Conditions générales de vente

Les présentes conditions générales de vente (ci-après « CGV ») s'appliquent à toutes les prestations réalisées par Lohann Bouveresse, entrepreneur individuel (ci-après « le prestataire »), pour ses clients particuliers ou professionnels (ci-après « le client »). Elles sont annexées au contrat, dont elles font partie intégrante, et restent consultables à tout moment sur www.lohannbouveresse.fr/cgv.

Les conditions générales d'achat du client ne s'appliquent pas, sauf acceptation écrite du prestataire.

Le contrat se compose, par ordre de priorité décroissant : (1) les articles du contrat signé, qui constituent ses conditions particulières ; (2) les conditions spécifiques annexées correspondant à la prestation ; (3) les présentes CGV ; (4) le devis accepté, le cas échéant. En cas de contradiction, le document de rang supérieur prévaut.

La version des CGV applicable est celle annexée au contrat signé. Une nouvelle version ne s'applique à un contrat en cours qu'avec l'accord écrit du client.

Est consommateur toute personne physique qui agit à des fins qui n'entrent pas dans le cadre de son activité commerciale, industrielle, artisanale, libérale ou agricole. Est professionnel le client qui contracte pour les besoins de son activité. Le client déclare sa qualité lors de la signature.

Est non-professionnel toute personne morale qui n'agit pas à des fins professionnelles, par exemple une association. Il bénéficie des règles applicables au consommateur, à l'exception du droit de rétractation.

Le client professionnel qui signe hors établissement (par exemple dans ses propres locaux) déclare lors de la signature s'il emploie plus de cinq (5) salariés ou si l'objet du contrat entre dans le champ de son activité principale. À défaut de cette déclaration, il bénéficie des règles du consommateur relatives à l'information précontractuelle, au droit de rétractation et à l'interdiction de tout paiement avant sept jours (articles L. 221-3 et L. 221-10 du Code de la consommation).

Les stipulations réservées au client professionnel ne s'appliquent ni au consommateur, ni au non-professionnel. Aucune stipulation du contrat ne prive le client consommateur des droits qu'il tient de la loi.

Lorsque le contrat est conclu à distance (notamment par signature électronique) ou hors établissement (par exemple au domicile du client), le client consommateur dispose d'un délai de quatorze (14) jours à compter de la conclusion du contrat pour se rétracter, sans avoir à motiver sa décision. Bénéficie du même droit le client professionnel qui emploie cinq (5) salariés au plus, pour un contrat conclu hors établissement dont l'objet n'entre pas dans le champ de son activité principale (article L. 221-3 du Code de la consommation).

Pour se rétracter, le client adresse avant l'expiration du délai une déclaration dénuée d'ambiguïté, par courrier électronique à [email protected] ou par courrier postal à 8 B rue Abel, 75012 Paris, en utilisant s'il le souhaite le formulaire de rétractation joint au contrat. Le prestataire rembourse les sommes versées au plus tard quatorze (14) jours après avoir été informé de la décision, par le même moyen de paiement, sauf accord exprès du client pour un autre moyen et sans frais pour lui, déduction faite, le cas échéant, du montant proportionnel prévu ci-dessous.

Sans demande expresse du client, l'exécution des prestations ne commence qu'à l'expiration du délai de rétractation. Si le client a expressément demandé, lors de la signature, que l'exécution commence avant la fin de ce délai, il reste redevable, en cas de rétractation, d'un montant proportionnel aux prestations fournies jusqu'à la communication de sa décision. Le droit de rétractation ne peut plus être exercé pour une prestation pleinement exécutée avant la fin du délai, dès lors que son exécution a commencé après accord préalable exprès du client et reconnaissance par celui-ci de la perte de son droit de rétractation une fois la prestation pleinement exécutée.

Les prix sont exprimés en euros. TVA non applicable, art. 293 B du CGI. Les modalités de facturation et de paiement figurent aux conditions particulières.

Les pénalités de retard et l'indemnité forfaitaire de quarante (40) euros pour frais de recouvrement prévues à l'article L. 441-10 du Code de commerce ne s'appliquent qu'au client professionnel. Les sommes dues par un client consommateur et restées impayées portent intérêt au taux légal à compter d'une mise en demeure.

À l'égard du client consommateur, le prestataire répond de la garantie légale de conformité (articles L. 217-1 et suivants du Code de la consommation pour les biens, L. 224-25-1 et suivants pour les contenus et services numériques) et de la garantie légale des vices cachés (articles 1641 à 1649 du Code civil). Pour les mettre en œuvre, le client s'adresse à Lohann Bouveresse, 8 B rue Abel, 75012 Paris, [email protected].

Les conditions spécifiques annexées reproduisent, pour chaque type de prestation, l'encadré légal qui décrit ces garanties. Les garanties contractuelles prévues au contrat s'y ajoutent sans les réduire.

Le prestataire exécute les prestations avec soin, conformément aux règles de l'art, et informe le client de toute difficulté rencontrée. Il conseille le client sur les choix techniques utiles à son projet.

