Conditions générales d’utilisation

1. Objet et parties

Les présentes conditions générales d’utilisation (les « CGU ») régissent l’accès et l’utilisation de Patcharo, service de veille sur les vulnérabilités et d’aide à leur remédiation, composé du site public patcharo.com et de l’application app.patcharo.com (ensemble, le « Service »).

Le Service est édité et fourni par Ahmed BECHIR EI, exerçant sous le nom commercial DELQUOR, entrepreneur individuel immatriculé au registre du commerce et des sociétés sous le numéro 992 562 728 R.C.S. Vienne, dont l’établissement est situé 36 Rue Antonio Meucci, 38090 Villefontaine, France (l’« Éditeur »). Ses coordonnées complètes figurent dans les mentions légales.

Les CGU s’appliquent à toute personne qui consulte le site public ou utilise l’application (l’« Utilisateur »). Les abonnements payants sont en outre régis par les conditions générales de vente et d’abonnement (les « CGV ») et les données personnelles traitées pour le compte des clients par l’accord de traitement des données. En cas de contradiction, l’accord de traitement des données prévaut pour ce qui concerne ces données, puis les CGV pour les abonnements payants, puis les CGU.

L’application est destinée à un usage professionnel : la connaissance et le traitement des vulnérabilités des équipements qu’une organisation exploite ou qu’elle est chargée de gérer.

2. Définitions

• Compte : l’accès personnel d’un Utilisateur à l’application, identifié par son adresse e-mail.
• Espace de travail : l’environnement de l’application dans lequel une organisation enregistre son inventaire, ses veilles et ses actions, et où elle invite ses membres.
• Client : l’organisation (entreprise, administration, association ou professionnel indépendant) pour le compte de laquelle un Espace de travail est créé ou un abonnement souscrit.
• Administrateur : l’Utilisateur qui a le rôle de propriétaire ou d’administrateur d’un Espace de travail.
• Données du Client : les informations saisies dans un Espace de travail par le Client ou ses Utilisateurs (inventaire, versions, veilles, statuts, notes, exceptions) et les résultats que le Service en tire.
• Contenus publics : les fiches de vulnérabilités, historiques, pages d’éditeurs, de produits et de versions, guides et autres pages du site public.
• Sources : les informations publiées par des tiers que le Service collecte, notamment le NVD, le programme CVE, la CISA, le FIRST, le CERT-FR et les avis et documentations des éditeurs.
• Compte MSSP : le compte qui permet à un prestataire de services de sécurité de gérer, depuis une console dédiée, des Espaces de travail isolés pour ses propres clients (les « Clients gérés »).

3. Description du Service

Le site public est accessible librement et sans compte. Il présente des fiches de vulnérabilités (CVE), le catalogue des vulnérabilités exploitées publié par la CISA (KEV), des pages par éditeur, produit et version, un historique des vulnérabilités sur dix ans, un explorateur de recherche, des guides et la méthodologie du Service.

L’application nécessite un Compte. Elle permet notamment :

• de tenir l’inventaire des équipements réseau et de sécurité (éditeur, produit, modèle, version, niveau de correctif) ;
• de rapprocher cet inventaire des Sources de façon déterministe et d’obtenir pour chaque vulnérabilité un statut motivé : concerné, corrigé, non concerné (avec son fondement), à vérifier ou inconnu ;
• de prioriser les actions avec leurs raisons, de consulter les correctifs et versions publiés par les éditeurs, et de suivre les actions de remédiation et les exceptions ;
• de surveiller des technologies et des versions, ainsi que des adresses IP comparées aux indicateurs publiés par le CERT-FR ;
• de recevoir des alertes dans l’application et par e-mail, d’exporter des données au format CSV, d’inviter des membres avec des rôles et de consulter un journal d’audit ;
• avec l’offre Business MSSP, de gérer des Clients gérés depuis une console dédiée.

