Évaluer les disponibilités et les niveaux de service dans les contrats d’hébergement suisses

Situer la disponibilité et les niveaux de service dans le contrat d’hébergement suisse

Un fournisseur d’hébergement (webhoster) met à disposition une infrastructure technique – espace de stockage, puissance de calcul et ressources similaires – pour la mise en ligne automatisée de données. Il n’entre en contact qu’indirectement avec les données hébergées ; il n’assume généralement pas la responsabilité éditoriale de leur contenu. law.ch cite Green, Hostpoint, Hostfactory et OnLime comme exemples de fournisseurs d’hébergement en Suisse.

Dans la pratique, le contrat est conclu par la signature de contrats préformulés, le plus souvent en ligne et généralement en lien avec des conditions générales de vente (CGV). Qui souhaite évaluer les engagements de disponibilité doit donc d’abord clarifier quels documents font partie intégrante du contrat : l’acte contractuel, les CGV, un document distinct sur les niveaux de service ou une annexe décrivant les prestations. Si un engagement ne figure que sur une page marketing et dans aucun de ces documents, il n’est pas exécutoire.

Les contrats avec les fournisseurs d’hébergement sont à classer parmi les contrats innommés mixti iuris : selon leur configuration, ils contiennent des éléments relevant du bail (mise à disposition), du mandat ou du contrat d’entreprise. L’éventail va de la simple mise à disposition de capacités de stockage et de performance jusqu’à la gestion d’un site web ou la modération d’un portail d’actualités. L’étendue des prestations et les engagements de disponibilité varient en conséquence ; évaluer des pourcentages sans examiner la configuration concrète revient à passer à côté de l’essentiel.

Mandat, contrat d’entreprise ou bail : ce que le prestataire doit

La question de savoir si un prestataire doit répondre d’un site web inaccessible dépend essentiellement de la nature juridique du contrat, qui relève soit du droit du mandat, soit du droit du contrat d’entreprise. Selon WEKA, le droit du mandat met l’accent sur l’exécution diligente de la prestation ; dans le contrat d’entreprise, le prestataire de services doit un résultat concret – la source cite une application fonctionnelle comme exemple. Pour la responsabilité, cette distinction est décisive selon WEKA.

Dans les contrats d’hébergement, la qualification reste rarement claire, car ils mélangent, selon leur configuration, des éléments de bail, de mandat et de contrat d’entreprise. Qui souhaite une garantie de résultat – par exemple un site web accessible pendant une proportion de temps définie avec des délais de réaction spécifiés – doit formuler expressément ce résultat comme étant dû. Sans une telle formulation, il reste ouvert de savoir si le prestataire devait seulement travailler avec diligence ou s’il répondait du résultat ; la preuve d’une violation des obligations en devient plus difficile.

Selon WEKA, il est essentiel de définir précisément l’étendue des prestations, les droits d’utilisation et la conformité à la protection des données afin d’éviter les risques de responsabilité et les coûts supplémentaires imprévus. Cet article spécialisé est signé Carmen de la Cruz Böhringer (LEXcellence SA).

Clauses de disponibilité : vérifier les heures principales, la moyenne annuelle et les exceptions

Dans les conditions générales de vente, on trouve la formulation selon laquelle le logiciel sous contrat est « disponible pendant les heures principales à 99 % en moyenne annuelle » (npro.energy, § 4). Isolée, une telle valeur n’est pas évaluable. Il faut d’abord clarifier comment les heures principales sont définies (24h/24, jours ouvrables, une fenêtre horaire dans la journée), à quelle période de référence elles se rapportent (année civile, année contractuelle, mois) et comment les périodes entamées sont traitées.

Deuxièmement, la méthode de mesure : qui mesure – le prestataire lui-même, un tiers, le client –, avec quel outil, à quels intervalles et depuis quel emplacement ? Il est également déterminant de savoir ce qui est considéré comme « indisponible » : uniquement une panne totale ou aussi des temps de réponse fortement retardés et des pannes partielles de certains services (web, base de données, e-mail). Tout aussi important : qui porte la charge de la preuve, et le client peut-il présenter ses propres mesures comme preuve ?

