Un partenaire de développement en Arménie ou en Géorgie plutôt qu'en Pologne : ce qui change pour une fintech de l'UE avec le RGPD, DORA et le contrat

Pour une fintech de l'UE, une société de développement en Arménie ou en Géorgie demande plus de travail sur le contrat qu'une société en Pologne. Si ses ingénieurs peuvent voir des données personnelles, le contrat a besoin d'un outil de transfert comme les clauses contractuelles types, et la clause de règlement des litiges doit mener à une décision exécutable là-bas. Si DORA vous concerne et que le service soutient une fonction critique ou importante, votre évaluation des risques doit aussi porter sur la protection des données et l'application effective du droit dans ce pays. Les vérifications techniques, le contrôle des sanctions, la propriété du code et la plupart des clauses du contrat fonctionnent comme en Pologne.

Qu'est-ce qui change par rapport à une société en Pologne, et qu'est-ce qui reste identique ?

La Pologne est dans l'UE, l'Arménie et la Géorgie n'y sont pas. L'essentiel de la différence en découle :

• Données : si un ingénieur d'une société à Erevan ou à Tbilissi peut voir les données personnelles de vos clients, cet accès compte comme un transfert hors de l'UE. Un accès depuis Varsovie, non
• DORA : pour les services qui soutiennent des fonctions critiques ou importantes, un prestataire hors de l'UE ajoute deux questions à votre évaluation des risques, sur la protection des données et sur l'application effective du droit dans son pays
• Litiges : un jugement d'un autre pays de l'UE est reconnu en Pologne selon les règles de l'UE. En Arménie et en Géorgie, une sentence arbitrale est plus facile à faire exécuter qu'un jugement
• Registres : le portail européen e-Justice interroge en un seul endroit les registres du commerce de la Pologne et des autres pays de l'UE. Les sociétés arméniennes et géorgiennes figurent dans leurs propres registres nationaux, en partie en arménien ou en géorgien

Le reste ne dépend pas du pays : rencontrer les ingénieurs qui feront le travail, la cession écrite du code à votre société, des dépôts de code et des comptes cloud au nom de votre société, le contrôle des sanctions visant la société et ses propriétaires, et la plupart des clauses contractuelles que DORA énumère.

Combien d'heures de travail partageons-nous avec une équipe à Erevan ou à Tbilissi ?

L'Arménie et la Géorgie restent à UTC+4 toute l'année, selon la base de données des fuseaux horaires de l'IANA. Les pays de l'UE avancent leurs horloges le dernier dimanche de mars et les retardent le dernier dimanche d'octobre. Erevan et Tbilissi ont donc trois heures d'avance sur Francfort, Paris et Varsovie en hiver et deux en été.

Avec une journée de 9 h à 18 h des deux côtés, une équipe à Erevan partage avec Francfort six heures de bureau en hiver et sept en été. Avec Londres, elle partage cinq heures en hiver et six en été. Placez le point quotidien, les revues de code et les mises en production dans cette fenêtre, et inscrivez les heures communes dans le contrat.

Avant de signer, écoutez lors d'un appel vidéo les ingénieurs et la personne qui dirigera le travail au quotidien parler la langue de travail de votre équipe.

Est-ce un transfert de données si les ingénieurs se connectent seulement depuis Erevan ?

Oui, s'ils peuvent voir des données personnelles. Le Comité européen de la protection des données, qui réunit les autorités de protection des données de l'UE, a écrit dans ses lignes directrices 05/2021 que « l'accès à distance depuis un pays tiers (même s'il se limite à l'affichage de données personnelles sur un écran, par exemple dans des situations d'assistance, de dépannage ou à des fins d'administration) » compte lui aussi comme un transfert lorsque les trois critères de transfert des lignes directrices sont remplis. Ils le sont lorsque les ingénieurs travaillent pour une autre société, comme votre partenaire de développement.

Le moyen le plus simple de limiter le transfert est de tenir les données personnelles hors de portée des ingénieurs : données de test, copies masquées et accès à la production seulement en cas de besoin, avec journalisation. L'article sur l'externalisation du développement d'IA sans que vos données sortent décrit cette organisation.

Une décision d'adéquation permet aux données personnelles d'aller vers un pays sans garanties supplémentaires. Au 26 octobre 2026, la liste de ces décisions de la Commission européenne ne comprend ni l'Arménie ni la Géorgie. Pour ces deux pays, l'outil habituel est le recours aux clauses contractuelles types (CCT), des clauses prêtes à l'emploi que la Commission a adoptées le 4 juin 2021.

Pour une société de développement qui travaille sur vos données selon vos instructions, la partie des clauses qui s'applique est le module 2, pour les transferts d'un responsable du traitement vers un sous-traitant. Si votre fintech traite elle-même les données pour le compte de clients professionnels, c'est le module 3, pour les transferts d'un sous-traitant vers un sous-traitant, qui s'applique. Les questions-réponses de la Commission sur les clauses indiquent qu'avec le module 2, vous « n'avez pas besoin de conclure un accord de traitement des données distinct », car il contient déjà les conditions exigées par l'article 28 du RGPD. Le texte des clauses ne peut pas être modifié, sauf pour choisir les modules et les options, remplir les annexes et ajouter des garanties.

