Conditions générales · Informatique
Conditions Générales de Vente et de Services – Informatique
Version 2.9 – 29 septembre 2026
C2i info, SARL au capital de 5 000 €, dont le siège social est situé 34B rue du Général Franiatte, 57950 Montigny-lès-Metz, immatriculée au RCS de Metz sous le numéro 795 003 490, TVA intracommunautaire FR 90 795 003 490 – Téléphone : 03 87 51 26 27 – Courriel : contact@c2i-info.net – Site : https://c2i-info.net
Télécharger en PDF (18 pages) · Toutes les conditions générales
Conditions particulières liées : CP Microsoft 365 et Cloud, CP Sites internet, CP Cybersécurité
Sommaire
- Préambule
- Article 1 – Définitions
- Article 2 – Objet et champ d'application
- Article 3 – Documents contractuels et ordre de priorité
- Article 4 – Devis et Commande
- Article 5 – Durée
- Article 6 – Prix
- Article 7 – Facturation et paiement
- Article 8 – Obligations du Prestataire
- Article 9 – Obligations du Client
- Article 10 – Niveaux de service
- Article 11 – Matériel
- Article 12 – Services Tiers
- Article 13 – Propriété intellectuelle
- Article 14 – Confidentialité
- Article 15 – Données personnelles
- Article 16 – Sécurité et incidents de sécurité
- Article 17 – Responsabilité
- Article 18 – Assurances
- Article 19 – Force majeure
- Article 20 – Suspension
- Article 21 – Résiliation
- Article 22 – Réversibilité
- Article 23 – Non-sollicitation
- Article 24 – Sous-traitance
- Article 25 – Références commerciales
- Article 26 – Preuve et notifications
- Article 27 – Dispositions générales
- Article 28 – Droit applicable et règlement des litiges
- Annexe A – Niveaux de service
- Annexe B – Accord de traitement des données personnelles
- Annexe C – Clients publics
- Annexe D – Formulaire de rétractation
Préambule
C2i info (ci-après « le Prestataire ») accompagne depuis 2013 les entreprises, associations et collectivités dans la gestion, la sécurisation et l'évolution de leur système d'information.
Les présentes Conditions Générales de Vente et de Services – Informatique s'appliquent aux services informatiques du Prestataire : cybersécurité, cloud et intelligence artificielle, infrastructure réseau, infogérance, hébergement de sites internet et gestion de noms de domaine, ainsi qu'à la fourniture, la location et la maintenance de matériel informatique. Les services de télécommunications font l'objet de conditions générales distinctes (CGVS Télécom).
Le Prestataire est titulaire du label ExpertCyber délivré dans le cadre du dispositif Cybermalveillance.gouv.fr. Ses prestations s'inspirent des recommandations de l'ANSSI et de Cybermalveillance.gouv.fr, qui constituent des référentiels de bonnes pratiques et non des engagements de résultat.
Les présentes Conditions Générales de Vente et de Services (ci-après « CGVS ») constituent, conformément à l'article L. 441-1 du Code de commerce, le socle unique de la relation commerciale entre le Prestataire et ses Clients.
Article 1 – Définitions
Les termes ci-dessous, lorsqu'ils commencent par une majuscule, ont la signification suivante, au singulier comme au pluriel :
- Client : la personne morale ou physique agissant à des fins professionnelles, l'association ou la personne publique qui commande des Services ou du Matériel au Prestataire.
- Commande : le devis, bon de commande ou avenant accepté et signé par le Client, de manière manuscrite ou électronique, précisant les Services, le Matériel, les prix et les éventuelles conditions dérogatoires.
- Conditions Particulières : les conditions propres à une famille de Services (infogérance, cybersécurité, cloud et IA, matériel, etc.), qui complètent les CGVS.
- Contrat : l'ensemble contractuel défini à l'article 3.
- Fournisseur : tout tiers dont les produits, licences, réseaux ou services sont intégrés aux Services ou revendus par le Prestataire (éditeurs, opérateurs, distributeurs, hébergeurs, constructeurs).
- Heures Ouvrées : de 9 h à 12 h et de 14 h à 18 h pendant les Jours Ouvrés.
- Jours Ouvrés : du lundi au vendredi, à l'exception des jours fériés légaux applicables dans le département de la Moselle (y compris le Vendredi saint et le 26 décembre).
- Incident : tout dysfonctionnement reproductible affectant un élément du Périmètre et empêchant ou dégradant son utilisation normale.
- Matériel : les équipements informatiques et réseau vendus, loués ou mis à disposition du Client.
- Périmètre : les équipements, logiciels, comptes et services désignés dans la Commande comme étant couverts par un Service.
- Petite Entreprise : Client employant cinq salariés au plus.
- Prestation ponctuelle : toute prestation exécutée en une fois ou selon un calendrier défini (audit, installation, migration, formation, intervention).
- Service récurrent : tout service fourni de manière continue moyennant une redevance périodique (infogérance, supervision, sauvegarde, licences, hébergement, location).
- Services : les Prestations ponctuelles et les Services récurrents.
- Services Tiers : les produits et services fournis par un Fournisseur et revendus ou intégrés par le Prestataire.
- Utilisateur : toute personne autorisée par le Client à utiliser les Services.
Article 2 – Objet et champ d'application
Les CGVS régissent l'ensemble des ventes de Matériel et des Services conclus entre le Prestataire et ses Clients, quels qu'en soient la nature et le mode de commande.
Les Services sont exclusivement destinés à des Clients agissant dans le cadre de leur activité professionnelle, associative ou de service public. Le Prestataire ne contracte pas avec des consommateurs.
La signature d'une Commande emporte acceptation sans réserve des CGVS en vigueur à cette date. Toute condition contraire figurant dans les documents du Client, notamment ses conditions générales d'achat, est inopposable au Prestataire, sauf acceptation écrite et expresse de sa part.
Les CGVS sont communiquées à tout Client qui en fait la demande et sont consultables sur le site https://c2i-info.net. Le fait pour le Prestataire de ne pas se prévaloir à un moment donné de l'une des clauses des CGVS ne vaut pas renonciation à s'en prévaloir ultérieurement.
Article 3 – Documents contractuels et ordre de priorité
Le Contrat est constitué des documents suivants, présentés par ordre de priorité décroissant :
- la Commande, pour les seules conditions dérogatoires qu'elle mentionne expressément ;
- l'Annexe C « Clients publics », lorsque le Client est une personne publique ;
- les Conditions Particulières applicables aux Services commandés ;
- l'Annexe A « Niveaux de service » ;
- les présentes CGVS.
L'Annexe B « Accord de traitement des données personnelles » prévaut sur tout autre document pour ce qui concerne la protection des données à caractère personnel.
Les conditions d'utilisation des Fournisseurs applicables aux Services Tiers (notamment le Microsoft Customer Agreement et les conditions d'utilisation des éditeurs) s'imposent au Client pour l'usage des produits concernés, dans les conditions précisées par les Conditions Particulières.
Le Prestataire peut faire évoluer les CGVS. La version applicable est celle en vigueur à la date de signature de la Commande. Pour les Services récurrents en cours, une nouvelle version n'est applicable qu'à compter de la reconduction suivante, après information du Client au moins un mois avant la date limite de résiliation, sauf si la modification est imposée par une disposition légale, réglementaire ou par un Fournisseur, auquel cas elle s'applique à la date requise.
