Conditions générales de vente et d’utilisation

Les présentes conditions sont conclues entre VESPERID (VesperID), dont les identifiants figurent dans les mentions légales, et le client, personne morale ou personne physique agissant à titre professionnel. Une personne physique qui souscrit à des fins étrangères à son activité professionnelle est un client consommateur : les conditions particulières de la section « Clients consommateurs » s’appliquent alors en complément et prévalent en cas de contradiction.

Elles ont pour objet de définir les modalités de fourniture des services de surveillance de l’exposition aux menaces, d’accès à la plateforme et de prestations associées.

Toute commande implique l’acceptation sans réserve des présentes conditions, qui prévalent sur les conditions d’achat du client sauf accord écrit contraire.

Licence : droit d’usage annuel, nominatif et non exclusif, portant sur un ensemble de services, de quotas et de sièges définis dans le devis accepté.

Service : élément du catalogue VesperID activé pour une licence, chacun ayant son propre périmètre fonctionnel et sa propre unité de quota.

Périmètre : ensemble des actifs déclarés par le client et vérifiés (noms de domaine, adresses, personnes, mots-clés, plages d’adresses, dépôts de code, tenant Microsoft 365, numéros d’identification bancaire) sur lesquels s’exerce la surveillance.

Siège : accès nominatif d’un utilisateur à la plateforme, comptabilisé qu’il soit actif ou en attente d’acceptation d’invitation.

Détection : élément d’exposition observé, daté et rattaché à un actif du périmètre.

Quota : volume maximal d’unités consommables sur la durée de la licence ou sur un mois, selon l’unité applicable au service.

Toute prestation fait l’objet d’un devis écrit détaillant les services activés, les quotas, le nombre de sièges, la durée et le prix ligne par ligne. Le devis est valable trente jours à compter de son émission, sauf mention contraire.

Le contrat est formé à l’acceptation écrite du devis par le client. Une facture est alors émise.

Les prix appliqués sont ceux figurant au devis accepté ; ils sont figés pour la durée de la licence, y compris en cas d’évolution ultérieure du catalogue tarifaire.

La licence est consentie pour une durée d’un an à compter de son activation, pour le périmètre, les services et les quotas convenus. Une organisation cliente, entreprise ou particulier, peut détenir plusieurs licences ; chacune porte sa propre composition de services, ses quotas, sa durée et sa facture.

Le droit d’usage est personnel au client et à ses utilisateurs désignés. Il ne peut être cédé, sous-licencié, revendu ni mis à disposition d’un tiers, y compris d’une société liée non mentionnée au contrat.

L’accès à la plateforme est réservé aux utilisateurs disposant d’un siège. Le partage d’identifiants entre plusieurs personnes est interdit.

Le client s’interdit toute tentative d’extraction massive automatisée hors des fonctions d’export prévues, ainsi que toute rétro-ingénierie de la plateforme, sauf dans les cas prévus par la loi.

La licence est activée après encaissement de la facture correspondante. Le compte propriétaire désigné par le client reçoit alors une invitation nominative.

La surveillance d’un actif ne débute qu’après vérification de la légitimité du client sur cet actif : publication d’un enregistrement DNS pour un nom de domaine, ou acceptation de l’invitation par la personne pour un profil de protection.

Le client reconnaît que l’absence d’actif vérifié empêche toute détection, et qu’il lui appartient de compléter et de maintenir son périmètre.

Certains services supposent que les identifiants du périmètre soient transmis à notre fournisseur de collecte : ce point fait l’objet d’une information et d’une attestation tracée du client avant activation.

Le nombre de sièges et les quotas figurent au devis accepté et sont consultables en permanence dans l’espace client.

Les compteurs sont calculés à partir des consommations effectives. Une recherche identique répétée dans un court intervalle n’est pas décomptée deux fois.

L’atteinte d’un quota n’interrompt pas la surveillance déjà en place ; elle empêche la consommation d’unités supplémentaires pour le service concerné jusqu’à extension ou renouvellement.

Toute extension en cours d’année (service supplémentaire, sièges, quotas, crédits) fait l’objet d’une proposition tarifée au prorata de la durée restante et d’une facture distincte.

