Article 1 — Définitions propres au Service

CyberProtect : le service de protection des postes de travail et serveurs du CLIENT, reposant sur la solution Bitdefender GravityZone.

Agent : le composant logiciel installé sur chaque Appareil Protégé, qui assure la détection et la neutralisation automatique des menaces.

Appareil Protégé : tout poste de travail ou serveur sur lequel un Agent est déployé. L’Appareil Protégé constitue l’Unité Facturée du Service au sens de l’article 1 des conditions générales.

Console : l’interface d’administration Bitdefender GravityZone au moyen de laquelle le Prestataire administre le parc d’Appareils Protégés.

Alerte : tout événement de sécurité généré par un Agent ou par la Console et remonté au dispositif de supervision du Prestataire.

Pack : le niveau de service souscrit par le CLIENT parmi les cinq niveaux suivants : ESSENTIEL, SECURE, SECURE PRO, SECURE PLUS et SECURE EXTRA. Les engagements propres à chaque Pack figurent à l’Annexe 1.

Prise en charge : l’opération définie à l’article 4.1 des présentes. Elle ne se confond pas avec la remédiation.

Les Heures Ouvrées, le Ticket et l’Espace Client ont le sens que leur donne l’article 1 des conditions générales. Tout délai exprimé en heures s’entend en Heures Ouvrées, soit du lundi au vendredi de 9h00 à 18h00, hors jours fériés.

Article 2 — Description du Service

2.1 Socle commun à tous les Packs

Quel que soit le Pack souscrit, le Service comprend :

• le déploiement et la configuration initiale des Agents sur les Appareils Protégés ;

• la mise à jour des signatures et des modules de la solution ;

• la surveillance automatisée de l’état du parc dans les conditions de l’article 3 ;

• l’envoi d’une alerte par courrier électronique lors de la détection d’une infection, puis lors de la levée de cette alerte ;

• l’envoi d’un rapport mensuel dans les conditions de l’article 5 ;

• l’accès au support général du Prestataire pendant les Heures Ouvrées.

2.2 Engagements propres à chaque Pack

Ce qui varie d’un Pack à l’autre — nature de la surveillance, traitement des Alertes, délais, contenu du rapport et modules inclus — est défini par le tableau des engagements figurant à l’Annexe 1, qui fait partie intégrante des présentes et prévaut sur toute description commerciale.

2.3 Ce que le Service n’est pas

CyberProtect est un service de protection et de notification. Il ne comporte ni obligation de remédiation, ni prestation de restauration de données, ni veille humaine permanente assurée par le Prestataire, sous les réserves de l’article 3.2. Les exclusions sont détaillées à l’article 8.

Article 3 — Nature de la surveillance

3.1 Surveillance automatisée

La surveillance de l’état du parc est assurée par un dispositif automatisé : le système d’information du Prestataire interroge périodiquement la Console et déclenche les notifications et, selon le Pack, la création des Tickets prévue à l’article 4.3.

Aucune veille humaine permanente n’est assurée par le Prestataire, quel que soit le Pack souscrit. Les équipes du Prestataire interviennent pendant les Heures Ouvrées, dans les conditions et délais de l’article 4.

3.2 Supervision humaine continue — Packs SECURE PLUS et SECURE EXTRA

Les Packs SECURE PLUS et SECURE EXTRA incluent un service de détection et de réponse managé (MDR).

Cette supervision continue est opérée par le centre opérationnel de sécurité de Bitdefender, en qualité de tiers, et non par les équipes du Prestataire. Elle obéit aux conditions de service de cet éditeur, que le Prestataire communique au CLIENT sur demande. Le Prestataire ne garantit ni les délais ni les résultats propres à ce service tiers, et demeure tenu, pour ce qui le concerne, des seuls engagements figurant à l’Annexe 1.

Article 4 — Traitement des Alertes et délais

4.1 Définition de la prise en charge

Cette définition reflète le fonctionnement réel de la solution : une part des infections est neutralisée automatiquement par l’Agent, parfois avant qu’un Ticket n’existe. Le délai stipulé est un délai de qualification et d’information, non un délai de résolution.

4.2 Notification seule — Packs ESSENTIEL et SECURE

Pour les Packs ESSENTIEL et SECURE, la détection d’une infection déclenche l’envoi d’une alerte par courrier électronique au CLIENT, avec copie au Prestataire, puis d’un second message lors de la levée de l’alerte.

