Conditions générales de vente

1. Objet et champ d'application

Les présentes conditions générales de vente régissent l'ensemble des prestations de conseil, d'audit et d'accompagnement en sécurité des systèmes d'information fournies par Diktyon Informatique, entreprise individuelle immatriculée sous le SIREN 944 294 073, dont le siège est situé 5 allée des Platanes, 65380 Lamarque-Pontacq (ci-après « le Prestataire »).

Ces prestations s'adressent exclusivement à des clients professionnels agissant dans le cadre de leur activité — sociétés, entreprises individuelles, associations et personnes publiques (ci-après « le Client »). Le Prestataire ne contracte pas avec des consommateurs au sens du Code de la consommation. Les dispositions propres au droit de la consommation, notamment le droit de rétractation et le recours à un médiateur de la consommation, ne trouvent donc pas à s'appliquer.

Conformément à l'article L441-1 du Code de commerce, les présentes conditions constituent le socle unique de la négociation commerciale. Elles prévalent sur les conditions générales d'achat du Client, sauf acceptation écrite et expresse du Prestataire. Le fait pour le Prestataire de ne pas se prévaloir à un moment donné de l'une de ces clauses ne vaut pas renonciation à s'en prévaloir ultérieurement.

Toute commande emporte acceptation sans réserve des présentes. Le Prestataire peut les modifier à tout moment ; la version applicable à une prestation est celle en vigueur à la date d'acceptation du devis, dont un exemplaire est joint ou annexé à celui-ci.

2. Description des prestations

Le Prestataire propose quatre familles de prestations, dont le contenu précis est arrêté au devis :

Diagnostic Cyber Express

État des lieux du système d'information conduit sur site : cartographie du parc, des flux et des accès, évaluation de la maturité au regard des mesures du guide d'hygiène informatique de l'ANSSI, identification des écarts les plus critiques, plan d'action priorisé et chiffré, restitution au dirigeant.

Socle Sécurité PME

Mise en œuvre de chantiers de sécurisation, découpés en lots indépendants pouvant être engagés séparément ou successivement : identités et accès, sauvegardes et reprise d'activité, réseau et segmentation, postes et serveurs, sensibilisation des équipes.

Diagnostic IA Sécurisée

Cartographie des outils d'intelligence artificielle réellement utilisés dans l'entreprise, analyse des données susceptibles de sortir du périmètre, examen des risques réglementaires, rédaction d'une charte d'usage et établissement d'une feuille de route d'adoption.

Maintien et supervision

Prestations récurrentes de veille, de supervision d'infrastructure, de rapport périodique et de revue du plan d'action, selon la formule souscrite.

Les descriptions figurant sur le site du Prestataire ont une valeur indicative. Seul le devis accepté définit le périmètre contractuel, les livrables, les délais et le prix.

3. Devis, commande et formation du contrat

Toute prestation fait l'objet d'un devis écrit, établi après un échange préalable permettant d'en cerner le périmètre. Le devis précise la nature des travaux, les livrables attendus, la durée d'intervention estimée, le prix et l'échéancier de règlement.

Le devis est valable trente (30) jours à compter de sa date d'émission, sauf mention contraire y figurant. Passé ce délai, il devient caduc et doit être réédité.

Le contrat est formé à la date de réception par le Prestataire du devis daté, signé et revêtu de la mention d'acceptation, accompagné le cas échéant du règlement de l'acompte prévu à l'article 5. Une acceptation par courrier électronique émanant d'une personne habilitée à engager le Client vaut signature.

Les dates d'intervention sont arrêtées d'un commun accord après formation du contrat, en tenant compte des contraintes de production du Client. Les délais annoncés sont donnés à titre indicatif ; un retard raisonnable ne peut donner lieu à annulation de la commande, à retenue, ni à indemnité.

En cas d'annulation par le Client d'une intervention planifiée moins de sept (7) jours ouvrés avant la date convenue, l'acompte versé reste acquis au Prestataire à titre d'indemnité forfaitaire d'immobilisation, sauf cas de force majeure.

