Modèle de contrat d’hébergement gratuit (Word)

Sommaire

1. Quand utiliser ce contrat, et quand il ne convient pas
2. Ce que dit le droit français
3. Ce que contient ce modèle, article par article
4. Les pièges à éviter
5. Comment adapter ce modèle à votre situation
6. Ce que ce modèle ne remplace pas

Quand utiliser ce contrat, et quand il ne convient pas

Vous fournissez un service d’hébergement. Une société qui met à disposition des serveurs mutualisés ou dédiés, un espace de stockage ou de la capacité cloud fournit un service accessible à distance, facturé au forfait ou à la consommation. Le contrat d’hébergement fixe le périmètre des ressources, les niveaux de service, la disponibilité du service et le sort des données à la fin de la relation. Il n’organise pas une vente de matériel, mais un accès contrôlé et réversible à une infrastructure exploitée par le prestataire.

Vous externalisez l’hébergement de votre système. Une PME qui confie son site marchand à un prestataire, une ETI qui loge ses applications métier chez un opérateur cloud signe le même contrat, en position de client. La vigilance porte alors sur le taux de disponibilité garanti, la localisation des données, la sauvegarde et les conditions de sortie, pour ne pas devenir captif d’un prestataire dont dépend une fonction sensible.

Le service héberge des données personnelles. Dès que l’infrastructure stocke des données de clients, de salariés ou de tiers pour le compte du client, l’hébergeur agit comme sous-traitant au sens de l’article 28 du RGPD. Le contrat doit alors être adossé à un acte de sous-traitance et préciser les mesures de sécurité, la localisation et les éventuels transferts hors Union européenne.

Quand ce modèle ne convient pas. Si la prestation comprend l’administration complète du système, la supervision et l’exploitation applicative au-delà de la seule mise à disposition de ressources, un contrat d’infogérance est mieux adapté. Si l’hébergement porte sur des données de santé à caractère personnel, l’activité est soumise à la certification HDS (article L. 1111-8 du Code de la santé publique) et appelle un contrat dédié, doublé d’un acte de sous-traitance renforcé. Si le service consiste en un logiciel loué par abonnement plutôt qu’en une simple infrastructure, la qualification relève du SaaS. [À VÉRIFIER JURISTE : frontière exacte entre hébergement, infogérance et SaaS selon l’étendue réelle des prestations.]

Ce que dit le droit français

L’hébergement est un contrat de prestation de services. Le prestataire ne vend rien : il met à disposition des ressources et une capacité de traitement, moyennant rémunération. Ce contrat innommé relève du louage d’ouvrage, ou contrat d’entreprise (article 1710 du Code civil), et du droit commun des contrats (articles 1101, 1103 et 1104 du Code civil). Sa bonne exécution s’apprécie au regard de la responsabilité contractuelle de l’article 1231-1 du Code civil.

L’hébergeur bénéficie d’un statut de responsabilité allégée sur les contenus. Depuis le 17 février 2024, ce régime protecteur est directement régi par l’article 6 du DSA (Règlement (UE) 2022/2065), qui écarte la responsabilité du prestataire de stockage sur les contenus stockés tant qu’il n’en a pas connaissance et qu’il les retire promptement après une notification régulière. Ce texte a remplacé l’ancien article 6-I-2 de la loi pour la confiance dans l’économie numérique du 21 juin 2004, abrogé et la LCEN restructurée par la loi SREN n° 2024-449 du 21 mai 2024. L’hébergeur reste en contrepartie tenu de conserver les données d’identification des personnes ayant contribué aux contenus. [À VÉRIFIER JURISTE : intitulé exact de l’article de la LCEN portant désormais la conservation des données d’identification après la restructuration SREN.] Ce statut ne couvre en revanche jamais ses propres défaillances techniques, qui restent des manquements contractuels.

La disponibilité et la sécurité engagent l’hébergeur. Un taux de disponibilité chiffré, des délais de rétablissement (GTR) et d’intervention (GTI), assortis de pénalités, transforment une promesse commerciale en obligation mesurable. La nature de l’engagement doit être qualifiée : à défaut de précision, la disponibilité relève d’une simple obligation de moyens, difficile à sanctionner. Un SLA écrit et une politique de sécurité informatique déterminent ici le régime applicable en cas d’incident.