Cette notification n’emporte par elle-même aucun délai de prise en charge. Aucun délai ne court tant que le CLIENT n’a pas ouvert un Ticket dans les conditions de l’article 4.4.

4.3 Création automatique de Ticket — Packs SECURE PRO, SECURE PLUS et SECURE EXTRA

Pour les Packs SECURE PRO, SECURE PLUS et SECURE EXTRA, la réception d’une Alerte déclenche, outre la notification par courrier électronique, la création automatique d’un Ticket. Le délai de qualification indiqué à l’Annexe 1 court à compter de cette création, sans que le CLIENT ait de démarche à accomplir.

4.4 Condition de déclenchement des délais

À l’exception des Tickets créés automatiquement en application de l’article 4.3, les délais de prise en charge ne s’appliquent qu’aux demandes enregistrées sous forme de Ticket au moyen de la plateforme de ticketing accessible depuis l’Espace Client.

Les sollicitations reçues par un autre canal — appel téléphonique, courrier électronique adressé directement à un collaborateur — ne déclenchent aucun délai tant qu’elles n’ont pas été enregistrées sous forme de Ticket. Le Prestataire procède à cet enregistrement lorsqu’il reçoit une telle sollicitation pendant les Heures Ouvrées, le délai courant alors à compter de l’enregistrement.

Cette condition donne à chaque demande une date d’entrée opposable et protège les deux Parties : le CLIENT dispose d’une preuve horodatée de sa sollicitation, le Prestataire d’un point de départ certain.

4.5 Suspension des délais

Conformément à l’article 10 des conditions générales, les délais sont suspendus tant que le CLIENT n’a pas fourni les informations, les accès ou les autorisations nécessaires au traitement, le Prestataire l’informant de cette suspension et de son motif.

4.6 Assistance téléphonique et astreinte

L’assistance téléphonique est assurée par le support général du Prestataire pendant les Heures Ouvrées, de manière identique sur les cinq Packs. Aucun Pack n’ouvre droit à une assistance téléphonique étendue.

Une astreinte en dehors des Heures Ouvrées peut être mise en place à la demande du CLIENT ; elle fait l’objet d’une facturation distincte, sur devis préalable.

Article 5 — Rapport mensuel

5.1 Contenu commun

Un rapport est transmis mensuellement au CLIENT pour l’ensemble des Packs. Il présente l’état du compte : statut de l’abonnement, niveau de protection, nombre d’Appareils Protégés, date de dernière synchronisation et date de renouvellement.

Le nombre d’Appareils Protégés qui y figure permet au CLIENT de vérifier la base de facturation, conformément à l’article 9.6 des conditions générales.

5.2 Volet vulnérabilités — Packs SECURE PRO, SECURE PLUS et SECURE EXTRA

Pour les Packs incluant le module Patch Management, le rapport mensuel comporte en outre le relevé des correctifs manquants et des vulnérabilités connues associées, dans les conditions de l’article 6.

5.3 Absence de volet vulnérabilités sur les Packs ESSENTIEL et SECURE

Les Packs ESSENTIEL et SECURE ne comportent pas de relevé des vulnérabilités. Cette donnée est produite par le module Patch Management, qui n’est pas inclus dans ces Packs et ne peut y être obtenu que par la souscription de l’option correspondante, dans les conditions de l’article 7.5.

Article 6 — Patch Management

Le module Patch Management est inclus dans les Packs SECURE PRO, SECURE PLUS et SECURE EXTRA. Il est disponible en option pour les Packs ESSENTIEL et SECURE, dans les conditions de l’article 7.5.

L’exploitation de ce rapport et la décision d’appliquer ou non un correctif relèvent du CLIENT. Le Prestataire n’assume aucune obligation de surveillance des vulnérabilités signalées, ni aucune responsabilité au titre d’un correctif que le CLIENT aurait choisi de ne pas faire appliquer.

Article 7 — Options

7.1 Principe

Les options décrites au présent article ne sont incluses dans aucun Pack. Elles sont facturées en sus, quel que soit le Pack souscrit, et constituent chacune une Unité Facturée distincte au sens de l’article 9 des conditions générales.

