ACJC/1208/2023

A.

Par jugement JTPI/10537/2022 du 13 septembre 2022, notifié aux parties le lendemain, le Tribunal de première instance, statuant sur demandes principale et reconventionnelle, a débouté A______ SA de toutes ses conclusions (chiffre 1 du dispositif), condamné celle-ci à payer à B______ Sàrl le montant de 487'080 fr. avec intérêts à 5% dès le 20 juin 2016 (ch. 2), prononcé la mainlevée de l'opposition faite par A______ SA au commandement de payer, poursuite n° 1______, à concurrence du montant précité avec intérêts (ch. 3), débouté B______ Sàrl de ses autres conclusions (ch. 4), arrêté les frais judiciaires à 25'000 fr., compensés à due concurrence avec les avances de 40'400 fr. versées par les parties, soit 22'300 fr. pour A______ SA et 18'100 fr. pour B______ Sàrl, les a mis à la charge de A______ SA, a condamné en conséquence celle-ci à rembourser à sa partie adverse le montant de 2'700 fr. et ordonné aux Services financiers du Pouvoir judiciaire de restituer à B______ Sàrl le montant de 15'400 fr. (ch. 5), condamné A______ SA à payer à B______ Sàrl le montant de 26'500 fr. TTC à titre de dépens (ch. 6) et débouté les parties de toutes autres conclusions (ch. 7).

B.

a. Par acte expédié le 14 octobre 2022 au greffe de la Cour de justice, A______ SA interjette appel contre ce jugement, dont elle sollicite l'annulation des chiffres 1 à 3 et 5 à 6 du dispositif. Cela fait, elle conclut - avec suite de frais de seconde instance et dépens de première et seconde instances - à ce que la Cour dise et constate que B______ Sàrl est reconnue comme sa débitrice et doit immédiatement lui payer la somme de 258'462 fr. 45 avec intérêts à 5% l'an dès le 29 avril 2016, annule la poursuite n° 1______ de l'Office des poursuites genevois, ordonne à B______ Sàrl de procéder à la radiation immédiate de cette poursuite auprès de l'Office des poursuites, sous la menace de la peine prévue par l'art. 292 CP, et déboute B______ Sàrl de toutes autres ou contraires conclusions. b. B______ Sàrl conclut au rejet de l'appel et à la confirmation du jugement entrepris, avec suite de frais et dépens de première instance et d'appel. c. Les parties ont répliqué et dupliqué, persistant dans leurs conclusions respectives. d. Par avis du greffe de la Cour du 16 mars 2023, les parties ont été avisées de ce que la cause était gardée à juger.

C.

Les éléments suivants résultent du dossier : a. A______ SA (anciennement D______ SA; ci-après : A______ SA) – qui est une filiale de A______ HOLDING sise en Ukraine – a pour but le commerce de matières premières, de matériaux finis et semi-finis, de même que les affaires commerciales, financières et mobilières qui s'y rapportent. E______ en est l'administrateur président. b. B______ Sàrl est une société offrant des services dans le domaine de l'informatique en mettant l'accent sur le niveau de satisfaction apporté à la clientèle dans la conception, le développement et l'implantation de solutions dans l'environnement du réseau informatique. F______ a été l'associé gérant de cette entreprise, avec pouvoir de signature individuelle, depuis son inscription au Registre du commerce genevois en ______ 2014 jusqu'en décembre 2016, date à laquelle il a été remplacé par G______. c. Auparavant, F______ a été employé par A______ SA du 1er juin 2006 au 31 décembre 2013 en qualité d'ingénieur système IT pour un revenu annuel brut de 133'900 fr., hors bonus. Devant le Tribunal, il a déclaré que son dernier salaire annuel s'était élevé à 156'000 fr. nets, bonus compris. c.a Son supérieur hiérarchique était H______, responsable du département informatique de A______ SA de février 2005 à juin 2015, hormis durant les années 2008 à 2011, où le précité a été remplacé par I______. Durant cette dernière période, H______ a été chargé de créer un autre département informatique, en lien avec la holding ukrainienne (cf. témoignage F______). Devant le Tribunal, H______ a déclaré qu'il était entre autres chargé du contrôle interne et de la gestion des risques. Entendu en qualité de témoin, F______ a expliqué qu'il rapportait à H______ concernant la qualité du réseau informatique. C'était ce dernier qui lui donnait les instructions. La collaboration entre F______ et H______ se déroulait très bien. Le second était satisfait du travail du premier. F______ a déclaré que son travail n'avait jamais été critiqué et qu'il avait d'ailleurs reçu chaque année le bonus le plus élevé du département IT. c.b A teneur du certificat de travail 2012, le cahier des charges de F______ était le suivant : maintenir l'infrastructure informatique de A______ SA, analyser les problèmes systémiques et fournir des solutions pour y remédier, sauvegarder les

données, sécuriser le réseau informatique, maintenir le système anti-spam, mettre en œuvre et assurer le fonctionnement de l'infrastructure et du stockage, gérer l'Active Directory et l'Exchange Server. Entendu par le Tribunal en qualité de témoin, H______ a exposé que F______ s'occupait de la maintenance du réseau, de la connectivité, de la sécurité et de la maintenance des serveurs. Un autre collaborateur, J______, était chargé de la gestion du réseau (logins et portails intranet). Ses tâches et celles de F______ s'imbriquaient en partie, mais J______ s'occupait plus des machines des utilisateurs. c.c Les certificats de travail remis à F______ en 2012 et janvier 2014 relèvent notamment que les compétences techniques et les connaissances de l'intéressé avaient joué un rôle stratégique dans l'amélioration de la structure informatique de l'entreprise, permettant à celle-ci de s'aligner sur les exigences informatiques d'une société internationale.

d. La structure informatique de A______ SA était opérée depuis le site de Genève. Il existait une interconnexion avec l'Ukraine, permettant aux utilisateurs de Kiev de se connecter par le biais de protocoles d'accès distants. Le système était composé de trente-sept machines virtuelles et de huit serveurs, avec un site secondaire de sauvegarde hébergé auprès de K______ INC, permettant une synchronisation des machines et des données les plus critiques de l'entreprise sur un site distant pour assurer une reprise en cas de sinistre (cf. rapport de L______ SA, pièce 52 dem.). e. H______ était notamment en charge du budget informatique. A ce sujet, il a expliqué qu'à partir de 2010, le processus de décision ne dépendait plus de la société genevoise mais de la holding en Ukraine, le reporting et les demandes de financement, notamment pour l'achat de logiciels, devant s'effectuer auprès de la holding. Il était alors beaucoup plus compliqué d'obtenir un budget pour le bon fonctionnement du service informatique, qui avait de la difficulté à tourner avec les fonds octroyés. Avec le budget alloué, l'infrastructure informatique de A______ SA était en "mode survie" et n'était pas alignée aux standards à respecter. Cette modification avait eu un impact sur le travail de F______ et H______, ce dernier qualifiant la situation de "bombe à retardement". Pour sa part, E______ a assuré que les dépenses informatiques étaient coordonnées au sein du groupe. L'aval de toute l'équipe responsable devait être obtenu, mais cela n'était pas difficile pour les dépenses nécessaires, à savoir celles qui étaient critiques pour maintenir l'infrastructure. f. Le 31 octobre 2013, A______ SA a communiqué à F______ sa décision d'externaliser la gestion de son infrastructure informatique et de mettre un terme à son contrat de travail pour fin décembre 2013. La décision d'externaliser ce poste était guidée par des raisons économiques (cf. témoignage de H______ et interrogatoire de E______). E______ a déclaré que cela permettait à F______ de développer sa clientèle et à A______ SA de payer moins cher pour obtenir les mêmes services. g. A partir du 1er janvier 2014, F______ a fourni ses services en matière informatique à A______ SA par le biais de la société B______ Sàrl. Devant le Tribunal, F______ a expliqué que cette société avait été fondée dans le seul but

