Copies exécutoires RÉPUBLIQUE FRANÇAISE

délivrées aux parties le : AU NOM DU PEUPLE FRANÇAIS

COUR D’APPEL DE PARIS

Pôle 5 – Chambre 11

ARRET DU 15 NOVEMBRE 2024

(n° , 14 pages)

Numéro d’inscription au répertoire général : N° RG 21/00036 – N° Portalis 35L7-V-B7F-CC3KL

Décision déférée à la Cour : Jugement du 04 Novembre 2020 -Tribunal de Commerce de PARIS – RG n° J201800005

APPELANTE

S.A.S. DATALOG FINANCE

prise en la personne de ses représentants légaux

[Adresse 6]

[Localité 4]

immatriculée au RCS de PARIS sous le numéro 414 070 987

Représentée par M^e Julie BELLESORT, avocat au barreau de PARIS, toque : K0069

INTIMEES

Société DAPA FRANCE

prise en la personne de ses représentants légaux

[Adresse 3]

[Localité 8]

immatriculée au RCS de CRETEIL sous le numéro 328 583 307

Représentée par M^e Soc LAM, avocat au barreau de PARIS, toque : B1009

S.A.S. DRAX INTEGRATIONS

prise en la personne de ses représentants légaux

[Adresse 2]

[Localité 5]

immatriculée au RCS de PARIS sous le numéro 808 019 939

Représentée par M^e Nicolas MARGUERAT, avocat au barreau de PARIS, toque : D1579

Compagnie d’assurance AXA FRANCE IARD

En qualité d’assureur de la Société DAPA

prise en la personne de ses représentants légaux

[Adresse 1]

[Localité 7]

immatriculée au RCS de NANTERRE sous le numéro 382 717 791

Représentée par M^e Catherine BONNEAU de la SELARL KAPRIME SOCIETE D’AVOCATS, avocat au barreau de PARIS, toque : C800

COMPOSITION DE LA COUR :

En application des dispositions des articles 805 et 907 du code de procédure civile, l’affaire a été débattue le 04 Septembre 2024, en audience publique, les avocats ne s’y étant pas opposé, devant M^me Marie-Sophie L’ELEU DE LA SIMONE, conseillère, chargée du rapport.

Ce magistrat a rendu compte des plaidoiries dans le délibéré de la Cour, composée de :

M. Denis ARDISSON, Président de chambre

M^me Marie-Sophie L’ELEU DE LA SIMONE, conseillère,

Madame CAROLINE GUILLEMAIN, conseillère,

Qui en ont délibéré.

Greffier, lors des débats : M. Damien GOVINDARETTY

ARRÊT :

— contradictoire

— par mise à disposition de l’arrêt au greffe de la Cour, les parties en ayant été préalablement avisées dans les conditions prévues au deuxième alinéa de l’article 450 du code de procédure civile.

— signé par Denis ARDISSON, Président de chambre et par Damien GOVINDARETTY, Greffier, présent lors de la mise à disposition.

FAITS ET PROCEDURE

La société Datalog Finance (ci-après « Datalog ») a pour activité le développement de progiciels de gestion et d’applications. La société Drax Integrations (ci-après « Drax ») distribue des solutions de communication et des services d’opérateurs téléphoniques. La société Dapa France (ci-après « Dapa ») est spécialisée dans la mise en 'uvre et le service après-vente de solutions de communication et intervient comme sous-traitant de la société Drax. La compagnie Axa France Iard (ci-après « Axa ») est l’assureur de la société Dapa.

Fin 2015, la société Datalog a sollicité la société Drax pour qu’elle établisse un devis pour le remplacement de son réseau téléphonique.

Le 27 janvier 2016, un contrat de maintenance de réseau téléphonique a été signé entre la société Datalog et la société Drax.

Les 31 mars et 1er avril 2016, la société Drax a procédé, via son sous-traitant Dapa, à l’installation de la ligne téléphonique interne de la société Datalog.

Les 25 avril et 10 mai 2016, la société Datalog a subi deux piratages de ses réseaux téléphoniques ayant eu pour conséquence des surconsommations téléphoniques.

Par courrier du 2 juin 2016, la société Datalog a fait part de son mécontentement à la société Drax lui reprochant un défaut d’information et de mise en garde, aussi bien lors de l’installation de son système téléphonique que de sa maintenance.

Puis, par différents échanges, la société Drax a contesté la mise en cause de sa responsabilité en l’absence de toute faute de sa part.

Suivant exploit du 29 août 2017, la société Datalog a fait assigner la société Drax devant le tribunal de commerce de Paris afin d’obtenir notamment la réparation de son préjudice.

Suivant exploit du 11 janvier 2018, la société Drax a fait assigner la société Dapa devant le tribunal de commerce de Paris.

