N° RG 22/00548 – N° Portalis DBVX-V-B7G-OCFI

Décision du

Tribunal de Commerce de LYON

Au fond

du 13 décembre 2021

RG : 2020j734

ch n°

S.A.S. TERIDEAL TARVEL

C/

S.A.S. XEFI [Localité 5]

RÉPUBLIQUE FRANÇAISE

AU NOM DU PEUPLE FRANÇAIS

COUR D’APPEL DE LYON

3ème chambre A

ARRET DU 12 Juin 2025

APPELANTE :

La Société TERIDEAL TARVEL,

SAS immatriculée au RCS de [Localité 5] sous le numéro 410 344 923,

Sis [Adresse 3]

([Localité 4]

Représentée par M^e Denis WERQUIN de la SAS TW & ASSOCIÉS, avocat au barreau de LYON, toque : 1813, avocat postulant et M^e Gilles ROUMENS, avocat au bareau de PARIS, avocat plaidant.

INTIMEE :

LA SOCIETE XEFI [Localité 5],

société par actions simplifiée au capital de 210 000 euros, immatriculée au registre du commerce et des sociétés de LYON sous le numéro 412 378 895, prise en personne de ses représentants légaux en exercice, domiciliés en cette qualité audit siège.

Sis [Adresse 2]

[Localité 1]

Représentée par M^e Julien MARGOTTON de la SELARL PRIMA AVOCATS, avocat au barreau de LYON, toque : T.1287

******

Date de clôture de l’instruction : 14 Février 2023

Date des plaidoiries tenues en audience publique : 10 Avril 2025

Date de mise à disposition : 12 Juin 2025

Composition de la Cour lors des débats et du délibéré :

— Sophie DUMURGIER, présidente

— Aurore JULLIEN, conseillère

— Viviane LE GALL, conseillère

assistées pendant les débats de Céline DESPLANCHES, greffière

A l’audience, un membre de la cour a fait le rapport,

Arrêt Contradictoire rendu publiquement par mise à disposition au greffe de la cour d’appel, les parties en ayant été préalablement avisées dans les conditions prévues à l’article 450 alinéa 2 du code de procédure civile,

Signé par Sophie DUMURGIER, présidente, et par Céline DESPLANCHES, greffiere, auquel la minute a été remise par le magistrat signataire.

* * * *

EXPOSÉ DU LITIGE

La SAS Xefi [Localité 5], société ayant pour activité le conseil en systèmes et logiciels informatiques, a conclu avec la SAS Terideal Tarvel, société ayant une activité de paysagiste, un contrat de maintenance informatique en date du 16 décembre 2014 ainsi qu’un contrat de sauvegarde en date du 1er octobre 2015, les échéances mensuelles pour ces deux contrats étant de 2.365,60 euros.

Ces contrats, conclus pour une durée de 36 mois, et dont les termes étaient respectivement le 31 décembre 2017 et le 31 décembre 2018, étaient renouvelables tacitement pour une durée de 36 mois à défaut de résiliation trois mois avant l’échéance par lettre recommandée avec accusé de réception, conformément à l’article 7 de chacun des contrats.

N’ayant pas été dénoncés par la société Terideal Tarvel à leur échéance respective, les contrats ont été renouvelés par tacite reconduction pour une nouvelle période de 36 mois :

du 1er janvier 2018 au 31 décembre 2020 pour le contrat de maintenance informatique,

du 1er janvier 2019 au 31 décembre 2021 et pour le contrat de sauvegarde.

Par lettre recommandée avec accusé de réception du 1er novembre 2019, la société Terideal Tarvel a informé la société Xefi [Localité 5] qu’elle entendait résilier ses deux contrats à compter du 30 juin 2020 et s’est acquittée ensuite des factures jusqu’au 1er janvier 2020.

La société Terideal Tarvel a refusé d’honorer les factures de janvier et février 2020, indiquant avoir subi une attaque informatique le 19 janvier 2020 lui ayant causé un préjudice financier conséquent et et qui résultait à son sens du manquement de son prestataire à ses obligations contractuelles en matière de prévention et de sauvegarde des données.

