Conditions générales de vente

1. Prestataire

Le service PentestLouis est édité et fourni par GROUPE ALRIC, société par actions simplifiée unipersonnelle au capital de 311 000 €, dont le siège social est situé 17 place Richard Baret, 75017 Paris, immatriculée au registre du commerce et des sociétés de Paris sous le numéro 751 736 166, numéro de TVA intracommunautaire FR26751736166 (ci-après le « Prestataire »).

Contact commercial et contractuel : support@pentestlouis.com.

2. Champ d’application

Les présentes conditions générales de vente (« CGV ») s’appliquent à tout accès payant aux services PentestLouis et à tout achat de crédit d’analyse. Elles prévalent sur les conditions d’achat du Client, sauf accord écrit contraire. Les éventuelles conditions particulières, devis ou bons de commande acceptés prévalent sur les CGV en cas de contradiction.

Le service est réservé aux personnes physiques ou morales qui contractent pour les besoins de leur activité professionnelle (le « Client »). La personne qui crée un compte, accepte les CGV ou passe commande déclare disposer du pouvoir nécessaire pour engager le Client. PentestLouis n’accepte pas de commande passée à titre de consommateur.

3. Description des services

PentestLouis fournit une plateforme d’analyse automatisée de sécurité pouvant notamment examiner un dépôt de code, ses dépendances et secrets, certains éléments de configuration et une surface web, puis produire des constats, scores, rapports ou attestations. Certaines analyses utilisent des modèles d’intelligence artificielle et des prestataires techniques tiers identifiés dans l’interface avant leur lancement.

Les caractéristiques, le périmètre, les prérequis, le budget maximal et, le cas échéant, les limites propres à chaque analyse sont présentés dans l’interface avant sa validation. Les fonctionnalités gratuites peuvent être modifiées ou interrompues sans constituer un engagement de fourniture permanent.

4. Autorisation et obligations du Client

Le Client s’engage à n’analyser que des systèmes, domaines, applications, dépôts et données dont il est propriétaire ou pour lesquels il détient une autorisation préalable, expresse et suffisante. Il demeure seul responsable du périmètre qu’il désigne et de l’obtention des autorisations de ses propres clients, hébergeurs, prestataires et titulaires de droits.

• fournir des informations exactes et maintenir ses accès et coordonnées à jour ;
• protéger ses moyens d’authentification et signaler rapidement tout accès non autorisé ;
• ne pas utiliser le service pour attaquer un tiers, contourner une mesure de sécurité ou commettre un acte illicite ;
• sauvegarder ses systèmes et données avant toute analyse active ;
• examiner et faire valider les résultats avant toute décision sensible ou mise en production.

Le Prestataire peut demander tout justificatif d’autorisation et suspendre immédiatement une analyse en cas de doute raisonnable, de risque pour un tiers ou de violation des présentes CGV.

5. Compte et formation du contrat

L’accès à certaines fonctions nécessite un compte rattaché à une organisation. Le Client choisit le montant de sa recharge, vérifie le récapitulatif et les taxes applicables, accepte les CGV puis confirme son paiement sur l’interface sécurisée de Stripe. Le contrat est conclu lorsque le paiement est confirmé. Une confirmation et une facture sont alors mises à disposition dans l’espace de facturation.

Pour chaque analyse payante, le Client sélectionne son périmètre et son plafond de dépense, puis confirme le lancement. Cette confirmation constitue l’ordre d’exécution de la prestation.

6. Prix et taxes

Les prix sont exprimés en euros. Le prix et son traitement fiscal définitifs sont ceux affichés dans le récapitulatif Stripe avant paiement. La taxe sur la valeur ajoutée et toute autre taxe applicable sont calculées selon les informations de facturation fournies par le Client et la réglementation en vigueur.

Pour une analyse, le montant choisi est un plafond et non un forfait systématiquement dû. Le coût effectivement débité correspond à la consommation mesurée par la plateforme, dans la limite du plafond confirmé. Les estimations de profondeur, de durée ou de couverture sont indicatives. Aucun escompte n’est accordé pour paiement anticipé.

