Conditions générales d'utilisation

Version 1.0, en vigueur depuis le 22 octobre 2026.

Les présentes conditions régissent l'utilisation du service Craetics. La souscription d'un abonnement payant est régie par les conditions générales de vente, qui y renvoient.

1. Éditeur

Le service est édité par la personne identifiée sur la page mentions légales, ci-après « l'Éditeur ».

2. Objet du service

Craetics est un service en ligne de pilotage de la conformité au règlement (UE) 2024/2847 dit « Cyber Resilience Act » : tenue des nomenclatures logicielles (SBOM), veille sur les vulnérabilités publiées, rapprochement de ces vulnérabilités avec les composants inventoriés, et conduite de la procédure de signalement prévue à l'article 14 du règlement.

Le service ne constitue pas une prestation de conseil juridique et ne se substitue pas à l'avis d'un professionnel du droit. Il ne réalise aucun dépôt auprès d'une autorité : la transmission d'une notification ou d'un rapport relève du seul Client, sur la plateforme unique prévue à l'article 16 du règlement.

Il appartient au Client de qualifier ses propres obligations au titre du règlement, de déterminer si ses produits entrent dans son champ d'application, et d'apprécier la date à laquelle il a pris connaissance d'un incident — date qu'il déclare lui-même dans le service et à partir de laquelle les délais sont calculés.

3. Qualité du Client

Le service est réservé aux personnes agissant à des fins professionnelles. En ouvrant un compte, le Client déclare agir dans le cadre de son activité commerciale, industrielle, artisanale, libérale ou agricole, et non en qualité de consommateur au sens du code de la consommation.

L'Éditeur se réserve le droit de refuser ou de fermer un compte ouvert en violation de cette clause.

4. Compte et sécurité

Chaque compte est nominatif et ne peut être partagé. Le Client est responsable de la confidentialité de ses identifiants et de tout acte accompli depuis son compte.

Le service impose la double authentification aux rôles Propriétaire et Administrateur. Les actions sont consignées dans un journal d'audit en ajout seul, chaîné par empreinte cryptographique, qui constitue une pièce de conformité et ne peut être modifié ni par le Client ni par l'Éditeur.

Le Client informe sans délai l'Éditeur de toute utilisation non autorisée de son compte dont il a connaissance.

5. Usage du service

Le Client s'engage à :

ne déposer que des données dont il détient les droits nécessaires ;
veiller à l'exactitude et à la mise à jour des nomenclatures qu'il dépose, dont dépend directement la pertinence des alertes ;
ne pas tenter d'accéder aux données d'une autre organisation, de contourner les contrôles d'accès, ni de porter atteinte à la disponibilité du service ;
ne pas procéder à des tests d'intrusion sans autorisation écrite préalable de l'Éditeur ;
utiliser l'API et les intégrations d'intégration continue dans des conditions raisonnables, sans volume de requêtes de nature à dégrader le service pour les autres utilisateurs.

Le service comporte des limitations de débit destinées à protéger sa disponibilité.

6. Disponibilité

L'Éditeur est tenu d'une obligation de moyens quant à la disponibilité du service. Il ne souscrit aucun engagement chiffré de disponibilité.

L'accès peut être suspendu pour maintenance, correction ou mise à jour. L'Éditeur s'efforce de réaliser les interventions programmées en dehors des heures ouvrées et d'en informer le Client lorsque leur durée prévisible le justifie.

L'Éditeur n'est pas responsable des interruptions imputables au réseau internet, à l'hébergeur, au Client, ou à un cas de force majeure.

Le Client reconnaît que le service dépend de sources de données publiques tierces — notamment OSV, le catalogue KEV de la CISA et la base NVD — dont l'Éditeur ne maîtrise ni la disponibilité, ni l'exhaustivité, ni les délais de publication.

7. Limites intrinsèques du service, connues du Client

Le Client reconnaît avoir été informé de ce qui suit, que le service affiche par ailleurs explicitement dans son interface :

un composant dépourvu d'identifiant de paquet normalisé (purl) n'est couvert par aucun avis de sécurité et n'est donc pas surveillable. Le service l'inventorie et le signale comme tel ;
l'absence d'alerte ne vaut pas absence de vulnérabilité. Une vulnérabilité non publiée, publiée hors des sources interrogées, ou publiée depuis la dernière synchronisation, n'apparaît pas ;
un rapprochement de versions indécidable produit un constat marqué incertain, qui appelle une décision humaine et n'est ni une confirmation ni une absence d'exposition ;
les échéances calculées par le service découlent de la date de prise de connaissance déclarée par le Client. Le service ne constate pas cette date et ne peut pas la vérifier ;
le tri des alertes et les déclarations VEX sont des assertions du Client, qu'il publie sous sa seule responsabilité.

