Propriété intellectuelle et offshore : qui possède vraiment le code quand votre équipe est à l'étranger

La plupart des dirigeants confondent paiement et propriété. Or le droit d'auteur, en France comme dans la Convention de Berne signée par 181 pays, protège le créateur, pas le commanditaire. Sans clause explicite, vous financez un actif qui ne vous appartient pas.

En droit français (article L113-9 du Code de la propriété intellectuelle), les droits sur un logiciel créé par un salarié sont automatiquement dévolus à l'employeur. Mais cette exception ne s'applique qu'aux salariés directs. Quand vous travaillez avec un prestataire offshore, cette présomption disparaît.

Votre développeur à Madagascar n'est pas votre salarié. Il est salarié de la structure locale. Sans cession écrite et explicite, les droits patrimoniaux restent chez l'entité qui l'emploie. Et le droit moral, lui, reste toujours attaché à l'auteur, quoi que dise votre contrat.

Concrètement : si votre contrat de prestation ne contient pas une clause de cession des droits patrimoniaux, détaillée par mode d'exploitation, durée et territoire, vous n'avez juridiquement qu'un droit d'usage implicite. Revendre votre logiciel, le modifier, le licencier à un tiers ? Vous n'en avez pas le droit. Et le jour où vous levez des fonds ou vendez votre boîte, la due diligence va faire exploser le problème.

C'est exactement le type de risque que les clauses oubliées dans les contrats d'externalisation rendent invisible jusqu'au moment critique.

Le code n'est qu'une partie du problème. Vos données clients, vos fichiers prospects, vos historiques CRM circulent chaque jour entre la France et votre équipe offshore. Le RGPD s'applique dès qu'un sous-traitant hors UE accède à des données personnelles de résidents européens.

Madagascar n'a pas de décision d'adéquation de la Commission européenne. Maurice non plus. Cela signifie que le transfert de données personnelles vers ces pays nécessite des garanties supplémentaires : clauses contractuelles types (CCT), analyse d'impact, registre de traitement à jour.

Dans les faits, la majorité des PME qui externalisent ne mettent rien en place. Pas de CCT annexées au contrat. Pas de DPA (Data Processing Agreement). Le risque n'est pas théorique : l'amende RGPD peut atteindre 4 % du chiffre d'affaires annuel mondial. Pour une PME à 2M de CA, c'est 80 000 euros. Sans compter le dommage réputationnel.

Et la question se pose aussi pour les livrables commerciaux : bases de données, analyses marché, rapports. Si rien ne précise que ces éléments sont votre propriété exclusive, le prestataire peut techniquement les conserver, les croiser, les réutiliser.

Voici ce que j'ai vu arriver. Un dirigeant de PME e-commerce fait développer une application métier par une équipe offshore via un freelance. Contrat minimaliste, trois pages, pas de clause PI. Le projet avance bien pendant un an. Puis le freelance part, emmène l'équipe, et lance un produit concurrent basé sur le même code.

Le dirigeant contacte un avocat. Réponse : sans cession écrite, le code appartient au développeur. La seule option est un procès long, coûteux, avec un résultat incertain vu que la juridiction compétente est celle du pays du prestataire.

Résultat : 18 mois de développement perdus. Budget de refonte : 120 000 euros. Retard au marché : 9 mois supplémentaires. Un concurrent avec votre propre code, en face.

Ce scénario n'arrive pas qu'aux startups naïves. Il arrive à des PME structurées qui ont simplement délégué la rédaction du contrat au comptable ou au prestataire lui-même. Le contrat offshore n'est pas un document administratif. C'est la seule chose qui sépare votre actif intellectuel du domaine public.

Pour comprendre l'ensemble du cadre légal, le guide juridique et fiscal de l'outsourcing à Madagascar et Maurice détaille chaque point à verrouiller.

Le contrat est votre seul rempart. Pas la confiance, pas la relation, pas la bonne volonté. Voici les cinq éléments qui doivent figurer noir sur blanc avant que le premier fichier ne soit créé.

Une clause de cession de PI valide en droit français doit être explicite et détaillée. L'article L131-3 du Code de la propriété intellectuelle exige que chaque droit cédé soit mentionné distinctement : reproduction, adaptation, modification, distribution, exploitation commerciale. La clause doit aussi préciser la durée (toute la durée légale de protection), le territoire (monde entier) et les supports (tous supports connus et à venir).

Une phrase du type "tous les livrables sont la propriété du client" ne suffit pas. Elle est juridiquement fragile et contestable. Votre clause doit aussi couvrir les travaux intermédiaires : maquettes, prototypes, documentation technique, bases de données, fichiers sources.

Point critique : la cession doit être signée par l'entité qui emploie les développeurs, pas par un intermédiaire commercial. Si votre contrat est avec un broker qui sous-traite à une équipe qu'il ne contrôle pas, vous avez une chaîne de cession incomplète. Et une chaîne incomplète, juridiquement, c'est comme pas de chaîne du tout.

