Conditions générales de vente

La société HERASAFE, société par actions simplifiée, au capital de 1 000 euros, immatriculée au RCS de Paris sous le n° 993 267 996, siège social : 200 rue de la Croix Nivert, 75015 Paris, France, TVA intracommunautaire : FR84 993 267 996 — Contact : contact@herasafe.fr / 06 50 05 44 47.

Les présentes conditions générales de vente et de services (« CGV ») constituent, conformément à l’article L.441-1 du Code de commerce, le socle unique de la négociation commerciale entre HERASAFE et ses clients professionnels. Elles sont communiquées à tout client qui en fait la demande et sont annexées à chaque devis.

ARTICLE 1 — DÉFINITIONS

« Client » : tout professionnel, personne morale ou physique, agissant pour les besoins de son activité, qui commande des Services.
« Services » : les prestations de cybersécurité proposées par HERASAFE : diagnostic, HERASAFE SCORE, audits, tests d’intrusion, mise en conformité, réponse à incident, accompagnement, ainsi que les formules d’abonnement récurrentes (ex. STARTER, PRO, ELITE).
« HERASAFE SCORE » ou « Score » : l’évaluation du niveau de risque cyber du Client sur 100 points, répartie en cinq piliers (Protection, Détection, Réaction, Gouvernance, Résilience).
« Commande » : tout devis, bon de commande ou bulletin d’abonnement accepté par le Client.
« Consultant » : l’expert indépendant sélectionné, mandaté et coordonné par HERASAFE pour l’exécution technique des prestations.
« Livrables » : rapports, scores, analyses, plans d’action et documents remis au Client.
« Parties » : désignent collectivement HERASAFE et le Client.

ARTICLE 2 — CHAMP D’APPLICATION ET OPPOSABILITÉ

Les CGV s’appliquent à toute Commande de Services commandés par un Client en l’absence de contrat-cadre conclu entre HERASAFE et le Client. Lorsqu’un Contrat-cadre Client a été conclu entre HERASAFE et le Client, les prestations sont régies exclusivement par ce Contrat-cadre, les Bons de commande qui en découlent et leurs éventuelles annexes. Les présentes CGV ne s’appliquent pas, sauf stipulation expresse contraire du Contrat-cadre ou du Bon de commande concerné.

Les CGV peuvent être complétées ou aménagées par des conditions particulières (devis ou contrat de services signé), qui prévalent sur les CGV pour leurs seules stipulations particulières, à condition que toute dérogation aux stipulations des articles 3, 7, 9, 10, 13, 15, 16, 17 et 21 soit expressément identifiée comme telle et acceptée par écrit par HERASAFE. HERASAFE peut modifier les CGV à tout moment ; les Commandes en cours restent régies par la version acceptée.

ARTICLE 3 — ARCHITECTURE DES SERVICES

HERASAFE exerce un rôle d’orchestrateur des Services. A ce titre, elle sélectionne, mandate et coordonne des Consultants indépendants chargés de l’exécution technique des prestations sous la marque HERASAFE. HERASAFE demeure l’unique cocontractant et interlocuteur du Client.

HERASAFE vérifie les qualifications, l’assurance et les références des Consultants et leur impose, selon la nature des prestations confiées, des obligations appropriées en matière de confidentialité, de protection des données, de sécurité et de respect du périmètre des interventions.

ARTICLE 4 — DEVIS ET COMMANDE

Les Services font l’objet d’un devis gratuit, valable trente (30) jours à compter de son émission, sauf mention contraire. La Commande est ferme à compter de l’acceptation écrite du devis (signature, y compris électronique, ou acceptation par courriel non équivoque) et, le cas échéant, du paiement de l’acompte. Toute demande de modification du périmètre en cours d’exécution fait l’objet d’un avenant ou d’un nouveau devis.

Toute annulation par le Client après acceptation de la Commande entraîne la facturation des prestations déjà exécutées ou engagées et, le cas échéant, l’acompte versé demeure acquis à HERASAFE à titre d’indemnité forfaitaire, sous réserve que cette indemnité ne puisse conduire à une double indemnisation du préjudice subi.

