Conditions Générales de Vente VigiSOC

Les présentes Conditions Générales de Vente, ci-après les « CGV », ont pour objet de définir les conditions dans lesquelles VigiSOC fournit à ses clients professionnels un service de détection et réponse managé de cybersécurité, reposant notamment sur l'agent CrowdStrike Falcon EDR et sur une supervision humaine assurée par un centre opérationnel de sécurité, ou « SOC », fonctionnant 24 heures sur 24 et 7 jours sur 7.

Les CGV s'appliquent à tout contrat de service conclu entre VigiSOC et un Client, que la souscription intervienne par signature d'un devis, d'un bon de commande, ou par commande en ligne sur le site VigiSOC. Elles complètent, le cas échéant, les conditions particulières, le devis accepté et tout document contractuel expressément validé par VigiSOC.

• « Client » : toute personne morale ou entrepreneur agissant à des fins entrant dans le cadre de son activité professionnelle et ayant souscrit le Service.
• « Contrat » : l'ensemble contractuel composé du devis ou bon de commande accepté, des éventuelles conditions particulières, des présentes CGV et, le cas échéant, du DPA.
• « Extranet » : l'espace client en ligne permettant notamment l'accès aux incidents, à l'état des Licences, aux rapports et aux factures.
• « Incident » : tout événement de sécurité détecté ou suspecté sur un Poste protégé et traité dans le cadre du Service.
• « Licence » : le droit d'usage afférent à la protection d'un Poste protégé pendant la durée contractuelle convenue.
• « Poste protégé » : tout poste de travail Windows ou macOS éligible, sur lequel l'agent CrowdStrike Falcon est correctement déployé, activé et maintenu.
• « Service » : l'ensemble des prestations de détection, supervision, qualification d'alertes, notification, recommandations et accès Extranet fournies par VigiSOC.
• « SOC » : l'équipe humaine et les moyens techniques mobilisés par VigiSOC pour la surveillance, l'analyse et l'escalade des événements de sécurité.
• « Date d'activation » : la date à laquelle la première Licence est activée par VigiSOC sur l'environnement du Client et à compter de laquelle débute la période d'engagement.
• « Données du Client » : toute donnée, journal, élément de configuration, télémétrie ou information transmise par le Client ou collectée pour l'exécution du Service.

Toute commande implique l'acceptation pleine, entière et sans réserve des présentes CGV par le Client. Cette acceptation résulte notamment de la signature du devis, de l'émission d'un bon de commande, de la validation d'une commande en ligne, ou du paiement total ou partiel de la facture correspondante.

Les conditions générales d'achat ou tout autre document émanant du Client ne sont opposables à VigiSOC qu'à la condition d'avoir été expressément acceptés par écrit.

En cas de contradiction entre les présentes CGV et un devis, bon de commande ou conditions particulières expressément acceptés par VigiSOC, ces derniers prévalent selon l'ordre suivant : conditions particulières, devis ou bon de commande, puis CGV.

Le Service VigiSOC consiste en une offre managée de cybersécurité de type MDR / SOC as a Service pour postes de travail, incluant notamment l'intégration de CrowdStrike Falcon EDR, la remontée et la qualification d'alertes, la supervision continue 24/7/365, l'émission d'alertes vers le Client et des recommandations de remédiation.

• le déploiement ou l'accompagnement au déploiement de l'agent CrowdStrike Falcon sur les Postes protégés ;
• la surveillance continue des signaux de sécurité issus des Postes protégés ;
• la qualification humaine des alertes et l'escalade vers le Client selon la criticité ;
• l'accès à l'Extranet client pour consulter incidents, Licences, rapports et factures ;
• un accompagnement de premier niveau à la réponse à incident, dans les limites du périmètre contractuel.

Sauf stipulation expresse contraire, le périmètre du Service est limité aux postes Windows et macOS couverts par des Licences actives et techniquement compatibles avec l'agent CrowdStrike Falcon. Les serveurs, équipements réseau, services cloud, messageries, identités, environnements mobiles, ou tout autre actif non expressément prévu au Contrat sont exclus.

Le Client est informé que certaines composantes du Service reposent sur des logiciels, infrastructures et services tiers, notamment CrowdStrike, sans que cela n'emporte cession des droits de ces tiers au Client.

Les offres de VigiSOC sont émises soit sous forme de devis, soit via un parcours de commande en ligne. Sauf mention contraire, tout devis est valable trente (30) jours calendaires à compter de sa date d'émission.

Le Contrat est réputé formé à la date de réception par le Client de la confirmation de commande adressée par email par VigiSOC, ou à la date de mise en service effective si elle intervient antérieurement.