Suivant exploit du 17 janvier 2019, la société Dapa a fait assigner la compagnie Axa devant le tribunal de commerce de Paris.

Par décision des 30 janvier 2018 et 12 février 2019, le tribunal a prononcé la jonction des trois affaires.

Par jugement du 4 novembre 2020, le tribunal de commerce de Paris a :

— condamné la société Datalog à payer à la société Drax la somme en principal de 8.933 euros avec intérêts à compter du 25 juillet 2016, date de la première mise en demeure,

— condamné la société Datalog à payer à la société Drax la somme de 3.000 euros sur le fondement de l’article 700 du code de procédure civile et a débouté pour le surplus,

— condamné la société Datalog à payer à la société Dapa la somme de 1.000 euros sur le fondement de l’article 700 du code de procédure civile et a débouté pour le surplus,

— condamné la société Datalog à payer à la compagnie Axa la somme de 1.000 euros sur le fondement de l’article 700 du code de procédure civile et a débouté pour le surplus,

— ordonné l’exécution provisoire,

— débouté les parties de leurs demandes autres, plus amples ou contraires,

— condamné la société Datalog aux dépens de l’instance dont ceux à recouvrer par le greffe liquidés à la somme de 154,32 euros dont 25,51 euros de TVA.

La société Datalog a formé appel de ce jugement par déclaration du 22 décembre 2020 enregistrée le 4 janvier 2021.

Parallèlement, la société Datalog Finance a saisi le tribunal de commerce de Paris par une requête en omission de statuer le 23 décembre 2020 dans la mesure où le tribunal n’avait pas répondu à sa demande tendant à voir condamner la société Drax Intégrations à lui remettre un ordinateur portable comprenant le logiciel DAP Controller.

Suivant jugement du 7 avril 2021, le tribunal de commerce de Paris a condamné « la société Drax Intégrations à livrer à la société Datalog Finance sans astreinte le PC portable muni du logiciel DAP Controller, ainsi que les identifiants de connexion ou tout élément de nature à permettre à Datalog Finance de faire maintenir son réseau téléphonique par un tiers. »

Suivant conclusions signifiées par le réseau privé virtuel des avocats le 4 avril 2022, la société Dapa a saisi le conseiller de la mise en état d’un incident de radiation, au visa des articles 524 et 908 du code de procédure civile.

Suivant ses dernières conclusions transmises par le réseau privé virtuel des avocats le 14 juin 2022, la société Datalog Finance demande au conseiller de la mise en état, au visa des articles 524 et 909 du code de procédure civile, et 32-1 du même code :

— de juger la demande d’incident de radiation de l’appel formée par la société Dapa enregistré sous le n° de RG 21/00036 irrecevable,

— de constater en toute hypothèse que la société Datalog a exécuté provisoirement le jugement rendu par le tribunal de commerce de Paris le 4 novembre 2020,

En conséquence,

— de débouter la société Dapa de l’ensemble de ses demandes, fins, moyens et prétentions,

— de débouter la société Dapa de ses demandes au titre des frais irrépétibles et des dépens,

— de fixer cette affaire pour plaidoiries au fond,

— de condamner la société Dapa à verser à la société Datalog la somme de 2.000 euros à titre de dommages-intérêts pour appel abusif et dilatoire au sens de l’article 32-1 du code de procédure civile,

— de condamner la société Dapa à verser à la société Datalog la somme de 3.000 euros au titre de l’article 700 du code de procédure civile.

Suivant ses dernières conclusions signifiées par le réseau privé virtuel des avocats le 5 octobre 2022, la société Dapa France demande au conseiller de la mise en état, au visa des articles 909, 524, 526 du code de procédure civile en vigueur en vigueur du 01 septembre 2017 au 01 janvier 2020 et 526 du code de procédure civile en vigueur du 1er mars 2006 au 1er septembre 2017 et de l’article 32-1 du code de procédure civile :

— de dire et juger la demande incidente recevable,

— de dire et juger caduque la déclaration d’appel de la société Datalog,

— de prononcer la radiation du rôle d’appel n° RG 21/00036 interjeté par la société Datalog à l’encontre du jugement rendu le 4 novembre 2020 par le tribunal de commerce de Paris ;

— de condamner la société Datalog à payer à société Dapa la somme de 20.000 euros au titre l’article 700 du code de procédure civile pour la procédure de première instance et la présente procédure ainsi qu’aux entiers dépens.

La société Drax et la compagnie Axa, non concernées par l’incident soulevé par la société Dapa, n’ont pas conclu sur celui-ci.

