Contrats de logiciels cloud : durée, niveaux de service et résiliation

Qualification juridique des contrats cloud : mandat, entreprise ou contrat mixte

Trois clauses déterminent si un contrat de logiciel cloud est vérifiable : la durée, les niveaux de service et la résiliation. Chacune ne devient vérifiable qu’avec des indications précises – durée et pas de renouvellement, valeur de mesure et fenêtre de mesure, date de résiliation et forme.

Avant la signature, il convient de nommer des clauses concrètes, et non de simples déclarations d’intention. Les termes indéterminés compliquent la comparaison entre la prestation convenue et l’exploitation réelle.

Les contrats cloud ne constituent pas un type de contrat propre. Selon l’objet de la prestation, ils relèvent du droit du mandat ou du contrat d’entreprise, presque toujours complété par des éléments d’autres contrats innommés.

Le spectre va des solutions cloud aux contrats de conseil et de maintenance, en passant par le développement logiciel sur mesure. Ce qui compte, ce n’est pas l’étiquette « cloud », mais le contenu concret de la prestation due.

Pour la responsabilité, la qualification est centrale. En droit du mandat, c’est l’exécution diligente de la prestation qui compte ; dans le contrat d’entreprise, le prestataire doit un résultat concret – par exemple une application fonctionnelle.

Les contrats cloud sont régulièrement des contrats mixtes. Examinez les complexes d’obligations séparément : exploitation et support, octroi de licence, traitement des données, prestations de projet et migration. Pour chaque complexe, il doit être clair quelles obligations sont dues comme résultat et lesquelles comme efforts diligents.

Qui souhaite un résultat doit l’ancrer expressément dans le contrat en tant que résultat dû – en référence aux fonctions, aux quantités, aux délais et aux grandeurs de mesure. Si l’obligation de prestation reste non spécifique, il est difficile de faire valoir un résultat.

Avec les fournisseurs SaaS actifs à l’international, le choix du droit applicable devrait également être fixé expressément. Cela ne remplace pas la description précise des prestations dues : l’exploitation, la maintenance, le travail de projet et la mise à disposition du logiciel peuvent déclencher des obligations différentes.

Si le contrat est soumis au droit suisse, il faut examiner, selon le contenu de la prestation, le mandat, le contrat d’entreprise et, en cas de remise à usage, aussi le bail. La qualification décide de la responsabilité, de la garantie et des clauses contractuelles appropriées. Décrivez donc précisément les prestations dues.

Les conditions générales sont également limitées quant au fond par le droit suisse ; la liberté contractuelle connaît des limites. Qui utilise des clauses standard pour les services cloud doit tenir compte de ces limites.

Définir l’étendue des prestations, les droits d’utilisation et la délimitation des licences

L’étendue des prestations, les droits d’utilisation et la conformité à la protection des données doivent être définis avec précision. Les droits de licence et les conditions d’utilisation doivent être délimités en détail afin d’éviter des renégociations coûteuses.

Le SaaS peut se résumer ainsi : le fournisseur met le logiciel à disposition en ligne pour utilisation ; la maintenance et les mises à jour peuvent faire partie de l’offre. L’utilisation s’effectue souvent via le navigateur et est généralement facturée sous forme d’abonnement. Ces points font partie de la description des prestations.

Les modèles cloud se distinguent en SaaS, PaaS et IaaS. Cette délimitation influence l’étendue des obligations d’exploitation et de maintenance du fournisseur.

La gamme de produits va des outils de collaboration comme M 365 et Google Workspace aux systèmes CRM, en passant par les offres avec IA générative. L’étendue des prestations doit être décrite individuellement pour chaque produit.

Éléments typiques de l’étendue des prestations : modules et fonctions exploités, nombre d’utilisateurs et mandants, volume de stockage et de transactions, interfaces prises en charge, heures de service, fenêtres de maintenance, niveaux de support ainsi que les prestations expressément exclues. Il faut aussi régler la gestion des versions et des mises à jour : quelles adaptations sont incluses et lesquelles sont facturées comme prestations supplémentaires.

En matière de droits d’utilisation, il s’agit de l’étendue, de la durée et de la transférabilité de l’utilisation, de la sous-licence, de l’utilisation au sein du groupe, de l’utilisation multiple par des tiers, ainsi que des droits sur les configurations, les analyses et les données propres. Qui laisse ces points ouverts risque des litiges précisément lorsque le système est utilisé en production.

