1.1 « ARES » désigne la société opérant la Plateforme, constituée en France.
1.2 « Plateforme » désigne le logiciel SaaS de conformité de sécurité mobile ARES, incluant l'agent mobile, le moteur de traitement backend, le tableau de bord et le système de génération de rapports.
1.3 « Client » désigne l'entité juridique qui crée un compte et utilise la Plateforme dans le cadre des présentes Conditions.
1.4 « Appareil » désigne tout appareil Android ou iOS sur lequel l'agent ARES est installé.
1.5 « Données Client » désigne l'ensemble des données de signaux d'appareils, des jetons pseudonymes d'appareils et des rapports générés à partir du compte du Client ou associés à celui-ci.
1.6 « Évaluation Gratuite des Écarts » désigne le niveau sans frais offrant un accès au tableau de bord flotte avec le total des appareils inscrits et les scores de conformité par référentiel sur tous les référentiels Tier 1, tel que décrit à la Section 3.
1.7 « Abonnement » désigne une licence annuelle payante pour accéder à la Plateforme au niveau Tier 1 ou Tier 2, tel que décrit à la Section 4.
En créant un compte ou en utilisant la Plateforme, le Client accepte d'être lié par les présentes Conditions. Les présentes Conditions constituent un accord contraignant entre le Client et ARES. Si le Client n'accepte pas les présentes Conditions, il ne doit pas utiliser la Plateforme.
3.1 Périmètre. L'Évaluation Gratuite des Écarts fournit : tableau de bord flotte (total des appareils inscrits, scores de conformité sur tous les référentiels Tier 1). L'Évaluation Gratuite des Écarts ne comprend pas le détail par appareil, la synthèse des risques pour le dirigeant, la génération de PDF prêts pour l'audit, ni l'export signé des preuves en JSON et CSV. Le détail par appareil, le rapport dirigeant, les PDF d'audit et l'export signé des preuves en JSON et CSV sont débloqués au Tier 1.
3.2 Sans limite de temps. L'Évaluation Gratuite des Écarts n'expire pas automatiquement. L'accès se poursuit jusqu'à ce que le Client convertisse vers un Abonnement ou demande la suppression de son compte.
3.3 Conversion. Le Client peut convertir vers un Abonnement Tier 1 ou Tier 2 à tout moment. La conversion débloque le détail complet de la flotte, des rapports PDF d'audit illimités, l'export signé des preuves en JSON et CSV pour les référentiels inclus dans le Tier choisi et la synthèse des risques pour le dirigeant. L'historique de surveillance accumulé pendant l'Évaluation Gratuite des Écarts est préservé et compte pour l'exigence d'historique NIST 800-124 Tier 2.
3.4 Limitations. ARES se réserve le droit de limiter les comptes d'Évaluation Gratuite des Écarts si les schémas d'utilisation indiquent une utilisation automatisée ou abusive.
4.1 Tier 1 — Audit. 6 800 € par an, jusqu'à 100 appareils. Comprend la surveillance continue de la flotte, les rapports NIS2, ANSSI, ISO 27001, BSI, CyFun, FNCDP et NCSC CAF, les PDF d'audit illimités, l'export signé des preuves en JSON et CSV pour tous les référentiels UE et UK du Tier 1, la synthèse des risques pour le dirigeant et le conteneur de clés sécurisé OVH.
4.2 Tier 2 — Audit + NIST. 12 000 € par an, jusqu'à 100 appareils. Comprend tout ce qui est inclus dans le Tier 1, plus l'analyse complète des écarts NIST 800-124, le support des preuves CMMC Level 2 pour les appareils mobiles, l'extension de l'export signé des preuves en JSON et CSV à NIST 800-124 et aux preuves CMMC Level 2 et un Customer Success Manager dédié. Nécessite un minimum de 3 mois d'historique de surveillance continue Tier 1 avant que le premier rapport NIST 800-124 puisse être généré.
4.3 Facturation. Les Abonnements sont facturés annuellement à l'avance. Tous les prix s'entendent hors taxes applicables.
4.4 Renouvellement. Les Abonnements se renouvellent automatiquement à la fin de chaque période annuelle, sauf si le Client fournit un préavis écrit de non-renouvellement au moins 30 jours avant la date de renouvellement.
4.5 Limite d'appareils. Les Clients avec plus de 100 appareils doivent contacter ARES pour un devis personnalisé avant d'activer un Abonnement.
Le Client ne peut utiliser la Plateforme qu'aux fins de surveillance et d'évaluation de la posture de sécurité des appareils placés sous son contrôle opérationnel. Le Client ne doit pas utiliser la Plateforme pour surveiller des appareils à l'insu de l'organisation employeuse, revendre l'accès à la Plateforme, procéder à l'ingénierie inverse de la Plateforme ou de ses mappings réglementaires, ni utiliser la Plateforme de toute manière contraire au droit applicable.
