Conditions Générales de Vente

Les présentes Conditions Générales de Vente (ci-après « CGV ») régissent les relations contractuelles entre :

• Humanix-Cybersecurity, SASU au capital de 100 € - siège social 16 Rue Joseph Loiret, 30100 Alès - RCS Nîmes 103 901 799 - TVA FR 80 103 901 799 (ci-après « Humanix-Cybersecurity » ou « le Prestataire »),
• et toute personne morale, professionnelle, commandant une prestation auprès de Humanix-Cybersecurity (ci-après « le Client »).

Toute commande implique l'adhésion sans réserve du Client aux présentes CGV. Les conditions générales d'achat éventuelles du Client ne sont pas opposables, sauf accord écrit préalable.

Toute commande est précédée d'un devis écrit, valable 30 jours, qui devient contractuel après signature ou validation par voie électronique du Client. La signature du devis vaut acceptation pleine et entière des présentes CGV.

Les tarifs sont indiqués en euros, hors taxes. La TVA française au taux en vigueur est applicable sauf cas d'autoliquidation pour les clients établis dans un autre État membre de l'UE et titulaires d'un numéro de TVA intracommunautaire valide.

Modalités de paiement : par virement bancaire ou prélèvement SEPA, à 30 jours nets date de facture. Pour les abonnements SaaS, paiement à la souscription puis selon la périodicité convenue (mensuelle ou annuelle).

Humanix-Cybersecurity s'engage à mettre en œuvre les moyens raisonnables pour assurer une disponibilité de la plateforme Humanix Académie d'au moins 99 % en moyenne mensuelle, hors :

• Maintenances planifiées annoncées au moins 48h à l'avance ;
• Cas de force majeure (article 7) ;
• Indisponibilités imputables à l'hébergeur (Scaleway) ou au fournisseur de connectivité ;
• Indisponibilités imputables au Client ou à ses utilisateurs.

Tout incident est signalé via support@humanix-cybersecurity.fr.

En cas de non-atteinte répétée de l'objectif (3 incidents ou plus sur 12 mois glissants), le Client peut demander, après mise en demeure restée infructueuse pendant 30 jours, soit une remise prorata sur la mensualité suivante, soit la résiliation anticipée sans pénalité. Les modalités d'un SLA premium (crédit automatique, RPO/RTO renforcés) sont prévues dans un avenant dédié.

Aucune des parties ne pourra être tenue responsable d'un manquement à ses obligations résultant d'un cas de force majeure au sens de l'article 1218 du Code civil. Sont notamment considérés : guerres, attaques informatiques massives ne pouvant être raisonnablement parées, pandémie, décisions gouvernementales, défaillance prolongée du fournisseur d'hébergement ou d'électricité.

Tous les contenus, modules, scénarios pédagogiques, mascottes, code source de la plateforme Humanix Académie demeurent la propriété exclusive de Humanix-Cybersecurity. Le Client se voit concéder un droit d'usage non exclusif, non cessible et non transférable, limité à la durée de l'abonnement et au nombre de licences souscrites, à des fins de formation interne uniquement.

Toute extraction, reproduction ou diffusion à des tiers du contenu de la plateforme est strictement interdite et engage la responsabilité du Client.

Pour les modules contribués par la communauté (marketplace), les licences Creative Commons (CC BY ou CC BY-SA) s'appliquent dans le respect des conditions de chaque licence.

Pour les prestations SaaS, Humanix-Cybersecurity agit en qualité de sous-traitant au sens de l'article 28 du RGPD, pour le compte du Client responsable du traitement.

Pour les prestations d'audit, les parties qualifient leurs rôles (responsable conjoint, séparé ou sous-traitant) dans le contrat de mission. Un accord de confidentialité (NDA) est systématiquement signé avant toute mission d'audit.

Cf. notre politique de confidentialité pour le détail des traitements et de leur durée.

Humanix-Cybersecurity est tenue d'une obligation de moyens dans l'exécution de ses prestations. Sa responsabilité contractuelle est limitée aux dommages directs prouvés.

Le plafond de responsabilité contractuelle, par sinistre et par année civile, est fixé au montant total des sommes versées par le Client au titre du contrat concerné au cours des douze (12) derniers mois. Cette limitation s'entend sans préjudice :

• de la garantie effectivement couverte par la police d'assurance Responsabilité Civile Professionnelle (cf. infra), qui peut être actionnée au-delà du plafond contractuel ;
• des cas d'exclusion légale des plafonds : faute lourde, faute intentionnelle, dol, atteinte aux droits fondamentaux de la personne ou violation intentionnelle des obligations de confidentialité.