4. Prix

Les prix sont exprimés en euros et hors taxes.

TVA non applicable, article 293 B du Code général des impôts. Aucune taxe sur la valeur ajoutée n'est facturée ni récupérable. Si le Prestataire venait à dépasser les seuils de la franchise en base, la TVA serait appliquée aux prestations postérieures à la date d'assujettissement, ce dont le Client serait informé.

Les prix s'entendent pour les prestations réalisées dans la zone d'intervention habituelle du Prestataire. Au-delà, les frais de déplacement et, le cas échéant, d'hébergement sont facturés en sus, sur la base indiquée au devis.

Les tarifs des formules récurrentes peuvent être révisés annuellement à la date anniversaire du contrat, moyennant un préavis écrit de deux (2) mois. Le Client qui n'accepte pas la révision peut résilier dans les conditions de l'article 14, sans pénalité, la révision ne prenant alors pas effet.

5. Modalités de paiement

Sauf stipulation différente au devis :

• un acompte de 30 % du montant total est exigible à la commande ;
• le solde est exigible à la remise des livrables ou, pour les prestations échelonnées, selon l'échéancier figurant au devis ;
• les formules récurrentes sont facturées mensuellement à terme échu.

Les factures sont payables par virement bancaire à trente (30) jours date de facture. Ce délai est conforme au plafond fixé par l'article L441-10 du Code de commerce.

Conformément aux articles L441-10 et D441-5 du Code de commerce, tout retard de paiement entraîne de plein droit, sans qu'un rappel soit nécessaire :

• l'application de pénalités de retard calculées au taux d'intérêt appliqué par la Banque centrale européenne à son opération de refinancement la plus récente, majoré de dix (10) points de pourcentage ;
• le versement d'une indemnité forfaitaire pour frais de recouvrement de 40 euros, une indemnisation complémentaire pouvant être réclamée sur justificatifs si les frais exposés excèdent ce montant.

En cas de retard excédant trente (30) jours, le Prestataire peut suspendre de plein droit l'exécution des prestations en cours, après mise en demeure restée sans effet pendant huit (8) jours, sans que cette suspension puisse lui être reprochée ni ouvrir droit à indemnité au profit du Client.

Aucun escompte n'est accordé pour paiement anticipé.

6. Obligation de moyens

Le Prestataire est tenu d'une obligation de moyens, et non d'une obligation de résultat. Il s'engage à mettre en œuvre les diligences, la compétence et les méthodes conformes à l'état de l'art et aux référentiels professionnels applicables, notamment les recommandations de l'ANSSI.

Cette qualification n'est pas une clause de style, et elle mérite d'être comprise pour ce qu'elle est :

Aucune prestation de sécurité, quelle qu'en soit la qualité, ne peut garantir l'absence d'incident. Un audit établit un constat à une date donnée, sur un périmètre donné, à partir des informations rendues accessibles. Un plan d'action réduit une exposition ; il ne la supprime pas. Les menaces, les vulnérabilités et les usages évoluent après l'intervention, et le comportement des personnes reste un facteur que nul dispositif technique ne maîtrise entièrement.

En conséquence, le Prestataire ne garantit pas : l'absence de compromission, d'intrusion, de fuite de données, d'indisponibilité, d'infection ou de perte de données, postérieure ou concomitante à son intervention ; l'exhaustivité de l'identification des vulnérabilités existantes ; ni l'obtention d'une certification, d'un agrément ou d'une validation par un tiers, laquelle relève de l'organisme qui la délivre.

Tout engagement contraire, s'il devait être pris, ne vaudrait que par écrit signé du Prestataire et désignant expressément la garantie accordée.

7. Limitation de responsabilité

La responsabilité du Prestataire ne peut être engagée qu'en cas de faute prouvée dans l'exécution de ses obligations, et dans les limites suivantes.