Le client collabore de bonne foi, fournit dans les délais convenus les informations, contenus et accès nécessaires, et désigne au besoin un interlocuteur. Il est seul responsable des contenus qu'il fournit (textes, images, logos, données) et déclare disposer des droits nécessaires à leur utilisation. Le client professionnel garantit le prestataire contre toute réclamation d'un tiers portant sur ces contenus.

La responsabilité de chaque partie est régie par l'article « Responsabilité et garanties » des conditions particulières et, pour l'hébergement et la maintenance, par les conditions spécifiques correspondantes.

Le prestataire n'est pas responsable des dommages qui résultent d'un fait du client ou d'un tiers auquel le client a confié ses accès, dans la mesure où ils lui sont imputables, ni des défaillances de services que le client a souscrits directement auprès d'autres fournisseurs (fournisseur d'accès à internet, messagerie, logiciels, plateformes en ligne).

Lorsque le client est un professionnel, toute action en responsabilité contre le prestataire se prescrit par un (1) an à compter du jour où le client a connu ou aurait dû connaître les faits lui permettant de l'exercer (article 2254 du Code civil).

Les données du client nécessaires à la gestion du contrat sont traitées conformément à l'article « Données personnelles (RGPD) » des conditions particulières.

Lorsque le prestataire traite des données personnelles pour le compte du client (hébergement, maintenance, infogérance), il agit en qualité de sous-traitant et les conditions spécifiques « Sous-traitance des données personnelles » s'appliquent.

Toute réclamation est adressée au prestataire par écrit, à [email protected] ou à 8 B rue Abel, 75012 Paris. Le client ayant la qualité de consommateur peut recourir gratuitement à un médiateur de la consommation, conformément à l'article L. 612-1 du Code de la consommation ; les coordonnées du médiateur compétent lui sont communiquées sur simple demande.

Le client consommateur peut également saisir la juridiction compétente dans les conditions prévues à l'article « Loi applicable et litiges ».

Le périmètre de la réalisation est celui décrit aux conditions particulières et, le cas échéant, au devis accepté. Toute demande qui en sort relève de l'article « Évolutions et travaux hors périmètre ».

À la livraison, le client dispose de sept (7) jours calendaires pour signaler par écrit les anomalies constatées, c'est-à-dire les écarts par rapport au périmètre convenu. Le prestataire corrige les anomalies reproductibles qui lui sont imputables, puis présente une nouvelle livraison selon les mêmes modalités.

La livraison est réputée acceptée à l'expiration de ce délai sans réserve écrite, ou dès la mise en ligne ou l'exploitation du livrable à la demande du client. Cette acceptation ne prive pas le client consommateur des garanties légales dont il bénéficie.

Sous réserve du paiement intégral du prix, le prestataire cède au client les droits patrimoniaux d'auteur sur les éléments créés spécifiquement pour lui, à savoir les droits de reproduction, de représentation, d'adaptation et de modification, sur tout support numérique, pour le monde entier et pour la durée légale de protection, aux fins de l'exploitation de son site ou de son infrastructure. Les créations graphiques spécifiques (maquettes, logos, illustrations) sont cédées à titre exclusif ; le code source spécifique est cédé à titre non exclusif.

Restent la propriété du prestataire ses outils, méthodes, savoir-faire et composants techniques génériques réutilisables, dont il concède au client un droit d'utilisation non exclusif, gratuit et pour la durée des droits, limité à l'exploitation du livrable. Les composants de tiers (bibliothèques, extensions, polices, images de banques d'images) restent soumis à leur propre licence.

Le prix de la cession est compris dans le prix de la prestation : la rémunération est forfaitaire, la base de calcul d'une participation proportionnelle ne pouvant être pratiquement déterminée (article L. 131-4 du Code de la propriété intellectuelle).

Le prestataire applique les bonnes pratiques de référencement naturel et de performance. Le positionnement dans les moteurs de recherche, le volume de visites et le chiffre d'affaires généré dépendent de facteurs qu'il ne maîtrise pas : il ne les garantit pas.

Le livrable est testé sur les versions courantes, à la date de livraison, des principaux navigateurs et systèmes. Son adaptation aux versions ultérieures relève de la maintenance.

À l'égard du client consommateur, le prestataire fournit sans frais les mises à jour nécessaires au maintien de la conformité du livrable, dans les conditions de la garantie légale de conformité.

Le client, éditeur du site, est responsable de ses contenus et des obligations qui lui incombent (mentions légales, politique de confidentialité, gestion des cookies, conditions de vente en ligne, accessibilité le cas échéant). Le prestataire attire son attention sur ces obligations ; leur rédaction relève du client, sauf si la prestation la prévoit.

Sauf contrat d'hébergement ou de maintenance souscrit auprès du prestataire, l'hébergement du livrable après sa mise en ligne relève du client.

Le prestataire met en œuvre des moyens conformes aux règles de l'art pour assurer la disponibilité, l'intégrité et la sécurité du site ou de l'infrastructure du client (ci-après « le service »). Son obligation de sécurité consiste à mettre en œuvre les mesures décrites aux présentes conditions et aux conditions particulières. Aucun système relié à internet n'étant à l'abri d'une panne ou d'une attaque, la survenance d'un incident malgré la mise en œuvre de ces mesures ne constitue pas, à elle seule, une inexécution du contrat. À l'égard du client professionnel, ces engagements constituent une obligation de moyens.