Par acte introductif d’instance en date du 9 juillet 2020, la société Xefi Lyon a fait assigner la société Terideal Tarvel devant le tribunal de commerce de Lyon.

Par jugement contradictoire du 13 décembre 2021, le tribunal de commerce de Lyon a :

jugé recevable et bien fondée l’action de la société Xefi [Localité 5] à l’encontre de la société Terideal Tarvel,

condamné la société Terideal Tarvel à payer à la société Xefi [Localité 5] la somme de 29.996,31 euros TTC au titre des sommes échues et à échoir en application des contrats conclus les 16 décembre 2014 et 1er octobre 2015, outre intérêts au taux prévu à l’article L. 441-6 du code de commerce,

condamné la société Terideal Tarvel à payer à la société Xefi [Localité 5] la somme de 40 euros au titre de la facture impayée, conformément aux dispositions des articles L. 441-6 et D. 441-5 du code de commerce,

prononcé la résiliation des contrats conclus les 16 décembre 2014 et 1er octobre 2015 aux torts exclusifs de la société Terideal Tarvel à la date du 19 mars 2020,

rejeté la demande de dommages et intérêts au titre du préjudice financier de la société Terideal Tarvel,

rejeté comme non fondés tous autres moyens, fins et conclusions contraires des parties,

condamné la société Terideal Tarvel à payer à la société Xefi [Localité 5] la somme de 2.000 euros au titre de l’article 700 du code de procédure civile,

condamné la société Terideal Tarvel aux dépens de l’instance.

Par déclaration reçue au greffe le 17 janvier 2022, la société Terideal Tarvel a interjeté appel de ce jugement portant sur l’ensemble des chefs de la décision expressément critiqués.

***

Par conclusions notifiées par voie dématérialisée le 12 septembre 2022, la société Terideal Tarvel demande à la cour de :

infirmer le jugement prononcé le 13 décembre 2021 par le tribunal de commerce de Lyon dans toutes ses dispositions,

Le réformant,

dire et juger que la société Xefi [Localité 5] et la société Terideal Tarvel ont, d’un commun accord, décidé de la résiliation des contrats qui les liaient à effet du 31 mai 2020 et qu’en conséquence, seule la facture de 14 271,15 euros HT pouvait être émise en application des dispositions de l’article 8 desdits contrats et que la société Xefi [Localité 5] n’est pas fondée à réclamer la somme de 29.996,31 euros TTC,

dire et juger que les dispositions contenues dans le courrier adressé le 16 janvier 2020 par la société Xefi [Localité 5] à la société Terideal Tarvel ne constituent nullement une proposition transactionnelle qui serait devenue caduque faute d’acceptation dans le délai imparti, mais ne sont que l’application des dispositions contractuelles,

dire et juger que la société Xefi [Localité 5] a manqué à son obligation contractuelle d’assurer la sécurité du système informatique de la société Terideal Tarvel jusqu’au 31 mai 2020, ainsi qu’en atteste l’attaque virale subie par la société Terideal Tarvel 19 janvier 2020,

dire que les manquements de la société Xefi [Localité 5] lui interdisent de se prévaloir des dispositions contractuelles l’exonérant de sa responsabilité et limitant l’indemnisation de son cocontractant,

dire la société Terideal Tarvel recevable et bien fondée à former une demande reconventionnelle,

En conséquence,

débouter la société Xefi [Localité 5] de toutes ses demandes, fins et conclusions,

condamner la société Xefi [Localité 5] à payer à la société Terideal Tarvel la somme de 50.000 euros à titre de dommages et intérêts,

la condamner également à lui payer la somme de 12.500 euros sur le fondement de l’article 700 du code de procédure civile,

la condamner enfin aux entiers dépens tant de première instance que d’appel, sur le fondement de l’article 699 du code de procédure civile.

