COUR D’APPEL D’AIX-EN-PROVENCE

Chambre 3-1

ARRÊT

DU 11 JUIN 2026

Rôle N° RG 25/11761 – N° Portalis DBVB-V-B7J-BPHK3

S.A.S. AMADEUS

C/

Société [G] [B]

S.A.S. GANDI

S.A.S. STOCK2COM

Copie exécutoire délivrée

le : 11 juin 2026

à :

M^e Romain CHERFILS

M^e Philippe-Laurent SIDER

M^e David-André DARMON

Décision déférée à la Cour :

Ordonnance de référé rendue par le Président du tribunal de commerce d’ANTIBES en date du 10 Septembre 2025 enregistrée au répertoire général sous le n°2025R00037.

APPELANTE

S.A.S. AMADEUS

prise en la personne de son représentant légal

dont le siège social est situé [Adresse 1]

représentée par M^e Romain CHERFILS de la SELARL LX AIX EN PROVENCE, avocat au barreau d’AIX-EN-PROVENCE

et assistée de M^e Anne COUSIN de la SCP DERRIENNIC & ASSOCIES, avocat au barreau de PARIS, plaidant

INTIMÉES

SARL [G] [B]

prise en la personne de son représentant légal

dont le siège social est situé [Adresse 2]

représentée par M^e Philippe-Laurent SIDER, avocat au barreau d’AIX-EN-PROVENCE

et assistée de M^e Robin CASTEL de la SELARL ARDENS, avocat au barreau de PARIS, plaidant

S.A.S. GANDI

prise en la personne de son représentant légal en exercice

dont le siège social est situé [Adresse 3]

représentée par M^e David-André DARMON, avocat au barreau de NICE

et assistée de M^e Yann CHENET, avocat au barreau de PARIS, plaidant

S.A.S. STOCK2COM

prise en la personne de son représentant légal en exercice

dont le siège social est situé [Adresse 4]

défaillante

*-*-*-*-*

COMPOSITION DE LA COUR

L’affaire a été débattue le 07 Mai 2026 en audience publique. Conformément à l’article 804 du code de procédure civile, M^me COMBRIE, Conseillère, a fait un rapport oral de l’affaire à l’audience avant les plaidoiries.

La Cour était composée de :

Madame Cathy CESARO-PAUTROT, Présidente

Madame Stéphanie COMBRIE, Conseillère rapporteure

Madame Cecile BRAHIC-LAMBREY, Conseillère

qui en ont délibéré.

Greffier lors des débats : M^me Julie DESHAYE.

Les parties ont été avisées que le prononcé de la décision aurait lieu par mise à disposition au greffe le 11 Juin 2026.

ARRÊT

Réputé contradictoire,

Prononcé par mise à disposition au greffe le 11 Juin 2026,

Signé par Madame Cathy CESARO-PAUTROT, Présidente et M^me Julie DESHAYE, greffière à laquelle la minute de la décision a été remise par le magistrat signataire.

***

EXPOSE DU LITIGE

La société [G] [B] est une agence de voyages domiciliée à [Localité 1]. Afin de pouvoir procéder aux réservations auprès des prestataires de services, elle recourt à une plateforme informatique gérée par la société Amadeus qui intègre les offres et tarifications, notamment des compagnies aériennes et des hôtels.

Par ailleurs, la société [G] [B] fait appel à la société Stock2com, distributeur des services de la société Gandi, spécialisée dans la création de sites internet, noms de domaine et boîtes de courriers électroniques.

En mars et avril 2025, la société [G] [B] a déclaré avoir été victime de deux piratages informatiques ayant généré la commande de billets d’avion pour plus de 280 000 euros et dont elle indique ne pas être à l’origine.

Par acte des 5 et 6 juin 2025, la société [G] [B] a fait assigner la société Amadeus ainsi que les sociétés Gandi et Stock2com devant le juge des référés du tribunal de commerce d’Antibes afin d’obtenir, à titre principal, la désignation d’un expert judiciaire au visa de l’article 145 du code de procédure civile.

Par ordonnance du 10 septembre 2025, le juge des référés a :

Au principal, renvoyé les parties à se pourvoir ainsi qu’elles en aviseront mais dès à présent, vu l’urgence ;

Ordonné une mesure d’expertise judiciaire :

Nommé : Madame [F] [K] née [C]

Demeurant : [Adresse 5]

Courriel : [Courriel 1]

PT : 06 23 79 94 73

Avec pour mission de :

— se rendre sur place, chez [G] [B] afin de prendre possession des ordinateurs concernés, et y mener toute analyse qu’il jugera nécessaire;

— se faire communiquer par Amadeus tous les détails relatifs aux connexions sur ses systèmes au nom et pour le compte de [G] [B] (« logs »), au cours des trois derniers mois, en relevant notamment les horaires, origines de connexion (adresses IP) ainsi que toute information utile ;

— se faire communiquer par Amadeus, l’ensemble du protocole de sécurité applicable à l’agence [G] [B] et notamment, mais pas limitativement, les critères monitorés dans le cadre de son dispositif d’alerte anti-fraude et les détails des alertes intervenues au cours des deux

derniers mois s’agissant du compte de l’agence [G] [B] ; ainsi que les dates ou ces protocoles ont été proposés, implantés ou déclinés, le tout sous couvert d’un dispositif de protection des affaires ;

— se faire communiquer par Gandi tous les détails et en particulier les dates relatifs aux connexions sur ses systèmes au nom et pour le compte de [G] [B] (« logs ») au cours des trois derniers mois, en relevant notamment les horaires, origines de connexion (adresses IP) ainsi que toute information utile et notamment la copie des emails ou de traces d’emails hébergés par Gandi sous le nom de domaine (@aquila-[B]-corse.fr dont la suppression serait intervenue au cours des deux derniers mois ;

— examiner les désordres allégués dans l’assignation et ses pièces annexes ;

les décrire, en indiquer la nature, l’importance, la date d’apparition ; en rechercher la ou les causes ;

— fournir tous renseignements et éléments techniques et/ou de fait, permettant au tribunal de statuer sur les éventuelles responsabilités encourues ;

