Hébergement et domaine pour la boutique suisse : exigences et vérification du contrat

Du catalogue à l'exploitation : ce qu'une boutique suisse attend de son hébergeur

L'Observateur cite trois points de contrôle pour le choix de l'hébergement : la capacité de stockage nécessaire, l'étendue du service client de l'hébergeur et le prix le plus adapté à ses propres besoins. Celui qui les étaye par des chiffres au lieu de comparer les tarifs négocie sur des grandeurs concrètes plutôt que sur des noms de forfaits.

Le nombre de produits détermine le forfait : la boutique en ligne de Hostpoint est structurée en quatre niveaux avec 1'000, 10'000, 100'000 et 200'000 produits. Le multilinguisme est disponible jusqu'à 3 langues au troisième niveau et jusqu'à 14 langues au quatrième ; une connexion à eBay et un accès API pour des applications personnelles ne sont proposés que dans le plus grand niveau.

Celui qui a besoin du multilinguisme ou d'une connexion à ses propres systèmes seulement plus tard intègre dès le début le changement de niveau et son saut de prix.

Les moyens de paiement dépendent également du forfait : PayPal est inclus dans le plus petit niveau ; PostFinance et Saferpay s'ajoutent à partir du niveau intermédiaire, tandis que la connexion à Trusted Shops n'est disponible que dans les forfaits supérieurs. Selon le niveau, 500 Go (Smart Webhosting) ou 1000 Go (Business Webhosting) d'espace web sont inclus. La question du stockage issue de l'analyse des besoins se lit à la limite du forfait, et non poste par poste.

Le choix de l'hébergement inclut la question du domaine. En tant que plus grand fournisseur suisse d'hébergement web, Hostpoint gère plus de 1,3 million de noms de domaine. Chez FireStorm, le forfait FireSmall comprend des domaines illimités, 50 Go de stockage e-mail et 10 comptes e-mail. Ceux qui souhaitent gérer plusieurs domaines inscrivent donc ce nombre dès la liste des exigences.

L'attente en matière de support doit figurer par écrit dans la liste des exigences : Hostpoint indique que ses clients peuvent joindre le service téléphonique même le week-end. Que ce canal suffise ou non dépend du moment où les ventes ont lieu – une boutique réalisant du chiffre d'affaires le dimanche soir a besoin d'une réponse en dehors des heures de bureau.

Serveur en Suisse : où résident les données et pourquoi cela compte

La localisation des données est une question contractuelle, pas une question marketing. FireStorm la formule concrètement : stockage exclusivement dans des centres de données suisses, aucun transfert de données vers l'étranger, contrôle total sur l'emplacement des données ; les prix commencent à CHF 4.95 par mois. Celui qui vérifie cela ne cherche pas le mot « Suisse » dans le texte publicitaire, mais s'enquiert de l'emplacement du centre de données et demande si les données – y compris les sauvegardes et les accès de support – peuvent circuler vers l'étranger.

Le fournisseur apporte lui-même la qualification juridique : la loi fédérale sur la protection des données (LPD) serait l'une des plus strictes au monde ; l'UE reconnaît son niveau de protection comme équivalent. Depuis 2023, la nouvelle LPD est en vigueur, comme le note le générateur de protection des données ; elle est proche dans son contenu du RGPD, tandis que le RGPD contient dans l'ensemble des réglementations plus strictes. L'emplacement en Suisse est donc un argument en faveur de la souveraineté des données, mais ne constitue pas une exemption générale des obligations en matière de protection des données.

La responsabilité est fixée par la loi : l'ordonnance sur la protection des données exige que le responsable du traitement et le sous-traitant déterminent le besoin de protection des données personnelles afin de garantir une sécurité des données appropriée. C'est le point de départ pour définir quelles mesures de protection doivent figurer dans le contrat – et non le catalogue de l'hébergeur.

Il faut distinguer deux configurations : la LPD ne concerne pas uniquement les entreprises suisses, mais aussi les entreprises allemandes ou autrichiennes ainsi que les exploitants de sites web. Celui qui sert des clientes et clients dans l'UE doit clarifier si le RGPD s'applique également. Un serveur en Suisse répond à la question de l'emplacement, mais pas automatiquement à celle du droit applicable.