Article 4 – Devis et Commande
4.1 Devis
Toute prestation fait l'objet d'un devis préalable, valable trente (30) jours à compter de son émission, sauf mention contraire. Les prix et la disponibilité du Matériel et des Services Tiers sont indiqués sous réserve de confirmation par les Fournisseurs au jour de la Commande.
4.2 Formation de la Commande
La Commande est ferme et définitive à la réception par le Prestataire du devis daté et signé, accompagné le cas échéant de l'acompte prévu à l'article 7 et du mandat de prélèvement SEPA. La signature électronique a la même valeur que la signature manuscrite.
Le Prestataire se réserve le droit de refuser une Commande pour un motif légitime, notamment en cas de litige ou d'impayé antérieur, de doute sérieux sur la solvabilité du Client, de demande anormale ou d'indisponibilité d'un Fournisseur.
4.3 Modification et annulation
Toute modification de la Commande fait l'objet d'un avenant ou d'un nouveau devis. En cas d'annulation par le Client d'une Commande ferme, hors exercice du droit de rétractation prévu à l'article 4.4, l'acompte versé reste acquis au Prestataire et le Client rembourse en outre les frais engagés qui ne peuvent être récupérés, notamment le Matériel commandé non repris par le Fournisseur et les licences ou abonnements souscrits pour son compte.
4.4 Contrats conclus hors établissement avec une Petite Entreprise
Lorsque le contrat est conclu hors établissement avec une Petite Entreprise et que son objet n'entre pas dans le champ de l'activité principale de celle-ci, le Client bénéficie des dispositions de l'article L. 221-3 du Code de la consommation. Dans ce cas :
- le Prestataire lui remet, avant la conclusion du contrat, les informations précontractuelles prévues par la loi ainsi que le formulaire de rétractation figurant en Annexe D ;
- le Client dispose d'un délai de quatorze (14) jours pour se rétracter sans motif, à compter de la conclusion du contrat pour les Services et de la réception pour le Matériel ;
- aucun paiement ni acompte ne peut être exigé avant l'expiration d'un délai de sept (7) jours à compter de la conclusion du contrat ;
- l'exécution d'un Service ne commence avant la fin du délai de rétractation que sur demande expresse du Client. S'il se rétracte ensuite, il doit une somme proportionnelle au Service fourni jusqu'à la communication de sa décision. Il perd son droit de rétractation pour tout Service pleinement exécuté avant la fin du délai à sa demande expresse, avec renoncement exprès à ce droit.
Le droit de rétractation ne s'applique pas au Matériel confectionné selon les spécifications du Client ou nettement personnalisé, ni aux cas d'exclusion prévus à l'article L. 221-28 du Code de la consommation.
Article 5 – Durée
5.1 Prestations ponctuelles
Les Prestations ponctuelles prennent fin à leur complète exécution, constatée le cas échéant par un procès-verbal de fin d'intervention ou de réception.
5.2 Services récurrents
Sauf stipulation contraire de la Commande, les Services récurrents sont souscrits pour une période initiale courant de la date de signature de la Commande jusqu'au 31 décembre de la troisième année civile complète suivant cette signature. À titre d'exemple, une Commande signée le 25 août 2026 prend fin le 31 décembre 2029.
À l'issue de la période initiale, le Contrat est reconduit tacitement par périodes successives d'un (1) an, du 1er janvier au 31 décembre, sauf résiliation par l'une ou l'autre des Parties notifiée par lettre recommandée avec accusé de réception reçue au moins trois (3) mois avant l'échéance, soit au plus tard le 30 septembre.
Tout Service récurrent ajouté en cours de Contrat par avenant prend fin à l'échéance du Contrat en cours, sauf durée minimale d'engagement imposée par un Fournisseur (notamment pour les licences annuelles), indiquée dans la Commande.
La facturation des Services récurrents commence à la date de mise en service de chacun d'eux.
5.3 Information des Clients non professionnels
Lorsque le Client est une association ou toute autre personne morale ayant la qualité de non-professionnel au sens du Code de la consommation, le Prestataire l'informe par écrit, au plus tôt trois mois et au plus tard un mois avant la date limite de résiliation, de la possibilité de ne pas reconduire le Contrat, conformément à l'article L. 215-1 du Code de la consommation.
Article 6 – Prix
6.1 Prix applicables
Les prix sont ceux figurant dans la Commande. Ils sont exprimés en euros hors taxes, la TVA et toute autre taxe applicable étant facturées en sus au taux en vigueur. Pour les Clients établis dans un autre État membre de l'Union européenne, et notamment au Luxembourg, les règles d'autoliquidation ou d'exonération de TVA s'appliquent lorsque leurs conditions sont réunies.
Sauf mention contraire dans la Commande, ne sont pas compris dans les prix : les frais de mise en service, les frais de déplacement pour les interventions sur site et les interventions hors Périmètre, qui sont facturés selon le tarif en vigueur.
6.2 Indexation des Services du Prestataire
Les prix des Services récurrents exécutés par le Prestataire lui-même sont révisés de plein droit le 1er janvier de chaque année selon la formule suivante :
P1 = P0 × (S1 / S0)
- P1 : prix révisé ;
- P0 : prix en vigueur avant la révision ;
- S0 : dernier indice Syntec publié à la date de la précédente révision ou, pour la première révision, à la date de signature de la Commande ;
- S1 : dernier indice Syntec publié à la date de la révision.
L'indexation s'applique à la hausse comme à la baisse. En cas de disparition de l'indice, l'indice de remplacement publié par l'organisme compétent s'applique de plein droit ou, à défaut, un indice équivalent choisi d'un commun accord.
6.3 Évolution des prix des Services Tiers
Les prix des Services Tiers (licences, abonnements, hébergement, location de Matériel appartenant à un Fournisseur) ne sont pas indexés. Ils évoluent en fonction des tarifs appliqués par les Fournisseurs au Prestataire.
Le Prestataire informe le Client de toute hausse au moins trente (30) jours avant son entrée en vigueur ou, si le Fournisseur applique un délai plus court, dès qu'il en a connaissance. Lorsque la hausse ne résulte pas d'une évolution législative, réglementaire ou fiscale et qu'elle dépasse dix pour cent (10 %) du prix du Service Tiers concerné, le Client peut résilier ce seul Service, sans dédit, par lettre recommandée avec accusé de réception adressée dans les trente (30) jours de l'information, sous réserve des engagements souscrits auprès du Fournisseur pour la période en cours.
6.4 Consommations
Les consommations variables (dépassements de volumétrie, ressources cloud à l'usage) sont facturées selon les tarifs indiqués dans la Commande ou les Conditions Particulières.
Article 7 – Facturation et paiement
7.1 Acompte et solde
Pour toute première Commande d'un nouveau Client portant sur du Matériel ou des Prestations ponctuelles, un acompte de cinquante pour cent (50 %) du montant TTC est exigible à la Commande. Le solde est facturé à la fin de la prestation ou de l'installation. Dans les autres cas, le Matériel et les Prestations ponctuelles sont facturés à leur livraison ou à leur réalisation.
