CONDITIONS GÉNÉRALES DE VENTE — BCIT SASU
Conseil · Audit · Cybersécurité · Conformité · Implémentation · Accompagnement récurrent
Version 2.1 — 22 octobre 2026
BCIT SASU, société par actions simplifiée unipersonnelle au capital de 1 000 €, dont le siège social est situé au 43 rue d'Armagnac, 33800 Bordeaux, immatriculée au RCS Bordeaux sous le numéro 108 714 239, numéro de TVA intracommunautaire FR17108714239, ci-après « BCIT ».
Champ d'application : exclusivement professionnel (B2B). Les présentes CGV ne sont pas destinées aux consommateurs. Lorsque des règles impératives protègent certains professionnels, elles prévalent sur toute stipulation contraire.
Article 1 — Définitions et champ d'application
1.1. Les présentes conditions générales de vente (« CGV ») régissent les prestations de conseil en cybersécurité, gouvernance, gestion des risques, conformité, audit, assistance, mise en œuvre de systèmes de management, intégration, développement, formation incidente à une mission de conseil, RSSI externalisé et accompagnement récurrent proposées par BCIT aux clients professionnels (« Client »).
1.2. Les « Conditions Particulières » désignent le devis, la proposition ou le contrat de mission accepté qui précise notamment les prestations commandées, le prix et, le cas échéant, les livrables, contraintes et annexes. Les « Livrables » sont les documents, configurations, rapports, modèles, scripts ou autres éléments expressément désignés comme devant être remis. Une « demande de changement » est une demande modifiant le périmètre, les hypothèses, les livrables, le calendrier ou les moyens convenus.
1.3. Les prestations se limitent strictement au périmètre décrit dans les Conditions Particulières. Ce qui n'y figure pas n'est pas inclus, notamment les audits exhaustifs, tests d'intrusion, maintenance continue, hébergement, supervision 24 h/24, réponse à incident, obligations de veille ou assistance à certification, sauf mention expresse.
1.4. Les parties agissent en professionnels indépendants. BCIT n'est ni mandataire général, ni dirigeant de fait, ni assureur du niveau de sécurité ou de conformité du Client. Les missions de RSSI externalisé ne transfèrent pas, à elles seules, la responsabilité légale des dirigeants du Client à BCIT.
Article 2 — Formation et hiérarchie du contrat
2.1. BCIT communique ou met durablement à disposition les CGV avant la commande. Le Client les accepte expressément par signature du devis, signature électronique ou tout autre acte positif non équivoque permettant d'en établir la preuve. Les CGV du Client ne s'appliquent que dans la mesure où BCIT les a expressément acceptées par écrit. Les conditions générales contradictoires restent soumises aux règles légales applicables.
2.2. Les documents contractuels prévalent, dans l'ordre : (i) avenants signés les plus récents ; (ii) Conditions Particulières ; (iii) annexes techniques et commerciales expressément incorporées ; (iv) présentes CGV. Pour les matières régies par les obligations impératives de l'article 28 du RGPD, l'accord de sous-traitance (« DPA ») applicable prévaut dans sa sphère propre. Aucune commande fournisseur, charte ou politique unilatéralement transmise ne modifie le contrat sans acceptation expresse.
2.3. Les nouvelles versions des CGV ne modifient pas un contrat en cours sans accord des parties, hors effet d'une règle impérative. Toute modification substantielle d'un contrat prend la forme d'un accord écrit, y compris par échange électronique permettant d'établir le consentement des parties.
Article 3 — Commande, acompte et démarrage
3.1. Sauf mention contraire, les propositions sont valables 30 jours calendaires. La commande est conclue après acceptation des Conditions Particulières par le Client et confirmation par BCIT lorsque celle-ci est expressément requise dans la proposition.
3.2. Sauf conditions particulières, 30 % du prix HT sont facturés à titre d'acompte à la commande. Il s'agit d'un acompte imputable au prix, et non d'arrhes. Le démarrage opérationnel est subordonné à son encaissement ainsi qu'à la disponibilité des informations, interlocuteurs, accès et autorisations nécessaires.
3.3. Les dates indiquées sont indicatives si elles dépendent d'éléments non encore réunis. Toute date ferme et tout délai impératif doivent être expressément identifiés comme tels. Le calendrier est ajusté de manière proportionnée aux retards imputables au Client ou aux changements acceptés.
3.4. Tout report par le Client moins de 10 jours ouvrés avant une intervention confirmée ouvre droit au remboursement des frais irréversibles justifiés et, le cas échéant, à l'indemnisation proportionnée de la capacité de travail effectivement immobilisée et non raisonnablement réaffectable. Cette indemnité ne constitue pas automatiquement l'intégralité de l'acompte. Un nouveau calendrier est fixé selon les disponibilités des parties.