Le Service n’analyse pas les réseaux du Client, ne se connecte pas à ses équipements, n’y installe aucun agent et n’applique aucun correctif : il raisonne sur les informations saisies et sur les Sources. Aucun modèle d’intelligence artificielle ne décide si un équipement est concerné. Certains textes des Sources sont traduits automatiquement entre le français et l’anglais par un modèle d’intelligence artificielle (Mistral AI), puis contrôlés de façon déterministe ; ils sont signalés comme tels, et le texte d’origine fait foi.

Les offres limitent le volume (actifs, utilisateurs, clients gérés), jamais l’information sur les vulnérabilités. Leur contenu et leurs prix sont décrits sur la page des tarifs et dans les CGV.

4. Portée et limites de la veille

Le Service est un outil d’aide à la décision. Il ne remplace ni le dispositif de gestion des vulnérabilités du Client, ni l’expertise de ses équipes, ni les communications officielles des éditeurs. En particulier :

• les Sources peuvent être incomplètes, publiées avec retard, corrigées ou retirées après coup ; le Service reflète leur état lors de leur dernière collecte, dont la date est indiquée ;
• l’absence d’alerte ou de vulnérabilité affichée ne garantit pas l’absence de vulnérabilité : une faille peut ne pas être encore publiée, ne pas être rattachée au produit dans les Sources, ou dépendre d’une configuration que le Service ne connaît pas ;
• la correspondance entre un équipement, sa version et une vulnérabilité dépend des informations saisies et des plages de versions publiées ; lorsqu’elles ne permettent pas de conclure, le Service l’indique (« à vérifier » ou « inconnu ») au lieu de conclure, et une valeur personnalisée non reconnue ne produit jamais de conclusion. Ces résultats peuvent nécessiter une validation par le Client ;
• les informations de remédiation (versions corrigées, versions recommandées, contournements) reprennent ce que publient les éditeurs ; elles doivent être confrontées à la documentation de l’éditeur et au contexte technique du Client (configuration, compatibilité, dépendances, fenêtre de maintenance) avant toute intervention ;
• les scores et indicateurs (CVSS, EPSS, inscription au catalogue KEV, priorité) aident à classer les vulnérabilités ; ils ne prouvent ni qu’une vulnérabilité est exploitée dans l’environnement du Client, ni qu’elle ne l’est pas.

Le Service ne garantit pas l’absence d’incident de sécurité. Le Client reste seul décisionnaire des opérations réalisées sur ses systèmes. Ces limites décrivent la nature du Service : elles ne dispensent pas l’Éditeur de fournir le Service conformément à sa description et avec le soin attendu d’un professionnel (voir la section Responsabilité).

5. Compte et sécurité de l’accès

Le Compte se crée avec une adresse e-mail et un mot de passe, après acceptation des CGU ; il est activé par le lien de confirmation envoyé à cette adresse. L’Utilisateur fournit des informations exactes et utilise de préférence son adresse e-mail professionnelle.

Le Compte est personnel : il ne peut être partagé. L’Utilisateur garde ses identifiants confidentiels ; l’Éditeur ne demande jamais un mot de passe par e-mail. La double authentification est proposée et recommandée ; une fois activée, elle est exigée à chaque connexion, sauf sur un appareil que l’Utilisateur a demandé de mémoriser, pour 30 jours au plus. Une session prend fin après 2 heures sans activité.

L’Utilisateur qui soupçonne une utilisation non autorisée de son Compte change son mot de passe et prévient sans délai l’Éditeur à security@patcharo.com. L’Utilisateur qui crée un Espace de travail ou souscrit un abonnement pour une organisation déclare avoir le pouvoir de l’engager.

6. Espaces de travail, rôles et Comptes MSSP

À la première ouverture de l’application, un Espace de travail est créé pour l’Utilisateur, avec un essai gratuit de 14 jours dont les conditions figurent dans les CGV. Chaque membre d’un Espace de travail a un rôle :

• propriétaire : gère l’offre et le paiement, et peut transmettre la propriété ;
• administrateur : gère les membres, les invitations et les paramètres de l’Espace de travail ;
• analyste : modifie l’inventaire, les veilles et le suivi des actions ;
• lecteur : consulte sans modifier.