***

Par conclusions notifiées par voie dématérialisée le 2 novembre 2022, la société Xefi [Localité 5] demande à la cour, au visa des articles 1103, 1104, 1217 et 1231-1 du code civil, L. 441-6 et D. 441-5 du code de commerce, de :

confirmer en toutes ses dispositions le jugement du tribunal de commerce de Lyon du 13 décembre 2021,

Par conséquent,

juger que la société Terideal Tarvel ne s’est pas acquittée des échéances de la facture n°FAR000701 depuis janvier 2020,

juger que la société Terideal Tarvel est redevable de la somme de 29 996,31 euros TTC, au titre des obligations issues des contrats conclus les 16 décembre 2014 et 1er octobre 2015,

juger bien fondée la demande de paiement de la société Xefi [Localité 5] à l’encontre de la société Terideal Tarvel,

juger que les contrats ont été résiliés le 12 mars 2020 aux torts exclusifs de la société Terideal Tarvel, rendant exigible le montant des échéances dues jusqu’au terme des contrats,

juger que la société Xefi [Localité 5] a parfaitement respecté ses obligations contractuelles,

juger que la société Xefi [Localité 5] ne saurait être tenue responsable de l’attaque informatique du 19 janvier 2020,

juger que la société Terideal Tarvel n’a subi aucun préjudice indemnisable par la société Xefi [Localité 5],

juger que le rapport d’expertise de complaisance de la société GM Consultant est dénué de toute valeur probante,

Dès lors,

rejeter l’ensemble des demandes, fins et prétentions de la société Terideal Tarvel,

condamner la société Terideal Tarvel à payer à la société Xefi [Localité 5] la somme de 29.996,31 euros TTC au titre des sommes échues et à échoir en application des contrats conclus les 16 décembre 2014 et 1er octobre 2015, outre intérêts au taux prévu à l’article L. 441-6 du code de commerce, devenu l’article L. 441-10 du code de commerce,

condamner la société Terideal Tarvel à payer à la société Xefi [Localité 5] la somme de 40 euros au titre de la facture impayée, conformément aux dispositions des articles L. 441-6, devenu l’article L. 441-10 du code de commerce, et D. 441-5 du code de commerce,

prononcer la résiliation des contrats conclus les 16 décembre 2014 et 1er octobre 2015 aux torts exclusifs de la société Terideal Tarvel, à la date du 12 mars 2020,

condamner la société Terideal Tarvel à payer à la société Xefi [Localité 5] la somme de 8 000 euros en application de l’article 700 du code de procédure civile,

condamner la société Terideal Tarvel en tous les dépens.

La procédure a été clôturée par ordonnance du 14 février 2023, les débats étant fixés au 10 avril 2025.

Pour un plus ample exposé des moyens des parties, renvoi sera effectué à leurs dernières écritures conformément aux dispositions de l’article 455 du code de procédure civile.

MOTIFS DE LA DÉCISION

Sur la condamnation en paiement au titre de la facture n°FAR000701

La société Terideal Tarvel fait valoir que :

le courrier du 16 janvier 2020 adressé par l’intimée et acceptant une résiliation anticipée contre le paiement de la somme de 14.271,15 euros n’était pas une proposition de résolution amiable du litige soumise à un délai et susceptible de caducité,

les conditions générales de vente ne prévoient pas que le paiement de 80% des mensualités restant dues doive intervenir dans un délai précis, faute de quoi la remise de 20% serait caduque,

cette lettre ne reflète qu’une position unilatérale de l’intimée,

le paiement de l’indemnité est une modalité et non une condition de la résiliation, celle-ci étant acquise dès lors que les parties se sont accordées sur son principe, ce qui empêche toute caducité de la proposition qui a été faite,

sa condamnation devait en conséquence être limitée à la somme de 14.271,15 euros suivant la somme proposée par l’intimée, la somme de 29.996,31 euros TTC n’étant pas due,

la résiliation judiciaire aux dates des 12 et 19 mars 2020 n’est pas fondée car ces dates correspondent à l’envoi de mises en demeure portant sur des échéances dites impayées concernant les prestations des mois de janvier et février 2020, l’intimée ne démontrant pas avoir respecté ses obligations contractuelles sur cette période,

