Conditions générales

Les présentes régissent l'accès à la plateforme OutilGRC et son usage par toute personne physique disposant d'un compte, quelle que soit la manière dont ce compte a été créé.

La création d'un compte et toute connexion valent acceptation sans réserve des présentes. Qui ne les accepte pas doit renoncer à se connecter. Le périmètre souscrit, le prix, la durée et le niveau de service relèvent du devis signé entre SIACEC et l'organisation cliente ; en cas de contradiction, ce devis et ses annexes priment sur les présentes.

• Éditeur : SIACEC, qui exerce son activité d'édition logicielle sous le nom commercial OutilGRC. Voir les mentions légales.
• Client : l'organisation ayant souscrit le service, seule titulaire du contrat.
• Utilisateur : la personne physique nommément désignée par le client et disposant d'identifiants personnels.
• Plateforme : le service en ligne OutilGRC, ses interfaces, son API et sa documentation.
• Données client : l'ensemble des contenus déposés ou produits par le client dans la plateforme (référentiels, évaluations, risques, documents, preuves, annuaires, rapports).

La plateforme est accessible par navigateur web récent, en français. L'accès suppose une connexion internet à la charge de l'utilisateur, dont le coût n'est jamais compris dans le service.

L'accès est nominatif. Le client attribue les comptes, les rôles et les droits depuis l'espace d'administration ; l'éditeur ne crée aucun compte de sa propre initiative dans l'organisation d'un client. Une intervention de support dans l'espace d'un client est tracée dans le journal d'audit de ce client, qui peut la consulter.

Les identifiants sont strictement personnels et confidentiels. Leur partage, leur prêt et la création de comptes génériques partagés entre plusieurs personnes sont interdits : chaque action journalisée doit pouvoir être imputée à une personne.

L'utilisateur informe sans délai le client et l'éditeur de toute perte, de tout vol et de tout soupçon de compromission de ses identifiants. Le client peut suspendre un compte à tout moment ; l'éditeur peut le faire en cas de menace avérée pour la sécurité du service, en informant le client sans délai. Lorsque le client a activé l'authentification unique, la politique d'authentification, y compris l'authentification multifacteur, relève de son propre fournisseur d'identité.

Il est notamment interdit :

• de tenter d'accéder aux données d'une autre organisation cliente, de contourner le cloisonnement, les contrôles de droits ou le journal d'audit ;
• de conduire un test d'intrusion, un balayage ou une injection sans autorisation écrite préalable, hors du cadre prévu par la politique de divulgation des vulnérabilités ;
• d'extraire massivement le contenu de la plateforme par des moyens automatisés en dehors de l'API prévue à cet effet, ou de porter atteinte à sa disponibilité ;
• de déposer des contenus illicites, des données manifestement sans rapport avec la finalité du service, ou des fichiers contenant sciemment un code malveillant ;
• de déposer des données relevant d'une classification supérieure au plafond du déploiement souscrit, en particulier des informations couvertes par la mention Diffusion Restreinte sur une instance non homologuée ;
• de décompiler, désassembler ou reproduire la plateforme, hors des cas prévus par l'article L. 122-6-1 du code de la propriété intellectuelle.

Les campagnes de simulation d'hameçonnage relèvent de la responsabilité du client : il lui appartient d'informer préalablement les représentants du personnel et les personnes concernées, dans les conditions prévues par le droit du travail et par le RGPD.

Le client demeure propriétaire de ses données. L'éditeur n'acquiert aucun droit sur elles, ne les exploite à aucune fin commerciale, ne les cède pas et ne les utilise pas pour entraîner un modèle d'intelligence artificielle.

Le client est responsable de la licéité, de l'exactitude et de la mise à jour des contenus qu'il dépose, ainsi que du respect des licences des référentiels qu'il importe. Il peut à tout moment exporter ses données depuis la plateforme, aux formats CSV, PDF et DOCX. Le traitement des données à caractère personnel est régi par la partie II ci-dessous.

Les opérations de maintenance planifiée sont annoncées au moins soixante-douze heures à l'avance et programmées, dans la mesure du possible, en dehors des heures ouvrées françaises. Une maintenance corrective urgente, notamment de sécurité, peut intervenir sans préavis ; elle est signalée dès que possible. Tout engagement chiffré de disponibilité figure au devis signé avec le client.

La plateforme évolue en continu. L'éditeur peut modifier, ajouter ou retirer des fonctionnalités, sous réserve de ne pas dégrader substantiellement le périmètre souscrit pendant la période en cours. Le retrait d'une fonctionnalité substantielle est annoncé au moins trois mois à l'avance.

