COUR D’APPEL

DE RIOM

Troisième chambre civile et commerciale

ARRET N°

DU : 28 Octobre 2020

N° RG 19/00337 – N° Portalis DBVU-V-B7D-FFB3

ALC

Arrêt rendu le vingt-huit Octobre deux mille vingt

Sur APPEL d’une décision rendue le 24 janvier 2019 par le Tribunal de commerce de CLERMONT-FERRAND (RG n° 18/3194)

COMPOSITION DE LA COUR lors des débats et du délibéré :

Madame Anne-Laurence CHALBOS, Président

M. François KHEITMI, Conseiller

M^me Virginie THEUIL-DIF, Conseiller

En présence de : M^me Christine VIAL, Greffier, lors de l’appel des causes et du prononcé

ENTRE :

La société X CENTRE FRANCE

SASU immatriculée au RCS de Clermont-Ferrand sous le […]

[…]

63000 CLERMONT-FERRAND

Représentant : M^e C D, avocat au barreau de CLERMONT-FERRAND (postulant) et la SCP BERNARD-FRANCOIS, avocats au barreau de CLERMONT-FERRAND (plaidant)

APPELANTE

ET :

La société J INFORMATIQUE

SAS immatriculée au RCS de Clermont-Ferrand sous le […]

[…]

[…]

Représentants : la SCP MARTIN-LAISNE DETHOOR-MARTIN PORTAL GALAND, avocats au barreau de CLERMONT-FERRAND (postulant) et la SELAFA CHAINTRIER AVOCATS, avocats au barreau de BOURGES (plaidant)

INTIMÉE

DEBATS : A l’audience publique du 03 Septembre 2020 Madame CHALBOS a fait le rapport oral de l’affaire, avant les plaidoiries, conformément aux dispositions de l’article 785 du CPC. La Cour a mis l’affaire en délibéré au 28 Octobre 2020.

ARRET :

Prononcé publiquement le 28 Octobre 2020, par mise à disposition au greffe de la Cour, les parties en ayant été préalablement avisées dans les conditions prévues au deuxième alinéa de l’article 450 du code de procédure civile ;

Signé par Madame Anne-Laurence CHALBOS, Président, et par M^me Christine VIAL, Greffier, auquel la minute de la décision a été remise par le magistrat signataire.

*****

La société J INFORMATIQUE (J), éditrice de logiciel en mode Web pour des utilisateurs institutionnels et professionnels a souscrit le 3 novembre 2014 auprès de la société X CENTRE FRANCE (X) un contrat de services externalisés, portant sur la fourniture de prestations d’hébergement de 98 VM (machines virtuelles) d’un serveur SMTP et d’un serveur FTP, pour une durée de 3 ans.

À la demande de la société J, qui exprimait le souhait de ne pas poursuivre la relation contractuelle au-delà de l’échéance de 2017, les parties ont signé le 22 février 2016 un avenant au contrat pour en réduire le périmètre, le nombre de VM de type 1 passant de 81 à 31, la société J réglant une indemnité de 5000 euros HT à titre de compensation.

Se plaignant de désordres affectant le système d’hébergement mis en place par la société X et de non-conformités au contrat, la société J a fait assigner la société X par acte du 20 février 2017 devant le président du tribunal de commerce de Clermont-Ferrand aux fins de désignation d’un expert.

Par décision du 9 mai 2017, le président du tribunal de commerce de Clermont-Ferrand a ordonné une expertise confiée à Monsieur A B avec mission d’examiner et décrire le système informatique mis en place par la société X pour exécuter le contrat du 3 novembre 2014 et son avenant afin de déterminer sa conformité aux stipulations contractuelles, de rechercher et déterminer la cause des éventuels désordres affectant la solution d’hébergement informatique et notamment de coupures, de fournir tous éléments permettant de déterminer les responsabilités encourues, de calculer les pénalités contractuelles et d’évaluer les préjudices.

L’expert a déposé son rapport le 5 mars 2018.

Après avoir formulé le 8 mars 2018 une proposition de règlement amiable du litige rejetée par la société X, la société J a fait assigner cette dernière devant le tribunal de commerce de Clermont-Ferrand par acte du 16 avril 2018, sollicitant la condamnation de la défenderesse à lui payer les sommes de :

—  66 317,46 euros au titre de l’annulation de l’avenant ou subsidiairement 58 041,04 euros pour inexécution contractuelle de l’avenant,

—  22 721,08 euros au titre de l’inexécution contractuelle jusqu’au 22 février 2016,

—  197 612,80 euros au titre de la clause pénale.

La société X s’opposait aux demandes et sollicitait reconventionnellement la condamnation de la société J à lui payer les sommes de :

—  119 520 euros à titre d’indemnité pour non respect de la clause de non-sollicitation de personnel figurant au contrat de services externalisés,

—  80 000 euros de dommages et intérêts en réparation du préjudice subi en raison de la déloyauté de la société J.

