Cour d'Appel · CHAMBRE 2 SECTION 2 — 24 avril 2025

République Française

Au nom du Peuple Français





COUR D'APPEL DE DOUAI



CHAMBRE 2 SECTION 2



ARRÊT DU 24/04/2025





****





N° de MINUTE : 

N° RG 23/00858 - N° Portalis DBVT-V-B7H-UYQQ



Jugement (N° 21013526) rendu le 26 janvier 2023 par le tribunal de commerce de Lille Métropole





APPELANTE



SAS OVH représentée par son président, domicilié en cette qualité audit siège

ayant son siège social [Adresse 2]

[Localité 5]



Représentée par Me Loîc Le Roy, avocat au barreau de Douai, avocat constitué, 

assistée de Me Arthur Dethomas, avocat plaidant, substitué par Mes Nicolas Rohfritsch et Anais Ligot, avocats au barreau de Paris



INTIMÉE



SAS France Bati Courtage prise en la personne de son représentant légal domicilié en cette qualité audit siège 

ayant son siège social [Adresse 1]

[Localité 3]



Représentée par Me Catherine Camus-Demailly, avocat au barreau de Douai, avocat constitué, 

assistée de Me Martin Le Pechon, avocat au barreau de Paris, avocat plaidant





DÉBATS à l'audience publique du 30 janvier 2025 tenueen double rapporteur par Stéphanie Barbot, présidente et Nadia Cordier, conseiller, après rapport oral de l'affaire par Nadia Cordier 

Les parties ont été avisées à l'issue des débats que l'arrêt serait prononcé par sa mise à disposition au greffe





GREFFIER LORS DES DÉBATS : Marlène Tocco





COMPOSITION DE LA COUR LORS DU DÉLIBÉRÉ

Stéphanie Barbot, présidente de chambre

Nadia Cordier, conseiller

Caroline Vilnat, conseiller





ARRÊT CONTRADICTOIRE prononcé publiquement par mise à disposition au greffe le 24 avril 2025 (date indiquée à l'issue des débats) et signé par Stéphanie Barbot, présidente et Marlène Tocco, greffier, auquel la minute a été remise par le magistrat signataire.



ORDONNANCE DE CLÔTURE DU :17 octobre 2024 



****





FAITS ET PROCEDURE

  

La société France Bâti courtage (la société Bâti courtage) est à la tête d'un réseau commercial composé d'entrepreneurs indépendants, ayant le statut de franchisés et exerçant chacun une activité de courtier en travaux, sous l`enseigne et selon le concept de « La maison des travaux. »



Depuis sa création en 2007, la société Bâti courtage développe son activité quasi- exclusivement au travers du site internet « lamaisondestravaux.com », lequel constitue le point d'entrée principal permettant :



- de promouvoir l'enseigne, le concept et l'activité du réseau auprès du grand public ;

- de recruter de nouveaux franchisés ;

- de sélectionner de nouveaux artisans et fournisseurs.



Le développement de l`activité du réseau La maison des travaux est également porté par les 123 franchisés qui accèdent, contre redevances versées au franchiseur, à 183 sites internet prenant la forme de sous-domaines rattachés au domaine principal « lamaisondestravaux.com ».



La société Bâti courtage exploite également les sites : « lamaisondestravaux.com », « franchise-lamaisondestravaux.com », « lamaisondesarchitectes.com », «  lamaisondestravaux-pro.com » et « expertbricolagecom ».



La société OVH est une société à l'origine orientée vers les services d'hébergement de sites internet et qui développe depuis quelques années des services de « cloud computing » ou « informatique en nuage ».

Elle possède un réseau de 32 datacentres situés dans onze pays répartis sur quatre continents, dont 4 sont situés en France à [Localité 5], à [Localité 4] et à [Localité 6]. 



Afin d'assurer l'hébergement de ses sites, la société Bâti courtage a souscrit auprès de la société OVH un contrat de location de serveur virtuel (VPS), et a, en complément de ce contrat, souscrit à une option contractuelle de « sauvegarde automatisée » (ou option «  backup »).

Dans la nuit du 9 au 10 mars 2021, un incendie est survenu dans les datacenters os-sbgl, os-sbg2et os-sbg4 de la société OVH situés à [Localité 6], le bâtiment os-sbgl abritant notamment le serveur et les données de la société Bâti courtage.







Suite à cet incendie, l'interface Web et les données des sites eux-mêmes de la société Bâti courtage ont été inaccessibles. Cette société a relancé la société OVH pour pouvoir récupérer ses données et réactiver l'activité.



Le 3 avril 2021, la société OVH a informé la société Bâti courtage que le « backup », souscrit avait lui aussi été détruit totalement et irrémédiablement par l`incendie, les sauvegardes étant stockées dans le même bâtiment que celui où se trouvait le serveur principal intégralement détruit par l`incendie.



A la suite de ces pertes de données, la société Bâti courtage a refusé la proposition émise par la société OVH en vue de réparer le préjudice et l'a vainement mise en demeure, au vu des manquements contractuels commis selon elle, de l'indemniser, dans un délai de 15 jours, du préjudice subi correspondant à la perte des données, à l'inactivité de ses sites pendant plusieurs jours et à la perte du taux de fréquentation et aux investissements et efforts financiers réalisés, évalué alors à la somme de 6 540 000 euros.



Le 19 juillet 2021, la SAS Bâti courtage a assigné la société OVH devant le tribunal de commerce de Lille Métropole en réparation de son préjudice.



Par jugement du 26 janvier 2023, ce tribunal a :



- dit que les contrats liant les sociétés OVH et Bâti courtage relevaient de l'obligation de moyens ;

- dit que la société OVH n'avait pas commis de faute lourde ou de graves manquements à la sécurité anti incendie de son datacentre de [Localité 6].