Il s’est avéré utile d’opposer clairement ce qui est « inclus » et « non inclus », ainsi que d’établir une règle sur la manière dont les extensions sont déclenchées et tarifées. Ainsi, l’étendue reste compréhensible pendant toute la durée du contrat.

Les fournisseurs mettent en avant des standards ouverts plutôt que le verrouillage propriétaire (vendor lock-in) et un contrôle total sur leurs propres données. Que cela tienne la route se décide aux droits dans le contrat, pas au texte publicitaire : aux formats d’export, à la documentation des interfaces et à la possibilité de quitter le service sans la participation du fournisseur.

Comparaison des modèles cloud : SaaS, PaaS et IaaS

Durée et volume minimum : examiner critically les engagements longs

Pour les services cloud, il vaut la peine d’examiner critically la durée et l’éventuel volume minimum – la durée est la première des trois clauses centrales.

Il faut examiner critically les clauses de renouvellement automatique, les délais de résiliation et le moment auquel le nombre d’utilisateurs ou les volumes peuvent être adaptés. Un engagement lié au nombre d’utilisateurs ou à des structures de quantités agit de facto comme une obligation de volume minimum : le client paie même s’il n’a plus besoin de la capacité.

Les conditions des fournisseurs prévoient des durées mensuelles d’un mois et annuelles de douze mois ; le passage d’un à douze mois est généralement possible. De telles valeurs doivent figurer expressément dans la clause de durée.

Alignez la durée sur l’horizon du projet ou de l’utilisation, ne laissez pas les renouvellements intervenir tacitement et prévoyez des droits d’adaptation pour les quantités et le nombre d’utilisateurs. Vérifiez si l’engagement est réellement nécessaire.

Souvent, plus de choses sont négociables que supposé : début de la durée à partir de la mise en production, droit de résiliation en cas de non-atteinte des niveaux de service convenus ou en cas de disparition de l’objectif d’utilisation. De tels points de sortie sont généralement plus précieux qu’une remise sur le prix catalogue.

Le contrat doit mentionner la durée et les conditions de résiliation, même pour les contrats à durée indéterminée et ceux se renouvelant automatiquement. Ces deux indications appartiennent à la même clause ; si l’une manque, il en résulte un engagement de fait, difficile à corriger ultérieurement.

Concrètement, chaque clause de durée doit contenir : durée minimale, modalités de renouvellement, délai de résiliation et dernière date limite de résiliation. Utilisez des valeurs concrètes et des références calendaires ou événementielles plutôt que des termes ouverts comme « raisonnable » ou « usuel sur le marché ».

Un déclencheur clair pour le début de la durée peut être la mise en production ou la conclusion d’un service d’onboarding convenu. Les contrats-cadres sont aussi conclus pour une durée indéterminée et commencent avec la conclusion du service d’onboarding. Fixez l’événement et sa preuve dans le contrat.

Avantages et risques des clauses de renouvellement automatique

Convenir de niveaux de service mesurables

L’utilisation des services IT est généralement soumise à des accords de niveau de service (SLA). Le contenu est négocié individuellement et est sujet à des formulations floues, difficiles à vérifier.

Pour qu’un SLA soit vérifiable en cas de litige, les points déterminants doivent être déterminés ou déterminables : ce qui est mesuré, comment c’est mesuré, sur quelle période c’est mesuré et quelles sont les conséquences d’un manquement.

Le niveau de service est la deuxième des trois clauses centrales : exigez pour chaque niveau de service un chiffre et une méthode de mesure – disponibilité en pourcentage, fenêtre de mesure, instrument de mesure et la sanction sous forme de crédit en pourcentage du forfait mensuel. Sans ces indications, le seuil n’est pas vérifiable.

La période de référence est décisive : si la disponibilité n’est mesurée qu’en moyenne annuelle, des pannes plus longues isolées peuvent être compensées par de nombreuses périodes sans incident. Convenez donc à la fois de la période de mesure et d’une limite supérieure pour les pannes individuelles.

Il faut distinguer les temps de réaction – par exemple jusqu’à la confirmation d’un signalement d’incident – et les temps de rétablissement jusqu’à la reprise de l’exploitation.

