Modèle de contrat d’infogérance gratuit (Word)

Sommaire

1. Quand utiliser ce contrat, et quand il ne convient pas
2. Ce que dit le droit français
3. Ce que contient ce modèle, article par article
4. Les pièges à éviter
5. Comment adapter ce modèle à votre situation
6. Ce que ce modèle ne remplace pas

Quand utiliser ce contrat, et quand il ne convient pas

Vous externalisez l’exploitation de votre système d’information. Une entreprise qui confie à un tiers l’administration de ses serveurs, la supervision de son réseau, la gestion de ses sauvegardes et le support de ses utilisateurs entre dans le champ de l’infogérance. Le contrat fixe le périmètre exact du service, les niveaux de service attendus et les conditions de sortie. Il organise une prestation continue, pas une intervention ponctuelle.

Vous êtes prestataire et vous prenez en charge l’informatique d’un client. Une société de services informatiques qui assure l’exploitation, la maintenance et le support d’un client signe le même contrat en position de prestataire. La vigilance porte alors sur la définition précise du périmètre, la répartition entre obligation de moyens et obligation de résultat, et sur la maîtrise de sa propre responsabilité.

Le service traite des données personnelles. Dès que le prestataire administre des systèmes contenant des données de clients, de salariés ou de partenaires, il agit en principe comme sous-traitant au sens de l’article 28 du RGPD. Le contrat doit alors être adossé à un acte de sous-traitance encadrant les mesures de sécurité, la localisation des données et la sous-traitance ultérieure.

Le personnel du prestataire intervient dans les locaux du client. L’infogérance sur site, où des intervenants travaillent au contact des équipes du client, appelle une attention particulière : le contrat doit préserver l’autonomie technique du prestataire et son pouvoir d’encadrement, pour écarter la requalification en prêt de main-d’œuvre illicite ou en marchandage.

Quand ce modèle ne convient pas. Si la prestation se limite à la maintenance d’une application précise, un contrat de tierce maintenance applicative est plus adapté. Si le besoin consiste à mettre à disposition des techniciens travaillant sous la direction du client, la régie informatique correspond mieux. Si l’objet principal est l’hébergement de serveurs ou de données, un contrat d’hébergement dédié convient davantage. [À VÉRIFIER JURISTE : frontière entre infogérance globale et régie selon le degré de subordination des intervenants.]

Ce que dit le droit français

L’infogérance est un contrat innommé rattaché au contrat d’entreprise. Aucun texte ne la régit en propre : c’est un louage d’ouvrage au sens de l’article 1710 du Code civil, soumis au droit commun des contrats réformé. Le prestataire fournit un service à exécution successive, sans transfert de propriété. Le contrat se construit donc article par article, faute de régime légal supplétif détaillé, ce qui rend la rédaction déterminante.

Le contrat distingue obligation de moyens et obligation de résultat. L’exploitation courante relève en principe d’une obligation de moyens : le prestataire met en œuvre les diligences d’un professionnel avisé, sans garantir un résultat. La disponibilité, si le contrat la chiffre par un taux et l’assortit de pénalités, bascule vers une obligation de résultat. La rédaction du SLA commande ici la charge de la preuve et le régime de responsabilité en cas de manquement.

La responsabilité contractuelle est encadrée par le Code civil. Elle se fonde sur les articles 1231-1 et suivants. La réparation est en principe limitée au dommage prévisible lors de la conclusion du contrat, sauf faute lourde ou dolosive, en application de l’article 1231-3. Le devoir précontractuel d’information de l’article 1112-1 et l’exigence de bonne foi de l’article 1104 s’appliquent tout au long de la relation. La prescription de droit commun est de cinq ans, selon l’article 2224.

Les clauses limitant la responsabilité connaissent des bornes. Entre professionnels, un plafond et l’exclusion des dommages indirects sont licites, mais une clause qui prive de sa substance l’obligation essentielle du prestataire est réputée non écrite, en application de l’article 1170 du Code civil et de la jurisprudence Chronopost puis Faurecia. S’y ajoute le contrôle du déséquilibre significatif : article 1171 pour le contrat d’adhésion, article L. 442-1, I, 2° du Code de commerce entre partenaires commerciaux. La limitation de responsabilité doit rester proportionnée à l’enjeu du service.

Le prestataire est sous-traitant de données au sens du RGPD. Lorsqu’il administre des systèmes contenant des données personnelles pour le compte du client, l’article 28 du Règlement général sur la protection des données impose un acte juridique contraignant : instructions documentées, confidentialité, mesures de sécurité, encadrement des sous-traitants ultérieurs et assistance en cas de violation. La localisation des données et les éventuels transferts hors Union européenne deviennent des points contractuels à part entière.

