Objet et champ d'application
Les présentes conditions générales régissent les prestations de conseil, d'audit, de tests d'intrusion, de Red Team, de gouvernance et d'accompagnement en cybersécurité réalisées par SoYa Cyber SASU (le « Prestataire ») pour des clients professionnels (le « Client »). Elles prévalent sur toute condition d'achat du Client, sauf dérogation écrite et signée par le Prestataire. Les prestations ne sont pas proposées aux consommateurs.
Proposition et commande
Toute prestation fait l'objet d'une proposition commerciale précisant son périmètre, ses modalités, sa durée et son prix. La commande est ferme à la réception de la proposition signée ou d'un bon de commande y faisant référence. Toute modification ultérieure du périmètre fait l'objet d'un avenant.
Autorisation et cadre des tests
Les tests techniques ne débutent qu'après signature d'une convention d'audit définissant le périmètre, les dates, les techniques autorisées et les contacts d'urgence. Le Client garantit être propriétaire des systèmes audités ou disposer de toutes les autorisations nécessaires de leurs propriétaires et hébergeurs, notamment au regard des articles 323-1 et suivants du Code pénal. Il garantit le Prestataire contre toute réclamation d'un tiers à ce titre.
Le Prestataire s'interdit toute action hors du périmètre convenu. Il signale sans délai au Client toute vulnérabilité critique ou tout incident constaté pendant la mission.
Obligations des parties
Le Prestataire exécute les prestations avec le soin et la diligence d'un professionnel de la cybersécurité, dans le cadre d'une obligation de moyens. Un test d'intrusion constitue une évaluation à un instant donné et sur un périmètre défini : il ne peut garantir l'absence de toute vulnérabilité.
Le Client fournit en temps utile les accès, informations et interlocuteurs nécessaires, et procède aux sauvegardes de ses systèmes avant toute intervention technique.
Confidentialité
Chaque partie s'engage à garder strictement confidentielles les informations de l'autre partie dont elle a connaissance à l'occasion de la mission, pendant toute sa durée et cinq ans après son terme. Les données collectées pendant les tests sont chiffrées, accessibles aux seuls intervenants de la mission, et détruites à son issue selon la durée convenue dans la convention d'audit.
Prix, facturation et paiement
Les prix sont exprimés en euros hors taxes, la TVA applicable étant facturée en sus. Sauf stipulation contraire de la proposition, les prestations sont facturées à l'avancement ou à leur terme, et les factures sont payables à 30 jours à compter de leur date d'émission, par virement.
Tout retard de paiement entraîne de plein droit l'application de pénalités au taux égal à trois fois le taux d'intérêt légal, ainsi qu'une indemnité forfaitaire pour frais de recouvrement de 40 euros (articles L.441-10 et D.441-5 du Code de commerce). Les frais de déplacement sont refacturés au réel, sauf disposition contraire de la proposition.
Responsabilité
La responsabilité du Prestataire ne peut être engagée qu'en cas de faute prouvée et pour les seuls dommages directs. Elle est limitée, tous faits générateurs confondus, au montant hors taxes effectivement payé par le Client au titre de la prestation concernée. Le Prestataire ne répond pas des dommages indirects tels que perte d'exploitation, de chiffre d'affaires ou de données. Cette limitation ne s'applique pas en cas de faute lourde ou dolosive.
Propriété des livrables
Après complet paiement, le Client dispose d'un droit d'utilisation des livrables pour ses besoins internes. Le Prestataire conserve la propriété de ses méthodes, outils, savoir-faire et modèles de documents, qu'il peut réutiliser librement sans divulguer d'information confidentielle du Client.
Données personnelles
Lorsque la mission conduit le Prestataire à traiter des données personnelles pour le compte du Client, les parties concluent un accord de sous-traitance conforme à l'article 28 du RGPD précisant notamment les mesures de sécurité et les conditions de suppression des données.
Intervenants et sous-traitance
Le Prestataire peut faire intervenir des consultants qualifiés, salariés ou partenaires, tenus aux mêmes obligations de confidentialité. Leur identité est communiquée au Client avant le début des tests techniques.
Durée, suspension et résiliation
En cas de manquement grave de l'une des parties non réparé dans les 15 jours suivant une mise en demeure, l'autre partie peut résilier la commande de plein droit. Les prestations réalisées jusqu'à la résiliation restent dues. En cas d'annulation par le Client moins de 10 jours ouvrés avant le début d'une mission planifiée, 30 % du montant des jours réservés peut être facturé.
Force majeure
Aucune partie ne pourra être tenue responsable d'un manquement résultant d'un cas de force majeure au sens de l'article 1218 du Code civil.
Référence commerciale
Le Prestataire ne cite le nom du Client comme référence qu'avec son accord écrit préalable.
Droit applicable et litiges
Les présentes conditions sont soumises au droit français. En cas de litige, les parties rechercheront une solution amiable. À défaut, compétence exclusive est attribuée au Tribunal des activités économiques de Paris, y compris en cas de pluralité de défendeurs ou d'appel en garantie.