— après avoir exposé ses observations sur la nature des travaux de sécurisation propres à remédier aux désordres, et leurs délais d’exécution, chiffrer, à partir des devis fournis par les parties, éventuellement assistées d’un cabinet conseil en la matière, le coût de ces travaux ;

— fournir tous éléments de nature à permettre ultérieurement à la juridiction saisie d’évaluer les préjudices de toute nature directs, matériels ou immatériels résultant des désordres, notamment le préjudice de jouissance subi ou pouvant résulter des travaux de remise en état ;

— dire si des travaux urgents sont nécessaires soit pour empêcher l’aggravation des désordres et du préjudice qui en résulte, soit pour prévenir les dommages aux personnes ou aux biens ; dans l’affirmative, à la demande d’une partie ou en cas de litige sur les travaux de sauvegarde nécessaires, décrire ces travaux et en faire une estimation sommaire dans un rapport intermédiaire qui devra être déposé aussitôt que possible ;

— faire toutes observations utiles au règlement du litige ;

— faire injonction aux parties de communiquer aux autres parties dès le début de l’expertise les documents de toute nature mais seulement ceux strictement nécessaires à la compréhension des éléments relatifs au litige qu’elles adresseront à l’expert pour établir le bien fondé de leurs prétentions ;

Dit que l’expert accomplira sa mission conformément aux dispositions des articles 273 et suivants du code de procédure civile, en particulier, il pourra recueillir les déclarations de toute personne informée et s’adjoindre de tout spécialiste de son choix pris sur la liste des experts établies près ce tribunal ;

Fixé à la somme de 4 000,00 euros le montant de la provision à consigner par la SARL [G] [B], avant le 20 octobre 2025 au greffe de ce tribunal, par application de l’article 269 du CPC ;

Dit qu’à défaut de consignation dans le délai prescrit, par application de l’article 271 du CPC, la désignation de l’expert sera caduque ;

Fixé la mission de l’expert à six mois à compter de la consignation de la provision à valoir sur ses honoraires ;

Dit que le greffier de ce tribunal informera l’expert de la consignation intervenue ;

Dit que la présente ordonnance sera notifiée par le greffier à l’expert qui devra faire connaître sans délai son acceptation ;

Dit qu’en cas de difficultés dans l’accomplissement de sa mission, l’empêchement notamment de respecter les délais prescrits, l’expert s’en référera au président de ce tribunal ou au juge désigné par lui ;

Dit que l’expert devra dans le même temps l’informer immédiatement, au cas où les parties venant à se concilier, sa mission deviendrait sans objet ;

Ordonné que la taxe de l’expert soit à la charge des parties à parts égales ;

Dit qu’en cas d’empêchement de l’expert ou du refus de sa part, il sera, à la requête de la partie la plus diligente, procédé à son remplacement par le président de ce tribunal ;

Dit que sur justification de l’accomplissement de sa mission et après, dépôt de son rapport le président taxera les frais et les vacations de l’expert, et l’autorisera à se faire remettre jusqu’à due concurrence, les sommes consignées au Greffe ;

Dit n’y avoir lieu à application des dispositions de l’article 700 du code de procédure civile ;

Dit les dépens de la présente instance à la charge de la (sic) en ce compris les frais de greffe liquidés à la somme de 90,05 euros dont TVA 9,62 euros ;

*

Par acte du 9 octobre 2025 la société Amadeus a interjeté appel de l’ordonnance.

*

Par conclusions notifiées par voie dématérialisée le 22 avril 2026, auxquelles il convient de se reporter pour l’exposé détaillé de ses prétentions et moyens, la société Amadeus (SAS) demande à la cour de :

— déclarer la société Amadeus recevable et bien fondée en son appel ;

Y faisant doit,

Sur la compétence :

A titre principal,

— annuler l’ordonnance du 10 septembre 2025 du président du tribunal de commerce d’Antibes pour défaut de motivation ;

— en conséquence, renvoyer [G] [B] à mieux se pourvoir ;

A titre subsidiaire,

— infirmer l’ordonnance du 10 septembre 2025 du président du tribunal de commerce d’Antibes en ce qu’elle a rejeté l’exception d’incompétence territoriale soulevée par Amadeus ;

Et, statuant à nouveau,

— renvoyer les parties devant la cour d’appel de Paris ;

Sur le fond :

A titre principal,

— annuler l’ordonnance du 10 septembre 2025 du président du tribunal de commerce d’Antibes pour défaut de motivation ;

— en conséquence, renvoyer [G] [B] à mieux se pourvoir ;

A titre subsidiaire,

— infirmer l’ordonnance du 10 septembre 2025 du président du tribunal de commerce d’Antibes en ce qu’elle a ordonné une mesure d’expertise en méconnaissance des dispositions de l’article 145 du code de procédure civile ;

A titre plus subsidiaire,

— déclarer irrecevable [G] [B] en son appel incident tendant à la réformation des trois premiers chefs de mission de l’expert comme suit :

o se rendre sur place, chez [G] [B] afin de prendre possession des disques durs des ordinateurs concernés, et chez Amadeus afin d’accéder au serveur applicatif, et y mener toute analyse qu’il jugera nécessaire ;

o se faire communiquer par Amadeus les logs de connexion à la Solution au cours des 3 derniers mois précédant la fraude des 19 et 20 avril 2025 ;

o se faire communiquer par Amadeus l’ensemble du protocole de sécurité applicable à [G] [B] et notamment les critères monitorés dans le cadre de son dispositif d’alerte antifraude et les détails des alertes intervenues au cours des 2 derniers mois précédant la fraude des 19 et 20 avril 2025, ainsi que les dates où ces protocoles ont été proposés, implantés ou déclinés ;

— infirmer l’ordonnance du 10 septembre 2025 du président du tribunal de commerce d’Antibes en ce qu’elle a :

o fixé la mission de l’expert dans les conditions suivantes :

' se rendre sur place, chez [G] [B] afin de prendre possession des ordinateurs concernés, et y mener toute analyse qu’il jugera nécessaire ;