Article 4 — Prix et facturation
4.1. Les prix figurent dans les Conditions Particulières, en euros hors taxes, majorés de la TVA légalement applicable. Aucun tarif journalier indicatif figurant dans une communication commerciale ne modifie le prix convenu.
4.2. Forfait. Le prix couvre exclusivement le périmètre contractuel. Sauf stipulation contraire, la facturation intervient à raison de 30 % à la commande, 40 % à la remise du livrable intermédiaire principal défini au devis, 30 % à la réception du dernier livrable. Lorsque le devis ne prévoit pas de livrable intermédiaire, l'échéancier applicable doit être précisé dans les Conditions Particulières ; à défaut, l'acompte de 30 % est suivi du solde de 70 % à la remise du dernier livrable. Un jalon exécuté devient facturable même si le Client tarde à réaliser une validation relevant de sa responsabilité, sans préjudice de ses réserves fondées.
4.3. Régie. Les prestations sont facturées mensuellement à terme échu selon les unités de temps convenues. À défaut, une journée correspond à 7 heures de travail effectif. BCIT communique un relevé d'activité. Le Client dispose de 5 jours ouvrés pour formuler des observations motivées ; l'absence d'observation ne prive pas de la possibilité de signaler ultérieurement une erreur objective.
4.4. Abonnement. Les prestations récurrentes sont facturées mensuellement à terme à échoir, sauf accord contraire. Seuls les volumes, plages de service, délais de réponse et modalités de report indiqués dans les Conditions Particulières sont garantis. À défaut d'une clause de report, les unités non consommées expirent à la fin de la période mensuelle, sauf impossibilité d'utilisation imputable à BCIT. Tout dépassement nécessitant une facturation complémentaire est soumis à l'accord préalable du Client.
4.5. Dépenses. Les frais de déplacement, hébergement, licences, outils tiers, achats et dépenses externes sont facturés en supplément seulement s'ils ont été prévus au devis ou préalablement autorisés. Les licences souscrites directement par le Client restent facturées par leurs fournisseurs.
4.6. Sauf conditions particulières, les factures sont payables 30 jours calendaires à compter de leur émission, par virement bancaire, dans les limites légales applicables. Les sommes non contestées restent payables à leur échéance. Aucun escompte n'est accordé pour paiement anticipé.
4.7. Tout retard de paiement entraîne de plein droit, sans rappel préalable, les pénalités de retard au taux de refinancement de la BCE majoré de 10 points, calculées conformément aux textes en vigueur, une indemnité forfaitaire de 40 € par facture impayée pour frais de recouvrement et, sur justificatifs, l'indemnisation complémentaire des frais de recouvrement lorsqu'ils dépassent ce forfait, selon l'article L.441-10 du Code de commerce.
4.8. Pour les contrats d'une durée contractuelle supérieure à 12 mois, les prix récurrents peuvent être révisés une fois par an à la date anniversaire : Pₙ = P₀ × (Sₙ / S₀), où P₀ est le prix de référence figurant dans les Conditions Particulières, S₀ le dernier indice Syntec définitif publié à la date de prise d'effet, et Sₙ le dernier indice Syntec définitif publié à la date de révision. La première révision ne peut intervenir avant 12 mois. L'indice de substitution sera convenu si l'indice Syntec cesse d'être publié ; à défaut, la révision est suspendue jusqu'à accord.
Article 5 — Obligations et indépendance technique
5.1. BCIT fournit ses prestations selon les règles de l'art et avec une obligation de moyens, sauf résultat technique précisément défini et expressément garanti dans les Conditions Particulières. L'appréciation des prestations tient compte du périmètre, des moyens, des délais et des informations accessibles.
5.2. BCIT ne garantit ni l'obtention ni le maintien d'une certification ou homologation, ni l'absence de cyberattaque, de vulnérabilité, de sanction, d'observation d'audit ou de non-conformité. Les décisions des certificateurs et autorités sont indépendantes. Aucune mention commerciale de « mise en conformité » ou d'« accompagnement à certification » ne constitue une promesse de décision favorable d'un tiers.
5.3. Le Client désigne un interlocuteur décisionnaire, communique des informations fiables et à jour, donne les accès et autorisations nécessaires, mobilise ses équipes et réalise les arbitrages et validations relevant de ses responsabilités. BCIT peut raisonnablement s'appuyer sur les données fournies, sauf anomalie manifeste ou mission spécifique de vérification. BCIT signale les incohérences significatives identifiées.
5.4. Le Client reste responsable de sa gouvernance, de l'acceptation des risques, de l'approbation et de l'application des politiques, des décisions réglementaires, de la sélection des mesures de sécurité et de la validation des changements en production, sauf répartition spécifique formalisée. BCIT ne dispose d'aucun pouvoir de décision sur le système d'information du Client sans habilitation explicite.