OutilGRC est un outil de pilotage : il organise, calcule et restitue ce que le client y saisit. Il ne se substitue ni à une décision de l'organisation, ni à un audit, ni à un avis juridique. Les suggestions produites par l'intelligence artificielle, notamment les correspondances entre référentiels, sont des propositions soumises à la validation humaine du client : leur exhaustivité et leur exactitude ne sont pas garanties, et l'éditeur ne saurait répondre d'une décision de conformité prise sur leur seul fondement.

L'éditeur ne répond pas des conséquences d'une utilisation non conforme aux présentes, d'une erreur de saisie du client, de la perte d'identifiants, ni de l'indisponibilité du réseau ou des équipements de l'utilisateur. Les limitations de responsabilité convenues avec le client figurent au devis signé.

Les présentes s'appliquent tant que l'utilisateur dispose d'un compte actif. L'accès prend fin à la désactivation du compte par le client, ou au terme du contrat de l'organisation. L'éditeur peut suspendre un accès en cas de manquement grave aux présentes, après information du client et, sauf urgence de sécurité, mise en demeure restée sans effet pendant huit jours.

L'éditeur peut modifier les présentes. Toute modification substantielle est portée à la connaissance du client au moins trente jours avant sa prise d'effet, par courriel à son administrateur et par une mention dans la plateforme. La date de dernière mise à jour figure en tête de page.

Pour les données à caractère personnel traitées dans la plateforme, le client agit en qualité de responsable de traitement et SIACEC en qualité de sous-traitant, au sens de l'article 4 du règlement (UE) 2016/679.

La présente partie est conclue en application de l'article 28.3 du RGPD. Elle fait partie intégrante du contrat et prévaut sur toute stipulation contraire en matière de données personnelles. Les traitements dont l'éditeur est lui-même responsable (prospection, démonstrations, facturation, sécurité de son propre système) relèvent des mentions légales, partie données personnelles.

• Objet : la fourniture de la plateforme OutilGRC de gouvernance, de gestion des risques et de conformité.
• Nature des opérations : collecte, enregistrement, organisation, conservation, consultation, rapprochement, extraction, communication aux utilisateurs habilités, effacement.
• Finalité : permettre au client de piloter sa conformité, ses risques, ses fournisseurs, sa documentation et la sensibilisation de son personnel.
• Durée : la durée du contrat, augmentée de la période de réversibilité de trente jours.

La plateforme n'est pas conçue pour traiter des données relevant de l'article 9 du RGPD, des données d'infraction au sens de l'article 10, ni des données de santé. Le client s'interdit d'en déposer.

L'éditeur ne traite les données que sur instruction documentée du client, constituée du contrat, de la présente partie, du paramétrage de la plateforme et des demandes écrites du client. Il informe immédiatement le client s'il estime qu'une instruction constitue une violation du RGPD ou du droit national applicable. Lorsqu'une obligation légale impose un traitement, il en informe le client avant de traiter, sauf interdiction légale.

Les personnes autorisées à traiter les données sont soumises à une obligation contractuelle de confidentialité, formées à la protection des données et habilitées au strict nécessaire. L'accès aux données d'un client par le support est limité au traitement d'une demande ou d'un incident, tracé dans le journal d'audit de ce client et consultable par lui à tout moment.

• Cloisonnement des organisations clientes au niveau de la base de données, imposé par le moteur et non par le code applicatif, vérifié par des tests automatisés à chaque livraison.
• Chiffrement des communications en transit, et des données au repos (AES-256) : base de données, sauvegardes automatiques et fichiers déposés. En sont exclus les exports ponctuels de la base, que l'hébergeur ne chiffre pas, ainsi que les copies antérieures à la mise en place de ce chiffrement, fin septembre 2026, jusqu'à leur effacement programmé, au plus tard le 31 décembre 2026.
• Authentification nominative, gestion des rôles et des droits par module, authentification unique OpenID Connect au choix du client.
• Journal d'audit chaîné par empreintes cryptographiques, écrit dans la même transaction que l'opération métier : toute modification a posteriori est détectable.
• Sauvegardes automatiques de la base de données toutes les six heures, conservées trente jours, en France.
• Aucune ressource tierce chargée dans l'interface : ni police distante, ni script externe, ni mesure d'audience.
• Séparation des environnements : aucune donnée de production n'est utilisée en développement ni en préproduction.

Le détail des mesures figure dans le dossier d'architecture, remis sur demande sous accord de confidentialité.