Le prestataire met en œuvre les mesures suivantes sur les éléments qu'il administre :

• application des mises à jour de sécurité du serveur, des logiciels et des dépendances, dans les délais fixés aux conditions particulières ou, à défaut, dans un délai raisonnable au regard de la gravité de la vulnérabilité, ces délais courant à compter de la publication d'un correctif ou d'une mesure de contournement par l'éditeur concerné ;
• connexions chiffrées (https) et certificats renouvelés automatiquement ;
• accès d'administration restreints et protégés par des identifiants personnels robustes ;
• filtrage réseau et blocage des tentatives de connexion abusives ;
• sauvegardes régulières, conservées dans un lieu distinct de celui du serveur qui exécute le service ;
• supervision automatisée de la disponibilité.

Le prestataire peut faire évoluer ces mesures pour tenir compte de l'évolution des menaces et des techniques, à condition de maintenir un niveau de sécurité au moins équivalent, sans coût supplémentaire pour le client, qui en est informé.

Sauf stipulation contraire des conditions particulières, les sauvegardes sont quotidiennes et conservées trente (30) jours. En cas d'incident, le prestataire restaure la dernière sauvegarde saine disponible : les données créées ou modifiées entre cette sauvegarde et l'incident peuvent être perdues.

Les sauvegardes servent à remettre le service en état ; elles ne constituent pas un archivage. Le client conserve une copie de ses propres contenus (textes, images, documents). Il peut obtenir sur demande une copie de la dernière sauvegarde, remise dans un délai de cinq (5) jours ouvrés, sans frais une fois par trimestre.

Sauf engagement chiffré aux conditions particulières, le prestataire ne garantit pas de taux de disponibilité. La supervision automatisée fonctionne 24 heures sur 24 et déclenche une alerte : elle n'implique pas une intervention immédiate à toute heure. Le prestataire intervient les jours ouvrés, dans les délais prévus par la formule souscrite, et en priorité lorsque le service est totalement interrompu.

Des interruptions programmées peuvent être nécessaires (mises à jour, maintenance) ; le prestataire s'efforce de les réaliser aux heures de faible fréquentation.

Le client est responsable :

• de la confidentialité de ses identifiants et de ceux qu'il communique à des tiers ;
• des contenus, extensions, scripts ou services qu'il installe ou fait installer par un tiers ;
• de la sécurité de ses propres équipements et comptes (ordinateurs, téléphones, messagerie) ;
• de signaler sans délai au prestataire tout comportement anormal ou tout soupçon de compromission.

Le prestataire n'est pas responsable des conséquences d'une compromission, dans la mesure où elle est imputable au client ou à un tiers auquel le client a donné accès.

Le service s'appuie aussi sur des tiers que le prestataire ne maîtrise pas : registres et bureaux d'enregistrement des noms de domaine, opérateurs de réseaux et de télécommunications, fournisseurs d'énergie, autorités de certification. Le prestataire choisit des acteurs reconnus et informe le client des incidents de ces tiers qui affectent le service. À l'égard du client professionnel, il ne répond pas de leurs défaillances, sauf faute de sa part dans leur choix ou leur configuration.

En cas d'attaque, d'intrusion ou de tout autre incident de sécurité (ci-après « l'incident »), le prestataire :

• peut suspendre, isoler ou mettre hors ligne tout ou partie du service, sans préavis et pour la durée strictement nécessaire, afin de contenir l'incident et de protéger les données ; il en informe le client sans délai. Cette mesure conservatoire ne constitue pas en elle-même un manquement ; elle n'exonère pas le prestataire lorsque l'incident résulte de son propre manquement ;
• informe le client dans les meilleurs délais et, lorsque des données personnelles sont concernées, sauf impossibilité justifiée, au plus tard quarante-huit (48) heures après en avoir pris connaissance ; les informations qui ne peuvent être fournies en même temps le sont de manière échelonnée ;
• remet le service en état à partir de la dernière sauvegarde saine, après avoir corrigé la vulnérabilité exploitée lorsqu'elle est identifiée ;
• conserve les éléments utiles à l'analyse de l'incident et assiste le client dans ses démarches.

La remise en état à partir d'une sauvegarde est comprise dans la prestation. Font l'objet d'un devis, sauf si l'incident résulte d'un manquement du prestataire : l'investigation approfondie de l'incident, la reconstitution de données postérieures à la dernière sauvegarde, la reconstruction d'éléments que le client a ajoutés ou fait ajouter, et l'accompagnement auprès des autorités ou des personnes concernées au-delà de l'assistance prévue aux conditions spécifiques « Sous-traitance des données personnelles ».

Le prestataire ne verse aucune rançon et n'en recommande pas le paiement.