' se faire communiquer par Amadeus tous les détails relatifs aux connexions sur ses systèmes au nom et pour le compte d'[G] [B] (« logs »), au cours des trois derniers mois, en relevant notamment les horaires, origines de connexion (adresses IP) ainsi que toute information utile ;

' se faire communiquer par Amadeus, l’ensemble du protocole de sécurité applicable à l’agence [G] [B] et notamment, mais pas limitativement, les critères monitorés dans le cadre de son dispositif d’alerte anti-fraude et les détails des alertes intervenues au cours des deux derniers mois s’agissant du compte de l’agence [G] [B] ; ainsi que les dates auxquelles ces protocoles ont été proposés, implantés ou déclinés, le tout sous couvert d’un dispositif de protection des affaires ;

' se faire communiquer par Gandi tous les détails et en particulier les dates relatifs aux connexions sur ses systèmes au nom et pour le compte d'[G] [B] (« logs ») au cours des trois derniers mois, en relevant notamment les horaires, origines de connexion (adresses IP) ainsi que toute information utile et notamment la copie des e-mails ou de traces d’e-mails hébergés par Gandi sous le nom de domaine (@aquila-[B]-corse.fr dont la suppression serait intervenue au cours des deux derniers mois ;

' examiner les désordres allégués dans l’assignation et ses pièces annexes ; les décrire, en indiquer la nature, l’importance, la date d’apparition ; en rechercher la ou les causes ;

' fournir tous renseignements et éléments techniques et/ou de fait, permettant au tribunal de statuer sur les éventuelles responsabilités encourues ;

' après avoir exposé ses observations sur la nature des travaux de sécurisation propres à remédier aux désordres, et leurs délais d’exécution, chiffrer, à partir des devis fournis par les parties, éventuellement assistées d’un cabinet conseil en la matière, le coût de ces travaux ;

' fournir tous éléments de nature à permettre ultérieurement à la juridiction saisie d’évaluer les préjudices de toute nature directs, matériels ou immatériels résultant des désordres, notamment le préjudice de jouissance subi ou pouvant résulter des travaux de remise en état ;

' dire si des travaux urgents sont nécessaires soit pour empêcher l’aggravation des désordres et du préjudice qui en résulte, soit pour prévenir les dommages aux personnes ou aux biens ; dans l’affirmative, à la demande d’une partie ou en cas de litige sur les travaux de sauvegarde nécessaires, décrire ces travaux et en faire une estimation sommaire dans un rapport intermédiaire qui devra être déposé aussitôt que possible ;

' faire toutes observations utiles au règlement du litige ;

' faire injonction aux parties de communiquer aux autres parties dès le début de l’expertise les documents de toute nature mais seulement ceux strictement nécessaires à la compréhension des éléments relatifs au litige qu’elles adresseront à l’expert pour établir le bien-fondé de leurs prétentions ;

o ordonné que la taxe de l’expert soit à la charge des parties à parts égales ;

Et, statuant à nouveau,

— fixer la mission de l’expert dans les conditions suivantes :

o convoquer les parties ;

o fixer le calendrier du déroulement de la mission ;

o se faire remettre tous les documents qui lui paraîtraient nécessaires à l’exécution de sa mission et notamment :

' l’ensemble des ordinateurs des salariés de la société [G] [B] au moment des faits invoqués ;

' se faire communiquer par Amadeus les logs de connexion à la Solution pour le compte d'[G] [B] des 29 et 30 mars 2025 et 19 et 20 avril 2025 ;

' les procédures quels qu’en soient le support et le format mises en place par [G] [B] pour assurer la fiabilité et la sécurité de son système informatique en ce compris, sans que cette liste soit limitative, le serveur de messagerie électronique, l’accès aux ordinateurs d'[G] [B], la sécurisation des identifiants et mots de passe des utilisateurs autorisés du système informatique d'[G] [B] ;

' tous documents justifiant la réalisation des achats de billets contestés ;

o mettre en place une procédure spécifique permettant de protéger le secret des affaires de la société Amadeus IT Group SA avant de se faire communiquer des informations sur les procédures encadrant l’accès à la Solution et son dispositif antifraude ;

o procéder à l’analyse de l’ensemble des éléments visés ci-dessus et sur cette base, compte tenu de son expérience et de sa connaissance de l’état de l’art en matière de sécurité informatique, donner son avis sur la ou les causes des achats de billets aériens contestés intervenus (i) les 29 et 30 mars 2025 (ii) et les 19 et 20 avril 2025 à partir des mots de passe et identifiants d'[G] [B] et de ses personnels et à ce titre :

' donner son avis sur la procédure d’accès à la plateforme Amadeus Sell Connect par les utilisateurs ;

' donner son avis sur les mesures de sécurisation mises en place par Amadeus IT Group ;

' donner son avis sur les règles de sécurité effectivement mises en place par [G] [B] avant les 29 et 30 mars 2025 et avant les 19 et 20 avril 2025 ;

' déterminer les causes des incidents survenus les 29 et 30 mars 2025 et les 19 et 20 avril 2025 ;

' donner son avis sur le préjudice subi par [G] [B] ;

o plus globalement, donner tous éléments permettant au tribunal de comprendre les causes et de fixer les responsabilités résultant des incidents des 29 et 30 mars 2025 et 19 et 20 avril 2025 ;

o remettre aux parties un pré-rapport de mission dans les 3 mois de la première réunion des parties et son rapport définitif de mission 1 mois plus tard ;

o fournir tout renseignement et élément technique et/ou de fait permettant au tribunal de statuer sur les éventuelles responsabilités encourues ;

o fournir tous éléments de nature à permettre ultérieurement à la juridiction saisie d’évaluer les préjudices de toute nature subis par les parties ;

o dire que la société [G] [B] sera tenue du versement de la provision à valoir sur les honoraires de l’expert dans le délai fixé par l’arrêt à intervenir ;

— ordonner que la taxe de l’expert soit à la charge d'[G] [B] ;

Dans tous les cas,

— rejeter tous moyens et demandes contraires au présent dispositif ;

— infirmer l’ordonnance du 10 septembre 2025 du président du tribunal de commerce d’Antibes en ce qu’elle a dit n’y avoir lieu à application des dispositions de l’article 700 du code de procédure civile ;

Et, statuant à nouveau,

— condamner la société [G] [B] à verser à la société Amadeus la somme de 10 000 euros en application de l’article 700 du code de procédure civile ;

— infirmer l’ordonnance du 10 septembre 2025 du président du tribunal de commerce d’Antibes en ce qu’elle a dit que les dépens seraient à la charge d’une partie qu’elle n’a pas mentionnée ;

Et, statuant à nouveau,

— condamner la société [G] [B] aux entiers dépens de première instance et d’appel, ceux d’appel distraits au profit de Maître Romain Cherfils, membre de la SELARL LX Aix-en-Provence, avocat associé, aux offres de droit.