Plafond. Toutes causes confondues, la responsabilité du Prestataire est limitée au montant hors taxes effectivement payé par le Client au titre de la prestation à l'origine du dommage. Pour les formules récurrentes, ce plafond est égal au montant hors taxes facturé au cours des douze (12) mois précédant le fait générateur.

Dommages exclus. Le Prestataire n'est en aucun cas tenu de réparer les dommages indirects, et notamment : perte d'exploitation, perte de chiffre d'affaires, de marge, de commande ou de clientèle ; perte, altération ou divulgation de données ; atteinte à l'image ou à la réputation ; préjudice commercial ; réclamation d'un tiers.

Sauvegardes. Le Prestataire ne peut être tenu responsable d'une perte de données dont le Client n'aurait pas assuré la sauvegarde préalable conformément à l'article 8.

Exclusions de principe. N'engagent pas la responsabilité du Prestataire : les conséquences d'informations inexactes, incomplètes ou tardives fournies par le Client ; les interventions réalisées sur le système par le Client ou par un tiers en dehors du périmètre confié ; le refus ou le report par le Client de mettre en œuvre une recommandation formulée par écrit ; les défaillances des matériels, logiciels ou services de tiers.

Les présentes limitations ne s'appliquent ni en cas de dol, ni en cas de faute lourde, ni en cas de dommage corporel, conformément au droit commun.

Toute réclamation doit être formulée par écrit dans un délai de douze (12) mois à compter de la découverte du fait générateur, à peine de forclusion.

8. Obligations du client

La qualité de la prestation dépend directement de la coopération du Client, qui s'engage à :

1. Donner accès aux locaux, aux équipements, aux salles techniques et aux systèmes nécessaires, dans les créneaux convenus, et fournir les habilitations et droits d'accès requis pour la durée de l'intervention.
2. Fournir des informations exactes et complètes sur son système d'information, son organisation, ses contrats en cours et les incidents antérieurs, y compris lorsque ces informations sont défavorables à sa propre situation.
3. Désigner un interlocuteur unique, disponible pendant la durée de la prestation, disposant de l'autorité nécessaire pour arbitrer et pour engager le Client sur les décisions courantes.
4. Réaliser une sauvegarde complète et vérifiée de ses données et de ses configurations préalablement à toute intervention susceptible de modifier un système en production. Cette obligation incombe au Client ; le Prestataire peut l'assister mais n'en assume pas la charge, sauf mention expresse au devis.
5. Informer les personnes concernées au sein de son organisation de la tenue de l'intervention, et procéder aux informations et consultations qui lui incombent au titre du droit du travail lorsque la prestation touche à des outils utilisés par les salariés.
6. Garantir qu'il détient les droits lui permettant d'autoriser l'intervention sur les systèmes concernés, notamment lorsque ceux-ci sont hébergés, infogérés ou détenus par un tiers, et obtenir les autorisations écrites correspondantes.

Le manquement à l'une de ces obligations peut entraîner la suspension de la prestation, sa facturation au temps passé, ou la révision du calendrier, sans indemnité au profit du Client.

9. Périmètre et avenants

Le périmètre de chaque prestation est défini au devis. Il constitue la limite de l'engagement du Prestataire.

Toute demande formulée en cours d'exécution et excédant ce périmètre fait l'objet d'un avenant chiffré, soumis à l'acceptation écrite du Client avant réalisation. Aucune prestation hors périmètre n'est engagée sur simple demande verbale, et aucune ne peut être facturée sans accord préalable : la règle protège les deux parties.

Lorsque la découverte d'un élément non connu au moment du devis — architecture différente de celle décrite, volumétrie supérieure, équipement non recensé — rend le périmètre initial inadapté, le Prestataire en informe le Client sans délai et propose un avenant. À défaut d'accord, la prestation est exécutée dans son périmètre initial et les constats correspondants sont mentionnés comme non couverts dans le livrable.