Par jugement du 24 janvier 2019, le tribunal de commerce de Clermont-Ferrand a :

— dit la SAS J INFORMATIQUE recevable et partiellement fondée en son action,

— condamné la société X CENTRE FRANCE à payer et porter à la SAS J INFORMATIQUE les sommes suivantes :

—  10 003,48 euros au titre de l’inexécution contractuelle jusqu’au 22 février 2016,

—  45 000 euros au titre de l’inexécution contractuelle de l’avenant du 22 février 2016,

— débouté la société X CENTRE FRANCE de toutes ses demandes reconventionnelles,

— condamné la société X CENTRE FRANCE aux dépens et à la moitié des frais d’expertise.

La société X a interjeté appel de cette décision le 18 février 2019.

Par conclusions déposées et notifiées le 17 octobre 2019 elle demande à la cour de :

— réformer le jugement dont appel en ce qu’il a condamné la société X à payer à la société J la somme de 10 003,48 euros au titre de l’inexécution contractuelle jusqu’au 22 février 2016 et celle de 45 000 euros au titre de l’inexécution contractuelle de l’avenant du 22 février 2016,

— débouter la société J de sa demande de condamnation au titre de l’inexécution contractuelle jusqu’au 22 février 2016 au titre de l’inexécution contractuelle de l’avenant du 22 février 2016,

— confirmer le jugement entrepris en ce qu’il a débouté la société J de ses autres demandes,

— réformant le jugement déféré et faisant droit à la demande reconventionnelle formée par la société X, condamner la société J à payer à la société X les sommes de 119 520 euros à titre d’indemnité pour non respect de la clause de non-sollicitation de personnel figurant au contrat de services externalisés et 80 000 euros de dommages et intérêts en réparation du préjudice subi en raison de la déloyauté de la société J,

— condamner la société J à payer à la société X la somme de 8 000 euros sur le fondement de l’article 700 du code de procédure civile ainsi qu’aux dépens de première instance et d’appel en ce inclus le coût de l’expertise judiciaire et autoriser Maître C D à recouvrer ceux dont elle a fait l’avance.

Par conclusions déposées et notifiées le 4 novembre 2019, la société J demande à la cour de confirmer le jugement dont appel en ce qu’il a débouté la société X de ses demandes

reconventionnelles, d’infirmer le jugement pour le surplus et statuant à nouveau :

— condamner la société X au paiement de la somme de 22 721,08 euros au titre de l’inexécution du contrat initial jusqu’au 22 février 2016,

— condamner la société X au paiement des sommes suivantes concernant l’avenant du 22 février 2016 :

— constater le dol de X et prononcer la nullité de l’avenant du 22 février 2016, en conséquence condamner X à rembourser à la société J la somme de 66 317,46 euros,

— subsidiairement, condamner X à la somme de 58 041,04 euros pour inexécution contractuelle de l’avenant,

— condamner la société X au paiement de :

— la somme de 83 205 euros au titre de la perte de chiffre d’affaires,

— la somme de 197 612,80 euros et subsidiairement la somme de 22 230,07 euros au titre de la clause pénale

— condamner la société X aux entiers dépens en ce inclus le coût de l’expertise de 5 960,81 euros,

— condamner la société X à 10 000 euros au titre de l’article 700 du code de procédure civile,

— déclarer irrecevables les demandes reconventionnelles présentées par X.

La procédure a été clôturée le 28 mai 2020.

MOTIFS :

Sur les demandes fondées sur le dol :

La société J reproche à la société X d’avoir commis un dol pour l’amener à conclure l’avenant du 22 février 2016, en affirmant que son matériel était conforme au référentiel général de sécurité (RGS) mis en place par l’agence nationale de sécurité des systèmes d’information (ANSSI).

Elle fait valoir que la société X a fait figurer sur l’avenant la mention suivante :

'Pour information :

Nos équipements de sécurité sont conformes aux normes du RGS suite aux informations transmises par le constructeur. En effet, l’accord signé par l’ANSSI et son équivalent allemand le BSI permet de certifier de manière réciproque les matériels au sein des pays signataires' ;

que cette affirmation est fausse, la société X opérant une confusion entre certification et qualification, la certification du matériel n’attestant en aucun cas de sa conformité au RGS ;

qu’en tant que prestataire d’établissements et collectivités publiques la société J doit fournir du matériel et des prestations conformes au RGS.

Les échanges intervenus avant la signature de l’avenant font cependant apparaître que la mention ajoutée par la société X n’a eu aucun caractère déterminant dans la signature de l’avenant

par la société J.

Il résulte en effet clairement de ces échanges que l’avenant a été signé entre les parties à la demande de la société J qui exprimait le souhait de ne pas poursuivre la relation contractuelle au-delà de l’échéance de 2017, considérant que l’offre de la société X ne répondait plus à ses besoins, l’objet de l’avenant étant précisément d’organiser la fin de cette relation en réduisant le périmètre du contrat.

L’un des motifs invoqués par la société J pour signer cet avenant était qu’elle souhaitait engager une démarche de qualification RGS sur l’hébergement d’applications pour les collectivités et que la société X l’avait informée qu’elle ne s’associerait pas à cette démarche.