d’assurer l'activité informatique de A______ SA, qui était son unique cliente. Ce n'est cependant que le 11 juillet 2014 que B______ Sàrl et A______ SA ont conclu un "Service Agreement for Operations and Maintenance" (ci-après : le Service Agreement), mentionnant une entrée en vigueur au 1er janvier 2014 pour une durée d'une année. Le Service Agreement prévoyait que B______ Sàrl assumerait les tâches suivantes:

• maintenance du serveur hardware et software;

• maintenance et support des postes de travail;

• maintenance des infrastructures de stockage;

• maintenance de l'équipement du réseau (interrupteur, pare-feu et autres dispositifs du réseau existants);

• maintenance de la reproduction/copie entre la production et le site distant;

• maintenance de l'infrastructure du site distant;

• assistance pour tout autre service lié à l'infrastructure maintenue par des sociétés tierces, incluant notamment la communication (fax, voix et vidéos), l'impression, le scanner, la gestion des droits d'accès, la protection de l'infrastructure physique tant interne qu'externe. B______ Sàrl devait également fournir un centre d'assistance permettant de gérer les tickets en direct et leur résolution. Il était en outre tenu d'établir des rapports mensuels, à remettre la première semaine de chaque mois, ceux-ci devant présenter un rapport d'activités (volume des tickets, délai moyen de résolution, nombre de tickets non résolus ou dépassant le délai imparti au cours de la période), le niveau de disponibilité de l'infrastructure informatique, le niveau de performance des principaux services, le diagramme de l'infrastructure IT et l'état des travaux en cours incluant les recommandations des éléments importants dans les six et douze mois. Les honoraires convenus s'élevaient à 20'500 fr. plus 8% de TVA pour les services d'au moins une personne sur le site durant les horaires de travail (étant précisé que durant la période où les parties étaient en négociation, F______ a perçu une rémunération mensuelle de 10'000 fr. et que le contrat prévoyait temporairement une rémunération de 16'800 fr. plus TVA tant que la société B______ Sàrl ne disposerait que d'un ingénieur système). D'autres prestations, dont la nature n'a pas été convenue, pouvaient également être fournies par B______ Sàrl selon un tarif horaire préétabli. g.i D'après le témoin H______, les tâches incombant à B______ Sàrl impliquaient d'assurer la maintenance de la sécurité de l'infrastructure informatique. Selon lui, le niveau de sécurité requis était le niveau standard pour l'industrie. Les tâches listées dans le contrat correspondaient à celles dont F______ avait la responsabilité du temps où il était employé de A______ SA. g.ii L'obligation de remettre des rapports constituait cependant une nouveauté par rapport aux tâches effectuées par F______ lorsqu'il était employé de A______ SA. L'idée était d'avoir un suivi et une continuité des services qui se faisaient auparavant et de pouvoir remettre ces rapports à la direction (cf. témoin H______). Dans les faits, B______ Sàrl n'a pas systématiquement fourni les rapports en question dans la forme requise. Une partie de ce qui était demandé était

  communiqué de façon informelle, à la légère, selon le témoin H______. Ce dernier a cependant déclaré que F______ lui transmettait régulièrement toutes les informations pour qu'il puisse avoir une vue d'ensemble du réseau informatique. Au début des rapports contractuels entre A______ SA et B______ Sàrl, F______ et

H______ avaient continué à travailler côte à côte et leurs échanges étaient permanents. Il arrivait toutefois également à F______ de travailler à distance. h. Le 1er septembre 2014, B______ Sàrl a engagé M______ en qualité de technicien de support, l'intéressé travaillant à plein temps au sein des locaux de A______ SA. i. Fin 2014, les parties ont négocié la continuité de leurs rapports contractuels. H______ était satisfait du travail effectué par B______ Sàrl, pardonnant l'absence de remise des rapports mensuels. Il a alors été renoncé à la remise automatique de ces rapports puisqu'il y avait une communication fluide entre les parties (cf. témoignage H______). Le 5 janvier 2015, les parties ont conclu un nouveau contrat intitulé "Enterprise Agreement for Operations and Maintenance" (ci-après : Enterprise Agreement), prévoyant des tâches identiques à celles mentionnées dans le Service Agreement, sous réserve du centre d'assistance et des rapports mensuels qui devaient désormais être fournis uniquement sur demande de A______ SA. Les honoraires s'élevaient à 20'500 fr. plus 8% de TVA, dont une réduction de 15% pour l'année 2015 (soit 17'425 fr. HT par mois). D'autres prestations, dont la nature n'a pas été convenue, pouvaient également être fournies par B______ Sàrl selon un tarif horaire préétabli, notamment des honoraires additionnels pour tous les services supplémentaires comme l'installation et le remplacement de matériel, upgrade, etc. Ce contrat était conclu pour une durée de trois ans du 1er janvier 2015 au 31 décembre 2017 et était reconduit automatiquement pour une durée d'un an, sauf dénonciation par l'une ou l'autre des parties moyennant le respect d'un préavis écrit donné au moins trois mois à l'avance. Il était prévu que si une partie enfreignait une condition importante du contrat ("if the other party breaches any material term or condition of the enterprise agreement") et ne remédiait pas à cette violation dans un délai de trente jours suivant la réception de la mise en demeure, l'autre partie pouvait résilier le contrat par écrit. En cas d'impossibilité de remédier à la violation dans le délai de trente jours, un délai raisonnable supplémentaire, n'excédant pas soixante jours dès réception de l'avis, devait être octroyé à la partie ayant violé le contrat afin de lui permettre de remédier à la violation de manière prompte et diligente. En outre,

chaque partie pouvait résilier le contrat avec effet immédiat en cas d'inexécution des obligations contractuelles ou en cas d'entrave à la bonne exécution desdites obligations en raison d'un comportement fautif intentionnel ou d'une négligence grave. Il était précisé que tous les avis, consentement et approbation requis par le contrat devaient être effectués par écrit et envoyés par courrier recommandé. Enfin, le contrat prévoyait une élection de droit suisse et de for à Genève.