8. Données du Client

Les données déposées par le Client — nomenclatures, produits, versions, constats, incidents, rapports, pièces — demeurent sa propriété. L'Éditeur n'acquiert aucun droit sur elles et ne les exploite à aucune autre fin que la fourniture du service.

Le Client peut à tout moment en obtenir la restitution par l'export du dossier de contrôle, au format ZIP, chaque pièce accompagnée de son empreinte SHA-256.

Le traitement des données à caractère personnel est décrit dans la politique de confidentialité. Les engagements de l'Éditeur en qualité de sous-traitant figurent en annexe des présentes.

9. Propriété intellectuelle

Le service, son code, son interface, ses bases de données et sa documentation sont la propriété de l'Éditeur et protégés par le droit de la propriété intellectuelle.

L'Éditeur concède au Client, pour la durée du contrat, un droit d'usage personnel, non exclusif et non cessible, limité aux besoins propres de son activité. Ce droit ne comprend ni la reproduction, ni la modification, ni la décompilation du service, en dehors des cas prévus par l'article L. 122-6-1 du code de la propriété intellectuelle, ni sa mise à disposition de tiers.

Les documents produits par le service à partir des données du Client — dossier de contrôle, déclaration VEX, dossier d'incident — appartiennent au Client, qui peut en faire librement usage.

10. Responsabilité

10.1. L'Éditeur est tenu d'une obligation de moyens dans la fourniture du service.

10.2. Le service est un outil d'assistance à la conformité. Il n'emporte aucune garantie que le Client soit, demeure, ou soit reconnu conforme au règlement (UE) 2024/2847 ou à toute autre norme. La conformité du Client, la qualification de ses produits, le contenu de ses déclarations et le respect de ses obligations déclaratives relèvent de lui seul.

10.3. Sont exclus les dommages indirects, et notamment la perte d'exploitation, la perte de chiffre d'affaires, la perte de clientèle, l'atteinte à l'image, ainsi que les sanctions administratives ou pénales prononcées à l'encontre du Client.

10.4. En tout état de cause, la responsabilité totale de l'Éditeur, toutes causes confondues, est limitée au montant hors taxes effectivement payé par le Client au titre des douze mois précédant le fait générateur. Lorsque le Client utilise le service à titre gratuit, cette responsabilité est limitée à cent euros.

10.5. Les limitations qui précèdent ne s'appliquent pas en cas de dol, de faute lourde, de dommage corporel, ni dans les autres cas où la loi interdit de les stipuler.

10.6. Le Client est responsable des données qu'il dépose et garantit l'Éditeur contre toute réclamation d'un tiers fondée sur celles-ci.

11. Suspension et fermeture du compte

L'Éditeur peut suspendre l'accès, après mise en demeure restée sans effet pendant quinze jours, en cas de manquement du Client aux présentes conditions. La suspension peut être immédiate et sans mise en demeure en cas d'atteinte à la sécurité ou à la disponibilité du service, ou d'usage manifestement illicite.

Une suspension pour manquement ne supprime aucune donnée : la lecture et l'export du dossier de contrôle restent disponibles.

Le Client peut fermer son organisation à tout moment depuis ses paramètres. La suppression se déroule en deux temps : l'organisation est marquée comme supprimée, puis effacée définitivement à l'expiration d'un délai de trente jours, pendant lequel l'export reste possible.

L'effacement d'un compte individuel s'opère par anonymisation : l'identité est effacée, les entrées du journal d'audit subsistent, rattachées à un identifiant technique qui ne désigne plus personne. Cette limite au droit à l'effacement est celle de l'article 17(3) du RGPD : le journal est une preuve de conformité pour les organisations concernées.

12. Modification des présentes conditions

L'Éditeur peut modifier les présentes conditions. Toute modification substantielle est notifiée au Client par courriel un mois avant son entrée en vigueur.

Le Client qui refuse la nouvelle version peut résilier sans frais, par simple notification, avant cette date. L'utilisation du service après l'entrée en vigueur vaut acceptation.

Les versions successives sont conservées avec leur date et leur auteur. La version acceptée par le Client lors de l'ouverture de son compte est enregistrée par son empreinte cryptographique, qui permet de l'identifier avec certitude.

13. Droit applicable et litiges

Les présentes conditions sont soumises au droit français.

