Conditions générales d'utilisation

1. Objet

Vigicap est une plateforme en marque blanche destinée aux prestataires de services managés (MSP) pour piloter la conformité cyber de leurs clients PME : diagnostic ANSSI ReCyF, plan d'actions, devis, rapports et connecteurs de vérification automatisée.

2. Accès au service

L'accès nécessite la création d'un compte MSP. L'éditeur peut proposer des offres gratuites, d'essai ou payantes, dont les conditions tarifaires figurent aux conditions générales de vente. L'éditeur s'efforce d'assurer une disponibilité continue mais ne garantit pas une absence totale d'interruption (maintenance, incidents, contraintes des tiers).

3. Compte et sécurité

L'utilisateur est responsable de la confidentialité de ses identifiants et de toute activité réalisée depuis son compte. Il s'engage à notifier sans délai tout usage non autorisé. Le multi-facteur et une politique de mot de passe robuste sont recommandés.

4. Utilisation conforme

L'utilisateur s'engage à ne pas :

• détourner le service de sa finalité ou porter atteinte à son intégrité, sa sécurité ou sa disponibilité ;
• renseigner des connecteurs ou des accès dont il n'a pas l'autorisation légitime ;
• téléverser des contenus illicites ou portant atteinte aux droits de tiers.

5. Connecteurs tiers

Les connecteurs lisent l'état d'outils tiers à partir des accès fournis par l'utilisateur, sous sa responsabilité et pour ses propres clients. Les identifiants sont chiffrés au repos. Les résultats produits sont des propositions à valider par le consultant et n'engagent pas l'éditeur.

6. Mandat du client final et garantie

Les connecteurs et les accès délégués configurés dans la plateforme donnent à l'éditeur la capacité de lire, chez le client PME, des informations d'annuaire, de parc et de sécurité. Cet accès est ouvert par l'utilisateur ; il n'est jamais consenti par la PME directement à l'éditeur. Le présent article en tire les conséquences.

L'utilisateur déclare et garantit, pour chaque connecteur qu'il configure et pendant toute la durée de la connexion :

• qu'il dispose d'un mandat ou d'une autorisation contractuelle écrite de son client lui permettant d'accéder aux outils concernés et d'en confier la lecture à un prestataire tiers pour les besoins de la gouvernance cyber ;
• que cet accès s'exerce dans le respect des conditions de l'éditeur de l'outil connecté, y compris, le cas échéant, des conditions d'administration déléguée applicables aux partenaires ;
• qu'il a informé son client, au titre des articles 13 et 14 du RGPD, du recours à la plateforme, et qu'il a obtenu, lorsque son propre contrat le lui impose, l'autorisation de recourir à l'éditeur en qualité de sous-traitant ultérieur ;
• qu'il configure les accès selon le principe du moindre privilège, en lecture seule lorsque l'outil connecté le permet ;
• qu'il déconnecte sans délai tout connecteur dont le mandat correspondant a pris fin, a été révoqué ou n'a jamais existé.

Ces déclarations sont déterminantes du consentement de l'éditeur : n'ayant aucun lien contractuel avec le client PME, il n'est pas en mesure de vérifier l'existence du mandat et exécute les lectures sur la seule foi de la configuration réalisée par l'utilisateur, laquelle vaut instruction documentée au sens de l'accord de sous-traitance.

Garantie. L'utilisateur garantit l'éditeur contre toute réclamation, action ou procédure émanant d'un client PME, d'une personne concernée, d'un éditeur d'outil connecté ou de tout tiers, ayant pour cause l'absence, l'insuffisance, l'expiration ou la révocation du mandat visé au présent article. Cette garantie couvre les frais de défense raisonnables et les condamnations civiles prononcées à ce titre. Elle ne porte pas sur les sanctions administratives, dont la charge ne peut être contractuellement transférée.

L'éditeur peut suspendre un connecteur, après information de l'utilisateur lorsque cela est possible, s'il a des raisons sérieuses de penser que le mandat correspondant fait défaut.

Le présent article règle les rapports entre les parties. Il ne modifie ni la qualification retenue au titre du RGPD — l'utilisateur reste responsable de traitement et l'éditeur sous-traitant — ni les responsabilités que le règlement fait peser sur chacun à l'égard des personnes concernées.

7. Propriété intellectuelle

L'éditeur concède un droit d'usage personnel, non exclusif et non cessible du service. Les données saisies par l'utilisateur demeurent sa propriété. La marque et les marques blanches des MSP restent la propriété de leurs titulaires respectifs.

