Les obligations autour des contrats ASP

Après des années d'impopularité, les contrats Application Service Provider (ou ASP) reviennent à la mode, et les entreprises en sont de plus en plus friands. Que se cache-t-il derrière ce contrat informatique ? Réponse dans cet article.

Le contrat ASP est un pur contrat de prestation de service qui consiste à proposer, dans le cadre d'un abonnement, l'utilisation à distance de logiciels et de services informatiques associés. Concrètement, les entreprises peuvent avoir recours à un prestataire unique, dit prestataire ASP, lequel se chargera d'héberger leurs données et de leur donner accès, à distance et généralement via Internet, à un certain nombre d'applications ainsi qu'à des services spécifiques (maintenance, protection anti-virus, firewall, archivage, helpdesk…).

Ce système présente assurément bien des avantages pour les entreprises : leurs besoins sont satisfaits rapidement, les coûts sont connus, échelonnés et souvent moindres que dans le cadre d'une informatisation traditionnelle.

Néanmoins, ce schéma contractuel est généralement très complexe et nécessite une clarification ainsi que des conseils pour mieux apprivoiser ce type de contrat.

Une phase précontractuelle déterminante

Durant la phase précontractuelle, l'entreprise cliente communique ses besoins au prestataire lequel devra proposer des solutions en retour.

Il est recommandé au client de rédiger un cahier des charges précis et complet détaillant les applications et les services attendus (paramétrage spécifique, modalités de transfert de données, reporting, accessibilité, évolution de la solution…).

Un tel cahier des charges est par ailleurs indispensable pour le client s'il veut éviter tout risque de sanction pour manquement à son obligation de collaboration. La jurisprudence a en effet condamné à de nombreuses reprises les clients utilisateurs pour ne pas avoir établi un cahier des charges, manquant ainsi à son obligation de collaboration (voir par exemple Cour de cassation, Chambre commerciale, 11 mai 1999).

En outre, ce cahier des charges sera également utile au prestataire dans le cadre de son devoir de conseil vis-à-vis du client. La jurisprudence condamne en effet des prestataires qui n'ont pas établi de cahier des charges lorsque ce sont ces derniers qui ont démarché le client.

Processus de contractualisation

Deux relations contractuelles se superposent dans les contrats ASP.

Un contrat de licence entre l'éditeur et le prestataire

Lorsque l'éditeur n'est pas lui-même un prestataire de services ASP, il investit un prestataire de la mission de proposer des solutions informatiques à des clients ainsi que la gestion de ces derniers.

Ainsi, à travers ce contrat, le prestataire se voit accorder une licence d'utilisation lui permettant d'intégrer l'application et de sous-licencier au client l'accès à cette application. Ce contrat prévoit aussi les conditions de distribution et d'exploitation du logiciel.

En revanche, il conviendra de prévoir dans le contrat le cas de résiliation des licences ASP, afin que le client ne soit pas trop lésé. Dans cette hypothèse, deux possibilités : soit l'éditeur reprend la gestion des utilisateurs, directement ou indirectement ; soit le prestataire conserve les droits d'exploitation pour une période définie au-delà de la cessation des contrats. 

Un contrat d'entreprise entre le prestataire et le client utilisateur

Ce contrat constitue une prestation de services se caractérisant par un droit d'accès à la plateforme sur laquelle tourne l'application informatique. Plusieurs points sont à prendre en compte dans ce type de contrat.

Tout d'abord, à l'instar d'un contrat de licence, les parties devront prévoir les modalités de l'utilisation des applications. Cependant, l'entreprise utilisatrice a tout intérêt à prévoir contractuellement que le prestataire lui garantisse la réalité et la pérennité des droits concédés, notamment au travers de clauses prévoyant une garantie d'éviction ou des clauses permettant l'accès aux codes sources en cas de défaillance de l'éditeur.

Ensuite, l'entreprise utilisatrice doit obtenir contractuellement du prestataire qu'il s'engage sur la fiabilité et la disponibilité du service ASP. Il faudra ainsi prévoir dans le contrat ASP des prestations telles que les développements spécifiques ou le paramétrage des modules, la maintenance évolutive ou corrective, la sauvegarde automatique, l'intégration de l'application informatique dans le système du client…

En outre, il conviendra d'indiquer dans le contrat entre le prestataire et le client les performances et les conditions d'accès, ainsi que les obligations de sécurité, de sauvegarde et de confidentialité relative aux applications et aux données de l'utilisateur.

Certaines des données du client sont des données à caractère personnel. Or, eu égard à la loi Informatique et Libertés, c'est le client utilisateur qui est considéré comme responsable du traitement de ces données. Il faudra donc bien prévoir dans le contrat la question de ces traitements de données, notamment concernant le problème du transfert de ces données très limité lorsqu'il va vers des pays non membres de la Communauté européenne.

Enfin, comme dans un contrat d'infogérance, le contrat ASP devra prévoir les conditions d'externalisation des données de l'utilisateur. Il ne faudra pas non plus oublier de prévoir contractuellement les modalités et conditions de retour des données et des traitements de l'utilisateur en cas de cessation du contrat ou de défaillance du prestataire.

Mise en oeuvre de la responsabilité du prestataire ASP

Comme il s'agit d'un contrat d'entreprise, le prestataire ASP ne verra peser sur lui qu'une simple obligation de moyen.

Néanmoins, l'entreprise cliente dispose d'une garantie vis-à-vis du prestataire ASP, le « Services Level Agreements » (SLA). Le SLA impose au prestataire ASP un certain niveau de qualité pour certains services, et il s'agira cette fois d'une obligation de résultat à la charge du prestataire.

Concrètement, le SLA établit des seuils garantis quant à la disponibilité du réseau et de l'application, la vitesse du transfert des données, les délais maximum d'interruption, la fréquence des backups, les délais de restauration des données et des applications, la performance et la sécurité du système et les procédures de contrôle de ces éléments.

En cas de non respect des seuils fixés au sein du SLA, des indemnités forfaitaires, fixées contractuellement, sont automatiquement dues au client par le prestataire ASP. Le client n'a donc pas à prouver le comportement fautif du prestataire ASP pour obtenir cette indemnité.

De plus, si le non respect du SLA persiste, le client pourra même demander la résiliation du contrat ASP, aux torts du prestataire. Pour éviter d'arriver directement à cette extrémité, on peut prévoir dans les contrats ASP une étape intermédiaire appelée « l'escalation ». La procédure d'escalation a pour objectif de soumettre le problème rencontré aux différents niveaux hiérarchiques de chacune des deux parties. Et si le problème n'a pas trouvé de solution à la fin de cette procédure, le contrat est alors résilié.

Par ailleurs, il convient de clarifier le partage de responsabilité entre le prestataire principal et les autres prestataires. Il faudra notamment déterminer dans le contrat si le prestataire ASP assume ou non la responsabilité de maître d'oeuvre.

En résumé, le contrat ASP est un contrat informatique complexe qui nécessite la plus grande vigilance. Aussi est-il vivement conseillé d'avoir recours à l'assistance d'un avocat compétent avant de conclure ce type de contrat ou en cas de litige lié à son exécution.