Conditions Générales d'Utilisation

1. Objet

Les présentes Conditions Générales d'Utilisation (CGU) régissent l'accès et l'utilisation de la plateforme Sedona Radar, éditée par Sedona AI (ci-après « l'Éditeur »). En accédant à la plateforme, l'utilisateur accepte sans réserve les présentes CGU.

2. Description du service

Sedona Radar est une plateforme d'audit de cybersécurité externe automatisé. Le service permet de scanner la surface d'attaque d'un domaine ou d'une adresse IP, d'identifier les vulnérabilités, d'évaluer la conformité réglementaire (NIS2, RGPD, ISO 27001, ANSSI, OWASP Top 10, Cadre Sedona), et de générer des rapports d'audit.

3. Conditions d'accès

L'accès au service nécessite la création d'un compte utilisateur avec une adresse email valide. L'utilisateur garantit l'exactitude des informations fournies. L'utilisateur est responsable de la confidentialité de ses identifiants de connexion.

4. Consentement et usage autorisé

L'utilisateur s'engage à ne scanner que des domaines et adresses IP dont il est propriétaire ou pour lesquels il dispose d'une autorisation écrite explicite du propriétaire. Tout scan non autorisé constitue une infraction au sens de l'article 323-1 du Code pénal français. L'Éditeur décline toute responsabilité en cas d'usage abusif du service. Pour un scan planifié, l'attestation donnée lors de la planification vaut pour toute la durée de celle-ci : l'Utilisateur s'engage à suspendre ou supprimer la planification dès que son autorisation de scanner la cible prend fin.

En cas de scan non autorisé par l'Utilisateur, l'Utilisateur est seul pénalement responsable au sens de l'article 323-1 du Code pénal. L'Éditeur ne saurait être qualifié de co-auteur de l'infraction au sens des articles 323-3 et 323-3-1 du Code pénal français, l'Éditeur fournissant le service pour un motif légitime (test de sécurité avec consentement tracé) en application de l'exception explicite prévue par l'alinéa 2 de l'article 323-3-1. Le consentement préalable du propriétaire de la cible est déclaré par l'Utilisateur sous sa responsabilité exclusive, et tracé en base de données par l'horodatage et l'adresse IP de souscription au scan ; ces traces sont conservées pendant 5 ans (cf. article 10 — Données personnelles) comme preuves probatoires (article 17.3.e RGPD + prescription pénale), dans un journal distinct du compte utilisateur, qui survit à la suppression de celui-ci.

5. Cadre légal

Sedona Radar réalise de la reconnaissance passive et des tests actifs de vulnérabilité non destructifs (envoi de requêtes de test, y compris des charges d'injection non destructrices et la vérification d'identifiants par défaut). Aucune exploitation aboutie n'est réalisée : aucune donnée n'est extraite, modifiée ou supprimée, ni déni de service, ni exécution de code. La licéité de chaque scan suppose que l'utilisateur soit autorisé à auditer la cible (articles 323-1 à 323-7 du Code pénal français). Chaque scan est tracé avec horodatage du consentement et adresse IP de l'utilisateur.

Statut NIS2 de l'Éditeur : au 3 septembre 2026, la directive (UE) 2022/2555 (NIS2) n'est pas transposée en droit français. Le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité, adopté par le Sénat le 12 mars 2025, demeure en attente d'examen à l'Assemblée nationale ; la Commission européenne a décidé, le 8 juillet 2026, de saisir la Cour de justice de l'Union européenne pour défaut de notification des mesures de transposition. Au regard des critères de la directive elle-même, Sedona AI, PME éditrice de logiciel ne fournissant pas de service relevant des annexes I et II, ne répond pas aux critères d'entité essentielle (EE) ni d'entité importante (EI). Cette qualification sera confirmée ou révisée au vu du texte de transposition définitif. L'Éditeur applique toutefois volontairement les mesures de cybersécurité préconisées par le référentiel ANSSI (Guide Hygiène Informatique) afin de protéger ses clients. Le service Sedona Radar permet aux entités assujetties à NIS2 (clients) d'évaluer leur propre conformité à l'article 21 (mesures de gestion des risques).