Les heures de service et les exclusions font également partie du SLA : périodes de maintenance annoncée, pannes dues à la non-livraison par des tiers, mauvaise utilisation par le client ainsi que les interruptions planifiées. Une promesse globale comme « exploitation 24/7 avec niveaux de service définis » ne décrit pas encore quand un service est considéré comme disponible.

La preuve et l’escalade doivent aussi être réglées : rapports et protocoles de mesure, droits d’accès aux données de monitoring, interlocuteurs définis et niveaux d’escalade avec délais.

Comme sanctions, on peut envisager des crédits convenus contractuellement, des obligations de correction ou – en cas de manquement répété – des droits de résiliation extraordinaire.

Pour les banques, les assureurs et les négociants en valeurs mobilières s’applique la circulaire FINMA 2018/3 « Outsourcing – banques et assureurs », en vigueur depuis le 1er avril 2018. Elle exige notamment un droit d’inspection et de contrôle permanent, complet et sans entrave en faveur de l’institut, de sa société d’audit et de la FINMA, ainsi qu’un inventaire actualisé des fonctions externalisées.

Le caractère essentiel d’une fonction externalisée doit être déterminé spécifiquement à l’institut. Le monitor des risques 2025 de la FINMA, publié le 17 novembre 2025, cite la dépendance à l’égard de quelques prestataires de services TIC comme axe de surveillance ; l’Association suisse des banquiers met à disposition un guide cloud à ce sujet.

Pour les clients réglementés, il faut d’abord clarifier quelles prescriptions concrètes s’appliquent à l’organisation et au service. Transposez les exigences applicables en objectifs de prestation, preuves et règles de sortie ; les modèles standards ne remplacent pas cet examen.

Formulez la mesure, les fenêtres de maintenance, les exceptions et les conséquences de telle sorte que les deux parties utilisent les mêmes données et règles. Indiquez qui fournit les valeurs de mesure et comment les écarts sont prouvés.

Les crédits et les prétentions plus étendues doivent être réglés séparément : fixez si les crédits sont imputés sur la rémunération mensuelle et si des prétentions supplémentaires restent intactes. Liez les conséquences juridiques à la procédure de mesure définie et les violations répétées à un éventuel droit de sortie.

Protection des données, lieu de stockage et accès depuis la Suisse

La conformité à la protection des données selon la loi fédérale sur la protection des données révisée (LPD) doit être réglée contractuellement, surtout en cas de flux de données transfrontaliers. Le contrat ne devrait pas seulement renvoyer à la loi, mais indiquer qui est responsable de quel traitement et quelles obligations le fournisseur assume.

Les règlements relatifs au traitement sur mandat sont répandus : lien aux instructions, confidentialité, mesures techniques et organisationnelles, recours à des sous-traitants, notification des violations de la protection des données ainsi que la restitution et la suppression des données.

Qui traite des données dans un cloud devrait aussi savoir dans quels pays elles se trouvent et depuis quels pays on peut y accéder.

En pratique, il faut donc non seulement fixer le lieu de stockage, mais aussi le chemin d’accès. Cela inclut la disponibilité des justificatifs dans un format lisible, l’accès depuis la Suisse, une possibilité d’export sans participation du fournisseur et un règlement pour le cas où le fournisseur cesse le service.

Pour les questions de protection des données en Suisse, l’autorité de surveillance compétente doit être impliquée. Clarifiez quelles exigences s’appliquent lorsque des données personnelles sont transférées dans un cloud.

Le respect des prescriptions de la LPD révisée doit être examiné avant la signature et transposé dans le contrat.

Examinez les justificatifs du fournisseur concernant l’exploitation et les mesures techniques et organisationnelles. Les certifications ou les indications sur le centre de calcul sont utiles si elles correspondent aux lieux de stockage et chemins d’accès convenus. Le lieu de stockage, le chemin d’accès, l’export et la suppression doivent continuer à figurer dans le contrat.

Régler la résiliation, la sortie et la migration des données avant la signature

Pour les solutions cloud, les stratégies de sortie et les migrations de données doivent être définies de manière contraignante avant la signature du contrat. Ce qui n’est négocié qu’en phase de résiliation devient coûteux : alors, le fournisseur n’a plus intérêt à une remise rapide et peu coûteuse.