À l'égard du client professionnel, et en complément de l'article « Responsabilité et garanties » :

• une attaque informatique menée par un tiers n'engage la responsabilité du prestataire que si le client établit qu'elle résulte d'un manquement du prestataire aux mesures de sécurité prévues au contrat, et dans la mesure de ce manquement ;
• le préjudice lié à une perte de données est limité au coût de leur restauration à partir de la dernière sauvegarde disponible, sauf si la perte résulte d'un manquement du prestataire à ses obligations de sauvegarde, auquel cas s'applique le plafond prévu à l'article « Responsabilité et garanties » ;
• constituent notamment des cas de force majeure, lorsqu'ils échappent au contrôle du prestataire malgré les mesures prévues par les présentes conditions : une attaque par déni de service d'ampleur, l'exploitation d'une vulnérabilité pour laquelle aucun correctif ni aucune mesure de contournement n'était disponible, ou dont le délai de correction prévu au contrat n'était pas expiré, une défaillance générale des réseaux de télécommunications ou d'énergie, un sinistre affectant les locaux techniques (incendie, inondation), ou une décision d'une autorité.

Ces limitations ne s'appliquent pas en cas de faute lourde ou dolosive du prestataire.

Le client, éditeur du site, est seul responsable des contenus publiés. Le prestataire agit en qualité de fournisseur de services d'hébergement au sens du règlement (UE) 2022/2065 sur les services numériques et de la loi n° 2004-575 du 21 juin 2004 : il n'exerce aucun contrôle préalable des contenus. Tout contenu illicite peut lui être signalé à [email protected]. Il agit promptement pour retirer ou rendre inaccessible un contenu manifestement illicite et en informe le client, motifs à l'appui, sauf urgence ou interdiction légale.

Le client s'interdit d'utiliser le service à des fins illicites ou d'une manière qui en compromet la sécurité. Le service n'est pas destiné à héberger des données de santé au sens de l'article L. 1111-8 du Code de la santé publique : le client s'interdit d'en confier au prestataire sans son accord écrit préalable.

À la fin du contrat, quelle qu'en soit la cause, le prestataire remet au client qui en fait la demande dans les trente (30) jours une copie des fichiers du site et de sa base de données dans un format standard, et l'assiste pour le transfert du nom de domaine, enregistré au nom du client. Toute assistance à la migration au-delà de cette remise fait l'objet d'un devis.

À l'issue de ce délai, les données du client sont supprimées des serveurs, puis des sauvegardes à l'expiration de leur durée de conservation.

Le périmètre peut comprendre tout ou partie des catégories suivantes : postes de travail et comptes de leurs utilisateurs ; serveurs, hyperviseurs et machines virtuelles ; réseau (routeurs, commutateurs, pare-feu, accès VPN, Wi-Fi) ; messagerie et suite collaborative ; téléphonie IP ; sauvegardes. Seuls les équipements figurant à l'inventaire du contrat sont couverts. Tout autre équipement, logiciel ou service est hors périmètre : une intervention le concernant n'est réalisée qu'à la demande du client, hors forfait.

Le client peut demander à tout moment l'ajout ou le retrait d'un équipement ou d'un utilisateur, par simple écrit, y compris par courrier électronique ou depuis l'espace client. Le prestataire confirme la prise en compte par écrit : l'élément ajouté est couvert dès cette confirmation. La mise à jour de l'inventaire et du prix mensuel est constatée par un avenant simplifié, signé en ligne, qui applique les tarifs unitaires du contrat sans les renégocier ; le nouveau prix s'applique à compter de la facture du mois suivant sa signature. Le prestataire peut, par écrit motivé, refuser d'intégrer un équipement dont le système n'est plus maintenu par son éditeur ou son fabricant, ou ne l'intégrer que sans les engagements de mise à jour et de délai de prise en charge. L'ajout d'un élément dépourvu de tarif unitaire, la modification d'un tarif ou du niveau de service requièrent un avenant. L'inventaire mis à jour, disponible dans l'espace client, fait foi entre les parties, sauf contestation écrite dans un délai de quinze (15) jours.

Le contrat d'infogérance est réservé aux professionnels et aux personnes morales de droit privé ou public, y compris les associations, agissant dans le cadre de leur activité ; il n'est pas proposé aux consommateurs. Lorsqu'il est conclu hors établissement avec un client employant cinq (5) salariés au plus, et que son objet n'entre pas dans le champ de l'activité principale de ce client, celui-ci bénéficie du droit de rétractation prévu à l'article L. 221-3 du Code de la consommation, dans les conditions des conditions générales de vente.

Dans la limite de l'inventaire, le forfait mensuel comprend :