L'activation du Service reste subordonnée à la réception des informations techniques nécessaires, à l'accès aux Postes protégés selon les modalités convenues, ainsi qu'au paiement initial lorsque celui-ci est exigé à la commande.

La durée initiale d'engagement est de douze (12) mois minimum à compter de la Date d'activation. Toute augmentation du nombre de Licences en cours de période fait l'objet d'une facturation complémentaire pouvant être proratisée jusqu'à la prochaine échéance annuelle.

Les prix s'entendent hors taxes, par Licence et par an, pour la durée d'engagement convenue. La TVA applicable est de vingt pour cent (20 %) en sus au taux en vigueur à la date de facturation.

La facturation est annuelle et intervient en début de période contractuelle. Toute Licence additionnelle commandée en cours d'exécution est facturée à la commande ou au moment de son activation, au tarif correspondant au volume total alors souscrit, sauf stipulation contraire au devis.

Le paiement peut être effectué par carte bancaire via Stripe ou par virement SEPA. Sauf conditions particulières plus strictes, les factures sont payables à réception et au plus tard dans un délai de trente (30) jours à compter de leur date d'émission. Aucun escompte n'est accordé pour paiement anticipé.

Tout retard de paiement entraîne de plein droit, sans qu'un rappel soit nécessaire, l'exigibilité de pénalités de retard calculées à compter du jour suivant la date d'échéance figurant sur la facture. Le taux appliqué correspond au taux de refinancement de la Banque centrale européenne le plus récent majoré de dix (10) points, sans pouvoir être inférieur au taux minimum impératif applicable entre professionnels.

Conformément aux dispositions applicables entre professionnels, toute facture réglée après son échéance donne également lieu à l'application d'une indemnité forfaitaire pour frais de recouvrement de quarante (40) euros, sans préjudice du droit pour VigiSOC de réclamer une indemnisation complémentaire sur justification lorsque les frais de recouvrement effectivement exposés sont supérieurs.

En cas de non-paiement persistant quinze (15) jours après l'envoi d'une mise en demeure restée sans effet, VigiSOC pourra, sans préjudice de tout autre droit, suspendre tout ou partie du Service, l'accès à l'Extranet et l'émission de nouvelles prestations jusqu'au complet règlement des sommes dues.

La suspension du Service pour défaut de paiement ne libère pas le Client de ses obligations financières, notamment du règlement des sommes échues et à échoir jusqu'au terme de la période d'engagement, sauf résiliation expresse de VigiSOC dans les conditions de l'article 8.

Le Contrat est conclu pour une durée initiale ferme de douze (12) mois à compter de la Date d'activation.

À l'issue de cette période initiale, il se renouvelle ensuite tacitement par périodes successives de douze (12) mois, sauf dénonciation par l'une des Parties au moins soixante (60) jours calendaires avant l'échéance, par lettre recommandée avec accusé de réception ou par écrit avec accusé de réception électronique.

En cas de résiliation anticipée à l'initiative du Client hors faute prouvée de VigiSOC, l'intégralité des sommes restant dues jusqu'au terme de la période d'engagement devient immédiatement exigible, sauf accord écrit contraire.

Chaque Partie peut résilier de plein droit le Contrat en cas de manquement grave ou répété de l'autre Partie à ses obligations essentielles, non réparé dans un délai de trente (30) jours suivant notification écrite de mise en demeure.

À la cessation du Contrat, VigiSOC désactive les Licences, coupe l'accès à l'Extranet dans un délai raisonnable et peut supprimer ou anonymiser les Données du Client à l'issue des durées de conservation applicables, sous réserve des obligations légales et probatoires.

VigiSOC est tenue à une obligation de moyens et non de résultat. Elle s'engage à mettre en œuvre les diligences, ressources techniques et humaines raisonnables attendues d'un prestataire professionnel de cybersécurité pour l'exécution du Service.

• assurer une disponibilité opérationnelle du SOC 24/7/365 selon l'organisation interne de VigiSOC ;
• maintenir en conditions opérationnelles la plateforme et les composants du Service placés sous son contrôle ;
• alerter le Client en cas d'Incident qualifié dans les délais définis à l'article 11 ;
• préserver la confidentialité des Données du Client et mettre en œuvre des mesures techniques et organisationnelles appropriées.

VigiSOC ne garantit pas l'absence totale d'attaque, d'intrusion, de compromission ou de dommage de sécurité. Le Service vise à réduire le risque cyber et à améliorer la détection et la réponse, sans constituer une garantie absolue de sécurité.

Le Client s'engage à coopérer loyalement avec VigiSOC pendant toute la durée du Contrat et à fournir, sous sa responsabilité, toute information utile à la bonne exécution du Service.