Sauf stipulation expresse ci-après, une option consiste en l’activation d’un module technique sur les Appareils Protégés : le Prestataire procède à son activation et à son paramétrage initial, le CLIENT en assure l’exploitation. Aucune obligation de lecture, d’analyse, de qualification ou de remédiation ne pèse sur le Prestataire au titre d’une option.

7.2 Full Disk Encryption

7.2.1 Objet

Le module active le chiffrement intégral des disques des Appareils Protégés concernés, en s’appuyant sur les mécanismes de chiffrement natifs du système d’exploitation. Il s’agit d’un module technique au sens de l’article 7.1 : le Prestataire procède à son activation et à son paramétrage, le CLIENT en assure l’exploitation.

7.2.2 Conservation des clés de récupération

Les clés de récupération des volumes chiffrés sont conservées dans la Console, à laquelle seul le Prestataire a accès. Le CLIENT n’en détient aucune copie, sauf s’il en a demandé la restitution dans les conditions de l’article 7.2.3.

7.2.3 Restitution d’une clé de récupération

Le Prestataire communique une clé de récupération au CLIENT sur demande émanant d’une personne habilitée par celui-ci, après vérification de l’identité du demandeur. La clé est transmise par un canal sécurisé, distinct de celui par lequel la demande a été formulée.

La procédure est la suivante :

• la demande est déposée sous forme de Ticket depuis l’Espace Client par une personne figurant sur la liste des contacts habilités du CLIENT ;

• lorsque l’Espace Client est inaccessible au demandeur — hypothèse fréquente, l’Appareil Protégé bloqué étant précisément celui depuis lequel il travaille — la demande peut être formulée par téléphone ; le Prestataire rappelle alors le demandeur sur un numéro préalablement enregistré au dossier du CLIENT avant toute communication de la clé ;

• la clé est transmise par notre outil note.sociatex.com (Partage sécurisé, chiffré de bout en bout, et éphémère d'identifiants), et la remise est tracée dans le Ticket.

Le CLIENT désigne à la souscription les personnes habilitées à formuler une telle demande et tient cette liste à jour. Le Prestataire refuse toute demande émanant d’une personne n’y figurant pas. Une clé de récupération remise à une personne non habilitée donnerait accès à l’intégralité du contenu de l’Appareil Protégé concerné.

7.2.4 Spécificité des postes macOS

Sur les Appareils Protégés fonctionnant sous macOS, la clé de récupération correspond au mot de passe du compte utilisateur du poste. Sa restitution à une personne habilitée par le CLIENT revient donc à divulguer ce mot de passe à un tiers.

Le Prestataire n’agit sur ce point que sur instruction du CLIENT, à qui il appartient d’apprécier la légitimité de la demande au regard de ses obligations envers son utilisateur. Il est recommandé que l’utilisateur concerné modifie son mot de passe aussitôt après avoir recouvré l’accès à son poste.

7.2.5 Perte définitive des clés à la fin du Service

7.2.6 Retrait d’un Appareil Protégé chiffré en cours de contrat

Le retrait d’un Appareil Protégé du parc supprime sa fiche de la Console et rend la récupération de sa clé sensiblement plus difficile, l’identifiant de clé devant alors être relevé manuellement sur l’appareil lui-même. Le CLIENT fait déchiffrer le volume ou demande la restitution de sa clé avant de retirer du parc un Appareil Protégé chiffré.

7.3 Integrity Monitoring

Le module surveille l’intégrité des fichiers, répertoires et clés de registre des Appareils Protégés et génère des alertes lorsqu’une modification est détectée.

Par dérogation à l’article 7.1, les alertes générées par ce module sont reportées dans le rapport mensuel prévu à l’article 5. Ce report est une restitution d’information : il n’emporte aucune obligation d’analyse, de qualification, d’investigation ni de remédiation à la charge du Prestataire. Une prestation d’analyse peut être commandée séparément, sur devis préalable.

La durée de rétention des événements d’intégrité est de 90 jours.

7.4 Mobile Security

Le module étend la protection aux terminaux mobiles du CLIENT. Il s’agit d’un module technique au sens de l’article 7.1. Chaque terminal protégé constitue une Unité Facturée.