Les prix sont exprimés en euros et hors taxes. La taxe sur la valeur ajoutée applicable est ajoutée sur la facture au taux en vigueur.

Le règlement s’effectue exclusivement par virement bancaire, aux coordonnées figurant sur la facture. Il n’existe aucun paiement en ligne ni prélèvement automatique.

Sauf stipulation contraire au devis, les factures sont payables à trente jours date de facture.

Tout retard de paiement entraîne de plein droit l’application de pénalités de retard au taux d’intérêt appliqué par la Banque centrale européenne à son opération de refinancement la plus récente majoré de dix points de pourcentage, ainsi qu’une indemnité forfaitaire pour frais de recouvrement de quarante euros, conformément au code de commerce.

En cas de non-paiement persistant après mise en demeure restée sans effet pendant quinze jours, VesperID peut suspendre l’accès à la plateforme, la surveillance étant maintenue dans la limite du raisonnable jusqu’à résolution.

Un client consommateur n’est redevable ni des pénalités de retard ni de l’indemnité forfaitaire de recouvrement ; seuls les intérêts au taux légal courent après mise en demeure, dans les conditions de la section « Clients consommateurs ».

La licence est conclue pour un an. Elle n’est pas reconduite tacitement : son renouvellement fait l’objet d’une proposition écrite adressée avant l’échéance et d’une acceptation expresse du client.

À l’échéance, et à défaut de renouvellement, l’accès à la plateforme est maintenu en lecture pendant une période de grâce permettant l’export des données, puis fermé. Les détections et leurs métadonnées sont supprimées quatre-vingt-dix jours après la fin de la licence, sauf durée différente fixée par écrit dans la limite de douze mois, et les identifiants sont retirés chez le fournisseur de collecte.

Chaque partie peut résilier le contrat en cas de manquement grave de l’autre partie, non réparé dans un délai de trente jours à compter d’une mise en demeure écrite.

En cas de résiliation aux torts de VesperID, les sommes correspondant à la période non exécutée sont remboursées au prorata. En cas de résiliation aux torts du client, les sommes versées restent acquises.

La personne faisant l’objet d’un profil de protection peut y mettre fin à tout moment, sans motif ; la surveillance de ce profil cesse alors immédiatement, sans que cette fin ouvre droit à remboursement au bénéfice du client qui aurait souscrit pour elle, et sans aucune conséquence pour la personne.

Le client garantit disposer des droits nécessaires sur les actifs qu’il déclare, et être en mesure d’en démontrer la propriété ou l’usage légitime.

Avant d’activer un service qui traite des données de ses collaborateurs (Identifiants compromis, Appareils infectés, Sessions volées, Collaborateurs exposés), le client les informe individuellement au moyen de la note d’information que VesperID lui fournit, consulte le comité social et économique lorsque la loi l’exige, et enregistre dans son espace client l’attestation datée correspondante, par service ; l’activation en dépend.

Le client ne demande le suivi nominatif d’une personne (nom, adresses privées, pseudonymes) que dans le cadre du service Protection des dirigeants, après acceptation de l’invitation par cette personne. Les mineurs ne font l’objet d’aucun service.

Le client utilise les détections, les analyses, les scores, les cohortes, les actions recommandées et les exports aux seules fins de sécurité de ses systèmes et de ses comptes et de défense de ses droits. Il s’interdit tout usage de gestion du personnel : évaluation, sanction disciplinaire, contrôle de l’activité, recrutement ou décision individuelle à l’égard d’une personne. Les résultats sont réservés aux personnes chargées de la sécurité des systèmes d’information, et le client répond de la conformité de ses habilitations à cette règle.

Le client s’interdit d’utiliser la plateforme et le service Investigations pour rechercher des informations sur un candidat, un salarié ou la vie privée d’une personne ; une investigation porte sur une menace visant son organisation, et VesperID refuse toute demande dépourvue d’objet de sécurité.

Le client adopte la politique de révélation (section « Révélation à la demande »), désigne les membres habilités à la révélation complète, revoit mensuellement le journal des révélations et traite les abus.

