NEW
Font size
WorksheetsPartie 1 : Analyse des clauses du contrat
Total questions: 30
Worksheet time: 15mins
Selon l'article 2, quel est l'objet précis du contrat signé entre Novamed et CyberProtect Plus ?
La garantie absolue contre toute cyberattaque et la sauvegarde externalisée.
La mise en place d'une supervision, d'une assistance et la gestion des mises à jour.
La délégation totale de la responsabilité du traitement des données sensibles.
La fourniture exclusive de matériel informatique et de licences logicielles.
Que stipule la Clause 3 concernant la gestion opérationnelle des systèmes ?
Elle est transférée intégralement au Prestataire dès la signature.
Elle reste sous le contrôle exclusif du Client (Novamed).
Elle est partagée équitablement à 50/50 entre les deux parties.
Le contrat est silencieux sur ce point spécifique.
Dans la Clause 4, quelle condition est requise pour que le Prestataire intervienne pour une mise à jour (hors nécessité absolue) ?
La publication d'un bulletin de sécurité critique par l'ANSSI.
La validation préalable et explicite du Client.
L'envoi d'une lettre recommandée avec accusé de réception.
L'écoulement d'un délai de 30 jours sans incident.
À combien est plafonnée la responsabilité financière du Prestataire selon la Clause 5 ?
Au montant total du contrat annuel multiplié par deux.
Au montant des sommes versées au titre du mois précédant l'incident.
À un forfait fixe de 100 000 euros par année civile.
À la couverture maximale de son assurance responsabilité civile professionnelle.
Selon la Clause 10, quelle est la valeur probante des échanges oraux ou écrits entre techniciens ?
Ils constituent une preuve irréfutable en cas de litige.
Ils ne constituent pas une preuve formelle.
Ils ont valeur de preuve s'ils sont confirmés par email sous 24h.
Ils prévalent sur les clauses écrites du contrat initial.
Quelle garantie de disponibilité des mises à jour est offerte par la Clause 3 ?
Une garantie d'intervention sous 4 heures ouvrées (GTR).
Une garantie de disponibilité de 99,9% sur l'année.
Aucune garantie de disponibilité, de fréquence ou de délai.
Une garantie de moyens renforcée avec pénalités de retard.
Selon la Clause 8, quel est le délai imposé au Prestataire pour notifier une violation de données ?
Un délai strict de 72 heures conformément au RGPD.
Un délai raisonnable, sans précision temporelle chiffrée.
Un délai maximum de 24 heures après découverte de la faille.
Un délai de 48 heures ouvrées, hors week-end et jours fériés.
D'après la Clause 9, le Prestataire doit-il fournir des rapports périodiques ?
Oui, un rapport mensuel est inclus dans le forfait de base.
Non, sauf demande spécifique et facturation complémentaire.
Oui, mais uniquement en cas d'incident de sécurité majeur.
Non, car cela violerait la confidentialité des procédures internes.
Comment la Clause 5 traite-t-elle la responsabilité en cas de « faille non détectée » ?
Le prestataire est responsable de plein droit.
Le prestataire est exonéré sauf faute intentionnelle prouvée.
La responsabilité est partagée avec l'éditeur du logiciel.
Le contrat prévoit une pénalité forfaitaire automatique.
Que prévoit la Clause 12 en cas d'ambiguïté dans l'interprétation du contrat ?
L'interprétation se fait en faveur de la partie la plus faible (le Client).
L'interprétation se fait selon les pratiques et usages du Prestataire.
L'interprétation est confiée à un expert judiciaire indépendant.
Le contrat est considéré comme nul et non avenu dans son ensemble.
Selon la Clause 7, quelles sont les exigences techniques de sécurité garanties (art. 32 RGPD) ?
Le chiffrement AES -256 de toutes les données stockées.
Aucune disposition détaillée n'est apportée sur les exigences techniques.
La conformité à la norme ISO27001 est garantie par écrit.
L'anonymisation systématique des données de santé avant transfert.
La Clause 6 impose au Client de « valider sans délai les demandes d'intervention ». Quel risque juridique cela crée-t-il pour Novamed ?
Aucun, c'est une clause standard de coopération.
Cela peut transférer la responsabilité du retard sur le Client s'il ne valide pas vite.
Cela oblige Novamed à embaucher un expert technique interne.
Cela annule automatiquement la garantie logicielle de l'éditeur.
Quelle est la durée du préavis de résiliation prévue à la Clause 11 ?
3 mois par lettre recommandée.
30 jours.
6 mois avant la date anniversaire.
Résiliation immédiate sans préavis possible.
Que couvre le forfait annuel selon la Clause 13 ?
L'audit complet, les rapports et les interventions d'urgence.
La supervision générale, la mise en œuvre et l'assistance non urgente.
Le remplacement du matériel obsolète et les licences logicielles.
La formation des salariés de Novamed à la cybersécurité.
La Clause 7 permet-elle la sous-traitance hors Union Européenne ?
Non, c'est strictement interdit par le contrat.
Oui, mais uniquement avec l'accord écrit préalable du Client.
Oui, après simple information au Client.
Oui, mais seulement vers des pays disposant d'une décision d'adéquation.
