade est soumise à votre autorisation.
• La CNIL recommande d'ajouter, en pratique, des clauses sur l'authentification, les audits, la revue des mesures de sécurité, l'assistance en cas d'incident et la réversibilité — reprenez-les.
• Le rapport mensuel vous dit ce qui a été fait, pas seulement des courbes que vous ne lirez pas.

Ces vérifications ne coûtent rien à poser et vous épargnent le scénario du départ où tout est verrouillé ailleurs.

Agence, freelance ou système possédé : où se joue vraiment la propriété

Le choix entre une agence, un freelance et un système que vous possédez ne se tranche pas sur le prix affiché, mais sur ce qu'il vous reste dans deux ans. Une charge récurrente que vous payez chaque mois sans rien capitaliser n'est pas la même chose qu'un actif — des contenus, des comptes, une visibilité — qui vous appartient.

Avec une agence ou un freelance, la propriété et la réversibilité dépendent entièrement du contrat que vous signez. Bien rédigé, il vous protège. Mal ficelé, il crée une dépendance : vos accès, vos mots de passe et votre historique restent chez un tiers. C'est exactement ce point qui a fait basculer ENEART, centre de formation du groupe TAURION, d'une agence SEO vers un moteur interne : reprendre la main sur ses accès et ses contenus.

Notre position, assumée : pour une PME de 5 à 50 personnes qui publie régulièrement, un système possédé — accès, données et comptes à votre nom, contenus produits dans votre voix — vaut mieux qu'une prestation dont vous ne détenez rien. La condition qui la ferait changer : si votre besoin de visibilité est ponctuel, un one-shot pour un lancement par exemple, la question de la propriété au long cours pèse moins. C'est le raisonnement que nous appliquons chez nos clients externes comme la Société Normande d'Agencement, à Caen, où le site et les comptes restent entre les mains du dirigeant.

Ce qu'il faut retenir

• Exigez la propriété des accès, des comptes et des contenus à votre nom : sans clause écrite, c'est celui qui a créé le compte qui les détient.
• La réversibilité se prépare à la signature — la suppression ou restitution des données personnelles est obligatoire (article 28 du RGPD, depuis 2018) ; le reste dépend de votre contrat.
• Le prestataire est responsable de ce qu'il traite, mais vous restez responsable, vis-à-vis de vos clients et de la CNIL, de ce qui est publié et collecté en votre nom.

Vous ne savez pas si votre contrat actuel vous laisse propriétaire, ni si votre site est seulement visible par les IA ? Commencez par un audit gratuit SEO & GEO de votre site : nous regardons ce que vous possédez vraiment et ce qui est vu par Google et les moteurs de réponse. Ensuite, si c'est utile, nous en discutons lors d'un appel de 20 minutes — sans engagement. Pour votre situation juridique précise, faites relire vos clauses par votre conseil et appuyez-vous sur les ressources officielles de la CNIL.

Vous conseillez des dirigeants ? Parlons partenariat.

UPORA — des systèmes qui travaillent à votre place.