• maintenir les Postes protégés dans un état compatible avec l'agent CrowdStrike Falcon, notamment en conservant des systèmes d'exploitation supportés et correctement connectés ;
• désigner un interlocuteur technique principal et un remplaçant habilités à recevoir les alertes, valider les actions et coordonner la remédiation ;
• communiquer à VigiSOC les inventaires, accès, journaux et renseignements nécessaires à la prestation ;
• ne pas désinstaller, désactiver, contourner ni modifier l'agent CrowdStrike Falcon ou les politiques de sécurité associées sans accord préalable de VigiSOC ;
• appliquer dans des délais raisonnables les correctifs, mesures de confinement ou recommandations de sécurité jugées nécessaires.

Le Client demeure seul responsable de ses choix d'administration, de l'usage de son système d'information, de la sauvegarde de ses données, de la continuité de ses activités et, plus généralement, de la sécurité globale de son environnement hors périmètre expressément pris en charge par VigiSOC.

11.1 Disponibilité de la plateforme

VigiSOC vise une disponibilité mensuelle de l'Extranet et de la plateforme sous son contrôle de 99,5 %, hors maintenance planifiée, opérations d'urgence, indisponibilités imputables au Client, défaillances des réseaux publics, services tiers ou cas de force majeure.

11.2 Délais de prise en compte et d'alerte

Ces délais courent à compter de la qualification de l'événement par VigiSOC et non de la simple émission brute d'une télémétrie par un outil tiers.

11.3 Maintenance planifiée

Les opérations de maintenance planifiée font, dans la mesure du possible, l'objet d'une information préalable au moins quarante-huit (48) heures à l'avance. Elles sont réalisées prioritairement en dehors des heures ouvrées ou dans des fenêtres techniques compatibles avec l'exploitation du Service.

11.4 Exclusions

• pannes ou saturations des accès Internet, VPN, annuaires, équipements ou logiciels du Client ;
• indisponibilités, limitations ou incidents affectant CrowdStrike ou tout autre fournisseur tiers ;
• interruptions nécessaires à la sécurité, aux mises à jour urgentes ou aux obligations légales ;
• actions ou omissions du Client ou d'un tiers mandaté par le Client.

Sauf engagement spécifique contraire au devis, les objectifs de service ci-dessus ne donnent lieu à aucune pénalité ou crédit de service automatique.

Les logiciels, technologies, documentations, marques et composants tiers utilisés dans le cadre du Service, en ce compris CrowdStrike Falcon, demeurent la propriété exclusive de leurs titulaires respectifs. Le Client bénéficie uniquement, pendant la durée du Contrat, d'un droit d'usage non exclusif, non cessible et non transférable, strictement limité à ses besoins internes.

VigiSOC demeure propriétaire de l'ensemble de ses méthodes, outils, tableaux de bord, procédures, runbooks, playbooks, rapports types, modèles documentaires, savoir-faire et plus généralement de tout élément développé ou utilisé pour fournir le Service.

Les Données du Client et les éléments fournis par celui-ci restent sa propriété exclusive. Le Client autorise toutefois VigiSOC à les utiliser, reproduire et traiter dans la stricte mesure nécessaire à l'exécution du Contrat, à l'amélioration de la qualité de service et au respect de ses obligations légales.

Dans le cadre du Service, le Client agit en qualité de responsable de traitement et VigiSOC, lorsqu'elle traite des données personnelles pour son compte, agit en qualité de sous-traitant au sens de la réglementation applicable sur la protection des données personnelles.

VigiSOC s'engage à traiter les données personnelles uniquement sur instruction documentée du Client, sauf obligation légale contraire, et à mettre en œuvre les mesures de sécurité techniques et organisationnelles adaptées à la nature des traitements effectués.

• Un accord de traitement des données, ou DPA, peut être communiqué au Client sur simple demande.
• VigiSOC veille à ce que les personnes autorisées à traiter les données soient soumises à une obligation de confidentialité appropriée.
• Les logs, alertes, journaux de sécurité et données d'exploitation sont conservés pendant la durée nécessaire à la prestation et, sauf exigence légale, réglementaire ou probatoire différente, pendant une durée maximale de douze (12) mois à compter de leur collecte.
• Toute demande d'exercice de droits reçue directement par VigiSOC et relevant du Client lui est transmise dans les meilleurs délais.

Chaque Partie s'engage à conserver strictement confidentielles les informations, documents, données, procédés et éléments de toute nature communiqués par l'autre Partie ou auxquels elle aurait accès dans le cadre du Contrat, et à ne les utiliser qu'aux seules fins de son exécution.

Cette obligation de confidentialité s'applique pendant toute la durée du Contrat et pendant une durée de trois (3) ans suivant sa cessation pour quelque cause que ce soit.