L’hébergeur est sous-traitant de données au sens du RGPD. Lorsqu’il héberge des données personnelles pour le compte de son client, l’article 28 du Règlement général sur la protection des données impose un acte juridique contraignant : instructions documentées, confidentialité, mesures de sécurité au sens de l’article 32, encadrement des sous-traitants ultérieurs, assistance et notification en cas de violation de données. Les transferts hors Union européenne obéissent aux articles 44 et suivants du RGPD, qui exigent un mécanisme de garantie approprié. L’hébergement de données de santé à caractère personnel impose de surcroît la certification HDS (article L. 1111-8 du Code de la santé publique).

Les clauses limitant la responsabilité connaissent des bornes. Entre professionnels, un plafond de responsabilité et l’exclusion des dommages indirects sont licites, mais une clause qui prive de sa substance l’obligation essentielle de l’hébergeur est réputée non écrite, en application de l’article 1170 du Code civil. La limitation de responsabilité ne joue pas davantage en cas de faute lourde ou dolosive. Un déséquilibre significatif entre professionnels peut par ailleurs être sanctionné au titre de l’article L. 442-1, I, 2° du Code de commerce. L’action se prescrit en principe par cinq ans (article 2224 du Code civil).

La réversibilité protège le client à la sortie. Aucun texte général n’impose une clause de réversibilité, mais son absence expose le client à perdre l’accès à ses données à l’échéance. Le contrat organise la restitution des données dans un format exploitable, puis leur suppression par l’hébergeur avec preuve. Pour un service critique, cette continuité est un enjeu de sécurité autant que juridique.

Ce que contient ce modèle, article par article

Article 1. Objet et périmètre. L’article fondateur décrit les ressources mises à disposition : type d’hébergement (mutualisé, dédié, cloud), capacité de stockage, bande passante, ressources de calcul, et renvoie à une fiche technique. Un périmètre flou nourrit les litiges sur ce qui relève du forfait et ce qui appelle une option facturée.

Article 2. Niveaux de service et disponibilité. Taux de disponibilité cible, fenêtres de maintenance planifiée, délais de rétablissement et d’intervention, pénalités en cas de manquement. Cet article convertit l’engagement de service en obligation mesurable et précise si l’hébergeur souscrit une obligation de moyens ou de résultat sur la disponibilité.

Article 3. Sécurité et sauvegarde. L’article détaille les mesures de sécurité techniques et organisationnelles, la fréquence et la rétention des sauvegardes, les modalités de restauration et les délais associés. La distinction entre disponibilité et sauvegarde évite qu’un incident isolé n’entraîne une perte définitive de données.

Article 4. Protection des données personnelles. Lorsque des données personnelles sont hébergées, l’article renvoie à un acte de sous-traitance conforme à l’article 28 du RGPD : instructions du client, confidentialité, sécurité, sous-traitants ultérieurs, notification des violations, localisation et transferts hors Union européenne. Il précise le sort des données en fin de contrat.

Article 5. Localisation des données. L’article fixe le ou les pays d’hébergement, encadre tout changement de localisation et traite les éventuels transferts hors Union européenne. Pour un client soumis à des exigences de souveraineté, ce point conditionne le choix même du prestataire.

Article 6. Prix, facturation et révision. Montant du forfait, facturation de la consommation le cas échéant, périodicité, délai de paiement conforme au plafond de l’article L. 441-10 du Code de commerce, pénalités de retard, et modalités de révision du prix. Un service à la consommation appelle un mode de comptage transparent et vérifiable.

Article 7. Responsabilité. Plafond de responsabilité, exclusion des dommages indirects, et rappel que la limitation ne joue ni pour la faute lourde ou dolosive, ni au point de vider l’obligation essentielle de sa substance. La rédaction reste dans les bornes des articles 1170 et 1231-1 du Code civil, et articule la responsabilité contractuelle avec le statut d’hébergeur au sens de l’article 6 du DSA (Règlement (UE) 2022/2065) sur les contenus.

Article 8. Confidentialité. Chaque partie protège les informations sensibles reçues de l’autre. L’hébergeur accède techniquement aux données du client, ce qui justifie une obligation ferme, distincte de l’engagement de sécurité, assortie d’une durée de survie après la fin du contrat.

Article 9. Durée, reconduction et résiliation. Durée initiale, conditions de reconduction, préavis, et cas de résiliation, notamment pour faute après mise en demeure restée sans effet. L’article traite la tacite reconduction avec la prudence qu’impose l’article L. 215-1 du Code de la consommation lorsque le client peut être regardé comme non-professionnel.

Article 10. Réversibilité et restitution des données. Organisation de la sortie : restitution des données dans un format exploitable, délai de mise à disposition, assistance éventuelle à la migration, puis suppression des données par l’hébergeur avec preuve. Cet article protège le client contre la perte d’accès à ses propres données et contre la captivité technique.

