Conditions générales de vente

Préambule

Les présentes conditions sont proposées par INTELLIX, société par actions simplifiée au capital de 5 000 €, dont le siège social est situé 4 rue Marie Bracquemont, 85660 Saint-Philbert-de-Bouaine, France, immatriculée au RCS La Roche-sur-Yon 941 084 386, SIRET 941 084 386 00015, qui exploite la marque DMC DEFENSE (ci-après « DMC DEFENSE »).

1. Objet, champ d’application et documents contractuels

1.1 Objet. Les présentes conditions générales de vente (« CGV ») régissent les prestations de cybersécurité vendues par DMC DEFENSE : tests d’intrusion (« Pentest »), surveillance de la sécurité (« SOC ») et politique de sécurité des systèmes d’information (« PSSI »).

1.2 Clients professionnels. Les prestations sont réservées aux professionnels et aux personnes morales de droit public (le « Client »). Elles ne sont pas proposées aux consommateurs. Les CGV constituent le socle unique de la négociation commerciale (art. L441-1 du Code de commerce) et sont communiquées à tout Client qui en fait la demande.

1.3 Opposabilité. Toute commande vaut acceptation des CGV en vigueur à sa date. Les conditions générales d’achat du Client ne s’appliquent que si DMC DEFENSE les a acceptées par écrit.

1.4 Documents contractuels. Le contrat est formé des documents suivants, par ordre de priorité décroissant en cas de contradiction :

1. le devis signé, avec ses annexes (fiche de périmètre du Pentest, liste des services surveillés du SOC) ;
2. l’accord sur le traitement des données personnelles (article 9.2) ;
3. les présentes CGV.

1.5 Définitions.

• Prestations : les services commandés par le Client, décrits au devis.
• Tenant : l’environnement Microsoft 365 / Entra ID / Azure du Client, dont il reste seul titulaire.
• Périmètre : la partie du système d’information du Client visée par une Prestation, décrite au devis ou dans la fiche de périmètre.
• Incident de sécurité : un ou plusieurs événements indésirables ou inattendus susceptibles de compromettre la disponibilité, l’intégrité ou la confidentialité du système d’information du Client.
• Utilisateur : une personne disposant d’un compte actif sous licence Microsoft 365 dans le Tenant et couverte par le SOC.
• Jours ouvrés : du lundi au vendredi, hors jours fériés en France métropolitaine.

1.6 Acheteurs publics. Lorsque la Prestation est achetée dans le cadre d’un marché public, les pièces du marché (acte d’engagement, CCAP, CCTP, CCAG applicable) priment sur les CGV, qui ne s’appliquent qu’aux points que ces pièces ne règlent pas. Les délais de paiement, les intérêts moratoires et l’indemnité forfaitaire de recouvrement sont alors ceux du Code de la commande publique.

1.7 Langue. Les CGV sont rédigées en français. En cas de traduction, seule la version française fait foi.

2. Commande

2.1 Devis. Chaque Prestation fait l’objet d’un devis. Il précise le Périmètre, le prix, la durée et, pour le SOC, le palier, le nombre d’Utilisateurs et l’engagement choisi. Sauf mention contraire, il est valable 30 jours.

2.2 Cadrage. Les prix affichés sur le site dmc-defense.com sont des prix publics « à partir de ». Pour le Pentest, le prix final est fixé au cadrage, après un échange sur le Périmètre. Pour la PSSI, un périmètre complexe (plusieurs sites ou entités) peut faire l’objet d’un devis.

2.3 Acceptation. La commande est ferme à la réception par DMC DEFENSE du devis signé par une personne habilitée à engager le Client, sur papier ou par signature électronique.

2.4 Modification. Toute modification du Périmètre après la commande fait l’objet d’un avenant ou d’un nouveau devis. Pour le SOC, l’évolution du nombre d’Utilisateurs suit l’article 4.4.

3. Dispositions propres au Pentest

3.1 Prix. Le Pentest est facturé à la mission : à partir de 4 000 € HT par application web, et à partir de 4 000 € HT par Tenant Microsoft 365 / Entra ID. Le prix final est fixé au cadrage (article 2.2).