5.5. BCIT organise ses interventions et peut remplacer un intervenant par une personne disposant des compétences adaptées. BCIT peut recourir à du personnel, à des partenaires ou à des sous-traitants sous sa responsabilité, sous réserve des engagements contractuels de sécurité et de confidentialité et des règles RGPD propres à la sous-traitance ultérieure.
5.6. Tout empêchement imputable au Client peut entraîner une suspension de la tâche concernée et une replanification raisonnable après notification. Les prestations nouvelles et reprises supplémentaires font l'objet d'un accord préalable sur leurs conditions financières.
Article 6 — Changements de périmètre et dépendances
6.1. Toute modification du périmètre, des environnements, du nombre d'entités, des exigences, des livrables, des systèmes à intégrer ou des délais fait l'objet d'une analyse d'impact. BCIT n'est pas tenue de l'exécuter avant accord écrit sur le prix et le calendrier révisés.
6.2. Les prestations non commandées ne sont pas incluses par le seul effet d'une demande orale, d'une participation à une réunion ou de l'utilisation d'un outil collaboratif.
6.3. BCIT ne garantit pas la disponibilité de services, API, logiciels, hébergements et plateformes tiers qu'elle ne contrôle pas ; elle reste toutefois responsable de ses propres fautes dans les choix, intégrations ou configurations qui entrent dans sa mission. Les adaptations rendues nécessaires par des changements de services tiers hors périmètre initial sont soumises à un devis complémentaire.
Article 7 — Livrables, vérification et réception
7.1. Les livrables sont remis par voie électronique aux formats convenus. Une prestation de conseil oral peut être achevée sans livrable écrit si le devis le précise.
7.2. Le Client dispose de 10 jours ouvrés à compter de la notification de mise à disposition d'un livrable pour émettre des réserves écrites et motivées, rattachées aux critères de réception et spécifications contractuelles. À défaut de telles réserves, le livrable est contractuellement réputé accepté, sous réserve des défauts non apparents et des droits impératifs applicables.
7.3. Les réserves fondées portent sur des non-conformités imputables à BCIT. BCIT procède sans frais supplémentaire à leur correction dans un délai raisonnable fixé au regard de leur gravité et de leur complexité. Les demandes nouvelles, changements de préférence, changements d'environnement ou évolutions du périmètre ne sont pas des corrections incluses.
7.4. Une nouvelle vérification est limitée aux corrections et à leurs conséquences directes. Les défauts mineurs qui n'empêchent pas l'usage essentiel du livrable n'interdisent pas la réception, à charge pour BCIT d'exécuter les corrections relevant de sa responsabilité.
7.5. La réception du dernier livrable ou l'exécution de la dernière prestation prévue clôt la phase de réalisation. Elle n'efface pas les obligations survivantes ni les responsabilités légalement applicables.
Article 8 — Propriété intellectuelle et droits d'utilisation
8.1. Éléments BCIT. BCIT conserve ses droits sur ses méthodes, référentiels originaux, bibliothèques, architectures génériques, modèles, scripts réutilisables, outils, codes, composants et savoir-faire existants ou développés indépendamment du contrat. Le Client n'acquiert aucun droit de commercialisation sur ces éléments par leur simple incorporation dans les livrables.
8.2. Licence sur les livrables. Sous réserve du paiement intégral du prix de la mission, BCIT concède au Client, sur les éléments dont elle détient les droits, une licence non exclusive, mondiale, pour la durée légale de protection, irrévocable sauf violation substantielle de ses conditions, permettant l'utilisation, la reproduction, la modification et l'adaptation des livrables pour ses besoins professionnels internes, ainsi que leur communication à ses auditeurs, certificateurs, conseils et prestataires ayant besoin d'en connaître, sous engagements appropriés. Le Client peut utiliser et adapter ses documents internes sans dépendance opérationnelle à BCIT.
8.3. La licence n'autorise pas la revente autonome, la publication comme bibliothèque de modèles, la distribution commerciale ni la mise à disposition de composants génériques BCIT pour constituer une offre concurrente. Le Client reste libre de produire ses propres documents et de faire exploiter les livrables pour ses besoins par ses prestataires.
8.4. Cession particulière. Toute cession de droits patrimoniaux sur un développement ou livrable spécifique doit être expressément prévue dans les Conditions Particulières, identifier les droits cédés et préciser leur étendue, destination, territoire, durée et rémunération conformément aux textes applicables. À défaut, seule la licence prévue ci-dessus est consentie.
8.5. Tiers. Les composants open source, logiciels tiers, normes et contenus de tiers demeurent soumis aux licences et droits de leurs titulaires. BCIT ne cède aucun droit sur les textes normatifs propriétaires appartenant à des organismes tiers.
8.6. Client. Le Client conserve l'intégralité de ses droits sur ses données, marques, documents et ressources. Il garantit disposer des droits nécessaires pour les remettre à BCIT et en autorise l'usage strictement nécessaire à l'exécution de la mission.