Lorsque l'article 4.4 s'applique, l'acompte n'est encaissé qu'à l'expiration d'un délai de sept (7) jours à compter de la conclusion du contrat.
7.2 Services récurrents
Les Services récurrents sont facturés mensuellement et terme à échoir à compter de leur mise en service, la première période étant facturée au prorata. Les consommations variables sont facturées à terme échu.
7.3 Délai et modalités de paiement
Les factures sont payables à trente (30) jours à compter de leur date d'émission. Les Services récurrents sont réglés par prélèvement SEPA ; les autres factures par prélèvement ou par virement. Aucun escompte n'est accordé en cas de paiement anticipé.
Les factures sont émises et transmises sous forme électronique, dans les conditions prévues par la réglementation relative à la facturation électronique entre entreprises.
7.4 Retard de paiement
Conformément à l'article L. 441-10 du Code de commerce, tout retard de paiement entraîne de plein droit, dès le lendemain de la date d'échéance et sans qu'un rappel soit nécessaire :
- des pénalités de retard calculées au taux d'intérêt appliqué par la Banque centrale européenne à son opération de refinancement la plus récente, majoré de dix (10) points de pourcentage ;
- une indemnité forfaitaire pour frais de recouvrement de quarante (40) euros par facture, conformément à l'article D. 441-5 du Code de commerce, sans préjudice d'une indemnisation complémentaire sur justification lorsque les frais exposés sont supérieurs ;
- la refacturation des frais bancaires liés au rejet d'un prélèvement.
Si le retard persiste sept (7) jours après une mise en demeure restée sans effet, le Prestataire peut en outre suspendre tout ou partie des Services dans les conditions de l'article 20, et exiger le paiement immédiat de toutes les factures échues. La suspension n'interrompt pas la facturation des Services récurrents.
7.5 Contestation
Toute contestation d'une facture doit être adressée par écrit et motivée dans les trente (30) jours de son émission. La part non contestée reste payable à l'échéance. Le Client s'interdit toute compensation entre les sommes dues au Prestataire et d'éventuelles créances qu'il estimerait détenir sur lui, sauf accord écrit préalable.
7.6 Clients publics
Les modalités de paiement applicables aux Clients publics sont précisées en Annexe C.
Article 8 – Obligations du Prestataire
Le Prestataire s'engage à exécuter les Services avec soin, conformément aux règles de l'art et aux Conditions Particulières, par un personnel qualifié. Il est tenu à une obligation de moyens, à l'exception des engagements chiffrés expressément qualifiés d'engagements de résultat dans l'Annexe A.
Le Prestataire conseille le Client sur les solutions adaptées à ses besoins, tels que celui-ci les lui a exprimés, et l'alerte sur les risques qu'il identifie dans le cadre de ses interventions. Ce devoir de conseil s'exerce au regard des informations communiquées par le Client et du Périmètre confié.
Le Prestataire exécute les Services avec son propre personnel. Il peut toutefois recourir à des sous-traitants dans les conditions de l'article 24.
Article 9 – Obligations du Client
Le Client collabore de bonne foi à la bonne exécution des Services. Il s'engage notamment à :
- désigner un interlocuteur habilité à prendre les décisions nécessaires et à valider les interventions ;
- fournir des informations exactes et complètes sur son organisation, son système d'information et ses besoins, et informer le Prestataire de toute évolution susceptible d'affecter les Services ;
- permettre l'accès à ses locaux pendant les Heures Ouvrées et autoriser la prise en main à distance et l'installation des agents de supervision et de gestion nécessaires aux Services ;
- maintenir un environnement conforme aux prérequis techniques communiqués (alimentation électrique, climatisation, connexion internet, compatibilité logicielle) ;
- disposer des licences valides pour tous les logiciels qu'il utilise et qui ne sont pas fournis par le Prestataire ;
- assurer la confidentialité de ses identifiants et de ceux de ses Utilisateurs, appliquer les mesures d'authentification recommandées, notamment l'authentification multifacteur, et signaler sans délai toute compromission suspectée ;
- informer ses Utilisateurs des règles d'usage du système d'information, notamment par une charte informatique, et des traitements mis en œuvre dans le cadre des Services ;
- ne pas intervenir, ni laisser un tiers intervenir, sur le Périmètre sans en informer préalablement le Prestataire ;
- régler les sommes dues aux échéances convenues.
Lorsque le Client ne souscrit pas un service de sauvegarde, ou que certaines données sont exclues du périmètre de sauvegarde défini dans la Commande, il demeure seul responsable de la sauvegarde de ces données. Lorsqu'il souscrit un tel service, il valide le périmètre des données à sauvegarder et participe aux tests de restauration proposés par le Prestataire.
Lorsque le Client décide de ne pas suivre une recommandation de sécurité formulée par écrit par le Prestataire, il en assume les conséquences. Le Prestataire peut lui demander de confirmer ce refus par écrit.
Article 10 – Niveaux de service
Les engagements de niveau de service sont définis à l'Annexe A et, le cas échéant, dans les Conditions Particulières. Sauf stipulation contraire :
- les délais de prise en charge, de quatre (4) à huit (8) Heures Ouvrées selon la criticité pour les Incidents, courent à compter de la réception de la demande par l'un des canaux indiqués à l'Annexe A. La prise en charge s'entend de la qualification de la demande par un technicien et du début de son traitement, à distance ou sur site ; elle ne constitue pas un engagement de délai de résolution ;
- la supervision 24 heures sur 24 et 7 jours sur 7 est une surveillance automatisée. Les alertes qu'elle génère sont traitées pendant les Heures Ouvrées, sauf option d'astreinte souscrite ;
- les engagements des Fournisseurs sur les Services Tiers (disponibilité des réseaux, des plateformes cloud ou des licences) ne sont repris qu'à hauteur de ceux que ces Fournisseurs consentent au Prestataire.
Les éventuelles pénalités prévues dans les Conditions Particulières ont un caractère forfaitaire et libératoire au sens de l'article 1231-5 du Code civil pour le manquement aux niveaux de service concernés, sans préjudice des cas de faute lourde ou dolosive.
Article 11 – Matériel
11.1 Vente
Les délais de livraison sont donnés à titre indicatif et dépendent de la disponibilité chez les Fournisseurs. Un retard ne peut justifier l'annulation de la Commande ou une indemnité que s'il excède trente (30) jours après mise en demeure restée sans effet.
Les risques sont transférés au Client dès la livraison. Il appartient au Client de vérifier le Matériel à sa réception et, en cas d'avarie ou de manquant, d'émettre des réserves précises sur le bon de livraison et de les confirmer au transporteur par lettre recommandée dans les trois (3) jours, conformément à l'article L. 133-3 du Code de commerce.
Réserve de propriété : le Matériel vendu reste la propriété du Prestataire jusqu'au paiement intégral du prix en principal et accessoires, conformément aux articles 2367 et suivants du Code civil. Jusqu'à ce paiement, le Client s'interdit de le revendre, de le donner en gage ou de le transformer, et informe immédiatement le Prestataire de toute saisie. Le transfert des risques à la livraison ne fait pas obstacle à la revendication du Matériel.