3.2 Autorisation écrite. Avant tout test, le Client signe une fiche de périmètre qui vaut autorisation d’accès à son système d’information au sens des articles 323-1 et suivants du Code pénal. Elle précise les cibles, les cibles exclues, les techniques permises, la période et les horaires de test, et les contacts d’urgence. Aucun test ne commence sans elle.

3.3 Systèmes de tiers. Le Client garantit qu’il est en droit d’autoriser les tests sur l’ensemble du Périmètre. Si un élément appartient à un tiers ou est hébergé par lui (hébergeur, infogéreur, éditeur SaaS), le Client obtient son accord écrit préalable et le remet à DMC DEFENSE sur demande. DMC DEFENSE peut suspendre la mission jusqu’à sa réception.

3.4 Préalables à la charge du Client. Avant les tests, le Client :

• réalise une sauvegarde complète et vérifiée des systèmes du Périmètre ;
• fournit les comptes et accès de test convenus, et les retire à la fin de la mission ;
• désigne un interlocuteur joignable pendant toute la période de test, habilité à faire arrêter les tests ;
• évite de programmer les tests pendant une opération sensible (migration, mise en production majeure).

3.5 Exclusions. Sauf accord écrit dans la fiche de périmètre, le Pentest n’inclut ni déni de service volontaire, ni ingénierie sociale (hameçonnage, intrusion physique), ni modification ou destruction de données. Une faille dont l’exploitation risque de rendre un système instable n’est exploitée qu’avec l’accord écrit du Client.

3.6 Faille critique. Si DMC DEFENSE découvre pendant la mission une faille présentant un risque critique, elle en informe le Client sans attendre le rapport.

3.7 Rapport. DMC DEFENSE remet un rapport sous 15 Jours ouvrés après la fin des tests. Pour chaque faille relevée, il indique sa criticité et la correction à appliquer. Si le Client souhaite que DMC DEFENSE applique les corrections, cette application est prévue au cadrage ; elle n’inclut jamais le code des applications du Client.

3.8 Retest. Un retest des failles relevées est inclus s’il est réalisé dans les 60 jours suivant la remise du rapport. Il porte sur les seules failles du rapport, sur le même Périmètre. Passé ce délai, il est facturé sur devis.

3.9 Fin de mission. DMC DEFENSE retire les comptes, outils et traces qu’elle a créés pendant les tests et efface les preuves collectées 90 jours après la remise du rapport, sauf demande contraire du Client.

3.10 Limites. Le Client reconnaît qu’un Pentest n’est pas exhaustif : il montre l’existence de certaines failles à la date des tests, pas l’absence d’autres failles.

3.11 Indépendance. DMC DEFENSE recommande qu’un prestataire indépendant teste une infrastructure qu’elle surveille. Si le Client choisit de lui confier les deux, DMC DEFENSE réalise la mission.

4. Dispositions propres au SOC

4.1 Prérequis. Le SOC fonctionne sur la stack sécurité Microsoft. Le Client dispose d’un Tenant Microsoft 365 et des licences nécessaires au palier choisi. Ces licences et les consommations Azure restent à sa charge, sauf l’ingestion incluse à l’article 4.3.

4.2 Paliers et prix. Prix HT par Utilisateur et par mois, sans engagement :

La facturation porte sur 10 Utilisateurs au minimum, avec un minimum de 100 € HT par mois et par Client. La mise en service du SOC est incluse, sans frais.

4.3 Consommation Azure. En Standard et Premium, le prix inclut la consommation Azure liée à l’ingestion Microsoft Sentinel jusqu’à 2 € HT par Utilisateur et par mois. Au-delà, l’excédent est refacturé au coût, après accord écrit du Client. Sans cet accord, DMC DEFENSE peut proposer de réduire les sources de journaux collectées.

4.4 Nombre d’Utilisateurs. Le nombre d’Utilisateurs facturés est relevé chaque mois dans le Tenant. Une hausse est facturée à partir du mois suivant. Une baisse prend effet le mois suivant ; pendant un engagement, le nombre facturé ne descend pas sous celui de la commande.

4.5 Déploiement. Le SOC est déployé en 2 à 4 semaines après la commande, sous réserve des accès et informations fournis par le Client. La facturation commence à la date de mise en service notifiée par écrit.