8.7. BCIT reste libre de réutiliser son expérience professionnelle générale, sous réserve de ne reproduire ni divulguer les informations confidentielles et créations protégées du Client. Les droits moraux des auteurs personnes physiques restent régis par la loi.
Article 9 — Confidentialité et secrets d'affaires
9.1. Chaque partie protège les informations techniques, commerciales, financières, stratégiques, réglementaires ou de sécurité non publiques de l'autre, qu'elles soient identifiées comme confidentielles ou que leur caractère confidentiel découle raisonnablement de leur nature (« Informations Confidentielles »).
9.2. Elles sont utilisées uniquement pour l'exécution du contrat et communiquées aux seules personnes ayant besoin d'en connaître, elles-mêmes soumises à des obligations adaptées. Les deux parties appliquent des précautions au moins raisonnables compte tenu de la sensibilité des informations.
9.3. Ne sont pas confidentielles les informations dont la partie destinataire démontre qu'elles étaient déjà licitement connues, publiquement accessibles sans manquement, légalement obtenues de tiers non tenus à une obligation de confidentialité ou développées indépendamment. Les divulgations légalement imposées sont possibles dans la stricte mesure nécessaire ; l'autre partie en est informée lorsque la loi le permet.
9.4. L'obligation générale survit 5 ans après la fin du contrat. Les secrets d'affaires restent protégés tant qu'ils répondent aux critères légaux ; les identifiants, clés et informations sensibles relatives à des vulnérabilités non corrigées sont protégés aussi longtemps que leur divulgation reste susceptible de créer un risque légitime et qu'ils demeurent confidentiels.
9.5. Aucun benchmark, retour d'expérience ou exemple ne peut contenir d'information permettant de réidentifier le Client ou de révéler un secret protégé. L'usage de données personnelles anonymisées doit reposer sur une anonymisation effective et non une simple pseudonymisation.
9.6. À la fin du contrat, les parties restituent ou détruisent, sur demande légitime, les Informations Confidentielles de l'autre, sous réserve des obligations légales de conservation et des sauvegardes sécurisées soumises à leur cycle normal de purge.
Article 10 — Protection des données personnelles
10.1. Les rôles RGPD sont déterminés traitement par traitement. BCIT agit notamment comme responsable de traitement pour la gestion administrative, contractuelle, comptable, la prospection et la sécurité de ses propres services. BCIT agit comme sous-traitant lorsqu'elle traite des données à caractère personnel pour le compte du Client, selon ses instructions documentées.
10.2. Les traitements du Client nécessitant un encadrement au titre de l'article 28 du RGPD sont régis par l'Annexe A — Accord de sous-traitance, à compléter, individualiser et conclure avant tout traitement concerné. Sans description suffisante du traitement et des mesures applicables, aucun accès de BCIT à ces données ne doit être engagé.
10.3. Les données traitées par BCIT en responsable de traitement sont conservées pendant des durées adaptées aux finalités et obligations applicables ; notamment, les pièces comptables sont conservées pendant la durée comptable légale applicable. Le délai de conservation n'est pas uniformément de dix ans pour toutes les données contractuelles.
10.4. Les personnes concernées peuvent exercer leurs droits applicables en écrivant à dpo@bcit.fr. Cette adresse ne constitue pas, à elle seule, une déclaration de désignation d'un délégué à la protection des données auprès de la CNIL.
Article 11 — Autorisations et sécurité des interventions techniques
11.1. Le Client garantit avoir autorité sur les environnements concernés et disposer des autorisations des propriétaires, hébergeurs et autres tiers requis. Les tests d'intrusion, scans actifs, opérations intrusives et modifications de production exigent un périmètre d'autorisation écrit, indiquant au minimum les ressources visées, les méthodes autorisées, les contraintes d'exploitation et les contacts d'escalade.
11.2. Le Client demeure responsable de ses sauvegardes, de la définition de ses fenêtres d'intervention, de ses plans de restauration et de son dispositif de continuité, sauf engagements spécifiques confiés à BCIT. BCIT demeure responsable de son devoir de diligence et de l'information raisonnable sur les risques prévisibles de ses opérations.
11.3. Les comptes d'accès sont nominatifs lorsque techniquement possible, limités aux privilèges nécessaires et révoqués à la fin de la mission. Les parties utilisent des canaux appropriés pour transmettre les secrets et documentent les accès d'administration selon les besoins de sécurité.
11.4. BCIT peut différer ou refuser une opération manifestement illicite ou présentant un risque grave et disproportionné non maîtrisé, en informant le Client et en prenant les précautions raisonnablement nécessaires pour ne pas aggraver un incident.
11.5. Chacune des parties notifie à l'autre dans les meilleurs délais tout incident de sécurité connu susceptible d'affecter sensiblement la mission ou les informations de l'autre. Les violations de données personnelles traitées pour le compte du Client suivent également l'Annexe A.