7. Crédit d’analyse

Toute recharge payée crédite un compte interne libellé en euros. Ce crédit est un droit d’utilisation des services PentestLouis : il ne constitue ni une monnaie électronique, ni un dépôt bancaire, ne produit aucun intérêt et ne peut être cédé ou transféré.

Au lancement d’une analyse, le plafond choisi est réservé. Seul le coût réel est débité à la clôture ; la part non consommée redevient disponible. Si l’analyse est arrêtée par le Client, atteint son plafond ou ne couvre qu’une partie du périmètre, la consommation déjà engagée reste due et le résultat peut être partiel.

Sauf erreur de facturation, obligation légale ou accord écrit du Prestataire, les crédits achetés ne sont pas remboursables en numéraire. La suppression du compte entraîne la perte définitive du solde restant. Les crédits promotionnels ou accordés gratuitement peuvent être soumis à des conditions particulières et ne sont jamais remboursables.

8. Paiement et facturation

Les paiements par carte sont traités par Stripe selon les moyens proposés au moment de la commande. Le Prestataire ne reçoit pas le numéro complet de la carte. Le crédit n’est ajouté qu’après confirmation irrévocable du paiement. En cas de rejet, d’annulation, de fraude suspectée ou de rétrofacturation, le Prestataire peut suspendre le compte et annuler le crédit correspondant, sans préjudice de toute somme déjà consommée.

Lorsqu’un paiement différé est exceptionnellement convenu avec un Client professionnel, toute somme non payée à l’échéance entraîne, de plein droit et sans rappel, des pénalités au taux égal à trois fois le taux d’intérêt légal ainsi que l’indemnité forfaitaire de 40 € pour frais de recouvrement prévue à l’article D. 441-5 du Code de commerce. Une indemnisation complémentaire peut être demandée lorsque les frais exposés dépassent ce montant.

9. Exécution, annulation et incidents

La prestation commence dès le lancement confirmé par le Client. Celui-ci peut interrompre une analyse depuis l’interface lorsque cette fonction est proposée ; les ressources déjà consommées restent facturées. Aucun délai de rétractation n’est applicable aux commandes conclues exclusivement à des fins professionnelles.

En cas d’incident imputable au Prestataire empêchant la fourniture de la prestation, celui-ci peut, à son choix, relancer l’analyse, recréditer le coût injustement débité ou rembourser la prestation concernée. Un échec lié au périmètre du Client, à ses accès, à un service tiers ou à une interruption demandée par le Client ne donne pas automatiquement droit à remboursement.

10. Portée des résultats

La cybersécurité ne permettant pas de garantir l’absence de vulnérabilité, PentestLouis est tenu à une obligation de moyens. Une analyse reflète un périmètre, un état technique, des informations disponibles et un budget donnés à sa date de réalisation. Elle peut comporter des faux positifs, faux négatifs, résultats incomplets ou suggestions inadaptées.

Les scores, rapports et attestations ne constituent ni une certification réglementaire, ni une garantie de conformité, ni un conseil juridique, ni la promesse qu’aucune attaque ne réussira. Le Client reste responsable des vérifications humaines, des corrections, des sauvegardes, de la sécurité de ses systèmes et de ses décisions.

11. Disponibilité et évolution

Le Prestataire s’efforce d’assurer la disponibilité du service mais ne garantit pas un fonctionnement continu ou sans erreur. Il peut réaliser des opérations de maintenance, appliquer des mesures d’urgence ou faire évoluer les fonctionnalités pour des motifs de sécurité, de conformité ou d’amélioration. Il informe le Client dans un délai raisonnable lorsque la nature de l’intervention le permet.

12. Données et confidentialité

Chaque partie s’engage à protéger les informations confidentielles reçues de l’autre et à ne les utiliser que pour l’exécution du contrat. Le Client reconnaît que l’exécution peut nécessiter la transmission de code, de métadonnées ou d’instructions aux sous-traitants techniques présentés dans le service. Les durées de conservation et mesures applicables sont décrites dans la documentation et les informations relatives à la protection des données.