Les invitations sont des liens à usage unique, valables 7 jours, que l’Administrateur transmet lui-même à la personne invitée. Les Administrateurs choisissent les membres et leurs rôles, retirent l’accès des personnes qui n’ont plus à en disposer, paramètrent les alertes et veillent à ce que les données saisies respectent les obligations du Client.

Le titulaire d’un Compte MSSP gère pour ses Clients gérés des Espaces de travail isolés les uns des autres. Il déclare disposer des autorisations nécessaires de ses Clients gérés et répond envers eux de l’usage qu’il fait du Service pour leur compte.

7. Utilisation autorisée et utilisations interdites

L’Utilisateur utilise le Service de manière loyale, conformément à sa destination et à la loi. Il s’interdit notamment :

• d’accéder ou de tenter d’accéder sans autorisation à un Compte, à un Espace de travail ou à des données, ou de contourner une mesure de sécurité, d’isolation ou une limite d’offre ;
• de tester la sécurité du Service (balayage, test d’intrusion, test de charge) sans l’accord écrit préalable de l’Éditeur ; une faille découverte de bonne foi se signale comme indiqué sur la page Sécurité ;
• de perturber le Service, son infrastructure ou les autres Utilisateurs, notamment par des requêtes automatisées excessives, ou d’extraire les Contenus publics par des moyens automatisés au-delà d’une consultation ou d’une indexation normales ou sans respecter le fichier robots.txt ;
• d’utiliser le Service pour préparer ou commettre une attaque, ou pour cibler des systèmes que le Client n’est pas autorisé à administrer ou à évaluer ;
• de saisir des données sans rapport avec la finalité du Service, en particulier des mots de passe, clés ou secrets, des données de santé ou d’autres catégories particulières de données personnelles, ou des données personnelles inutiles dans les champs libres ;
• d’introduire un code malveillant, d’usurper l’identité d’une personne ou de porter atteinte aux droits de tiers ;
• de revendre, louer ou mettre le Service à la disposition de tiers, sauf dans le cadre d’un Compte MSSP pour ses Clients gérés ;
• de décompiler ou de désassembler le Service, hors des cas autorisés par la loi.

8. Contenus publics, Sources et propriété intellectuelle

Le logiciel, l’interface, les textes, la structure et la sélection des Contenus publics, ainsi que les noms et logos Patcharo et DELQUOR, appartiennent à l’Éditeur ou sont utilisés avec l’autorisation de leurs titulaires. Ils sont protégés par le droit de la propriété intellectuelle, y compris le droit du producteur de bases de données.

L’Éditeur accorde à chaque Utilisateur, pour la durée de l’essai ou de l’abonnement, un droit personnel, non exclusif et non transférable d’utiliser l’application pour les besoins du Client. Les Contenus publics peuvent être consultés librement et cités brièvement avec l’indication de leur source ; toute autre reproduction ou extraction substantielle nécessite l’accord préalable de l’Éditeur, sous réserve des exceptions prévues par la loi.

Les informations issues des Sources restent soumises aux conditions de leurs auteurs, rappelées dans les mentions légales. Les noms de produits et marques cités appartiennent à leurs titulaires ; leur mention n’implique ni partenariat ni approbation.

9. Données du Client

Le Client conserve tous ses droits sur les Données du Client. L’Éditeur ne les utilise que pour fournir, sécuriser et assister le Service et pour respecter ses obligations légales. Il ne les vend pas, ne s’en sert pas pour entraîner des modèles d’intelligence artificielle et ne les transmet pas au service de traduction automatique, qui ne reçoit que des textes publics.

Le personnel de l’Éditeur n’accède aux Données du Client que lorsque c’est nécessaire pour une assistance demandée, la sécurité du Service ou une obligation légale. Il passe par une console d’administration réservée qui enregistre dans un journal chaque modification et chaque consultation de données personnelles ou du contenu d’un Espace de travail ; cette dernière se fait en lecture seule, pour une durée limitée, masque certains champs et apparaît dans le journal d’audit de l’Espace de travail.