j. Le témoin H______ a déclaré que lorsque A______ SA sollicitait un rapport de B______ Sàrl, celle-ci refusait presque systématiquement de le faire, ne fournissant au surplus que quelques rapports partiels, lacunaires et inutiles. D'après les pièces figurant au dossier, B______ Sàrl a notamment remis des rapports à A______ SA en janvier, février, mars, avril, mai, août, septembre, octobre et novembre 2015, ainsi qu'en janvier et février 2016. k. Par courriel adressé le 26 mars 2015 à E______ avec copie à H______, F______ s'est plaint de retard dans le renouvellement de contrats (en particulier les contrats de maintenance pour les serveurs HP et le système d'archivage de N______, O______, etc.), H______ n'ayant pas validé l'offre qui lui avait été soumise. F______ s'est dit préoccupé par le fait que ce type de retard avait un impact négatif considérable sur l'ensemble des fonctions du département. Il a ajouté qu'il continuerait à faire le maximum d'efforts pour fournir un service de qualité dans les conditions données, mais a précisé qu'il refuserait d'endosser une quelconque responsabilité causée par un retard, une négligence ou un manque de gestion, non seulement en ce qui concerne l'aspect administratif, mais aussi l'aspect opérationnel de l'infrastructure informatique. Confronté à ce courriel par le Tribunal, le témoin H______ a confirmé que les éléments mentionnés par F______ avaient une incidence sur le fonctionnement du service informatique. l. Entre-temps, le 19 mars 2015, H______ a remis sa démission à A______ SA pour la fin du mois. Devant le Tribunal, il a expliqué que sa décision était motivée par le fait que son poste était devenu moins intéressant et plus compliqué avec un budget plus restreint. Le 15 juin 2015, il a fondé la société P______ SA, active dans la commercialisation de logiciels et produits informatiques. Il a expliqué que l'idée était de s'occuper du service informatique de A______ SA en attendant de trouver d'autres clients, puis de transférer ces compétences à une nouvelle équipe au sein de A______ SA. Le 1er juillet 2015, P______ SA a conclu un contrat de services avec A______ SA. Ce contrat prévoyait la gestion complète des applications Q______ (logiciel de négociation et de gestion des risques employé dans le cadre du commerce de matières premières), la maintenance et l'assistance par rapport au système SAP, le

reporting, l'assistance générale au département IT, le transfert des compétences, la maintenance, l'assistance et la formation web utilisées par A______ SA, le conseil technique et stratégique, l'assistance informatique au management, le contrôle interne et la gestion des risques. m. Il est admis que H______, y compris lorsqu'il a créé la société P______ SA, était chargé de superviser l'activité de F______. Ainsi, d'après les explications de H______, B______ Sàrl, soit pour elle F______, suivait ses instructions, puis celles de P______ SA jusqu'à la nomination du nouveau chef du département informatique de A______ SA (R______; cf. let. p ciaprès) le 1er avril 2016. Le témoin F______ a déclaré que pour lui, il n'y avait aucun changement lorsque A______ SA avait conclu le contrat avec P______ SA, dont il ne connaissait pas les détails. Pour lui, H______ restait le chef informatique de A______ SA et son activité au sein de B______ Sàrl restait subordonnée aux décisions du premier nommé. La collaboration entre F______ et H______ s'est bien déroulée jusqu'à la fin 2015. Leur relation s'est ensuite dégradée et F______ s'est opposé à rendre des comptes à P______ SA. Il communiquait alors directement avec E______ (cf. notamment témoignage de H______). m. A______ SA faisait l'objet chaque année d'un audit externe (réalisé entre autres par BDO S______ SA en 2008, puis par T______ SA de 2009 à 2016), et d'un audit interne (effectué par un spécialiste en sécurité de la holding; cf. témoin H______), lesquels portaient notamment sur le service informatique et étaient réalisés dans les règles. Ces audits ont rarement relevé des problèmes concernant ledit service, sous réserve de quelques recommandations, qui ont été suivies (il a par exemple été constaté en 2009 qu'aucune procédure de tests des sauvegardes n'était en place, alors qu'il existait un risque que ces dernières ne fonctionnent pas lorsqu'elles seraient restaurées, ce qui pouvait avoir un impact sur les affaires; il a dès lors été recommandé à l'ingénieur système, dans un délai échéant à avril 2010 puis finalement reporté à juin 2011, de mettre en place une procédure formelle pour la réalisation de tests des sauvegardes et la conservation de preuves lorsque de tels tests seraient réalisés). Aucun incident ou problème de sécurité ou encore de panne due à une attaque du

réseau informatique n'a jamais été rencontré durant la collaboration avec F______, n. Par courriel envoyé courant novembre 2015, A______ SA a demandé à ses employés, sur une base volontaire, de réduire leur temps de travail de 20% en raison des difficultés financières de la société (pièce 125 déf.). o. A______ SA n'a pas versé à B______ Sàrl la mensualité du mois de mars 2016. p. Le 1er avril 2016, R______ a été engagé par A______ SA en qualité de chef du département informatique, pour un salaire mensuel brut de 8'000 fr. durant le temps d'essai, puis de 9'250 fr. A ce titre, il devait superviser les activités menées par ce département, notamment celles effectuées par B______ Sàrl. La relation entre R______ et B______ Sàrl a immédiatement été tendue. q. Par courriel du 12 avril 2016 (cf. pièce 130 déf. et les documents joints), B______ Sàrl a répondu à la requête de R______ relative au statut actuel de l'infrastructure informatique. Il y a annexé la documentation relative au réseau, notamment un plan de celui-ci, comprenant tous les éléments matériels, ainsi qu'un document comprenant une liste des problèmes du moment, notamment l'obsolescence du matériel (par exemple, il était mentionné que la bibliothèque des bandes de sauvegarde était très ancienne et ne convenait pas à l'infrastructure actuelle et que le serveur de fax devait être mis à jour; concernant le matériel de réseau, il était indiqué que les anciens commutateurs de réseau [switches] devraient être remplacés et qu'il était recommandé de remplacer le pare-feu externe). F______ a affirmé ne jamais avoir reçu de réponse à ce courriel. Devant le Tribunal, F______ a confirmé qu'il avait signalé l'obsolescence du matériel, mais que A______ SA refusait de le remplacer. Il en parlait constamment et H______ le savait. r. Questionné par le Tribunal sur ce qu'il avait constaté au sujet de la gestion et de la maintenance de l'infrastructure IT à son arrivée le 1er avril 2016 au sein de A______ SA, le témoin R______ a déclaré avoir rapidement remarqué que les infrastructures informatiques (hardware et software) étaient en fin de vie. Il s'était par ailleurs aperçu du fait que certains patchs (soit des mises à jour, notamment de la sécurité ou l'ajout de fonctionnalités manquantes; cf. explications du témoin F______) de sécurité n'avaient pas été appliqués et qu'il manquait presque partout