la condamnation aux intérêts au taux prévu à l’article L.441-6 du code de commerce n’est pas justifiée, ce texte n’ayant pas de lien avec le présent litige, sans compter que les premiers juges n’ont pas fixé le point de départ des intérêts qui, faute de mise en demeure, ne peut intervenir qu’à compter de la date de l’assignation au plus tard,

les conditions générales de vente des contrats prévoient un taux d’intérêt différent de la demande présentée, fondée sur l’article L.441-6 du code de commerce dans sa version applicable au litige,

la mise en demeure du 12 mars 2020 ne portait que sur les échéances de janvier et février 2020, soit 4.731,20 euros, de sorte que les intérêts ne peuvent courir que sur cette somme.

La société Xefi [Localité 5] fait valoir que :

elle a fait application des stipulations de l’article 8 des contrats qui indiquent que le défaut de paiement à échéance après mise en demeure donne lieu à l’exigibilité immédiate de toutes les sommes restants dues jusqu’au terme du contrat,

l’appelante devait régler 2.365,60 euros TTC par mois jusqu’au terme des deux contrats, mais a cessé tout paiement à compter du mois de janvier 2020,

elle lui a coupé l’accès à ses serveurs au prétexte d’une cyber-attaque soit un événement extérieur,

elle a mis en demeure l’appelante, par lettre recommandée avec accusé de réception du 12 mars 2020, de régulariser la situation sous peine de déchéance du terme et d’exigibilité du solde des échéances,

la date du 19 mars 2020 correspond à la date de résiliation des deux contrats suite à l’envoi d’une mise en demeure par lettre recommandée avec accusé de réception du 12 mars 2020 indiquant que la déchéance du terme des contrats serait prononcée aux torts de l’appelante faute de paiement dans un délai de sept jours,

le taux d’intérêts appliqué est celui prévu à l’article L.441-10 du code de commerce, soit le taux BCE + 10 points,

le tribunal n’avait pas l’obligation de fixer le point de départ du calcul des intérêts,

l’article 1231-6 du code civil n’indique pas que la mise en demeure ferait courir les intérêts pour la somme qui y est expressément visée,

la date du 12 mars 2020 doit être retenue comme le point de départ des intérêts pour l’ensemble des sommes dues puisqu’il était rappelé qu’à défaut de paiement, l’intégralité du solde des échéances serait due,

il n’existe aucune résiliation amiable entre les parties avec effet au 1er juin 2020 dès lors que la société Terideal Tarvel n’a jamais répondu à sa proposition amiable, qui était subordonnée à la réception du paiement de 80% des échéances restant dues avant le 16 février 2020, condition qui n’a jamais été réalisée,

à défaut d’acceptation et d’exécution de la proposition amiable, les contrats devaient être exécutés par les deux parties,

l’article 8 des deux contrats prévoit que la résiliation anticipée est conditionnée au paiement d’une indemnité de sortie correspondant à 80% des mensualités restant dues jusqu’au terme normal du contrat.

Sur ce,

L’article 1103 du code civil dispose que les contrats légalement formés tiennent lieu de loi à ceux qui les ont faits.

L’article 1231-1 du même code dispose que le débiteur est condamné, s’il y a lieu, au paiement de dommages et intérêts soit à raison de l’inexécution de l’obligation, soit à raison du retard dans l’exécution, s’il ne justifie pas que l’exécution a été empêchée par la force majeure.

L’article 8 du contrat du 16 décembre 2014 stipule que : « En cas d’accord entre la société CFI (devenue Xefi [Localité 5]) et le client sur une sortie amiable du contrat, une remise de 20% sur l’ensemble des mensualités restant dues par le client sera appliquée. L’accord amiable entre le client et la société CFI doit être formalisé par acte sous seing privé. »

L’article 8 du contrat du 1er octobre 2015 stipule que « le contrat ne pourra en aucun cas être résilié par anticipation sauf en payant l’ensemble des mensualités restant dues (une remise de 20% sera appliquée) ».