- déclaré non écrite la clause 7.7 « Force majeure » du contrat OVH souscrit par la société Bâti courtage ; 

- dit que le contrat OVH relatif à la sauvegarde souscrit par la société Bâti courtage devait s'interpréter comme suit : « l'espace de stockage alloué à l'option Backup est physiquement isolé de l'infrastructure dans laquelle est mis en place le Serveur Privé Virtuel du client », c'est-à-dire dans un lieu physiquement différent du lieu de stockage des données du serveur principal ;

- dit que la société OVH avait commis un manquement contractuel au contrat la liant à la société Bâti courtage ;

- débouté la société OVH de ses demandes de juger :

- qu'elle avait respecté ses obligations en matière de sauvegarde des données à l'égard de la société Bâti courtage,

- qu'elle avait respecté ses obligations en matière de mise en 'uvre de mesures de sécurité à l'égard la société Bâti courtage ;

- et qu'elle avait respecté ses obligations en matière de localisation des sauvegardes à l`égard de la société Bâti courtage ;

- déclaré non écrites les clauses de limitation de responsabilités des contrats liant les sociétés Bâti courtage et OVH ;



- débouté la société OVH de sa demande d'ordonner l'application de la clause de limitation de responsabilité ;

- condamné la société OVH à payer à la société Bâti courtage :

- la somme de 26 472 euros au titre du préjudice pour perte d'un actif incorporel ;

- la somme de 9 100 euros au titre du préjudice pour les travaux de restitution d'un hébergement, des données et des sites ;

- la somme de 38 530 euros au titre de l'indemnisation de son préjudice financier pour l'année 2021 ;

- la somme de 20 000 euros au titre du préjudice d'atteinte à l'image ;

- débouté la société Bâti courtage de ses autres demandes indemnitaires ;

- condamné la société OVH à payer à la société Bâti courtage la somme de 7 000 euros à titre d`indemnité, en application des dispositions de l'article 700 du code de procédure civile ;

- condamné la société OVH aux entiers frais et dépens,

- débouté les parties de leurs demandes plus amples ou contraires.



Par déclaration du 20 février 2023, la société OVH a interjeté appel de l'ensemble des chefs de la décision, hormis ceux ayant dit que les contrats liant les sociétés OVH et Bâti courtage relèvent de l'obligation de moyens, dit que la société OVH n'a pas commis de faute lourde ou de graves manquements à la sécurité anti-incendie de son datacentre de [Localité 6] et enfin débouté la société Bâti courtage de ses autres demandes indemnitaires.





MOYENS ET PRETENTIONS 



Par conclusions signifiées par voie électronique le 7 octobre 2024, la société OVH demande à la cour de :




A titre principal : 


' juger qu'elle a respecté ses obligations en matière de sauvegarde des données à l'égard de la société Bati courtage ; 

' juger qu'elle a respecté ses obligations en matière de mise en 'uvre de mesures de sécurité à l'égard de la société Bati courtage ; 

' juger qu'elle a respecté ses obligations en matière de localisation des sauvegardes à l'égard de la société Bâti courtage ;

En conséquence : 

' confirmer le jugement du tribunal de commerce en ce qu'il a : 

' dit que les contrats la liant à la société Bâti courtage relevaient de l'obligation de moyens ;

' a dit qu'elle n'avait pas commis de faute lourde ou de graves manquements à la sécurité anti-incendie de son datacentre de [Localité 6] ;

' infirmer le jugement en ce qu'il : 

- a dit que le contrat OVH relatif à la sauvegarde souscrit par la société Bâti courtage doit s'interpréter comme suit : « l'espace de stockage alloué à l'option Backup est physiquement isolé de l'infrastructure dans laquelle est mis en place le Serveur Privé Virtuel du client », c'est-à-dire dans un lieu physiquement différent du lieu de stockage des données du serveur principal ;

- a dit qu'elle avait commis un manquement contractuel au contrat la liant à la société Bâti courtage ;

- l'a déboutée de ses demandes de juger :

- qu'elle avait respecté ses obligations en matière de sauvegarde des données à l'égard de la société Bâti courtage ;

- qu'elle avait respecté ses obligations en matière de mise en 'uvre de mesures de sécurité à l'égard la société Bâti courtage ;

- et qu'elle avait respecté ses obligations en matière de localisation des sauvegardes à l`égard de la société Bâti courtage ;

' rejeter l'appel incident formé par la société Bâti courtage ;

' rejeter l'ensemble des demandes de la société Bâti courtage ;


A titre subsidiaire : 


' juger que l'incendie ayant entraîné la perte des données de la société Bâti courtage présente les caractères de la force majeure ;

En conséquence : 

' infirmer le jugement en ce qu'il a déclaré non écrite la clause 7.7 « Force majeure » du contrat OVH souscrit par la société Bâti courtage ;

' rejeter l'appel incident formé par la société Bâti courtage ; 

' rejeter l'ensemble des demandes de la société Bati courtage ;


A titre encore plus subsidiaire : 


' juger que la société Bati courtage ne rapporte pas la preuve de ses préjudices allégués ;

En conséquence : 

' confirmer le jugement en ce qu'il a débouté la société Bati Courtage de ses demandes : 

' de condamnation au paiement de la somme de 292 306,70 euros en indemnisation d'un prétendu préjudice de destruction de travaux externes réalisés de 2014 à février 2021 sur les sites ;

' de condamnation au paiement de la somme de 3 034 520 euros en indemnisation d'un prétendu préjudice de destruction des URLs et perte de valeur ;

' de condamnation au paiement de la somme de 1 871 769,95 euros en indemnisation d'un prétendu préjudice financier pour 2022 et 2023 ;

' de condamnation au paiement de la somme totale de 71 773 euros en remboursement des factures prétendument établies par [Z] [K], la société Setex, la société BLC Courtage Travaux , la société Nefermedia, la société Labsense, la société Grasset et la société Devisscher ;



' de condamnation au paiement de la somme de 

150 000 euros en indemnisation d'un prétendu préjudice de désorganisation ;

- infirmer le jugement en ce qu'il l'a condamnée à payer à la société Bâti courtage ;

' la somme de 26 472 euros au titre d'un prétendu préjudice de perte d'un actif incorporel ;

' la somme de 9 100 euros au titre d'un prétendu préjudice pour les travaux de restitution d'un hébergement des données et des sites ;