Ainsi Monsieur E Y, directeur général de la société J, écrivait à Monsieur F X par mail du 5 février 2016 :

' (…) 2 problématiques subsistent, dont une qui est critique pour J.

La première concerne les délais de réponse à mes différentes problématiques.

J’ai demandé depuis juin les schémas d’architecture et réseau : réponse en février, soit 8 mois après…

J’ai besoin de réactivité et pour être honnête, je n’en ai pas eu avec X, et la politique de l’autruche n’est pas ma façon de collaborer.

Aussi, j’ai aujourd’hui une appréhension légitime à une suite ensemble car en cas de problème, je ne souhaite pas une équipe dirigeante aux abonnés absents.

Autre point critique : la qualification RGS sur l’hébergement d’applications pour les collectivités.

Je suis soumis, de par ma clientèle, à respecter la réglementation en terme de sécurité informatique.

J’ai pris contact avec l’ANSSI et l’avenir est à héberger les données nominatives sur des architectures qui sont qualifiées.

Aujourd’hui, un audit qui certifie l’hébergement suffit mais la tendance se durcit et je vais être obligé de qualifier mon architecture.

Comme indiqué précédemment j’ai eu le discours que la qualification RGS se fera sans X, ce que je ne juge pas (c’est un choix d’entreprise).

Par conséquent je souhaite mettre un terme à notre contrat de façon correcte et sans risque pour les 2 sociétés.

Je te propose de maintenir l’architecture existante dans modification pour les 50 serveurs actuels jusqu’à la fin du contrat (2017).

Ainsi je m’engage à régler les 3040 € HT mensuellement et utiliser ces VMs jusqu’à la fin du contrat sans nécessité d’attribuer des IP fixes aux VMs 1.

Si tu le souhaites, je rédigerai un avenant au contrat en cours, m’obligeant à régler mensuellement les 50 VMs jusqu’à l’échéance dans la configuration matérielle actuelle.'

Par mail du 16 février 2016, Monsieur Y adressait à la société X un 'projet de courrier pouvant faire office d’avenant', rédigé comme suit :

'Suite à nos différents échanges, je vous prie de bien vouloir trouver ci-dessous les modalités convenues d’un commun accord pour le contrat DV03947.

Au vu des évolutions de J Informatique concernant son offre d’hébergement, le présent contrat ne répond plus au nouveau besoin de nos clients et à ce titre, toute nouvelle livraison de VMs est suspendue jusqu’au terme du contrat soit le 11 novembre 2017.

À ce titre, X Informatique s’engage à assurer la qualité de service convenue initialement en terme de support et de niveau de service (SLA) ainsi que d’assurer l’ensemble des prestations du contrat dans l’état de l’art pour le parc déjà déployé soit 47 VMs répartis comme suit (…).

En contre partie J Informatique s’engage à régler mensuellement par chèque bancaire dès réception de la facture les Vms en production majoré d’un préjudice estimé à 5000 E HT (…).

Au terme du présent contrat soit en date du 11/11/2017 ce dernier sera résilié de plein droit (…)'.

Il ressort de ces échanges que Monsieur Y, dont l’expert souligne la particulière compétence dans la matière dont relève la prestation et la capacité à juger la pertinence des solutions proposée par la société X, était parfaitement informé du refus de la société X d’entreprendre une démarche de qualification RGS, qu’il faisait lui-même la différence entre un audit qui certifie l’hébergement et une qualification de l’architecture, de sorte qu’il n’a pu être induit en erreur par la mention ajoutée pour information sur l’avenant par la société X, qui n’a eu en tout état de cause aucune incidence sur sa décision, déjà acquise, de signer l’avenant dont l’objet était précisément d’organiser la fin de la relation contractuelle au motif notamment de l’absence de volonté de la société X de s’associer à une démarche de qualification.

Les demandes de la société J fondées sur le dol seront en conséquences rejetées, le jugement étant confirmé sur ce point.

Sur les non-conformités alléguées par la société J :

— concernant la fibre optique :

Les conditions particulières du contrat initial mentionnent au titre des prestations 'hébergement VM J haute disponibilité’ la mise à disposition d’une fibre optique redondante et dédiée 100 Mbps incluse pour l’ensemble des VM.

La société J fait valoir en premier lieu qu’alors que le débit contractuellement prévu était de 100 Mbps, la société X a mis à disposition un débit de 54 Mbps seulement, ce qui n’est pas contesté par la société X.

L’expert précise sur ce point que la société J n’a pas déployé le nombre de machines virtuelles prévu au contrat (98 machines virtuelles), que la société X a mis à disposition un débit correspondant au prorata des machines virtuelles effectivement déployées, que ce débit est suffisant et que la société J n’a jamais signalé de problème concernant le débit des connexions.

Le débit de 100 Mbps étant stipulé 'pour l’ensemble des VM', la mise à disposition d’un débit correspondant au prorata des machines virtuelles effectivement déployées ne saurait être considérée comme un manquement de la société X à ses engagements contractuels.

S’agissant de la redondance de la fibre optique, il résulte des constatations de l’expert que la fibre servant les machines virtuelles est bien redondante.