L’article 11 des conditions générales des mêmes contrats stipule que « la société CFI dispose d’un droit de résiliation sans préavis et indemnisation lorsque malgré une mise en demeure, le client ne respecte pas une des obligations du contrat et notamment lorsque le client est en retard de paiement d’une échéance. L’article 8 précise la base de calcul de l’indemnité ».

Il est constant que le contrat de maintenance conclu le 16 décembre 2014 par la société Terideal Tarvel a été renouvelé tacitement le 1er janvier 2018 avec une échéance au 31 décembre 2020 et que le contrat de sauvegarde du 1er octobre 2015 a été renouvelé le 1er janvier 2019 pour une échéance au 31 décembre 2021, en application des stipulations contractuelles relatives au renouvellement tacite des conventions liant les parties, ce qui n’est pas contesté.

Il est avéré par ailleurs que la société Terideal Tarvel a souhaité résilier ses contrats de manière anticipée au 30 juin 2020 en adressant une lettre recommandée avec accusé de réception en ce sens à l’intimée le 1er novembre 2019.

L’appelante entend faire valoir que les parties se seraient accordées sur une fin des deux contrats à la date du 1er juin 2020 en contrepartie du paiement d’une somme de 14.271,50 euros TTC correspondant à 80% du montant des échéances restant dues jusqu’au terme des deux conventions et que cet accord ne comportait aucune clause de caducité ce qui empêchait l’intimée de lui réclamer l’intégralité des échéances dues jusqu’au terme initial des deux conventions.

Par lettre recommandée avec accusé de réception du 16 janvier 2020, la société Xefi [Localité 5] a rappelé le terme véritable des deux conventions mais a proposé, à titre amiable, une résiliation anticipée moyennant le paiement de la somme susmentionnée, tout en précisant que le paiement de cette somme devait intervenir avant le 16 février 2020, et que seul le paiement valait acceptation de cette proposition.

Or, il ressort des pièces versées aux débats qu’à aucun moment la société Terideal Tarvel n’a réglé la somme proposée par la société Xefi [Localité 5] dans son courrier du 16 janvier 2020 avant la date impartie ce qui rendait sa proposition caduque. Il est également noté que l’appelante n’a jamais répondu à cette proposition. Les articles 8 des deux contrats sont dénués d’ambiguïté quant au fait que toute résiliation anticipée est soumise au paiement d’une indemnité de résiliation portant sur 80% des loyers restant dus jusqu’à l’échéance initiale.

En ne respectant pas cette stipulation contractuelle, la société Terideal Tarvel ne pouvait donc prétendre être libérée de ses obligations contractuelles avant l’échéance renouvelée des conventions du 16 décembre 2014 et du 1er octobre 2015.

En conséquence, la société Xefi [Localité 5] était en droit de réclamer le paiement de l’intégralité des sommes restant dues.

L’appelante entend également faire valoir que, s’agissant des échéances de janvier et février 2020, elle n’était pas redevable des sommes réclamées car l’intimée n’a pas exécuté ses obligations contractuelles, et, qu’en outre, la résiliation judiciaire prononcée par le tribunal de commerce ne peut être fixée à la date du 19 mars 2020 puisque cette date correspond à une date de mise en demeure.

S’agissant de l’exception d’inexécution que l’appelante soulève, il lui appartient de démontrer que l’intimée ne respectait pas ses obligations contractuelles de sauvegarde des données et de maintenance.

Toutefois, elle ne fait état d’aucune réclamation sur la période concernée quant à une absence d’intervention de l’intimée au titre des contrats.

La société Xefi [Localité 5] verse aux débats des justificatifs concernant le contrat de maintenance informatique qui implique notamment la réalisation d’une maintenance préventive 12 demi-journées par an par l’un de ses techniciens et six demi-journées par an par l’un de ses consultants, la mise à jour du système d’exploitation et des logiciels,et la vérification de l’état des postes et la télémaintenance du matériel informatique.

Les pièces 18 et 19 versées aux débats par l’intimée démontrent que s’agissant de la maintenance à distance, les interventions ont été réalisées dans les délais convenus, mais aussi qu’un technicien est intervenu dans les locaux de l’appelante les 14 janvier, 19 février, 1er avril, 15 avril, avec la précision que la prestation prévue le 25 juin a été annulée par le client.