• la supervision : surveillance automatisée de la disponibilité et de l'état des équipements couverts (processeur, mémoire, disques, services, journaux, alertes du pare-feu, état des sauvegardes) et traitement des alertes pendant les horaires de support ; la supervision est un moyen de détection, elle ne garantit pas que tout incident soit détecté ;
• les mises à jour et correctifs de sécurité et de maintenance publiés par les éditeurs et fabricants (systèmes d'exploitation, hyperviseurs, micrologiciels des équipements réseau, logiciels standard de l'inventaire), selon un calendrier convenu avec le client, les opérations susceptibles d'interrompre le service étant réalisées hors des heures d'activité du client ou après l'avoir prévenu ; les vulnérabilités sont corrigées, ou à défaut neutralisées par une mesure de contournement, sous quarante-huit (48) heures ouvrées lorsqu'elles sont critiques (score CVSS supérieur ou égal à 9,0), sous sept (7) jours calendaires lorsqu'elles sont majeures (score CVSS de 7,0 à 8,9), et lors du cycle de mise à jour suivant pour les autres, ces délais courant à compter de la publication du correctif ou de la connaissance de la vulnérabilité si elle est postérieure ;
• la gestion des comptes : création, modification et désactivation des comptes utilisateurs, des droits d'accès, des boîtes aux lettres et de l'attribution des licences, sur demande du client ; réinitialisation des mots de passe et des facteurs d'authentification après vérification de l'identité du demandeur ;
• le support des utilisateurs à distance, dans les conditions ci-après ;
• les sauvegardes : configuration et surveillance des sauvegardes des données et systèmes de l'inventaire, test de restauration au moins une fois par semestre, restauration sur demande, alerte du client en cas d'échec non résolu ;
• un rapport mensuel, remis dans l'espace client : interventions, demandes et incidents traités, état des mises à jour et des sauvegardes, alertes significatives, recommandations ;
• un point trimestriel sur l'état du système d'information, les risques, les équipements en fin de vie et les évolutions recommandées ; ces préconisations n'engagent pas le client.

Ne sont pas compris dans le forfait : la fourniture de matériel, de licences et d'abonnements ; les projets (déploiement, migration, changement de version majeure, renouvellement de parc, déménagement) ; le support fonctionnel des logiciels métier ; la réparation du matériel au-delà de l'ouverture d'une demande auprès du fabricant ; la formation ; la remise en état consécutive à une intervention du client ou d'un tiers non signalée, à un sinistre ou à un usage non conforme ; le traitement d'un incident de sécurité au-delà de ce que prévoient les conditions spécifiques « Hébergement, maintenance et sécurité ». Ces prestations sont réalisées sur devis ou au tarif horaire du contrat.

Le support est assuré du lundi au vendredi, de 8 h 30 à 18 h, hors jours fériés ; ces heures sont dites « heures ouvrées ». En dehors de ces horaires, le prestataire ne prend aucun engagement de prise en charge, sauf intervention convenue au cas par cas.

Les demandes sont adressées par les interlocuteurs désignés par le client ou par les utilisateurs déclarés, par courrier électronique à [email protected], depuis l'espace client ou par téléphone au numéro communiqué au client. Un incident critique est signalé par téléphone, puis confirmé par écrit.

Le support à distance est inclus sans limite d'heures, dans le cadre d'un usage raisonnable correspondant aux demandes et incidents courants des utilisateurs déclarés. Si, sur trois (3) mois consécutifs, le temps consacré au support dépasse en moyenne 30 minutes par poste et par mois, le prestataire en informe le client par écrit, relevé à l'appui, et les parties se concertent pour ajuster le forfait ; à défaut d'accord dans un délai d'un (1) mois, chacune d'elles peut résilier le contrat moyennant un préavis d'un (1) mois, sans indemnité. La supervision, les mises à jour, les sauvegardes, le rapport mensuel et le point trimestriel ne sont pas décomptés au titre du support.

Lorsqu'un problème ne peut être résolu à distance ou qu'une opération l'exige, le prestataire intervient sur site, à la date convenue avec le client. Les visites et déplacements compris dans le niveau de service souscrit s'entendent dans la zone suivante : Belfort, Montbéliard, Héricourt et leurs environs (30 km) ; ceux qui ne sont pas utilisés ne sont pas reportés. Au-delà, ou hors de cette zone, le temps d'intervention est facturé au tarif horaire du contrat, et les frais de déplacement sur devis.

Toute prestation hors forfait est soumise à l'accord préalable du client, donné par écrit, y compris par courrier électronique. Elle est facturée au tarif horaire du contrat, décompté par tranches de trente (30) minutes. Réalisée en dehors des heures ouvrées à la demande du client, elle est majorée de 50 %.

Le prestataire qualifie la gravité de chaque incident, en concertation avec le client : critique lorsque l'activité est arrêtée ou quasi arrêtée sans solution de contournement (panne générale du réseau ou de l'accès internet géré, indisponibilité d'un serveur de production ou de la messagerie pour l'ensemble des utilisateurs, incident de sécurité en cours) ; majeur lorsqu'une fonction importante est indisponible ou fortement dégradée pour plusieurs utilisateurs ou pour un utilisateur clé ; mineur pour une gêne limitée, un incident n'affectant qu'un utilisateur sans bloquer l'activité, ou une demande.

Les délais de prise en charge propres au niveau de service souscrit figurent au contrat. La prise en charge s'entend du début effectif du diagnostic, dont le client est informé. Le délai court à compter du signalement par l'un des canaux prévus ou de la réception d'une alerte de supervision, et ne s'écoule que pendant les heures ouvrées ; un signalement reçu en dehors de ces heures est réputé reçu à la première heure ouvrée suivante.

Le prestataire est tenu d'une obligation de moyens quant à la résolution des incidents, qu'il traite dans les meilleurs délais compatibles avec leur nature. Les délais des fabricants, éditeurs, opérateurs et autres fournisseurs du client ne lui sont pas imputables. Aucun taux de disponibilité n'est garanti, sauf mention expresse au contrat.