L’externalisation peut emporter des effets en droit du travail. Si l’infogérance s’accompagne du transfert d’une entité économique autonome, l’article L. 1224-1 du Code du travail impose le transfert automatique des contrats de travail attachés à cette entité. Par ailleurs, lorsque le personnel du prestataire intervient chez le client, l’autonomie technique et l’encadrement doivent être soignés pour éviter le prêt de main-d’œuvre illicite à but lucratif et le délit de marchandage, prohibés par les articles L. 8241-1 et L. 8231-1 du Code du travail. [À VÉRIFIER JURISTE : application de l’article L. 1224-1 selon qu’il y a ou non reprise de moyens et de personnel identifiés.]

La propriété intellectuelle et les licences doivent être réglées. Le prestataire administre souvent des logiciels dont les droits appartiennent au client ou à des tiers. L’article L. 122-6 du Code de la propriété intellectuelle réserve à l’auteur du logiciel la reproduction et l’adaptation. Le contrat précise donc l’étendue des droits d’usage nécessaires à l’exploitation et le sort des licences en fin de relation, pour ne pas laisser le client démuni au moment de reprendre la main.

Ce que contient ce modèle, article par article

Article 1. Objet et périmètre du service. L’article fondateur décrit les prestations couvertes : exploitation, supervision, maintenance corrective et évolutive, sauvegardes, support. Il renvoie à un plan d’assurance qualité ou à un descriptif technique. Un périmètre flou nourrit les litiges sur ce qui relève du forfait et ce qui appelle une prestation complémentaire facturée.

Article 2. Niveaux de service et disponibilité. Taux de disponibilité cible, garantie de temps d’intervention (GTI) et de rétablissement (GTR), fenêtres de maintenance, indicateurs et pénalités. Cet article convertit l’engagement de service en obligation mesurable et donne au client un levier en cas de manquement à la disponibilité attendue.

Article 3. Obligations des parties. Il détaille les diligences du prestataire et les obligations de coopération du client : accès aux locaux et aux systèmes, fourniture des informations, désignation d’un interlocuteur. L’article distingue clairement l’obligation de moyens de l’exploitation courante des engagements de résultat expressément chiffrés.

Article 4. Support utilisateur et gestion des incidents. Canaux, horaires, niveaux de priorité, délais de prise en charge et procédure d’escalade. L’article organise le traitement des demandes et des incidents, et articule le support avec la maintenance corrective pour éviter les zones grises.

Article 5. Sécurité et protection des données. L’article renvoie à un acte de sous-traitance conforme à l’article 28 du RGPD, détaille les mesures de sécurité informatique, la localisation des données, l’encadrement des transferts hors Union européenne et la politique de sauvegarde et de restauration.

Article 6. Confidentialité. Le prestataire accède à des informations sensibles et à l’architecture du système d’information du client. L’article impose une obligation ferme, distincte de l’engagement de sécurité technique, et prévoit sa survie après la fin du contrat.

Article 7. Audit et contrôle. Droit du client de vérifier le respect des engagements de service et de sécurité, périodicité, préavis et prise en charge des coûts. Cet article est structurant lorsque le client est lui-même soumis à des exigences de contrôle sur ses prestataires.

Article 8. Propriété intellectuelle et licences. L’article traite les droits d’usage nécessaires à l’exploitation, la propriété des éventuels développements spécifiques et le sort des licences logicielles à la fin du contrat, dans le cadre de l’article L. 122-6 du Code de la propriété intellectuelle.

Article 9. Prix et facturation. Montant forfaitaire ou unités d’œuvre, modalités de révision, périodicité, délai de paiement conforme au plafond de l’article L. 441-10 du Code de commerce et pénalités de retard. Un service à l’usage appelle un mode de comptage transparent et vérifiable.

Article 10. Responsabilité. Plafond de responsabilité, exclusion des dommages indirects, et rappel que la limitation ne joue ni pour la faute lourde ou dolosive, ni au point de vider l’obligation essentielle de sa substance. La rédaction reste dans les bornes des articles 1170, 1231-1 et 1231-3 du Code civil.

Article 11. Durée, résiliation et réversibilité. Durée, conditions de reconduction, résiliation pour faute après mise en demeure, puis organisation de la sortie : restitution des données, transfert de connaissance vers le prestataire entrant, assistance et suppression des données par l’infogérant avec preuve.