La clause doit aussi prévoir une garantie d'éviction : le prestataire garantit qu'il n'a pas cédé les mêmes droits à un tiers et qu'il dispose de la capacité juridique de céder.

Le Data Processing Agreement est obligatoire dès qu'un sous-traitant accède à des données personnelles pour votre compte. Ce n'est pas une option, c'est l'article 28 du RGPD.

Le DPA doit préciser : la nature des données traitées, les finalités du traitement, la durée, les mesures de sécurité techniques et organisationnelles, les obligations de notification en cas de violation, et le droit d'audit.

Pour les transferts hors UE vers des pays sans décision d'adéquation (ce qui inclut Madagascar), vous devez annexer les Clauses Contractuelles Types (CCT) de la Commission européenne, version juin 2021. Ces clauses standardisées encadrent le transfert et imposent des obligations de protection au destinataire des données.

En parallèle, une analyse d'impact du transfert (Transfer Impact Assessment) est recommandée pour documenter que le niveau de protection dans le pays destinataire est suffisant.

Concrètement, dans votre contrat offshore, le DPA et les CCT doivent être des annexes formelles, signées. Pas un email de bonne intention. Pas une mention dans les CGV. Des documents séparés, datés, avec les mesures techniques listées : chiffrement, contrôle d'accès, pseudonymisation, politique de mots de passe, journalisation.

Le vrai problème de la PI offshore, ce n'est pas le droit. C'est le modèle. Quand vous passez par un prestataire qui mutualise ses équipes entre dix clients, vous n'avez aucun contrôle réel. Le modèle Taram élimine ce risque par construction.

Chez Taram, chaque collaborateur est affecté à un seul client. Il ne travaille pas sur deux projets. Il ne partage pas son poste avec un autre donneur d'ordre. Il est intégré dans vos outils : votre CRM, votre Slack, votre Teams, votre GitLab.

Ce modèle de collaborateur dédié supprime le principal vecteur de fuite de PI dans l'offshore classique : la porosité entre clients. Quand un développeur travaille pour cinq clients chez un prestataire mutualisé, les pratiques, le code, les méthodes migrent naturellement d'un projet à l'autre. Ce n'est pas de la malveillance, c'est mécanique.

Avec un collaborateur dédié, votre code reste dans votre environnement. Vos données restent dans vos systèmes. L'infrastructure est premium : poste Ryzen 7, fibre plus 5G en backup, tout opéré depuis Madagascar avec un management structuré piloté depuis Maurice.

La cession de PI est contractualisée dès le départ, avec des clauses conformes au droit français. Le NDA couvre le collaborateur individuellement. Et le contrat est entre votre entreprise et Taram, entité dirigée depuis Maurice, avec juridiction claire.

Pour le prix d'un salarié français, Taram déploie 3 collaborateurs dédiés. Et ces 3 collaborateurs travaillent exclusivement pour vous.

Le modèle Taram repose sur une chaîne de cession intégrale. Le collaborateur à Madagascar signe un contrat de travail avec clause de cession PI au profit de Taram. Taram cède ensuite l'ensemble des droits au client via le contrat de prestation. La chaîne est complète, documentée, opposable.

C'est le point faible de la plupart des montages offshore : la cession s'arrête à un maillon. Le client a un contrat avec le broker, mais le broker n'a pas de clause de cession avec ses développeurs. Résultat : un trou dans la chaîne, et vos droits n'existent que sur le papier.

Chez Taram, la direction à Maurice supervise la conformité juridique de chaque contrat. Les DPA et CCT sont intégrés dès l'onboarding. Le registre de traitement est maintenu. Chaque collaborateur signe un NDA individuel couvrant la confidentialité, la non-concurrence et la restitution des données.

Ce cadre permet aussi de sécuriser les contenus produits en volume. Si vous utilisez Autopilot pour votre production SEO, chaque article, chaque contenu est votre propriété exclusive. Pas de licence, pas de réutilisation, pas d'ambiguïté.

Que vous travailliez avec Taram ou un autre, voici votre checklist non négociable avant de signer un contrat d'externalisation offshore.

Premièrement : la clause de cession PI est-elle détaillée par mode d'exploitation, durée et territoire ? Si elle tient en une phrase, elle ne vaut rien.

Deuxièmement : la chaîne de cession est-elle complète ? Le prestataire a-t-il lui-même une clause de cession avec chaque développeur qui touche votre code ?

Troisièmement : le NDA couvre-t-il les informations techniques, commerciales et les données personnelles ? Est-il signé individuellement par chaque collaborateur ?

Quatrièmement : un DPA conforme à l'article 28 du RGPD est-il annexé ? Les CCT de la Commission européenne sont-elles signées ?

Cinquièmement : la clause de restitution/destruction des données en fin de contrat est-elle présente, avec attestation écrite obligatoire ?

Sixièmement : la juridiction compétente est-elle française, ou au minimum celle d'un pays avec lequel la France a des accords d'exécution des jugements ?

Si un seul de ces points manque, vous jouez votre PI à pile ou face. Et votre PI, c'est souvent le seul actif qui justifie la valorisation de votre entreprise.