Par ordonnance du 27 octobre 2022, le conseiller de la mise en état a :

— déclaré recevable l’incident de radiation soulevé par la société Dapa suivant conclusions du 4 avril 2022,

— débouté la société Dapa de sa demande de radiation et de sa demande de caducité de la déclaration d’appel,

— déclaré le conseiller de la mise en état incompétent pour statuer sur la demande au titre de l’article 32-1 du code de procédure civile formée par la société Datalog et a renvoyé l’examen de cette demande à la cour statuant au fond,

— fait masse des dépens de l’incident et dit qu’ils seront supportés par moitié par la société Dapa d’une part et la société Datalog d’autre part,

— débouté les sociétés Datalog et Dapa de leur demande sur le fondement de l’article 700 du code de procédure civile.

Suivant ses dernières conclusions transmises par le réseau privé virtuel des avocats le 25 septembre 2023, la société Datalog demande à la cour :

— de juger recevable et bien fondé l’appel interjeté par la société Datalog et la déclarer bien fondée en toutes ses demandes, fins, moyens et prétentions,

— d’y faire droit,

— de déclarer mal fondées les sociétés Drax, Dapa et Axa en toutes leurs demandes, fins, moyens et prétentions et les en débouter,

— d’infirmer le jugement en toutes ses dispositions,

Statuant à nouveau,

A titre principal,

— de juger que la société Drax a manqué à ses obligations contractuelles d’information, de conseil et de mise en garde de sécurisation et de maintenance du réseau téléphonique de la société Datalog,

— de juger que la société Dapa a commis des manquements contractuels ayant causé un préjudice à la société Datalog, de sorte que sa responsabilité délictuelle est engagée à l’égard de l’appelante,

En conséquence,

— de condamner la société Drax et la société Dapa à payer in solidum à la société Datalog, au titre de la réparation de son préjudice, la somme de 53.122,07 euros, avec intérêts au taux légal à compter du 18 août 2016,

— de condamner la compagnie AXA à garantir la société Dapa de toute condamnation à son encontre au bénéfice de la société Datalog,

A titre subsidiaire, si par extraordinaire la Cour considérait que la responsabilité contractuelle de la société Drax doit être écartée,

— de constater que la responsabilité délictuelle de la société Dapa doit être retenue,

En conséquence,

— de condamner la société Dapa à payer à la société Datalog, au titre de la réparation de son préjudice, la totalité de la somme de 53.122,07 euros, avec intérêts au taux légal à compter du 18 août 2016,

En toutes hypothèses,

— de condamner la société Drax à payer à la société Datalog la somme de 860 euros au titre de l’exception d’inexécution,

— de condamner solidairement les sociétés Drax et Dapa in solidum à payer à la société Datalog la somme de 10.000 euros au titre de l’article 700 du code de procédure civile,

— de condamner solidairement les sociétés Drax et Dapa aux entiers dépens avec ceux pour application d’appel des dispositions de l’article 699 du code de procédure civile au profit de KPMG Avocats Selas.

Suivant ses dernières conclusions transmises par le réseau privé virtuel des avocats le 11 juin 2021, la société Drax demande à la cour, au visa des articles 1104, 1194 et 1231-1 du code civil ainsi que des articles 367 et suivants du code de procédure civile de :

— de confirmer le jugement en toutes ses dispositions,

— de débouter la société Datalog de l’ensemble de ses demandes,

Subsidiairement,

— de condamner la société Dapa à relever et garantir intégralement la société Drax de toute condamnation qui serait prononcée à son encontre au bénéfice de la société Datalog,

Y ajoutant en tout état de cause,

— de condamner la société Datalog à payer à la société Drax la somme de 10.000 euros sur le fondement de l’article 700 du code de procédure civile,

— de condamner la société Datalog aux entiers dépens de première instance et d’appel, avec, pour ceux d’appel, application des dispositions de l’article 699 du code de procédure civile au profit de M^e Marguerat.

Suivant ses dernières conclusions transmises par le réseau privé virtuel des avocats le 20 mai 2021, la société Dapa demande à la cour, au visa de l’article 1231-1 du code civil :

— de confirmer le jugement attaqué sauf en ce qui concerne le quantum des sommes allouées au titre de l’article 700 du code de procédure civile,

En conséquence,

— de débouter société Drax de l’intégralité de ses demandes,

— de condamner la société Datalog à payer à la société Dapa la somme de 20.000 euros au titre l’article 700 du code de procédure civile pour la procédure de première instance et la présente procédure ainsi qu’aux entiers dépens,

Subsidiairement,

— de condamner la compagnie AXA à garantir la société Dapa de toute condamnation à son encontre au bénéfice de la société Datalog ou/et de la société Drax,

— de condamner la compagnie Axa à payer à la société Dapa la somme de 20.000 euros au titre de l’article 700 du code de procédure civile ainsi qu’aux entiers dépens.