Le Matériel bénéficie de la garantie du constructeur, dont les conditions et la durée sont transmises au Client. Le Prestataire assiste le Client dans sa mise en œuvre. Le Client bénéficie en outre de la garantie légale des vices cachés prévue aux articles 1641 et suivants du Code civil. La garantie ne couvre pas les dommages résultant d'une mauvaise utilisation, d'un accident, d'une modification non autorisée ou d'une installation non conforme aux prescriptions du constructeur.
11.2 Location et mise à disposition par le Prestataire
Le Matériel loué ou mis à disposition par le Prestataire, y compris celui qu'il loue lui-même auprès d'un Fournisseur, reste la propriété du Prestataire ou de ce Fournisseur. Le Client en a la garde à compter de sa livraison. Il l'utilise conformément à sa destination, ne peut ni le céder, ni le sous-louer, ni le déplacer hors du site d'installation sans accord écrit, et l'assure contre la perte, le vol et les dommages.
À la fin du Service concerné, quelle qu'en soit la cause, le Client restitue le Matériel en bon état, sous réserve de l'usure normale, dans un délai de quinze (15) jours, selon les modalités indiquées par le Prestataire. À défaut de restitution, le Prestataire facture au Client le prix de remplacement à neuf du Matériel, tel qu'indiqué dans la Commande ou, à défaut, au tarif du constructeur en vigueur. En cas de dégradation, il facture les frais de remise en état, dans la limite de ce prix de remplacement.
11.3 Location financière par un organisme tiers
Lorsque le Client finance du Matériel par une location financière auprès d'un organisme tiers, le contrat de location est conclu directement entre le Client et cet organisme, qui devient propriétaire du Matériel. Les conditions de l'organisme de financement régissent alors les loyers, la durée, la restitution et les garanties du Matériel. Le Prestataire reste tenu des Services qu'il fournit au titre du Contrat.
11.4 Données et fin de vie du Matériel
Avant toute restitution, reprise ou mise au rebut de Matériel, le Client est responsable de la sauvegarde puis de l'effacement des données qu'il contient, sauf s'il commande au Prestataire une prestation d'effacement sécurisé. Le Prestataire peut proposer, sur devis, la reprise du Matériel en fin de vie en vue de son traitement par une filière agréée de déchets d'équipements électriques et électroniques.
Article 12 – Services Tiers
Certains Services reposent sur des produits et infrastructures de Fournisseurs, notamment pour les licences Microsoft 365, les solutions de sécurité et les services d'hébergement et de sauvegarde. Le Client reconnaît que :
- l'usage de ces Services Tiers est soumis aux conditions des Fournisseurs, qu'il s'engage à accepter et à respecter, le cas échéant par la signature ou le mandat de signature prévus dans les Conditions Particulières ;
- les Fournisseurs peuvent faire évoluer, modifier ou retirer leurs produits. Le Prestataire en informe le Client dès qu'il en a connaissance et lui propose, lorsque c'est possible, une solution équivalente ;
- les engagements du Prestataire au titre des Services Tiers ne peuvent excéder ceux que les Fournisseurs lui consentent, sans préjudice de la responsabilité propre du Prestataire pour ses prestations de conseil, d'installation, de paramétrage et d'administration.
Article 13 – Propriété intellectuelle
Le Prestataire conserve l'ensemble des droits sur ses méthodes, outils, scripts, modèles et savoir-faire, y compris lorsqu'ils sont utilisés pour les Services.
Sous réserve du paiement intégral du prix, le Client dispose d'un droit d'utilisation non exclusif, non cessible et pour la durée de protection des droits, sur les livrables qui lui sont remis (rapports d'audit, documentations, configurations), pour les besoins internes de son activité.
Le Client reste seul titulaire des droits sur ses données et contenus. Il autorise le Prestataire à les utiliser dans la seule mesure nécessaire à l'exécution des Services.
Article 14 – Confidentialité
Chaque Partie s'engage à garder confidentielles les informations de toute nature communiquées par l'autre Partie ou dont elle a connaissance à l'occasion du Contrat, à ne les utiliser que pour son exécution et à ne les divulguer qu'aux membres de son personnel et à ses conseils qui ont besoin d'en connaître et sont tenus à une obligation équivalente.
Cette obligation s'applique pendant toute la durée du Contrat et pendant trois (3) ans après son terme. Elle s'applique sans limitation de durée aux identifiants, mots de passe, clés de chiffrement, informations relatives aux vulnérabilités et à l'architecture de sécurité du Client.
Ne sont pas confidentielles les informations tombées dans le domaine public sans faute de la Partie qui les a reçues, déjà connues d'elle, reçues légitimement d'un tiers ou dont la divulgation est exigée par la loi ou une autorité judiciaire ou administrative.
Article 15 – Données personnelles
Le Prestataire traite en qualité de responsable de traitement les données personnelles des interlocuteurs du Client nécessaires à la gestion de la relation commerciale (commandes, facturation, support, prospection). Ces traitements sont décrits dans sa politique de confidentialité, accessible sur https://c2i-info.net/politique-de-confidentialite/.
Lorsqu'il traite des données personnelles pour le compte du Client dans le cadre des Services (administration, supervision, sauvegarde, hébergement, messagerie, support), le Prestataire agit en qualité de sous-traitant au sens de l'article 28 du Règlement (UE) 2016/679 (RGPD). Les conditions de ces traitements, notamment la liste des sous-traitants ultérieurs et les mesures de sécurité, sont définies à l'Annexe B.
Les données du Client sont hébergées dans l'Union européenne ou l'Espace économique européen. Tout transfert hors de ces zones, notamment du fait d'un Fournisseur, n'intervient qu'avec les garanties prévues par le RGPD (décision d'adéquation ou clauses contractuelles types).
Article 16 – Sécurité et incidents de sécurité
Le Prestataire met en œuvre des mesures techniques et organisationnelles adaptées pour protéger le Périmètre dont il a la charge. Le Client reconnaît qu'aucun dispositif ne permet de garantir une protection absolue contre les attaques informatiques.
Chaque Partie informe l'autre sans délai de tout incident de sécurité dont elle a connaissance et qui affecte ou est susceptible d'affecter les Services ou les données du Client. Les Parties coopèrent pour en limiter les effets. Les modalités de notification des violations de données personnelles sont précisées à l'Annexe B.
Le Client reste responsable des notifications et déclarations qui lui incombent en qualité de responsable de traitement ou d'entité régulée, notamment auprès de la CNIL. Le Prestataire l'assiste sur demande, dans les conditions prévues à l'Annexe B.
Une attaque informatique ne constitue pas en elle-même un cas de force majeure, ni une faute présumée du Prestataire. La responsabilité de chacune des Parties s'apprécie au regard de ses obligations au titre du Contrat.
Article 17 – Responsabilité
17.1 Principe
Chaque Partie est responsable des dommages directs et prouvés causés à l'autre Partie par un manquement à ses obligations contractuelles.
17.2 Dommages exclus
Le Prestataire ne répond pas des dommages indirects, tels que les pertes d'exploitation, de chiffre d'affaires, de clientèle, d'image ou de chance. En cas de perte ou d'altération de données imputable au Prestataire, sa responsabilité est limitée aux frais de reconstitution des données à partir de la dernière sauvegarde disponible, lorsque ces données relèvent d'un service de sauvegarde souscrit auprès de lui.