Le fait que les deux arrivées dépendent du même prestataire ne constitue pas un défaut de conformité au contrat en l’absence de stipulation contraire.

Il ressort enfin du rapport d’expertise que la fibre optique n’est pas dédiée à J et que contrairement à ce que fait apparaître le schéma descriptif joint à l’avenant, il n’existe aucune connexion fibre spécifique entre les machines virtuelles et les serveurs de la société J, la société X utilise pour cette connexion un réseau virtuel dédié (VLAN) que l’expert qualifie de’ tout à fait adapté'.

L’expert précise que la société X a associé le système dédié à l’ASM OMNISPORT sur ce même réseau virtuel dédié, en justifiant ce choix par le fait que l’ASM OMNISPORT a souscrit directement auprès de la société X un contrat d’hébergement pour une machine virtuelle iMuse installée et administrée par la société J dans le cadre d’un contrat d’acquisition et de support.

— concernant la baie dédiée :

Le schéma descriptif joint à l’avenant du 22 février 2016 présente la baie hébergeant les machines virtuelles J comme une baie dédiée alors que lors de la visite du data center, l’expert a constaté que d’autres systèmes informatiques sont hébergés dans la même baie, la séparation entre les différents clients étant cependant très nette et les connexions parfaitement séparées.

L’expert précise que la société X a physiquement hébergé la machine virtuelle iMuse destinée à l’ASM OMNISPORT dans la baie dédiée aux systèmes informatiques de J.

— concernant le pare-feu ARKOON :

La société J fait valoir qu’il était contractuellement prévu que les serveurs SMTP et FTP devaient être protégés par un pare-feu ARKOON, bénéficiant de la qualification de l’ANSSI, et que lors de l’expertise, il a été constaté que les serveurs n’étaient protégés que par un pare-feu de marque SOPHOS depuis mars 2017.

La société X expose sur ce point que jusqu’au 3 avril 2017, les serveurs SMTP ET FTP étaient bien placés derrière des pare feu ARKOON conformément aux termes du contrat mais que courant mars 2017, elle a été contrainte de reprendre l’intégralité de son plan d’adressage, que la société J s’est cependant refusée à faire les modifications imposées par cette migration ce qui l’a contrainte à mettre en place une solution de contournement, d’où le recours au pare feu SOPHOS pour la seule société J à compter du 3 avril 2017.

Cette explication est confirmée par l’expert qui précise en outre :

— que depuis le mois de janvier 2017, la société J a mis en place sa propre structure d’hébergement et modifié la redirection des adresses vers ses propres machines, les machines virtuelles hébergées par la société X ne sont donc plus utilisées depuis cette redirection de DNS,

— qu’en avril 2017, la société J a changé de prestataire d’accès internet (précédemment fourni par la société X) mais n’a cependant fait aucune demande de mise à jour de la configuration du réseau privé virtuel à la société X, l’accès au réseau privé virtuel spécifique aux machines J n’est plus actif, la société J n’a plus accès aux machines hébergées,

— que la société J n’a plus de systèmes informatiques en production au sein de la société X, son accès réseau n’est pas opérationnel.

La société J ne peut donc, de bonne foi, reprocher à la société X d’avoir modifié la protection des serveurs SMTP et FTP le 3 avril 2017 alors que cette modification était rendue nécessaire par sa propre attitude d’opposition à une évolution technique demandée par son cocontractant et qu’en tout état de cause, elle avait elle-même pris l’initiative de vider le contrat de sa substance dès le début de l’année 2017.

Selon l’expert le matériel déployé est conforme au contrat et à l’état de l’art et n’entraîne aucune remarque de sa part, les solutions mises en place par la société X sont cohérentes et respectent l’état de l’art.

Les seules non-conformités constituées et confirmées par l’expertise proviennent, toujours selon l’expert, de l’imprécision et du manque de rigueur du schéma descriptif annexé à l’avenant.

Elles consistent dans le fait que la baie hébergeant les machines virtuelles J n’est pas dédiée mais héberge d’autres systèmes informatiques, que la fibre optique n’est pas non plus dédiée à J, que contrairement à ce que fait apparaître le schéma, il n’existe aucune connexion fibre spécifique entre les machines virtuelles et les serveurs de la société J, la société X utilise pour cette connexion un réseau virtuel et a associé le système dédié à l’ASM OMNISPORT sur ce même réseau virtuel.

L’expert considère qu’il était logique et pertinent, compte tenu du fait que la machine virtuelle iMuse destinée à l’ASM OMNISPORT était administrée par la société J, d’installer le système dédié à l’ASM OMNISPORT sur le même réseau virtuel et la même baie que les systèmes de la société J, même si ce choix entraîne un risque d’attaque accru, que l’expert relativise en précisant qu’une éventuelle intrusion implique la compromission du système déployé et administré par la société J pour cette machine spécifique.

Le contrat étant arrivé à son terme et la société J n’ayant adressé pendant l’exécution du contrat aucune mise en demeure de remédier aux non-conformités, bien qu’ayant fait constater par huissier le 24 octobre 2016 l’absence d’architecture dédiée, la sanction de ces non-conformités ne peut résider que dans l’allocation de dommages et intérêts à la mesure du préjudice subi, conformément aux dispositions des anciens articles 1147 et suivants du code civil.