les mises à jour nécessaires sur les serveurs, sur le réseau, les ordinateurs personnels, les routers et les périphériques. Sur ce point, il a ajouté que certains éléments étaient tellement vieux ("end of life") qu'on ne pouvait pas appliquer de mises à jour (voire que celles-ci étaient inexistantes du fait que la société qui les produisait ne faisait elle-même plus de mise à jour). Dans la salle du serveur, le matériel était partiellement obsolète. Au niveau du réseau, le matériel (les switches [soit les boîtiers pour la connectivité du réseau] et les routers) était très mauvais. R______ s'est dit très mécontent du système de mises à jour. F______ a confirmé que R______ était très mécontent des mises à jour de Windows, un patch n'ayant pas été appliqué. C'était la première semaine après son entrée en fonction. F______ a affirmé qu'il avait dès lors immédiatement remédié à la situation. Il n'avait cependant reçu aucun avertissement ou autre remarque au sujet de l'exécution de ses tâches entre le 1er et le 29 avril 2016. R______ lui avait demandé des informations, qu'il lui avait fournies. s. Au vu des éléments constatés par R______, A______ SA a confié à la société V______ SA la mission d'effectuer une analyse rapide de son système informatique. V______ SA est intervenue dans les locaux de A______ SA le 26 avril 2019 et a rendu son rapport le 29 avril 2016. Cette société a indiqué qu'en raison du temps limité qui lui avait été accordé et des informations manquantes au sujet de la situation réelle, la configuration des appareils n'avait pas pu être analysée de manière détaillée. En ce qui concerne le design et la performance, il ressort de ce rapport que le réseau, dans sa configuration, n'avait pas été mis à l'échelle adéquate et que des redondances n'avaient pas été conçues. En dehors du manque de redondances, les performances ne correspondaient pas aux standards actuels. Il était ainsi recommandé de discuter du design et des possibilités d'amélioration. Au sujet de la sécurité, le rapport révélait un manque de mises à jour des logiciels sur presque tous les appareils, ce dont il fallait déduire que le réseau présentait des failles de sécurité (à titre d'exemple, il était mentionné qu'aucune mise à jour du logiciel n'avait été effectuée sur le pare-feu W______ depuis 2010). A propos de l'équipement

(hardware), le rapport constatait une grande disparité dans les appareils utilisés, qui provenaient de différents fabricants, ce qui augmentait la complexité du réseau et pouvait conduire à des problèmes. Il était également relevé que le matériel utilisé était globalement désuet et devait être remplacé. Par ailleurs, certains produits (pare-feu W______, switches) n'étaient plus commercialisés (end-of-sale) voire étaient en fin de vie et devraient également être remplacés prochainement. Entendu par le premier juge en qualité de témoin, X______, employé de la société V______ SA, a indiqué que la société qui l'employait avait été mandatée pour évaluer le système informatique de A______ SA. Avant son audition, il avait relu le rapport qui avait été rédigé sur ce point. V______ SA devait indiquer ce qui était à changer. Il ne se souvenait pas si la situation était grave, dans la mesure où il s'agissait de son travail quotidien et qu'il voyait ce type de cas tous les jours. Questionné par le Tribunal au sujet de ce rapport, F______ a indiqué qu'aucune information ne lui avait été demandée, notamment sur la manière de fonctionner. Il ignorait ce que R______, alors en place depuis trois semaines, avait dit à ces auditeurs. F______ a admis que le pare-feu n'avait pas été mis à jour depuis 2010, pour éviter des changements et des effets secondaires. Il s'agissait d'un pare-feu externe uniquement. Selon lui, le patching sur un pare-feu n'avait aucun sens, il fallait remplacer le logiciel. Parfois, il n'y avait pas de patch proposé pendant deux ans pour des pare-feu externes. F______ a par ailleurs contesté que le système présentait des failles de sécurité, tout en relevant qu'aucun système au monde ne pouvait être fiable à 100%. t. Par courrier recommandé du 29 avril 2016, soit le même jour que le remise du rapport V______ SA, A______ SA a résilié l'Enterprise Agreement avec effet immédiat pour cause de négligence grave. Elle a fondé cette résiliation sur la découverte de nombreuses violations, à la fois contractuelles et des bonnes pratiques admises dans le domaine de l'informatique, qui avaient entraîné des brèches de sécurité majeures. Il s'agissait du non-respect des standards et normes de sécurité, des lacunes et omissions en relation avec les services et la maintenance, une absence caractérisée d'informations sur les lacunes

qui avaient été ou auraient dû être constatées, mais aussi d'autres violations (absence de tests, mauvaises configurations, etc.). Elle a en particulier listé les violations suivantes :

• sécurité : absence de mises à jour du pare-feu W______ durant toute la durée du contrat, aucune documentation sur le pare-feu n'avait été mise à disposition malgré une demande spécifique en ce sens, l'accès à distance était très peu sécurisé, sur 97 systèmes gérés, 77 étaient considérés comme très vulnérables, seuls des correctifs (patchs) et des mises à jour négligeables ayant été effectués sur tous les serveurs concernés;

• maintenance : quasi absence de documentation disponible sur l'infrastructure (réseau et serveur) et omission d'avertir l'entreprise que pour certains systèmes d'exploitation de serveurs, le cycle de vie de l'assistance Microsoft était arrivé à son terme, ce qui avait exposé l'entreprise à un risque inacceptable;

• renouvellement quotidien du mot de passe de l'administrateur local sans que cela soit nécessaire;