La responsabilité du Prestataire ne peut être engagée lorsque le dommage résulte d'un fait du Client ou de ses Utilisateurs, notamment d'une utilisation non conforme, d'une intervention non autorisée sur le Périmètre ou du refus d'une recommandation écrite, d'un élément extérieur au Périmètre, de la défaillance d'un réseau ou d'une infrastructure d'un opérateur tiers ou d'un cas de force majeure.
17.3 Plafond
La responsabilité totale du Prestataire, toutes causes confondues, est limitée, par année contractuelle, au montant des sommes effectivement payées par le Client au titre du Service concerné au cours des six (6) mois précédant le fait générateur.
Les limitations prévues au présent article ne s'appliquent pas en cas de dommage corporel, de faute lourde ou dolosive, ni dans les cas où la loi interdit de limiter la responsabilité.
17.4 Délai d'action
Conformément à l'article 2254 du Code civil, toute action en responsabilité contre le Prestataire doit être engagée dans un délai d'un (1) an à compter du jour où le Client a eu connaissance ou aurait dû avoir connaissance du fait générateur.
Les Parties reconnaissent que le prix des Services a été fixé en fonction de la répartition des risques résultant du présent article.
Article 18 – Assurances
Le Prestataire est titulaire d'une assurance responsabilité civile professionnelle souscrite auprès d'une compagnie notoirement solvable, dont il remet une attestation sur simple demande du Client.
Le Client assure ses locaux, ses équipements ainsi que le Matériel loué ou mis à disposition dont il a la garde. Il lui est recommandé de souscrire une assurance couvrant les pertes d'exploitation et les risques cyber.
Article 19 – Force majeure
Aucune des Parties n'est responsable d'un manquement à ses obligations résultant d'un cas de force majeure au sens de l'article 1218 du Code civil, à l'exception de l'obligation de payer les sommes échues.
Peuvent notamment constituer des cas de force majeure, dès lors qu'ils en réunissent les conditions : les catastrophes naturelles, incendies et inondations, les défaillances générales des réseaux électriques ou de télécommunications d'opérateurs tiers, les décisions d'une autorité publique, les conflits sociaux externes au Prestataire et les incidents de grande ampleur affectant l'infrastructure d'un Fournisseur.
La Partie empêchée en informe l'autre sans délai et met en œuvre les moyens raisonnables pour en limiter les effets. Les obligations concernées sont suspendues pendant la durée de l'empêchement. Si celui-ci dure plus de soixante (60) jours, chaque Partie peut résilier le Service concerné de plein droit, sans indemnité, par lettre recommandée avec accusé de réception.
Article 20 – Suspension
Le Prestataire peut suspendre tout ou partie des Services :
- en cas de défaut de paiement persistant sept (7) jours après une mise en demeure restée sans effet ;
- sans préavis, lorsque cette mesure est nécessaire pour faire cesser un risque grave et imminent pour la sécurité du système d'information du Client, du Prestataire ou de tiers (notamment une compromission en cours, une propagation de logiciel malveillant ou un usage illicite des Services) ;
- sur injonction d'une autorité compétente ou d'un Fournisseur.
La suspension est limitée aux Services concernés et à la durée nécessaire. Le Prestataire en informe le Client par tout moyen dans les meilleurs délais. La suspension pour défaut de paiement ne dispense pas le Client du paiement des sommes dues.
Article 21 – Résiliation
21.1 Résiliation pour manquement
En cas de manquement grave de l'une des Parties à ses obligations, non réparé dans un délai de trente (30) jours suivant la réception d'une mise en demeure adressée dans les conditions de l'article 26, l'autre Partie peut résilier de plein droit le Service concerné ou le Contrat, sans préjudice des dommages et intérêts auxquels elle peut prétendre.
Lorsque la résiliation intervient aux torts du Client, celui-ci reste redevable, en plus des sommes échues, de l'indemnité prévue à l'article 21.2, et notamment de la totalité des licences et abonnements souscrits pour son compte jusqu'au terme de leur période d'engagement auprès du Fournisseur.
21.2 Résiliation anticipée par le Client
Les Services récurrents sont souscrits pour une durée ferme. Si le Client résilie un Service récurrent avant son échéance, hors manquement du Prestataire, force majeure ou cas prévu à l'article 6.3, il est redevable d'une indemnité de résiliation égale :
- à la totalité des sommes restant dues jusqu'à l'échéance pour les Services Tiers faisant l'objet d'un engagement du Prestataire auprès d'un Fournisseur (licences, abonnements, location de Matériel appartenant à un Fournisseur) ;
- pour les Services exécutés par le Prestataire lui-même, à la totalité des redevances correspondant aux six (6) premiers mois restant à courir, puis à cinquante pour cent (50 %) des redevances restant à courir au-delà, jusqu'à l'échéance.
21.3 Effets de la fin du Contrat
À la fin du Contrat ou d'un Service, quelle qu'en soit la cause, les sommes dues deviennent immédiatement exigibles, le Matériel loué ou mis à disposition est restitué conformément à l'article 11.2 et les opérations de réversibilité prévues à l'article 22 sont mises en œuvre. Les dispositions relatives à la confidentialité, à la responsabilité, aux données personnelles et au règlement des litiges survivent à la fin du Contrat.
Article 22 – Réversibilité
À la fin du Contrat ou d'un Service, quelle qu'en soit la cause, le Prestataire remet au Client, sur demande formulée au plus tard trois (3) mois avant l'échéance ou dans les quinze (15) jours suivant une résiliation :
- l'inventaire à jour du parc et des licences gérés ;
- la documentation d'exploitation et les identifiants et accès administrateur des éléments du Périmètre ;
- les données du Client hébergées ou sauvegardées par le Prestataire, dans un format standard et exploitable.
Les opérations de réversibilité ne sont pas comprises dans le prix des Services. Elles sont facturées sur devis selon le tarif en vigueur, sauf lorsque la fin du Contrat résulte d'un manquement du Prestataire. La remise des accès administrateur et la restitution des données du Client ne peuvent toutefois être refusées, y compris en cas de litige sur le paiement de cette prestation.
Pour les services d'hébergement et de traitement de données relevant du Règlement (UE) 2023/2854 sur les données (Data Act), le Client bénéficie des droits de changement de fournisseur et de portabilité prévus par ce règlement, dans les conditions et délais qu'il fixe, précisés dans les Conditions Particulières Cloud.
Il appartient au Client de récupérer ses données avant la fin du Service. À l'issue des opérations de réversibilité, et au plus tard un (1) mois après la fin du Service, le Prestataire supprime les données du Client dans les conditions de l'Annexe B.
Article 23 – Non-sollicitation
Pendant la durée du Contrat et vingt-quatre (24) mois après son terme, le Client s'interdit de solliciter ou d'embaucher, directement ou indirectement, un salarié du Prestataire ayant participé à l'exécution des Services, sauf accord écrit du Prestataire. En cas de manquement, le Client verse au Prestataire une indemnité forfaitaire égale à douze (12) mois de la dernière rémunération brute du salarié concerné.