Le Client est responsable des données qu’il saisit et de leur licéité. Il peut télécharger à tout moment une copie complète des Données du Client de l’Espace de travail au format JSON (Paramètres › Espace de travail, propriétaires et administrateurs) et les exports CSV de l’analyse (Rapports), et conserver les exports qu’il juge utiles. La réversibilité et le changement de fournisseur décrits dans la page Portabilité des données s’appliquent à tout Client, abonné ou non. Les données personnelles contenues dans les Données du Client sont traitées conformément à l’accord de traitement des données.

10. Disponibilité, maintenance et évolution

L’Éditeur met en œuvre les moyens raisonnables pour que le Service soit accessible en permanence, sans garantir une disponibilité ou un délai déterminés, sauf engagement écrit particulier. Le Service peut être interrompu pour maintenance, en cas d’incident, d’indisponibilité des prestataires d’hébergement ou des réseaux, ou de force majeure. L’Éditeur s’efforce d’annoncer à l’avance les maintenances prévisibles.

Les Sources sont collectées à intervalles réguliers, décrits sur la page Méthodologie, sans garantie de délai entre leur publication et leur prise en compte. Le Service évolue : l’Éditeur peut ajouter, modifier ou retirer des fonctionnalités. Pour un abonnement payant, la suppression d’une fonctionnalité essentielle de l’offre suit les règles des CGV.

11. Alertes et e-mails de service

Les alertes sont envoyées selon les préférences de chaque Utilisateur, modifiables à tout moment dans Paramètres › Notifications. Les e-mails nécessaires au Compte (confirmation, réinitialisation du mot de passe, sécurité) ne peuvent pas être désactivés tant que le Compte existe. La remise d’un e-mail dépend aussi des services de messagerie : l’Utilisateur consulte l’application, qui fait foi.

L’Éditeur n’envoie aucune communication commerciale sans le consentement préalable de l’Utilisateur lorsque la loi l’exige.

12. Suspension et fermeture

L’Utilisateur peut supprimer son Compte à tout moment depuis Paramètres › Compte. La suppression est immédiate et définitive ; elle suppose d’avoir au préalable transmis la propriété des Espaces de travail partagés avec d’autres membres et, le cas échéant, d’un Compte MSSP. Ses effets sur les données sont décrits dans la politique de confidentialité.

L’Éditeur peut suspendre l’accès d’un Utilisateur ou d’un Espace de travail, de façon proportionnée, en cas de manquement aux CGU, de risque pour la sécurité du Service ou d’autres Utilisateurs, de demande d’une autorité ou, pour un abonnement, dans les cas prévus par les CGV. Sauf urgence ou interdiction légale, il en informe l’Utilisateur par e-mail en indiquant les motifs, et l’Utilisateur peut contester la mesure auprès de support@patcharo.com.

L’Éditeur peut mettre fin à l’usage gratuit du Service (essai, Espace de travail sans abonnement) ou au Service lui-même moyennant un préavis de 30 jours par e-mail, pendant lequel les exports restent possibles.

13. Fin d’utilisation et sort des données

Plusieurs situations sont à distinguer :

• fin de l’essai ou résiliation d’un abonnement : l’Espace de travail passe en lecture seule ; ses données sont conservées et restent consultables et exportables ;
• départ d’un Espace de travail ou retrait d’un membre : l’accès de la personne prend fin, les données de l’Espace de travail demeurent ;
• suppression du Compte : le Compte est effacé immédiatement, ainsi que les Espaces de travail dont l’Utilisateur était le seul membre et leurs données ;
• effacement de données personnelles : il peut être demandé à tout moment selon la politique de confidentialité.

À ce jour, l’Éditeur ne supprime pas automatiquement les Espaces de travail en lecture seule ; le Client peut les supprimer lui-même par la suppression du Compte de leur propriétaire, une fois les autres membres retirés.