Il n’est justifié par la société J d’aucun préjudice découlant directement des non-conformités retenues, l’expertise ne mettant pas non plus en évidence un tel préjudice.

La société J qui estime que le prix qu’elle a versé est trop élevé au regard du service réellement fourni et sollicite le remboursement de 87,52 % des loyers versés tant au titre de l’avenant que du contrat initial ne précise pas sur quel fondement les non-conformités retenues pourraient justifier a posteriori, en l’absence de préjudice démontré, une réfaction du prix à laquelle s’opposent les dispositions de l’article 1134 ancien du code civil.

Les demandes de la société J en remboursement de loyers seront en conséquence rejetées, le jugement étant infirmé en ce qu’il a alloué à la société J une somme de 45 000 euros.

Sur les dysfonctionnements et défaillances allégués par la société J :

— interruptions d’accès au réseau :

Ainsi que le rappelle l’expert, le logiciel iMuse étant une application Web, son fonctionnement est directement lié au fonctionnement des accès internet.

L’expert a établi un tableau répertoriant et détaillant les 17 incidents survenus pendant l’exécution du contrat.

Il indique que plusieurs incidents correspondant à des défaillances du réseau ont été signalés pendant la durée du contrat mais que ces défaillances, imputables à la société X ou à ses fournisseurs, ont toutes été corrigées dans un temps relativement court, inférieur à la durée de 4 heures stipulée au contrat au titre de la garantie de temps de rétablissement (GRT).

Il précise que la durée de ces interruptions n’est pas excessive et que leur fréquence d’occurrence est normale.

Aucun manquement de la société X ne sera en conséquence retenu à ce titre.

— non-fourniture des logs :

La société J fait valoir que selon les conditions particulières du contrat la société X s’est engagée à fournir les logs à la demande.

Elle précise que les logs sont les données concernant les courriers électroniques (auteur, destinataire, date, horaire, etc…).

Elle reproche à la société X de ne pas lui avoir fourni les logs concernant les messages de ses clients antérieurs au 15 mars 2016 malgré ses nombreuses demandes.

La société X oppose à juste titre les dispositions de l’article R10-14 du code des postes et communications limitant à trois mois la durée de conservation de ces données.

L’engagement de la société X s’inscrivant nécessairement dans les limites de ces dispositions réglementaires, il ne peut lui être reproché de ne pas avoir fourni les logs antérieurs au 15 mars 2016, la première demande de la société J à ce titre ayant été formulée le 14 juin 2016.

— défaillances d’authentification liées au reverse proxy :

Il ressort des explications fournies par l’expert :

que la société X a intégré dans son architecture réseau un serveur dénommé 'reverse proxy’ qui assure un premier niveau de protection des machines virtuelles et peut répartir la charge de travail entre les différentes machines,

que les clients de la société J accèdent au logiciel iMuse en utilisant un protocole sécurisé (HTTPS) qui assure la confidentialité des informations par chiffrement et l’authentification du serveur par certificat,

que la présence du reverse proxy a généré des défauts d’authentification pour les requêtes sécurisées (HTTPS), nécessitant l’ajout par chaque client d’une exception de sécurité, et a entraîné une impossibilité d’effectuer des paiements en ligne.

L’expert précise que ce problème de configuration incombe intégralement à la société X et souligne qu’au regard des tests effectués et communiqués par Monsieur Y faisant clairement apparaître un défaut d’authentification dans la chaîne de chiffrement, la société X aurait dû effectuer des tests complémentaires pour déterminer précisément l’origine des défaillances.

— interruption de l’accès au serveur FTP :

Il résulte du rapport d’expertise que le 27 janvier 2016, une modification de l’architecture réseau au sein de la société X a rendu l’accès au serveur FTP inopérant.

Dès lors les sauvegardes automatiques réalisées par les clients n’ont plus été possibles.

Ce dysfonctionnement a été signalé le 20 avril 2016 et a été résolu le 9 mai 2016.

Selon l’expert, la responsabilité de ce dysfonctionnement incombe intégralement à la société X, la modification de son architecture réseau en étant la cause.

Sur l’application des pénalités contractuelles :

L’article 5 des conditions particulières du contrat de services externalisés prévoit que 'la GTR (garantie de temps de rétablissement) est fixée à 4 heures ouvrées à partir de l’ouverture du ticket d’incident déclaré suivant les moyens stipulés à l’article 4. En cas de non-respect de cette GTR, une pénalité correspondant à un mois de redevance par 24 heures de retard sera appliquée.'

Cette clause, qui fixe une évaluation forfaitaire et anticipée des conséquences d’une inexécution imputable au prestataire, constitue une clause pénale au sens de l’article 1152 ancien du code civil et a vocation à s’appliquer pour sanctionner les différents dysfonctionnements caractérisés par l’expert et indemniser les conséquences dommageables pour la société J.