Article 24 – Sous-traitance
Le Prestataire peut confier l'exécution de tout ou partie des Services à des sous-traitants qualifiés, dont il demeure responsable à l'égard du Client. Lorsque la sous-traitance implique un traitement de données personnelles, elle est soumise aux conditions de l'Annexe B.
Article 25 – Références commerciales
Sauf opposition écrite du Client, le Prestataire peut mentionner le nom et le logo du Client comme référence commerciale, sans divulguer d'information confidentielle. Le Client peut retirer cette autorisation à tout moment par écrit.
Article 26 – Preuve et notifications
Les Parties reconnaissent la valeur probante des documents électroniques échangés entre elles, notamment les courriels, les signatures électroniques, les tickets du portail d'assistance et les journaux des outils de supervision et de gestion, conformément aux articles 1366 et 1367 du Code civil.
Les mises en demeure peuvent être adressées par lettre recommandée avec accusé de réception, par lettre recommandée électronique ou par courriel avec accusé de réception à l'adresse électronique du Client figurant dans la Commande. Les notifications de résiliation sont adressées par lettre recommandée avec accusé de réception ou par lettre recommandée électronique. Chaque Partie informe l'autre par écrit de tout changement d'adresse.
Article 27 – Dispositions générales
- Intégralité : le Contrat exprime l'intégralité de l'accord des Parties sur son objet et remplace tout accord ou échange antérieur portant sur le même objet.
- Divisibilité : si une clause est déclarée nulle ou réputée non écrite, les autres clauses conservent leur effet et les Parties la remplacent par une clause d'effet équivalent.
- Cession : le Client ne peut céder le Contrat sans l'accord écrit préalable du Prestataire. Le Prestataire peut le céder à toute société qui reprendrait tout ou partie de son activité, après en avoir informé le Client.
- Indépendance : les Parties sont des professionnels indépendants. Le Contrat ne crée entre elles aucun lien de subordination, de mandat, de société ou d'association, sous réserve des mandats expressément prévus par les Conditions Particulières.
Article 28 – Droit applicable et règlement des litiges
Le Contrat est soumis au droit français. La Convention de Vienne sur la vente internationale de marchandises est exclue.
En cas de différend, les Parties recherchent une solution amiable pendant un délai de trente (30) jours à compter de la notification du différend par la Partie la plus diligente. Elles peuvent recourir d'un commun accord à une médiation, notamment auprès du Médiateur des entreprises.
À défaut d'accord, et lorsque les deux Parties ont la qualité de commerçant, tout litige relatif à la formation, l'exécution, l'interprétation ou la fin du Contrat est soumis à la compétence exclusive de la juridiction commerciale compétente dans le ressort du siège du Prestataire, soit la chambre commerciale du tribunal judiciaire de Metz, y compris en cas de référé, d'appel en garantie ou de pluralité de défendeurs. Dans les autres cas, les règles de compétence de droit commun s'appliquent. Les litiges avec les Clients publics relèvent des juridictions désignées à l'Annexe C.
Annexes
Annexe A – Niveaux de service
A.1 Champ d'application
La présente annexe s'applique aux Services récurrents d'infogérance, de supervision, de maintenance et d'assistance désignés dans la Commande. Les Prestations ponctuelles (installation, migration, audit, formation) sont exécutées selon le planning convenu dans la Commande et ne sont pas soumises aux délais ci-dessous.
A.2 Canaux de demande
Le Client adresse ses demandes par l'un des canaux suivants :
- le portail d'assistance du Prestataire : https://c2i.servicedesk.atera.com ;
- le formulaire « Demande d'intervention » du site https://c2i-info.net ;
- le téléphone : 03 87 51 26 27, pendant les Heures Ouvrées ;
- le courriel : support@c2i-info.net.
Toute demande de criticité « Bloquant » doit être confirmée par téléphone. Le Client précise dans sa demande son identité, le site concerné, la description du dysfonctionnement, les éventuels messages d'erreur et le niveau de criticité qu'il estime applicable. Le Prestataire peut modifier ce niveau au vu des éléments recueillis ; il en informe alors le Client.
A.3 Plages de service
Les demandes sont traitées pendant les Heures Ouvrées, soit du lundi au vendredi de 9 h à 12 h et de 14 h à 18 h, à l'exception des jours fériés légaux applicables en Moselle, y compris le Vendredi saint et le 26 décembre.
A.4 Niveaux de criticité et délais de prise en charge
- Bloquant – l'activité du Client, d'un site ou d'un service essentiel est arrêtée (serveur principal hors service, messagerie inaccessible pour tous, attaque informatique en cours) : prise en charge sous quatre (4) Heures Ouvrées.
- Gênant – le fonctionnement est dégradé ou un nombre limité d'Utilisateurs est affecté, sans arrêt de l'activité : prise en charge sous huit (8) Heures Ouvrées.
- Question ou demande – demande d'information, création de compte, modification de paramétrage, sans dysfonctionnement : prise en charge sous deux (2) Jours Ouvrés.
La prise en charge s'entend de la qualification de la demande par un technicien et du début de son traitement, à distance ou par la planification d'une intervention sur site. Elle ne constitue pas un engagement de délai de résolution, qui dépend de la nature de l'Incident, de la disponibilité des pièces et de l'intervention éventuelle d'un Fournisseur.
Le délai ne court que pendant les Heures Ouvrées. Une demande reçue en dehors de ces heures est réputée reçue à l'ouverture de la plage suivante. À titre d'exemple, une demande « Bloquant » reçue un vendredi à 17 h doit être prise en charge au plus tard le lundi suivant à 12 h.
Lorsqu'une intervention sur site est nécessaire, elle est planifiée dans les meilleurs délais en fonction de la criticité, dans la zone d'intervention du Prestataire (Moselle, Meurthe-et-Moselle, Meuse, Vosges et Luxembourg). Sauf s'ils sont compris dans le Service souscrit, les frais de déplacement et le temps d'intervention sur site sont facturés en sus selon le tarif en vigueur.
A.5 Supervision
La supervision porte sur les équipements du Périmètre sur lesquels un agent de supervision a été installé. Elle fonctionne de manière automatisée 24 heures sur 24 et 7 jours sur 7.
Les alertes générées sont analysées et traitées pendant les Heures Ouvrées, selon les niveaux de criticité de l'article A.4. Une alerte survenue en dehors de ces heures n'entraîne aucune intervention avant l'ouverture de la plage suivante, sauf option d'astreinte souscrite dans la Commande. Le Prestataire informe le Client des alertes nécessitant une action de sa part.
A.6 Sauvegarde
Lorsqu'un service de sauvegarde est souscrit, le Prestataire :
- contrôle chaque Jour Ouvré le bon déroulement des tâches de sauvegarde et traite les échecs constatés selon la criticité « Gênant » ;
- réalise, à la demande du Client, un test de restauration sur un échantillon de données défini avec lui, et lui en communique le résultat ;
- conserve les sauvegardes selon la durée de rétention indiquée dans la Commande.
Sauf stipulation contraire de la Commande, le Prestataire ne s'engage ni sur une perte de données maximale admissible (RPO), ni sur un délai de restauration (RTO).