4.6 Contenu du service. Sur tous les paliers :

• surveillance 24/7 des alertes de sécurité du Périmètre ;
• détection automatique d’un Incident de sécurité par les outils Microsoft en moins de 15 minutes, à toute heure ;
• audit du Microsoft 365 du Client tous les 3 mois, qui fixe la feuille de route ; l’audit suivant vérifie les corrections ; l’audit couvre Microsoft 365 uniquement ;
• correction des failles Microsoft 365 relevées : DMC DEFENSE propose la correction, prête à appliquer par l’équipe informatique du Client, ou l’applique pour lui, au choix du Client ; chaque correction appliquée est validée par un expert.

À partir du SOC Standard : prise en charge d’un Incident de sécurité en moins de 30 minutes après sa détection.

4.7 Présence des analystes. Les plages de présence des analystes de chaque palier sont précisées au devis. La détection automatique fonctionne en continu.

4.8 Hors service. Le SOC n’inclut pas : la correction en dehors de Microsoft 365 (applications métier, serveurs, équipements), réalisée par le Client ou par DMC DEFENSE sur devis ; l’investigation numérique approfondie ; la restauration des systèmes ; la gestion de crise hors SOC Premium.

4.9 Accès au Tenant. Le Client accorde à DMC DEFENSE des droits délégués sur son Tenant, dont il fixe l’étendue avec DMC DEFENSE et qu’il peut révoquer à tout moment. DMC DEFENSE n’utilise ces droits que pour exécuter les Prestations. Une révocation suspend les parties du service qui en dépendent, sans suspendre la facturation. Les journaux restent dans le Tenant du Client, dans sa région Azure ; DMC DEFENSE n’en conserve aucune copie.

4.10 Durée, engagement et remises.

Exemple : engagement 1 an et paiement annuel = 0,90 × 0,85, soit −23,5 % sur le prix de base. Le paiement annuel n’est pas proposé sans engagement. Pour un SOC sans engagement, DMC DEFENSE ne peut résilier qu’avec un préavis de 3 mois, afin de laisser au Client le temps d’organiser la reprise (article 10.4).

4.11 Fin de l’engagement. À son terme, l’abonnement se poursuit sans engagement, au prix de base et avec un préavis de 1 mois, sauf nouvel engagement signé.

4.12 Limites. Le Client reconnaît qu’aucun service de surveillance ne détecte tous les Incidents de sécurité : certaines attaques contournent les outils de détection. Le SOC réduit le risque et le délai de réaction ; il ne garantit pas l’absence d’incident ni de conséquences. Les délais de l’article 4.6 courent pendant le fonctionnement normal des outils Microsoft, dont la disponibilité relève de l’éditeur.

5. Dispositions propres à la PSSI

5.1 Contenu. La mission PSSI livre une PSSI-cadre et ses annexes (charte informatique, directives techniques, incidents et crises, volet informatique du plan de continuité, pilotage), avec une feuille de route RGPD. Elle est menée en visioconférence, sur 20 à 30 heures de travail, dont une partie hors séance.

5.2 Prix. Prix HT de la mission selon le nombre d’utilisateurs du Client, et prix remisé pour les abonnés SOC engagés 12 mois au moins :

Sans engagement SOC de 12 mois, le prix de base s’applique. Si l’engagement SOC est rompu avant son terme, la remise PSSI devient exigible : la différence avec le prix de base est facturée au Client.

5.3 Revue annuelle (facultative). Chaque année, le Client peut commander une revue de sa PSSI. Elle est commandée année par année, sans tacite reconduction.

5.4 Coopération. Le Client met à disposition les interlocuteurs et les informations nécessaires aux séances. Un retard de sa part décale le calendrier sans changer le prix ; au-delà de 3 mois d’interruption de son fait, DMC DEFENSE peut facturer le travail réalisé.

5.5 Pas de consultation juridique. Les experts RGPD de DMC DEFENSE écrivent les règles de la PSSI à partir des textes applicables. DMC DEFENSE ne délivre pas de consultation juridique et ne donne aucun avis sur la conformité juridique du Client. Pour un contrat, un litige ou un échange avec la CNIL, le Client consulte son avocat.