Cependant, s’agissant de l’interruption de l’accès au serveur FTP, il ressort des échanges auxquels a donné lieu cet incident que les parties se sont accordées après son dénouement, à la demande de la société J, sur une indemnisation à hauteur de 716,60 euros TTC équivalant à 3 mois de la redevance correspondant à ce service.

Ainsi le 9 mai 2016, après avoir confirmé que les sauvegardes étaient à nouveau faites depuis le 7 mai et que la société X pouvait clôturer le ticket pour la partie technique, Monsieur Y s’est adressé par mail à Monsieur X en ces termes :

'Comme vous pouvez le constater sur les échanges ci-dessous, il nous a été impossible de faire les sauvegardes entre Cébazat et La Pardieu pendant plus de 3 mois.

Après mon dernier mail ci-dessous, G H m’a appelé pour me confirmer qu’une règle a été modifiée et que normalement tout est rentré dans l’ordre.

Considérant cet incident technique clos, il pose néanmoins un problème sur notre hébergement car aucune alerte ne nous a été remontée par vos services.

Dans l’hypothèse où nous ne dupliquions pas les sauvegardes dans un autre data center chez OVH, nous nous serions retrouvés sans sauvegarde en cas de crash serveur.

Sans remettre en cause les compétences techniques de vos équipes, je remets cependant en cause la supervision des architectures car le FTP se doit de fonctionner entre les 2 sites.

Si nous devions appliquer l’article 5 de notre contrat, soit 1 mois de redevance par 24 h de retard au delà de 4 h d’interruption, je vous laisse calculer le montant de la pénalité.

Ne souhaitant pas entrer dans une situation inutilement conflictuelle, je tenais à vous alerter sur ce manquement afin que cela ne se reproduise plus et que l’architecture soit supervisée.

Aussi je vous prie de bien vouloir me faire un avoir sur la facture FS02671 et de nous la refaire avec une remise commerciale correspondant à 3 mois d’indisponibilité du serveur FTP soit 597 euros HT.

Nous sommes ainsi très loin des pénalités contractuelles mais il me paraît légitime de ne pas payer un service qui n’a pas été rendu et qui aurait pu porter un lourd préjudice à notre société.'

Cette proposition a été acceptée le jour même par le directeur commercial de la société X et un avoir de 597 euros HT (soit 716,60 euros TTC) a été consenti.

Il est ainsi établi que la société J a sciemment accepté, compte tenu notamment du fait que l’incident aurait pu occasionner un lourd préjudice mais que le risque ne s’était pas réalisé, de renoncer à la pénalité prévue à l’article 5 du contrat et de s’en tenir à une indemnisation correspondant à 3 mois de redevance du serveur.

En l’état de l’accord exprès intervenu entre les parties et exécuté, la société X n’est plus recevable à solliciter l’application de la pénalité de l’article 5 au titre de cet incident.

Concernant les dysfonctionnements liés au reverse proxy et résolus par la mise à disposition, par la société X, d’adresses IP spécifiques, l’expert distingue 3 incidents :

— le défaut d’authentification des machines virtuelles de type 2 signalé le 4 mai 2015 et résolu le 1^er octobre 2015,

— le défaut d’authentification des machines virtuelles de type 1 signalé le 4 mai 2015 et résolu le 21 octobre 2016,

— l’impossibilité de réaliser des paiements en ligne signalé le 13 octobre 2016 et résolu le 21 octobre 2016.

Il propose un calcul des pénalités en retenant les éléments suivants :

— chaque pénalité concerne un ou plusieurs services et ne sera comptabilisée que pour ce ou ces services,

— le coût du service est la moyenne du coût mensuel du service pondérée par le nombre de systèmes en fonctionnement sur la période considérée,

— le nombre de services correspondra à la moyenne des systèmes en service sur la période,

— le taux d’impact correspondra à une valeur à dire d’expert représentant l’impact du service sur le fonctionnement global de la solution.

Ces modalités de calcul sont conformes à la lettre et à l’esprit du contrat et ne font l’objet d’aucune critique sérieuse des parties. Elles seront en conséquence entérinées, notamment en ce que les pénalités doivent être appliquées à toute défaillance du service, les termes du contrat ne permettant pas de limiter leur application aux seules hypothèses d’interruption totale du service.

La société X se prévaut à juste titre de l’application de la limitation de garantie prévue à l’article 5 des conditions générales du contrat, aux termes duquel l’éventuelle responsabilité du prestataire envers le client dans l’exécution du service ne saurait excéder, pour tout dommage direct subi par le client, une somme égale à 3/12 de la redevance dont le montant est fixé aux conditions particulières, payée au titre du service dû par le prestataire.

Il n’existe aucune contradiction entre les dispositions de l’article 5 des conditions particulières déterminant le mode de calcul des pénalités et l’article 5 des conditions générales fixant une limitation du montant de l’indemnisation en cas de responsabilité du prestataire dans l’exécution du service.