Avant de signer, les deux parties doivent évaluer si « la législation et les pratiques du pays tiers de destination » pourraient empêcher la société de respecter les clauses. Les questions-réponses indiquent aussi ce qu'il faut examiner, comme les catégories et le format des données et la longueur de la chaîne de traitement.

Une fintech britannique relève, elle, du UK GDPR. Les règles d'adéquation britanniques couvrent la Pologne en tant que membre de l'Espace économique européen, mais pas l'Arménie ni la Géorgie. Pour les transferts vers ces pays, l'Information Commissioner's Office (ICO) cite l'International Data Transfer Agreement (IDTA) et l'International Data Transfer Addendum, qui s'ajoute aux clauses de l'UE, et demande en plus une évaluation des risques du transfert.

Que demande DORA lorsque le prestataire est hors de l'UE ?

DORA, le règlement de l'UE sur la résilience opérationnelle numérique, est applicable depuis le 17 janvier 2025. Il couvre les banques, les établissements de paiement et de monnaie électronique, les entreprises d'investissement, les prestataires de services sur crypto-actifs, les plates-formes de négociation et d'autres entités financières. Ses règles s'appliquent aux services TIC, le terme du règlement pour les services technologiques. Qu'un contrat de développement en fasse partie dépend de ce qu'il comprend, comme le support, la maintenance ou l'hébergement après le lancement, alors interrogez d'abord votre équipe conformité.

Si c'est le cas, vous restez « pleinement responsable » de vos obligations au titre de DORA, selon les termes de l'article 28, et vous inscrivez le contrat dans votre registre d'informations, le registre des contrats TIC exigé par DORA. L'article 30 énumère les clauses dont chaque contrat de ce type a besoin, parmi lesquelles les pays où les services sont fournis et où les données sont traitées, un préavis avant tout changement de ces lieux, et la restitution de vos données si le prestataire fait défaut ou si le contrat prend fin. Une société en Pologne doit, elle aussi, accepter ces clauses.

La différence porte sur une partie de l'évaluation des risques, celle des services qui soutiennent des fonctions critiques ou importantes, c'est-à-dire des fonctions dont la défaillance nuirait gravement à votre activité ou à votre conformité. Pour tout prestataire de ce type, l'article 29 demande de tenir compte des règles d'insolvabilité applicables et de toute contrainte pesant sur « la récupération urgente des données de l'entité financière ». Pour une société en Arménie ou en Géorgie, ce sont les règles arméniennes ou géorgiennes. Pour un prestataire « établi dans un pays tiers », il ajoute « le respect des règles de l'Union en matière de protection des données et l'application effective du droit dans ce pays tiers ».

Demandez à la société où ses équipes et ses serveurs travailleront sur votre système, et comment vous récupérez votre code et vos données si elle cesse de travailler pour vous. Demandez à vos avocats si une décision en votre faveur pourra y être exécutée. Les contrats portant sur ces services doivent aussi prévoir des droits d'audit et d'accès et une stratégie de sortie avec une période de transition, où que se trouve le prestataire.

Peut-on faire exécuter un contrat avec une société en Arménie ou en Géorgie ?

Oui, si vous prévoyez le chemin avant de signer. Une décision contre la société doit être exécutée là où se trouvent ses comptes et ses biens, c'est-à-dire en général dans son propre pays.

Une sentence arbitrale est plus facile à faire exécuter. L'Arménie, la Géorgie et la Pologne sont toutes parties à la Convention de New York de 1958, en vertu de laquelle les États contractants reconnaissent et exécutent les sentences arbitrales rendues dans d'autres États contractants. Le tableau de l'état des traités de la CNUDCI montre la Convention en vigueur pour la Géorgie depuis 1994 et pour l'Arménie depuis 1998. L'Arménie ne l'applique qu'aux sentences rendues dans un autre État contractant et aux litiges que son droit considère comme commerciaux.

Les jugements des tribunaux sont plus difficiles. Au sein de l'UE, le règlement Bruxelles I bis fait reconnaître en Pologne un jugement d'un tribunal allemand ou français sans procédure particulière. La Pologne est aussi couverte, par l'intermédiaire de l'UE, par la Convention de La Haye de 2019 sur les jugements, qui s'applique au Royaume-Uni depuis le 1er juillet 2025. Au 26 octobre 2026, ni l'Arménie ni la Géorgie ne sont parties à cette convention ni à la Convention de La Haye de 2005 sur les accords d'élection de for, d'après les tableaux d'état de la Conférence de La Haye.

