Les contrats de prestations informatiques : analyser les clauses courantes

03Méthode d'analyse d'un extrait de contrat

1. Lire chaque clause et dire de quel type elle relève.
2. Dire ce qu'elle apporte à l'entreprise et ce qu'elle fait perdre.
3. Chiffrer quand c'est possible (indisponibilité tolérée, pénalité, plafond).
4. Hiérarchiser les risques résiduels.
5. Proposer une modification ou une garantie à négocier.

Exemples corrigés

Cas 1 : analyser les clauses d'un contrat d'hébergement

Faits. La société Garnier (30 salariés) envisage de confier l'hébergement de son application de gestion à un prestataire. Elle reçoit les clauses suivantes.

Question. Analyser chaque clause, hiérarchiser les risques et proposer des points de négociation.

Analyse.

Points de négociation prioritaires.

1. Remplacer « meilleurs efforts » par un engagement de résultat sur la disponibilité (clause 2).
2. Exiger l'information préalable et l'accord de la société avant tout changement de pays ou de sous-traitant, avec localisation précisée (clauses 4 et 5), et la présence de la clause de sous-traitance prévue par la réglementation sur les données personnelles.
3. Prévoir la restitution des données dans un format ouvert, sans frais, avant leur suppression (clause 6).
4. Raccourcir le préavis, supprimer le renouvellement tacite ou le limiter à un an (clause 7).
5. Relever le plafond de responsabilité (clause 8).

Conclusion argumentée. Le contrat, en l'état, expose fortement l'entreprise : trois clauses (localisation, sous-traitance, réversibilité) présentent un risque élevé sur les données. Il ne doit pas être signé sans modification.

Écrit au décideur (au dirigeant de la société Garnier). « Je vous déconseille de signer ce contrat tel quel. Trois points sont critiques : le prestataire peut déplacer vos données dans un autre pays et changer de sous-traitants sans vous en informer, et il ne les restitue pas à la fin du contrat. Je propose de négocier d'abord la restitution gratuite des données, l'accord préalable sur la localisation et les sous-traitants, puis un engagement ferme sur la disponibilité et un plafond de responsabilité plus élevé. Si ces garanties sont refusées, il vaut mieux consulter un autre prestataire. »

Cas 2 : calculer l'effet du niveau de service et du plafond de responsabilité

Faits. Reprenant les clauses 2, 3 et 8 ci-dessus, la redevance mensuelle est de 2 400 €. Un mois de 30 jours, la disponibilité mesurée est de 97,9 %. Le même mois, une longue panne provoque un dommage estimé à 31 500 € pour la société.

Question 1. Quelle est l'indisponibilité réelle et que faut-il rembourser ? Question 2. Quelle part du dommage est couverte ?

Réponse 1.

Réponse 2.

Conclusion argumentée. Pour 11,52 heures d'indisponibilité au-delà de la tolérance, la pénalité effective n'est que de 360 € (le plafond joue), soit 15 % de la redevance mensuelle. Le plafond de responsabilité ne couvre que 7 200 € d'un dommage de 31 500 € : la société en supporte 24 300 €. Les clauses protègent donc peu face à un sinistre sérieux.

Écrit au décideur (au dirigeant). « Avec ce contrat, une panne de plus de 15 heures ne donnerait droit qu'à 360 € de pénalité, et même un dommage de 31 500 € ne serait indemnisé qu'à hauteur de 7 200 €. Je vous recommande de demander un plafond de responsabilité au moins égal à douze mois de redevance (28 800 €), un barème de pénalités sans plafond de 15 %, et de nous couvrir par une assurance adaptée si le prestataire refuse. »

Vocabulaire essentiel

Points clés à retenir

1. Le contrat fixe ce que le prestataire doit faire, avec quelle qualité, à quel prix et pour combien de temps.
2. Onze clauses courantes : objet et périmètre, niveau de service, nature de l'obligation, confidentialité, propriété et licences, localisation et protection des données, sécurité, réversibilité, durée et résiliation, responsabilité, prix.
3. Le niveau de service se chiffre (disponibilité, délais) et s'accompagne de pénalités, dont il faut regarder le plafond.
4. « Meilleurs efforts » = obligation de moyens, plus faible qu'un engagement de résultat.
5. Un prestataire qui traite des données personnelles est un sous-traitant : le contrat doit contenir les clauses prévues par la réglementation.
6. La réversibilité (restitution des données, format ouvert, délai) conditionne la liberté de changer de prestataire.
7. Un plafond de responsabilité faible laisse l'essentiel d'un sinistre à la charge de l'entreprise.
8. On hiérarchise les risques et on propose des points de négociation.

Pièges fréquents

1. Confondre disponibilité garantie et obligation de résultat : sans engagement ferme, la mention d'un pourcentage ne garantit rien.
2. Oublier le plafond des pénalités : la pénalité due peut être bien inférieure au barème.
3. Ne pas comparer le plafond de responsabilité au risque réel de dommage.
4. Passer sous silence la réversibilité : sans restitution des données, l'entreprise est prisonnière.
5. Oublier la localisation des données et les sous-traitants.
6. Ignorer le renouvellement tacite et la durée du préavis.
7. Rédiger ou analyser un contrat complexe : seules les clauses courantes sont attendues.
8. Confondre forfait et régie : le forfait fixe un prix pour un périmètre, la régie facture le temps passé.

Q&R pour le tuteur IA

Q : Qu'est-ce qu'un niveau de service ? R : Un engagement mesurable du prestataire (disponibilité, délai de prise en charge, délai de rétablissement), généralement assorti de pénalités si le niveau n'est pas atteint.

Q : Quelle différence entre obligation de moyens et obligation de résultat ? R : Dans une obligation de moyens, le prestataire doit mettre en œuvre ce qui est nécessaire sans garantir l'aboutissement. Dans une obligation de résultat, il garantit un résultat précis : le seul fait qu'il manque engage sa responsabilité.

Q : Quelle indisponibilité mensuelle correspond à une disponibilité de 99,5 % ? R : Sur un mois de 30 jours (720 heures), 0,5 % représente 3,6 heures.

Q : Pourquoi la clause de réversibilité est-elle importante ? R : Elle permet à l'entreprise de récupérer ses données dans un format exploitable et de changer de prestataire. Sans elle, l'entreprise est dépendante de son prestataire.

Q : Que vérifier dans un contrat quand le prestataire traite des données personnelles ? R : Qu'il agit comme sous-traitant et que le contrat contient les clauses prévues par le règlement général sur la protection des données, que la localisation des données est connue et que les autres sous-traitants sont encadrés.

Q : Que signifie un plafond de responsabilité de trois mois de redevance ? R : En principe, le prestataire n'indemnisera que l'équivalent de trois mois de redevance, quel que soit le dommage (sauf faute lourde ou dolosive, code civil, art. 1231-3, ou clause qui prive de sa substance l'obligation essentielle du prestataire, art. 1170). L'entreprise supporte le reste, d'où l'intérêt de négocier un plafond plus élevé.