Article 12 — Outils d'automatisation et intelligence artificielle
12.1. BCIT peut utiliser des outils professionnels, automatisations et systèmes d'assistance par intelligence artificielle pour réaliser ses prestations, sous sa responsabilité et sous réserve des stipulations propres aux données sensibles.
12.2. Aucune donnée confidentielle identifiable, donnée personnelle traitée pour le compte du Client ou donnée soumise à une restriction d'usage n'est transmise à un service d'IA tiers sans garanties contractuelles, techniques et juridiques appropriées, ni sans l'autorisation ou les instructions nécessaires lorsque celles-ci sont requises.
12.3. BCIT met en place une revue proportionnée aux risques des résultats des outils utilisés. L'usage d'un outil automatisé ne diminue pas ses obligations contractuelles.
12.4. Les données du Client ne peuvent être utilisées pour entraîner des modèles destinés à d'autres usages sans base juridique appropriée et autorisation spécifique lorsque celle-ci est requise. Tout recours à un fournisseur ayant la qualité de sous-traitant ultérieur suit l'Annexe A.
Article 13 — Responsabilité et réparation
13.1. Chaque partie répond des conséquences de ses manquements qui lui sont imputables, dans les conditions du droit applicable, sous réserve de la preuve d'un préjudice réparable et d'un lien de causalité.
13.2. Plafond général. Sous réserve des exceptions légales et contractuelles du présent article, le montant cumulé des dommages-intérêts pouvant être mis à la charge de BCIT au titre d'une mission ne peut dépasser 100 % du prix HT contractuellement convenu pour cette mission. Pour un contrat récurrent, le plafond est égal à 100 % des sommes HT payées ou dues au titre des 12 mois précédant le fait générateur, ou, si le contrat est plus récent, des montants contractuellement prévus pendant ses 12 premiers mois.
13.3. Plafond spécial. Pour les manquements contractuels de BCIT à ses obligations spécifiques de confidentialité ou de sécurité de l'information, le plafond contractuel est porté à 200 % de la base déterminée ci-dessus. Ce plafond spécial remplace le plafond général pour les dommages concernés et ne s'y additionne pas.
13.4. Les plafonds ne s'appliquent pas en cas de dol, faute lourde, ni lorsqu'ils seraient prohibés par une disposition impérative ou videraient une obligation essentielle de sa substance. Ils ne limitent pas les droits propres de tiers ni les prérogatives des autorités, notamment au titre du RGPD.
13.5. Dans les limites légales, les parties excluent la réparation des dommages indirects. La perte de données, l'interruption d'activité et les coûts de reconstitution ne sont pas automatiquement qualifiés d'indirects ; leur caractère réparable est apprécié selon le droit applicable et les faits du litige.
13.6. Les parties reconnaissent que les plafonds sont un élément de répartition des risques pris en compte dans la détermination du prix. Toute mission portant sur des systèmes critiques, données particulièrement sensibles ou risques spéciaux peut donner lieu à un plafond spécifique indiqué dans les Conditions Particulières, cohérent avec le niveau d'assurance disponible.
13.7. Le Client est responsable de ses propres choix, validations, omissions et décisions, sans que cette disposition exonère BCIT d'un manquement qui lui serait imputable.
Article 14 — Assurance
BCIT maintient pendant l'exécution des missions une assurance de responsabilité civile professionnelle adaptée aux activités effectivement exercées, dans les limites, franchises et exclusions de sa police. Une attestation à jour est remise sur demande. Aucun montant de garantie ni aucune couverture de risque cyber particulière n'est contractuellement promis par les présentes CGV en l'absence de mention vérifiée dans les Conditions Particulières.
Article 15 — Durée et renouvellement
15.1. Les missions forfaitaires prennent fin à leur achèvement contractuel, sous réserve des stipulations survivantes. Les missions récurrentes et régies sont conclues pour la durée précisée aux Conditions Particulières.
15.2. À défaut de stipulation expresse, aucune reconduction tacite n'est prévue. Lorsqu'une reconduction est stipulée, ses modalités, le préavis et la période de renouvellement figurent dans les Conditions Particulières et demeurent soumis aux règles légales applicables.
Article 16 — Suspension, résiliation et effets
16.1. Suspension pour impayé. BCIT peut suspendre les prestations non exécutées en cas d'impayé après mise en demeure écrite restée sans effet pendant 8 jours calendaires, dans le respect de la proportionnalité et des obligations impératives de sécurité, confidentialité et protection des données. Les prestations concernées sont replanifiées raisonnablement après régularisation.
16.2. Suspension pour risque. Une partie peut suspendre une obligation dans les conditions du droit applicable lorsque le manquement de l'autre ou un risque sérieux d'inexécution le justifie. Toute suspension est motivée et documentée, sauf impossibilité liée à une urgence.