*

Par conclusions notifiées par voie dématérialisée le 2 mars 2026, auxquelles il convient de se reporter pour l’exposé détaillé de ses prétentions et moyens, la société Gandi (SAS) demande à la cour de :

Vu l’article L.721-3 du code de commerce,

Vu les articles 145 et 455 du code de procédure civile,

Vu les articles 232 et suivants du code de procédure civile,

Vu l’ordonnance de référé du président du tribunal de commerce d’Antibes du 10 septembre 2025

In limine litis :

Faire droit à l’exception d’incompétence soulevée par la société Amadeus,

A titre principal :

Annuler l’ordonnance du 10 septembre 2025 pour défaut de motivation,

A titre subsidiaire :

Juger la demande de désignation d’un expert par la société [G] [B] irrecevable au regard des dispositions de l’article 145 du code de procédure civile

En conséquence :

Infirmer l’ordonnance du 10 septembre 2025,

A titre infiniment subsidiaire :

Infirmer l’ordonnance du 10 septembre 2025 quant aux chefs de mission qu’elle a ordonnés,

En conséquence, et statuant à nouveau :

Fixer les chefs de mission de l’expert de la manière suivante :

— convoquer les parties ;

— fixer le calendrier du déroulement de la mission ;

— se faire remettre tous les documents qui lui paraîtraient nécessaires à l’exécution de sa mission et notamment :

— prendre possession de l’ensemble des ordinateurs de la société [G] [B] tels qu’existant au moment des faits dénoncés et des disques durs qui ont été changés en totalité le 28 avril 2025,

— se faire communiquer par la société [G] [B] les protocoles de sécurités tels qu’existants et mis en 'uvre au sein de la société [G] [B] :

' avant et après l’installation le 21 février 2025 de l’exécutable 'Docuflex.exe’ sur le poste dénommé 'PC-[G]-1' ou 'PC-Barabara',

' avant et après l’installation le 27 mars 2025 du trojan sur le poste dénommé 'PC-[G]-1' ou 'PC-Barabara’ ;

' avant les 19 et 20 avril 2025, puis à compter du 28 avril 2025, date du remplacement de l’ensemble des disques durs des ordinateurs de la société [G] [B].

— se faire communiquer par la société Amadeus les logs de connexion à la Solution pour le compte de la société [G] [B] des 29 et 30 mars 2025 et 19 et 20 avril 2025 ;

— se faire communiquer par la société [G] [B] tous documents justifiant la réalisation des achats de billets contestés ;

— se faire communiquer par la société Gandi les logs liés à l’envoi la réception de message, les logs des messages liés à des actions prises sur les messages déjà dans la boîte de courrier électronique, les logs de connexion aux boites mails nominativement désignées, sur la période couvrant les trois derniers précédant les 29 et 30 mars 2025 et les 19 et 20 avril 2025,

— mettre en place une procédure spécifique permettant de protéger le secret des affaires de la société Amadeus IT Group SA avant de se faire communiquer des informations sur les procédures encadrant l’accès à la Solution et son dispositif antifraude ;

— procéder à l’analyse de l’ensemble des éléments visés ci-dessus et sur cette base, compte tenu de son expérience et de sa connaissance de l’état de l’art en matière de sécurité informatique, donner son avis sur la ou les causes des achats de billets aériens contestés intervenus (i) les 29 et 30 mars 2025 (ii) et les 19 et 20 avril 2025 à partir des mots de passe et identifiants de la société [G] [B] et de ses personnels et à ce titre :

— donner son avis sur la procédure d’accès à la plateforme Amadeus Sell Connect par les utilisateurs ;

— donner son avis sur les mesures de sécurisation mises en place par la société Amadeus 1T Group ;

— donner son avis, au regard des règles de l’art et des règles métier en la matière, sur les mesures de sécurité mises en 'uvre par la société [G] [B] :

' avant et après l’installation le 21 février 2025 de l’exécutable 'Docuflex.exe’ sur le poste dénommé 'PC-[G]-1' ou 'PC-Barabara',

' avant et après l’installation le 27 mars 2025 du trojan sur le poste dénommé 'PC-[G]-1' ou 'PC-Barabara’ ;

' avant les 19 et 20 avril 2025, puis à compter du 28 avril 2025, date du remplacement de l’ensemble des disques durs des ordinateurs de la société [G] [B],

— donner son avis sur les conséquences attachées à la présence de l’exécutable 'Docuflex.exe’ et le trojan identifié,

— donner son avis sur l’absence de mises à jour régulières des ordinateurs de la société [G] [B] au regard des faits qu’elle dénonce ;

— déterminer les causes des incidents survenus les 29 et 30 mars 2025 et les 19 et 20 avril 2025 au regard notamment de la présence de l’exécutable 'Docuflex.exe’ sur le poste dénommé 'PC-[G]-1' ou 'PC-Barabara’ le 21 février 2025, et du trojan sur le poste dénommé 'PC-[G]-1' ou 'PC-Barabara’ le 27 mars 2025' ;

— plus globalement, donner tous éléments permettant à la juridiction éventuellement saisie au fond de comprendre les causes et de statuer sur les éventuelles responsabilités encourues résultant des incidents des 29 et 30 mars 2025 et 19 et 20 avril 2025 ;

— remettre aux parties un pré-rapport de mission dans les 3 mois de la première réunion des parties et son rapport définitif de mission 1 mois plus tard ;

— fournir tous éléments de nature à permettre ultérieurement à la juridiction éventuellement saisie au fond d’évaluer les préjudices de toute nature subis par les parties ;

Juger que la société [G] [B], demanderesse à l’expertise, sera tenue du versement de la provision à valoir sur les honoraires de l’expert dans le délai fixé par l’arrêt à intervenir ;

Ordonner que la taxe de l’expert soit à la charge de la société [G] [B] ;

Réserver les dépens.