Suivant ses dernières conclusions transmises par le réseau privé virtuel des avocats le 25 mai 2021, la compagnie Axa demande à la cour, au visa de l’article 367 du code de procédure civile et de l’article 1353 du code civil :

A titre principal,

— de confirmer le jugement rendu en première instance en ce qu’il a :

'débouté la société Datalog de l’ensemble de ses demandes à l’encontre de la société Dapa et partant son assureur la compagnie Axa,

'condamné la société Datalog à payer à la compagnie Axa la somme de 1.000 euros sur le fondement de l’article 700 du code de procédure civile,

'condamné la société Datalog aux dépens,

A titre subsidiaire, si par extraordinaire la cour infirmait le jugement,

— de condamner la société Drax à relever et garantir indemne la compagnie Axa de toute condamnation prononcée à son encontre, la faute lui étant exclusivement imputable,

— de réduire le quantum des préjudices allégués par l’appelante,

En tout état de cause,

— de condamner in solidum tout succombant à payer la somme de 3.000 euros en application des dispositions de l’article 700 du code de procédure civile, ainsi qu’aux entiers dépens.

*

La clôture a été prononcée suivant ordonnance en date du 28 septembre 2023.

SUR CE, LA COUR,

Sur la responsabilité

Pour conclure à l’infirmation du jugement en ce qu’il l’a déboutée de ses demandes sur la responsabilité de la société Drax du fait des fraudes, la société Datalog soutient, en premier lieu, que les deux piratages de son réseau téléphonique sont directement liés à la défaillance de la société Drax quant à son obligation renforcée de conseil, d’information et de mise en garde, vis-à vis d’un client profane en matière de téléphonie sur IP, et ce aussi bien dans le cadre de sa mission d’installation que dans sa mission de maintenance. Elle fait valoir qu’aucun conseil n’a été fourni par Drax Intégrations sur l’utilisation et la sécurité de la solution de téléphonie. Elle soutient que c’est à tort que le tribunal a retenu sa propre responsabilité dans l’obligation de sécuriser les ports en s’appuyant sur la prétendue connaissance des systèmes de téléphonie de M. [L], conseiller technique de Datalog Finance et non « responsable de réseau », et sur une prétendue alerte par Drax Intégrations dans le cadre de l’établissement du schéma d’installation. Elle ajoute que la société Drax Intégrations n’a pas fourni de guide d’utilisation en français des produits figurant dans la solution de téléphonie sur IP qu’elle a proposée, celui-ci n’ayant été communiquée, en anglais, qu’après la première fraude. Elle affirme que la société Drax Intégrations a installé l’application NEC uMobility et l’a configurée avec des comptes SIP sans l’alerter sur les risques d’un tel choix. Elle considère en effet qu’en installant la solution avec une configuration pour des ports SIP et non un VPN la société Drax Intégrations a méconnu les recommandations du constructeur NEC, connues d’elle seule. Elle a ainsi ouvert un port et l’a maintenu ouvert. L’appelante fait valoir en second lieu que, par le biais du contrat de sous-traitance entre la société Dapa et la société Drax, la société Dapa a commis des manquements contractuels envers la société Drax, notamment en ce que la société Dapa a été défaillante lors de l’installation de l’application uMobility en omettant de donner des instructions et en ne s’assurant pas de la conformité de l’installation, et a causé un préjudice à la société Datalog de sorte que sa responsabilité délictuelle doit également être engagée. Elle rappelle que la société Dapa France était chargée de la fourniture des produits, de l’installation et de la mise en service.

La société Drax fait valoir que l’ensemble de la relation technique avec le client a été assuré par la société Dapa France par l’intermédiaire de M. [E] [N] qui a validé l’architecture technique de la solution proposée par Drax. Elle explique avoir remis la documentation constructeur disponible, documentation NEC en anglais préalablement communiquée par la société Dapa France. La société Drax soutient d’une part qu’elle n’avait pas la charge de la sécurité informatique de la société Datalog, directement gérée par le firewall de cette société, lui-même paramétré et géré par les équipes informatiques de cette dernière. D’autre part, elle répond que la faute provient de la société Datalog qui a laissé les ports du firewall ouverts alors même que son administrateur réseaux connaissait les risques en résultant. Elle soutient que le montant du préjudice ne peut correspondre à la totalité de la facture TTC et doit être réduit au montant HT après déduction des communications non-frauduleuses.

La société Drax ajoute que, dans l’hypothèse où la cour entrerait en voie de condamnation à son encontre, elle sollicite la garantie de la société Dapa au motif qu’elle a assuré l’intégralité de la relation technique, y compris de conseil, et ne peut se soustraire à ce titre à sa responsabilité sur l’installation qu’elle a réalisé seule.