7.5 Patch Management en option

Pour les Packs ESSENTIEL et SECURE uniquement, le module Patch Management peut être souscrit en option. Il produit alors les mêmes effets et obéit aux mêmes limites que ceux décrits à l’article 6.

7.6 Tarifs des options

Les tarifs des options figurent à l’article 11.

Article 8 — Exclusions

Sont expressément exclus du Service, quel que soit le Pack souscrit :

• la remédiation : toute action corrective sur les équipements du CLIENT à la suite d’une Alerte, au-delà de la qualification définie à l’article 4.1 ;

• les interventions liées à une infiltration de virus, logiciel malveillant ou tout autre code hostile, ainsi que la reconstruction ou la remise en état d’un système compromis ;

• les interventions sur site, qui font l’objet d’un devis préalable ;

• la remédiation après incident majeur et la gestion de crise ;

• la réparation des dommages causés par une attaque, quelle qu’en soit la nature ;

• la restauration et la récupération de données, qui relèvent d’un service de sauvegarde distinct ;

• l’application des correctifs signalés par le module Patch Management (article 6) ;

• l’analyse des alertes d’intégrité générées par le module Integrity Monitoring (article 7.3) ;

• le relevé des vulnérabilités sur les Packs ESSENTIEL et SECURE en l’absence de l’option Patch Management (article 5.3) ;

• la veille humaine permanente, hors service managé des Packs SECURE PLUS et SECURE EXTRA opéré par Bitdefender (article 3.2) ;

• l’assistance en dehors des Heures Ouvrées, qui relève de l’astreinte facturée en sus (article 4.6) ;

• les équipements sur lesquels aucun Agent n’est déployé, ainsi que ceux dont le système d’exploitation n’est plus supporté par son éditeur ou par la solution ;

• la récupération d’un volume chiffré dont la clé a été supprimée à l’issue de la fenêtre de conservation, cette opération étant techniquement impossible (article 7.2.5).

Toute prestation exclue peut être commandée séparément, au temps passé ou sur devis préalable.

Article 9 — Avertissement et obligations du CLIENT

9.1 Limites de la solution

9.2 Obligations du CLIENT

Outre les obligations de l’article 10 des conditions générales, le CLIENT s’engage à :

• maintenir les systèmes d’exploitation et logiciels des Appareils Protégés dans une version supportée par leur éditeur ;

• ne pas désinstaller, désactiver ni contourner un Agent, et ne pas en modifier le paramétrage sans accord du Prestataire ;

• signaler sans délai tout Appareil Protégé retiré du parc, mis au rebut ou cédé ;

• permettre l’accès aux Appareils Protégés lorsqu’une intervention le requiert ;

• assurer la sauvegarde de ses données, le Service ne comportant aucune fonction de sauvegarde ni de restauration ;

• lorsque l’option Full Disk Encryption est souscrite : désigner et tenir à jour la liste des personnes habilitées à demander une clé de récupération, et faire déchiffrer les volumes ou récupérer les clés avant le retrait d’un appareil du parc comme avant la fin du Service (articles 7.2.3, 7.2.5 et 7.2.6).

Le Prestataire ne peut être tenu responsable des conséquences d’un manquement du CLIENT à ces obligations, notamment lorsqu’un Agent a été désactivé ou lorsqu’un système non supporté a été maintenu en service.

Article 10 — Unité Facturée, variations du parc et fin du Service

10.1 Unité Facturée

L’Unité Facturée du Service est l’Appareil Protégé. Chaque option souscrite constitue une Unité Facturée distincte, décomptée par appareil ou par terminal selon l’option concernée.

10.2 Ajout et retrait d’Appareils Protégés

Les ajouts et retraits d’Appareils Protégés obéissent à l’article 9 des conditions générales : facturation au prorata temporis à l’ajout avec alignement de l’échéance, avoir imputé au renouvellement au retrait, seuil de déclenchement de dix euros hors taxes cumulés sur la période, et fait générateur constitué par la cessation effective du Service telle que constatée par les outils de supervision.

Le rapport mensuel prévu à l’article 5 mentionne le nombre d’Appareils Protégés constaté, afin que le CLIENT puisse en vérifier l’exactitude.