Statut PASSI de l'Éditeur : Sedona AI n'est PAS un prestataire d'audit de la sécurité des systèmes d'information qualifié PASSI au sens du référentiel de l'ANSSI, et ne revendique ni qualification, ni certification, ni visa de sécurité délivré par l'ANSSI. Lorsque la documentation, les offres ou les rapports évoquent un format « inspiré des livrables PASSI », cette mention porte exclusivement sur la structure documentaire du rapport (plan, rubriques, présentation des constats) et n'emporte aucune équivalence avec un audit réalisé par un prestataire qualifié PASSI. Un audit PASSI qualifié, lorsqu'il est exigé par un dispositif réglementaire ou contractuel, doit être confié à un prestataire figurant sur la liste des prestataires qualifiés publiée par l'ANSSI.

6. Plans et tarification

Le service propose deux types de scans : le Scan de Contrôle (audit de la seule cible saisie — domaine, sous-domaine, URL ou IP publique — sans exploration des sous-domaines adjacents ; durée environ 45 minutes en médiane, 9 fois sur 10 entre 20 minutes et 1 h 35, variable selon la taille et la réactivité de la cible, sans garantie de délai ; idéal pour les contrôles ciblés, la vérification post-correction et la surveillance régulière) et le Deep Scan (audit approfondi — environ 1 h 25 en médiane, 9 fois sur 10 entre 35 minutes et 4 h — qui recherche les sous-domaines publics liés à la cible à partir des sources disponibles, sans garantie d'exhaustivité, puis couvre jusqu'à 100 hôtes analysés en profondeur, en commençant par les plus sensibles (administration, API, portails…) ; idéal pour les audits annuels et pour documenter vos contrôles techniques).

Cinq plans sont proposés (mise à jour octobre 2026) : Discovery (gratuit, 1 scan à vie sur 1 domaine, vue limitée), Starter (79 EUR/mois HT ou 63 EUR/mois en annuel, 5 Scans de Contrôle/mois + 2 Deep Scans/mois, 1 domaine, rapport Essentiel (20 pages sur l'exemple de démonstration, pagination variable selon le périmètre), surveillance chaque mois, support par email en heures ouvrées avec un objectif de première réponse de 48 h ouvrées), Business (229 EUR/mois HT ou 185 EUR/mois en annuel, 10 Scans de Contrôle/mois + 5 Deep Scans/mois, 5 domaines, rapport Stratégique + Opérationnel (36 et 67 pages sur l'exemple de démonstration, pagination variable selon le périmètre), surveillance toutes les deux semaines, intégrations Slack/Teams en cours de développement, support par email en heures ouvrées avec un objectif de première réponse de 24 h ouvrées), Scale (590 EUR/mois HT ou 470 EUR/mois en annuel, 30 Scans de Contrôle/mois + 10 Deep Scans/mois, 10 domaines, rapport Stratégique + Opérationnel, surveillance chaque semaine, API publique et Slack/Teams en cours de développement, support par email prioritaire en heures ouvrées avec un objectif de première réponse de 1 jour ouvré), Enterprise (sur devis — en cours de développement, domaines et scans négociés au contrat, fréquence de monitoring définie au contrat, rapport d'audit approfondi dont la structure documentaire s'inspire des livrables PASSI (cf. article 5 — statut PASSI de l'Éditeur), marque blanche, support par email prioritaire en heures ouvrées avec un objectif de première réponse de 1 jour ouvré). Les prix sont indiqués en euros hors taxes. La TVA française à 20% est calculée et collectée automatiquement par Stripe Tax au moment du paiement. Pour les clients professionnels établis dans l'Union européenne hors France fournissant un numéro de TVA intracommunautaire valide, le mécanisme d'autoliquidation s'applique (article 44 de la Directive 2006/112/CE — TVA non collectée par l'Éditeur, due par le preneur). Tous les abonnements SaaS sont sans engagement de durée, résiliables à tout moment depuis le portail Stripe accessible via /account ; les renouvellements sont automatiques à chaque échéance (mensuelle ou annuelle) jusqu'à résiliation explicite par l'Utilisateur. Facturation annuelle disponible avec une remise d'environ 20 % (selon le plan). L'Éditeur se réserve le droit de modifier les tarifs avec un préavis de 30 jours pour les nouveaux abonnements ; les abonnements en cours conservent leur tarif jusqu'à la fin de la période de facturation.

