Modèle de conditions d'utilisation API gratuit

Présentation

Les conditions d'utilisation d'API (CGU API) encadrent l'accès et l'usage d'une interface de programmation applicative (API) mise à disposition de développeurs ou d'entreprises tierces. Elles définissent les règles d'usage technique et juridique de l'API — limites de volumétrie, gestion des clés d'authentification, usages interdits, propriété des données transmises — indépendamment de tout engagement contractuel de niveau de service. Ce document se distingue d'un contrat d'accès commercial à une API : il s'agit d'un cadre d'utilisation généralement unilatéral, opposable par acceptation, plus proche dans sa nature de conditions générales d'utilisation que d'un contrat négocié entre deux parties. Juridiquement, ces conditions relèvent du droit commun des contrats (articles 1101 et suivants du Code civil) et, lorsqu'elles s'adressent à des utilisateurs non professionnels ou à des professionnels agissant hors de leur domaine d'activité principale, potentiellement du droit de la consommation. Une attention particulière doit être portée à la propriété des données qui transitent par l'API : les données appartenant à l'utilisateur de l'API (ou à ses propres clients) doivent être clairement distinguées des données générées ou enrichies par le fournisseur de l'API, et le régime de chacune doit être précisé. Dès lors que des données à caractère personnel transitent par l'API, le RGPD s'applique et impose, selon les rôles respectifs des parties, la conclusion d'un accord de traitement des données distinct. Quand l'utiliser : pour tout fournisseur qui met à disposition une API — gratuite, freemium ou avec des quotas d'usage — à destination de développeurs tiers, de partenaires techniques ou d'entreprises intégrant cette API dans leurs propres produits, sans qu'il s'agisse nécessairement d'un accès commercial structuré avec engagement de niveau de service (voir dans ce cas le contrat d'accès API dédié). Parties : le fournisseur de l'API, qui définit et fait évoluer unilatéralement les règles d'usage, et l'utilisateur de l'API (développeur, société, plateforme tierce), qui accède à l'API par le biais d'une clé ou d'un jeton d'authentification. Clauses essentielles : les modalités d'obtention et de gestion des clés API (délivrance, révocation, confidentialité) ; les limites d'usage et le mécanisme de rate limiting (nombre d'appels autorisés par unité de temps, comportement en cas de dépassement) ; les usages autorisés et interdits de l'API (interdiction de revente non autorisée, de scraping massif, de contournement des quotas, d'usage à des fins illicites) ; la propriété des données transitant par l'API, en distinguant les données de l'utilisateur, les données de ses propres utilisateurs finaux et les données générées par le fournisseur ; les conditions de modification ou de dépréciation de l'API (delai de préavis avant changement de version, fin de support d'une version antérieure) ; la limitation de responsabilité du fournisseur, en particulier l'absence de garantie de disponibilité continue lorsque l'API est fournie à titre gratuit ; et les conditions de suspension ou de résiliation de l'accès en cas de manquement de l'utilisateur. Erreurs à éviter : ne pas préciser de rate limiting clair, ce qui expose à des usages abusifs et à des litiges sur les motifs de blocage d'un utilisateur ; omettre la clause de propriété des données transmises via l'API, laissant planer une ambiguïté sur qui peut réutiliser quelles données ; confondre CGU d'API unilatérales et véritable contrat d'accès commercial avec engagement de SLA — si l'API est facturée avec un engagement de disponibilité, un contrat d'accès API distinct est plus adapté ; et ne pas prévoir de préavis avant dépréciation d'une version de l'API, ce qui peut casser sans avertissement les intégrations des utilisateurs tiers.