Conformément aux dispositions de l’article 1161 ancien du code civil aux termes duquel toutes les clauses des conventions s’interprètent les unes par les autres en donnant à chacune le sens qui résulte

de l’acte entier, il y a lieu de considérer, comme l’ont fait les premiers juges, que les pénalités prévues à l’article 5 des conditions particulières, destinées à indemniser forfaitairement un préjudice découlant d’un manquement du prestataire dans l’exécution du contrat, s’applique dans les limites prévues à l’article 5 des conditions générales.

Le calcul des pénalités s’établit en conséquence comme suit :

— concernant le défaut d’authentification des machines virtuelles de type 2 signalé le 4 mai 2015 et résolu le 1^er octobre 2015 : la défaillance a une durée de 149 jours, la moyenne du nombre de machines virtuelles en service est de 12,67 et le coût moyen pondéré est de 69 euros. Le taux d’impact fixé par l’expert à 1% sera entériné, le problème de certificat n’ayant pas impacté de manière significative le service mais fragilisé la chaîne de sécurité dans des proportions que l’expert relativise, les attaques étant très complexes à mettre en oeuvre et impliquant une compromission d’une partie de l’architecture du réseau de connexion.

La pénalité s’élève à 1 302,60 euros.

— concernant le défaut d’authentification des machines virtuelles de type 1 signalé le 4 mai 2015 et résolu le 21 octobre 2016 : la défaillance a une durée de 535 jours, la moyenne du nombre de machines virtuelles en service est de 28,78 et le coût moyen pondéré est de 51,49 euros. Le taux d’impact est fixé à 1% comme exposé précédemment.

La pénalité d’un montant de 7 928,07 euros sera plafonnée à hauteur de 4 445,65 euros en application de la clause de limitation prévue à l’article 5 des conditions générales du contrat.

— concernant l’impossibilité de réaliser des paiements en ligne signalée le 13 octobre 2016 et résolue le 21 octobre 2016 : la défaillance a une durée de 7 jours, elle a concerné 9,7% des machines virtuelles de type 1 dont le coût de service est 54,21 euros et 38% des machines virtuelles de type 2 dont le coût de service est de 74,21 euros.

La pénalité encourue s’élève à 1 138,41 euros pour les machines virtuelles de type 1 et 3 116,82 euros pour les machines virtuelles de type 2.

Le montant total des pénalités contractuelles dues à la société J par la société X s’élève en conséquence à 10 003,48 euros, le jugement étant confirmé sur ce point, sauf à préciser que ces pénalités concernent la durée totale du contrat et non pas la seule période antérieure au 22 février 2016 comme indiqué par erreur dans le jugement.

Sur la demande en dommages et intérêts pour perte de chiffre d’affaires :

La société J prétend que la résolution des incidents imputables à la société X et la procédure qui s’en est suivie a occasionné une perte de temps pour son gérant correspondant à 20 jours pleins, dont il est résulté une perte de chiffre d’affaires estimée à 83 205 euros.

Elle ne produit cependant aucun élément probant à l’appui de cette allégation, de nature à établir la réalité de la perte de chiffre d’affaires alléguée et son lien de causalité avec des manquements imputables à la société X.

Le jugement sera confirmé en ce qu’il a débouté la société J de ce chef de demande.

Sur les demandes reconventionnelles de la société X :

— sur la demande au titre du non-respect de la clause de non-sollicitation de personnel :

Les conditions générales du contrat de services externalisés conclu entre les parties comportent une clause de non-sollicitation de personnel.

La société X reproche à la société J d’avoir embauché le 12 septembre 2016 Monsieur I Z, cadre technico-commercial de la société X, qui avait sollicité la rupture conventionnelle de son contrat de travail avec effet au 31 août 2016, et qui dès son embauche par la société J, a démarché systématiquement les clients de son ancien employeur.

La société J fait valoir en premier lieu que la demande serait irrecevable au motif que le salarié a été embauché non pas par elle-même mais par la société J K L qui est une personne morale distincte.

Il ressort cependant de l’extrait Kbis et des courriers versés aux débats que la société J K L, immatriculée le 22 juin 2016 a le même dirigeant, le même siège social et le même numéro de téléphone que la société J INFORMATIQUE et fait partie du même groupe, de sorte que l’embauche de Monsieur Z par cette société tombe sous le coup de l’interdiction édictée à la clause de non-sollicitation aux termes de laquelle chaque partie s’engage à ne pas solliciter ni prendre à son service sous quelque statut que ce soit, directement ou indirectement, tout employé ou mandataire de l’autre partie.

La société J fait toutefois valoir à juste titre que la société X a exprimé son accord pour l’embauche de Monsieur Z par J K L.

Cet accord se manifeste en premier lieu par la mention portée sur la convention de rupture du contrat de travail de Monsieur Z, aux termes de laquelle la société X lève la clause de non-concurrence insérée au contrat de travail du salarié en précisant 'pas d’opposition à la levée de la clause de non-sollicitation de personnel opposable le cas échéant à un client', une telle mention étant nécessairement destinée à permettre au salarié de s’en prévaloir auprès d’un nouvel employeur.

La société X a par ailleurs reçu de Monsieur Y le 10 septembre 2016 le message suivant :

'I Z m’a sollicité fin août pour m’annoncer qu’il cherchait du travail car il quittait votre société au 31/08.