La société Dapa fait valoir pour sa part que sa responsabilité ne peut être engagée car elle n’est intervenue que pour la fourniture et l’installation du réseau téléphonique alors que la société Datalog reproche à la société Drax son défaut de conseil et d’installation et non pas des problèmes liés à la fourniture et ou à l’installation de la solution téléphonique. Elle ajoute en outre, dans l’hypothèse où la responsabilité de la société Dapa serait retenue, que la compagnie Axa est l’assureur de responsabilité civile de la société Dapa et doit la garantir de toute condamnation à son encontre au bénéfice de la société Datalog et / ou de la société Drax.

La compagnie Axa sollicite la confirmation du jugement en faisant valoir d’une part que la première fraude est due à la perméabilité du réseau firewall non fourni par la société Dapa, n’ouvrant donc pas droit à garantie conformément à l’article 9.3 de l’accord de sous-traitance. D’autre part, elle soutient que la deuxième fraude relève d’une imprudence de la société Datalog qui a pris le risque d’activer ses lignes sans préalablement corriger et sécuriser celles-ci, sans pouvoir rechercher la responsabilité de la société Dapa.

Les contrats ayant été conclus avant l’entrée en vigueur ' fixée au 1er octobre 2016 – de la réforme du droit des obligations issue de l’ordonnance n° 2016-131 du 10 février 2016 portant réforme du droit des contrats, du régime général et de la preuve des obligations, les dispositions anciennes trouvent ici application.

Aux termes de l’article 1134 ancien du code civil :

« Les conventions légalement formées tiennent lieu de loi à ceux qui les ont faites.

Elles ne peuvent être révoquées que de leur consentement mutuel, ou pour les causes que la loi autorise.

Elles doivent être exécutées de bonne foi. »

En vertu de l’article 1135 ancien du même code :

« Les conventions obligent non seulement à ce qui y est exprimé, mais encore à toutes les suites que l’équité, l’usage ou la loi donnent à l’obligation d’après sa nature. »

Aux termes de l’article 1147 ancien du code civil :

« Le débiteur est condamné, s’il y a lieu, au paiement de dommages et intérêts, soit à raison de l’inexécution de l’obligation, soit à raison du retard dans l’exécution, toutes les fois qu’il ne justifie pas que l’inexécution provient d’une cause étrangère qui ne peut lui être imputée, encore qu’il n’y ait aucune mauvaise foi de sa part. »

L’extrait Kbis à jour au 21 mars 2021 fourni par la société Datalog Finance décrit ainsi son activité : « La prise de participation dans toutes sociétés existantes ou à constituer ayant pour objet le développement et la commercialisation de logiciels, ainsi que toutes activités annexes. ». Si l’appelante se décrit comme profane en matière de téléphonie, son expertise s’exerce en matière logiciels.

La signature du bon de commande a été précédée d’un échange de courriels entre Datalog Finance (Mme [M] [Y] et M. [Z] [L]) et Drax Intégrations (M. [W] [F]) entre le 16 novembre 2015 et le 14 janvier 2016, période au cours de laquelle l’offre de Drax a été ajustée en fonction des besoins exprimés par Datalog.

Le 18 janvier 2016, M. [Z] [L], en réponse à l’offre modifiée du 14 janvier, écrit à M. [W] [F] « Si je comprends bien le schéma il faudra prévoir de notre côté une partie switch en interne avec un VLAN dédiée aux équipements Nec ' Puisque je n’ai pas vu dans le devis de matériel switch ou routeur pour relier les différents dispositifs. »

La société Drax tire argument de ce courriel de M. [L], préalable à la signature du bon de commande, pour en déduire que la société Datalog était parfaitement informée de la nécessité de sécuriser la connexion découlant de la nouvelle installation Nec uMobility.

La cour constate que M. [L] évoque en effet, au vu du schéma communiqué par la société Drax préalablement et lors de la signature et versé aux débats, le besoin de prévoir, de la part de la société Datalog, un « VLAN » ou Virtual local area network (réseau local virtuel). Le schéma dont s’agit représente notamment un « switch client » relié à trois Soft Phone, au « Firewall Client », ce dernier relié à internet par Completel (SFR) dans l’offre Complétude puis des liaisons « GSM VPN » pour chacun des équipements bénéficiant de l’application Umobility.

Cependant, le 18 janvier 2016, à la question de M. [L], Drax répond « Après vérification, je vous confirme que le switch est intégré dans le serveur NEC donc pas de switch à ajouter. Je vais modifier le schéma. ». Si l’exigence d’un switch n’est plus d’actualité, la liaison VPN est néanmoins maintenue et ressort de la compétence de l’équipe informatique de la société Datalog.