' la somme de 38 530 euros au titre d'un prétendu préjudice financier pour l'année 2021 ;

' la somme de 20 000 euros au titre d'un prétendu préjudice d'atteinte à l'image ;

' rejeter l'appel incident formé par la société Bâti courtage ; 

- rejeter l'ensemble des demandes de la société Bati courtage ;






A titre infiniment subsidiaire : 


- juger l'existence et l'application de la clause limitant sa responsabilité à la somme de 1 800,48 euros ; 

En conséquence : 

- infirmer le jugement en ce qu'il a déclaré non écrites les clauses de limitation de responsabilités des contrats la liant à la société Bâti courtage ;

- infirmer le jugement en ce qu'il l'a déboutée de sa demande d'ordonner l'application de la clause de limitation de responsabilité ; 

- ordonner l'application de cette clause de limitation de responsabilité et ainsi limiter sa condamnation à une somme qui ne saurait dépasser 1 800,48 euros ; 


En tout état de cause : 


- infirmer le jugement en ce qu'il l'a condamnée à payer à la société Bâti courtage la somme de 7 000 euros à titre d'indemnité en application des dispositions de l'article 700 du code de procédure civile ; 

- infirmer le jugement en ce qu'il l'a condamnée aux entiers frais et 

dépens ; 

 - rejeter l'appel incident interjeté par la société Bâti courtage ; 

- condamner la société Bati courtage à lui verser la somme de 

25 000 euros au titre de l'article 700 du code de procédure civile ; 

- condamner la société Bati courtage aux entiers dépens de la présente instance.



Par conclusions signifiées par voie électronique en date du 16 octobre 2024, la société Bâti courtage, demande à la cour de :



 - confirmer le jugement en ce qu'il a : 

- déclaré non-écrite la clause 7.7 de force majeure du contrat la liant à la société OVH ; 

- dit que le contrat OVH relatif à la sauvegarde souscrit doit s'interpréter comme suit « L'espace de stockage alloué à l'option Backup est physiquement isolé de l'infrastructure dans laquelle est mise en place le Serveur Privé Virtuel du Client », c'est-à-dire dans un lieu physiquement différent du lieu de stockage des données du serveur principal ;

- dit que la SAS OVH avait commis un manquement contractuel ;

- débouté la société OVH de ses demandes ; 

o de juger que la société OVH avait respecté ses obligations en matière de sauvegarde des données à son égard ; 

o que la SAS OVH avait respecté ses obligations en matière de mise en 'uvre de mesures de 

sécurité ;

o et que la SAS OVH avait respecté ses obligations en matière de localisation des sauvegardes ;

- déclaré non écrites les clauses de limitation de responsabilité des contrats la liant à la SAS OVH ; 

- débouté la SAS OVH de sa demande d'ordonner l'application de la clause de limitation de responsabilité ; 

- condamné la société OVH à lui payer la somme de 7 000 euros à titre d'indemnité en application de l'article 700 du code de procédure civile ;

 - condamné la SAS OVH aux entiers frais et dépens ;

- infirmer le jugement en ce qu'il a : 

- dit que les contrats la liant à la société OVH relèvent de l'obligation de moyens ; 

- dit que la société OVH n'avait pas commis de faute lourde ou de graves manquements à la sécurité anti incendie de son data center de [Localité 6] ; 

- limité les condamnations de la société OVH à lui payer :

' la somme de 26 472 euros au titre du préjudice pour perte d'un actif incorporel ;

' la somme de 9 100 euros au titre du préjudice pour les travaux de restitutions d'un hébergement, des données et des sites ;

' La somme de 38 530 euros au titre de l'indemnisation de son préjudice financier pour l'année 2021 ;

' La somme de 20 000 euros au titre du préjudice de l'atteinte à son image ; 

- débouté de ses autres demandes indemnitaires ; 



Statuant à nouveau : 

- juger que la société OVH a failli à ses obligations de résultat (l'accès au serveur, le fonctionnement du matériel et la disponibilité et sécurité des données n'ont pas été assurés) ;

- juger que la SAS OVH a commis une faute lourde / de graves manquements à la sécurité incendie de son datacentre de [Localité 6] ;

- En conséquence, 

- condamner la société OVH à lui payer la somme de 6 365 281 euros en réparation des préjudices subis, se décomposant comme 

suit : 

- 264 720 euros au titre de la perte d'actif incorporel ;

- 292 306 euros au titre du préjudice de destruction de travaux externes réalisés de 2014 à 2021 sur ses sites à elle, intimée  ;

- 1 034 520 euros au titre de la destruction des URLs et de la perte de valeur en résultant ;

- 183 967 euros au titre des frais de travaux de restitution d'un hébergement, des données et des sites ;

- 1'871'768 ' au titre des préjudices financiers pour les années 2021, 2022 et 2023 ;

- 200 000 euros au titre des dépenses engagées en interne ;

- 1 968 000 euros au titre de la perte de leads et de contenu ;

- 150 000 euros au titre de la désorganisation ;

- 400 000 euros au titre de l'atteinte à l'image ;

* en toute hypothèse :

- débouter la société OVH de l'ensemble de ses demandes ;

- condamner la société OVH à lui payer au titre de l'article 700 du code de procédure civile, la somme de 25 000 euros, ainsi que les entiers dépens de l'instance, dont distraction au profit de la SCP Processuel, avocat aux offres de droit.













MOTIVATION



I - Sur la faute reprochée à la société OVH par la société Bâti courtage 



La société OVH rappelle que : 



- la société Bâti courtage n'a souscrit auprès d'elle qu'un service de serveur privé virtuel, avec une option de sauvegarde standard, faisant le choix de ne pas souscrire un service associant une sauvegarde géographiquement distante de ses données, qui lui était pourtant proposé ; 

- la société Bati courtage est seule responsable de sa politique de sauvegarde, laquelle a été la cause exclusive du préjudice qu'elle prétend avoir subi ; 

- elle, société OVH, n'avait pas l'obligation, en l'absence de souscription d'un service par la société Bâti courtage, de sauvegarder les données dans un autre datacentre, que ce soit au titre d'une obligation de moyen ou de résultat.