ARTICLE 5 — PRIX

Les prix sont exprimés en euros et hors taxes, TVA en sus au taux en vigueur. Ils résultent du barème ou du devis en vigueur au jour de la Commande, les Services étant par nature personnalisés (périmètre, taille du système d’information, urgence). Les frais de déplacement et frais spécifiques sont facturés en sus s’ils sont prévus au devis.

Les prix des abonnements sont révisables à chaque échéance annuelle ; toute évolution est notifiée au moins trois (3) mois avant l’échéance, et s’applique à compter de l’échéance concernée, le Client pouvant alors résilier l’abonnement à cette échéance sans pénalité.

ARTICLE 6 — CONDITIONS DE RÈGLEMENT

Sauf stipulation contraire au devis, toute prestation supérieure à dix mille (10.000) euros HT donne lieu au versement d’un acompte de trente pour cent (30 %) à la Commande, le solde étant facturé à la remise des Livrables.

Les abonnements sont facturés d’avance, mensuellement ou annuellement selon la formule souscrite.

Les factures sont payables par virement à trente (30) jours date de facture, conformément à l’article L.441-10 du Code de commerce.

Aucun escompte n’est accordé en cas de paiement anticipé.

Tout retard emporte de plein droit, sans mise en demeure préalable :

l’application de pénalités de retard calculées au taux égal à trois (3) fois le taux d’intérêt légal applicable à la date d’exigibilité des sommes dues,
l’application de l’indemnité forfaitaire pour frais de recouvrement prévue par la réglementation applicable, sans préjudice du droit de HERASAFE de solliciter une indemnisation complémentaire sur justificatifs.
la possibilité pour HERASAFE de suspendre tout ou partie des Services huit (8) jours après notification restée sans effet, sans préjudice de son droit de résilier la Commande conformément aux présentes CGV.

La suspension n’ouvre droit à aucune indemnité au profit du Client et ne le dispense pas du paiement des sommes déjà exigibles.

L’ensemble des sommes dues au titre des Services déjà exécutés ou devenues exigibles au titre d’une Commande devient immédiatement exigible.

ARTICLE 7 — NATURE DES OBLIGATIONS — ABSENCE DE GARANTIE DE RÉSULTAT

Compte tenu de la nature des prestations de sécurité informatique, de l’évolution constante des menaces et de la dépendance des résultats à des facteurs extérieurs (état du système d’information du Client, exactitude des informations fournies, comportement des utilisateurs, actes de tiers malveillants), l’ensemble des obligations de HERASAFE constitue des obligations de moyens. HERASAFE exécute les Services avec diligence, conformément aux règles de l’art et aux référentiels reconnus.

Le Client reconnaît qu’aucune prestation, aucun score, aucun audit ni aucune recommandation ne peut garantir l’absence d’incident de sécurité, d’intrusion ou de perte de données : les Services visent à réduire le risque, non à le supprimer.

ARTICLE 8 — HERASAFE SCORE

Le Score est une évaluation du risque cyber établie à une date donnée, sur la base des informations fournies par le Client et des constatations réalisées. Il constitue un outil d’aide à la décision ; il ne constitue ni une certification, ni un audit de conformité réglementaire, ni une garantie de sécurité. Sa validité est limitée à sa date d’établissement. Le Client peut le communiquer à des tiers (assureurs, donneurs d’ordre) sous sa seule responsabilité, sans altération de son contenu ni de sa date.

ARTICLE 9 — OBLIGATIONS DU CLIENT

La coopération du Client est une obligation essentielle à la bonne exécution des Services.

Tout retard, omission ou information inexacte du Client susceptible d’affecter l’exécution des Services pourra entraîner un décalage des délais, une adaptation du périmètre ou la suspension de la prestation, sans responsabilité de HERASAFE à ce titre.

Le Client s’engage à :

fournir des informations exactes, complètes et à jour sur son système d’information, ses actifs, ses prestataires (hébergeurs, infogérants) et ses contraintes ;
désigner un référent habilité et disponible pendant l’exécution ;
réaliser une sauvegarde complète et vérifiée de ses systèmes et données avant toute intervention technique, en particulier avant tout test d’intrusion ;
obtenir préalablement les autorisations de tout tiers concerné (hébergeur, infogérant, éditeur), HERASAFE ne pouvant intervenir sur des actifs dont le Client n’a pas la maîtrise juridique ;
mettre en œuvre, sous sa seule responsabilité et selon ses priorités, les recommandations formulées ;
payer le prix aux échéances convenues.