Concernant le contrat de sauvegarde des données qui impliquait une sauvegarde des données à hauteur de 150 Go avec 7 jours de rétention, l’appelante ne démontre pas que cette prestation n’a pas exécutée. Il est par contre établi que la société Terideal Tarvel a coupé l’accès à ses serveurs à la société Xefi [Localité 5], le motif de cette coupure restant contesté entre les parties.

En outre, l’appelante a cessé de payer les prestations de sauvegarde à compter de la coupure de l’accès à ses serveurs.

L’appelante ne verse aucune pièce aux débats établissant que les prestations contractuelles n’étaient pas exécutées.

Par ailleurs, cette dernière ne conteste pas avoir bénéficié des sauvegardes de données réalisées par l’intimée suite à l’attaque informatique subie courant janvier 2020.

Dès lors, aucune exception d’inexécution ne saurait être opposée par la société Terideal Tarvel à la société Xefi [Localité 5] au titre des contrats conclus, laquelle devait payer les factures relatives à tous les contrats sur les périodes contestées de janvier et février 2020, mais aussi les sommes dues dans le cadre de la résiliation anticipée puisque celle-ci intervient à ses torts exclusifs.

En conséquence, il convient de confirmer la décision déférée en ce qu’elle a rejeté la demande de résiliation des contrats aux torts exclusifs de la société Xefi [Localité 5] et a condamné la société Terideal Tarvel à payer les sommes réclamées jusqu’au terme des deux contrats.

Concernant les contestations émises par la société Terideal Tarvel au titre des intérêts, il est constant que la société Xefi [Localité 5] lui a adressé des mises en demeure de régler les factures impayées, en application des conditions générales de vente, une mise en demeure devant précéder la résiliation des contrats aux torts du client pour inexécution de l’obligation de paiement.

Étant rappelé que les contrats liant les parties n’avaient pas été résiliés de manière amiable du fait de l’absence de réponse de l’appelante à la proposition de l’intimée, l’exécution des contrats s’est donc poursuivie, s’agissant de contrats à exécution successive.

Il est constant que les conventions contiennent une clause de résiliation aux torts du client en cas de défaut de paiement des factures adressées au titre des prestations, la société Terideal Tarvel ne contestant pas le défaut de paiement.

De même, les stipulations contractuelles prévoient l’application d’un taux d’intérêt majoré dans leurs articles 8 respectifs concernant la facturation calculée de la manière suivante : « taux d’intérêts égal au taux d’intérêt du marché monétaire (T4M) majoré de 1 point ».

Les parties ont ainsi écarté volontairement les dispositions des articles L.441-6 et L.441-10 du code de commerce au profit d’une stipulation conventionnelle.

Il conviendra d’infirmer la décision déférée uniquement sur le taux d’intérêt appliqué à la condamnation en paiement au profit de la société Xefi [Localité 5].

S’agissant de la somme concernée par l’application du taux d’intérêt et sa date de départ, il est rappelé que le défaut de paiement d’une facture 30 jours après envoi d’une mise en demeure par lettre recommandée avec accusé de réception entraîne la déchéance du terme et l’obligation pour la partie qui s’est abstenue de payer, de régler l’intégralité des sommes dues jusqu’à l’échéance normale des contrats.

Dès lors, c’est à juste titre que les premiers juges ont retenu que les intérêts s’appliquaient sur l’intégralité des sommes réclamées par la société Xefi [Localité 5].

Enfin, concernant la date de résiliation qui est contestée par l’appelante, il est rappelé que tant la facture des prestations du mois de janvier que celle du mois de février 2020 n’ont pas été réglées à leur échéance de 30 jours.

En application des conditions générales de vente, la société Xefi [Localité 5] a adressé à la société Terideal Tarvel une mise en demeure le 12 mars 2020 l’invitant à régulariser la situation sous 8 jours à peine de déchéance du terme des contrats une fois ce délai écoulé.