Le dépassement d'un délai de prise en charge n'ouvre pas droit à des pénalités financières ; chaque dépassement est signalé au rapport mensuel. Si le prestataire dépasse de son fait le délai de prise en charge d'un incident critique ou majeur à trois (3) reprises au cours d'une période de trois (3) mois consécutifs, le client peut résilier le contrat sans indemnité, moyennant un préavis de quinze (15) jours, sans préjudice des autres droits qu'il tient de la loi et des conditions générales de vente.

Le prestataire exerce seul. Ses absences programmées (congés, formation) sont annoncées par écrit au moins deux (2) semaines à l'avance, dans la limite de six (6) semaines par an. Pendant ces absences, la supervision automatisée et les sauvegardes se poursuivent, les délais de prise en charge sont suspendus et le prestataire indique au client la conduite à tenir en cas d'urgence. Il peut proposer un intervenant de remplacement, sans y être tenu ; un tel intervenant n'accède au système d'information qu'avec l'accord écrit préalable du client et dans les conditions spécifiques « Sous-traitance des données personnelles ».

La maladie, l'accident ou tout autre empêchement personnel imprévu du prestataire, ainsi que la force majeure au sens de l'article 1218 du Code civil, suspendent l'exécution des obligations affectées pendant leur durée ; le prestataire en informe le client dans les meilleurs délais. Si un tel empêchement dure plus de quinze (15) jours consécutifs, le prix mensuel est réduit, par voie d'avoir, au prorata de la durée excédant ce délai. S'il dure plus de trente (30) jours consécutifs, chaque partie peut résilier le contrat par écrit, sans préavis ni indemnité.

Un poste s'entend d'un poste de travail avec le compte de son utilisateur principal. Le prix mensuel résulte de l'inventaire et des tarifs unitaires du contrat, sans pouvoir être inférieur au minimum mensuel qui y figure.

Les tarifs unitaires, le minimum mensuel et le tarif horaire sont révisés chaque année à la date anniversaire de la prise d'effet du contrat, à la hausse comme à la baisse, selon la formule P1 = P0 × (S1 / S0), où P0 est le prix en vigueur, S0 la valeur de l'indice Syntec publiée le mois de la signature ou celle ayant servi à la dernière révision, et S1 la dernière valeur publiée à la date de révision. Le prix révisé est communiqué au client au moins un (1) mois avant son application. Si l'indice cesse d'être publié, il est remplacé par l'indice qui lui est officiellement substitué ou, à défaut, par l'indice le plus proche convenu entre les parties.

Les licences, abonnements et matériels sont souscrits au nom du client et à sa charge. À sa demande, le prestataire peut les commander pour son compte, en son nom ; le prestataire n'achète pas pour revendre. Le stockage de sauvegarde externalisé, les abonnements de tiers (téléphonie, connectivité) et les projets hors forfait font l'objet d'un devis préalablement accepté.

Lorsque le client est une personne publique, les délais de paiement, les intérêts moratoires et l'indemnité forfaitaire pour frais de recouvrement sont ceux du Code de la commande publique, et les factures sont transmises par le portail de facturation électronique de l'État.

Le contrat est conclu pour la durée d'engagement indiquée au contrat, puis se poursuit pour une durée indéterminée ; chaque partie peut alors y mettre fin à tout moment, moyennant un préavis écrit d'un (1) mois.

Si le client met fin au contrat avant le terme de la durée d'engagement, hors les cas de résiliation sans indemnité prévus aux présentes conditions et hors manquement du prestataire, il verse une indemnité égale à 50 % des mensualités restant à courir jusqu'à ce terme ; cette indemnité ne s'applique pas au client non professionnel au sens du Code de la consommation. Lorsque le contrat prend fin par la faute du prestataire ou sans indemnité, la part du prix payée d'avance pour la période postérieure à la fin du contrat est remboursée au client.

Lorsque le client est une personne publique, la durée totale du contrat ne peut excéder quarante-huit (48) mois.

Les stipulations relatives à la confidentialité, à la responsabilité, à la réversibilité et à la protection des données survivent à la fin du contrat pour la durée nécessaire à leur exécution.

Le client s'engage à :

• fournir et maintenir les accès physiques, réseau et d'administration nécessaires, dans les limites de l'« Autorisation d'intervention et d'accès au système d'information » signée séparément, qui fixe l'étendue des accès et des actions autorisées ;
• conserver la maîtrise d'au moins un compte d'administrateur principal pour chaque service critique (messagerie et suite collaborative, noms de domaine, hyperviseurs, pare-feu), dont il garde les identifiants sous sa responsabilité et qu'il n'utilise pas pour l'usage courant ;
• désigner un interlocuteur principal et un suppléant, habilités à valider les demandes, les interventions hors forfait et les devis, et informer le prestataire de tout changement ;
• disposer de licences valides et en nombre suffisant ; le prestataire peut refuser d'installer ou de maintenir un logiciel dépourvu de licence ;
• maintenir sous garantie ou sous contrat de support du fabricant les équipements critiques (serveurs, pare-feu), à défaut de quoi leur dépannage matériel est réalisé hors forfait et sans engagement de délai ;
• informer sans délai le prestataire de tout changement affectant le système d'information (arrivée ou départ d'un utilisateur, nouvel équipement, changement de fournisseur d'accès, déménagement) et de tout incident ou comportement suspect ;
• ne pas modifier la configuration des équipements couverts ni y faire intervenir un tiers sans en avoir préalablement informé le prestataire ;
• faire respecter par ses utilisateurs les règles d'usage et de sécurité communiquées par le prestataire, notamment en matière de mots de passe, de double authentification et de vigilance face à l'hameçonnage ;
• assurer un environnement adapté aux équipements (alimentation électrique, onduleur pour les équipements critiques, local technique, accès internet).