*

Par conclusions notifiées par voie dématérialisée le 14 avril 2026, auxquelles il convient de se reporter pour l’exposé détaillé de ses prétentions et moyens, la société [G] [B] (SARL) demande à la cour de :

Vu l’article 145 du code de procédure civile,

Confirmer l’ordonnance rendue par M. Le président du tribunal de commerce d’Antibes en date du 10 septembre 2025 en ce qu’elle a accueilli la demanderesse en ses demandes et ordonné une expertise judiciaire

Confirmer l’ordonnance en ce qu’elle prévoit les chefs de mission 4 à 9 suivants :

4. Examiner les désordres allégués, les décrire, en rechercher la ou les causes.

5. Fournir tout renseignement et élément technique permettant au tribunal de statuer sur les responsabilités éventuelles.

6. Donner son avis sur la nature des travaux de sécurisation propres à remédier aux désordres et leurs délais d’exécution, chiffrer à partir des devis fournis par les parties le coût de ces travaux.

7. Fournir tous éléments de nature à permettre à la juridiction saisie d’évaluer les préjudices.

8. Dire si des travaux urgents sont nécessaires pour empêcher l’aggravation des désordres et du préjudice ou prévenir des dommages aux personnes ou aux biens et dans l’affirmative établir un pré rapport.

9. Faire injonction aux parties de communiquer aux autres parties tout document utile à la compréhension du litige.

Réformer les trois premiers chefs de mission de l’expert comme suit :

1. Se rendre sur place, chez [G] [B] afin de prendre possession des disques durs des ordinateurs concernés, et chez Amadeus afin d’accéder au serveur applicatif, et y mener toute analyse qu’il jugera nécessaire ;

2. Se faire communiquer par Amadeus les logs de connexion à la Solution au cours des mois de février, mars et d’avril 2025

3. Se faire communiquer par Amadeus l’ensemble du protocole de sécurité applicable à [G] [B] et notamment les critères monitorés dans le cadre de son dispositif d’alerte antifraude et les détails des alertes intervenues au cours des mois de mars et avril 2025, ainsi que les dates où ces protocoles ont été proposés, implantés ou déclinés.

Donner acte à l’appelante qu’elle s’en rapporte à justice s’agissant des chefs de mission d’expertise nouveaux, tels que sollicités par Amadeus à titre très subsidiaire.

En toute hypothèse :

Condamner la société Amadeus à payer à [G] [B] la somme de 5.000 € au titre de l’article 700 du code de procédure civile ainsi qu’aux entiers dépens, de première instance et d’appel.

*

La société Stock2com (SAS), à laquelle la déclaration d’appel et les conclusions ont été signifiées à personne morale par acte du 31 octobre 2025, n’a pas constitué avocat.

*

La clôture de l’instruction a été prononcée par ordonnance du 30 avril 2026.

MOTIFS

Sur la compétence territoriale :

La société Amadeus soulève la nullité de l’ordonnance pour défaut de motivation et conteste la compétence du tribunal de commerce d’Antibes en faisant valoir que la clause attributive de compétence est applicable dès lors que les mesures envisagées n’ont pas nécessairement à être exécutées dans le ressort de la juridiction saisie.

Elle soutient ainsi que les mesures n’ont pas vocation à être exécutées au lieu de son siège social puisque le logiciel baptisé la « Solution » est hébergé à l’étranger, que certaines communications seront faites par la société Amadeus IT Group domiciliée à Madrid ou par la société Gandi, basée à Paris et que la clause attributive, opposable à la société [G] [B], désigne le tribunal de Paris s’agissant du litige au fond.

La société Gandi se joint à la contestation formée par la société Amadeus en exposant qu’un seul chef de mission invite l’expert à se déplacer au siège des sociétés et qu’il s’agit de celui de la société [G] [B] en Corse. Ainsi, elle soutient qu’aucun chef de mission n’emporte obligation pour l’expert de se rendre au siège de la société Amadeus ni de procéder à des mesures sur le ressort du tribunal de commerce d’Antibes.

En réplique, la société [G] [B] soutient que la clause attributive de compétence invoquée par les appelantes est obsolète et qu’en tout état de cause, au regard de la pluralité de défendeurs le tribunal de commerce d’Antibes est bien compétent du fait du siège social de la société Amadeus. Elle ajoute que le lieu d’exécution de la mesure justifie également la compétence d'[Localité 2] dès lors que la société Amadeus est son seul cocontractant et dispose d’un centre technique et de recherche à [Localité 3] où les opérations devront être effectuées, même partiellement.

Elle conteste la nullité invoquée de l’ordonnance au motif de l’insuffisance de motivation et souligne que l’exception est irrecevable en ce qu’elle ne désigne pas la juridiction compétente.

Elle souligne enfin l’irrecevabilité de l’exception d’incompétence portée par la société Gandi, laquelle est nouvelle, et résulte d’une contradiction à son détriment, outre que la clause attributive de juridiction n’est pas applicable à cette société.

— la nullité de l’ordonnance

Aux termes de l’article 455 du code de procédure civile le jugement doit exposer succinctement les prétentions respectives des parties et leurs moyens. Cet exposé peut revêtir la forme d’un visa des conclusions des parties avec l’indication de leur date. Le jugement doit être motivé.

Il énonce la décision sous forme de dispositif.

Conformément à l’article 458 du même code, ce qui est prescrit par l’article 455 du code de procédure civile alinéa 1er doit être observé à peine de nullité.