Le client est responsable de la gestion de ses utilisateurs, de leurs rôles et de la révocation des accès des personnes ayant quitté l’organisation, ainsi que des destinataires d’alertes qu’il configure (adresses, Slack, Microsoft Teams, webhooks), qui ne sont pas des sous-traitants de VesperID.

VesperID s’engage à fournir les services avec le soin et la diligence d’un professionnel du secteur, à maintenir la plateforme en condition opérationnelle et à assurer un support pendant les jours ouvrés.

Les alertes de la plateforme sont émises automatiquement selon les règles définies par le client. VesperID s’engage à ce qu’un analyste réponde à toute demande du client sous un jour ouvré, hors jours fériés, et qualifie à sa demande une détection.

VesperID s’engage à informer le client de toute interruption planifiée et, sans délai, de tout incident de sécurité affectant ses données.

Les obligations de VesperID au titre des services de surveillance, de retrait et d’investigation sont des obligations de moyens. La surveillance porte sur des sources externes dont ni l’exhaustivité ni la disponibilité ne peuvent être garanties ; l’issue d’une demande de retrait dépend de la décision d’un tiers.

Par défaut, un secret associé à une détection est affiché masqué (deux premiers et deux derniers caractères). La révélation complète est réservée aux membres des rôles responsable et propriétaire, après ré-authentification de moins de cinq minutes, sur saisie d’un motif, dans la limite de vingt révélations par membre et par période glissante de vingt-quatre heures.

La révélation complète n’est possible que pour un compte dont le domaine ou le service visé appartient au périmètre vérifié du client ; pour une carte de paiement, le périmètre est un BIN déclaré par le client, pour un compte bancaire, une identité vérifiée. La valeur d’un cookie de session d’un service tiers n’est jamais révélée ; les autres expositions d’une même adresse hors du périmètre sont présentées en nombre.

Le secret est lu en direct chez le fournisseur de collecte, transmis au navigateur du membre avec interdiction de mise en cache, et n’est enregistré nulle part par VesperID. Chaque révélation fait l’objet d’une entrée du journal d’audit (membre, détection, champ, caractère masqué ou complet, motif, adresse IP, agent utilisateur, horodatage).

Le client s’engage à ne copier, enregistrer, exporter ni transmettre aucun secret révélé, y compris à la personne concernée, et à ne jamais tenter une connexion avec un secret révélé ni rejouer une session.

Le client souscrit le service pour des personnes physiques qu’il désigne, dans la limite du quota de profils de la licence. Le service pour une personne n’est activé qu’à l’acceptation, par la personne, de l’invitation adressée par VesperID ; tant qu’elle n’est pas acceptée, aucune donnée relative à la personne n’est traitée au titre de ce service et aucun identifiant n’est transmis au fournisseur de collecte.

Les données d’exposition d’une personne protégée sont accessibles à la personne seule et aux membres à qui elle a elle-même accordé un accès. Le client n’y a pas accès et ne peut exiger de VesperID qu’elle les lui communique, même après la fin du service ; il reçoit un état agrégé limité au nom d’affichage, au statut du profil, au nombre de détections ouvertes, au niveau le plus élevé et à la date de dernière mise à jour.

La personne peut mettre fin au service la concernant à tout moment, sans motif ; le client peut également y mettre fin, avec information de la personne. Aucune fin de service n’ouvre au client un accès rétroactif aux données de la personne ni ne donne lieu à remboursement. Le client s’interdit toute mesure, décision ou demande à l’égard de la personne fondée sur l’existence du profil, sur l’état agrégé ou sur le refus d’accorder un accès.

Les proches d’une personne protégée ne sont pas couverts par la licence du client. Un proche majeur peut souscrire lui-même un contrat auprès de VesperID ; le client n’en voit aucun état. Les mineurs sont exclus du service.

VesperID ne saurait être tenue responsable des conséquences d’une compromission, d’une fraude ou d’un dommage subi par le client, ses clients ou ses collaborateurs. Le service consiste à informer et à qualifier, non à empêcher un incident ni à sécuriser les systèmes du client.

VesperID ne garantit ni l’exhaustivité des sources externes, ni la détection de toute exposition existante, ni l’issue favorable d’une demande de retrait auprès d’un tiers.