Juridiquement, quelle est la nature de l'obligation de CyberProtect Plus concernant la sécurité ?
Une obligation de résultat absolue.
Une obligation de moyens (ou moyens renforcée selon l'interprétation).
Une obligation de garantie solidaire.
Une obligation de porte-fort.
Si Novamed soutient que l'obligation était de résultat, quel argument factuel affaiblit cette position ?
Le prix très bas de la prestation (« prix attractifs »).
L'existence de données de santé sensibles.
La taille de l'entreprise Novamed.
Le fait que l'attaque soit un rançomware.
La clause limitative de responsabilité (Clause 5) risque-t-elle d'être réputée non écrite par un juge ?
Non, car elle a été signée entre deux professionnels.
Oui, si elle contredit la portée de l'obligation essentielle du contrat (jurisprudence Chronopost/Faurecia).
Non, car le plafond est clairement défini (sommes du mois précédent).
Oui, car toute limitation de responsabilité est illégale en droit informatique.
En matière de cybersécurité, pourquoi l'aléa (le risque d'attaque) empêche-t-il souvent la qualification d'obligation de résultat ?
Car les pirates sont toujours plus forts que les défenseurs.
Car le prestataire ne maîtrise pas l'environnement extérieur et l'évolution des menaces.
Car les contrats d'assurance interdisent l'obligation de résultat.
Car la loi Godfrain de 1988 l'interdit spécifiquement.
Le fait que CyberProtect Plus n'ait que 5 techniciens pour 70 clients peut-il constituer une faute ?
Non, c'est une gestion interne de l'entreprise prestataire.
Oui, cela peut caractériser un manquement à l'obligation de conseil et de moyens (sous-dimensionnement).
Non, tant que le logiciel de supervision fonctionne.
Oui, mais uniquement si le contrat prévoyait un ratio technicien/client.
L'argument de CyberProtect Plus « le client n'a pas validé la mise à jour » relève de quelle stratégie de défense ?
La force majeure.
Le fait du tiers.
L'exception d'inexécution ou la faute de la victime (le client).
La clause pénale.
Quelle jurisprudence célèbre a établi qu'une clause limitative de responsabilité ne doit pas vider l'engagement de sa substance ?
L'arrêt Myriam contre AOL.
L'arrêt Chronopost / Faurecia.
L'arrêt Google Spain.
L'arrêt Schrems II.
Si le contrat est qualifié de « contrat d'adhésion » (non négocié), comment s'interprète une clause obscure ?
En faveur de celui qui l'a rédigée (le Prestataire).
Contre celui qui l'a proposée (donc en faveur de Novamed).
Selon l'interprétation du dictionnaire Larousse.
Le contrat est annulé.
Le « devoir de conseil » du prestataire informatique inclut-il la mise en garde ?
Non, le devoir de conseil se limite à la vente du produit.
Oui, le prestataire doit alerter le client sur les risques liés à ses choix ou à l’absence de mise à jour.
Oui, mais uniquement si le client est un particulier, pas un professionnel.
Non, sauf si le client paye une option « Conseil juridique ».
La qualification de « nécessité absolue » (Clause 4) est-elle objective ?
Oui, elle est définie par le code civil.
Non, c’est une notion floue laissée à l’appréciation des parties, source de litige.
Oui, elle correspond aux failles CVSS score 10.0 uniquement.
Non, elle dépend uniquement de l’avis du Client.
L’absence de procédure d’urgence chez le prestataire (mentionnée dans l’étude de cas) est-elle contractuelle ?
Le contrat ne le précise pas, mais c’est un manquement aux règles de l’art.
Oui, la clause 3 exclut explicitement toute urgence.
Non, car l’urgence est gérée par les pompiers, pas l’informaticien.
Oui, car le forfait ne couvre que l’assistance non urgente.
Le DSI de Novamed pensait que les mises à jour étaient automatisées. Juridiquement, cela illustre :
Un dol de la part du prestataire.
Une erreur sur les qualités substantielles de la prestation ou un malentendu sur le périmètre.
Une clause résolutoire implicite.
Un cas de force majeure.
Si CyberProtect Plus avait été certifié ISO 27001, cela aurait-il changé l’obligation de moyens ?
Non, mais cela aurait renforcé la présomption de compétence et de moyens mis en œuvre.
Oui, la certification transforme automatiquement l’obligation en résultat.
Non, la certification n’a aucune valeur juridique.
Oui, car la norme ISO impose une obligation de résultat à 100% .
Le contrat mentionne « Supervision via ses outils internes ». Si ces outils sont défaillants, qui est responsable ?
Le fabricant des outils tiers uniquement.
CyberProtect Plus, car il a le choix et la maîtrise de ses outils (responsabilité du fait des choses).
Novamed, car elle a accepté le contrat.
Personne, c’est un aléa technique.
La mention « Version réaliste mais juridiquement défaillante » en tête de contrat suggère que :
Ce contrat est un faux grossier.
Ce contrat contient des clauses qui ne résisteraient probablement pas à l’analyse d’un juge.
Ce contrat est parfait pour le prestataire.
Ce contrat est illégal au sens pénal.