En l’espèce, le juge des référés a rejeté l’exception d’incompétence soulevée par la société Amadeus au profit du président du tribunal des affaires économiques de Paris au motif que les mesures d’instruction in futurum sollicitées par la société [G] [B] « devraient, selon toutes hypothèses être en partie exécutées dans le ressort du tribunal de commerce d’Antibes » après avoir relevé que le siège social de la société Amadeus était situé à Biot (06).

Il en résulte qu’en se référant au lieu d’exécution des mesures, lequel constitue un des critères de compétence territoriale offerts au requérant qui sollicite une mesure d’instruction au visa de l’article 145 du code de procédure civile, et en se référant au siège social de l’un des défendeurs, autre critère de compétence, l’ordonnance a motivé le choix du tribunal de commerce d’Antibes, sans qu’il soit nécessaire d’examiner l’ensemble des moyens des parties au soutien de la compétence du tribunal des affaires économiques de Paris.

La demande de nullité de l’ordonnance formée par les sociétés Amadeus et Gandi est rejetée.

— les critères de compétence territoriale

En premier lieu, s’agissant d’une mesure d’instruction in futurum sollicitée au visa de l’article 145 du code de procédure civile, la clause attributive de compétence ne peut être opposée au requérant à la mesure dès lors que le juge compétent est soit le juge des référés du tribunal susceptible de connaître de l’instance au fond, soit celui du tribunal dans le ressort desquelles les mesures doivent, même partiellement, être exécutées. (Civ. 2°, 17 juin 1998 n°95-10.563, Com, 13 septembre 2017 n°16-12.196, Civ. 2° 22 octobre 2020, n°19-14.849)

Dès lors, les développements des parties concernant l’opposabilité de la clause attributive de compétence contenue dans le contrat signé le 10 novembre 1993 ou ses avenants entre la société [G] [B] et la société Amadeus, et donnant compétence aux juridictions « du ressort de la cour d’appel de Paris », sont inopérants devant le juge des référés.

En second lieu, les chefs de mission confiés à l’expert désigné par le juge des référés n’incluent pas expressément mission pour l’expert de se déplacer au siège social de la société Amadeus comme le soutiennent les parties appelantes. Seul le siège social de la société [G] [B], situé en Corse, est concerné par des opérations expertales sur site.

Néanmoins, il est fait obligation à la société Amadeus de communiquer un certain nombre de pièces relatives aux connexions sur ses systèmes au nom et pour le compte de la société [G] [B] et au protocole de sécurité applicable à cette même société.

Ces chefs de mission (2° et 3°), s’ils n’impliquent pas à ce stade l’exécution matérielle de mesures au siège de la société Amadeus situé à [Localité 3], n’excluent pas pour autant que l’expert soit amené à poursuivre ses investigations, en partie, au siège de cette société, nonobstant les mesures qui pèsent par ailleurs sur les sociétés Gandi et Stock2com.

En tout état de cause, la société Amadeus reste la principale débitrice de l’obligation de communication résultant des chefs de mission confiés à l’expert.

En outre, et sans préjudice de la clause attributive de compétence, le tribunal de commerce d’Antibes a vocation à être compétent du seul fait de la domiciliation de la société Amadeus, défendeur à une éventuelle action au fond en responsabilité contractuelle, sur le ressort de la juridiction en application de l’article 42 du code de procédure civile, de sorte que la compétence du juge des référés d’Antibes est justifiée à double titre.

Enfin, les moyens soulevés par la société [G] [B] au titre de l’irrecevabilité de l’exception d’incompétence qui serait soutenue par la société Gandi doivent être écartés dès lors que le dispositif des conclusions de cette dernière ne contient pas de prétention en ce sens mais sollicite qu’il soit fait droit à l’exception d’incompétence soulevée par la société Amadeus.

En conséquence, l’ordonnance doit être confirmée en ce qu’elle a retenu la compétence du juge des référés du tribunal de commerce d’Antibes.

La compétence matérielle du tribunal de commerce, contestée en première instance par la société Gandi, n’est plus soutenue en cause d’appel, de sorte qu’il n’y a pas lieu de statuer de ce chef.

Sur les mesures in futurum :

La société Amadeus invoque en premier lieu la nullité de l’ordonnance au visa de l’article 455 du code de procédure civile en faisant valoir que le juge des référés n’a pas motivé sa décision et n’a pas répondu aux arguments soulevés, se contentant de reprendre les termes de l’expertise qui lui étaient proposés.

En second lieu, elle remet en cause le bien-fondé de la mesure d’expertise ordonnée et soutient qu’elle n’est fondée sur aucun motif légitime en l’absence de tout élément permettant de lui imputer une responsabilité. La société Amadeus conteste que son logiciel la « Solution » soit à l’origine du piratage dénoncé par la société [G] [B] et elle met en exergue pour sa part la sécurisation insuffisante de l’environnement technique de cette dernière qui serait à l’origine des achats frauduleux.

Elle ajoute que l’utilité et le principe de proportionnalité de la mesure font défaut au regard de l’enquête pénale d’ores et déjà en cours et du caractère d’audit de sécurité de la Solution que revêt la mesure d’expertise.

Plus subsidiairement, la société Amadeus sollicite une modification de certains chefs de mission afin que soit intégré également l’établissement de la responsabilité de la société [G] [B]. Elle s’oppose par ailleurs à l’appel incident de la société [G] [B], qui doit être déclaré irrecevable faute d’intérêt, en faisant observer que les demandes de cette dernière tendent à ajouter aux missions qu’elle a elle-même voulues dans le cadre de son assignation.

La société Gandi invoque également la nullité de l’ordonnance en soutenant que le juge des référés n’a pas répondu à sa demande de modification de la mission de l’expert telle qu’elle la proposait, et n’a pas davantage motivé le caractère légitime de la mesure.

Elle prétend que la mesure ne présente aucun intérêt probatoire, qu’elle est inutile en ce qu’elle porte sur un objet qui a disparu et n’a pas vocation à pallier la défaillance de la société [G] [B].

Subsidiairement, elle demande la modification, voire la suppression, des chefs de mission ordonnés qui sont sans lien avec les faits de l’espèce et qui n’ont vocation qu’à établir son éventuelle responsabilité et celle de la société Amadeus sans prise en compte des carences de la société requérante.