5.6 Résultat. Les documents sont rédigés à partir des obligations du secteur du Client. Leur effet dépend de leur application par le Client. La PSSI ne délivre aucune certification ni aucun label.

6. Prix, facturation et paiement

6.1 Prix. Les prix sont en euros hors taxes ; la TVA au taux en vigueur s’y ajoute. Les prix applicables sont ceux du devis accepté.

6.2 Facturation.

• Pentest : à la remise du rapport.
• SOC : chaque mois, terme à échoir, à partir de la mise en service ; en paiement annuel, une facture par an, en début de période. Les excédents de consommation Azure acceptés (article 4.3) sont facturés le mois suivant.
• PSSI : à la remise des documents.
• Revue annuelle : à la remise de la revue.

Les factures sont émises et reçues sous forme électronique selon le calendrier de la facturation électronique obligatoire. Le Client communique à la commande les coordonnées de sa plateforme de réception.

6.3 Délai de paiement. Les factures sont payables par virement sous 30 jours à compter de leur date, sans escompte pour paiement anticipé.

6.4 Retard de paiement. Tout retard entraîne de plein droit, sans rappel :

• des pénalités au taux appliqué par la Banque centrale européenne à son opération de refinancement la plus récente, majoré de 10 points, dès le lendemain de l’échéance ;
• une indemnité forfaitaire pour frais de recouvrement de 40 € par facture (art. D441-5 du Code de commerce), et une indemnisation complémentaire sur justificatif si les frais réels sont supérieurs ;
• après une mise en demeure restée sans effet pendant 15 jours, la possibilité pour DMC DEFENSE de suspendre les Prestations, sans que le Client puisse en réclamer réparation.

6.5 Révision des prix. DMC DEFENSE peut modifier ses prix publics. Pour un SOC sans engagement, le nouveau prix s’applique après une information écrite au moins 2 mois avant ; le Client peut résilier avant cette date sans préavis. Pendant un engagement, le prix est fixe jusqu’au terme.

7. Obligations du Client

Le Client collabore activement à l’exécution des Prestations. En particulier, il :

• désigne un référent et un suppléant, joignables, compétents pour son système d’information (équipe interne ou prestataire informatique), et signale tout changement ;
• fournit des informations exactes et complètes sur son système d’information et signale toute modification du Périmètre surveillé ;
• maintient ses licences Microsoft et sa souscription Azure actives et payées ;
• réalise et teste ses sauvegardes ; DMC DEFENSE n’est pas chargée de la sauvegarde de ses données ;
• informe ses salariés de la surveillance de sécurité dans le respect du droit du travail et des données personnelles ;
• applique, ou fait appliquer, les corrections recommandées qu’il choisit de ne pas confier à DMC DEFENSE.

Un manquement du Client à ces obligations dégage DMC DEFENSE de sa responsabilité pour les conséquences qui en découlent et peut décaler les délais.

8. Responsabilité

8.1 Obligation de moyens. DMC DEFENSE exécute les Prestations avec le soin d’un professionnel de la cybersécurité. Elle est tenue d’une obligation de moyens.

8.2 Plafond. La responsabilité de DMC DEFENSE, tous dommages et fondements confondus, est limitée aux dommages directs prouvés et ne peut dépasser :

• pour le Pentest et la PSSI : le prix HT de la mission concernée ;
• pour le SOC : les sommes HT payées par le Client au titre du SOC pendant les 12 mois précédant le fait générateur.

8.3 Dommages exclus. DMC DEFENSE ne répond pas des dommages indirects, notamment perte de chiffre d’affaires, de clientèle ou de données, ni des dommages causés par un tiers attaquant, par les outils Microsoft ou par un manquement du Client.

8.4 Exceptions. Le plafond et les exclusions ne s’appliquent pas en cas de faute lourde ou dolosive, ni en cas de dommage corporel.

8.5 Délai d’action. Toute action du Client contre DMC DEFENSE se prescrit par un an à compter du jour où il a connu ou aurait dû connaître les faits lui permettant de l’exercer (articles 2224 et 2254 du Code civil).