14. Responsabilité

L’Éditeur est tenu d’une obligation de moyens. Il répond des dommages directs et prévisibles causés par un manquement prouvé à ses obligations. Il ne répond pas des conséquences :

• du contenu des Sources, qu’il reproduit en indiquant leur origine, lorsque le dommage résulte d’une erreur, d’une omission ou d’un retard de la Source elle-même ;
• d’informations inexactes ou incomplètes saisies par le Client ou ses Utilisateurs ;
• des décisions et interventions du Client sur ses systèmes, ni d’une utilisation du Service contraire aux CGU ;
• d’une interruption due à un cas de force majeure ou à la défaillance de réseaux ou de services extérieurs que l’Éditeur ne maîtrise pas.

Pour un abonnement payant, le plafond de responsabilité prévu par les CGV s’applique. Aucune limitation ne s’applique en cas de faute lourde ou dolosive, de dommage corporel, ni lorsque la loi l’interdit ; en particulier, un Utilisateur qui agit en qualité de consommateur conserve tous les droits à réparation que la loi lui reconnaît. L’Utilisateur répond de l’usage qu’il fait du Service et des données qu’il y saisit.

15. Données personnelles et cookies

Les traitements de données personnelles réalisés par l’Éditeur pour son propre compte sont décrits dans la politique de confidentialité et les traceurs dans la page Cookies. Pour les Données du Client, l’Éditeur agit en qualité de sous-traitant selon l’accord de traitement des données. L’Utilisateur qui crée un Espace de travail l’accepte au nom du Client.

16. Points de contact et signalement de contenus illicites

Le point de contact unique des autorités et des Utilisateurs, notamment au titre du règlement (UE) 2022/2065 sur les services numériques, est l’adresse contact@patcharo.com, en français ou en anglais.

Toute personne peut signaler à cette adresse un contenu qu’elle estime illicite hébergé par le Service, en indiquant l’adresse précise du contenu, les raisons du signalement, ses nom et adresse e-mail (sauf exception légale) et sa bonne foi. L’Éditeur en accuse réception, le traite avec diligence et informe son auteur de sa décision. Les Données du Client ne sont pas publiques et ne font l’objet d’aucune modération automatisée ; l’Éditeur n’intervient que sur signalement ou obligation légale, et informe l’Utilisateur concerné de toute restriction et de ses motifs.

17. Modification des CGU

Chaque version des CGU est datée et reste consultable à son adresse propre. L’Éditeur peut modifier les CGU pour tenir compte de l’évolution du Service ou de la loi. Une modification substantielle est annoncée au moins 30 jours avant son entrée en vigueur, par e-mail ou dans l’application, et son acceptation expresse est demandée dans l’application ; l’Utilisateur qui la refuse peut cesser d’utiliser le Service et supprimer son Compte, et les CGV précisent les droits du Client abonné. Une correction de forme ou de coordonnées s’applique dès sa publication.

18. Contact et réclamations

Pour toute question ou réclamation relative au Service, l’Utilisateur écrit à support@patcharo.com en décrivant sa demande. L’Éditeur accuse réception et répond dans les meilleurs délais. Les questions relatives aux données personnelles s’adressent à contact@patcharo.com, les failles de sécurité à security@patcharo.com.

19. Droit applicable et litiges

Les CGU sont soumises au droit français. En cas de différend, l’Utilisateur adresse d’abord une réclamation écrite à l’Éditeur afin de rechercher une solution amiable.

À défaut d’accord amiable, tout litige entre l’Éditeur et un Utilisateur ayant la qualité de commerçant relève de la compétence exclusive du tribunal compétent dans le ressort duquel est situé l’établissement de l’Éditeur, y compris en cas de pluralité de défendeurs ou d’appel en garantie. Dans les autres cas, la juridiction compétente est déterminée selon les règles légales.

20. Langue et dispositions générales

Les CGU sont proposées en français et en anglais ; en cas de divergence, la version française prévaut, sous réserve des dispositions impératives plus favorables applicables à l’Utilisateur.

Les enregistrements informatiques de l’Éditeur, notamment celui de l’acceptation des CGU avec sa version, sa date et sa langue, font preuve entre les parties, sauf preuve contraire. Si une clause était déclarée nulle, les autres resteraient applicables. Le fait de ne pas se prévaloir d’une clause ne vaut pas renonciation à s’en prévaloir ultérieurement.