Le Client garantit en outre l’exactitude et l’exhaustivité du périmètre déclaré. HERASAFE et ses Consultants ne sauraient être tenus responsables des conséquences d’une déclaration inexacte ou incomplète, notamment en cas d’intervention involontaire sur un actif appartenant à un tiers non déclaré.

ARTICLE 10 — TESTS D’INTRUSION

Tout test d’intrusion ou action technique active est subordonné à la signature préalable d’une autorisation écrite spécifique du Client et, le cas échéant, de tout tiers concerné (hébergeur, infogérant, éditeur), définissant notamment le périmètre exact des opérations autorisées, les fenêtres d’intervention, les exclusions, les contacts d’urgence, et la procédure d’arrêt. Le Client reconnaît et autorise expressément les opérations ainsi définies dans les limites du périmètre convenu.

Le Client reconnaît que toute intervention active comporte des risques inhérents (ralentissement, indisponibilité temporaire, instabilité) ; survenus sans faute, dans le respect du périmètre et des règles de l’art, ces risques ne peuvent engager la responsabilité de HERASAFE ni des Consultants, le Client devant disposer de sauvegardes conformément à l’article 9.

ARTICLE 11 — DÉLAIS — RÉCEPTION DES LIVRABLES

Sauf mention contraire au devis, les délais d’exécution sont indicatifs ; HERASAFE informe le Client de tout décalage significatif. Le Client dispose de dix (10) jours ouvrés à compter de la remise d’un Livrable pour formuler des réserves écrites et motivées ; à défaut, le Livrable est réputé accepté.

Lorsque les réserves sont fondées, HERASAFE procède aux corrections nécessaires dans un délai raisonnable et, le cas échéant, le délai de réalisation est prorogé de la durée rendue nécessaire par ces corrections.

ARTICLE 12 — ABONNEMENTS

Les abonnements sont conclus pour une durée initiale de douze (12) mois, renouvelable tacitement par périodes de douze (12) mois, sauf dénonciation par lettre recommandée ou courriel avec accusé de réception au moins deux (2) mois avant l’échéance.

HERASAFE peut faire évoluer le contenu des formules sous réserve de ne pas dégrader substantiellement le service. Le défaut de paiement persistant après suspension (article 6) autorise la résiliation de l’abonnement aux torts du Client, les sommes dues au titre des Services exécutés et, le cas échéant, les sommes devenues exigibles au titre de la période d’abonnement en cours restant exigibles.

ARTICLE 13 — PROPRIÉTÉ INTELLECTUELLE

Sous condition du paiement intégral des sommes dues, HERASAFE cède au Client, pour ses besoins internes, les droits patrimoniaux d’auteur sur les Livrables spécifiques produits pour lui, conformément aux articles L.131-3 et suivants du Code de la propriété intellectuelle : droits de reproduction, de représentation, d’adaptation, de modification, de correction, de traduction et de diffusion, sur tout support et par tout procédé connu ou inconnu à ce jour, pour le monde entier et pour toute la durée légale de protection. Toute diffusion publique ou commerciale des Livrables requiert l’accord écrit préalable de HERASAFE.

Demeurent la propriété exclusive de HERASAFE : la méthodologie HERASAFE SCORE, ses référentiels, grilles, algorithmes, gabarits, outils et savoir-faire, ainsi que tout élément générique ou préexistant, sur lesquels le Client ne reçoit qu’un droit d’usage interne, non exclusif et non cessible. La marque HERASAFE et les signes distinctifs associés ne peuvent être utilisés sans autorisation écrite.

ARTICLE 14 — CONFIDENTIALITÉ

Chaque Partie s’engage à conserver strictement confidentielles les Informations Confidentielles échangées dans le cadre de l’exécution des Services, et notamment les résultats des audits et tests réalisés ainsi que les vulnérabilités identifiées.

Cette obligation s’applique pendant toute la durée de la Commande concernée et pendant une période de cinq (5) ans à compter de son terme. Par exception, les obligations de confidentialité relatives aux vulnérabilités non corrigées et aux secrets des affaires, au sens des articles L.151-1 et suivants du Code de commerce, demeurent applicables aussi longtemps que ces informations conservent leur caractère confidentiel ou protégé en vertu de la loi.