En cas de différend, les parties s'efforcent de trouver une solution amiable avant toute action contentieuse. À défaut d'accord dans un délai de trente jours à compter de la première réclamation écrite, le litige est porté devant les tribunaux compétents dans le ressort du siège de l'Éditeur, y compris en cas de pluralité de défendeurs, d'appel en garantie ou de procédure d'urgence.

Annexe — Accord de sous-traitance (article 28 du RGPD)

La présente annexe fait partie intégrante des conditions générales d'utilisation. Elle s'applique aux données à caractère personnel que le Client dépose dans le service ou qui y sont traitées pour son compte, pour lesquelles le Client est responsable de traitement et l'Éditeur sous-traitant.

Objet, durée, nature et finalité

Objet : l'hébergement et le traitement des données nécessaires à la fourniture du service décrit à l'article 2.

Durée : celle du contrat, augmentée des délais de conservation prévus ci-après.

Nature et finalité : collecte, enregistrement, organisation, conservation, consultation, extraction et effacement, aux seules fins de fournir le service et de permettre au Client d'exécuter ses propres obligations réglementaires.

Données et personnes concernées

Catégories de données : données d'identification et de connexion des utilisateurs du Client (nom, adresse électronique, rôle, horodatages d'activité, journal d'audit) ; données à caractère personnel que le Client choisit de saisir dans ses contenus de conformité, notamment dans les rapports d'incident et les nomenclatures.

Catégories de personnes concernées : les membres de l'organisation du Client, et le cas échéant les personnes que le Client mentionne dans ses contenus.

Le service n'appelle aucune donnée relevant de l'article 9 du RGPD. Le Client s'abstient d'en déposer.

Engagements de l'Éditeur

L'Éditeur s'engage à :

ne traiter les données que sur instruction documentée du Client, les présentes conditions et l'usage du service constituant ces instructions, et informer le Client s'il estime qu'une instruction constitue une violation du RGPD ;
garantir la confidentialité des données et n'y donner accès qu'aux personnes qui en ont besoin, soumises à une obligation de confidentialité. L'accès au contenu d'une organisation par le support de l'Éditeur suppose un accès accordé par le Client lui-même, nominatif, motivé, d'une durée maximale de soixante-douze heures, révocable, et inscrit au journal d'audit de l'organisation ;
mettre en œuvre les mesures de sécurité requises par l'article 32 : chiffrement des échanges, chiffrement des secrets d'authentification, cloisonnement strict entre organisations, politique de mots de passe conforme aux recommandations en vigueur, double authentification obligatoire pour les rôles privilégiés, journalisation inaltérable, sauvegardes quotidiennes à accès restreint, dont l'intégrité est vérifiée à chaque exécution ;
n'engager un sous-traitant ultérieur qu'avec autorisation. Le Client autorise les sous-traitants listés dans la politique de confidentialité. Tout ajout ou remplacement lui est notifié par courriel avant son entrée en vigueur, avec faculté d'opposition motivée et, à défaut d'accord, de résiliation sans frais ;
assister le Client dans la réponse aux demandes d'exercice de droits des personnes concernées, dans la mesure du possible et compte tenu de la nature du traitement ;
assister le Client pour le respect des obligations des articles 32 à 36 du RGPD, et notifier toute violation de données dans les meilleurs délais et au plus tard quarante-huit heures après en avoir pris connaissance, avec les éléments dont il dispose ;
restituer et effacer les données au terme du contrat, selon les modalités prévues ci-après ;
mettre à disposition du Client les informations nécessaires pour démontrer le respect de la présente annexe et permettre la réalisation d'audits, dans des conditions convenues entre les parties et sans compromettre la sécurité des autres clients.

Localisation et transferts

Les données sont hébergées en Suisse, chez Infomaniak Network SA. La Suisse fait l'objet d'une décision d'adéquation de la Commission européenne : le transfert est licite sans garantie complémentaire.

Aucun transfert vers un pays tiers non couvert par une décision d'adéquation n'a lieu sans information préalable du Client et mise en place des garanties appropriées.

Sort des données en fin de contrat

À la fin du contrat, le Client dispose de trente jours pour exporter son dossier de contrôle. À l'expiration de ce délai, les données sont effacées, à l'exception de celles dont la conservation est imposée par une obligation légale, et notamment des pièces comptables, conservées dix ans conformément à l'article L. 123-22 du code de commerce, qui ne comportent plus l'identité du Client lorsque son organisation a été effacée.

Engagements du Client

Le Client garantit disposer d'une base légale pour les traitements qu'il met en œuvre au moyen du service, avoir informé les personnes concernées, et n'y déposer que des données pertinentes au regard de ses finalités.