Pour une société en Arménie ou en Géorgie, interrogez donc votre avocat sur une clause d'arbitrage dont le siège, c'est-à-dire le domicile juridique de l'arbitrage, est dans un pays partie à la Convention. Demandez aussi comment un jugement de vos propres tribunaux y serait traité. Pour les fonctions critiques ou importantes, cette réponse fait partie de ce que DORA vous demande de prendre en compte.

Une société en Arménie ou en Géorgie présente-t-elle un risque de sanctions par rapport à une société en Russie ou en Biélorussie ?

Pas en tant que pays. Au 26 octobre 2026, la carte des sanctions de l'UE (EU Sanctions Map) montre des régimes de sanctions de l'UE pour la Russie et pour la Biélorussie, et aucun pour l'Arménie ou la Géorgie. La liste des régimes de sanctions du Royaume-Uni et la liste des programmes de sanctions du Trésor américain n'en comptent pas non plus pour l'Arménie ou la Géorgie.

L'absence de régime visant un pays ne blanchit aucune société de ce pays. Recherchez la société, chaque propriétaire inscrit au registre, le dirigeant et la banque destinataire sur la liste consolidée des sanctions financières de l'UE, et aussi sur la UK Sanctions List si vous êtes une société britannique. Dans ses Bonnes pratiques pour la mise en œuvre effective des mesures restrictives, mises à jour le 3 juillet 2024, le Conseil de l'UE considère qu'une entité appartient à une personne inscrite sur la liste à partir de « 50 % ou plus des droits de propriété ». Payer une telle entité reviendra en principe à mettre indirectement des fonds à la disposition de la personne inscrite.

Demandez aussi d'où travaillera chaque ingénieur de votre projet, et prenez l'avis d'un avocat spécialisé en sanctions avant de signer si quelqu'un doit travailler depuis la Russie ou la Biélorussie. L'article sur le choix d'une société en Europe de l'Est ou dans le Caucase explique les règles américaines à ce sujet.

Si votre groupe comprend une société américaine, vérifiez aussi où vivent les propriétaires et les ingénieurs de la société : le Data Security Program du ministère de la Justice, en vigueur depuis le 8 avril 2025, désigne six « pays préoccupants » (countries of concern), dont la Russie, mais ni la Biélorussie, ni l'Arménie, ni la Géorgie. En vertu de ce programme, une société américaine ne peut donner à un prestataire constitué en Russie l'accès aux données financières personnelles de plus de 10 000 personnes américaines (US persons), comptées sur les douze mois précédents, que si elle respecte les exigences de sécurité et de conformité du programme. La règle vise aussi un prestataire non américain détenu à 50 % ou plus par de telles sociétés ou par des personnes qui vivent principalement en Russie. Un ingénieur qui vit principalement en Russie est lui aussi une personne visée (covered person), quel que soit son employeur.

Avec quelle société signer, et comment vérifier qu'elle est réelle ?

Signez avec la société qui emploie les ingénieurs de votre projet. Si un prestataire propose un contrat avec sa société de l'UE ou des États-Unis alors que les ingénieurs travaillent pour sa société arménienne ou géorgienne, demandez à voir comment le code et les droits passent d'une société à l'autre, puis à vous.

Cherchez ensuite vous-même la société dans son registre officiel. En Arménie, c'est le registre des personnes morales du ministère de la Justice, sur e-register.moj.am. En Géorgie, c'est le registre de l'Agence nationale du registre public. Pour une société polonaise, le portail européen e-Justice interroge les registres du commerce nationaux. L'article sur le choix d'une société en Europe de l'Est ou dans le Caucase explique ce que montre chaque registre et avec quoi le comparer.

Une société bien réelle peut tout de même s'arrêter à mi-parcours. L'article sur une équipe dédiée qui reste couvre les vérifications pour ce risque. Les clauses DORA évoquées plus haut vous protègent aussi dans ce cas : votre code dans vos dépôts, vos données restituées dans un format exploitable et une période de transition pendant le changement.

Où se situe amBrain ?

amBrain, qui publie ce blog, est une société d'ingénierie logicielle basée à Erevan, en Arménie : la partie arménienne de cet article s'applique donc aussi à elle. Parmi ses services figurent le « développement de terminaux de trading, systèmes de gestion des ordres et intégration aux places de marché via le protocole FIX ». Elle développe des logiciels depuis 2019 et travaille en trois formats : la prestation complète, une équipe dédiée ou des ingénieurs intégrés à votre équipe.

Sur la propriété, sa formule est : « Le client conserve la pleine propriété du produit et du code, à l'exception de nos composants réutilisables. » Si amBrain figure sur votre liste restreinte, posez-lui les questions ci-dessus comme à n'importe quelle autre société : si elle signe les clauses contractuelles types, d'où travaille chaque ingénieur, si elle accepte les clauses de l'article 30 et quels composants réutilisables elle entend par là.

Cet article ne constitue pas un conseil juridique : faites relire le contrat par un avocat avant de le signer.