Développement Zoho

Externaliser son développement Zoho hors de France : risques, garanties et contrat

RGPD et accès à distance, droits sur le code, accès à Zoho, TVA et vigilance : externaliser son développement Zoho hors de France sans mauvaise surprise.

6 novembre 2026

L'essentiel

Externaliser son développement Zoho hors de France est courant et légal, à condition de traiter trois sujets que le prix fait souvent oublier. Les données d'abord : quand un prestataire établi hors de l'Union accède à vos données Zoho, même à distance, c'est un transfert au sens du RGPD, à encadrer par des clauses contractuelles types. Le code ensuite : sans cession écrite des droits, il n'appartient pas automatiquement au client. Les accès enfin : comptes nominatifs, droits minimaux, travail en bac à sable et révocation le jour de la fin du contrat. Le reste, fuseau horaire, langue et qualité, se règle par l'organisation.

En bref

L'accès à distance d'un prestataire établi hors UE est un transfert de données : clauses types de 2021, module 2 ou 3, et analyse d'impact du transfert.
Un partenaire Zoho qui sous-traite doit obtenir l'autorisation écrite de son client avant de faire intervenir un sous-traitant ultérieur.
Le contrat prévoit la cession des droits sur le code, la documentation et la réversibilité.
Pour un contrat d'au moins 5 000 € HT, le donneur d'ordre demande les pièces de vigilance, à la signature puis tous les six mois.
La TVA d'une prestation achetée hors UE est autoliquidée par le client français.

Pourquoi externaliser son développement Zoho ?

Trois raisons reviennent : le coût, la disponibilité et la profondeur technique. En France, les consultants Zoho affichent de 560 à 800 € par jour sur Malt (Prix d'un consultant ou d'un développeur Zoho en France). Les profils capables d'écrire du Deluge avancé, des fonctions Catalyst ou des widgets sont rares, et souvent pris. Une équipe à l'étranger élargit le vivier, et les écarts de coût de la vie se retrouvent dans les tarifs.

Ce que l'externalisation change réellement tient en trois points :

Sujet	En France	Hors de France
Données	Traitement dans l'UE	Transfert à encadrer par contrat
Droit applicable	Droit français, sans débat	À choisir dans le contrat, avec le tribunal compétent
Organisation	Même fuseau, échanges informels	Fuseau, langue et rituels à cadrer

Deux modèles coexistent. Soit le client final contracte directement avec le prestataire étranger. Soit un partenaire Zoho français garde la relation et sous-traite tout ou partie du développement, en marque blanche (Sous-traitance Zoho en marque blanche : le guide). Dans le second cas, le partenaire reste responsable devant son client, y compris du respect du RGPD par son sous-traitant.

Prenons l'exemple de Madagascar. Le français y est langue officielle, et le décalage avec Paris est de deux heures en hiver, une heure en été. Côté données, la loi n° 2014-038 sur la protection des données existe, mais elle n'était pas encore effective faute de décret d'application selon le panorama de DLA Piper mis à jour en février 2025. Son autorité de contrôle, la CMIL, créée par décret en décembre 2023, attendait la nomination de tous ses membres. Le pays ne bénéficie pas d'une décision d'adéquation de la Commission européenne : les clauses types sont donc nécessaires.

Quels sont les risques, et comment les couvrir ?

Risque	Ce qui arrive	La parade
Besoin mal compris	Le livrable fait ce qui est écrit, pas ce qui était voulu	Spécifications courtes avec exemples, démonstration chaque semaine
Qualité du code	Deluge sans structure, fonctions copiées, aucun commentaire	Règles de code écrites, relecture d'un échantillon, audit ponctuel (Audit Zoho CRM : la checklist technique en 40 points)
Dépendance	Personne d'autre ne sait maintenir ce qui a été fait	Documentation livrée avec le code, code déposé chez le client
Rotation de l'équipe	Le développeur qui connaissait votre compte s'en va	Deux personnes au moins sur le compte, documentation à jour
Accès aux données	Comptes partagés, droits trop larges, accès jamais retirés	Comptes nominatifs, profils minimaux, révocation en fin de mission
Juridique	Transfert non encadré, code sans cession de droits	Clauses types, cession des droits, droit et tribunal choisis
Fuseau horaire	Une question attend une demi-journée	Plage commune chaque jour, délais de réponse écrits

Le risque principal n'est pas la distance mais l'absence de cadre. Un prestataire installé en France sans contrat écrit présente les mêmes failles ; l'éloignement les rend seulement plus coûteuses à réparer.

Zoho offre ici un avantage : les fonctions Deluge, les règles et les modules vivent dans l'organisation du client, pas chez le prestataire. Seuls les développements extérieurs, comme les fonctions Catalyst, les widgets ou les scripts, doivent être déposés dans un dépôt de code ouvert au nom du client. Le choix entre ces briques est détaillé dans notre guide du développement Zoho.