Le bon de commande de Drax Intégrations signé le 27 janvier 2016 par Datalog Finance comprend les mentions suivantes, avec indication du tarif unitaire :

« IPBX NEC SV9100 rack 1

Carte VOIP 256 canaux 1

Carte 1T2 30 canaux 1

Carte Switch ETIA 8 ports POE (Bornes) 1

Bornes IP 12 canaux 3

Dect IP G266 25

Poste IP 24 touches standard 1 11.181 euros HT

Console 60 touches standard 1

Softphones NEC SP310 50

Licences Umobility 15

Licences messagerie (BV) 51

Licence remote conférence 1

PC portable pour logiciel DAP Controller (Bornes) 1

Casques USB Plantronics entrée de gamme 50 2.500 euros HT

Main d''uvre pour la mise en place des softphones 1.250 euros HT

Main d''uvre pour la mise en place de l’application Umobility 350 euros HT

Total déplacement 451 euros HT

Mise en service et programmation

Pose sur câblage existant 15.732 euros HT

Garantie 1 an pièce et main d''uvre

Rocade informatique simple Cat.6 de +/- 40 mètres 567 euros HT

REMARQUE :

Licence Softphone = 55 euros

Licence Iphone = 34 euros

Casque Plantronics = 50 euros

Prix termina DECT = 115 euros

Chargeurs : 38 euros

Licences : 34 euros »

Le même jour Drax et Datalog signent un contrat de maintenance pour une période de trois années, renouvelable par tacite reconduction, portant sur le matériel de l’installation ci-dessus.

Le 9 mars 2016, un bon de commande rectifié est adressé par Drax Intégrations annulant les postes DECT et les bornes soit « 3 Bornes NEC DECT : 1.728 euros HT et 25 DECT IP G266 : 3.750 euros HT » soit 5.478 euros HT à déduire, le nouveau montant étant de 10.821 euros HT (12.985,20 euros TTC). Il est indiqué que cette maintenance comprend :

« La main d''uvre et frais de déplacement nécessaires à mesurer le bon fonctionnement de l’installation.

Une visite annuelle de mesures et contrôle, la mise en état ou le remplacement des pièces devenues inutilisables par suite d’un usage normal.

Les dégâts provoqués par la foudre, dégâts des eaux ou sur tension électrique ou tout autre élément extérieur à l’usage normal de l’installation ne sont pas pris en compte dans le présent contrat. »

Les prestations confiées à Drax par Datalog ont été réalisées par la société Dapa France, en vertu d’un accord de sous-traitance précédemment conclu entre Dapa France et Drax Intégrations le 21 novembre 2014 dont l’objet est ainsi décrit : « Cet Accord concerne la vente par Dapa à Drax et, corrélativement, l’acquisition par Drax des Produits et Services Contractuels de Dapa, en accord avec les termes et les conditions ici exposés. »

L’article 3 « Commercialisation des produits contractuels » contient notamment les dispositions suivantes :

« Dapa assistera Drax dans les phases préalables à la prise d’ordre ou de commande chez les clients de Drax, en se déplaçant chez eux si nécessaire, toujours en présence d’un représentant de Drax. Dapa devra s’assurer de sa compréhension totale des demandes des clients de Drax. Dapa devra préciser pour chaque offre faite à Drax, la liste exhaustive des prérequis nécessaires pour que l’ensemble des fonctionnalités vendues fonctionnent conformément aux attentes des clients de Drax. ('). »

3.8 « Une documentation technique complète correspondant aux équipements, options et accessoires sera fournie en français. »

Le 4 avril 2016, Mme [Y] [R] se plaint de nombreux dysfonctionnements affectant les softphones ainsi que de l’absence de reconnexion de « l’appareil de conf call, situé en salle de réunion ». Le même jour, Drax indique qu’un technicien va contacter Datalog.

Le 25 avril 2016, SFR Business informe Datalog qu’elle a noté « des consommations inhabituelles vers Haïti » tout en lui donnant des « pistes de sécurisation (liste non exhaustive) » pour éviter un nouveau piratage telles que la modification des codes d’accès des boîtes vocales, la désactivation des transferts d’appels, la vérification du lien de télémaintenance, l’arrêt du code « 3651 » censé masquer le numéro d’appel, la désactivation de la fonction disa (accès direct au système) des autocom.

Le 30 avril 2016, SFR Business émet une facture au nom de Datalog Finance d’un montant de 23.704,95 euros HT soit 28.445,94 euros TTC.

Par courriel du 3 mai 2016 intitulé « Installation téléphonique incomplète », Datalog en la personne de M. [B] [X], se plaint auprès de Drax ([W] [F]) de graves dysfonctionnements relevés sur le parc qui nuisent au bon fonctionnement de la société. Ce courriel n’évoque pas le piratage récemment intervenu et signalé par SFR.

Par courriel du même jour, M. [H] [K] de Drax adresse à Datalog le « NEC uMobility Direct Connect SIP Client User Guide v2.0 » ainsi que la liste des numéros Datalog et « SV9100 Softphone Manual ».

Le 10 mai 2016, SFR Business informe à nouveau la société Datalog de consommations suspectes cette fois-ci vers l’Albanie et la Biélorussie et réitère la liste des recommandations de sécurisation déjà communiquée le 25 avril 2016.