 

Elle revient sur les différentes offres qu'elle propose, et notamment : 

- des services de sauvegarde, associés aux différents services offerts ou indépendants, qui sont soit localisés dans le même datacentre que le serveur principal à défaut de stipulation contraire, soit dans des datacentres distants ;

- plus particulièrement les VPS, des services de snapshots (soit un instantané de la machine virtuelle qui ne constitue pas une sauvegarde pérenne des données), un espace de sauvegarde simple dans lequel les utilisateurs de VPS peuvent déposer et récupérer leurs fichiers sur un espace disque dédié de manière manuelle, soit une sauvegarde automatisée qui est planifiée quotidiennement, exportée du serveur puis répliquée automatiquement au sein du même datacentre ;

- dans le cadre d'autres services, des mécanismes de sauvegarde permettant la mise en place de sauvegardes dans d'autres datacentres, par exemple pour les services de « cloud privé », avec option de sauvegarde « Veeam Backup Managed » qui, dans ses versions Advanced et Premium, prévoit explicitement une réplication hors site ;

- un service de plan de reprise d'activité multisite « pour protéger [les] environnements critiques de la perte de données, de dysfonctionnements techniques ou d'interruptions de service. La plate-forme Zerto, managée par OVHcloud, garantit la résilience de vos données dans le datacenter de [son] choix ». 



A titre principal, elle conclut à l'absence de manquement à ses obligations contractuelles, soulignant que : 

- la société Bâti courtage ne justifie pas avoir établi un plan de reprise d'activité, ni même une politique de sauvegarde, ce qui était de sa seule responsabilité, et encore moins, contrairement à ce qu'elle semble prétendre, avoir souscrit à un tel service auprès d'elle, société OVH ; 

- les services et les conditions générales et particulières souscrites par la société Bâti courtage sont particulièrement clairs quant à la répartition des obligations entre elle-même et la société Bâti courtage, laquelle n'a souscrit qu'une offre de serveurs virtuels privés ou « VPS », auxquels elle, société OVH, s'est engagée à assurer l'accès et la possibilité d'y stocker des données ; l'hypothèse d'un dysfonctionnement des serveurs et d'une perte ou d'une indisponibilité des données y est expressément prévue ;

- les conditions générales souscrites par la société Bâti courtage excluent sa responsabilité à elle, société OVH, en cas de « perte, altération ou destruction de tout ou partie des contenus (informations, données, applications, fichiers ou autres éléments hébergés sur l'infrastructure, dans la mesure où elle, société OVH, n'est pas en charge de la gestion de la continuité des activités du client et notamment des opérations de sauvegarde », ce que confirme l'article 6 des conditions particulières VPS souscrites ; 

- le choix d'un hébergement, d'une triple réplication, du lieu d'hébergement, de la mise en place et des modalités d'une politique de sauvegarde incombe, non pas au prestataire de services d'hébergement de contenus, mais bien à la société qui cherche à faire héberger et à faire sauvegarder ses données, précisant que la souscription à une option de sauvegarde locale n'équivaut donc naturellement pas à la définition et à la mise en place d'une politique de sauvegarde. 



Elle ajoute que : 



- son site internet indiquait précisément que les « sauvegardes et réplications sont localisées au plus proche de votre VPS », de sorte qu'il fallait « acheter un nouveau service VPS dans le nouvel emplacement et transférer [les] données manuellement » et qu' « un VPS ne peut être ni migré, ni « copié » vers un autre datacentre » ; 

- contrairement à ce qu'estime la société Bâti courtage, prévoir qu'il appartient au client ayant justement souscrit une option de sauvegarde d'effectuer une sauvegarde sur un site externe a un sens, en ce qu'il lui appartient ainsi librement, et à lui seul, d'établir sa politique de sauvegarde et de choisir les services de sauvegarde auprès d'elle-même OVH, ou d'autres prestataires ;

- contrairement à ce que soutient la société Bâti courtage, elle rapporte la preuve qu'au stade de la souscription de ses services en avril 2018, cette société pouvait souscrire une option de plan de reprise d'activité « Zerto », cette option étant déjà disponible sur le site internet d'OVH en novembre 2017, voire aurait pu également, depuis 2019, souscrire à une option « Veeam backup managed » dans ses configurations Advanced et Premium.



Elle s'oppose à la thèse de la société Bâti courtage qui prétend que les soi-disant obligations de « stockage », de « sécurisation », de « disponibilité » et de « d'accessibilité » des données seraient de résultat, en ce que cette dernière obligation découlerait de la notion de 

« disponibilité ». 

Elle ajoute que : 



- cette allégation ne repose sur aucune disposition légale, aucune jurisprudence ni aucune disposition contractuelle, ladite allégation étant factuellement et juridiquement erronée ; 

- à l'instar de l'ensemble des prestataires de services d'hébergement et de services d'infrastructures managés, en raison de la haute technicité des services dont il est question, elle, société OVH, est soumise à une obligation de moyens et s'engage à déployer ses « meilleurs efforts » afin d'assurer la meilleure disponibilité des serveurs loués ;

- classiquement, en matière d'obligation de moyens, il appartient au demandeur de démontrer que son cocontractant n'aurait pas mis en 'uvre tous les moyens légitimement attendus pour parvenir à exécuter son obligation, ce que la société Bâti courtage s'abstient de faire ; 

- afin de récupérer les espaces de stockage souscrits par la société Bâti courtage, elle a sécurisé les locaux, diligenté des expertises et enquêtes, et procédé au rétablissement de l'électricité, entrepris de sortir des décombres, une fois sécurisés, l'intégralité des serveurs et fait appel à des prestataires pour l'aider à nettoyer chacun des serveurs ainsi identifiés, puis, quand cela était possible, les a remis en service afin de voir si des données pouvaient être récupérées. 