6 bis. Politique de remboursement et résiliation

Résiliation : l'utilisateur peut résilier son abonnement à tout moment depuis le portail Stripe accessible via la page /account. La résiliation est effective à la fin de la période de facturation en cours (mensuelle ou annuelle) ; l'accès au service est maintenu jusqu'à cette date. Aucun prélèvement supplémentaire n'est effectué après la résiliation.

Droit de rétractation (14 jours) : conformément aux articles L221-18 et suivants du Code de la consommation, l'utilisateur consommateur dispose d'un délai de 14 jours calendaires après la souscription pour exercer son droit de rétractation et obtenir le remboursement intégral. Toutefois, en commençant à utiliser le service (lancement d'un premier scan), l'utilisateur renonce expressément à ce droit de rétractation conformément à l'article L221-28 13° du Code de la consommation (services pleinement exécutés avant la fin du délai). Ce point ne s'applique pas aux professionnels (B2B).

Garantie satisfait ou remboursé 14 jours (geste commercial) : pour la souscription initiale à un abonnement payant (Starter, Business ou Scale), l'Éditeur s'engage à rembourser intégralement la première mensualité ou la première annualité sur simple demande motivée adressée à vincent.coderch@sedona-ai.com dans un délai de 14 jours après la première facture. Cette garantie ne s'applique qu'à la première souscription (pas aux renouvellements ni aux changements de plan). Au-delà des 14 jours, aucun remboursement au prorata n'est accordé en cas de résiliation en cours de période.

Remboursement exceptionnel : en cas d'indisponibilité majeure du service (panne > 48h consécutives non liée à une force majeure) ou de manquement caractérisé aux engagements contractuels, un remboursement au prorata pourra être accordé après examen au cas par cas. La demande doit être adressée à vincent.coderch@sedona-ai.com avec preuves à l'appui.

Modalités pratiques : tout remboursement est effectué par Stripe sur le moyen de paiement utilisé lors de la souscription, sous un délai de 5 à 10 jours ouvrés. L'utilisateur reçoit une notification email de confirmation.

6 ter. Offres promotionnelles et codes de réduction

Codes promotionnels : l'Éditeur peut proposer ponctuellement des offres promotionnelles (ex : l'offre de lancement « LAUNCH2026 », qui offre le premier mois d'un abonnement mensuel à l'un quelconque des plans payants — Starter, Business ou Scale ; elle ne s'applique pas à l'abonnement annuel). Cette offre ne se saisit pas dans le tunnel de paiement Stripe : elle se réclame dans la fenêtre de souscription de l'application, en indiquant le numéro SIREN de l'entreprise, qui est vérifié (SIREN valide et entreprise en activité), puis elle est appliquée automatiquement ; elle n'est accordée qu'une fois par numéro SIREN, dans la limite du nombre de bénéficiaires fixé par l'Éditeur. Conditions générales applicables aux offres promotionnelles :

• Un seul code promotionnel par souscription, non cumulable avec d'autres offres ;
• Réservé aux nouveaux clients (première souscription à un abonnement payant) ;
• Le moyen de paiement est requis lors de la souscription ; le prélèvement intervient à l'issue de la période promotionnelle ;
• L'abonnement peut être résilié avant la fin de la période promotionnelle sans aucun frais ;
• L'Éditeur se réserve le droit de retirer, suspendre ou modifier toute offre promotionnelle à tout moment sans préavis ;
• Toute utilisation frauduleuse ou abusive de codes promotionnels (création de comptes multiples, contournement des conditions) entraîne la résiliation immédiate sans remboursement.