Le Client s’interdit de soumettre des données personnelles, secrets ou contenus non nécessaires à l’analyse et veille à disposer d’une base légale pour les données qu’il confie au service.

13. Propriété intellectuelle

Le Client conserve ses droits sur ses codes, données et contenus. Il concède au Prestataire, pour la durée nécessaire à la prestation, le droit technique de les héberger, reproduire et traiter uniquement afin de fournir et sécuriser le service.

Le Prestataire conserve tous les droits sur PentestLouis, ses logiciels, méthodes, modèles, interfaces, marques et contenus préexistants. Sous réserve du paiement intégral, le Client peut utiliser, reproduire et transmettre en interne les rapports produits pour ses besoins professionnels. Toute revente, extraction systématique ou exploitation concurrente du service est interdite sans accord écrit.

14. Responsabilité

Chaque partie répond des dommages directs qu’elle cause à l’autre du fait d’un manquement prouvé. Le Prestataire ne répond pas des dommages indirects, notamment perte de chiffre d’affaires, de marge, de clientèle, d’opportunité, d’image ou de données, ni des conséquences d’une décision prise sans validation humaine des résultats.

Dans la mesure permise par la loi, la responsabilité totale cumulée du Prestataire, toutes causes confondues, est limitée au montant hors taxes effectivement payé par le Client au cours des douze mois précédant le fait générateur. Cette limitation ne s’applique pas en cas de faute lourde ou dolosive, d’atteinte corporelle, ni lorsqu’une règle impérative l’interdit.

15. Suspension, résiliation et suppression du compte

Le Prestataire peut suspendre tout ou partie du service en cas de risque de sécurité, d’impayé, de suspicion de fraude, d’usage illicite ou de manquement grave. Sauf urgence ou manquement non réparable, la résiliation pour faute intervient après une mise en demeure restée sans effet pendant quinze jours.

Le Client peut supprimer son compte depuis les réglages. Il lui appartient de télécharger au préalable les documents qu’il souhaite conserver. La suppression entraîne l’effacement des éléments indiqués dans l’interface, l’invalidation des attestations et la perte non remboursée du crédit restant, sous réserve des données que le Prestataire doit conserver pour respecter ses obligations légales, assurer sa défense ou prévenir la fraude.

16. Force majeure

Aucune partie n’est responsable d’un manquement causé par un événement échappant à son contrôle raisonnable et répondant aux conditions de l’article 1218 du Code civil. La partie affectée en informe l’autre et limite autant que possible les effets de l’événement. Si l’empêchement dure plus de trente jours, chaque partie peut résilier la prestation affectée sans indemnité.

17. Preuve

Les enregistrements électroniques conservés dans des conditions raisonnables de sécurité — validations, journaux d’événements, consommations, courriels, données de paiement et version des CGV acceptée — font foi entre les parties jusqu’à preuve contraire. Les documents électroniques peuvent être conservés et communiqués comme preuve sur un support durable.

18. Modification des CGV

Le Prestataire peut modifier les CGV pour l’avenir. La version applicable à une recharge est celle acceptée lors de sa commande. Toute modification substantielle applicable à l’utilisation future du service est portée à la connaissance du Client par un moyen approprié. La date et le numéro de version figurent en tête du document.

19. Droit applicable et litiges

Les CGV et le contrat sont soumis au droit français. En cas de différend, les parties cherchent d’abord une solution amiable et disposent de trente jours à compter d’une notification écrite pour y parvenir.

À défaut d’accord amiable, tout litige entre commerçants relatif à la validité, l’interprétation, l’exécution ou la cessation du contrat relève de la compétence exclusive du Tribunal de commerce de Paris, y compris en cas de pluralité de défendeurs ou d’appel en garantie. Pour les autres Clients professionnels, les règles de compétence légales s’appliquent.