Elle précise qu'il n'est pas établi qu'elle aurait commis une faute lourde ou de graves manquements à l'égard de la sécurité anti-incendie de son site de [Localité 6] et qu'il n'est pas démontré que ses choix techniques auraient un lien de causalité avec l'incendie.



Elle conteste avoir violé ses obligations contractuelles en réalisant les « backups » dans le même datacentre que le serveur vps248938.ovh.net, puisque : 



- ni les prescriptions contractuelles, ni les descriptions des services présentes sur le site internet OVH ne stipulaient une obligation à sa charge de localiser le serveur de sauvegarde dans un datacentre distinct ; 

- si la sauvegarde est bien exportée vers un « espace physiquement différent du serveur où sont stockées les données principales », cela ne signifie toutefois pas que cet espace différent soit un bâtiment différent ou un datacentre différent, mais qu'il s'agit d'une pièce ou d'un serveur différent du serveur où sont stockées les données principales ;

- le fait qu'un espace de stockage destiné à stocker des sauvegardes soit situé sur un serveur « différent » et isolé de celui du serveur principal permet d'éviter les conséquences de la grande majorité des événements pouvant affecter un espace de stockage, tels qu'une défaillance technique d'un élément physique composant ce serveur (un processeur défaillant, une connectivité interrompue, une panne d'électricité), ou encore une corruption ou un piratage des données et, dans le cas de la survenance de ces événements, une reconstruction rapide des données ; 

- elle n'a jamais indiqué à la société Bâti courtage que la sauvegarde du VPS serait localisée dans un datacentre différent. 



Concernant l'obligation de disponibilité, elle pointe qu'elle s'engage sur une certaine disponibilité des serveurs et non à la disponibilité des données de ses clients, contrairement à ce qu'affirme la société Bâti courtage ; conformément à cette obligation, elle a accordé le 3 mai 2021 à la société Bâti courtage un bon d'achat de 941,22 euros, qui représente l'équivalent de 6 mois de services souscrits par ce client. 



La société Bâti courtage expose que : 



- au vu de la valeur économique considérable des sites exploités par ses soins, de la valeur tout aussi importante des données y afférentes (« leads », contacts, contenu éditorial et technique), mais aussi et surtout, au vu de la notoriété et du référencement acquis par lesdits sites leur permettant de figurer dans les plus hautes pages des moteurs de recherches, elle a, en complément du contrat de location de serveur VPS, souscrit auprès de l'appelante une option contractuelle complémentaire de « sauvegarde automatisée » permettant la préservation et la récupération des données du serveur dédié, option interdépendante du service d'espace de stockage alloué à l'option de « backup »;

- cette option contractuelle essentielle a été sollicitée au vu de l'offre de la société OVH qui présente le service comme permettant de garantir le redémarrage de l'activité en cas de défaillance technique ou de mauvaise manipulation, l'offre précisant en outre qu'elle s'appuie sur une fonction « auto-backup » qui affranchit le client de toutes complexités puisque « concrètement une sauvegarde [du] VPS (hors disques additionnels) est planifiée quotidiennement, exportée puis répliquée trois fois avant d'être disponible dans [l'] espace client » ;

- les dispositions relatives au service de backup automatisé indiquent que la société OVH s'engage à ce que l'espace de stockage alloué à l'option de backup soit physiquement isolé de l'infrastructure dans laquelle est mis en place le serveur privé virtuel du client et qu'en cas de défaillance de l'espace de stockage alloué à l'option de backup et/ou si des données de celui-ci étaient corrompues ou inaccessibles, la société OVH effectue une nouvelle sauvegarde des données du client.



La société Bâti courtage ajoute que : 



- à la suite de l'incendie, la société OVH n'a ni assuré l'accès aux sites internet, ni retransmis les données, ni, enfin, réactivé l'activité atteinte, ce qui a entraîné une érosion grandissante et exponentielle en termes de référencement ; 

- elle, société Bâti courtage, n'a alors eu d'autres possibilités que de prendre les devants et d'engager des moyens financiers et humains particulièrement importants, tant auprès de ses propres équipes que de prestataires extérieurs, afin de tenter de reconstituer, dans l'urgence, les sites internet à partir de données anciennes qu'elle avait conservées ; 

- elle n'a ainsi pu que constater que la société OVH, pourtant tenue, d'une part, de maintenir en état de fonctionnement le matériel et de permettre l'accès au serveur 24h/24 tous les jours de l'année, d'autre part, d'intervenir rapidement en cas d'incident, d'assurer le maintien au meilleur niveau de la qualité de ses outils et enfin de sauvegarder et d'assurer la récupération des données, a failli à ses engagements contractuels les plus élémentaires. 

 

 La société Bâti courtage fait valoir que :



- la société OVH a été missionnée et payée pour assurer les sauvegardes (trois au total) du serveur principal (dont elle avait aussi la responsabilité), et ce dans les règles de l'art , et notamment dans le respect de la règle « 3-2-1 » que l'appelante met en avant sans vouloir se l'appliquer à elle-même ; 

- la formulation des documents commerciaux de la société OVH présentant l'offre de sauvegarde automatique et le contrat relatif à cette offre ne laissent aucun doute sur le fait que les données de la sauvegarde doivent être stockées dans un espace physiquement différent du serveur où sont stockées les données principales ; 

- la société OVH avait les moyens de stocker les données de sauvegarde dans un autre datacentre pour réaliser sa mission conformément aux règles de l'art et à l'objet du contrat, qui était de mettre les données en sécurité, en les répliquant trois fois et en les exportant dans l'intérêt de son client ; 

 - stocker les données censées être sauvegardées au même endroit que le serveur principal, et a fortiori conserver toutes les copies de sauvegarde de ces données au même endroit, procède « non seulement d'un piétinement des engagements contractuels de l'appelante mais également, hors de tout contrat, d'une hérésie technique » ;

- aucune offre spécifique de sauvegarde sur site distant ne lui a été proposée, une pseudo offre ayant été créée par la société OVH, à quelques jours de la plaidoirie, pour les besoins de sa cause, aucun choix entre une « option de sauvegarde spécifique » et une « option de sauvegarde distante » ne lui ayant été permis, à l'époque, puisqu'elle n'existait pas, et si elle existait, elle, société Bâti courtage, n'en pas été informée ; 