La société Drax ([W] [F]) établit un compte rendu par courriel le 13 mai 2016 en ces termes :

« Fraude du 20/04/16 :

Nous avons reçu un email de la part de M. [L], le 25/04/16 à 12H nous signalant un trafic anormal de communications.

M. [H] [K], technicien de Drax est intervenu le même jour vers 16H soit 4 heures après réception de l’email nous alertant.

Lors de notre analyse, nous avons suspecté une possibilité de fraude au travers des messageries vocales. En conséquence, notre technicien a supprimé, conformément à votre demande, toutes les boîtes vocales.

De plus, nous avons stoppé le numéro 3651 et supprimé tous les n° non utilisés selon les préconisations de votre opérateur.

Fraude du 10/05/16 :

Après avoir appliqué les préconisations du constructeur, nous avons effectué des recherches approfondies afin de fournir à Datalog des éclaircissements quant à l’incident. Les conclusions de ces dernières font apparaître que certains comptes SIP ont bien été usurpés, notamment sur l’utilisation de l’application Umobility.

Après analyse complémentaire, nous nous sommes rendus compte que les recommandations du constructeur n’étaient pas appliquées, à savoir la mise en place systématique d’une session VPN pour l’utilisation de l’application Umobility.

Nous avons dûment communiqué ces éléments à M. [L] par écrit au travers des documentations NEC et verbalement lors d’échanges techniques (voir pièces jointes, schéma architecture et document NEC version 2 chap 2.5).

Au vu de ce qui précède, il résulte que la responsabilité de Drax concernant l’administration du réseau de Datalog ne puisse être engagée, plus particulièrement concernant les procédures de sécurité. »

Le même jour, Drax avait sollicité auprès de Datalog l’ensemble des fichiers journaux (logs) de son pare-feu de marque Fortigate pour la période du 20 avril 2016 au 12 mai 2016 mais M. [L] n’avait pu communiquer à M. [F] que les transactions du 11 mai au 13 mai 2016 soit une période postérieure aux fraudes subies.

Le 31 mai 2016, SFR Business émet une nouvelle facture au nom de Datalog Finance d’un montant de 22.640,35 euros HT soit 27.168,42 euros TTC.

La société Datalog Finance soutient, dans sa lettre recommandée adressée à Drax le 2 juin 2016, avoir informé le technicien de la société Drax de sa volonté de ne pas utiliser de VPN. Force est de constater qu’elle n’en rapporte pas la preuve, étant relevé que le schéma transmis par Drax mentionne expressément une connexion VPN liée aux téléphones mobiles utilisant l’application uMobility. En revanche elle rappelle à juste titre n’avoir reçu qu’une documentation constructeur en anglais postérieurement à la première fraude et à sa demande, le 3 mai 2016.

A cet égard, la société Drax ne démontre donc pas avoir remis la documentation idoine à son client avant ou lors de la signature du contrat. Le courriel du 18 janvier 2016 dont elle se prévaut ne contient pas de pièce jointe relative à cette documentation mais seulement le schéma de l’installation.

La société Drax, en réponse au courrier du 2 juin de Datalog, ajoute alors « la fraude en question est intervenue via l’application uMobility », « votre équipe a ouvert un port vers l’extérieur malgré nos alertes, le schéma et la documentation constructeur fournis » et « la mission de conseil de Drax est limitée à ce système [téléphonie] » et « la partie réseau-firewall FortiGate est gérée directement par votre équipe informatique ».

Par lettre recommandée du 18 août 2016, Datalog informe Drax qu’elle retiendra le montant du solde des trois dernières factures à hauteur de 8.933 euros TTC. Le 29 août 2016, Drax maintient sa position en rappelant que sa mission de conseil est limitée au système de téléphonie et que l’ouverture d’un port du pare-feu par les équipes informatiques de Datalog est à l’origine de la fraude.

Il résulte de cette chronologie détaillée des relations entre les parties que la société Drax, prestataire et cocontractante de la société Datalog, a dûment informé sa cliente, par la communication, le 18 janvier 2016, du schéma circonstancié de l’installation objet du bon de commande et du contrat de maintenance, de la nécessité d’une session VPN pour l’utilisation de l’application uMobility. Il est établi que les deux piratages des réseaux téléphoniques de Datalog Finance via Internet, fraude appelée « phreaking » consistant pour le pirate à s’introduire dans un réseau téléphonique afin de téléphoner gratuitement, notamment vers des pays lointains ou des numéros surtaxés, ont été permis par l’ouverture d’un port du pare-feu de la société Datalog, sur lequel la société Drax n’avait pas la main. Le schéma des équipements précise d’ailleurs « Firewall client ». La société Drax a, après la première intrusion, appliqué les préconisations de SFR dans son courriel du 25 avril 2016. En outre, la société Datalog n’a pas fourni, malgré la demande en ce sens de Drax, les logs de son pare-feu pour la période durant laquelle les deux fraudes sont intervenues. La seule défaillance imputable à la société Drax est de ne pas avoir remis lors de la signature du contrat la documentation constructeur en langue française. Cependant, comme il a été vu supra, la communication d’un schéma clair, plus exploitable qu’une documentation technique, couplée aux nombreux échanges entre les parties préalables à la signature du bon de commande, caractérise l’existence de conseils adaptés, personnalisés délivrés par Drax à son client Datalog.