A.7 Maintenances planifiées
Le Prestataire peut procéder à des opérations de maintenance (mises à jour, correctifs, évolutions) susceptibles d'interrompre temporairement les Services. Il en informe le Client au moins deux (2) Jours Ouvrés à l'avance et les réalise, dans la mesure du possible, en dehors des heures d'activité du Client. Les correctifs de sécurité urgents peuvent être appliqués sans préavis.
A.8 Exclusions
Les délais de la présente annexe ne s'appliquent pas et leur non-respect n'engage pas le Prestataire lorsque le retard résulte :
- d'un élément ne faisant pas partie du Périmètre ;
- de l'indisponibilité d'un Service Tiers ou d'un Fournisseur (notamment une interruption des services Microsoft 365 ou de l'accès internet du Client) ;
- d'un Matériel ou d'un logiciel qui n'est plus maintenu par son constructeur ou son éditeur ;
- de l'impossibilité d'accéder aux locaux ou au système du Client, ou de l'absence de réponse du Client aux sollicitations du Prestataire ;
- d'une intervention du Client ou d'un tiers sur le Périmètre, ou du refus d'une recommandation écrite du Prestataire ;
- d'une suspension des Services prévue à l'article 20 des CGVS ou d'un cas de force majeure ;
- d'une maintenance planifiée conformément à l'article A.7 ;
- d'un incident de sécurité majeur (notamment une cyberattaque) affectant le Client ou plusieurs Clients simultanément : pendant sa durée, le Prestataire concentre ses ressources sur la réponse à cet incident et traite les autres demandes selon les priorités convenues avec les Clients concernés.
A.9 Suivi et manquements répétés
Sur demande du Client, le Prestataire lui communique l'historique de ses demandes et un relevé des délais de prise en charge, établis à partir de son outil de suivi. Cette prestation n'est pas comprise dans les Services et est facturée selon le tarif en vigueur.
Les engagements de la présente annexe ne donnent pas lieu à des pénalités financières. En revanche, si plus de vingt pour cent (20 %) des demandes « Bloquant » et « Gênant » d'un même Client ne sont pas prises en charge dans le délai applicable pendant trois (3) mois consécutifs, hors cas d'exclusion, le Client peut, après une mise en demeure restée sans effet pendant trente (30) jours, résilier le Service concerné sans indemnité de résiliation.
Annexe B – Accord de traitement des données personnelles
La présente annexe constitue le contrat prévu à l'article 28 du Règlement (UE) 2016/679 du 27 avril 2016 (RGPD). Elle s'inspire des clauses contractuelles types de la CNIL et de la Commission européenne. Le Client y agit en qualité de responsable de traitement et le Prestataire en qualité de sous-traitant.
B.1 Description des traitements
- Nature des opérations : hébergement et conservation de sauvegardes, administration et supervision des systèmes, assistance aux Utilisateurs, gestion des comptes et des licences, sécurisation des postes, serveurs et messageries, campagnes de sensibilisation et de simulation d'hameçonnage.
- Finalité : exécution des Services décrits dans la Commande, à l'exclusion de toute autre finalité.
- Personnes concernées : salariés, dirigeants et Utilisateurs du Client, ainsi que ses clients, fournisseurs et contacts dont les données figurent dans son système d'information.
- Catégories de données : données d'identification et de contact, identifiants et données de connexion, journaux techniques, adresses IP, contenus des fichiers et messageries hébergés ou sauvegardés.
- Durée : la durée du Contrat, augmentée du délai de restitution et de suppression prévu à l'article B.9.
Le Prestataire n'accède au contenu des fichiers et messageries du Client que dans la mesure nécessaire à l'exécution d'une demande ou à la résolution d'un Incident.
Données de santé : le Client s'interdit de confier au Prestataire l'hébergement ou la sauvegarde de données de santé à caractère personnel, sauf accord écrit préalable précisant les modalités d'hébergement auprès d'un hébergeur certifié HDS, conformément à l'article L. 1111-8 du Code de la santé publique.
B.2 Instructions
Le Prestataire traite les données uniquement sur instruction documentée du Client. Le Contrat, la Commande et les demandes adressées par les canaux prévus à l'Annexe A constituent ces instructions. Si le Prestataire considère qu'une instruction enfreint la réglementation, il en informe immédiatement le Client.
B.3 Confidentialité et personnel
Le Prestataire veille à ce que les personnes autorisées à traiter les données soient soumises à une obligation de confidentialité et reçoivent une sensibilisation appropriée à la protection des données.
B.4 Sécurité
Le Prestataire met en œuvre les mesures techniques et organisationnelles décrites à l'Appendice 1, adaptées au risque. Il peut les faire évoluer, à condition de ne pas réduire le niveau global de sécurité.
B.5 Sous-traitants ultérieurs
Le Client donne au Prestataire une autorisation générale de recourir aux sous-traitants ultérieurs figurant à l'Appendice 2. Le Prestataire informe le Client par écrit de tout ajout ou remplacement au moins trente (30) jours à l'avance. Le Client peut s'y opposer par écrit pendant ce délai, en motivant son opposition par des raisons tenant à la protection des données (notamment un transfert hors de l'Union européenne sans garanties appropriées ou un niveau de sécurité insuffisant). Les Parties recherchent alors de bonne foi une solution alternative. Si l'opposition est justifiée et qu'aucune solution n'est trouvée, le Client peut résilier le Service concerné : il reste redevable des engagements souscrits pour son compte auprès des Fournisseurs, mais non de l'indemnité prévue à l'article 21.2 des CGVS pour les Services exécutés par le Prestataire. À défaut d'opposition justifiée, le changement de sous-traitant s'applique et toute résiliation anticipée par le Client reste soumise à l'article 21.2 des CGVS.
Le Prestataire impose à ses sous-traitants ultérieurs des obligations de protection des données équivalentes à celles de la présente annexe et demeure responsable envers le Client de leur exécution.
B.6 Transferts hors de l'Union européenne
Le Prestataire privilégie des solutions hébergeant les données dans l'Union européenne. Lorsqu'un sous-traitant ultérieur est susceptible de transférer des données hors de l'Espace économique européen, ce transfert n'intervient que vers un pays bénéficiant d'une décision d'adéquation de la Commission européenne ou sous couvert de clauses contractuelles types, comme indiqué à l'Appendice 2.
B.7 Assistance au Client
Le Prestataire aide le Client, dans la mesure du possible, à répondre aux demandes d'exercice des droits des personnes concernées. Il transmet au Client, dès réception, toute demande qui lui serait adressée directement. Il l'assiste également, sur demande, pour les analyses d'impact et les consultations de la CNIL. Les prestations d'assistance dépassant un effort raisonnable peuvent être facturées selon le tarif en vigueur.
B.8 Violations de données
Le Prestataire notifie au Client toute violation de données à caractère personnel dans un délai maximal de quarante-huit (48) heures après en avoir pris connaissance, par courriel et par téléphone. La notification précise, dans la mesure où ces informations sont disponibles, la nature de la violation, les catégories et le nombre approximatif de personnes et d'enregistrements concernés, les conséquences probables et les mesures prises ou envisagées. Il appartient au Client de notifier, le cas échéant, la violation à la CNIL et aux personnes concernées.
