CONDITIONS GÉNÉRALES DE VENTE
Services de conformité RGPD, DPO externalisé et Cyber Risk Management
En vigueur au [02 ;06.2023]
PRÉAMBULE
Les présentes Conditions Générales de Vente (ci-après « CGV ») s’appliquent à l’ensemble des prestations de conseil, d’accompagnement et de services en matière de conformité au Règlement Général sur la Protection des Données (RGPD), de délégué à la protection des données externalisé (DPO) et de gestion des risques cyber, fournies par :
[RAISON SOCIALE COMPLÈTE]
• Forme juridique : [EI]
• Siège social : [17 bis rue françois de paule]
• SIRET : [49924552000014
• N° TVA intracommunautaire « Non applicable »
• Représentée par : [VINCENT Cyrille], en qualité de [PRÉSIDENT]
• Email : [conseil.rgpd@protonmail.com]
Ci-après dénommé « le Prestataire » ou « le Cabinet ».
ARTICLE I – OBJET ET CHAMP D’APPLICATION
Les présentes CGV ont pour objet de définir les conditions dans lesquelles le Prestataire fournit à ses clients (ci-après « le Client ») les services suivants :
• Délégué à la Protection des Données externalisé (DPO) : missions récurrentes de conseil, veille réglementaire, registre des traitements, audits de conformité, formation des équipes ;
• Audits RGPD et cybersécurité : diagnostic de conformité, gap analysis, cartographie des risques, recommandations d’amélioration ;
• Accompagnement et formations : sensibilisation RGPD, sessions de formation sur mesure, création de politiques et procédures internes ;
• Gestion de crise cyber : préparation, réponse à incident, analyse post-mortem, plan de remédiation.
Toute commande de prestations implique l’acceptation sans réserve par le Client des présentes CGV, qui prévalent sur tout autre document du Client, notamment ses conditions générales d’achat, sauf accord écrit dérogatoire signé par les deux parties.
ARTICLE II – MODALITÉS DE COMMANDE ET FORMATION DU CONTRAT
2.1 Devis et acceptation
Chaque prestation fait l’objet d’un devis détaillé précisant :
• La nature et le périmètre des services ;
• Le prix total HT et TTC ;
• La durée estimée ou le calendrier prévisionnel ;
• Les conditions de paiement.
Le contrat est réputé formé à la signature du devis par le Client, accompagné le cas échéant du versement de l’acompte prévu. Les devis sont valables 30 jours à compter de leur émission.
2.2 Missions récurrentes (DPO externalisé)
Les missions de DPO externalisé font l’objet d’un contrat de prestation de services à durée déterminée ou indéterminée, précisant le périmètre d’intervention, la périodicité des interventions et le forfait mensuel ou annuel.
ARTICLE III – PRIX, RÉVISION ET FACTURATION
3.1 Tarification
Les prix sont exprimés en euros, hors taxes (TTC).
Tarification indicative (susceptible de variation selon la complexité de la mission) :
• Audits RGPD/Cybersécurité : [600] € TTC/jour ou forfait selon périmètre ;
• DPO externalisé : [580] € TTC mois (selon volume de données et complexité) ;
• Formations : [450] € TTC;
• Gestion de crise cyber : sur devis (intervention d’urgence possible avec majoration).
3.2 Révision des prix
Pour les contrats à durée indéterminée ou supérieure à 12 mois, les tarifs pourront être révisés annuellement selon l’indice INSEE des services aux entreprises ou sur accord bilatéral moyennant un préavis de 2 mois.
3.3 Modalités de facturation
Les factures sont émises :
• En début de mois pour les missions récurrentes (DPO) ;
• À l’achèvement de la mission pour les audits ponctuels ;
• À l’issue de chaque intervention pour les formations.
ARTICLE IV – CONDITIONS DE PAIEMENT ET RETARD
4.1 Délai de paiement
Sauf mention contraire sur le devis ou la facture, le règlement s’effectue à réception de facture, par virement bancaire. Un acompte de 30% peut être demandé à la commande pour les missions d’envergure.
4.2 Pénalités de retard et indemnité forfaitaire
En cas de retard de paiement, conformément aux articles L. 441-10 et D. 441-5 du Code de commerce :
• Des pénalités de retard au taux de trois fois le taux d’intérêt légal en vigueur sont applicables de plein droit dès le lendemain de la date d’échéance ;
• Une indemnité forfaitaire pour frais de recouvrement de 40 € est due.
Le Prestataire se réserve le droit de suspendre toute prestation en cours jusqu’au complet règlement des sommes dues, sans préjudice de tous dommages et intérêts.