En réplique, la société [G] [B] fait valoir le bien-fondé de la mesure d’expertise et soutient qu’elle a versé aux débats les pièces justifiant du désordre invoqué et permettant d’en imputer une responsabilité contractuelle à la société Amadeus voire à la société Gandi. Elle ajoute qu’au contraire, les hypothèses et suppositions émises par la société Amadeus sur l’origine de la fraude doivent être vérifiées.

Elle fait également valoir que les griefs formés à l’encontre de la société Amadeus portent par ailleurs sur la tardiveté de l’alerte et l’absence de démarches auprès de « IATA » et des compagnies aériennes et que l’enquête pénale ne fait pas obstacle à la mesure judiciaire.

Elle conteste la disparition de l’objet de l’expertise compte-tenu du matériel mis à disposition ou susceptible de l’être auprès de l’expert et ajoute que la procédure fait suite au refus de la société Gandi, via son prestataire Stock2com, de répondre à ses demandes de communication.

Enfin, la société [G] [B] reprend chacun des chefs de l’expertise avec les modifications sollicitées.

— la nullité de l’ordonnance

Au visa des articles 455 et 458 du code de procédure civile rappelés ci-dessus il n’y a pas davantage lieu à annulation de la décision de première instance au motif d’un défaut de motivation.

En effet, le juge des référés a justifié la décision en ces termes « à ce stade du litige entre les parties, il apparaît qu’un éclairage technique sur l’enchaînement des événements et par voie de conséquence des responsabilités ne peut être qu’indispensable à l’établissement de la vérité ».

Si le premier juge n’a pas pris toute la mesure du caractère autonome des dispositions de l’article 145 du code de procédure civile relatif aux mesures in futurum, il n’en a pas moins motivé sa décision sur la nécessité d’obtenir un éclairage d’ordre technique en vue de déterminer les responsabilités éventuelles, caractérisant l’utilité d’obtenir des preuves indispensables à la solution du litige.

En conséquence, l’exception de nullité n’est pas davantage fondée.

— les mesures d’instruction

Aux termes de l’article 145 du code de procédure civile, s’il existe un motif légitime de conserver ou d’établir avant tout procès la preuve des faits dont pourrait dépendre la solution d’un litige, les mesures d’instruction légalement admissibles peuvent être ordonnées à la demande de tout intéressé, sur requête ou en référé.

Les mesures légalement admissibles sont celles qui sont circonscrites dans le temps et dans leur objet et proportionnées à l’objectif poursuivi et aux intérêts antinomiques en présence.

Il n’appartient pas au juge des référés de se prononcer sur le bien-fondé de l’action au fond envisagée. En revanche, il est tenu d’apprécier l’existence d’un litige plausible qui ne soit pas fondé sur des prétentions manifestement vouées à l’échec ou irrecevables.

En l’espèce, l’intervention frauduleuse de tiers à la procédure dans le piratage informatique dont a été l’objet la société [G] [B] n’est pas exclue, de même que l’existence d’un vecteur d’intrusion interne à la société. Pour autant, la société [G] [B] met en exergue une défaillance dans le système de détection des intrusions de la part de la société Amadeus ainsi qu’une absence de prise en compte des mises en garde effectuées à la suite du premier piratage.

La société Amadeus, pour sa part, si elle conteste toute responsabilité dans les fraudes intervenues dans le courant des mois de mars et avril 2025, n’apporte pas la preuve de ce qu’elle serait étrangère aux faits ni de ce qu’elle n’aurait pas a minima failli dans son dispositif d’alerte et ce, alors que le piratage allégué procède en tout état de cause d’une réservation de billets d’avion via le logiciel mis à disposition par la société Amadeus.

Les rapports établis le 7 mai 2025 par la société Cybex soulignent la difficulté de reconstituer le vecteur d’intrusion au seul vu de l’examen des postes de travail présents au sein de l’agence de la société [G] [B], et déplorent l’absence de journaux de connexion pour la messagerie et la plateforme « Amadeus », attestant de l’utilité des mesures d’instruction afin de déterminer les responsabilités respectives.

Par ailleurs, les dispositions de l’article 145 du code de procédure civile n’ont pas pour autre objet que d’établir la preuve de faits dont peut dépendre la solution d’un litige ultérieur, et d’éviter ainsi la carence du requérant dans l’administration de la preuve devant les juges éventuellement saisis de ce différend.

Il en résulte que l’article 146 du code de procédure civile, aux termes duquel une mesure d’instruction ne peut être ordonnée en vue de suppléer la carence probatoire d’une partie, n’a pas vocation à s’appliquer aux mesures sollicitées avant tout procès au fond au seul visa de l’article 145 du code de procédure civile.

Dès lors, le moyen invoqué par la société Gandi tenant à la carence probatoire de la société [G] [B] est inopérant s’agissant d’une mesure sollicitée au visa de l’article 145 du code de procédure civile.

Au surplus, l’inutilité de la mesure n’est pas caractérisée considérant que si la société [G] [B] ne conteste pas avoir fait procéder au changement des disques durs à la suite du premier piratage, elle précise qu’elle tient à la disposition de l’expert les disques durs remplacés, et a d’ores et déjà procédé à la remise de postes.

Les considérations relatives au nombre d’ordinateurs remis à l’expert, outre qu’elles ont trait à l’exécution de la mesure d’expertise, ne sont pas de nature à faire obstacle aux investigations au regard de la latitude donnée à l’expert de prendre possession « des ordinateurs concernés » sans distinction.

La société Gandi, qui se présente comme ayant pour activité « la gestion et l’attribution des noms de domaine sur internet, la mise à disposition d’un service de courrier électronique », précise dans ses conclusions qu’elle ne refuse pas, par principe, toute collaboration avec la société [G] [B] et indique dans son dire n°2 adressé à l’expert le 4 mars 2026 qu’elle était en capacité de transmettre « les logs liés à l’envoi et la réception de message, les logs des messages liés à des actions prises sur les messages déjà la boîte de courrier électronique, les logs de connexion aux boites mail nominativement désignés ».