Sous-traitance du traitement et accès : ce qui doit figurer dans le contrat

FireStorm cite comme points de performance vérifiables : chiffrement SSL pour le transfert des données inclus gratuitement, sauvegardes quotidiennes contre la perte de données, contrôles d'accès et journalisation pour la traçabilité du traitement des données, protection DDoS ainsi qu'un centre de données certifié ISO 27001.

Les mots décisifs sont « chiffré » pour les sauvegardes et la combinaison contrôle d'accès et journalisation : une sauvegarde que chaque employé du support peut consulter ne satisfait pas aux exigences de traçabilité.

Chez ce fournisseur, le contrat de sous-traitance du traitement des données (CST) est « disponible sur demande » – il n'est donc pas automatiquement joint à la commande. Celui qui ne le réclame pas avant la signature risque de ne pas l'obtenir ensuite. Le contrat devrait en outre préciser qui est tenu de prendre quelles mesures.

Prix, durée et résiliation : les clauses contractuelles à la loupe

Les offres d'hébergement suisses sont calculées très différemment. FireStorm vend des forfaits avec une durée de 36 mois, au choix avec 12 ou 24 mois. FireSmall coûte CHF 5.90 par mois avec un abonnement de 3 ans ; FireLarge CHF 4.95 par mois la première année, puis CHF 8.90 par mois ensuite – présenté comme une réduction de 50 % la première année.

La boutique en ligne de Hostpoint est proposée avec une durée de 1 mois ou 12 mois, avec 3 mois offerts ; ensuite, Webshop S coûte CHF 29.00, M CHF 49.00, L CHF 99.00 et XL CHF 149.00 par mois. L'éventail va donc de l'engagement mensuel au contrat de 36 mois.

Pour la vérification du contrat, il en résulte un calcul sur toute la durée plutôt que sur le prix d'appel. Les coûts après la fin de l'offre promotionnelle et d'éventuels sauts de prix sont déterminants, et non le prix d'entrée annoncé.

Parallèlement, il faut lire la clause de résiliation : chez Hostpoint, la résiliation est possible à tout moment pendant les 3 premiers mois ; cette période correspond aux mois offerts. Comme modèle opposé à l'engagement long, Metanet cite une garantie de remboursement de 30 jours pour son hébergement web en Suisse – toutefois, un délai de rétractation ne remplace pas un court préavis de résiliation si la boutique croît après la phase de test.

Le domaine suit le même contrat : FireSmall inclut des domaines illimités et est vendu avec une durée de 36 mois, au choix avec 12 ou 24 mois. Celui qui souhaite transférer le domaine chez un autre fournisseur plus tard doit donc connaître non seulement le préavis de résiliation de l'hébergement, mais aussi les délais du contrat de domaine.

Domaine et mentions obligatoires : ce qui doit être visible sur chaque page de la boutique

L'obligation figure à l'art. 3 al. 1 let. s ch. 1 de la loi fédérale contre la concurrence déloyale (LCD) : celui qui propose des marchandises, des œuvres ou des prestations sur Internet ou autrement dans le commerce électronique doit fournir des indications claires et complètes sur son identité et son adresse de contact, y compris l'adresse électronique. Elle est en vigueur depuis plus d'une décennie.

Que les offres soient totalement ou partiellement gratuites ne joue aucun rôle – une adresse e-mail appartient impérativement aux mentions légales.

Le cercle des personnes concernées est plus large que beaucoup ne le pensent : ne sont pas seulement visés les boutiques en ligne classiques, mais aussi les plateformes de partage de fichiers et de médias sociaux ainsi que les offres des prestataires de services cloud et des hébergeurs web. Ne sont pas soumis à l'obligation de mentions légales les activités purement privées ou autres activités non commerciales.

Selon Metanet, les sites web commerciaux et les boutiques en ligne sont toujours soumis à cette obligation, les sites web d'entreprise également, même s'il n'y a pas de vente directe. Les professions libérales et les indépendants qui font la publicité de leurs services en ligne doivent tenir des mentions légales. Dès lors que de la publicité est diffusée ou que des liens d'affiliation sont intégrés, la situation change même pour un site initialement privé.