Que dit le RGPD quand le prestataire accède aux données depuis l'étranger ?

Pour le Comité européen de la protection des données, il y a transfert dès que trois conditions sont réunies : un exportateur soumis au RGPD, qui transmet des données ou les rend accessibles, à un importateur situé hors de l'Union. L'accès à distance compte. Un salarié de votre entreprise en déplacement n'est pas un transfert, car il n'est pas un tiers ; un prestataire étranger qui ouvre votre Zoho, si.

En pratique, quatre points :

Les clauses contractuelles types de 2021. Le module 2 encadre la relation entre le client, responsable du traitement, et le prestataire étranger, sous-traitant. Le module 3 sert quand un partenaire Zoho européen, lui-même sous-traitant, confie le travail à une équipe hors UE. Ces deux modules valent contrat de sous-traitance au sens de l'article 28.
L'analyse d'impact du transfert. La clause 14 impose d'évaluer, par écrit, si le droit et les pratiques du pays de destination empêchent l'importateur de respecter les clauses. La méthode de référence est celle des recommandations 01/2020 du Comité européen. Si les garanties ne tiennent pas, le transfert doit être suspendu.
L'autorisation du client pour la sous-traitance ultérieure. Un partenaire qui fait intervenir une équipe étrangère doit avoir l'autorisation écrite préalable de son client, spécifique ou générale. Avec une autorisation générale, il informe le client de tout changement, et celui-ci doit pouvoir s'y opposer. Le partenaire reste pleinement responsable de son sous-traitant.
La minimisation. Le prestataire n'a pas besoin des données réelles pour la plupart des développements : travaillez en bac à sable, avec des données fictives ou réduites, et n'ouvrez la production que pour les mises en service et les incidents.

Le même raisonnement vaut pour les outils d'IA du prestataire : une donnée client collée dans un assistant part chez son éditeur, avec les mêmes questions de contrat et de transfert (Agents IA sur Zoho : RGPD, AI Act et données en Europe).

Comment donner accès à Zoho sans perdre le contrôle ?

Six règles suffisent :

Un compte nominatif par développeur, jamais de compte partagé : chaque action reste attribuable, et chaque accès se retire seul. Chaque compte consomme une licence ; c'est le prix de la traçabilité.
Un profil dédié, au plus juste. Dans Zoho CRM, créez un profil « Prestataire » qui ouvre la configuration et les modules du projet, sans export de masse ni suppression si le travail ne l'exige pas.
Un second facteur d'authentification imposé. Dans Zoho Directory, la politique de sécurité rend obligatoire un second facteur : application OneAuth, application d'authentification, clé YubiKey ou SMS. Sans lui, l'utilisateur ne peut plus se connecter.
Le bac à sable pour développer. Zoho CRM l'offre à partir d'Enterprise, avec 3 bacs à sable de configuration et 2 avec données (Éditions Zoho CRM : ce que chacune permet techniquement). Sans lui, prévoyez un compte de développement séparé et des données fictives.
Des connexions et des clés d'API au nom du client, créées par un de ses administrateurs, pour que les intégrations survivent au départ du prestataire.
La révocation planifiée : désactivation des comptes, rotation des clés et révocation des jetons le jour de la fin de mission, à partir d'une liste tenue à jour pendant le projet.

Quelles clauses mettre dans le contrat ?

Clause	Ce qu'elle doit dire
Objet et livrables	Le périmètre, les livrables, le format de la documentation
Recette	Comment un livrable est testé et accepté, et dans quel délai
Garantie	La correction gratuite des anomalies pendant une durée fixée après la recette
Engagements de service	Les délais de réponse et de correction selon la gravité, la plage horaire commune
Propriété intellectuelle	La cession au client des droits sur le code, la documentation et les paramétrages, avec leur étendue, leur durée et leur territoire
Données personnelles	Les clauses types de 2021 en annexe, la liste des sous-traitants ultérieurs, la procédure en cas de violation de données
Confidentialité	Le secret sur les données et les informations du client, au-delà de la fin du contrat
Personnel	Les personnes affectées, leur remplacement, l'interdiction de sous-traiter sans accord
Réversibilité	La remise du code, de la documentation et des accès, et une aide au passage vers un autre prestataire
Responsabilité et assurance	Un plafond de responsabilité et une assurance de responsabilité civile professionnelle
Droit et tribunal	Le droit applicable et le tribunal compétent, ou un arbitrage
Prix et paiement	Forfait, régie ou banque d'heures, devise, conditions de paiement

La cession des droits mérite une attention particulière. En droit français, le logiciel écrit par un salarié revient à son employeur, mais celui d'un prestataire reste à son auteur sans cession écrite. Le Code de la propriété intellectuelle exige en outre que chaque droit cédé soit mentionné distinctement, avec son étendue, sa destination, son lieu et sa durée. Un contrat soumis au droit français, avec une clause de cession détaillée, évite toute discussion.