 

Elle en conclut que : 



- « du fait de négligences et de décisions coupables et contraires aux termes du contrat souscrit mais également aux règles de l'art, » la société OVH n'a assuré ni la disponibilité et la récupération des données ni la sécurité de ses services ;

- les sauvegardes de sécurité devant se faire en trois exemplaires et sur des serveurs distincts, auraient dû permettre la préservation et la récupération des données du serveur dédié ; 

- la question du backup et de sa responsabilité est hors de propos, puisque les données ont effectivement été stockées et sauvegardées sur lesdits serveurs, mais ces données, bien qu'enregistrées sur les disques durs des serveurs de sauvegarde, n'ont pas été préservées par la société OVH comme elle devait le faire, du fait de ses manquements et défaillances qui ont conduit à la destruction pure et simple des infrastructures physiques hébergeant les données. 

 

Elle ajoute d'ailleurs qu'à la suite de l'incendie, la société OVH propose désormais à ses clients de répartir les sauvegardes sur des datacentres différents en installant plusieurs centres de données en région parisienne consacrés aux sauvegardes de services hébergés dans les centres d'OVH à [Localité 6], [Localité 5] et [Localité 4].



Elle estime que : 



- la société OVH elle-même admet qu'en présence de services de sauvegarde, le prestataire de service est tenu à des obligations de sécurisation, de disponibilité et d'accessibilité des données ; 

- le rôle de la société OVH ne s'est pas limité à celui d'un loueur d'un espace de stockage de données ; 

- « les obligations claires, binaires et très simples [de la société OVH] à mettre en 'uvre pour tout professionnel qui s'en donne la peine, sont donc des obligations de résultat » ; 

- si par extraordinaire l'analyse des premiers juges était retenue quant à une obligation de moyens, la cour confirmera néanmoins que l'appelante a gravement manqué à ses obligations en ce qu'elle n'a pas « fait ses meilleurs efforts » pour fournir des espaces de stockage sécurisés, comme elle le devait ; 

- la société OVH ne saurait affirmer que l'obligation de disponibilité se cantonne à la disponibilité des serveurs et non la disponibilité des données de ses clients en se fondant sur les dispositions des conditions particulières VPS ; le serveur privé virtuel contient les données stockées et garantir son accès, c'est garantir l'accès aux données. 



Réponse de la cour



Aux termes des dispositions des articles 1103 et 1104 du code civil, les contrats légalement formés tiennent lieu de loi à ceux qui les ont faits. Ils doivent être négociés, formés et exécutés de bonne foi.



En vertu de l'article 1231-1 du code civil, le débiteur est condamné, s'il y a lieu, au paiement de dommages et intérêts soit à raison de l'inexécution de l'obligation, soit à raison du retard dans l'exécution, s'il ne justifie pas que l'exécution a été empêchée par la force majeure.



Enfin, conformément aux dispositions de l'article 1353 du même code, il appartient à la société Bâti courtage, qui invoque un non-respect par la société OVH des obligations qu'elle a souscrites, de rapporter la preuve des fautes invoquées, et ce par tous moyens, s'agissant de faits juridiques.



A titre liminaire, premièrement, et quand bien même les parties consacrent d'importants développements aux différentes décisions, de première instance ou d'appel, intervenues sur des litiges opposant des clients à la société OVH, le manquement de la société OVH à ses obligations, dans le présent litige, doit être examiné au regard des obligations contractuellement souscrites et liant les parties, et des règles de l'art applicables en la matière.



La spécificité du présent litige tient, en l'espèce, au fait, qu'aux côtés de la convention de location d'un serveur virtuel privé, la société Bâti courtage a également souscrit un service de sauvegarde automatisée, les parties s'opposant essentiellement sur le contenu et l'étendue de cette dernière obligation.



Il doit néanmoins d'ores et déjà être noté que ni la réalisation régulière de la sauvegarde par la société OVH ni la qualité de cette sauvegarde ne sont discutées dans le présent litige, et ce en dépit certaines remarques de la société Bâti courtage, cette dernière indiquant clairement (en gras) dans les motifs de ses écritures qu' « elle n'a jamais fait de reproche en ce sens à son prestataire OVH ».



Deuxièmement, il sera également observé que c'est sans aucun fondement que la société Bâti courtage évoque un certain nombre de faits comme valant, selon elle, une reconnaissance, voire un aveu, de responsabilité de la part de la société OVH, laquelle a toujours contesté fermement sa responsabilité.



En effet, le seul fait que la société OVH ait pu provisionner une somme de plus de 31 millions dans ses comptes n'est pas de nature à valoir reconnaissance de responsabilité, s'agissant uniquement pour la partie, victime d'un sinistre, d'une application des règles et exigences de prudence existant en matière comptable.



Par ailleurs, de la modification des locaux à la suite du sinistre, avec notamment l'abandon de la construction de datacentre au moyen de des conteneurs maritimes, d'une part, de la modification du contenu des services offerts aux clients par le biais désormais de sauvegarde sur sites distants, d'autre part, il ne peut pas plus être tiré une reconnaissance d'une inadaptation et d'un non-respect de ses obligations de la part de la société OVH, s'agissant d'évolutions illustrant une volonté de ce prestataire de tirer les leçons des difficultés mises en lumière par l'incendie subi et de faire évoluer en conséquence l'offre mise en 'uvre par ses soins.



Troisièmement, la cour observe que les importants développements consacrés par la société OVH aux règles de l'art en matière de politique de sauvegarde et au système de sauvegarde mis en 'uvre par la société Bâti courtage, et notamment à la conformité dudit système aux règles de l'art, sont sans emport sur la faute éventuellement commise par la société OVH qu'il appartient à la société Bâti courtage de caractériser. 



Tout au plus, à supposer le non-respect des règles de l'art par la société Bâti courtage établi et susceptible de constituer une faute, cela constituerait un moyen à prendre en compte en termes de partage de responsabilité ou de limitation de l'indemnisation accordée, ce que la société OVH ne plaide pas expressément dans ses conclusions d'appel.