ARTICLE V – OBLIGATIONS ET ENGAGEMENTS DU PRESTATAIRE
Le Prestataire s’engage à :
• Obligation de moyens : Mettre en œuvre tous les moyens nécessaires à la bonne exécution des prestations, dans le respect des règles de l’art et de la réglementation applicable (RGPD, loi Informatique et Libertés, normes cybersécurité) ;
• Indépendance et impartialité (DPO) : Dans le cadre des missions de DPO externalisé, agir en toute indépendance conformément à l’article 38 du RGPD ;
• Confidentialité : Respecter la stricte confidentialité des informations et données traitées (voir Article VIII) ;
• Veille réglementaire : Maintenir une veille juridique et technologique permanente en matière de protection des données et de cybersécurité.
ARTICLE VI – OBLIGATIONS DU CLIENT
Le Client s’engage à :
• Fournir au Prestataire l’ensemble des informations, documents et accès nécessaires à l’exécution de la prestation ;
• Désigner un interlocuteur unique chargé du suivi de la mission ;
• Permettre au DPO externalisé d’exercer ses fonctions en toute indépendance, sans instruction ni pression ;
• Informer le Prestataire de toute évolution organisationnelle, technologique ou réglementaire susceptible d’impacter la mission ;
• Mettre en œuvre les recommandations émises par le Prestataire dans un délai raisonnable, sous peine de dégager la responsabilité de ce dernier en cas d’incident ou de sanction.
Important : Le Prestataire ne peut être tenu pour responsable des conséquences résultant du non-respect par le Client de ses obligations ou de la non-application des recommandations formulées.
ARTICLE VII – LIMITATION DE RESPONSABILITÉ ET ASSURANCE
7.1 Nature de la responsabilité
Le Prestataire est soumis à une obligation de moyens. Sa responsabilité ne pourra être engagée qu’en cas de faute prouvée dans l’exécution de ses prestations.
Le Prestataire ne saurait être tenu responsable :
• Des conséquences résultant du non-respect par le Client de ses obligations ou des recommandations formulées ;
• Des sanctions prononcées par l’autorité de contrôle (CNIL) en cas de non-conformité persistante du Client malgré les alertes du Prestataire ;
• Des actes de cybercriminalité ou incidents de sécurité non prévisibles ou résultant d’une négligence du Client ;
• De tout dommage indirect (perte de chiffre d’affaires, d’exploitation, de données, préjudice d’image).
7.2 Plafonnement de responsabilité
En tout état de cause, la responsabilité du Prestataire est limitée au montant total facturé au Client au titre de la mission concernée, sur les douze mois précédant la survenance du dommage.
7.3 Assurance responsabilité civile professionnelle
Le Prestataire a souscrit une assurance Responsabilité Civile Professionnelle auprès de :
• Compagnie d’assurance : [HISCOX ]
• Numéro de police : [confidentiel] uniquement pour les clients
• Montant de garantie : [confidentiel] uniquement pour les clients
ARTICLE VIII – CONFIDENTIALITÉ ET PROTECTION DES DONNÉES À CARACTÈRE PERSONNEL
8.1 Obligation de confidentialité
Le Prestataire s’engage à respecter la plus stricte confidentialité concernant toutes les informations, documents, données et savoir-faire du Client auxquels il aura accès dans le cadre de la mission. Cette obligation s’étend à tous les collaborateurs et sous-traitants éventuels du Prestataire et perdure pendant toute la durée de la relation contractuelle et 5 ans après son terme.
8.2 Traitement des données personnelles
Dans le cadre de l’exécution des prestations, le Prestataire peut être amené à traiter des données à caractère personnel pour le compte du Client. Les parties conviennent que :
a) Le Client agit en qualité de responsable de traitement au sens du RGPD ;
b) Le Prestataire intervient en qualité de sous-traitant lorsqu’il traite des données personnelles pour le compte du Client ;
c) Un contrat de sous-traitance conforme à l’article 28 du RGPD sera conclu si nécessaire, précisant les obligations du Prestataire (finalités, durée, mesures de sécurité, assistance, droit d’audit).
8.3 Traitement des données du Client par le Prestataire
Pour la gestion administrative et commerciale de la relation contractuelle (facturation, suivi client), le Prestataire collecte et traite les données suivantes du Client :
• Identité et coordonnées des interlocuteurs (nom, prénom, email, téléphone, fonction) ;
• Informations de facturation (raison sociale, SIRET, adresse).