Il en ressort que la société Drax Intégrations a rempli son obligation de conseil vis-à-vis de la société Datalog Finance et n’a pas commis de faute à l’origine des préjudices dont se prévaut la société Datalog.

Si la société Dapa France, sous-traitant de la société Drax, n’a certes pas transmis une documentation constructeur en langue française, la société Datalog échoue à démontrer que cette omission serait une des causes de l’intrusion des fraudeurs dans son réseau téléphonique, alors qu’elle bénéficiait d’une information détaillée sur l’organisation de l’installation telle que proposée par Drax et mise en place par Dapa et qu’elle a négligé l’exigence d’une session VPN pour en assurer la sécurisation.

Le jugement sera par conséquent confirmé en ce qu’il a débouté la société Datalog de ses demandes tendant à voir retenir la responsabilité contractuelle de la société Drax et délictuelle de la société Dapa ainsi que la garantie de l’assureur de celle-ci, et en remboursement des sommes réclamées par SFR à la suite des fraudes.

Sur la demande reconventionnelle de Drax Intégrations

Pour conclure à l’infirmation du jugement en ce qu’il l’a condamnée au paiement de la somme de 8.933 euros au titre des prestations fournies par la société Drax, la société Datalog soutient qu’elle est légitime à ce que la somme soit réduite – à 860 euros – compte tenu des manquements de la société Drax, au titre d’une inexécution contractuelle partielle, notamment puisque ni la société Drax ni la société Dapa n’ont pu apporter la preuve de la livraison d’un ordinateur muni du logiciel DAP Controller, pourtant nécessaire à une utilisation normale des éléments vendus.

La société Drax conclut pour sa part à la confirmation du jugement à ce titre en faisant valoir que la somme réclamée, correspondant, d’une part, à la fourniture de l’installation, et, d’autre part, à la fourniture de postes complémentaires et d’une carte 4 PS, n’a jamais été contestée par la société Datalog.

La somme réclamée par la société Drax Intégrations correspond :

— au solde de la facture 2016/04-278 du 15 avril 2016 à hauteur de 7.574,70 euros,

— au solde de la facture 2016/05-322 du 10 mai 2016 à hauteur de 801,50 euros,

— à la facture 2016/05-323 du 10 mai 2016 de 556,80 euros.

La société Drax produit un échange de courriels des 4, 10 et 11 avril 2016 entre les parties montrant l’accord de Datalog. Si celle-ci a par la suite retenu le paiement de ces factures c’est en raison des surconsommations téléphoniques dues aux fraudes dont elle imputait l’existence à la société Drax. C’est donc tardivement qu’elle a contesté ces sommes, étant précisé que la livraison du PC portable litigieux a bien eu lieu, munie des codes nécessaires.

Le jugement sera en conséquence confirmé en ce qu’il a condamné la société Datalog à payer la somme de 8.933 euros, outre les intérêts, à la société Drax.

Sur les dépens et l’article 700 du code de procédure civile

La société Datalog Finance succombant à l’action, il convient de confirmer le jugement en ce qu’il a statué sur les dépens et les frais irrépétibles et statuant de ces chefs en cause d’appel, elle sera aussi condamnée aux dépens, dont distraction au profit de Maître Nicolas Marguerat, qui en a fait la demande conformément aux dispositions de l’article 699 du code de procédure civile. Il apparaît en outre équitable de condamner la société Datalog Finance à payer à la société Drax Intégrations la somme de 3.000 euros, à la société Dapa France celle de 2.000 euros et à la société Axa France Iard celle de 2.000 euros sur le fondement de l’article 700 du code de procédure civile.

PAR CES MOTIFS,

CONFIRME le jugement en toutes ses dispositions et y ajoutant,

CONDAMNE la société Datalog Finance aux dépens, dont distraction au profit de Maître Nicolas Marguerat ;

CONDAMNE la société Datalog Finance à payer à la société Drax Intégrations la somme de 3.000 euros, à la société Dapa France celle de 2.000 euros et à la société Axa France Iard celle de 2.000 euros sur le fondement de l’article 700 du code de procédure civile.

LE GREFFIER LE PRÉSIDENT