7. Propriété intellectuelle

La plateforme Sedona Radar, son code source, son interface, ses algorithmes et ses rapports sont la propriété exclusive de Sedona AI. Les rapports générés pour l'utilisateur lui sont concédés en licence d'utilisation non exclusive. L'utilisateur peut utiliser et partager ses rapports librement.

8. Limitation de responsabilité

Les résultats de scan sont fournis à titre informatif. L'Éditeur ne garantit pas l'exhaustivité des vulnérabilités détectées ni l'absence de faux positifs. L'Éditeur ne saurait être tenu responsable des dommages indirects résultant de l'utilisation du service ou de l'interprétation des résultats.

Pour les Clients professionnels (B2B) : la responsabilité de l'Éditeur, tous dommages directs et indirects confondus, est en tout état de cause limitée aux sommes effectivement perçues par l'Éditeur au titre de l'abonnement du Client au cours des douze (12) mois précédant immédiatement l'incident ayant donné naissance à la responsabilité. Cette limitation ne s'applique pas aux dommages résultant d'une faute lourde ou intentionnelle de l'Éditeur, ni aux dommages corporels.

Pour les Clients consommateurs (B2C) : aucune limitation de responsabilité n'est opposable, conformément aux articles R212-1 et suivants du Code de la consommation qui interdisent les clauses limitatives de responsabilité dans les contrats conclus avec un consommateur.

9. Disponibilité du service

L'Éditeur s'efforce d'assurer une disponibilité maximale du service mais ne peut garantir un fonctionnement ininterrompu. Des interruptions pour maintenance peuvent survenir. L'Éditeur ne saurait être tenu responsable des indisponibilités temporaires.

Absence d'engagement de disponibilité chiffré : aucun engagement de niveau de service (SLA) chiffré n'est contractualisé par l'Éditeur, ni aucune pénalité associée, quel que soit le plan souscrit. L'engagement de l'Éditeur est un engagement de moyens et non de résultat : la surveillance de la plateforme et les interventions correctives sont assurées pendant les heures ouvrées (du lundi au vendredi, de 9h à 18h heure de Paris, hors jours fériés) et non de manière continue 24 heures sur 24 et 7 jours sur 7.

Support : le support est assuré exclusivement par email à vincent.coderch@sedona-ai.com, pendant les heures ouvrées définies ci-dessus. L'Éditeur vise, pour les plans payants, une première réponse sous 48 heures ouvrées (Starter), 24 heures ouvrées (Business) ou un (1) jour ouvré avec traitement prioritaire (Scale et Enterprise), sans que ces objectifs constituent un engagement de résultat ni n'ouvrent droit à une quelconque indemnité. Aucun canal de support instantané ou permanent (téléphone, messagerie instantanée, astreinte) n'est proposé. Les modalités de remboursement en cas d'indisponibilité majeure restent régies par l'article 6 bis.

10. Données personnelles

Le traitement des données personnelles est régi par notre Politique de confidentialité.

11. Modification des CGU

L'Éditeur se réserve le droit de modifier les présentes CGU. Les utilisateurs seront informés de toute modification substantielle. La poursuite de l'utilisation du service après modification vaut acceptation des nouvelles CGU.

12. Droit applicable et juridiction compétente

Les présentes CGU sont soumises au droit français. Pour les Clients professionnels (B2B), tout litige sera porté devant les tribunaux compétents de Paris. Pour les Clients consommateurs (B2C), conformément à l'article R631-3 du Code de la consommation, le consommateur peut saisir, à son choix, l'une des juridictions territorialement compétentes en vertu du Code de procédure civile ou la juridiction du lieu où il demeurait au moment de la conclusion du contrat ou de la survenance du fait dommageable.

Médiation de la consommation : conformément aux articles L612-1 et suivants du Code de la consommation, en cas de litige et après avoir tenté une résolution amiable avec l'Éditeur, le consommateur peut recourir gratuitement au service du médiateur de la consommation suivant : Médiateur national de la consommation.