Je me suis alors entretenu avec lui afin de lui proposer un poste dans l’une de mes sociétés, J K L.

Suite à cet entretien et après étude des éléments relatifs à sa fin de contrat, j’ai décidé de l’embaucher pour cette nouvelle aventure.

Je tenais à vous l’annoncer personnellement car je souhaitais que ce projet professionnel débute dans la transparence la plus totale entre nous.'

Monsieur M-N X, président de la société X a répondu le 12 septembre 2016 à Monsieur Y :

'Je voulais vous rencontrer en juin dernier pour vous annoncer notamment le départ imminent d’I qui à l’époque ne me cachait pas qu’il était possible qu’il rejoigne un client : j’avais pour ma part deviné la situation que vous nous annoncez (…) Pour le libérer et lui permettre de mener sa vie, vous le savez peut-être, j’ai facilité au maximum son départ.

Concernant votre nouvelle Ets, je suppose que cela va dans le sens des projets que vous aviez annoncés en fin d’année d’extension de vos activités sur vos clients, je vous souhaite sincèrement de réussir. Concernant l’adhésion d’I à celui-ci, je pense que c’est un point positif pour vous, tant que ces actions ne s’adressent pas directement aux clients qu’il suivait pour notre compte.'

Il est ainsi suffisamment établi que la société X a renoncé à se prévaloir de la clause de non-sollicitation de personnel insérée au contrat conclu avec la société J en exprimant son approbation à l’embauche de Monsieur Z par la société J K L.

La demande de la société X fondée sur l’application de cette clause sera en conséquence rejetée, le jugement étant confirmé sur ce point.

— sur la demande en dommages et intérêts pour déloyauté :

La société X reproche à la société J d’avoir fait preuve de déloyauté à son égard en changeant d’attitude en début d’année 2016, se comportant non plus comme un partenaire mais comme un concurrent, abandonnant un projet de création de co-entreprise initié en novembre 2015 au profit de la création par Monsieur Y en juin 2016 de sa propre société concurrente de la société X, adoptant un comportement de récriminations et obstructions systématiques, réduisant le périmètre du contrat par un avenant générant un perte pour la société X de 37 366 euros.

La société X produit deux mails des 24 novembre 2015 et 5 janvier 2016 évoquant des discussions sur un projet de création de co-entreprise.

De tels échanges se situent hors du cadre de l’exécution du contrat de services externalisés liant les parties. La société J était libre de ne pas donner suite à un tel projet et la société X ne démontre aucun abus commis par la société J dans la rupture de pourparlers.

La société X n’est pas fondée à reprocher à la société J les conséquences économiques de l’avenant du 22 février 2016 dès lors qu’elle a accepté et signé cet avenant.

La société J s’est acquittée des redevances contractuellement dues jusqu’au terme du contrat.

Si des tensions sont effectivement apparues entre les parties, notamment lors de la demande de la société X de modification de la plage d’adresses IP en début d’année 2017 alors que la société J initiait une procédure de référé expertise, la société X ne rapporte pas la preuve d’un comportement malveillant de la société J et d’un préjudice en résultant.

Sa demande en dommages et intérêts sera rejetée, le jugement étant confirmé sur ce point.

Chacune des parties succombant partiellement sur ses demandes conservera la charge des dépens par elle exposés en cause d’appel sans qu’il y ait lieu à condamnation sur le fondement de l’article 700 du code de procédure civile en faveur de l’une ou l’autre partie.

PAR CES MOTIFS :

La cour, statuant publiquement, par mise à disposition au greffe, contradictoirement,

Confirme le jugement entrepris en ce qu’il a :

— dit la SAS J INFORMATIQUE recevable et partiellement fondée en son action,

— condamné la société X CENTRE FRANCE à payer et porter à la SAS J INFORMATIQUE la somme de 10 003,48 euros au titre des pénalités contractuelles, sauf à préciser que ces pénalités concernent la durée totale du contrat et non pas la seule période antérieure au 22

février 2016 comme indiqué par erreur dans le jugement,

— débouté la société X CENTRE FRANCE de toutes ses demandes reconventionnelles,

— condamné la société X CENTRE FRANCE aux dépens et à la moitié des frais d’expertise,

Infirme le jugement en ce qu’il a condamné la société X CENTRE FRANCE à payer et porter à la SAS J INFORMATIQUE la somme de 45 000 euros au titre de l’inexécution contractuelle de l’avenant du 22 février 2016,

Statuant à nouveau et y ajoutant,

Déboute la société J INFORMATIQUE de ses demandes fondées sur le dol, de ses demandes en remboursement de loyers, de sa demande de pénalités contractuelles concernant l’interruption de l’accès au serveur FTP, de sa demande en dommages et intérêts pour perte de chiffre d’affaires,

Dit n’y avoir lieu à condamnation sur le fondement des dispositions de l’article 700 du code de procédure civile en cause d’appel,

Dit que chacune des parties conservera la charge des dépens d’appel par elle exposés.

Le Greffier, Le Président,