Les Informations Confidentielles ne peuvent être communiquées qu’aux personnes ayant besoin d’en connaître pour les besoins de l’exécution des Services et soumises à des obligations de confidentialité au moins équivalentes à celles prévues au sein des présentes CGV. Pour HERASAFE, cette communication peut notamment être faite à ses Consultants mandatés, sous réserve qu’ils soient soumis à de telles obligations.

ARTICLE 15 — DONNÉES À CARACTÈRE PERSONNEL

Pour les traitements réalisés pour le compte du Client à l’occasion des Services, HERASAFE agit en qualité de sous-traitant au sens de l’article 28 du RGPD selon l’annexe de traitement jointe à la Commande ; le Client autorise de manière générale le recours aux Consultants comme sous-traitants ultérieurs, HERASAFE demeurant responsable envers le Client du respect de ses obligations de sous-traitant dans les limites prévues par le RGPD, les CGV et le cas échéant, le contrat conclu avec HERASAFE.

HERASAFE notifie toute violation de données au plus tard quarante-huit (48) heures après en avoir eu connaissance. Pour ses propres traitements (gestion commerciale, facturation, prospection B2B), HERASAFE agit en responsable de traitement ; informations et exercice des droits : contact@herasafe.fr.

ARTICLE 16 — RESPONSABILITÉ

Principe. HERASAFE répond des seuls dommages directs causés au Client par un manquement prouvé à ses obligations de moyens. Le Client s’engage à diriger toute réclamation relative aux Services exclusivement contre HERASAFE et renonce, dans la mesure permise par la loi, à rechercher directement la responsabilité personnelle des Consultants mandatés par HERASAFE. HERASAFE demeure son seul interlocuteur contractuel et fait son affaire de tout recours éventuel à l’encontre de ses Consultants.

Plafond. La responsabilité totale et cumulée de HERASAFE envers le Client au titre d’une Commande ou d’un service récurrent, le cas échéant, et par période de douze (12) mois consécutifs, tous manquements et réclamations impactant cette Commande ou service récurrent confondus, est plafonnée au montant le moins élevé entre :

le montant total des sommes HT payées par le Client à HERASAFE pour la Commande ou le service récurrent impacté par le premier manquement ayant donné lieu à un préjudice au cours des douze (12) mois précédant ce manquement ; ou
le montant du préjudice direct effectivement subi par le Client.

Exclusions. La responsabilité de HERASAFE est limitée aux dommages directs et matériels effectivement subis par le Client et résultant d’un manquement ou d’une inexécution avérée de ses obligations découlant du Contrat.

Sont exclus les dommages indirects, notamment les pertes d’exploitation, pertes de chiffre d’affaires, pertes de marge, pertes de clientèle, pertes de revenus, pertes de contrats, pertes d’économies escomptées, pertes de données, pertes de chance, préjudices commerciaux ou préjudices d’image.

Sont également exclus les dommages immatériels ou moraux, les dommages excédant le préjudice réellement subi par le Client et les dommages liés à la perte ou l’altération de données.

Sont également exclus les dommages résultant d’un incident de sécurité, d’une intrusion, d’une attaque informatique ou de tout autre événement affectant les systèmes d’information du Client, sauf lorsque le dommage direct résulte d’un manquement prouvé de HERASAFE à ses propres obligations contractuelles.

Sont en outre exclus les dommages résultant de l’absence ou du retard de mise en œuvre par le Client des recommandations formulées par HERASAFE, d’informations inexactes, incomplètes ou obsolètes fournies par le Client, d’un périmètre de Mission incomplet ou inexactement déclaré, des risques inhérents aux interventions techniques expressément acceptés par le Client conformément à l’article 10, du fait d’un tiers ou d’un cas de force majeure.

Sont enfin exclus les amendes, sanctions administratives, pénalités ou autres mesures prononcées à l’encontre du Client du fait de ses propres obligations, manquements, décisions ou déclarations, sauf dans la mesure où leur prise en charge par HERASAFE serait imposée par une disposition légale impérative.

Limites légales. Rien n’exclut ni ne limite la responsabilité en cas de faute lourde ou dolosive, d’atteinte aux personnes ou dans tout autre cas où la loi l’interdit. Sous réserve des dispositions légales impératives applicables, le délai de prescription de toute action, réclamation ou demande de quelque nature que ce soit résultant du Contrat, de son interprétation, de son exécution ou de sa cessation est de douze (12) mois.