Ces données sont conservées pendant la durée de la relation contractuelle et 10 ans après pour les obligations comptables et fiscales. Le Client dispose d’un droit d’accès, de rectification, d’effacement (sous réserve des obligations légales de conservation), de limitation et de portabilité de ses données, qu’il peut exercer à l’adresse suivante : [conseil.rgpd@protonmail.com].
En cas de difficulté, le Client peut introduire une réclamation auprès de la CNIL (www.cnil.fr).
ARTICLE IX – PROPRIÉTÉ INTELLECTUELLE
Tous les documents, livrables, outils, méthodologies et supports créés ou remis par le Prestataire dans le cadre de la mission (rapports d’audit, registres de traitements, politiques internes, supports de formation) restent la propriété intellectuelle exclusive du Prestataire.
Le Client bénéficie d’un droit d’usage non exclusif et non cessible de ces documents, strictement limité aux besoins de sa mise en conformité interne. Toute reproduction, diffusion ou utilisation commerciale de ces documents est interdite sans autorisation écrite préalable du Prestataire.
Le Client demeure propriétaire de ses données, informations et documents qu’il communique au Prestataire.
ARTICLE X – DURÉE, RENOUVELLEMENT ET RÉSILIATION
10.1 Durée
Les prestations ponctuelles (audits, formations) prennent fin à la livraison des livrables convenus.
Les contrats de DPO externalisé sont conclus pour une durée déterminée d’un an, renouvelable par tacite reconduction, sauf dénonciation par l’une des parties par lettre recommandée avec accusé de réception 3 mois avant l’échéance.
10.2 Résiliation pour manquement
En cas de manquement grave de l’une des parties à ses obligations contractuelles, l’autre partie pourra résilier le contrat de plein droit 30 jours après mise en demeure restée sans effet, adressée par lettre recommandée avec accusé de réception.
10.3 Conséquences de la résiliation
En cas de résiliation anticipée du fait du Client, les prestations déjà réalisées restent dues. Le Prestataire restituera au Client l’ensemble des documents et données confiés, et détruira toute copie conformément aux obligations RGPD.
ARTICLE XI – FORCE MAJEURE
Aucune des parties ne pourra être tenue pour responsable d’un retard ou de l’inexécution de ses obligations résultant d’un cas de force majeure au sens de l’article 1218 du Code civil (événement échappant au contrôle de la partie, imprévisible et insurmontable). Si l’événement de force majeure dure plus de 60 jours, le contrat pourra être résilié de plein droit sans indemnité.
ARTICLE XII – MODIFICATION DES CONDITIONS GÉNÉRALES
Le Prestataire se réserve le droit de modifier les présentes CGV à tout moment. Les nouvelles CGV seront applicables à toute nouvelle commande. Pour les contrats en cours, toute modification sera notifiée au Client au moins 30 jours avant son entrée en vigueur.
ARTICLE XIII – CESSION DU CONTRAT
Le Client ne peut céder, transférer ou sous-traiter tout ou partie de ses droits et obligations sans l’accord écrit préalable du Prestataire. Le Prestataire peut faire appel à des sous-traitants qualifiés, sous sa responsabilité, avec information préalable du Client.
ARTICLE XIV – DROIT APPLICABLE ET RÈGLEMENT DES LITIGES
Les présentes CGV sont soumises au droit français. Tout litige relatif à leur interprétation ou leur exécution relève de la compétence exclusive des tribunaux compétents du ressort du siège social du Prestataire, sauf disposition légale impérative contraire.
En cas de litige, les parties s’engagent à rechercher une solution amiable avant toute action judiciaire. À défaut d’accord dans un délai de 30 jours, le litige pourra être porté devant les tribunaux compétents.
ANNEXE : MENTIONS COMPLÉMENTAIRES
Médiation
Conformément aux articles L. 616-1 et R. 616-1 du Code de la consommation, en cas de litige avec un consommateur, le Prestataire propose le recours à une médiation conventionnelle. Le médiateur de la consommation compétent est celui d’ormesson ou de sucy.
Intégralité du contrat
Les présentes CGV, complétées par le devis ou contrat spécifique signé, constituent l’intégralité de l’accord entre les parties et remplacent tous accords, écrits ou verbaux, antérieurs portant sur le même objet.
Nullité partielle
Si une ou plusieurs stipulations des présentes CGV sont tenues pour non valides ou déclarées comme telles en application d’une loi, d’un règlement ou à la suite d’une décision définitive d’une juridiction compétente, les autres stipulations conserveront toute leur force et leur portée.