16.3. Résolution pour manquement. La clause résolutoire vise le défaut de paiement d'une somme exigible non sérieusement contestée, la violation grave d'une obligation de confidentialité ou de sécurité, l'usage illégal des accès, ou le défaut persistant de coopération rendant matériellement impossible la mission. Après une mise en demeure écrite mentionnant expressément la présente clause résolutoire et demeurée infructueuse 15 jours calendaires, la partie lésée peut notifier la résolution du contrat, sous réserve des droits légaux applicables, notamment lorsque l'exécution immédiate ou la gravité des faits justifie une autre mesure prévue par la loi.
16.4. Résiliation pour convenance du Client — forfait. Le Client peut mettre fin par écrit à une mission forfaitaire avec un préavis de 15 jours ouvrés. Sont alors dus le prix des prestations effectivement exécutées, les frais irréversibles raisonnablement justifiés et une indemnité de désengagement équivalente à 20 % du prix HT des prestations restant à exécuter, sous réserve du pouvoir légal de révision des clauses pénales et de l'interdiction de toute double indemnisation du même préjudice.
16.5. Régie et abonnement. Pour les missions en régie ou les abonnements, les durées fermes, préavis et conditions financières de rupture sont ceux des Conditions Particulières. À défaut d'engagement ferme accepté, seules les prestations réalisées, les sommes déjà échues et les dépenses autorisées non récupérables sont dues. Les dispositions légales relatives à la rupture de relations commerciales établies demeurent applicables.
16.6. En cas de fin de contrat, chaque partie organise le retrait des accès, la restitution des éléments appartenant à l'autre, la remise des livrables contractuellement dus et le règlement des sommes exigibles. La fin du contrat n'éteint pas les engagements de confidentialité, les droits de propriété intellectuelle déjà concédés ou cédés, les obligations RGPD et les réclamations antérieurement nées.
Article 17 — Réversibilité et assistance post-contractuelle
17.1. Les prestations de restitution standard consistent à remettre les données et livrables dont la remise est contractuellement prévue, dans un format convenu ou raisonnablement exploitable.
17.2. Les travaux additionnels de migration, transfert de compétences, reconfiguration, assistance d'un nouveau prestataire ou réversibilité technique approfondie font l'objet d'un devis distinct, sauf inclusion expresse dans les Conditions Particulières.
17.3. Les obligations de restitution ou de suppression des données personnelles prévues par le RGPD et l'Annexe A s'appliquent indépendamment de la commande d'une assistance additionnelle.
Article 18 — Non-sollicitation
18.1. Pendant le contrat et 12 mois après sa fin, chaque partie s'interdit, sans l'accord écrit de l'autre, de solliciter activement et spécifiquement pour un recrutement un salarié de l'autre partie ayant participé de manière significative à la mission.
18.2. L'interdiction ne vise pas les candidatures spontanées, annonces de recrutement générales non ciblées ni les démarches indépendantes du salarié.
18.3. La partie lésée peut demander réparation de son préjudice direct établi, conformément au droit applicable. Aucune restriction contractuelle n'est imposée au salarié lui-même par cette clause.
Article 19 — Références commerciales
BCIT peut évoquer son expérience de manière anonymisée, sous réserve de ne pas rendre le Client identifiable ni divulguer de secret. Toute utilisation à des fins promotionnelles du nom, du logo, d'un témoignage, de captures d'écran ou d'une description identifiable du Client exige une autorisation écrite préalable. Toute opposition ultérieure porte sur les nouvelles utilisations et retraits techniquement raisonnables.
Article 20 — Force majeure
Les parties appliquent l'article 1218 du Code civil. La partie affectée informe l'autre dans les meilleurs délais, prend les mesures raisonnables d'atténuation et fournit les informations utiles. Les obligations empêchées sont suspendues dans les conditions légales. Si l'empêchement perdure plus de 60 jours calendaires, chacune des parties peut demander la fin du contrat selon la loi, sans remettre en cause le paiement des prestations déjà exécutées.
Article 21 — Notifications, preuves et stipulations finales
21.1. Les notifications sont effectuées par écrit, par lettre recommandée avec accusé de réception ou moyen électronique permettant d'établir l'identité de l'émetteur et la réception. Les demandes quotidiennes de validation et les comptes rendus peuvent transiter par les outils collaboratifs prévus au contrat.
21.2. Les preuves d'accord, courriels, rapports d'activité, procès-verbaux, comptes rendus, journaux techniques et historiques de validation conservés dans des conditions assurant leur intégrité peuvent être produits comme éléments de preuve, sous réserve des règles applicables.
21.3. La nullité ou l'inopposabilité d'une clause n'affecte pas les autres, sauf si l'économie du contrat ou une disposition impérative commande une autre conséquence. L'absence d'exercice ponctuel d'un droit ne vaut pas renonciation pour l'avenir.