La responsabilité de VesperID, toutes causes confondues, est limitée au montant hors taxes effectivement réglé par le client au titre de la licence en cours au moment du fait générateur.

Aucune des parties n’est responsable des dommages indirects, notamment perte d’exploitation, perte de chiffre d’affaires, perte de données du client ou atteinte à l’image.

Ces limitations ne s’appliquent pas en cas de faute lourde, de dol ou de dommage corporel, ni dans les cas où la loi les écarte.

Chaque partie s’engage à préserver la confidentialité des informations reçues de l’autre partie, pendant la durée du contrat et cinq ans après son terme.

VesperID s’interdit de citer le nom du client, sa marque, son logotype ou toute histoire permettant de l’identifier, à quelque fin que ce soit, y compris commerciale, sauf accord écrit exprès et révocable.

L’accès aux données d’un client par les équipes de VesperID est limité aux besoins d’exploitation et de support, journalisé, et soumis à des engagements de confidentialité individuels.

Pour les données du périmètre surveillé, VesperID agit en qualité de sous-traitant au sens de l’article 28 du règlement général sur la protection des données, sur instruction documentée du client responsable de traitement.

VesperID traite ces données uniquement pour l’exécution du contrat, met en œuvre des mesures techniques et organisationnelles appropriées, assiste le client dans la réponse aux demandes d’exercice de droits, et l’informe de tout recours à un sous-traitant ultérieur.

La liste des sous-traitants, leur localisation et le cadre juridique des transferts figurent dans la politique de confidentialité.

À l’expiration du contrat, les données sont supprimées à l’issue des durées de conservation indiquées, ou plus tôt sur demande écrite du client, sous réserve des obligations légales de conservation.

La plateforme, ses composants, sa documentation et ses modèles de rapports demeurent la propriété exclusive de VesperID. Le contrat ne confère qu’un droit d’usage limité, pour la durée de la licence.

Les données du périmètre déclaré et les rapports générés pour le client lui appartiennent. Le client peut les exporter et les exploiter librement, y compris après la fin du contrat.

Les retours d’expérience et suggestions formulés par le client peuvent être utilisés par VesperID pour améliorer ses services, sans que cela confère de droit de propriété au client ni n’autorise VesperID à le citer.

Aucune partie n’est responsable d’un manquement causé par un événement de force majeure au sens de l’article 1218 du code civil. La partie empêchée en informe l’autre sans délai ; si l’empêchement dure plus de soixante jours, chaque partie peut résilier sans indemnité.

Le contrat ne peut être cédé par le client sans accord écrit préalable de VesperID. VesperID peut céder le contrat dans le cadre d’une opération affectant l’ensemble de son activité, en informant le client par écrit et sans dégradation du niveau de service.

Les présentes conditions particulières s’appliquent à toute personne physique qui souscrit une licence à des fins qui n’entrent pas dans le cadre de son activité professionnelle. Elles prévalent sur les autres sections en cas de contradiction. Ne s’appliquent pas au client consommateur : les pénalités et l’indemnité de recouvrement, la limitation de responsabilité, la clause de sommes acquises en cas de résiliation et la clause attributive de juridiction.

Information précontractuelle : avant toute commande, VesperID communique au client consommateur, sur un support durable joint au devis, les caractéristiques essentielles des services, le prix total toutes taxes comprises et les modalités de paiement, la durée du contrat (douze mois, sans reconduction tacite), les conditions du droit de rétractation et le formulaire type, l’existence de la garantie légale de conformité, les fonctionnalités et l’interopérabilité des services numériques (exports CSV et JSON, rapports PDF), les coordonnées du médiateur de la consommation et les modalités de traitement des données (articles L. 111-1 et L. 221-5 du code de la consommation). Le devis et les présentes constituent le contrat ; VesperID en confirme la conclusion sur support durable.