Elle ne conteste pas au demeurant s’être opposée à cette transmission dans le cadre des demandes préalables formulées par la société [G] [B] en invoquant être tiers à la relation contractuelle entre la société Amadeus et la société [G] [B], justifiant de plus fort les mesures ordonnées à son égard après l’échec de la communication amiable.

Enfin, si l’existence d’un procès au fond au jour de la demande constitue un obstacle à ce qu’une mesure d’instruction soit ordonnée, en revanche, une plainte pénale ne constitue pas une circonstance rendant la demande d’instruction irrecevable.

En conséquence, les mesures ordonnées au contradictoire de la société Gandi ainsi qu’à l’égard de son distributeur, la société Stock2com, apparaissent utiles à la solution du litige.

— les chefs de mission de l’expert

A titre liminaire, il convient de préciser que les demandes de modifications des chefs de mission de l’expert justifiées par des difficultés d’exécution seront écartées considérant que seul le juge qui a commis le technicien ou le juge chargé du contrôle a compétence pour accroître ou restreindre la mission confiée au technicien, même lorsque l’expertise a été ordonnée sur le fondement de l’article 145 du code de procédure civile.

La cour peut, en revanche, tirer les conséquences d’une disproportion éventuelle entre les mesures ordonnées et les intérêts antinomiques des parties au visa de l’article 145 du code de procédure civile.

En premier lieu, il convient d’observer que la mission ordonnée par le juge des référés n’est pas en tous points identique à celle sollicitée dans le cadre de l’assignation introductive initiée par la société [G] [B], attestant que des aménagements ont d’ores et déjà été apportés aux chefs de mission à la suite des débats de première instance.

En second lieu, au visa de l’article 546 du code de procédure civile et comme le soutient à juste titre la société Amadeus, la société [G] [B] est mal-fondée en cause d’appel à solliciter l’ajout de chefs de mission à la mesure qu’elle a elle-même sollicitée. En effet, le droit d’appel, même à titre incident, suppose que les demandes de l’appelant n’aient pas été accueillies par le premier juge, même partiellement, ce qui n’est pas le cas en l’espèce de la société [G] [B], qui n’est pas partie succombante.

La société [G] [B] se prévaut à cet égard de demandes formulées devant le juge des référés et auxquelles il n’aurait pas été donné suite. Néanmoins, l’examen de ses conclusions de première instance atteste que le dispositif de ses écritures n’est que la reprise à l’identique du dispositif de l’assignation en ce qui concerne la mission de l’expert (pièce 32 de l’intimée), confortant son absence d’intérêt à agir.

En troisième lieu, s’agissant des demandes de modification sollicitées par la société Amadeus, il y a lieu de faire droit à sa demande concernant la suppression du chef de mission suivant (9éme) dès lors qu’il n’est pas adapté à l’expertise informatique ordonnée :

« – Dire si des travaux urgents sont nécessaires soit pour empêcher l’aggravation des désordres et du préjudice qui en résulte, soit pour prévenir les dommages aux personnes ou aux biens ; dans l’affirmative, à la demande d’une partie ou en cas de litige sur les travaux de sauvegarde nécessaires, décrire ces travaux et en faire une estimation sommaire dans un rapport intermédiaire qui devra être déposé aussitôt que possible »

Il ne sera pas fait droit aux autres prétentions considérant, soit que leur objectif peut être poursuivi au travers des missions d’ores et déjà confiées à l’expert, soit qu’elles ressortent des observations liminaires ayant trait aux difficultés d’exécution. Il en est de même pour la société Gandi.

Enfin, la protection du secret des affaires, qui constitue une demande légitime, ne peut être formulée pour le compte et au nom d’une société qui n’est pas partie à la procédure et qui n’est pas visée à ce stade par les mesures d’instruction (Amadeus IT Group).

En conséquence, à l’exception du chef de mission supprimé, l’ordonnance doit être confirmée, dans la limite de la saisine de la cour.

Sur les frais et dépens :

La partie défenderesse à une demande de mesure d’instruction, ordonnée sur le fondement de l’article 145 du code de procédure civile, ne peut être considérée comme une partie perdante au sens de l’article 696 du code de procédure civile, cette mesure d’instruction n’étant pas destinée à éclairer le juge d’ores et déjà saisi d’un litige mais n’étant ordonnée qu’au bénéfice de celui qui la sollicite en vue d’un éventuel futur procès au fond.

En conséquence, les dépens, en ce inclus ceux de première instance et sur lesquels le premier juge n’a pas statué, sont à la charge de la société [G] [B], requérante à la mesure d’instruction.

Aucune considération d’équité ni économique ne justifie en revanche qu’elle soit tenue à indemnité au titre de l’article 700 du code de procédure civile.

En outre, il y a lieu de rejeter les demandes formées par la société Amadeus et la société Gandi à ce titre.

PAR CES MOTIFS

La cour,

Statuant dans les limites de l’appel qui lui est déféré, par arrêt réputé contradictoire, rendu publiquement et par mise à disposition au greffe,

Rejette les exceptions de nullité de l’ordonnance soulevées par la société Amadeus et la société Gandi,

Confirme l’ordonnance rendue le 10 septembre 2025 par le juge des référés du tribunal de commerce d’Antibes sauf à supprimer le chef de mission suivant donné à l’expert (9éme) :

« – Dire si des travaux urgents sont nécessaires soit pour empêcher l’aggravation des désordres et du préjudice qui en résulte, soit pour prévenir les dommages aux personnes ou aux biens ; dans l’affirmative, à la demande d’une partie ou en cas de litige sur les travaux de sauvegarde nécessaires, décrire ces travaux et en faire une estimation sommaire dans un rapport intermédiaire qui devra être déposé aussitôt que possible » ;

Y ajoutant,

Condamne la société [G] [B], requérante à la mesure d’instruction, aux dépens de première instance et d’appel,

Déboute les parties de leur demande au titre des frais irrépétibles de l’article 700 du code de procédure civile.

La greffière La présidente