B.9 Sort des données en fin de contrat
À la fin des Services, le Prestataire restitue au Client les données qu'il héberge ou sauvegarde pour son compte, dans les conditions de l'article 22 des CGVS. Il les supprime au plus tard un (1) mois après la fin du Service, y compris les copies, sauf obligation légale de conservation. Il en atteste par écrit sur demande.
B.10 Documentation et audit
Le Prestataire tient le registre des traitements prévu à l'article 30.2 du RGPD et met à la disposition du Client les informations nécessaires pour démontrer le respect de la présente annexe. Le Client peut faire réaliser, à ses frais, un audit sur place au plus une fois par an, moyennant un préavis de trente (30) jours, par lui-même ou par un auditeur indépendant tenu au secret, sans perturber l'activité du Prestataire ni accéder aux données d'autres clients.
B.11 Obligations du Client
Le Client s'assure de la licéité des traitements confiés au Prestataire, informe les personnes concernées, en particulier ses salariés, des traitements réalisés dans le cadre des Services (supervision, simulations d'hameçonnage) et tient son propre registre des traitements. Il désigne un interlocuteur pour les questions de protection des données.
Appendice 1 – Mesures de sécurité
Le Prestataire met en œuvre notamment les mesures suivantes :
- authentification multifacteur sur les comptes d'administration et sur les outils de gestion à distance ;
- attribution des droits d'accès selon le principe du moindre privilège ; révocation des accès aux systèmes des Clients lors du départ d'un collaborateur du Prestataire ; désactivation des comptes des Utilisateurs du Client dès que celui-ci en fait la demande ;
- chiffrement des sauvegardes pendant leur transfert vers le serveur de sauvegarde ;
- hébergement du serveur de sauvegarde externalisée dans les bureaux du Prestataire, à accès restreint, protégés par une alarme anti-intrusion et un dispositif de détection incendie ;
- conservation des sauvegardes, selon la configuration souscrite, en deux exemplaires : une copie locale sur un équipement installé chez le Client et une copie externalisée sur le serveur de sauvegarde du Prestataire ;
- mise à jour régulière des systèmes et protection des postes et serveurs du Prestataire par une solution de détection et de réponse (EDR) ;
- journalisation des sessions de prise en main à distance sur les systèmes des Clients ;
- engagement de confidentialité et sensibilisation régulière du personnel.
Appendice 2 – Sous-traitants ultérieurs
À la date des présentes, le Prestataire fait appel aux sous-traitants ultérieurs suivants, selon les Services souscrits par le Client :
- Microsoft Ireland Operations Ltd – Microsoft 365, Microsoft Defender, Entra ID – hébergement dans l'Union européenne ; transferts éventuels vers les États-Unis encadrés par le Data Privacy Framework et les clauses contractuelles types.
- Be-Cloud – distributeur des licences Microsoft (programme CSP), disposant d'un accès délégué d'administration – France.
- Atera Networks Ltd – supervision, gestion à distance, prise en main à distance (outil AnyDesk intégré) et suivi des demandes – hébergement sur Microsoft Azure en Europe de l'Ouest (Pays-Bas) ; Atera est établie en Israël, pays bénéficiant d'une décision d'adéquation, et encadre ses éventuels transferts par des clauses contractuelles types.
- Sewan SAS – distribution et administration de la solution CrowdStrike – France.
- CrowdStrike – protection des postes et serveurs (EDR) – hébergement dans l'Union européenne ; transferts éventuels encadrés par le Data Privacy Framework et les clauses contractuelles types.
- WatchGuard (Panda Adaptive Defense 360) – protection des postes et serveurs (EDR), jusqu'à la fin des abonnements en cours – hébergement principal dans l'Union européenne (Microsoft Azure en Irlande et centre de données WatchGuard en Espagne) ; certaines données administratives et de support peuvent être traitées aux États-Unis, avec les garanties de transfert prévues par le RGPD.
- IRONSCALES – protection avancée de la messagerie et analyse des courriels signalés, via le distributeur Be MSP – instance européenne ; certaines données peuvent être transférées aux États-Unis, dans le cadre du Data Privacy Framework.
- Acronis – sauvegarde et protection des données, via la console fournie par Hermitage Solutions – centres de données de Strasbourg (France) et de l'Union européenne.
- Keeper Security – coffre-fort chiffré de conservation des accès aux systèmes des Clients – instance européenne, hébergement dans l'Union européenne.
- uSecure – sensibilisation et simulations d'hameçonnage – hébergement chez Amazon Web Services dans l'Union européenne, données chiffrées au repos et en transit ; éditeur établi au Royaume-Uni, pays bénéficiant d'une décision d'adéquation.
- OVH SAS – enregistrement des noms de domaine et serveur d'hébergement des sites internet des Clients – France.
Les sauvegardes réalisées sur le serveur NAS situé dans les locaux du Prestataire ne font pas intervenir de sous-traitant ultérieur.
Annexe C – Clients publics
La présente annexe s'applique lorsque le Client est une personne publique ou un organisme soumis au Code de la commande publique. Le Contrat constitue alors un marché public et les dispositions impératives de ce code prévalent sur les CGVS. Les CGVS ne s'appliquent que dans la mesure où elles ne sont pas contraires aux documents de la consultation ou du marché.
- Facturation : les factures sont déposées sur le portail Chorus Pro.
- Paiement : le délai de paiement est de trente (30) jours à compter de la réception de la demande de paiement. Tout retard ouvre droit de plein droit à des intérêts moratoires au taux prévu par le Code de la commande publique et à l'indemnité forfaitaire pour frais de recouvrement prévue par ce code, d'un montant de quarante (40) euros.
- Modes de paiement : le paiement intervient par virement du comptable public. Le prélèvement SEPA n'est pas applicable, sauf accord du comptable.
- Acompte : l'acompte prévu à l'article 7.1 n'est pas applicable. Le paiement intervient après service fait ; une avance peut être versée si le marché le prévoit.
- Durée : le marché précise sa durée totale, reconductions comprises, qui ne peut excéder cinq (5) ans, sous réserve des durées maximales fixées par le Code de la commande publique pour certains marchés, notamment quatre (4) ans pour les accords-cadres.
- Résiliation : le Client public dispose des prérogatives de résiliation prévues par le Code de la commande publique, notamment pour motif d'intérêt général, avec indemnisation du Prestataire dans les conditions prévues par ce code et par le marché.
- Litiges : les litiges relèvent de la compétence du tribunal administratif de Strasbourg.
Annexe D – Formulaire de rétractation
(À compléter et renvoyer uniquement si le Client souhaite se rétracter d'un contrat conclu hors établissement dans les conditions de l'article 4.4.)
À l'attention de C2i info, 34B rue du Général Franiatte, 57950 Montigny-lès-Metz – contact@c2i-info.net :
Je/Nous (*) vous notifie/notifions (*) par la présente ma/notre (*) rétractation du contrat portant sur la vente du bien (*) / pour la prestation de services (*) ci-dessous :
- Commandé le (*) / reçu le (*) : ……………………
- Raison sociale du Client : ……………………
- Nom du représentant : ……………………
- Adresse : ……………………
- Signature (uniquement en cas de notification sur papier) : ……………………
- Date : ……………………
(*) Rayez la mention inutile.