Troisièmement, les fenêtres de maintenance et les exceptions : les fenêtres de maintenance annoncées, les mises à jour de sécurité d’urgence, la force majeure, les attaques contre l’infrastructure ainsi que les perturbations relevant de la sphère de responsabilité du client (raccordement, DNS, application défectueuse) sont exclues de l’engagement de disponibilité dans de nombreuses clauses. Plus ces exceptions sont larges, moins le pourcentage a de substance : chaque événement exclu réduit le temps garanti disponible.

Quatrièmement, la conséquence juridique : que se passe-t-il en cas de non-respect de l’engagement – simple avoir, droit de résiliation extraordinaire, dommages-intérêts – et sous quelles conditions (notification dans un délai, preuve, montant maximal) ? Sans conséquence juridique définie, l’engagement reste une déclaration d’intention. Clarifiez également l’aspect opérationnel : comment les perturbations sont-elles signalées (horaires du support, canaux, niveaux d’escalade) et comment le respect est-il rapporté (rapports de disponibilité, droits de consultation) ?

Comparaison des clauses de disponibilité dans les contrats d’hébergement suisses

Chiffres et grandeurs importants dans les contrats d’hébergement suisses

Déroulement de la surveillance de la disponibilité et signalement des perturbations

Étendue des prestations et services additionnels : quand le fournisseur d’hébergement devient prestataire de services

En règle générale, un fournisseur d’hébergement propose d’autres prestations et devient ainsi un prestataire de services. law.ch cite l’enregistrement de noms de domaine comme exemple typique. Selon les formes, s’ajoutent la gestion d’un site web ou la modération d’un portail d’actualités ou d’un blog – des prestations où le prestataire se rapproche davantage du contenu et peut en conséquence assumer plus de responsabilités.

Pour l’évaluation, cela signifie : noter d’abord ce qui est inclus dans le contrat de base et ce qui est facturé séparément ou assorti d’un niveau de service distinct. Les postes typiques sont l’espace de stockage et le trafic, les copies de sauvegarde et leur durée de conservation, les mises à jour logicielles, la surveillance, les horaires et canaux du support, les délais de restauration après perte de données ainsi que le nombre et la gestion des domaines.

Chaque poste critique pour l’exploitation nécessite un accord propre – un niveau de service pour l’hébergement ne dit rien sur l’accessibilité du support ni sur le délai de restauration.

Chez les prestataires qui adhèrent au Code of Conduct Hosting (CCH) de Swico, la procédure pour les réclamations concernant les contenus hébergés est réglementée : avec la procédure Notice-and-Notice ou Notice-and-Takedown fixée dans le CCH, Swico met en œuvre des principes de comportement. Vérifiez si votre prestataire applique ce mécanisme ou un équivalent, comment les signalements sont traités et dans quels délais les contenus peuvent être bloqués. La responsabilité éditoriale des contenus mis en ligne reste néanmoins du ressort du client.

Localisation des données en Suisse : stabilité, juridiction et risques d’accès

Le lieu physique de stockage des données a des conséquences juridiques. Selon un article d’Infomaniak, rédigé par l’avocat spécialiste en droit de la protection des données François Charlet (28 mai 2021), des données peuvent être saisies par des autorités étrangères.

En cas de stockage en Suisse, ce risque ne disparaît pas, mais les autorités étrangères doivent demander une entraide judiciaire internationale, tandis que les autorités suisses mettent en œuvre d’éventuelles mesures. De plus, selon cette analyse, il est plus facile de se défendre devant les tribunaux de son propre pays.