Les services Microsoft 365, Google Workspace, l'hébergement de son site, ses logiciels métier et tout autre service que le client souscrit lui-même lui sont fournis par contrat direct avec leurs éditeurs. Ceux-ci ne sont pas des sous-traitants du prestataire, qui y intervient seulement comme administrateur désigné par le client ; le client reste responsable de ces relations (contrats, localisation des données, transferts éventuels).

Le prestataire n'est pas hébergeur de données de santé certifié et ne propose pas d'hébergement de données de santé. Si le système d'information du client en contient, le client en informe le prestataire par écrit avant la signature, les héberge uniquement chez un hébergeur certifié de son choix et vérifie si la réglementation impose une certification pour l'administration ou l'exploitation de ce système. À défaut de certification, le prestataire n'intervient pas sur les systèmes ou espaces contenant des données de santé, sauf périmètre limité convenu par avenant ; il peut suspendre son intervention sur un périmètre contenant des données de santé non déclarées.

Pour le contrat d'infogérance, les présentes conditions prévalent sur les conditions spécifiques « Hébergement, maintenance et sécurité » en ce qui concerne la réversibilité et la sécurité des équipements figurant à l'inventaire (postes, messagerie, comptes), dont le prestataire assure l'administration ; ces dernières conditions continuent de s'appliquer pour le reste, notamment aux incidents de sécurité et à la responsabilité.

À la fin du contrat, quelle qu'en soit la cause, ou sur demande écrite du client pendant le préavis, le prestataire remet au client, ou au repreneur qu'il désigne par écrit, dans un délai de quinze (15) jours ouvrés : la documentation d'exploitation à jour (inventaire, schémas du réseau, plan d'adressage, procédures d'exploitation et de restauration) ; l'ensemble des identifiants, mots de passe, clés et secrets d'administration, par un moyen sécurisé convenu, de sorte que le client dispose seul des droits d'administration ; les exports de configuration des équipements couverts ; les informations nécessaires à l'exploitation des sauvegardes (emplacement, chiffrement, clés, procédure de restauration) ; le transfert au nom du client des abonnements, noms de domaine et comptes souscrits pour son compte, sous réserve du paiement de leur coût.

Cette remise est comprise dans le prix. À l'exception du transfert des abonnements souscrits pour le compte du client, elle n'est pas subordonnée au paiement des sommes dues, que le prestataire conserve le droit de recouvrer. Sur demande, le prestataire assiste le client dans la transition pendant au plus trois (3) mois après la fin du contrat, au tarif horaire du contrat, sur devis.

Après la remise, confirmée par le client ou, à défaut, quinze (15) jours après celle-ci, le prestataire révoque ses accès, supprime les identifiants et données qu'il détient, sauf obligation légale de conservation, et en atteste par écrit. Il appartient au client de modifier les secrets d'accès après la remise.

Toute intervention sur un appareil comporte un risque de perte de données, en particulier lorsque l'appareil est déjà défaillant. Le client est invité à sauvegarder ses données avant l'intervention. À sa demande, et si l'état de l'appareil le permet, le prestataire réalise une sauvegarde préalable, facturée selon le tarif convenu sauf mention contraire.

Avant toute opération susceptible d'entraîner une perte de données (réinstallation, formatage, remplacement d'un disque), le prestataire en informe le client et recueille son accord. Le refus du client de faire réaliser la sauvegarde qui lui est proposée est consigné par écrit (bon d'intervention ou courrier électronique). À l'égard du client professionnel, le prestataire ne répond pas d'une perte de données survenue en l'absence de sauvegarde préalable, sauf faute de sa part.

Lorsque la réparation dépasse le montant convenu, le prestataire établit un devis et n'engage aucune dépense supplémentaire sans l'accord du client.

Lorsque le client consommateur sollicite expressément une intervention en urgence à son domicile, il ne dispose pas du droit de rétractation pour les pièces et travaux strictement nécessaires pour répondre à l'urgence (article L. 221-28, 8° du Code de la consommation), dont le prix peut être réglé dès l'intervention (article L. 221-10).

Le prestataire n'installe que des logiciels dont le client détient ou acquiert la licence. Le client déclare disposer des licences des logiciels présents sur ses appareils.

Une intervention à distance n'a lieu qu'avec l'accord du client, qui peut l'interrompre à tout moment. Le prestataire ne conserve aucun accès permanent aux appareils du client sans son accord écrit. Il n'accède qu'aux éléments nécessaires à l'intervention et garde confidentielles les données dont il prend connaissance.