ARES vise une disponibilité mensuelle de 99,5 % pour la Plateforme, hors fenêtres de maintenance programmées. La maintenance programmée sera notifiée aux Clients au moins 48 heures à l'avance. ARES ne garantit pas un accès ininterrompu et n'est pas responsable des interruptions indépendantes de sa volonté raisonnable.
Les mappings de référentiels sont construits à partir de sources officielles primaires et revus par des experts en conformité qualifiés. Ils représentent l'interprétation par ARES de la façon dont les signaux de configuration des appareils se rapportent à des exigences réglementaires spécifiques. Ils ne constituent pas un conseil juridique. L'utilisation de la Plateforme ne garantit pas la conformité réglementaire ni l'acceptation des rapports par une autorité réglementaire spécifique. Le Client demeure seul responsable de ses propres obligations de conformité réglementaire.
La certification ANSSI de la plateforme ARES n'est pas disponible au lancement. La revendication d'ARES d'une architecture souveraine UE sur OVH est valide et indépendante de tout statut de certification.
8.1 Zéro donnée personnelle par architecture. ARES ne collecte que des signaux techniques de configuration des appareils. Aucun identifiant d'appareil (IMEI, numéro de série), aucune liste d'applications, aucune donnée de localisation et aucun signal comportemental ne sont collectés. L'identité de l'appareil est représentée par un jeton RSA opaque généré et contrôlé par le Client. ARES n'est pas responsable de traitement pour les signaux d'appareils au sens de l'Art. 4 du RGPD.
8.2 Contrôle de la clé par le Client. Chaque compte Client est provisionné avec un conteneur de clés sécurisé OVH dédié. La clé RSA du Client est stockée dans ce conteneur. ARES n'a aucun accès au matériel cryptographique du Client.
8.3 Infrastructure. Toutes les Données Client sont stockées exclusivement sur l'infrastructure OVH située en France. Aucune Donnée Client n'est transférée en dehors de l'Espace Économique Européen.
8.4 Sous-traitants ultérieurs. OVH SAS (France) est le seul sous-traitant ultérieur engagé par ARES dans le cadre de la Plateforme.
8.5 Accord de Traitement des Données. Un Accord de Traitement des Données (DPA) complet régissant les obligations respectives des parties en vertu du RGPD sera fourni au Client avant ou au moment de l'activation du compte. Le DPA fait partie intégrante des présentes Conditions. En cas de conflit entre le DPA et les présentes Conditions sur des questions de protection des données, le DPA prévaut.
8.6 Sécurité. ARES met en œuvre le chiffrement AES-GCM et RSA-OAEP pour toutes les Données Client en transit et au repos. L'accès aux Données Client est restreint au Client via des sessions authentifiées. Le personnel d'ARES n'a pas accès aux contenus des Données Client.
9.1 Pendant le contrat. Les Données Client sont conservées et entièrement accessibles pendant la durée de l'Abonnement actif ou de l'Évaluation Gratuite des Écarts.
9.2 Délai de grâce. Suite à l'expiration, la résiliation ou le non-renouvellement d'un Abonnement, ou lorsqu'un compte d'Évaluation Gratuite des Écarts est fermé sans conversion, ARES conserve les Données Client pendant un délai de grâce de 12 mois. Pendant le délai de grâce, le Client conserve un accès en lecture seule à la Plateforme aux fins d'export des données et de récupération des rapports. L'ingestion des signaux d'appareils est suspendue pendant le délai de grâce.
9.3 Suppression automatique. À la fin du délai de grâce de 12 mois, toutes les Données Client sont définitivement et irréversiblement supprimées, y compris tous les contenus de signaux d'appareils, les jetons pseudonymes d'appareils, les rapports PDF stockés et le conteneur de clés sécurisé OVH dédié du Client. ARES notifiera le Client au début du délai de grâce et à nouveau au mois 11. Un certificat de confirmation de suppression est émis automatiquement à l'achèvement.
9.4 Droit à l'effacement. Le Client peut demander la suppression immédiate de toutes les Données Client à tout moment via le tableau de bord en libre-service. ARES achèvera la suppression dans les 72 heures suivant la demande et émettra un certificat de confirmation de suppression. Le Client reconnaît que l'exercice du droit à l'effacement avant la génération de rapports détruira définitivement l'historique de surveillance requis pour le rapport NIST 800-124 Tier 2, et que cette conséquence est irréversible.
9.5 Données conservées par ARES. Nonobstant ce qui précède, ARES conserve les enregistrements de facturation, les factures et les métadonnées contractuelles pendant 10 ans conformément à l'Article L123-22 du Code de Commerce français. Les statistiques agrégées anonymisées ne pouvant être liées à aucun Client ou Appareil peuvent être conservées indéfiniment à des fins d'amélioration du produit.
La Plateforme, incluant l'ensemble des logiciels, algorithmes, mappings réglementaires, logique de conformité et rapports générés par ARES, reste la propriété intellectuelle exclusive d'ARES. Les présentes Conditions ne transfèrent aucun droit de propriété intellectuelle au Client.