Ne sont pas considérées comme confidentielles les informations qui étaient déjà connues de la Partie réceptrice, étaient tombées dans le domaine public sans faute de sa part, lui ont été communiquées licitement par un tiers non tenu à confidentialité, ou dont la divulgation est exigée par une loi, un règlement ou une autorité compétente.

VigiSOC n'est responsable que des dommages directs, personnels, certains et prévisibles résultant d'une faute prouvée dans l'exécution du Contrat. Sont exclus, dans toute la mesure permise par la loi, les dommages indirects tels que perte d'exploitation, perte de chiffre d'affaires, perte de marge, perte d'image, perte de chance, perte de données ou coût de reconstitution de données.

Sous réserve des dispositions d'ordre public, la responsabilité totale et cumulée de VigiSOC, toutes causes confondues, est plafonnée au montant hors taxes effectivement facturé ou facturable au Client au titre des douze (12) derniers mois précédant le fait générateur de responsabilité.

VigiSOC ne saurait être tenue responsable d'un dommage résultant notamment d'un cas de force majeure, d'une faute ou négligence du Client, d'un défaut de collaboration du Client, d'un système non supporté, d'une mauvaise configuration locale, d'une interruption de service tiers, ou d'une attaque exploitant une vulnérabilité zero-day non connue et ne pouvant raisonnablement être détectée ou contenue au moment des faits.

Aucune Partie ne pourra être tenue responsable d'un manquement à l'une de ses obligations contractuelles lorsqu'un tel manquement résulte d'un événement de force majeure au sens de la réglementation et de la jurisprudence françaises, incluant notamment catastrophe naturelle, incendie, grève externe, guerre, acte terroriste, panne massive d'énergie, rupture généralisée de télécommunications ou indisponibilité majeure d'un fournisseur critique.

La Partie invoquant un cas de force majeure en informe l'autre dans les meilleurs délais. Les obligations affectées sont suspendues pendant la durée de l'événement. Si le cas de force majeure se prolonge au-delà de soixante (60) jours calendaires, chaque Partie pourra résilier le Contrat sans indemnité, sous réserve du règlement des prestations déjà exécutées.

VigiSOC peut librement sous-traiter ou confier à des partenaires spécialisés tout ou partie de l'exécution du Service, notamment pour les logiciels de protection endpoint, l'hébergement, la supervision technique, la messagerie transactionnelle ou certaines opérations d'assistance.

Le recours à un sous-traitant, y compris CrowdStrike pour la brique EDR, n'emporte aucun transfert du Contrat. VigiSOC demeure responsable vis-à-vis du Client de la bonne exécution des obligations qu'elle a souscrites, sous réserve des limites prévues aux présentes CGV.

VigiSOC se réserve la faculté de modifier les présentes CGV afin de tenir compte d'évolutions légales, réglementaires, techniques, sécuritaires ou commerciales. Toute modification applicable à un Contrat en cours est portée à la connaissance du Client avec un préavis minimum de trente (30) jours calendaires avant son entrée en vigueur.

Si la modification affecte de manière substantielle l'équilibre du Contrat et n'est pas imposée par une obligation légale ou de sécurité, le Client peut notifier son refus avant la date d'effet annoncée. Les Parties recherchent alors une solution amiable ; à défaut, le Client pourra résilier le Contrat à cette date, sans pénalité autre que le paiement des prestations déjà fournies.

Les commandes déjà acceptées demeurent régies par la version des CGV en vigueur à leur date d'acceptation, sauf si une évolution légale ou sécuritaire impose leur adaptation immédiate.

Les présentes CGV et le Contrat sont soumis au droit français.

En cas de différend relatif à leur interprétation, leur validité, leur exécution ou leur cessation, les Parties s'engagent à rechercher préalablement une solution amiable pendant un délai de trente (30) jours à compter de la notification écrite du différend.

À défaut de résolution amiable dans ce délai, compétence expresse est attribuée au Tribunal de commerce de Dijon, y compris en cas de référé, d'appel en garantie, de pluralité de défendeurs ou de procédures d'urgence.

Si l'une quelconque des stipulations des présentes CGV était déclarée nulle, inopposable ou inapplicable, les autres stipulations conserveraient toute leur force et leur portée.

Le fait pour l'une des Parties de ne pas se prévaloir, à un moment donné, d'une stipulation des présentes CGV ne saurait être interprété comme une renonciation à s'en prévaloir ultérieurement.

Le Contrat exprime l'intégralité de l'accord intervenu entre les Parties sur son objet et remplace tout échange, document ou engagement antérieur ayant le même objet.

Les notifications peuvent être valablement adressées par courrier électronique aux coordonnées mentionnées au devis ou dans l'Extranet, sauf lorsqu'une disposition des présentes CGV exige expressément une forme renforcée.