9. Confidentialité, données et propriété

9.1 Confidentialité. Chaque partie garde confidentielles les informations de l’autre obtenues pendant le contrat, notamment les failles relevées, les rapports et les configurations, pendant le contrat et 5 ans après sa fin. Le personnel de DMC DEFENSE est tenu à la même obligation.

9.2 Données personnelles. Lorsqu’elle accède à des données personnelles du Client pour exécuter les Prestations, DMC DEFENSE agit pour son compte, comme « sous-traitant » au sens de l’article 28 du RGPD. DMC DEFENSE traite ces données dans le Tenant du Client, au moyen des outils Microsoft 365 et des outils liés à Microsoft Sentinel ; Microsoft y intervient au titre du contrat que le Client a conclu avec lui. Les lieux depuis lesquels DMC DEFENSE accède aux données sont fixés au contrat, selon le choix du Client : si le Client demande un accès exclusivement depuis l’Union européenne, DMC DEFENSE s’y conforme ; à défaut, les données peuvent aussi être consultées par des salariés de DMC DEFENSE en poste hors de l’Union européenne. Ces accès restent internes à DMC DEFENSE : les données ne sont communiquées à aucune autre entité, et DMC DEFENSE y applique les mêmes mesures de sécurité et en reste responsable. Un accord sur le traitement des données, signé avec le devis, fixe l’objet, la durée, les données concernées, les mesures de sécurité, les lieux d’accès retenus et le sort des données en fin de contrat. DMC DEFENSE ne fait appel à aucun autre prestataire pour traiter ces données sans l’autorisation écrite préalable du Client.

9.3 Propriété des livrables. À compter du paiement complet, le Client peut utiliser librement, pour ses besoins internes et pour les montrer à ses clients, assureurs, auditeurs ou autorités, les rapports et documents livrés. DMC DEFENSE garde la propriété de ses méthodes, outils, modèles et règles de détection, qu’elle peut réutiliser sans les données du Client.

9.4 Référence commerciale. DMC DEFENSE ne cite le nom ou le logo du Client qu’avec son accord écrit préalable.

10. Dispositions finales

10.1 Exécution par DMC DEFENSE. DMC DEFENSE exécute les Prestations avec son propre personnel. Elle n’en confie aucune partie à un autre prestataire sans l’accord écrit préalable du Client.

10.2 Force majeure. Aucune partie n’est responsable d’un manquement dû à un cas de force majeure au sens de l’article 1218 du Code civil, y compris une indisponibilité des services Microsoft due à l’éditeur. Une cyberattaque visant le Périmètre surveillé n’est pas un cas de force majeure pour DMC DEFENSE. Si l’empêchement dure plus de 30 jours, chaque partie peut résilier sans indemnité.

10.3 Résiliation pour manquement. En cas de manquement grave d’une partie, non corrigé dans les 30 jours d’une mise en demeure par lettre recommandée, l’autre partie peut résilier le contrat de plein droit, sans préjudice de dommages et intérêts.

10.4 Réversibilité. À la fin du SOC, DMC DEFENSE retire ses accès délégués, remet au Client la documentation de sa configuration (règles, playbooks, paramètres déployés dans le Tenant) et l’assiste, à sa demande et sur devis, pour la reprise par lui-même ou un autre prestataire. Les journaux restent dans le Tenant du Client.

10.5 Modification des CGV. Les CGV applicables sont celles en vigueur à la date de la commande. Pour un SOC en cours, une nouvelle version est notifiée au moins 2 mois avant son entrée en vigueur.

10.6 Notifications. Les résiliations, mises en demeure et refus d’accord se font par lettre recommandée avec avis de réception ou par courriel avec accusé de réception, aux adresses du devis. Le préavis court à compter de la réception.

10.7 Survie. Les articles 8 (responsabilité), 9.1 (confidentialité) et 10.4 (réversibilité) restent applicables après la fin du contrat, pour la durée qu’ils prévoient.

10.8 Nullité partielle. Si une clause est jugée nulle ou réputée non écrite, les autres restent applicables.

10.9 Droit applicable et litiges. Les CGV sont soumises au droit français. Les parties cherchent d’abord une solution amiable pendant 30 jours. À défaut, tout litige relève de la compétence exclusive du tribunal de commerce de La Roche-sur-Yon.