10. Confidentialité

Chacune des parties s'engage à tenir confidentielles les informations de toute nature dont elle a connaissance à l'occasion de la prestation, et à ne les divulguer à aucun tiers sans l'accord écrit de l'autre.

Cet engagement revêt une intensité particulière pour le Prestataire, dont les travaux portent par nature sur les faiblesses du système d'information du Client. Sont notamment couverts : les rapports d'audit, les cartographies, les plans d'action, les configurations, les identifiants, ainsi que toute vulnérabilité identifiée.

L'obligation de confidentialité survit cinq (5) ans à la fin de la relation contractuelle. Elle ne s'applique pas aux informations tombées dans le domaine public sans manquement, à celles déjà connues de la partie réceptrice avant leur communication, ni à celles dont la divulgation est imposée par la loi ou par une autorité compétente — la partie concernée en informant alors l'autre sans délai, sauf interdiction légale.

Références commerciales. Le Prestataire ne cite le nom du Client à titre de référence qu'avec son accord écrit préalable. À défaut d'accord, seule une description non identifiante peut être utilisée — secteur d'activité, taille approximative, nature de la mission — à l'exclusion de tout élément permettant l'identification. En aucun cas le contenu d'un rapport d'audit ne peut être utilisé à des fins de communication.

11. Propriété intellectuelle

Livrables. Les rapports, cartographies, plans d'action, chartes et documents remis au Client deviennent sa propriété après paiement intégral du prix. Il peut les utiliser, les reproduire et les diffuser librement au sein de son organisation, ainsi qu'auprès de ses donneurs d'ordres, de ses assureurs et de ses auditeurs.

Avant paiement intégral, le Prestataire conserve la propriété des livrables ; leur remise anticipée ne vaut pas transfert.

Méthodes et outils. Le Prestataire conserve l'entière propriété des méthodes, grilles d'analyse, modèles de documents, scripts, savoir-faire et outils qu'il emploie, y compris lorsqu'ils ont été affinés à l'occasion de la prestation. Le Client n'acquiert aucun droit sur ces éléments et ne peut les extraire d'un livrable pour un usage indépendant, ni les communiquer à un tiers concurrent du Prestataire.

Le Prestataire conserve le droit de réutiliser les connaissances, compétences et enseignements généraux acquis lors de la prestation, sous réserve du strict respect de l'article 10.

12. Matériel et licences

Le Prestataire ne revend ni matériel ni licence logicielle, et ne perçoit aucune commission sur les équipements ou abonnements qu'il recommande.

Les matériels, logiciels, licences et abonnements nécessaires à la mise en œuvre des recommandations sont acquis directement par le Client, en son nom et pour son compte, auprès du fournisseur de son choix. Ils ne transitent pas par le Prestataire et ne font l'objet d'aucune refacturation.

Cette règle est délibérée : elle garantit que les préconisations techniques ne sont pas influencées par une marge, et que le Client conserve la maîtrise directe de ses contrats, de ses garanties et de ses renouvellements. Le Prestataire conseille, compare et assiste à l'achat ; il ne vend pas.

Il en résulte que les garanties, le support et les conditions d'utilisation des produits relèvent exclusivement de la relation entre le Client et le fournisseur concerné. Le Prestataire n'assume aucune obligation de garantie sur ces produits.

13. Sous-traitance de données personnelles

Dans le cadre habituel de ses prestations, le Prestataire n'a pas vocation à traiter des données personnelles pour le compte du Client : ses travaux portent sur l'architecture, les configurations et les processus, non sur le contenu des fichiers.

Lorsque, à titre exceptionnel, une prestation implique un accès à des données personnelles traitées par le Client, ou l'hébergement de telles données, le Prestataire agit en qualité de sous-traitant au sens de l'article 28 du RGPD. Un contrat de sous-traitance distinct est alors conclu préalablement à tout accès, précisant l'objet et la durée du traitement, la nature et la finalité, les catégories de données et de personnes concernées, ainsi que les obligations et droits du responsable de traitement.