Le client autorise le recours aux sous-traitants ultérieurs suivants, qui présentent des garanties suffisantes et sont liés par des obligations équivalentes aux présentes :

Tout ajout ou remplacement est annoncé au client au moins trente jours avant sa prise d'effet. Le client peut s'y opposer par écrit, pour un motif tenant à la protection des données ; à défaut de solution alternative, il peut mettre fin au contrat sans indemnité, avec remboursement au prorata.

L'hébergement, le traitement, les sauvegardes et les journaux ont lieu en France, chez un hébergeur français qui ne relève d'aucune législation d'accès extraterritorial de type CLOUD Act. Une seule exception, au choix de l'utilisateur : la connexion « Continuer avec Google » le fait authentifier par Google LLC (États-Unis), qui traite alors son compte Google, l'heure et l'adresse IP de la connexion, sous le cadre de protection des données UE-États-Unis ; aucune donnée de la plateforme ne lui est transmise. Tout autre transfert supposerait l'accord écrit préalable du client et la mise en place des garanties du chapitre V du RGPD.

L'éditeur assiste le client, dans la mesure du possible, pour :

• répondre aux demandes d'exercice des droits : chaque personne télécharge elle-même ses données depuis « Mon compte » (accès et portabilité) ; le client rectifie les contenus de son organisation, désactive et supprime un compte ; l'éditeur intervient, sur demande du client, pour toute opération qui dépasse ces moyens, comme l'export des données d'une personne ;
• réaliser une analyse d'impact relative à la protection des données et, le cas échéant, la consultation préalable de l'autorité de contrôle (articles 35 et 36) ;
• démontrer le respect de l'article 32, en fournissant la description des mesures techniques et organisationnelles.

Toute demande transmise directement à l'éditeur par une personne concernée est renvoyée au client sans y donner suite, et lui est signalée sous cinq jours ouvrés.

L'éditeur notifie au client toute violation de données à caractère personnel dans les quarante-huit heures suivant sa qualification, par courriel au contact désigné. La notification décrit la nature de la violation, les catégories et le nombre approximatif de personnes et d'enregistrements concernés, les conséquences probables et les mesures prises. Chaque violation est documentée, et le client est assisté dans sa notification à la CNIL et, le cas échéant, aux personnes concernées : cette notification aux autorités et aux personnes relève du client, seul responsable de traitement.

Au terme du contrat, le client dispose de trente jours pour exporter ses données ou en demander la remise dans un format structuré et documenté. À l'expiration de ce délai, les données sont supprimées des systèmes de production, puis des sauvegardes au fil de leur rotation, sauf obligation légale de conservation. Le journal d'audit, chaîné, qui garde l'auteur et l'adresse IP de chaque action, est conservé cinq ans après chaque action au titre de sa valeur probante, puis supprimé, y compris sa copie inaltérable ; l'adresse IP et le navigateur y sont effacés au bout d'un an. Ce journal ne peut pas être supprimé avant ces échéances, même à la demande du client. Un certificat de suppression est remis sur demande.

L'éditeur tient le registre des catégories d'activités de traitement effectuées pour le compte de ses clients (article 30.2) et le communique sur demande. Le client peut conduire un audit, par lui-même ou par un tiers indépendant non concurrent, une fois par an, sous préavis de trente jours, aux heures ouvrées, sans perturber la production et sous accord de confidentialité. Les frais sont à sa charge, sauf si l'audit révèle un manquement substantiel. Un audit supplémentaire peut être conduit à la suite d'une violation de données.

• Vérifier la licéité des traitements qu'il met en œuvre, informer les personnes concernées et recueillir, le cas échéant, leur consentement.
• Informer préalablement les représentants du personnel avant toute campagne de simulation d'hameçonnage, et n'en exploiter les résultats qu'à des fins de sensibilisation collective, jamais de sanction individuelle.
• Documenter par écrit toute instruction adressée à l'éditeur.
• Veiller au juste dimensionnement des droits attribués à ses utilisateurs.
• S'abstenir de déposer des données sensibles au sens des articles 9 et 10 du RGPD.

Toute question relative aux présentes, toute demande de documentation de sécurité et toute notification prévue par elles sont adressées à contact@outilgrc.com. Une version signée de la partie II, ou son intégration à l'accord type du client, est remise sur demande.

Les deux parties du présent document sont soumises au droit français. À défaut de résolution amiable dans un délai de trente jours à compter de la première notification écrite d'un différend, compétence exclusive est attribuée aux tribunaux du ressort du siège social de SIACEC.