En prononçant une résiliation à la date du 19 mars 2020, les premiers juges ont fait une juste application des stipulations contractuelles mais aussi des conséquences de la mise en demeure adressée par l’intimée.

Dès lors, la décision sera confirmée sur ce point, la cour ajoutant cependant que les intérêts sont dus à compter du 19 mars 2020, date de la résiliation des deux contrats liant les parties, point sur lequel les premiers juges n’ont pas statué.

Sur la demande d’indemnisation formée par la société Terideal Tarvel à l’encontre de la société Xefi [Localité 5] pour manquement à ses obligations contractuelles

La société Terideal Tarvel fait valoir que :

elle a subi une cyber-attaque qui a affecté ses données en raison d’une protection insuffisante, ce qui engage la responsabilité de l’intimée,

l’article 13 du contrat comporte des contradictions puisqu’il évoque tout d’abord une obligation de moyens, puis de résultat à l’égard de l’intimée avant de la décharger de toute responsabilité mais mentionne que la société Xefi [Localité 5] ferait « tous les efforts », avant de fixer un plafond d’indemnisation,

le logiciel Kaseya (logiciel d’intervention à distance) installé par l’intimée a servi de porte d’entrée à l’attaque virale, ce logiciel comportant une faille connue depuis juin 2019 mais non corrigée par le prestataire alors qu’une mise à jour était disponible,

l’intimée a installé un autre logiciel du même type, RG Supervision, mais n’a pas désinstallé Kaseya, ce qui a maintenu la vulnérabilité de son système,

l’attaque a été facilitée par l’utilisation d’un mot de passe commun pour différents clients,

l’intimée a tenté de se décharger de sa responsabilité auprès de ses clients en n’évoquant pas les faiblesses du système de protection qu’elle avait mis en place et ses négligences subséquentes,

elle a tenu des propos menaçants suite à un appel d’offre perdu, accréditant l’idée d’une négligence délibérée,

les contrats prévoyaient une maintenance préventive incluant la vérification de la protection antivirale et la mise à jour des systèmes d’exploitation ainsi qu’un service de prévention en cas de défaut des sauvegardes, obligations qui n’ont pas été respectées ce qui lui permet d’opposer une exception d’inexécution,

la jurisprudence ne retient pas qu’un virus informatique peut être caractérisé comme cas de force majeure, et, au contraire, juge qu’une défaillance dans l’obligation de résultat tenant à la sauvegarde de données et au manquement à l’obligation d’information engagent la responsabilité contractuelle du prestataire informatique.

La société Xefi [Localité 5] fait valoir que :

elle a respecté ses obligations contractuelles ce qui ne permet pas à l’appelante de se prévaloir d’une exception d’inexécution pour se soustraire à son obligation de paiement,

au titre du contrat de maintenance informatique, elle devait réaliser une maintenance préventive et de la télémaintenance, obligations qui ont été respectées comme le démontrent les bons d’intervention versés aux débats,

concernant le contrat de sauvegarde, elle a réalisé les sauvegardes nécessaires jusqu’à ce que l’appelante coupe l’accès à ses serveurs, ce qui a permis de restaurer les données après la cyber-attaque,

l’appelante n’a jamais contesté la réalisation des prestations de sauvegarde,

elle ne saurait être tenue pour responsable de l’attaque informatique réalisée par un tiers via le logiciel Kaseya, développé par un éditeur extérieur à sa société,

il n’est pas démontré qu’elle utilisait un mot de passe commun pour tous ses clients,

l’article 13 des contrats exclut sa responsabilité en cas de perte de données, clause acceptée par l’appelante lors de la signature du contrat,

la jurisprudence invoquée par l’appelante n’est pas transposable à la présente espèce puisque dans l’arrêt dont il est question, le prestataire n’avait pas fait de sauvegarde,

le rapport d’expertise de la société GM Consultant ne repose que sur les déclarations de l’appelante, sans analyse indépendante, et contient des erreurs factuelles manifestes comme l’affirmation que la sauvegarde n’aurait pas été mise en place,

l’attaque informatique n’est qu’un prétexte pour l’appelante pour cesser leur collaboration suite à son rachat par le groupe Terideal.