• bandes de sauvegarde non cryptées ("unencrypted"), absence de test du site distant auprès de K______ INC. Elle en a déduit que le lien de confiance était rompu et a réservé ses droits quant à d'éventuels dommages et intérêts. t.i Dans le cadre de la présente procédure, A______ SA a allégué qu'au vu des conclusions du rapport établi par V______ SA, elle n'avait pas d'autre choix que de résilier le contrat la liant à B______ Sàrl avec effet immédiat. Interrogé par le Tribunal, E______ a expliqué que la résiliation du contrat de B______ Sàrl se fondait tant sur les constats effectués par R______ durant le mois d'avril 2016 que sur le rapport V______ SA. Il ne faisait pas de doute pour lui que B______ Sàrl avait mis en danger le système informatique de A______ SA et n'avait pas effectué son travail. Pour sa part, Y______, chef du service juridique de A______ SA d'octobre 2015 à août 2017, entendu en qualité de témoin, a déclaré qu'il estimait qu'il n'y avait pas d'autres possibilités que la résiliation du contrat, vu l'ampleur des violations et omissions révélées par l'audit externe, ajoutant que F______ avait toujours refusé de collaborer pour identifier les dysfonctionnements. Selon le témoin, le précité et sa société avaient omis de respecter le standard de la sécurité. t.ii Confronté à la lettre de résiliation susvisée, R______ a indiqué ne pas avoir signé ce document, dont il n'avait pas eu connaissance. Il partait du principe qu'il avait été consulté sur des questions techniques avant la rédaction de ce courrier. Il a ensuite affirmé que sur le plan technique, il était d'accord avec le contenu dudit courrier. Mais il n'était pas là pour valider une quelconque résiliation sur le plan juridique. Il avait certainement survolé le contrat qui liait A______ SA à B______ Sàrl mais il ne se souvenait pas de son contenu. Il ne pouvait dès lors pas s'exprimer sur les éventuelles violations dudit contrat. Il s'agissait dans tous les cas de violations des bonnes pratiques admises dans le domaine informatique. Lorsque la lettre de résiliation lui a à nouveau été soumise par le Tribunal, il a confirmé qu'il y avait le non-respect des normes de sécurité, ce qu'il avait personnellement constaté avant le 29 avril 2016. Le témoin a confirmé que les infrastructures étaient en fin de vie. Il avait par ailleurs constaté qu'il n'y avait pas de documentation. Il a

  ajouté qu'en lisant les motifs de résiliation, il constatait qu'il s'agissait de motifs graves. Lui-même ne pouvait cependant pas répondre à la question de savoir si B______ Sàrl avait gravement violé ses obligations contractuelles. Le témoin ne se souvenait pas si la résiliation faisait suite au rapport V______ SA ou si un autre rapport plus complet avait été réalisé à la demande de A______ SA. Il estimait que quand on résiliait un contrat, on ne s'appuyait pas uniquement sur un rapport comme celui de V______ SA. Le témoin a précisé qu'on ne pouvait pas parler de manquements, mais que lorsque les mises à jour n'étaient pas effectuées, il y avait plus de risques d'incidents. A la question de savoir si la rupture du contrat de B______ Sàrl faisait suite à la découverte de graves manquements, en particulier ceux liés aux mises à jour, R______ a répondu qu'il ne lui appartenait pas de juger ce qui avait justifié la résiliation du contrat. Il ignorait pourquoi ce contrat avait été résilié; il devait y avoir d'autres motifs. R______ a relevé que les défaillances constatées risquaient de paralyser l'activité commerciale de A______ SA, mais que cela ne s'était pas produit durant les six mois au cours desquels il avait travaillé pour elle. Il a expliqué que les sauvegardes auprès de K______ INC n'étaient pas satisfaisantes et qu'il avait été décidé de migrer tout le système auprès d'un autre hébergeur. Le précité a encore déclaré qu'il ne pouvait pas se prononcer sur les compétences techniques de F______ et de M______ pour maintenir le système informatique de A______ SA, car il n'avait été en contact avec eux que durant un court laps de temps. Lorsqu'il a été demandé au témoin de confirmer le fait que le travail de F______ s'était révélé a posteriori catastrophique, celui-ci a répondu qu'il ne pouvait pas se prononcer, car celui-ci avait travaillé, respectivement rendu des services à A______ SA pendant plusieurs années, alors que lui-même n'avait été employé de la société que durant un temps limité. t.iii Pour sa part, H______ a expliqué que le constat d'absence de patchs ne constituait pas une faute puisque parfois c'était justement la pose d'un patch qui pouvait entraîner une faute. H______ a par ailleurs exposé qu'à sa connaissance, B______ Sàrl n'avait pas violé gravement ses obligations contractuelles ni mis en danger l'ensemble de

  l'infrastructure informatique de A______ SA. Selon lui, B______ Sàrl, soit pour elle F______, disposait des compétences requises pour la maintenance de cette infrastructure. t.iv Quant à F______, il estimait que B______ Sàrl avait accompli ses obligations avec diligence, conformément au contrat. Il a reconnu qu'il n'y avait pas eu de mises à jour des logiciels, précisant que c'était dû à des raisons budgétaires et à l'obsolescence du matériel, qui empêchait d'effectuer les mises à jour, au risque d'entraîner des pannes. F______ a par ailleurs indiqué que H______ avait toujours donné pour instruction d'installer les patchs seulement si c'était absolument nécessaire, puisqu'un patch introduisait un changement pouvant entraîner des effets secondaires. Le système était d'ailleurs opérationnel sans patching. F______ a en outre exposé qu'il n'avait aucune autorité ni pouvoir de décision, qu'il n'était qu'un simple technicien qui exécutait les mêmes tâches pour le compte de B______ Sàrl que lorsqu'il était employé de A______ SA. Il réparait les pannes des serveurs et de l'équipement. Il devait également signaler les problèmes rencontrés, ce qu'il faisait soit par oral soit par écrit. Concernant les sauvegardes, F______ a expliqué qu'il avait continué à les effectuer de la même façon que H______. C'était lui qui lui avait donné pour instruction de le faire de manière non cryptée. Il n'avait pas averti qui que ce soit sur le fait qu'il n'était pas conforme aux règles de l'art de procéder ainsi. Selon F______, H______ avait testé le système de sauvegarde auprès de K______ INC. Le témoin estimait avoir maintenu le système informatique de A______ SA dans un état optimal, malgré les contraintes et les restrictions dans lesquelles il l'avait trouvé. Il avait d'ailleurs été mandaté pour maintenir le système en l'état. Il considérait disposer des connaissances techniques et pratiques suffisantes pour effectuer le travail qui lui a été confié et a rappelé qu'aucun incident ne lui avait été signalé tout au long de sa collaboration avec A______ SA. Il a assuré ne pas avoir mis en danger l'infrastructure informatique de A______ SA. Il n'avait jamais été critiqué concernant les mises à jour et les équipements de protection du réseau informatique entre 2006 et 2016. Selon lui, il aurait d'ailleurs été impossible de cacher ce qui lui était reproché durant