Ce délai court à compter du jour où le Client a connu ou aurait dû connaître les faits lui permettant d’exercer son action.

ARTICLE 17 — NON-SOLLICITATION DES CONSULTANTS

Pendant la relation contractuelle et vingt-quatre (24) mois après son terme, le Client s’interdit de solliciter, d’engager ou de contracter, directement ou indirectement, avec tout Consultant lui ayant été présenté ou étant intervenu pour lui, sauf accord écrit de HERASAFE.

À titre de clause pénale, tout manquement, après mise en demeure restée infructueuse, rend exigible une indemnité forfaitaire de trente mille (30 000) euros par Consultant concerné, sans préjudice du droit de HERASAFE de demander la cessation du manquement et la réparation de tout préjudice complémentaire effectivement démontré.

ARTICLE 18 — FORCE MAJEURE — IMPRÉVISION

Aucune Partie ne répond d’un manquement causé par un cas de force majeure (article 1218 du Code civil) ; information sans délai, suspension des obligations, faculté de résilier la prestation concernée au-delà de trente (30) jours d’empêchement.

Les Parties conviennent expressément d’écarter l’application de l’article 1195 du Code civil et d’assumer chacune le risque d’un changement de circonstances imprévisible rendant l’exécution d’une Commande ou d’un Service plus onéreuse.

En cas de bouleversement durable, elles pourront se rapprocher de bonne foi afin d’examiner les adaptations éventuellement nécessaires.

ARTICLE 19 — RÉFÉRENCE COMMERCIALE — NOTIFICATIONS — SIGNATURE ÉLECTRONIQUE

19.1. Référence commerciale

HERASAFE peut mentionner le nom du Client comme référence commerciale, sauf opposition écrite du Client. Toute utilisation du logo ou des signes distinctifs du Client est soumise à son accord écrit préalable.

19.2. Notifications

Toute notification effectuée au titre des présentes pourra être valablement adressée par courrier électronique aux coordonnées communiquées par les Parties, sous réserve de la délivrance d’un accusé de réception ou de tout autre élément permettant d’en attester la bonne réception.

Toute mise en demeure, notification de résiliation ou autre notification destinée à produire des effets juridiques similaires devra être adressée par lettre recommandée avec demande d’avis de réception ou par tout autre moyen permettant d’établir avec certitude sa réception par son destinataire.

19.3. Signature électronique

Les Parties reconnaissent que les CGV ainsi que tout document y afférent peuvent être signés électroniquement. Conformément aux articles 1366 et 1367 du Code civil, les signatures électroniques utilisées entre les Parties ont la même force probante et les mêmes effets juridiques qu’une signature manuscrite.

ARTICLE 20 — DISPOSITIONS FINALES

La nullité d’une clause n’affecte pas les autres. La tolérance d’un manquement ne vaut pas renonciation. Le Client ne peut céder la Commande sans accord écrit de HERASAFE.

Les CGV sont rédigées en français, seule version faisant foi.

Les présentes CGV, les conditions particulières et la Commande constituent l’intégralité de l’accord entre les Parties concernant les Services concernés. En cas de contradiction, les conditions particulières ou le contrat de services signé prévalent sur les CGV pour leurs seules stipulations dérogatoires.

ARTICLE 21 — MÉDIATION — DROIT APPLICABLE — JURIDICTION

Les CGV sont régies par le droit français. Avant toute action judiciaire, les Parties soumettent leur différend à une tentative de médiation conventionnelle d’une durée maximale de soixante (60) jours. Elles s’efforcent de désigner d’un commun accord le médiateur dans un délai de quinze (15) jours à compter de la notification écrite du différend. À défaut d’accord dans ce délai, le médiateur sera désigné par le Centre de Médiation et d’Arbitrage de Paris (CMAP). Cette tentative de médiation constitue un préalable obligatoire à toute action judiciaire, sauf urgence, mesures conservatoires ou recouvrement de factures non contestées.

À défaut d’accord, compétence exclusive des tribunaux du ressort du siège social de HERASAFE, soit Paris, nonobstant pluralité de défendeurs ou appel en garantie, y compris pour les procédures d’urgence et conservatoires.