Article 11. Force majeure. Reprise des conditions de l’article 1218 du Code civil, avec information sans délai et mécanisme de suspension puis de résolution si l’empêchement se prolonge, adapté à la continuité d’un service en ligne.

Article 12. Droit applicable et litiges. Droit français, langue du contrat et attribution de juridiction, le cas échéant précédées d’une étape de règlement amiable.

Les pièges à éviter

Confondre hébergement et infogérance. Rédiger un contrat de simple mise à disposition de ressources alors que le prestataire administre et exploite tout le système, ou l’inverse, brouille le périmètre des obligations et le partage des responsabilités. L’hébergement fournit une infrastructure ; l’infogérance ajoute l’exploitation. Cette distinction commande l’étendue de la responsabilité du prestataire et le niveau de service attendu.

Promettre une disponibilité sans la chiffrer. Annoncer un service disponible en continu, sans taux mesurable ni pénalité, laisse la disponibilité à l’état de simple engagement de moyens. Un SLA précis, avec délais de rétablissement et sanctions, transforme la promesse en obligation opposable. Il faut aussi qualifier expressément la nature de l’obligation : de moyens ou de résultat, le régime de preuve n’est pas le même.

Négliger la sauvegarde et sa restauration. Un contrat qui évoque la disponibilité mais reste muet sur la fréquence des sauvegardes, leur durée de rétention et les délais de restauration expose le client à une perte de données irréversible. La sauvegarde doit être une obligation distincte, chiffrée et testée, et non un service implicite présumé compris dans l’hébergement.

Négliger l’acte de sous-traitance RGPD. Héberger des données personnelles pour le compte du client sans acte conforme à l’article 28 du RGPD expose les deux parties à des sanctions. Localisation, transferts hors Union européenne, sous-traitants ultérieurs et mesures de sécurité doivent être documentés, pas simplement évoqués. Pour des données de santé, l’absence de certification HDS rend l’hébergement irrégulier.

Fixer un plafond de responsabilité dérisoire. Un plafond limité à quelques mois de facturation, face à une perte de données que l’hébergeur aurait pu éviter par une sauvegarde régulière, risque d’être écarté par le juge comme privant l’obligation essentielle de sa substance. Le plafond doit rester proportionné à l’enjeu réel du service et à la sensibilité des données hébergées.

Comment adapter ce modèle à votre situation

Quelques champs se renseignent systématiquement : l’identité des parties, la description des ressources et du périmètre, le prix et ses modalités, la durée du contrat. Le reste du texte convient à la plupart des prestations d’hébergement courantes.

Le niveau de service mérite le plus grand soin. C’est lui qui départage un simple engagement commercial d’une obligation opposable. Pour un site vitrine sans criticité, un taux de disponibilité standard suffit ; pour une plateforme dont dépend le chiffre d’affaires du client, fixez un taux élevé, des délais de rétablissement courts, des pénalités dissuasives et une sauvegarde à fréquence rapprochée avec restauration garantie.

L’encadrement des données s’ajuste selon leur nature. Dès que des données personnelles sont hébergées, l’acte de sous-traitance conforme à l’article 28 du RGPD n’est pas optionnel, et la localisation comme les transferts hors Union européenne doivent être arrêtés noir sur blanc. Si l’infrastructure héberge des données de santé, la certification HDS conditionne la légalité même de la prestation, et le contrat doit y renvoyer explicitement.

Adaptez enfin la clause de réversibilité au degré de dépendance du client. Un hébergement banalisé n’appelle qu’une restitution standard, quand une infrastructure critique impose un format de restitution précis, un délai court, une assistance à la migration et une réversibilité testée avant que la sortie ne devienne urgente.

Ce que ce modèle ne remplace pas

Un modèle est un point de départ, pas un avis. Il ne connaît ni la criticité réelle du service hébergé, ni la nature exacte des données traitées, ni le rapport de force entre les parties. Trois situations appellent une relecture par un professionnel : un hébergement soumis à un régime sectoriel spécifique, comme les données de santé (HDS) ou une infrastructure d’importance vitale ; un traitement de données à grande échelle ou de données sensibles, qui appelle un acte de sous-traitance renforcé et une analyse d’impact ; et un contrat international où la localisation des données, le droit applicable et la juridiction compétente sont eux-mêmes en négociation.

C’est la raison pour laquelle ce modèle signale ses propres limites, plutôt que de se présenter comme suffisant en toute circonstance.