Conditions Générales d’Utilisation et de Vente

1. Identification du Prestataire

Les présentes Conditions Générales d’Utilisation et de Vente (ci-après « CGUV ») régissent les relations contractuelles entre :

• ROOTING STUDIO, entreprise individuelle exploitée par Lucas Torres
• SIRET : 93155690600028 — SIREN : 931 556 906
• Code APE : 6201Z – Programmation informatique
• TVA non applicable, article 293 B du CGI (franchise en base)
• Contact : contact@rootingstudio.fr

ci-après le « Prestataire », et toute personne, physique ou morale, recourant à ses services, ci-après le « Client ».

2. Objet

Les présentes CGUV ont pour objet de définir les conditions dans lesquelles le Prestataire fournit au Client les prestations suivantes :

• Tests d’intrusion (pentest) web, infrastructure, Active Directory, Wi-Fi et physiques
• Recherche de vulnérabilités, audit de code, divulgation responsable
• Formations et sensibilisations à la cybersécurité
• Création de sites web
• Développement logiciel et API
• Tout service connexe expressément accepté par devis

Toute commande emporte adhésion sans réserve aux présentes CGUV, qui prévalent sur toutes conditions d’achat du Client, sauf accord écrit contraire.

3. Devis et conclusion du contrat

Toute prestation fait l’objet d’un devis nominatif et écrit précisant le périmètre, les livrables, le calendrier indicatif, le prix et les éventuelles conditions particulières. Le devis est valable trente (30) jours sauf indication contraire.

Le contrat est formé à la date de retour du devis signé par le Client (signature électronique acceptée) accompagné, le cas échéant, du versement de l’acompte demandé.

4. Dispositions spécifiques aux missions de pentest et d’audit de sécurité

Compte tenu de la nature offensive des prestations de test d’intrusion et d’audit de sécurité, le Client :

• Garantit être titulaire des droits nécessaires sur les actifs testés (applications, infrastructures, comptes, données) ou disposer d’une autorisation écrite explicite des ayants droit pour autoriser les tests sur le périmètre cadré.
• Signe une autorisation préalable de tests (let of authorization, LoA) précisant la fenêtre temporelle, les actifs concernés, les actions exclues (ex : déni de service, ingénierie sociale ciblant des personnes non informées) et les modalités de contact d’urgence.
• Reconnaît que tout test sur un environnement de production comporte un risque résiduel et accepte ce risque dans la limite des actions cadrées au devis. Sauf accord écrit, les tests sont conduits en environnement de pré-production / staging.
• S’engage à ne pas reproduire, communiquer ou publier les techniques d’exploitation décrites dans les rapports en dehors du cadre strictement nécessaire à la remédiation, et à protéger ces livrables comme des informations confidentielles.

Le Prestataire est titulaire d’une assurance Responsabilité Civile Professionnelle couvrant les missions de pentest et de recherche en sécurité informatique. Une attestation peut être fournie sur simple demande.

Le Prestataire s’engage à : respecter le périmètre cadré, ne pas extraire de données personnelles au-delà du strict nécessaire à la démonstration de la vulnérabilité, supprimer toute donnée extraite à l’issue de la mission (sauf conservation imposée par la Loi), et signaler sans délai toute découverte d’atteinte tierce préexistante.

5. Obligations du Prestataire

Le Prestataire est soumis à une obligation de moyens. Il s’engage à exécuter ses missions selon les règles de l’art et les standards du secteur (notamment OWASP WSTG, PTES, NIST SP 800-115, OSSTMM), à mobiliser les compétences requises et à respecter la confidentialité des informations communiquées par le Client.

6. Obligations du Client

Le Client s’engage à :

• Communiquer en temps utile les informations, accès, comptes de test et points de contact nécessaires à l’exécution de la mission
• Désigner un référent disponible pendant la durée de la mission
• Réaliser les sauvegardes de données préalables aux tests sur ses environnements
• Signaler sans délai toute anomalie observée pendant la mission
• S’acquitter du prix convenu dans les délais

7. Prix et modalités de paiement

Les prix sont indiqués en euros, hors taxes. Conformément à l’article 293 B du CGI, la TVA n’est pas applicable : les factures sont émises nettes de TVA.

Sauf stipulation contraire au devis :

• Acompte de 30 % à la signature du devis
• Solde à 30 jours date de facture, par virement bancaire
• Tout retard de paiement entraîne, sans mise en demeure préalable, l’application de pénalités égales à trois (3) fois le taux d’intérêt légal et, pour les Clients professionnels, d’une indemnité forfaitaire pour frais de recouvrement de quarante (40) euros (art. L. 441-10 du Code de commerce)

8. Délais d’exécution

Les délais sont indiqués à titre indicatif au devis. Le Prestataire ne saurait être tenu responsable des retards résultant d’un manquement du Client à ses propres obligations (fourniture d’accès, validation, etc.) ou d’un cas de force majeure au sens de l’article 1218 du Code civil.

9. Réception et re-tests

À l’issue de la mission, le Prestataire remet au Client les livrables prévus. Le Client dispose de quinze (15) jours pour formuler ses observations. À défaut, les livrables sont réputés acceptés.

Sauf disposition contraire au devis, des re-tests de validation des correctifs sont inclus pendant trente (30) jours après remise du rapport (soixante (60) jours pour le forfait Étendu).

10. Propriété intellectuelle

Livrables : les rapports, scripts spécifiques et recommandations rédigés pour le Client lui sont cédés à titre exclusif après paiement intégral du prix, pour ses besoins internes.

