Un client e-commerce perd quarante-huit heures de chiffre d'affaires pendant une panne datacenter. Les conditions générales de l'hébergeur plafonnent l'indemnité au dernier mois d'abonnement — neuf euros — et excluent tout dommage indirect. L'avocat du client envoie une mise en demeure. Votre clause était « standard du marché ». Elle n'est pas forcément applicable.
Les CGV d'hébergement encadrent le prix, la durée, la résiliation — et surtout les limites de responsabilité. Mal rédigées, elles protègent peu en litige et effraient les clients informés. Bien calibrées, elles alignent risque, niveau de service et tarif sans promesses illusoires.
Si vous êtes prestataire, vos CGV sont votre bouclier contractuel — à condition qu'elles correspondent à ce que vous vendez réellement. Si vous êtes client, elles révèlent ce que l'hébergeur assume vraiment quand tout se passe mal.
Clauses à relire avec un œil critique
Le plafond d'indemnisation — souvent douze mois de facturation — mérite une lecture attentive. Vérifiez si les dommages liés aux données, les violations RGPD ou la perte d'exploitation sont exclus du plafond ou silencieusement absorbés par une clause générale.
L'exclusion des dommages indirects est classique en B2B ; elle reste négociable pour les clients stratégiques qui exigent une couverture plus large. La force majeure devient problématique lorsqu'elle inclut une cyberattaque, une panne électrique du datacenter ou un défaut de sous-traitant non documenté — événements pourtant au cœur du métier d'hébergement.
L'obligation de moyens versus résultat distingue l'hébergement standard — en moyens — d'une promesse de disponibilité absolue hors SLA chiffré. Enfin, la clause sauvegarde : « client responsable de ses backups » est acceptable si elle est claire ; elle devient abusive si des snapshots sont vendus comme inclus sans procédure de restauration testée.
| Clause | Risque si mal calibrée | Bon réflexe |
|---|---|---|
| Plafond 1× MRR | Insulte client pro | Palier par offre ou option SLA+ |
| Exclusion données | Conflit RGPD | DPA + SLA alignés |
| Résiliation unilatérale | Réversibilité | Préavis + export documenté |
Une clause illusoire ne vous protège pas — elle signale que vous n'assumez pas le niveau de service vendu.
Aligner CGV, SLA et DPA
Trois documents, une histoire cohérente. Le SLA définit la disponibilité mesurée, les crédits en cas d'indisponibilité et les exclusions de maintenance planifiée. Les CGV fixent un plafond cohérent avec ce SLA — pas de contradiction du type « sans garantie » à côté d'un engagement chiffré. Le DPA précise les rôles RGPD, la notification d'incident et la liste des sous-traitants.
Pour les clients sensibles, proposez une annexe avec RTO, support prioritaire et plafond relevé — plutôt qu'une clause générique copiée-collée depuis un modèle trouvé en ligne. Croisez avec Responsabilité hébergeur pour comprendre la répartition des rôles en cas d'incident.
B2C versus B2B : deux régimes, deux exigences
En B2C, les clauses abusives sont plus facilement écartées. En B2B, la liberté contractuelle est plus large — mais un client enterprise informé négociera systématiquement les plafonds, les exclusions et les mécanismes de crédit SLA. Anticiper cette négociation vaut mieux que découvrir au premier incident majeur que votre clause standard ne tient pas.
Le sommet : double discours commercial et contractuel
Décider et avancer sans angle mort
Cette semaine, relisez vos CGV, votre SLA et votre DPA côte à côte et harmonisez plafonds, exclusions et promesses commerciales. Si vous êtes client, demandez une version consolidée avant signature et refusez les formulations vagues sur la responsabilité des données. Comparez la transparence contractuelle des hébergeurs via l'annuaire et le comparateur, puis consultez Notification de violation pour aligner les clauses incident avec votre registre RGPD.
Questions fréquentes
Peut-on exclure toute responsabilité en cas de panne ?
Non de façon absolue, surtout en B2C. Même en B2B, faute lourde et dol ne sont pas excluables. Les plafonds doivent rester proportionnés au service et au prix.
Le plafond « 12 derniers mois » est-il standard ?
Très répandu, mais contestable s'il est disproportionné par rapport au préjudice réel. Lisez aussi ce qui est exclu du plafond — données, RGPD, perte d'exploitation.
SLA et CGV doivent-ils dire la même chose ?
Oui impérativement. Une contradiction entre SLA chiffré et clause « sans garantie » crée une faille en négociation et en litige.
Qui est responsable des données hébergées ?
L'éditeur pour le contenu ; l'hébergeur pour l'infrastructure selon le DPA. Les CGV ne doivent pas transférer silencieusement une faute infra vers le client.
Des CGV crédibles protègent ce qui est réellement garanti — pas ce que le marketing aurait voulu promettre.