Droit de rétractation : le client consommateur dispose de quatorze jours à compter de la conclusion du contrat pour se rétracter, sans motif ni frais, par une déclaration dénuée d’ambiguïté adressée à contact@vesperid.com ou au siège, par exemple au moyen du formulaire type joint au devis (article L. 221-18). VesperID rembourse la totalité des sommes versées au plus tard quatorze jours après en avoir été informée. Le service ne commence avant la fin de ce délai que sur demande expresse du client consommateur, enregistrée avec sa date ; s’il se rétracte ensuite dans le délai, il doit le prix du service fourni jusqu’à sa décision, au prorata du prix total sur douze mois, et le surplus lui est remboursé (article L. 221-25). Une licence de douze mois n’étant jamais pleinement exécutée avant la fin du délai, le droit de rétractation n’est pas perdu.

Durée et résiliation : le contrat est conclu pour douze mois, sans reconduction tacite. Le client consommateur peut le résilier à tout moment, sans motif, par courriel ou depuis son espace ; la résiliation prend effet à la fin du mois en cours et les mois entiers non exécutés sont remboursés dans les quatorze jours, au prorata du prix total. À la fin du contrat, l’espace reste accessible en lecture pendant trente jours pour l’export, puis les données d’exposition sont supprimées quatre-vingt-dix jours après la fin du contrat et les identifiants retirés chez le fournisseur de collecte.

Prix et paiement : les prix sont indiqués toutes taxes comprises ; le prix de la licence est payable par virement dans les trente jours de l’acceptation du devis. En cas de retard, une mise en demeure est adressée ; à défaut de paiement dans les quinze jours, des intérêts au taux légal courent et le service peut être suspendu. Aucune pénalité forfaitaire n’est due.

Garantie légale de conformité : VesperID est tenue de la garantie légale de conformité des services numériques (articles L. 224-25-12 et suivants du code de la consommation) pendant toute la durée de fourniture, et fournit les mises à jour nécessaires. En cas de défaut, le client consommateur a droit à la mise en conformité sans frais ou, à défaut, à une réduction du prix ou à la résolution du contrat.

Responsabilité : VesperID répond de la bonne exécution du contrat dans les conditions du droit commun ; aucune clause ne limite ni n’exclut sa responsabilité au-delà de ce que la loi permet, et aucune somme n’est conservée sans contrepartie en cas de fin anticipée. Les obligations de surveillance restent des obligations de moyens.

Données à caractère personnel : pour le service fourni au client consommateur, VesperID est responsable du traitement ; le traitement de ses identifiants et de ses expositions est nécessaire à l’exécution du contrat. Le client consommateur est seul à voir ses données d’exposition, accorde et retire les accès à son espace, consulte le journal des accès du support et met fin au service ; la transmission de ses identifiants au fournisseur de collecte établi au Canada et les autres sous-traitants sont décrits dans la politique de confidentialité. Un proche majeur souscrit son propre contrat ; les mineurs ne font l’objet d’aucun service.

Médiation : en cas de réclamation, le client consommateur s’adresse d’abord à contact@vesperid.com. Si le litige n’est pas résolu dans un délai de deux mois, il peut recourir gratuitement au médiateur de la consommation dont relève VesperID, dans l’année de sa réclamation écrite (articles L. 611-1 à L. 616-3 du code de la consommation). La désignation du médiateur est en cours ; ses coordonnées sont communiquées sur le devis et sur cette page avant toute commande d’un consommateur. Le recours à la médiation est facultatif ; le client consommateur conserve le droit de saisir les tribunaux.

Droit applicable et juridiction : le contrat est soumis au droit français, sans préjudice des dispositions impératives plus protectrices du droit de l’État de résidence du client consommateur. Outre les juridictions compétentes en vertu du code de procédure civile, le client consommateur peut saisir la juridiction du lieu où il demeurait au moment de la conclusion du contrat ou de la survenance du fait dommageable (article R. 631-3 du code de la consommation). Le contrat est rédigé en français.

Les présentes conditions sont soumises au droit français.

Les parties s’efforcent de résoudre à l’amiable tout différend relatif à leur interprétation ou à leur exécution. À défaut d’accord dans un délai de trente jours, le litige est porté devant le tribunal compétent du ressort du siège social de VesperID, y compris en cas de pluralité de défendeurs ou d’appel en garantie.

Lorsque le client est un consommateur, la section « Clients consommateurs » s’applique : règles de compétence protectrices, médiation de la consommation et droit de rétractation.