Metanet cite comme bases légales l'interaction entre le Code des obligations (CO), la LCD et l'ordonnance sur l'indication des prix (OIP) et traite le placement et l'accessibilité des mentions légales comme un point distinct. Pour la vérification du contrat, cela signifie qu'il faut anticiper tôt le placement et l'accessibilité ; la conception concrète dépend du cas particulier.

La source souligne également qu'une mention légale manquante ou suspecte sert d'indice pour des offres peu sérieuses ; la clientèle adresse la même exigence à sa propre boutique.

Déclaration de protection des données, CGV et droit d'auteur : ne pas tout mettre dans le même sac

Les mentions légales et la déclaration de protection des données sont souvent confondues, mais ce sont deux documents distincts : les mentions légales indiquent qui se cache derrière le site web ; la déclaration de protection des données explique ce qui advient des données personnelles. Metanet consacre une section spécifique à cette distinction.

L'Observateur énumère d'autres éléments constitutifs d'une présence web à vérifier selon le contenu et le but : contenus partenaires, droit d'auteur y compris le droit à l'image, droit au nom, obligation de mentions légales, conditions générales de vente (CGV), déclaration de protection des données, publicité ainsi que sites web internationaux. Ce qui est déterminant, c'est de savoir si du commerce électronique est pratiqué ou non – une boutique en ligne déclenche plus de points de contrôle qu'une simple page d'information.

En matière de droit d'auteur, la ligne de séparation est claire : les contenus sont protégés s'il existe une création intellectuelle individuelle, ce qui inclut les photos, vidéos, musiques et textes. De tels contenus ne peuvent pas être diffusés publiquement sans l'accord de l'auteur ; seule l'utilisation pour usage personnel est autorisée. Un site web est considéré comme public, une image étrangère qui y figure constitue donc généralement une violation.

L'Observateur signale que les avocats et les agences photo recherchent systématiquement les images utilisées illégalement, envoient des mises en demeure aux exploitants de sites web et réclament des dommages-intérêts. Les images de produits et les textes doivent donc être documentés avec leur origine et leurs droits d'utilisation.

Liste de contrôle avant la signature

Il en résulte un ordre pour l'entretien contractuel. Premièrement : où se trouvent les données, et l'emplacement du centre de données en Suisse est-il garanti de telle sorte que les sauvegardes et les accès de support ne conduisent pas à l'étranger ? Deuxièmement : le contrat de sous-traitance du traitement des données est-il disponible – non pas comme une promesse, mais comme un document réclamé avant la signature ? Troisièmement : l'étendue et la fréquence des sauvegardes, le chiffrement, les contrôles d'accès et la journalisation sont-ils mentionnés dans le périmètre de prestation ?

Quatrièmement : la durée et le préavis de résiliation, y compris la question de savoir si la possibilité de résiliation ne vaut que pendant une phase promotionnelle. Cinquièmement : le prix après la fin de l'offre promotionnelle, calculé sur toute la durée et non sur le prix d'appel. Sixièmement : la joignabilité du support, notamment en dehors des heures de bureau, si des ventes ont lieu durant ces périodes.

Le dernier point est extérieur au contrat d'hébergement et pourtant souvent négligé : le contrôle de son propre domaine. Il faut vérifier qui est enregistré comme titulaire, qui gère les DNS et les serveurs de noms, quels sont les délais de renouvellement et de résiliation, et comment un transfert est régi. Pour les domaines .ch, il faut clarifier quelles sont les prescriptions de l'office d'enregistrement.

Que le domaine et l'hébergement proviennent du même fournisseur est en soi une décision contractuelle. Combinés, ils facilitent la gestion, mais lient le domaine au contrat d'hébergement et à sa durée. La titularité, la gestion DNS et le renouvellement doivent donc faire l'objet de dispositions écrites séparées.

Il convient également de vérifier si les mentions légales citent complètement l'identité et l'adresse de contact y compris l'adresse e-mail, si elles sont accessibles depuis chaque page de la boutique et si les mentions légales et la déclaration de protection des données sont tenues séparément. Pour une boutique avec une clientèle étrangère, s'ajoute la question de savoir quels règlements supplémentaires s'appliquent.