Quatrièmement, la société Bâti courtage ne structure pas les développements qu'elle consacre aux manquements contractuels de la société OVH, (pages 18 à 51), abordant pèle-mêle les obligations découlant des contrats souscrits, ses griefs et également la nature des obligations, en termes d'obligations de moyen et de résultat, la question de l'incendie ainsi que des moyens mis en 'uvre pour éviter un tel incendie, avant d'envisager la question de la force majeure.



La cour parvient cependant à extraire de ces développements deux séries de griefs formulées par la société Bâti courtage : l'une tenant à un manquement à une obligation de sauvegarde géographiquement et physiquement isolée, l'autre tenant à un manquement à une obligation de préservation des données, l'obligation de sauvegarde comportant nécessairement une obligation de fourniture d'un espace de stockage sécurisé et une obligation de disponibilité et de sécurité des services.



Dès lors qu'est alléguée une inexécution des obligations de la société OVH et que les parties divergent quant à l'étendue de ces obligations, c'est à la société Bâti courtage, demanderesse à l'indemnisation de ses préjudices, de démontrer le contenu de la réglementation applicable comme le contenu du ou des contrat(s).



En l'espèce, la société Bâti courtage a souscrit auprès de la société OVH la location d'un serveur privé virtuel, en se soumettant aux « conditions générales d'OVH Cloud » ainsi qu'aux conditions particulières du service de serveur privé virtuel, dont la société Bâti courtage ne conteste pas qu'elles lui sont opposables dans leurs versions produites aux débats (pièces d'OVH n° 2 et 3 ou pièces de Bâti courtage n° 4 et 6). Les parties y ont adjoint, le 13 avril 2018, un « service de Backup automatisé », objet d'une annexe 1 (pièce n° 6 d'OVH), dont la teneur n'est pas discutée par la société Bâti courtage.



Il s'extrait de ces pièces contractuelles que la société OVH avait pour obligation, d'une part, de mettre à disposition de son client un serveur privé virtuel disposant de ressources dédiées et de ressources appartenant au serveur hôte, d'autre part, d'en assurer la disponibilité. 

Il y est expressément précisé que le client est seul responsable de la gestion des données qu'il décide d'y placer et de leur intégrité, tel que cela résulte des articles 3 des conditions générales et 7-3 des conditions particulière VPS. 

En outre, par le biais de l'annexe 1, la société Bâti courtage a souscrit à « l'option de Backup proposée par OVH [..], basée sur une solution développée par un tiers et intégrée à l'interface de gestion ['], permet[tant] au client de restaurer son serveur privé virtuel ou tout ou partie des données stockées sur celui-ci. »

Ainsi, si la société Bâti courtage avait en charge la définition et la mise en 'uvre de sa propre politique de sauvegarde, elle avait néanmoins souscrit auprès de la société OVH une option de sauvegarde automatisée, les parties s'opposant sur la teneur et le contenu de cette dernière obligation.



- sur le caractère « physiquement isolé » du serveur de sauvegarde



Il doit être, au préalable, noté que l'affirmation de la société OVH suivant laquelle le « backup » (défini ci-après) était situé sur un serveur différent de l'infrastructure dans une salle de serveurs différente de celle du serveur VPS principal, disposant de son propre réseau et de sa propre bande passante, et séparée physiquement de la salle du serveur principal, c'est-à-dire, dans un serveur, une baie et une salle différents, n'est pas critiquée par la société Bâti courtage.



En l'espèce, la société Bâti courtage reproche à la société OVH d'avoir stocké dans un même lieu géographique, objet de l'incendie, le serveur principal ainsi que le «  backup », constitué par les 3 répliques effectuées quotidiennement dans le cadre de l'offre de sauvegarde, et ainsi de n' avoir respecté ni l'engagement, figurant dans l'annexe 1, de dédier « un espace de stockage alloué à l'option Backup physiquement isolé de l'infrastructure dans laquelle est mis en place le serveur privé virtuel », ni les règles de l'art applicable en la matière.



Premièrement, si la notion d'infrastructure est définie par les conditions générales de services comme étant l' « ensemble des éléments physiques et virtuels appartenant au groupe OVHcloud ou étant sous sa responsabilité, mis à disposition par OVHcloud dans le cadre des services, et pouvant être constitué notamment d'un réseau, de bande passante, de ressources physiques et de logiciels et/ou application » ( article 13 des conditions générales de service), sans même qu'il soit nécessaire de recourir au glossaire OVH (pièce d'OVH n°15), dont l'auteur est inconnu et dont l'opposabilité à la société Bâti courtage n'est pas démontrée, l'expression « physiquement isolé de l'infrastructure » ne donne lieu à aucune définition spécifique dans les conditions générales précitées.



 Les discussions des parties sur la possibilité de souscrire des serveurs et des sauvegardes distantes géographiquement, juste avant ou après l'incendie, en mars 2021, ne sont pas de nature à déterminer, avec certitude le sens de cette expression « physiquement isolé » ni, ainsi, le contenu de l'offre souscrite par la société Bâti courtage en avril 2018.

Si la commune intention des parties peut être déterminée en fonction d'éléments postérieurs à la conclusion d'une convention, encore faut-il établir que l'offre n'ait pas été ultérieurement modifiée, ce qui n'est aucunement démontré en l'espèce.

Ainsi, les extraits de site internet, versés aux débats par la société OVH, à savoir la copie d'écran du site internet « OVH cloud service PRA » au 9 septembre 2018 (pièce 32), la copie d'écran du site internet « Autobakup » (pièce 34), l'extrait du site internet OVH au 8 mars 2021 (pièce 36), l'extrait du site internet OVH au 14 mai 2020 (pièce 37), l'extrait des site internet et VPS au 19 mars 2021 (pièces 45 et 46), sont insuffisants pour, d'une part, attester de la présence d'offres précisant bien le caractère géographiquement distant des différentes offres pouvant être souscrites ou d'un backup « au plus proche » lors de la souscription de la convention par la société Bâti courtage, d'autre part, déterminer le sens à donner à l'expression précitée.