Article 12. Personnel. L’article encadre l’intervention du personnel du prestataire, préserve son autonomie technique et son pouvoir d’encadrement, et peut prévoir une clause de non-sollicitation réciproque. Il vise à écarter la requalification en prêt de main-d’œuvre illicite ou en marchandage.

Article 13. Force majeure, droit applicable et litiges. Reprise des conditions de l’article 1218 du Code civil, choix du droit français, langue du contrat et attribution de juridiction, le cas échéant précédées d’une étape de règlement amiable.

Les pièges à éviter

Confondre infogérance, régie et maintenance. Rédiger un contrat d’infogérance globale alors que le besoin réel est la mise à disposition de techniciens, ou la maintenance d’une seule application, brouille la qualification et le partage des responsabilités. L’infogérance suppose que le prestataire exploite le service sous sa propre responsabilité et avec son propre encadrement. Cette distinction commande le régime applicable, y compris en droit du travail.

Promettre une disponibilité sans la chiffrer. Annoncer un service assuré en continu, sans taux mesurable ni pénalité, laisse la disponibilité à l’état de simple engagement de moyens. Un SLA précis, avec GTI, GTR et sanctions, transforme la promesse en obligation opposable. Pour un système critique, l’indisponibilité se compte en pertes d’exploitation directes.

Négliger le risque de marchandage. Faire intervenir le personnel du prestataire au contact des équipes du client, sans préserver l’autonomie technique et l’encadrement du prestataire, expose à la requalification en prêt de main-d’œuvre illicite ou en marchandage, sanctionnée par les articles L. 8241-1 et L. 8231-1 du Code du travail. La rédaction doit clairement situer le pouvoir de direction du côté du prestataire.

Oublier le plan de réversibilité. Un contrat qui ne prévoit ni format de restitution, ni transfert de connaissance, ni délai, ni suppression des données laisse le client captif à l’échéance et sans maîtrise de son système d’information. La réversibilité doit être organisée à l’avance et, pour un système critique, testée avant que la sortie ne devienne urgente.

Fixer un plafond de responsabilité dérisoire. Un plafond limité à quelques mois de redevance, face à une prestation dont dépend la continuité d’exploitation du client, risque d’être écarté par le juge comme privant l’obligation essentielle de sa substance. Le plafond doit rester proportionné à l’enjeu réel du service et à la sensibilité des données traitées.

Comment adapter ce modèle à votre situation

Quelques champs se renseignent systématiquement : l’identité des parties, la description du service et de son périmètre, le prix et ses modalités, la durée. Le reste du texte convient à la plupart des situations d’externalisation informatique courantes.

Le niveau de service mérite le plus grand soin. C’est lui qui départage un simple engagement commercial d’une obligation opposable. Pour un système critique, fixez un taux de disponibilité élevé, des GTI et GTR courtes et des pénalités dissuasives ; pour un environnement moins sensible, un SLA plus souple suffit. Précisez toujours ce qui relève d’une obligation de moyens et ce qui constitue un engagement de résultat, car ce partage détermine la charge de la preuve en cas de litige.

L’encadrement des données s’ajuste selon la nature du service. Dès que des données personnelles sont administrées, l’acte de sous-traitance conforme à l’article 28 du RGPD n’est pas optionnel, et la localisation comme les transferts hors Union européenne doivent être arrêtés noir sur blanc. Ajoutez un droit d’audit adapté lorsque le client est lui-même tenu de contrôler ses prestataires.

Adaptez enfin les clauses relatives au personnel selon le mode d’intervention. Une infogérance à distance appelle peu de précautions particulières, quand une intervention sur site impose de préserver l’autonomie technique du prestataire et d’anticiper la question du transfert éventuel des contrats de travail au titre de l’article L. 1224-1 du Code du travail.

Ce que ce modèle ne remplace pas

Un modèle est un point de départ, pas un avis. Il ne connaît ni la criticité exacte de votre système d’information, ni la nature des données traitées, ni le rapport de force entre les parties. Trois situations appellent une relecture par un professionnel : une externalisation qui s’accompagne d’une reprise de personnel ou de moyens, où l’application de l’article L. 1224-1 du Code du travail doit être expertisée ; une intervention de personnel sur site, où le risque de prêt de main-d’œuvre illicite et de marchandage doit être écarté au cas par cas ; et un traitement de données à grande échelle ou de données sensibles, qui appelle un acte de sous-traitance renforcé et, le cas échéant, une analyse d’impact.

C’est la raison pour laquelle ce modèle signale ses propres limites, plutôt que de se présenter comme suffisant en toute circonstance.