21.4. Les présentes CGV et les autres documents contractuels acceptés constituent l'accord des parties pour les prestations commandées.
Article 22 — Droit applicable et litiges
22.1. Le contrat est régi par le droit français. Les parties recherchent une solution amiable pendant 30 jours calendaires à compter d'une notification écrite décrivant le différend, sans priver l'une d'elles de mesures urgentes, conservatoires ou de référé.
22.2. CLAUSE ATTRIBUTIVE DE COMPÉTENCE — EXCLUSIVEMENT ENTRE PARTIES AYANT TOUTES CONTRACTÉ EN QUALITÉ DE COMMERÇANT : LES JURIDICTIONS MATÉRIELLEMENT COMPÉTENTES DE BORDEAUX SONT SEULES TERRITORIALEMENT COMPÉTENTES POUR LES LITIGES RELATIFS AU CONTRAT, SOUS RÉSERVE DES RÈGLES IMPÉRATIVES, NOTAMMENT DE COMPÉTENCE SPÉCIALISÉE. CETTE CLAUSE DOIT FIGURER DE FAÇON TRÈS APPARENTE DANS L'ENGAGEMENT ACCEPTÉ PAR LE CLIENT.
22.3. Pour les autres professionnels, les règles légales de compétence s'appliquent.
ANNEXE A — ACCORD DE SOUS-TRAITANCE DE DONNÉES PERSONNELLES (DPA)
Application conditionnelle : cette annexe est destinée aux missions dans lesquelles BCIT traite des données personnelles pour le compte du Client. Elle doit être acceptée et accompagnée d'une fiche de traitement individualisée dans les Conditions Particulières, identifiant effectivement le traitement, avant tout accès aux données. Elle ne suffit pas, seule et sans cette description, à encadrer une mission réelle. Lorsque BCIT agit comme responsable de traitement indépendant, les dispositions pertinentes du RGPD s'appliquent sans créer artificiellement un rapport de sous-traitance.
A.1 — Rôles, objet et durée
Le Client est responsable du traitement et BCIT son sous-traitant uniquement pour les traitements identifiés comme tels dans la fiche de traitement contractuelle. La durée est celle du service concerné, prolongée pour les seules opérations de restitution, suppression et archivage légalement nécessaires.
La fiche de traitement contractuelle doit préciser, pour chaque traitement avant démarrage :
- Objet et finalités exactes de l'intervention ;
- Nature des opérations (consultation, import, export, configuration, analyse, hébergement, effacement, etc.) ;
- Catégories de personnes concernées et de données, en distinguant les catégories particulières et données sensibles ;
- Durée des opérations, lieux d'hébergement et d'accès, systèmes concernés ;
- Instructions initiales, contraintes particulières et durées de suppression ;
- Sous-traitants ultérieurs autorisés et pays depuis lesquels ils interviennent ;
- Mesures techniques et organisationnelles effectivement applicables.
A.2 — Instructions documentées
BCIT ne traite les données que sur les instructions documentées du Client, y compris concernant les transferts internationaux, sauf obligation légale applicable ; dans ce cas BCIT informe le Client avant traitement sauf interdiction légale. BCIT informe immédiatement le Client si une instruction lui paraît constituer une violation du RGPD ou d'une autre disposition relative à la protection des données. Les demandes hors instructions convenues font l'objet d'une évaluation et, si nécessaire, d'un avenant.
A.3 — Confidentialité et personnes autorisées
BCIT s'assure que toute personne autorisée à traiter les données est soumise à un engagement de confidentialité ou à une obligation légale équivalente et dispose d'habilitations adaptées à ses fonctions. L'accès est limité aux besoins de la prestation.
A.4 — Mesures de sécurité
BCIT applique les mesures de l'article 32 RGPD proportionnées au risque, dont, selon les environnements et traitements effectivement concernés : contrôle des accès et principe du moindre privilège, authentification renforcée pour accès sensibles, chiffrement approprié des transferts et stockages, gestion des terminaux, sauvegarde et restauration lorsque ces fonctions relèvent de BCIT, suivi des vulnérabilités, traçabilité proportionnée et mesures de disponibilité. Les mesures effectivement garanties doivent être décrites dans la fiche de traitement et/ou l'annexe sécurité de la mission ; aucune mesure non déployée n'est réputée garantie par la présente liste illustrative.
A.5 — Sous-traitants ultérieurs
Le Client peut donner une autorisation écrite spécifique ou générale selon la fiche de traitement. En cas d'autorisation générale, BCIT informe le Client de tout ajout ou remplacement envisagé dans un délai permettant au Client d'émettre des objections motivées avant sa mise en œuvre. Si l'objection n'est pas résolue, le traitement concerné n'est pas transféré au nouveau sous-traitant ; les parties recherchent une alternative ou déterminent les conséquences contractuelles. BCIT impose à ses sous-traitants ultérieurs des obligations de protection des données équivalentes et demeure responsable envers le Client de leur exécution dans les conditions du RGPD.