Sont exclus les dommages indirects (perte d'exploitation, perte de chance, atteinte à la réputation, perte de données dont Humanix-Cybersecurity n'est pas la cause directe et exclusive), sauf en cas de faute intentionnelle.

Le Client garantit qu'il dispose des droits nécessaires sur les systèmes audités. Si les systèmes sont hébergés ou opérés par des tiers, le Client s'engage à informer ces tiers et à obtenir leurs accords préalables.

Tests de phishing simulé / social engineering : ces tests, lorsqu'ils ciblent des collaborateurs du Client, ne peuvent être menés qu'avec autorisation écrite explicite du responsable RH ou de la sécurité du Client. Ils excluent toute manipulation dolosive personnelle au sens de l'article 226-15 du Code pénal et tout dommage réel intentionnel à la personne.

Les rapports d'audit, livrables et données techniques sensibles sont transmis exclusivement au Client, par canal chiffré (TLS 1.3 en minimum, ou support physique chiffré sur demande). Ils ne sont jamais diffusés à des tiers et sont conservés par Humanix-Cybersecurity au maximum 3 ans à partir de la livraison, sauf obligation légale ou litige.

Les actions de formation professionnelle font l'objet d'une convention de formation conforme aux articles L6353-1 et suivants du Code du travail. Cette convention détaille :

• l'objet de la formation et le public visé ;
• la durée et le calendrier prévisionnel ;
• les objectifs pédagogiques et modalités d'évaluation ;
• le coût et les modalités de paiement ;
• le cas échéant, les modalités de prise en charge par un OPCO.

Toute formation est précédée d'une convocation, et donne lieu à émargement (présentiel) ou attestation de connexion (distanciel). Une attestation de fin de formation et, le cas échéant, un certificat de réalisation sont remis au Client.

Humanix-Cybersecurity recourt à des sous-traitants techniques pour l'exécution de ses prestations. La liste à jour est consultable sur la page Sécurité & Conformité. Au jour des présentes CGV, ces sous-traitants sont :

• Scaleway SAS (France 🇫🇷) - hébergement, sauvegardes, infrastructure cloud ;
• Scaleway TEM (France 🇫🇷, Paris) - emails transactionnels (lien magique de connexion, alertes système, newsletter Cyber-Anecdote du Lundi) ;
• Payplug SA (France 🇫🇷, Paris) - prestataire de paiement pour les abonnements SaaS Humanix Académie. Traite les données de carte bancaire en mode tokenisation conforme PCI-DSS ; Humanix ne stocke jamais le PAN ni le CVV ;
• Olinda SAS / Qonto (France 🇫🇷) - compte de paiement professionnel pour la réception des virements et la tenue de compte ;
• Dougs SAS (France 🇫🇷) - expertise comptable et facturation ;
• Hiscox France (France 🇫🇷) - assureur Responsabilité Civile Professionnelle (RC Pro). Aucune donnée client n'est partagée hors d'un cas d'incident matériel indemnisé.

Tout nouveau sous-traitant traitant des données personnelles fait l'objet d'une notification écrite au Client au moins 30 jours avant son intégration, conformément à l'article 28.2 du RGPD et au DPA. Le Client dispose alors d'un droit d'objection motivée.

Chaque partie s'engage à conserver confidentielles les informations à caractère confidentiel reçues de l'autre partie, pendant toute la durée du contrat et 5 ans après son terme. Cet engagement ne s'applique pas aux informations publiques ou légalement exigibles.

Sauf opposition écrite du Client, Humanix-Cybersecurity se réserve le droit de citer le nom du Client et son logo à titre de référence commerciale (site web, plaquettes, propositions commerciales). Le Client peut s'opposer à ce référencement à tout moment par simple email.

Les présentes CGV sont régies par le droit français. Tout litige relatif à leur interprétation ou leur exécution, à défaut de résolution amiable, relève de la compétence exclusive du Tribunal de commerce de Nîmes.

Humanix-Cybersecurity se réserve le droit de modifier les présentes CGV. Les modifications sont opposables aux nouveaux contrats à compter de leur publication. Pour les contrats en cours, les modifications substantielles seront notifiées au Client avec un préavis de 30 jours, ouvrant droit à résiliation sans pénalité en cas de refus.