10.3 Sort des données

Les données traitées dans le cadre du Service — événements de sécurité, journaux de la Console, rapports et configuration du parc — sont conservées trente (30) jours à compter de la suspension ou de la date d’effet de la résiliation, conformément à l’article 15 des conditions générales. À l’expiration de ce délai, leur suppression est définitive.

10.4 Effet de la fin du Service sur les Appareils Protégés

À la fin du Service, les licences cessent et les Agents cessent de recevoir les mises à jour de signatures et de modules. Un Appareil Protégé sur lequel l’Agent subsiste sans licence active n’est plus protégé, quand bien même le logiciel resterait visible sur la machine.

La désinstallation des Agents relève du CLIENT. Le Prestataire peut la réaliser sur demande, au temps passé ou sur devis préalable. Le CLIENT fait son affaire de la mise en place d’une solution de remplacement avant la date d’effet de la fin du Service.

Lorsque l’option Full Disk Encryption a été souscrite, la fin du Service emporte une conséquence supplémentaire et irréversible, décrite à l’article 7.2.5 : la suppression de l’espace du CLIENT dans la Console entraîne celle des clés de récupération. Les volumes restés chiffrés deviennent alors définitivement inaccessibles. Le déchiffrement des volumes, ou la récupération des clés, doit intervenir avant l’expiration de la fenêtre de trente jours de l’article 10.3.

Article 11 — Facturation et prix

11.1 Unité de facturation

Le Service est facturé par Appareil Protégé, selon la périodicité choisie au Devis. Chaque option souscrite constitue une Unité Facturée distincte, décomptée par appareil ou par terminal selon l’option concernée.

11.2 Détermination du prix

Le prix applicable est celui figurant au Devis accepté par le CLIENT, lequel prévaut conformément à l’article 2.3 des conditions générales. Toute souscription fait l’objet d’un Devis préalable, quel que soit le nombre d’Appareils Protégés.

11.3 Grille tarifaire

Les prix unitaires en vigueur figurent à la grille tarifaire CyberProtect, document daté et identifié par un numéro de version, communiqué au CLIENT avant la souscription et annexé au Devis.

Conformément à l’article L441-1 du code de commerce, cette grille est communiquée sur support durable à tout acheteur professionnel qui en fait la demande.

La mise à jour de la grille tarifaire est sans effet sur les prix des contrats en cours, lesquels ne varient que dans les conditions de l’article 11.4. Une nouvelle version de la grille ne s’applique qu’aux souscriptions et aux renouvellements postérieurs à sa date d’entrée en vigueur.

11.4 Révision des prix en cours de contrat

Les prix des contrats en cours sont révisés dans les seules conditions de l’article 8 des conditions générales : indexation annuelle réciproque sur l’indice Syntec, répercussion possible d’une hausse du coût d’achat dans la limite de celle-ci, plafond global de 15 % par période de douze mois, préavis de 90 jours avant l’échéance, et prise d’effet à la reconduction seulement.

11.5 Prestations hors forfait

Les prestations exclues à l’article 8, ainsi que les interventions réalisées à la demande du CLIENT — remédiation, application de correctifs, analyse d’alertes d’intégrité, désinstallation des Agents, astreinte — sont facturées au temps passé ou sur devis préalable, au tarif en vigueur au jour de l’intervention.

Article 12 — Articulation avec les conditions générales

Les présentes conditions particulières ne traitent que de ce qui est propre au Service CyberProtect. Relèvent des conditions générales, auxquelles il convient de se reporter :

 En cas de contradiction, l’ordre de priorité de l’article 2.3 des conditions générales s’applique, sous les trois réserves qu’il énonce. 

Annexe 1 — Tableau des engagements par Pack

La présente annexe fait partie intégrante des conditions particulières CyberProtect et prévaut sur toute description commerciale. Toutes les durées s’entendent en Heures Ouvrées, du lundi au vendredi de 9h00 à 18h00, hors jours fériés.

Rappel : la prise en charge consiste à qualifier l’Alerte, à vérifier si l’Agent a neutralisé automatiquement la menace et à en informer le CLIENT dans le délai indiqué ci-dessus. Elle n’emporte aucune obligation de remédiation (article 4.1).

Rappel : hors Tickets créés automatiquement, les délais ne courent qu’à compter de l’enregistrement d’un Ticket sur la plateforme accessible depuis l’Espace Client (article 4.4).