Le Client conserve tous les droits sur ses propres Données Client. En utilisant la Plateforme, le Client accorde à ARES une licence limitée pour traiter les Données Client uniquement dans la mesure nécessaire à la fourniture des services de la Plateforme.
Chaque partie s'engage à garder confidentielles toutes les informations non publiques reçues de l'autre partie dans le cadre des présentes Conditions qui sont désignées comme confidentielles ou qui, de par leur nature, devraient raisonnablement être considérées comme confidentielles. Cette obligation ne s'applique pas aux informations publiquement disponibles, déjà connues de la partie réceptrice, ou dont la divulgation est exigée par la loi ou la réglementation.
ARES ne divulguera les Données Client à aucun tiers, à l'exception d'OVH en tant que sous-traitant ultérieur, ou lorsqu'une décision contraignante d'un tribunal français ou européen ou d'une autorité compétente l'exige. ARES notifiera le Client de toute telle décision dans la mesure permise par la loi.
12.1 Exclusions. Aucune des parties n'est responsable des dommages indirects, accessoires, consécutifs ou punitifs, y compris la perte de profit, la perte de données ou l'interruption d'activité, résultant de ou liés aux présentes Conditions, même si elle a été informée de la possibilité de tels dommages.
12.2 Plafond. La responsabilité totale cumulée d'ARES envers le Client pour toutes réclamations découlant de ou en rapport avec les présentes Conditions est limitée au montant total des frais payés par le Client à ARES au cours des 12 mois précédant l'événement à l'origine de la réclamation. Pour l'Évaluation Gratuite des Écarts, lorsqu'aucun frais n'a été payé, la responsabilité totale d'ARES est limitée à 500 €.
12.3 Exceptions. Rien dans les présentes Conditions ne limite la responsabilité de l'une ou l'autre des parties en cas de fraude, de négligence grave, de faute intentionnelle, de décès ou de dommage corporel causé par négligence, ou de toute autre responsabilité ne pouvant être limitée en vertu du droit français applicable.
ARES garantit que la Plateforme fonctionnera de manière substantiellement conforme à sa documentation dans des conditions normales d'utilisation. ARES ne garantit pas que la Plateforme constitue un conseil juridique, que l'utilisation de la Plateforme garantit la conformité réglementaire, ou que les rapports d'audit générés par la Plateforme seront acceptés par une autorité réglementaire spécifique. Le Client demeure seul responsable de ses propres obligations de conformité réglementaire.
14.1 Durée. Les présentes Conditions prennent effet à la date de création du compte par le Client et restent en vigueur jusqu'à la fin de la période d'Abonnement applicable ou, pour les utilisateurs de l'Évaluation Gratuite des Écarts qui ne convertissent pas, jusqu'à la fermeture du compte et la fin du délai de grâce décrit à la Section 9.
14.2 Résiliation pour motif. Chaque partie peut résilier les présentes Conditions immédiatement par notification écrite si l'autre partie manque de manière substantielle aux présentes Conditions et ne remédie pas à ce manquement dans les 30 jours suivant la notification écrite.
14.3 Résiliation de convenance. Le Client peut résilier un Abonnement à tout moment. Aucun remboursement n'est accordé pour la portion non utilisée d'un Abonnement annuel prépayé, sauf si la résiliation est due à un manquement substantiel d'ARES.
14.4 Effets de la résiliation. À la résiliation, l'accès du Client à la Plateforme est suspendu et les dispositions de conservation des données de la Section 9 s'appliquent.
ARES peut modifier les présentes Conditions à tout moment. Les Clients seront notifiés par e-mail au moins 30 jours avant l'entrée en vigueur de toute modification substantielle. L'utilisation continue de la Plateforme après la date d'effet d'une modification vaut acceptation. Si le Client n'accepte pas une modification, il peut résilier son Abonnement avant la date d'effet sans pénalité.
Les présentes Conditions sont régies par le droit français. En cas de litige découlant de ou en rapport avec les présentes Conditions, les parties tenteront de résoudre le différend à l'amiable dans les 30 jours suivant la notification écrite. Si aucune résolution n'est atteinte, le litige sera soumis à la compétence exclusive des tribunaux compétents de Paris, France.
Intégralité de l'accord. Les présentes Conditions, conjointement avec le DPA et tout bon de commande applicable, constituent l'intégralité de l'accord entre les parties concernant la Plateforme et remplacent tous les accords antérieurs.
Divisibilité. Si une disposition des présentes Conditions est jugée inapplicable, les dispositions restantes conservent leur plein effet.
Absence de renonciation. Le fait pour l'une des parties de ne pas faire valoir une disposition des présentes Conditions ne constitue pas une renonciation au droit de la faire valoir à l'avenir.
Cession. Le Client ne peut céder ses droits ou obligations en vertu des présentes Conditions sans le consentement écrit préalable d'ARES. ARES peut céder les présentes Conditions dans le cadre d'une fusion, d'une acquisition ou d'une vente de la quasi-totalité de ses actifs.
Langue. Les présentes Conditions sont rédigées en anglais. En cas de conflit entre la version anglaise et toute traduction, la version anglaise prévaut.