La réversibilité se prépare dès le début : documentation tenue à jour, code dans l'organisation du client, accès listés. Le jour où vous changez de prestataire, la reprise doit prendre des jours, pas des semaines. Cette liste ne remplace pas l'avis d'un avocat, surtout pour le choix du droit et du tribunal.

Quelles formalités fiscales et sociales prévoir ?

La TVA. Une prestation de services achetée par une entreprise française à un prestataire établi hors de l'Union est taxable en France, et c'est le client qui autoliquide la TVA : il la déclare sur sa déclaration de chiffre d'affaires, dans les autres opérations imposables, et la déduit dans les conditions habituelles. Le prestataire facture sans TVA française.

La retenue à la source. En droit interne, les sommes versées à un prestataire sans établissement en France, pour des prestations fournies ou utilisées en France, peuvent supporter une retenue à la source (article 182 B du Code général des impôts). Les conventions fiscales l'écartent ou la limitent. Celle signée entre la France et Madagascar en 1983, par exemple, laisse à l'État de paiement le droit d'imposer les rémunérations de prestations techniques, d'ingénierie ou de conseil, dans la limite de 10 % de leur montant brut. Selon la façon dont la prestation de développement est qualifiée, une retenue peut donc s'appliquer : faites trancher la question par votre expert-comptable avant le premier paiement.

L'obligation de vigilance. Pour tout contrat d'au moins 5 000 € HT, le donneur d'ordre doit vérifier que son cocontractant est en règle. Pour un prestataire établi à l'étranger, l'article D8222-7 du Code du travail liste les pièces : un document d'identification fiscale, un document attestant de la régularité de sa situation sociale et, si son pays impose l'immatriculation à un registre professionnel, un justificatif d'inscription. Elles se demandent à la signature, puis tous les six mois jusqu'à la fin du contrat.

La devise et les frais. Fixez la devise dans le contrat, en euros de préférence, ainsi que la répartition des frais bancaires. Un prix exprimé dans la devise du prestataire fait porter le risque de change au client.

Développement Zoho en marque blanche ou en banque d'heures, par SquadNovia

Notre équipe, basée à Antananarivo, travaille en français, avec un contrat qui reprend les garanties de cet article : clauses contractuelles types, cession des droits sur le code, comptes nominatifs et réversibilité. Pour les partenaires Zoho, la marque blanche est facturée à la journée, sur devis. Pour les entreprises, la banque d'heures commence à 10 heures.

Devenir partenaire en marque blanche

Ouvrir une banque d'heures

Questions fréquentes

Est-il légal de faire développer son Zoho hors de France ?

Oui. Il faut encadrer le transfert de données par des clauses contractuelles types, écrire un contrat qui prévoit la cession des droits sur le code, réunir les pièces de vigilance au-delà de 5 000 € HT et autoliquider la TVA.

Les clauses types sont-elles nécessaires si le prestataire ne travaille qu'en bac à sable ?

Si le bac à sable ne contient aucune donnée personnelle réelle, aucune donnée personnelle n'est transférée. Dès qu'il contient des données réelles, ou que le prestataire intervient en production, les clauses deviennent nécessaires.

Un partenaire Zoho peut-il sous-traiter sans le dire à son client ?

Non. L'article 28 du RGPD impose l'autorisation écrite préalable du client pour tout sous-traitant ultérieur, et le partenaire reste responsable du travail de son sous-traitant. La marque blanche porte sur la relation commerciale, pas sur la transparence envers le client en matière de données (Sous-traitance Zoho en marque blanche : le guide).

À qui appartient le code développé ?

À son auteur, sauf cession écrite. Le code Deluge vit dans l'organisation Zoho du client, mais seule une clause de cession détaillée lui en donne les droits. Prévoyez-la dès le premier contrat.

Comment gérer le décalage horaire ?

Avec Madagascar, il est de deux heures en hiver et d'une heure en été ; avec l'Inde, de quatre heures trente en hiver et de trois heures trente en été. Une plage commune chaque jour et des délais de réponse écrits suffisent dans le premier cas ; le second demande plus d'organisation.

Comment comparer les prix ?

Comparez le coût total, pas le taux journalier : temps de cadrage, relectures, reprises et gestion du projet compris. Un prestataire moins cher qui livre sans documentation coûte plus cher à la première reprise. Les tarifs pratiqués en France sont détaillés dans notre article sur le prix d'un consultant Zoho.

Sources

Pages consultées le 22 octobre 2026.