Comme autres arguments en faveur d’un prestataire local, l’article cite la proximité géographique et la possibilité qui en découle d’un service adapté ou sur mesure, ainsi que la stabilité juridique et politique de la Suisse. Il convient de relativiser la mention de serveurs situés dans d’anciens bunkers de l’armée suisse : selon la source, de telles offres sont surtout utiles pour l’archivage de données, moins pour les traitements quotidiens.

Pour le contrat, il en résulte des points de contrôle concrets : où se trouvent les données primaires et de sauvegarde (pays, centre de données) ? Quelle société est partenaire contractuel, quel droit et quel for sont applicables ? Qui peut accéder aux données – support interne, sous-traitants, société mère à l’étranger – et depuis où ? Quels flux de données partent vers l’étranger ?

WEKA souligne que la conformité à la protection des données selon la LPD révisée doit être réglée contractuellement. Cela vaut particulièrement pour les flux de données transfrontaliers.

Avantages et risques de la localisation locale des données en Suisse

Clarifier la sortie, la migration et la restitution des données avant la conclusion du contrat

Selon WEKA, pour les solutions cloud, les stratégies de sortie et les migrations de données doivent être définies de manière contraignante avant la conclusion du contrat. Qui ne clarifie ces points qu’au moment de la résiliation risque des coûts supplémentaires imprévus et des risques de responsabilité – par exemple si les données n’existent que dans un format spécifique au prestataire ou si leur remise est payante.

Il convient de fixer contractuellement : sous quelle forme et avec quelle exhaustivité les données sont restituées (base de données, fichiers, configuration, boîtes mail), dans quel délai après la résiliation, à quel prix et avec quelle confirmation de destruction après la restitution. S’y ajoutent les droits et les données d’accès aux domaines et aux entrées DNS, ainsi que la question de ce qui advient des données en cas de retard de paiement ou de coupure et jusqu’à quand elles peuvent encore être récupérées.

Évaluez concrètement les risques de verrouillage (lock-in) : les constructeurs propriétaires et les plateformes gérées (comme Managed WordPress ou les Website Builders) ainsi que les formats de sauvegarde spécifiques au prestataire compliquent le changement. Comparez ces coûts de changement avec les prix mensuels et examinez la durée du contrat et les délais de résiliation avant de vous lier pour des années.

Grille de contrôle pour la disponibilité et les niveaux de service dans les contrats d’hébergement suisses

Type de contrat et nature juridique : s’agit-il d’un contrat innommé avec des éléments de bail, de mandat et de contrat d’entreprise ? Un résultat est-il expressément dû ou seulement une exécution diligente ? Cela détermine ce que vous pouvez faire valoir en cas de panne.

Définition de la disponibilité : période de référence (moyenne annuelle ou mensuelle), définition des heures principales, méthode et lieu de mesure, définition de « indisponible », fenêtres de maintenance, exceptions et charge de la preuve. Conséquence juridique en cas de non-respect : avoir, droit de résiliation, dommages-intérêts – y compris les délais de notification et les obligations de preuve.

Étendue des prestations et services additionnels : qu’est-ce qui est inclus dans le contrat de base, qu’est-ce qui fait l’objet d’un accord séparé (sauvegardes, mises à jour, surveillance, horaires du support, délais de restauration, enregistrement de domaine, gestion) ? Un mécanisme selon le Code of Conduct Hosting de Swico s’applique-t-il aux réclamations concernant les contenus ?

Localisation des données et protection des données : pays et exploitant des centres de données, partenaire contractuel, droit applicable et for. Il convient également de clarifier les possibilités d’accès du support et des sous-traitants ainsi que les flux de données transfrontaliers et leur réglementation selon la LPD révisée.

Sortie et preuve : fixer de manière contraignante avant la conclusion du contrat le format de restitution, les délais, les coûts et la confirmation de destruction. Les coûts de changement sont à mettre en balance avec les prix courants ; le reporting de disponibilité, les droits de consultation et d’escalade doivent être réglés de manière à permettre le contrôle du respect des niveaux de service.

Grille de contrôle pour la disponibilité et les niveaux de service dans les contrats d’hébergement suisses