Il faut clarifier le format et l’étendue de la restitution des données, les délais pour la remise, la suppression après migration réussie, une éventuelle exploitation transitoire ainsi que la question de savoir qui supporte les coûts de migration.

Il faut également indiquer si les configurations, documentations d’interfaces, analyses et protocoles sont livrés.

Un format standard pour l’export s’est avéré utile. Il convient aussi de convenir d’un délai de remise défini après entrée en vigueur de la résiliation, d’une poursuite limitée de l’exploitation contre rémunération préalablement convenue et d’une confirmation écrite de la suppression après expiration du délai transitoire.

Pour les contrats SaaS, les délais de résiliation se situent habituellement entre 30 et 90 jours, pour les services cloud entre 60 et 120 jours. Les conditions des fournisseurs mentionnent aussi des contrats mensuels avec un délai de 14 jours à la fin du mois de facturation et annuels avec 90 jours à la fin de l’année de facturation.

Après la fin du contrat, l’accès peut rester réactivable pendant quatre semaines ; ensuite, les données sont supprimées automatiquement. Une résiliation n’entre en vigueur qu’à réception chez le partenaire contractuel ; le contrat peut exiger une confirmation via un lien envoyé.

Il est judicieux de prévoir un droit de résiliation extraordinaire non seulement en cas de résiliation ordinaire, mais aussi en cas de violations répétées du service, de disparition de l’opportunité ou de changements législatifs. Plus tôt ces points de sortie figurent dans le contrat, plus le risque d’un blocage est faible.

Un contrat-cadre à durée indéterminée ne prend pas fin de lui-même, mais par résiliation. La date et le délai sont donc au centre de la clause de résiliation et doivent être lus conjointement avec la clause de durée.

La date de résiliation, le délai de résiliation et la forme convenue doivent être clairement fixés. Déterminez notamment par quel canal la résiliation doit parvenir et quand elle est considérée comme reçue. Une indication globale comme « avec un délai raisonnable » ne clarifie pas ces étapes pratiques.

Pour les fournisseurs de services de traitement de données sur le marché UE, le Data Act s’applique depuis le 12 septembre 2025. L’art. 25 al. 2 let. d exige un droit de résiliation à tout moment indépendamment d’une durée fixe, avec un délai maximal de deux mois pour initier le changement ; la phase de transition dure fondamentalement 30 jours et peut être prolongée une fois jusqu’à sept mois.

Examinez la qualification du contrat et pas seulement la date de résiliation. Clarifiez au cas par cas quels droits de résiliation s’appliquent selon l’ordre juridique applicable.

Étapes pour une migration sécurisée des données en cas de résiliation

Principaux points de sortie dans le contrat cloud

Coûts, prestations supplémentaires et contrôle budgétaire

Des coûts supplémentaires imprévus surviennent surtout là où la délimitation des prestations reste floue. Ce qui n’est pas expressément décrit comme inclus sera facturé comme prestation supplémentaire en cas de besoin – sensible lors d’une utilisation croissante.

Le SaaS est considéré comme une alternative peu coûteuse aux projets de mise en œuvre vastes ; les investissements initiaux élevés pour le matériel et la mise en œuvre sont supprimés. Le calcul n’est juste que si les quantités supplémentaires et les extensions sont tarifées à l’avance et soumises à approbation.

Les éléments de contrôle comprennent notamment le budget IT, les accords de niveau de service entre l’entreprise et son prestataire IT ainsi que les contrats de projet et autres objectifs. De tels instruments n’agissent que s’ils sont formulés en référence à des projets et quantités concrets.

Pour les collectivités publiques suisses, une question supplémentaire se pose : la comptabilisation des contrats cloud ; le traitement doit être clarifié avant la signature.

Pour les extensions, une procédure réglementée est recommandée : demande, description de la prestation, estimation des efforts et du prix, approbation et confirmation écrite. Sans un tel processus de change request, des prestations surviennent de facto d’elles-mêmes et sont facturées a posteriori.

La transparence des coûts exige une liste de prix compréhensible pour les quantités supplémentaires, des règles d’ajustement des prix sur la durée ainsi qu’un plafond budgétaire à partir duquel une nouvelle approbation est nécessaire. Ainsi, l’évolution des coûts reste maîtrisable, au lieu d’être seulement constatée.