Lorsqu'il héberge, sauvegarde, maintient ou supervise le site ou l'infrastructure du client, ou intervient sur ses équipements, le prestataire traite des données personnelles pour le compte de celui-ci. Le client agit en qualité de responsable de traitement et le prestataire en qualité de sous-traitant, au sens du règlement (UE) 2016/679 (RGPD).

Lorsque le client consommateur traite les données à des fins exclusivement personnelles ou domestiques (article 2.2 c) du RGPD), la présente annexe s'applique à titre contractuel.

• Nature des opérations : hébergement, sauvegarde, maintenance, supervision et assistance technique, intervention sur les équipements, logiciels et systèmes du client.
• Finalité : fournir et maintenir le service souscrit.
• Données : celles que collectent le site ou les services du client, par exemple l'identité et les coordonnées des personnes qui utilisent un formulaire, les comptes utilisateurs, les messages et les journaux techniques de connexion.
• Personnes concernées : visiteurs, utilisateurs, clients et prospects du client, ou proches du client consommateur.
• Durée : celle du contrat, augmentée de la période de restitution et de la durée de conservation des sauvegardes.

Le prestataire s'engage à :

• ne traiter les données que sur instruction documentée du client — le contrat et les demandes écrites du client constituent ses instructions —, y compris en ce qui concerne les transferts vers un pays tiers, à moins d'y être tenu par le droit de l'Union ou d'un État membre, auquel cas il en informe le client avant le traitement, sauf si ce droit l'interdit ; informer immédiatement le client si une instruction lui paraît constituer une violation de la réglementation ;
• garantir la confidentialité des données : le prestataire exécute lui-même les prestations, et toute personne qu'il autoriserait à traiter les données serait tenue à une obligation de confidentialité ;
• mettre en œuvre les mesures de sécurité appropriées prévues à l'article 32 du RGPD — notamment des accès restreints et personnels, des échanges chiffrés, l'application des mises à jour de sécurité et, pour les données qu'il héberge, des sauvegardes — ainsi que, lorsqu'elles sont annexées au contrat, les mesures décrites aux conditions spécifiques « Hébergement, maintenance et sécurité » ;
• aider le client à répondre aux demandes des personnes qui exercent leurs droits (accès, rectification, effacement, opposition, limitation, portabilité), en lui transmettant sans délai toute demande reçue directement ;
• notifier au client toute violation de données personnelles dans les meilleurs délais et, sauf impossibilité justifiée, au plus tard quarante-huit (48) heures après en avoir pris connaissance, avec les informations disponibles : nature de la violation, catégories et nombre approximatif de personnes et d'enregistrements concernés, conséquences probables, mesures prises ou proposées ; les informations qui ne peuvent être fournies en même temps le sont de manière échelonnée ;
• aider le client, compte tenu de la nature du traitement et des informations dont il dispose, à remplir ses propres obligations : notification à la CNIL et information des personnes concernées, analyse d'impact et consultation préalable le cas échéant ;
• au terme du contrat, selon le choix du client, supprimer les données ou les lui restituer puis détruire les copies existantes, sauf obligation légale de conservation ; à défaut de demande dans les trente (30) jours suivant la fin du contrat, les données sont supprimées ; les copies présentes dans les sauvegardes sont effacées à l'expiration de leur durée de conservation ;
• mettre à la disposition du client les informations nécessaires pour démontrer le respect de ces obligations, et permettre des audits, menés à ses frais par un auditeur indépendant, non concurrent du prestataire et tenu au secret, sur préavis de trente (30) jours, au plus une fois par an sauf violation de données, dans le respect de la confidentialité des autres clients du prestataire.

Le client autorise le prestataire à recourir aux sous-traitants ultérieurs suivants :

• Hébergement des serveurs, messagerie d'envoi des e-mails du site et enregistrement des noms de domaine : OVH SAS, 2 rue Kellermann, 59100 Roubaix (France).
• Résolution DNS et protection réseau des sites : Cloudflare, Inc., 101 Townsend Street, San Francisco, CA 94107 (États-Unis — transfert encadré par le cadre de protection des données UE–États-Unis et les clauses contractuelles types de la Commission européenne).

Le prestataire informe le client par écrit de tout ajout ou remplacement envisagé ; le client peut s'y opposer pour un motif légitime dans les quinze (15) jours. À défaut d'accord, chaque partie peut résilier le service concerné sans pénalité. Le prestataire impose à ses sous-traitants ultérieurs des obligations de protection des données équivalentes à celles de la présente annexe et demeure pleinement responsable devant le client de leur exécution. Les données sont hébergées dans l'Union européenne ; lorsqu'un sous-traitant ultérieur est établi hors de l'Union, le transfert est encadré par les garanties prévues au chapitre V du RGPD, indiquées ci-dessus.

Le client détermine les finalités et les moyens essentiels des traitements, dispose d'une base légale pour chacun d'eux, informe les personnes concernées, tient son registre des traitements et procède lui-même, s'il y a lieu, aux notifications auprès de la CNIL et des personnes concernées.

Les audits et l'assistance qui dépassent un effort raisonnable font l'objet d'un devis.