  dix ans. A______ SA n'avait formulé aucune remarque négative ou demande de correction avant l'engagement de R______, et ne lui avait adressé aucun avertissement à lui-même, respectivement à B______ Sàrl, entre le 1er et le 29 avril 2016. Il a ajouté que s'il avait été informé des reproches mentionnés dans la lettre de résiliation, il aurait pu les réparer si le matériel avait été changé. t.v Le témoin M______ a également affirmé qu'il n'avait jamais reçu de critique au sujet de son travail ou celui de F______ pendant qu'il travaillait pour A______ SA. Il considérait que B______ Sàrl avait fourni du bon travail et pensait que H______ en était satisfait. u. Le 30 avril 2016, M______ s'est connecté au système afin de vérifier les sauvegardes mais ses identifiants ne fonctionnaient pas. Le 2 mai 2016, F______ et M______ se sont rendus chez A______ SA pour travailler; il leur a été demandé de quitter les locaux. v. Le 12 mai 2016, B______ Sàrl a répondu qu'elle contestait la résiliation du 29 avril 2016 et a mis en demeure A______ SA de lui verser les deux mensualités de 20'500 fr. plus TVA dues pour les mois de mars et avril 2016. Elle a en outre réservé tous ses droits découlant de cette résiliation. Le 10 juin 2016, B______ Sàrl a mis A______ SA en demeure de lui payer les honoraires des mois de mars et avril 2016, ainsi que 143'500 fr. équivalant au solde des mensualités de l'année 2016, 246'000 fr. correspondant au solde des mensualités pour 2017 et 39'900 fr. à titre de remboursement du rabais de 15% octroyé à la condition que le contrat dure trois ans. Le 27 octobre 2016, B______ Sàrl a fait notifier à A______ SA un commandement de payer, poursuite n° 1______, pour un montant total de 526'932 fr., lequel a été frappé d'opposition. w. A la suite de la résiliation du contrat, plusieurs sociétés sont intervenues chez A______ SA, d'une part pour effectuer de nouvelles expertises du système informatique (Z______ SA en mai 2016 et L______ en juillet 2016), d'autre part pour procéder à des modifications et à du remplacement de matériel informatique. Il a en particulier été demandé à V______ SA d'installer de nouveaux switches, à Z______ d'intervenir concernant des problèmes de sauvegardes et à AA______ SA de remplacer les serveurs de courriels et d'analyser les possibilités d'un remplacement des programmes Microsoft Office (cf. témoignages R______ et

  X______) ainsi que d'installer de nouveaux pare-feux en juin 2016 (cf. interrogatoire de E______). w.i Ainsi, durant l'été 2016, les switches ont été changés par V______ SA. R______ a expliqué que les machines virtuelles avaient alors été perdues faute de connexion et que les techniciens avaient passé une nuit à les rétablir. Il leur manquait la racine du mot de passe, qu'ils avaient réussi à restaurer, mais cela avait pris du temps puisque B______ Sàrl n'était plus là et qu'ils ne pouvaient dès lors plus leur demander la racine en question. Ils avaient alors appelé AB______ de Z______ SA, qui leur avait conseillé de faire un reset. Pour sa part, le témoin Y______ a exposé que tout le système informatique de la société avait été bloqué durant l'été en question. Selon lui, un manque de mises à jour était à l'origine de ce blocage. Les versions des logiciels étaient en fin de vie et il n'y avait pas de patch. Le remplacement de "ce" logiciel aurait dû être effectué depuis longtemps. Le hardware aurait également dû être remplacé. Le témoin a ajouté que A______ SA avait dû entièrement réinstaller son parc informatique en raison du problème de mots de passe, ceux laissés par B______ Sàrl étant faux voire manquants. Pour sa part, B______ Sàrl a contesté être responsable de ce blocage, précisant qu'il n'y avait jamais eu pareil blocage lorsqu'elle se chargeait de l'informatique. w.ii Le témoin AB______, administrateur de la société Z______ SA, a exposé qu'il connaissait A______ SA depuis 2002 et avait été mandaté par celle-ci à diverses reprises pour des conseils et dépannages. Il a expliqué que sa société était intervenue sur requête de A______ SA en mai 2016, afin de récupérer des données qui n'avaient pas été sauvegardées. On lui avait alors demandé de vérifier l'état des sauvegardes, des serveurs et de l'informatique en général. Lors de son intervention, il avait remarqué que la plupart des sauvegardes étaient défectueuses ou incorrectes. Ces dernières étaient effectuées sur des cassettes, mais les données ainsi copiées étaient inutilisables car incomplètes. L'absence de sauvegarde engendrait des risques de pertes de données et de production, notamment dans le domaine comptable. Il avait en outre constaté que les serveurs n'avaient pas été mis à jour depuis des années, que le matériel était en fin de vie, que les mises à jour sur les

  pare-feu n'avaient pas été effectuées (étant précisé qu'une partie de celles-ci étaient payantes) et qu'il y avait un risque de vulnérabilité et de perte de données. Le témoin ne savait pas pourquoi les mises à jour n'avaient pas été effectuées : soit la personne qui était chargée de les faire ne s'était pas exécutée, soit les applications n'étaient pas compatibles avec les mises à jour. Par courriel du 12 mai 2016, AB______ a informé R______ des constats qu'il avait effectués. Il a recommandé une simplification du réseau, l'ajout d'une véritable redondance pour les serveurs critiques, la vérification de certains serveurs (mise à niveau ou achat d'un nouveau serveur), la reconstruction d'un véritable plan de sauvegarde en utilisant un seul logiciel. Il a proposé la location d'un serveur pendant six mois en vue de sauvegarder toutes les données et d'un autre serveur pour la redondance. Il a expliqué que cela réduirait les coûts dans l'attente de la reconstruction de la nouvelle infrastructure. A______ SA ayant répondu favorablement à cette offre, tout a été réinstallé et les données ont été migrées sur un autre système informatique auprès de Z______ SA. Selon AB______, A______ SA avait achevé la migration de son système informatique vers les locaux de Z______ SA en décembre 2016. E______ a, pour sa part, expliqué que la société avait le choix soit de remplacer l'équipement existant, soit de migrer la base de données vers un hébergement externe de qualité. Il était plus intéressant financièrement de migrer vers un site externe, à savoir Z______ SA, ce d'autant plus avec la migration en Ukraine qui avait suivi. Sur ce dernier point, le témoin AB______ a indiqué que le projet de migration du système informatique de A______ SA vers l'Ukraine était un projet de longue date, soit d'avant 2016. w.iii Entre-temps, en juillet 2016, A______ SA a mandaté L______ SA pour une nouvelle expertise de son système informatique. Lorsqu'il a été interrogé par les autorités pénales (dans le cadre d'une procédure pénale alors diligentée contre F______ et M______ du fait qu'ils auraient accédé à distance au système informatique de A______ SA le lendemain de la résiliation de contrat présentement litigieuse, étant précisé que cette procédure a été classée), U______, administrateur de L______ SA, a notamment expliqué que sa société

  était intervenue sur demande de Me CAPT, conseil de A______ SA, afin de vérifier si les bonnes pratiques de la sécurité informatique avaient été respectées par B______ Sàrl et de déterminer si des risques étaient encourus du fait de certaines défaillances, étant relevé qu'il a admis avoir échangé des courriels au sujet de ce dossier avec Me CAPT. C'était un collaborateur de la société L______ SA (qui est décédé) qui avait réalisé l'expertise, U______ ayant pour sa part supervisé la mission d'expertise (cf. PV d'audience du Ministère public du 23 janvier 2019). Dans son rapport du 14 juillet 2016, L______ SA a mentionné que l'objectif était de déterminer si les opérations de maintenance menées entre janvier 2015 et le 29 avril 2016 l'avaient été correctement et, le cas échéant, d'établir la liste des erreurs et déficiences. Pour ce faire, L______ SA a procédé à une analyse documentaire technique sur site et à un test d'intrusion sur les systèmes, les réseaux et les infrastructures en place. Elle a pris différentes conclusions en lien avec les éléments nommés dans la lettre de résiliation du 29 avril 2016 et l'Enterprise Agreement. Les éléments suivants résultent notamment de ce rapport :