A.6 — Aide aux droits des personnes
Compte tenu de la nature du traitement et des informations à sa disposition, BCIT aide le Client, par des mesures techniques et organisationnelles appropriées, à répondre aux demandes d'exercice de droits. BCIT transmet sans retard injustifié toute demande reçue directement et n'y répond pas au nom du Client sauf instruction ou obligation légale.
A.7 — Violations de données
BCIT notifie au Client dans les meilleurs délais après en avoir pris connaissance toute violation de données personnelles relevant des traitements qui lui sont confiés. Une première notification, même partielle, indique dans la mesure connue la nature de l'événement, les catégories de données et de personnes affectées, les conséquences probables, les mesures prises et le point de contact. Les informations complémentaires sont transmises au fur et à mesure de leur disponibilité. Les parties peuvent convenir d'un objectif opérationnel de notification plus court dans la fiche de traitement ; aucune notification à délai fixe ne remplace l'exigence légale d'agir sans retard injustifié.
A.8 — Assistance et analyses d'impact
BCIT aide raisonnablement le Client, compte tenu des informations disponibles et de la nature du traitement, à respecter ses obligations de sécurité, notification de violation, analyse d'impact et consultation préalable de l'autorité de contrôle. Lorsque cette assistance exige des prestations exceptionnelles non imputables à un manquement de BCIT, les modalités financières peuvent être convenues séparément, sans faire obstacle aux obligations impératives.
A.9 — Démonstration de conformité et audit
BCIT met à disposition les informations nécessaires pour démontrer le respect de l'article 28 du RGPD et contribue aux audits, y compris inspections, menés par le Client ou un auditeur mandaté. Les audits sont organisés de manière proportionnée, avec un préavis raisonnable sauf urgence ou exigence réglementaire, et dans des conditions protégeant la confidentialité d'autres clients, les secrets d'affaires et la sécurité des systèmes. Les frais d'audit extraordinaires peuvent faire l'objet d'un accord dans les limites du RGPD. Aucune clause ne prive le Client du droit d'audit garanti par l'article 28.
A.10 — Transferts internationaux
Tout transfert de données hors de l'Espace économique européen ou accès depuis un pays tiers est soumis aux instructions documentées, aux dispositions du chapitre V du RGPD et aux garanties légalement requises (décision d'adéquation, clauses contractuelles types et, le cas échéant, mesures complémentaires). Une simple autorisation générale ne dispense pas de ces exigences.
A.11 — Sort des données en fin de prestation
Au choix du Client, et sauf obligation légale de conservation, BCIT restitue ou supprime les données traitées pour son compte et supprime les copies existantes. Les délais et modalités techniques sont fixés dans la fiche de traitement selon les systèmes utilisés, y compris les cycles de purge des sauvegardes. Durant toute conservation légalement requise ou purge différée justifiée, les données restent protégées et ne sont plus utilisées à des fins opérationnelles étrangères à ces obligations.
A.12 — Documentation et responsabilité
BCIT tient, lorsque requis, le registre des catégories d'activités de traitement effectuées pour le compte de responsables de traitement. Les obligations et responsabilités des parties s'apprécient conformément au RGPD et au droit applicable. Les plafonds contractuels ne privent pas les personnes concernées de leurs droits ni les autorités de leurs pouvoirs.
ANNEXE B — PROTOCOLE CONTRACTUEL MINIMAL POUR INTERVENTIONS TECHNIQUES
Cette annexe s'applique uniquement lorsque les Conditions Particulières prévoient des interventions techniques sur un système du Client. Elle ne vaut pas autorisation autonome de pentest ou d'accès à un système donné.
B.1. Autorisation spécifique. Avant intervention, le Client confirme par écrit les systèmes, environnements, comptes ou adresses autorisés, les opérations permises, les horaires, les interlocuteurs d'escalade et les contraintes de service. En l'absence d'autorisation suffisamment déterminée, BCIT ne réalise pas d'action intrusive.
B.2. Gestion des changements. Les modifications de production à impact significatif requièrent une validation par le responsable désigné côté Client. BCIT documente les opérations essentielles selon le degré de criticité.
B.3. Sauvegarde et retour arrière. Le Client confirme la disponibilité des sauvegardes et, lorsque nécessaire, d'une capacité de restauration. Les responsabilités de réalisation des sauvegardes et des plans de retour arrière sont expressément attribuées dans les Conditions Particulières.
B.4. Incident. En cas d'incident majeur pendant l'intervention, BCIT cesse les opérations aggravantes, sécurise dans la mesure de ses habilitations, informe les contacts désignés et coopère aux actions d'urgence raisonnablement demandées.
B.5. Clôture. Les accès temporaires sont désactivés ou transférés selon la procédure convenue ; les livrables et documentations spécifiés sont remis au Client.