8. Données personnelles

Le traitement des données personnelles est décrit dans la politique de confidentialité, qui fait partie intégrante des présentes conditions.

Lorsque l'utilisateur est un prestataire informatique (MSP) qui saisit dans la plateforme les données de ses propres clients, il agit en qualité de responsable de traitement et Vigicap en qualité de sous-traitant. Les clauses de sous-traitance au sens de l'article 28 du RGPD s'appliquent alors et font également partie intégrante des présentes conditions.

9. Responsabilité

Vigicap est un outil d'aide à la décision : il ne se substitue pas à la responsabilité du dirigeant, ni à un audit ou un conseil réalisé par un professionnel qualifié. L'éditeur ne saurait être tenu responsable des décisions prises sur la base des analyses produites, ni des dommages indirects.

10. Limitation de responsabilité

Le service est fourni à des professionnels, à un prix qui tient compte du plafond stipulé ci-dessous. Ce plafond constitue une répartition du risque convenue entre professionnels et une condition déterminante du niveau tarifaire consenti : il a pour contrepartie l'engagement de l'éditeur de maintenir un export complet et autonome des données, disponible à tout moment et sans son intervention.

Plafond. La responsabilité de l'éditeur, toutes causes et tous préjudices confondus pour une même année contractuelle, est limitée au montant total des sommes effectivement payées par l'utilisateur au titre de son abonnement au cours des douze (12) mois précédant le fait générateur du dommage. Lorsque la relation contractuelle a duré moins de douze mois à cette date, le plafond ne peut être inférieur à trois (3) mensualités du plan souscrit.

Préjudices exclus. L'éditeur ne répond pas des dommages indirects, ni des chefs de préjudice suivants :

• perte de chiffre d'affaires, de bénéfice, de clientèle, d'économie escomptée ou d'opportunité commerciale ;
• atteinte à l'image, à la réputation ou à la relation de l'utilisateur avec ses propres clients ;
• perte, altération ou corruption de données, l'utilisateur disposant à tout moment d'un export complet et lui appartenant d'en conserver une copie ;
• coût d'une prestation de remplacement ou de reconstitution, au-delà du plafond qui précède.

Ce que le plafond ne couvre pas. Les stipulations qui précèdent ne s'appliquent pas et ne peuvent être invoquées par l'éditeur en cas de :

• dol ou faute lourde de l'éditeur (art. 1231-3 du code civil) ;
• dommage corporel ou atteinte à la vie ou à l'intégrité physique d'une personne ;
• manquement à une obligation dont la violation priverait le contrat de sa substance, le présent article ne pouvant recevoir application dans la mesure où il aurait cet effet (art. 1170 du code civil) ;
• obligations dont la loi interdit l'aménagement contractuel, notamment la responsabilité de l'éditeur envers les personnes concernées au titre de l'article 82 du RGPD, que le présent article n'affecte pas.

Le plafond ne s'applique pas davantage aux sommes dues par l'utilisateur au titre de son abonnement.

11. Résiliation

L'utilisateur peut cesser d'utiliser le service à tout moment. L'éditeur peut suspendre ou résilier un compte en cas de manquement aux présentes conditions, après notification lorsque cela est possible.

12. Modifications

Les présentes conditions peuvent être mises à jour. Les utilisateurs sont informés des évolutions substantielles ; la poursuite de l'utilisation vaut acceptation.

13. Droit applicable et attribution de juridiction

Les présentes conditions sont régies par le droit français, à l'exclusion de ses règles de conflit de lois. Les parties s'efforcent de résoudre amiablement tout différend, par un échange écrit préalable adressé à contact@vigicap.fr, avant toute action contentieuse.

À défaut d'accord amiable, tout litige relatif à la formation, à l'interprétation, à l'exécution ou à la rupture des présentes est soumis à la compétence exclusive des tribunaux compétents de Paris (France), y compris en cas de procédure de référé, de pluralité de défendeurs ou d'appel en garantie.

Cette attribution de compétence est convenue entre personnes contractant toutes deux en qualité de commerçant, au sens de l'article 48 du code de procédure civile, le service n'étant ouvert qu'à des professionnels immatriculés agissant pour les besoins de leur activité. Si l'utilisateur ne contracte pas en cette qualité, la présente clause lui est inopposable et la compétence est déterminée par les règles de droit commun, sans que cela affecte la validité des autres stipulations.