Vérifiez avant la signature si les contrats types correspondent à votre propre structure contractuelle et si les CGV du fournisseur contiennent des dispositions contraires. Il est décisif que les indications sur l’étendue des prestations, la mesure, les prix et la résiliation soient réunies de manière contraignante et sans contradiction dans les documents contractuels.

Liste de contrôle pour l’examen du prochain contrat cloud

Qualification : Est-il clair quelles prestations sont dues comme résultat et lesquelles comme exécution diligente ? Les complexes d’obligations – exploitation, licence, données, projet, migration – sont-ils réglés séparément ?

Étendue des prestations : Les modules, nombres d’utilisateurs, volumes, interfaces, heures de support et les prestations expressément exclues sont-ils listés ? Les mises à jour et versions sont-elles attribuées ?

Droits d’utilisation : L’étendue, la durée, la transférabilité et la sous-licence sont-elles réglées ? Les droits sur les configurations, analyses et données clients sont-ils clarifiés ?

Durée : Quelle est la durée minimale, comment le contrat se renouvelle-t-il et avec quel délai peut-on résilier ? Les valeurs figurent-elles sous forme de chiffres dans le contrat – par exemple une durée mensuelle avec 14 jours de délai ou une annuelle avec 90 jours ?

Niveaux de service : Qu’est-ce qui est mesuré, comment et sur quelle période ? La disponibilité est-elle indiquée en pourcentage avec fenêtre de mesure et instrument de mesure ? Les temps de réaction et de rétablissement, les heures de service, les exclusions, le reporting, l’escalade et les sanctions sont-ils définis ?

Protection des données : Les responsabilités, le lien aux instructions, les sous-traitants, les obligations de notification et la suppression sont-ils réglés selon la LPD révisée ? Le lieu de stockage et le chemin d’accès depuis la Suisse sont-ils réglés ?

Sortie : Le format et l’étendue de la restitution des données, les délais, l’exploitation transitoire et la répartition des coûts sont-ils fixés avant la signature ? La suppression est-elle confirmée, et est-il réglé combien de temps l’accès reste réactivable après la fin du contrat ?

Coûts : Une liste de prix pour les prestations supplémentaires, des règles d’ajustement des prix, une procédure de change request et un seuil d’approbation dans le budget sont-ils convenus ?

Bases légales : Le droit applicable est-il indiqué et la qualification selon le mandat, le contrat d’entreprise ou le bail est-elle compréhensible sur la base des prestations dues ?

Droit suisse : Les obligations découlant de la qualification selon le mandat, le contrat d’entreprise ou le bail sont-elles reflétées dans les clauses contractuelles ?

Responsabilité et CGV : Les limites pour les clauses de responsabilité et de crédits de service ainsi que pour la formulation des CGV sont-elles prises en compte ?

Surveillance : L’autorité de surveillance compétente pour la protection des données est-elle nommée ? Les prescriptions de la LPD révisée sont-elles reflétées dans le contrat ?

Réglementation : Pour les banques, assureurs et négociants en valeurs mobilières, a-t-on vérifié si la circulaire FINMA 2018/3 « Outsourcing – banques et assureurs » et la circulaire FINMA 2023/1 « Risques opérationnels et résilience – banques » sont applicables ? Le droit d’inspection et de contrôle en faveur de la FINMA ainsi qu’un inventaire des fonctions externalisées sont-ils convenus ?

Délais de changement : Le contrat prévoit-il pour les fournisseurs sur le marché UE un droit de résiliation à tout moment, un délai maximal de deux mois pour initier le changement et une phase de transition de 30 jours ?

Indications du fournisseur : Les CGV et SLA sont-ils disponibles ? Les heures de service promises, les exceptions, les données de mesure, le lieu de stockage et les procédures de suppression sont-ils décrits concrètement ?

Clauses centrales : La durée, les niveaux de service et la résiliation figurent-ils chacun sous forme de chiffre dans le contrat – durée de l’engagement, disponibilité en pourcentage, délai de résiliation ? Si l’un de ces chiffres manque, la clause n’est pas vérifiable.

Documents contractuels : Les CGV, SLA, description des prestations, accord de protection des données et règlement de sortie sont-ils désignés comme parties intégrantes du contrat ? La hiérarchie, les termes et les définitions de mesure concordent-ils dans tous les documents ? La durée et la logique de résiliation sont-elles réglées sans contradiction dans les annexes ?