Sur ce,

L’article 1231-1 du code civil dispose que « le débiteur est condamné, s’il y a lieu, au paiement de dommages et intérêts soit à raison de l’inexécution de l’obligation, soit à raison du retard dans l’exécution, s’il ne justifie pas que l’exécution a été empêchée par la force majeure. »

La société Terideal Tarvel rappelle qu’elle a fait l’objet d’une cyber-attaque et estime que la faiblesse du système de protection mis en place par l’intimée est à l’origine de celle-ci, de même que le logiciel utilisé pour la maintenance à distance qui était la porte d’entrée de cette attaque, la gestion de ce logiciel étant à son sens défaillante, ce dont avait connaissance la société Xefi [Localité 5] qui le remplaçait chez chacun de ses clients par un nouveau.

Si l’appelante produit à l’appui de sa demande une expertise d’assurance, il est relevé que celle-ci n’est pas contradictoire mais surtout qu’elle ne reprend que les dires de l’appelante et à aucun moment n’indique de manière certaine que la cyber-attaque trouve son origine dans une défaillance de l’intimée.

Par ailleurs, il est constant que les deux parties n’avaient pas signé de contrat relatif à la protection contre des cyberattaques.

De plus, l’article 13 des contrats exclut la responsabilité de la société Xefi [Localité 5] en cas de perte de données, clause acceptée par l’appelante lors de la signature des conventions.

Il est également rappelé à la fin de chacun des contrats que le client doit souscrire une assurance indemnisant la perte d’exploitation, notamment en cas de perte de données ou d’information.

Concernant le point d’entrée de la cyber-attaque, l’appelante met en avant les défaillances du logiciel Kaseya et prétend qu’un seul mot de passe aurait été utilisé par l’intimée pour la gestion de tous ses clients, sans pour autant verser aux débats d’éléments probatoires corroborant ses allégations.

Il est également nécessaire de rappeler que la société Xefi [Localité 5] n’est pas le créateur ni le développeur du logiciel Kaseya et ne peut endosser une responsabilité liée à une éventuelle défaillance de celui-ci, aucune preuve n’étant rapportée en ce sens.

En outre, il n’est pas contesté par la société Terideal Tarvel qu’elle a eu recours aux sauvegardes de données réalisées par la société Xefi [Localité 5] suite à l’attaque subie et qu’elle a pu reprendre son activité.

Au regard de l’ensemble de ces éléments, c’est à bon droit que les premiers juges ont rejeté la demande indemnitaire reconventionnelle formée au titre de la responsabilité de la société Xefi [Localité 5] dans le cadre de l’attaque subie.

La décision déférée sera donc confirmée sur ce point.

Sur les demandes accessoires

La société Terideal Tarvel échouant majoritairement en ses demandes, elle sera condamnée à supporter les entiers dépens de la procédure d’appel.

L’équité commande d’accorder à la société Xefi [Localité 5] une indemnisation sur le fondement de l’article 700 du code de procédure civile. La société Terideal Tarvel sera condamnée à lui verser la somme de 5.000 euros à ce titre.

PAR CES MOTIFS

La Cour, statuant publiquement, par arrêt contradictoire, dans les limites de l’appel,

Confirme la décision déférée sauf en ce qu’elle a fait application du taux d’intérêts visé à l’article L.441-6 du code de commerce sur la somme de 29.996,31 euros TTC,

Statuant à nouveau et y ajoutant,

Condamne la SAS Terideal Tarvel à payer à la SAS Xefi [Localité 5] la somme de 29.996,31 euros TTC outre intérêts au taux d’intérêt du marché monétaire (T4M) majoré de 1 point à compter du 19 mars 2020,

Condamne la SAS Terideal Tarvel à supporter les entiers dépens de la procédure d’appel,

Condamne la SAS Terideal Tarvel à payer à la SAS Xefi [Localité 5] la somme de 5.000 euros à titre d’indemnisation sur le fondement de l’article 700 du code de procédure civile.

La greffière La présidente