Outils et savoir-faire : le Prestataire conserve la propriété de ses méthodes, outils internes, scripts génériques, modèles de rapport et savoir-faire préexistants ou développés à l’occasion de la mission. Une licence d’usage non exclusive et non transférable est concédée au Client pour les besoins d’exploitation des livrables.

Référencement : sauf opposition écrite, le Prestataire peut citer le nom et le logo du Client à titre de référence commerciale, sans révéler le contenu des missions.

11. Confidentialité

Chacune des parties s’engage à conserver strictement confidentielles toutes les informations échangées dans le cadre de la mission, et à ne les divulguer ni les utiliser en dehors du cadre du contrat. Cette obligation s’applique pendant toute la durée du contrat et pendant cinq (5) ans après son terme. Un NDA spécifique peut être signé à la demande du Client.

12. Données personnelles

Le traitement des données personnelles s’effectue dans le respect du Règlement (UE) 2016/679 (RGPD) et de la loi n° 78-17 du 6 janvier 1978 modifiée. Voir la Politique de confidentialité. Lorsque le Client confie au Prestataire un traitement de données personnelles (par exemple lors d’un audit), un accord de sous-traitance au sens de l’article 28 du RGPD est signé.

13. Sous-traitance

Le Prestataire peut, après information du Client, recourir à des sous-traitants pour l’exécution de tout ou partie de la mission. Le Prestataire demeure responsable de la bonne exécution des obligations contractuelles.

14. Non-sollicitation de personnel

Le Client s’interdit, pendant la durée du contrat et pendant douze (12) mois après son terme, d’embaucher ou de faire travailler directement ou indirectement le Prestataire ou ses collaborateurs, sauf accord écrit préalable.

15. Responsabilité

La responsabilité du Prestataire est limitée aux dommages directs, prouvés et prévisibles, et plafonnée au montant total hors taxes effectivement perçu au titre de la mission concernée. Le Prestataire ne saurait être tenu responsable des dommages indirects (perte d’exploitation, perte de données, manque à gagner, atteinte à l’image, etc.). Cette limitation ne s’applique pas en cas de faute lourde, de dol, de dommage corporel ou de manquement aux dispositions légales d’ordre public.

16. Force majeure

La responsabilité du Prestataire ne pourra être engagée en cas d’événement de force majeure tel que défini par l’article 1218 du Code civil et la jurisprudence française.

17. Résiliation

En cas de manquement grave de l’une des parties à ses obligations, l’autre partie pourra résilier le contrat de plein droit, sans formalité judiciaire, quinze (15) jours après l’envoi d’une mise en demeure restée sans effet, sans préjudice des dommages-intérêts auxquels elle pourrait prétendre.

18. Dispositions spécifiques aux Clients consommateurs (B2C)

Conformément aux articles L. 221-1 et suivants du Code de la consommation, les présentes dispositions s’appliquent aux Clients agissant en qualité de consommateurs.

18.1 Droit de rétractation — Le Client consommateur dispose d’un délai de quatorze (14) jours pour exercer son droit de rétractation à compter de la conclusion du contrat de prestation de services, sans avoir à motiver sa décision (art. L. 221-18 du Code de la consommation). Pour exercer ce droit, le Client adresse une demande non ambiguë à contact@rootingstudio.fr. Un formulaire-type peut être obtenu sur simple demande.

18.2 Renonciation expresse au droit de rétractation — Si le Client demande expressément l’exécution de la prestation avant la fin du délai de rétractation et que la prestation a été pleinement exécutée avant la fin de ce délai, le droit de rétractation est perdu (art. L. 221-25 du Code de la consommation). Si l’exécution a commencé sans avoir été achevée, le Client redevable au Prestataire d’un montant proportionnel à ce qui a été fourni.

18.3 Médiation de la consommation — Conformément aux articles L. 612-1 et suivants du Code de la consommation, en cas de litige non résolu à l’amiable, le Client consommateur peut recourir gratuitement au médiateur de la consommation. À défaut de médiateur sectoriel désigné, le Client peut également recourir à la plateforme européenne de règlement en ligne des litiges (RLL) : ec.europa.eu/consumers/odr. Un médiateur peut être désigné en accord entre les parties à la première demande écrite. Aucun médiateur référencé n’est à ce jour mandaté de manière permanente — l’information sera mise à jour dès la désignation effective.

18.4 Garanties légales — Le Client consommateur bénéficie de la garantie légale de conformité (art. L. 217-3 et suivants du Code de la consommation) et de la garantie des vices cachés (art. 1641 et suivants du Code civil).

19. Droit applicable et juridiction compétente

Les présentes CGUV sont régies par le droit français. À défaut de résolution amiable :

• Pour les Clients professionnels, tout litige relèvera de la compétence exclusive des tribunaux du ressort du domicile du Prestataire.
• Pour les Clients consommateurs, sont compétents les tribunaux désignés par les articles 42 et suivants du Code de procédure civile, ou la juridiction du lieu où ils demeuraient lors de la conclusion du contrat ou de la survenance du fait dommageable (art. R. 631-3 du Code de la consommation).

20. Modifications des CGUV

Le Prestataire se réserve le droit de modifier les présentes CGUV à tout moment. Les CGUV applicables sont celles en vigueur à la date de signature du devis.

21. Contact

Pour toute question relative aux présentes : contact@rootingstudio.fr.