• Le budget IT avait été limité au cours des dernières années et ne permettait pas un investissement conséquent dans le domaine de l'infrastructure informatique;

• L______ SA a confirmé l'absence de mise à jour des pare-feu, l'insécurité de l'accès à distance, l'absence de patchs et celle de documentation, ainsi que la vétusté du système et le non cryptage des cassettes de sauvegarde;

• La maintenance des serveurs matériels et logiciels n'avait pas été correctement effectuée. La campagne de maintenance effectuée en urgence au mois d'avril 2016 avait laissé les systèmes dans un état instable. Certains serveurs n'étaient pas corrigés depuis 2011, d'autres fonctionnaient avec des versions de Windows non supportées. Les équipements réseaux et sécurité, de même que les logiciels d'infrastructure clé (sauvegarde, archivage emails et fichiers utilisateurs) fonctionnaient avec des versions obsolètes de leur logiciel, mettant ainsi en péril la sécurité et la disponibilité du système informatique. Une des deux salles informatiques n'était pas aux normes (non -respect des normes de sécurité quant à la circulation des personnes, risque d'électrocution en raison de la mise en place d'une climatisation à circuit d'eau proche des équipements informatiques, etc.). L______ SA en a déduit que les serveurs et les équipements d'infrastructure n'avaient pas été maintenus dans les règles de l'art et exposaient A______ SA à des problèmes de disponibilité ou de sécurité;

• Les équipements de stockage du site de production et la réplication avec le site distant de secours n'avaient ni été gérés ni maintenus. Concernant le site distant, il a en particulier été indiqué qu'il n'était pas fonctionnel, car les schémas étaient faux, que les mécanismes avaient évolué sans documentation et que certains mots de passe manquaient de sorte qu'ils n'avaient pas pu se connecter à ce site;

• Le reporting était incomplet;

• Le système d'information de A______ SA était vulnérable à des tentatives de pénétration depuis Internet en raison de nombreuses erreurs de conception, de configuration et de maintenance des systèmes exposés à Internet. Il résulte également du rapport de L______ que le rôle de responsable de la sécurité du système d'information n'était pas formalisé au sein de la société A______ SA. Les équipements de sécurité étaient gérés par B______ Sàrl, mais la gouvernance sécurité, les politiques, les investigations, la gestion des incidents de sécurité n'incombait pas à cette dernière. L'activité de gestion de crise et DRP (plan de secours IT) était confiée à H______ dans le cadre de son rôle de responsable IT avant l'arrivée de R______. Entendu comme témoin, U______ a mentionné que, sur le plan purement technique, la maintenance de l'infrastructure informatique de A______ SA avait été victime d'une négligence grave, d'un manque d'organisation, de suivi et de garantie de résultat. Selon lui, les manquements constatés étaient de nature à paralyser les activités commerciales de A______ SA, par exemple par le biais d'une attaque de type "ransomware", étant précisé que le backup est la seule manière de restaurer un système paralysé. Il a expliqué avoir mené un test et avoir pu s'introduire dans le système comme un pirate en une heure. Selon lui, il y avait un risque de pertes et de fuites de données, bien qu'il reconnaisse qu'aucun incident n'avait été identifié les années précédant son intervention. Il estimait qu'il y avait un manque de compétences du point de vue de la sécurité informatique car il n'y avait pas de patch informatique et une vulnérabilité exploitable depuis Internet. U______ a par ailleurs expliqué que les mises à jour étaient gratuites et qu'aucun problème de budget ne pouvait en empêcher l'installation. Il s'agissait d'un problème de gestion des priorités. On ne pouvait pas expliquer l'absence de mise à jour par l'obsolescence du matériel. Il a cependant ajouté que parfois, le matériel était tellement obsolète qu'on ne pouvait pas effectuer de mise à jour, car elles n'existaient pas. Il s'agissait d'un problème d'obsolescence du matériel. Ils avaient constaté la coexistence de deux systèmes : l'un était obsolète et l'autre qui était là pour le remplacer. Les mises à jour n'étaient pas effectuées sur le système obsolète.

  Avant que ce système ne devienne obsolète, les mises à jour étaient disponibles, mais elles n'avaient pas été effectuées. Les mises à jour étaient en parties appliquées sur le nouveau système. Le nouveau système était installé partiellement et l'ancien était toujours opérationnel. Pour eux, c'était un problème d'organisation. Il avait dû y avoir un problème technique qui avait dû les empêcher de faire la bascule. Il y avait des infrastructures, mais elles n'étaient pas opérationnelles car le travail n'était pas accompli jusqu'au bout (firewall, backup des mails, backup de sites secondaires, etc.).

Le témoin U______ avait en outre constaté que les sauvegardes du système n'étaient pas effectuées, qu'il n'y avait aucune preuve de la possibilité de restaurer le système depuis le site de sauvegarde et qu'il n'y avait aucune documentation. Selon le témoin, le système n'était pas dupliqué auprès du centre K______ INC, en tout cas pas en totalité. Il était possible qu'une partie ait été transférée auprès de K______ INC. En principe, l'intégralité du système aurait dû l'être, afin de permettre une continuité des activités en cas de défaillance du site principal. Le témoin a ajouté que le serveur auprès de K______ INC n'était, à sa connaissance, pas opérationnel. Pour le surplus, le témoin a confirmé le contenu du rapport et l'évaluation de w.iv B______ Sàrl n'a été entendue par aucune des sociétés mandatées par A______ SA pour réaliser des expertises de son système informatique. x. Le 30 septembre 2016, R______ a mis un terme à son contrat avec A______ SA. Il a expliqué qu'entre les mois d'avril et septembre 2016, il avait consacré 75-100% de son temps à la remise en conformité du système informatique de la société. y. AC______, employé de A______ SA entre septembre 2016 et juin 2017, a succédé à R______ en tant que responsable du département informatique. Entendu en qualité de témoin, il a indiqué qu'il avait passé la plus grosse partie de son temps à remettre en état le système informatique, qui se trouvait dans un état désastreux à son arrivée. Le problème essentiel était le manque de mises à jour de sécurité, de migrations de versions qui n'étaient pas supportées et l'absence de sauvegarde. Il a relevé que le système était fragile en cas de problème. Lors de son départ, tout était en très bon état de fonctionnement. z. A______ SA a allégué que son système informatique avait fait l'objet d'une contamination par un virus de type "cryptolocker" en décembre 2016.