Néanmoins, la société Bâti courtage procède par voie de confusion et amalgame lorsqu'elle déduit de l'expression « physiquement isolé » que le backup devait être géographiquement isolé de l'infrastructure contenant le serveur privé, soit dans un datacentre géographiquement différent. 



En effet, en l'absence de définition contractuelle spécifique résultant des conditions générales de service, la cour estime que l'expression « physiquement isolé » doit s'entendre dans son sens commun, à savoir comme ce qui est séparé de tout ce qui est voisin, ou encore à l'écart l'un de l'autre. Ainsi, cela renvoie à l'idée de services reposant sur des infrastructures distinctes et séparées, n'ayant pas de contact entre elles, sans nécessairement qu'elles soient géographiquement éloignées. Juger le contraire reviendrait à ajouter a posteriori au contrat une condition qu'il ne prévoit pas.



Cette interprétation est d'ailleurs confirmée par les extraits de site internet OVH, reproduits dans le constat d'huissier réalisé le 24 septembre 2024, par consultation des copies écran d'archives internet présentes sur le site web.archive.org, qui permettent d'établir, d'une part, qu'il n'était mentionné dans l'offre aucune condition de distanciation géographique entre le serveur VPS et le backup (pièce 33 et pièce 47 page 125 sur 638), d'autre part, qu'il existait une offre de reprise d'activité et de sauvegarde à distance d'ores et déjà en avril 2018, mais distincte de l'offre backup souscrite par la société Bâti courtage (pièce 47 pages 239 à 260 sur 638).



Les propres pièces de la société Bâti courtage, et plus particulièrement la pièce n°5 relative à l'offre « sauvegarde VPS », qui n'est pas datée mais dont nul ne discute qu'elle soit contemporaine de la souscription de l'option de sauvegarde par la société Bâti courtage, confortent ces deux points.

En effet, en dépit du caractère parcellaire de la copie écran produite, la société Bâti courtage se gardant bien de communiquer l'intégralité de l'offre en ne produisant que son premier tiers, il en ressort, d'une part, qu'il était expressément proposé « deux méthodes pour sauvegarder vos données », parmi lesquelles la sauvegarde automatique à partir de 3 euros par mois, seule reproduite, d'autre part, qu'étaient définies les principales caractéristiques de la sauvegarde en termes de disponibilité et de régularité, sans aucune référence à une quelconque distanciation géographique de cette sauvegarde avec le serveur VPS.



Ainsi, c'est sans aucun fondement contractuel que la société Bâti courtage affirme que la société OVH aurait manqué à une prétendue obligation de localiser les infrastructures détenant la sauvegarde et le VPS dans des entités géographiquement distinctes et distantes.



Deuxièmement, il n'est pas démontré par la société Bâti courtage qu'existerait une obligation, résultant des règles de l'art applicable en matière de sauvegarde, pesant sur le prestataire d'une option backup, de conserver lesdites sauvegardes (données répliquées trois fois) dans des endroits distincts et séparés l'un de l'autre, et également du serveur sauvegardé.



En effet, il n'est justifié ni du caractère normatif et contraignant des recommandations relatives à une politique de sauvegarde «  3-2-1 » - soit 3 copies au moins, avec 2 médias et systèmes mis en 'uvre, et au moins 1 site externe pour la seconde sauvegarde -, auxquelles la société Bâti courtage se réfère, ni de leur applicabilité au prestataire de service dans le cadre d'un option de backup, dès lors que le client demeure responsable de sa politique de sauvegarde, ce que rappelle expressément tant les conditions générales que les conditions particulières de service et 

l'annexe 1.



Dès lors, aucune faute, et encore moins une faute lourde, ne saurait être reprochée de ce chef à la société OVH.



Troisièmement, à supposer que les écritures de la société Bâti courtage puissent s'interpréter comme reprochant à la société OVH un manquement à un devoir de conseil ou d'information sur l'absence de distanciation géographique des deux infrastructures, il doit être observé que :



- aucun des documents contractuels et aucune copie-écran des sites internet existant au jour de la conclusion de la convention, ne laissaient planer d'ambiguïté quant à une localisation géographiquement distante ; 

- la société Bâti courtage ne verse aux débats qu'une pièce présentant de manière parcellaire l'offre OVH en matière de sauvegarde, sans permettre de déterminer quels étaient le contenu et le coût de la seconde offre proposée, ce qui permettait d'attirer ainsi le souscripteur par comparaison sur les caractéristiques, propres à chaque offre, et d'éclairer le choix effectué ; 

- il n'est nullement démontré que pèserait une obligation particulière de conseil ou d'information du prestataire vis-à-vis de son client, dont il ne doit pas être occulté qu'il s'agit en l'espèce d'un professionnel averti, disposant de services informatiques spécialisés, la société Bâti courtage soulignant en effet avoir un « business modèle principalement fondé sur l'activité Web et avoir, depuis sa création en 2007, développé son activité quasi exclusivement au travers de sites internet.

Ce grief n'est donc pas non plus fondé.



- sur la teneur de l'option de sauvegarde automatisée



La société Bâti courtage estime que cette obligation de sauvegarde engendrait une obligation de préservation des données, en ce sens que l'obligation de sauvegarde comportait nécessairement une obligation de fourniture d'un espace de stockage sécurisé et une obligation de disponibilité et de sécurité des services, qui n'a pas été respectée par la société OVH. Cette dernière lui oppose la nature de cette obligation constituée, selon elle, d'une simple obligation de moyens.



Premièrement, des stipulations contractuelles unissant les parties, on peut retenir que : 

- suivant l'article 7 des conditions particulières VPS, « OVHcloud n'assure en ce sens que l'accès du client à son serveur privé virtuel lui permettant de stocker ses données et celles de ses clients », la société OVH s'engageant à un taux de disponibilité mensuelle de 99, 99 % ( article 11) ;

- suivant les conditions générales de services et les conditions particulières VPS, le cl