Ce contrat prévoit notamment : le traitement des seules données nécessaires et sur instruction documentée du Client ; la confidentialité des personnes autorisées ; les mesures de sécurité appliquées ; les conditions de recours à un sous-traitant ultérieur ; l'assistance du Client dans ses obligations de sécurité, de notification de violation et d'analyse d'impact ; le sort des données au terme de la prestation ; et la mise à disposition des éléments permettant d'en démontrer le respect.

À défaut de conclusion d'un tel contrat, aucun accès à des données personnelles ne sera consenti ni sollicité.

Le traitement des données personnelles du Client lui-même — celles de ses interlocuteurs, collectées pour la gestion de la relation commerciale — relève de la politique de confidentialité, le Prestataire agissant alors comme responsable de traitement.

14. Durée et résiliation des formules récurrentes

Les formules de maintien et de supervision sont souscrites pour une durée initiale de douze (12) mois, à compter de la date de mise en service. À son terme, le contrat se renouvelle par tacite reconduction pour des périodes successives de douze (12) mois.

Chaque partie peut y mettre fin à l'échéance en notifiant sa décision à l'autre par écrit, en respectant un préavis de trois (3) mois avant le terme de la période en cours. La notification est adressée par lettre recommandée avec accusé de réception ou par courrier électronique avec accusé de réception exprès.

En cas de manquement grave de l'une des parties à ses obligations, l'autre peut résilier de plein droit après mise en demeure restée sans effet pendant trente (30) jours, sans préjudice des dommages et intérêts éventuels. Le défaut de paiement à l'issue du délai prévu à l'article 5 constitue un manquement grave.

Réversibilité. À la fin du contrat, quelle qu'en soit la cause, le Prestataire remet au Client, dans un délai de trente (30) jours, la documentation d'exploitation à jour, les accès et les identifiants dont il dispose, ainsi que les éléments de configuration nécessaires à la reprise par le Client ou par un tiers. Cette remise n'est pas subordonnée au règlement des sommes contestées, mais l'est au règlement des sommes non contestées et exigibles.

Les prestations ponctuelles — diagnostics, lots de sécurisation — ne sont pas soumises au présent article : elles prennent fin à la remise des livrables.

15. Force majeure

Aucune des parties ne peut être tenue responsable d'un manquement à ses obligations résultant d'un cas de force majeure au sens de l'article 1218 du Code civil.

Sont notamment considérés comme tels, dès lors qu'ils réunissent les caractères de l'imprévisibilité, de l'irrésistibilité et de l'extériorité : les catastrophes naturelles, les incendies, les épidémies, les conflits armés, les mesures administratives de restriction, les grèves générales, ainsi que les interruptions durables des réseaux de télécommunication ou de fourniture d'énergie non imputables à la partie qui les invoque.

La partie empêchée en informe l'autre sans délai. Les obligations sont suspendues pendant la durée de l'empêchement. Si celui-ci excède deux (2) mois, chaque partie peut résilier le contrat par notification écrite, sans indemnité, les prestations exécutées restant dues au prorata.

16. Droit applicable et juridiction compétente

Les présentes conditions générales de vente et les contrats qui en découlent sont soumis au droit français, à l'exclusion de toute autre législation et de la Convention de Vienne sur la vente internationale de marchandises.

En cas de différend, les parties s'efforceront de trouver une solution amiable avant toute action contentieuse. À cette fin, la partie la plus diligente adressera à l'autre une notification écrite exposant le différend ; les parties disposeront alors de trente (30) jours pour tenter de le résoudre.

À défaut d'accord amiable, compétence expresse est attribuée au [À CONFIRMER — juridiction compétente, à arrêter selon l'immatriculation de l'entreprise], y compris en cas de référé, de pluralité de défendeurs ou d'appel en garantie, nonobstant toute clause contraire figurant dans les documents du Client.

Cette attribution de compétence est valable entre professionnels au sens de l'article 48 du Code de procédure civile.