D.

a. Par acte déposé en vue de conciliation le 8 novembre 2016 et introduit le 16 mai 2017, A______ SA a saisi le Tribunal de première instance d'une action dirigée contre B______ Sàrl, concluant notamment, s'agissant des conclusions demeurées litigieuses en seconde instance, à ce que celle-ci soit condamnée à lui verser le montant de 258'462 fr. 45 avec intérêts à 5% dès le 29 avril 2016, que la poursuite n° 1______ soit annulée et qu'il soit ordonné à B______ Sàrl de procéder à la radiation immédiate de cette poursuite. Elle a détaillé les postes de son dommage comme suit :

• 32'431 fr. 95 de frais d'audits et d'analyses des dysfonctionnements confiés

• 119'434 fr. 75 pour la remise en conformité du système informatique par la société Z______ SA;

• 91'578 fr. 35 pour le temps consacré par ses employés à la résolution des problèmes causés par les manquements de B______ Sàrl (soit 24'598 fr. 35 pour l'activité déployée par AC______ durant le tiers de son temps de travail durant les mois de décembre 2016 à mai 2017, 65'760 fr. pour 80% du temps passé par R______ d'avril à septembre 2016, et 1'220 fr. pour 20 heures de travail de AD______ du département juridique);

• 15'017 fr. pour les frais d'avocat avant procès. A l'appui de ses conclusions, elle a fait valoir que B______ Sàrl avait gravement manqué à ses obligations contractuelles et fait preuve d'un manque de diligence patent dans l'accomplissement de ses tâches. Elle lui a reproché de ne pas disposer des compétences techniques requises pour assurer la maintenance de son système informatique et d'avoir de ce fait mis en danger de manière fautive l'ensemble de son infrastructure informatique. Elle estimait que l'état de faiblesse et de vulnérabilité de ladite infrastructure avaient rendu la continuation du contrat intolérable et que l'ensemble des violations susmentionnées constituaient de justes motifs de résiliation. Selon elle, le contrat de maintenance qui l'avait liée à B______ Sàrl impliquait pour cette dernière une obligation continue de résultat, à savoir assurer en tout temps la maintenance et la sécurité de son système informatique. Elle en déduisait une application par analogie des dispositions relatives au contrat d'entreprise. b. B______ Sàrl a conclu au rejet de la demande de A______ SA. Sur demande reconventionnelle, elle a notamment requis la condamnation de sa partie adverse à lui verser le montant de 487'080 fr. avec intérêts à 5% dès le 20 juin 2016 à titre de mensualités de mars 2016 à décembre 2017, ainsi que le prononcé de la mainlevée définitive de l'opposition formée par A______ SA au commandement de payer, poursuite n° 1______ à concurrence du montant de 526'932 fr. B______ Sàrl a souligné qu'elle agissait sous la direction et la supervision du responsable du département informatique de A______ SA, lequel était chargé de prendre toutes les décisions quant au logiciel de sécurité du réseau informatique à installer et aux opérations de maintenance à entreprendre, mais aussi de valider les rapports établis et la documentation relative à l'infrastructure informatique. B______ Sàrl estimait ne pas pouvoir être tenue responsable des défauts constatés sur le réseau informatique par les experts mandatés par A______ SA. En effet, son cahier des charges portait sur la maintenance et non sur le choix des logiciels de protection du réseau informatique, ni sur le matériel ou l'équipement devant être installé. Elle a rappelé qu'elle n'avait jamais reçu aucune plainte de la part de

  A______ SA au cours de rapports contractuels, de sorte qu'elle mettait en doute l'existence même de défauts du système informatique. Elle a ensuite fait valoir que A______ SA ne l'avait pas avisée des défauts ni ne lui avait imparti un délai de 30 jours pour y remédier, comme prévu dans le contrat. Selon elle, aucun des reproches émis à son égard ne justifiait une résiliation immédiate, de sorte que la rupture du contrat était injustifiée. Elle estimait donc avoir droit à une indemnisation correspondant à l'exécution conforme du contrat par A______ SA, soit au paiement de 487'080 fr. pour les mensualités dues de mars 2016 à décembre 2017. c. A______ SA a conclu au rejet de la demande reconventionnelle formée par sa partie adverse. Elle a maintenu que la rupture anticipée du contrat était justifiée. Elle a expliqué que le travail de F______ s'était rétrospectivement avéré catastrophique et que cela n'avait pas pu être découvert avant le 30 mars 2016 puisqu'aucun employé ne disposait des connaissances techniques nécessaires pour juger de la qualité réelle des prestations fournies par celui-ci. Elle a fait valoir qu'elle avait toujours bénéficié d'une excellente santé financière entre 2013 et 2016, de sorte que B______ Sàrl ne pouvait pas justifier ses manquements par de prétendues limitations budgétaires. d. B______ Sàrl a dupliqué sur demande principale et répliqué sur demande reconventionnelle. Elle a pris acte du fait que A______ SA affirmait qu'elle n'avait pas les compétences sur le plan technique pour vérifier ses prestations. Cela étant, elle a rappelé avoir travaillé sous les ordres et la supervision de H______, qui disposait selon elle des compétences techniques requises. B______ Sàrl a en outre rappelé que plusieurs audits du réseau informatiques avait été ordonnés durant son activité pour A______ SA, de sorte que si son travail, respectivement celui de F______, avait été si catastrophique, cela se serait remarqué bien avant. e. Le Tribunal a interrogé les parties et entendu plusieurs témoins, dont les déclarations ont été retranscrites dans l'état de fait ci-dessus dans la mesure utile. Pour le surplus, le témoin F______ a déclaré qu'après la résiliation présentement litigieuse du contrat, il avait vendu la société B______ Sàrl afin de pouvoir bénéficier du chômage. Cette société demeurait active uniquement dans le but

  d'obtenir réparation dans le cadre de la présente procédure, qui ne concernait toutefois pas le nouveau gérant. Le témoin a précisé qu'il s'agissait de sa propre cause, dont il assumait lui-même les coûts. f. A la suite des auditions de témoins, A______ SA a renoncé à la demande d'expertise qu'elle avait formulée au cours de la procédure. g. Dans ses plaidoiries finales, A______ SA a encore fait valoir, pour la première fois, que l'absence de remise des rapports mensuels par B______ Sàrl constituerait également une violation grave et flagrante de ses obligations contractuelles. Pour sa part, B______ Sàrl a fait valoir que les prétendus manquements reprochés se référaient en réalité à un mode de fonctionnement du service informatique mis en place sous la direction de H______ durant près de dix ans, conformément à la volonté et aux moyens mis à disposition par A______ SA. B______ Sàrl était d'avis que la résiliation anticipée du contrat s'inscrivait dans le cadre d'une volonté de limitation des coûts et de migration de l'ensemble du système en Ukraine.