Conditions d'utilisation

Ces conditions régissent l'utilisation d'euvex, service en ligne qui produit une nomenclature logicielle (SBOM) à partir de fichiers que vous déposez, la confronte à des bases de vulnérabilités publiques, surveille l'apparition de nouvelles vulnérabilités et met en forme les éléments utiles à un dossier de conformité.

L'éditeur est identifié dans les mentions légales. Le traitement des données personnelles est décrit dans la politique de confidentialité. Ces trois documents forment un ensemble.

Créer un compte vaut acceptation de ces conditions. Si vous n'en acceptez pas un point, n'en créez pas.

euvex s'adresse à des professionnels : fabricants, éditeurs, intégrateurs, importateurs, distributeurs, et à ceux qui les conseillent. Vous devez avoir la capacité d'engager l'entreprise pour laquelle vous ouvrez un compte.

Un compte correspond à une personne. Les identifiants ne se partagent pas ; ce qui est fait depuis un compte est réputé fait par son titulaire.

L'adresse email doit être exacte et vous appartenir : elle sert à confirmer le compte, à le récupérer, à vous prévenir qu'une vulnérabilité touche un produit que vous surveillez ou qu'un dossier de signalement art. 14 vient d'être ouvert, et à vous annoncer une modification de ces conditions (article 12).

La suppression est immédiate et se fait seule. Elle se trouve dans les réglages du compte, pas dans un formulaire de support. Elle efface le compte, ses produits, leurs questionnaires RED et Machines, ses dossiers de signalement et ses alertes ; un abonnement en cours est résilié d'abord. Vos scans ne sont pas effacés : ils sont détachés du compte, sans adresse d'alerte, et restent lisibles par qui a leur lien. Pour en faire effacer un, écrivez à contact@euvex.eu. La suppression est définitive, donc exportez avant.

Ce que le service fait. Il lit ce que vous déposez, en tire une nomenclature, interroge des bases de vulnérabilités publiques, et vous restitue ce qu'elles répondent, avec leur date et leur origine.

Une absence de résultat n'est pas une absence de vulnérabilité. Un composant peut n'être couvert par aucune source, être connu sous un autre nom, ou être vulnérable sans que quiconque l'ait encore publié. C'est pourquoi euvex ne conclut jamais qu'un produit est sain : il indique ce qui a été interrogé, quand, et ce qui ne l'a pas été. Cette distinction est appliquée dans le produit, elle n'est pas une précaution de style.

euvex ne certifie aucune conformité. Il n'est pas un organisme notifié, ne délivre aucun acte opposable à une autorité de surveillance du marché, et ne fournit pas de conseil juridique. La décision de déclarer, à qui et dans quel délai, appartient à celui qui met le produit sur le marché.

Les sources sont ce qu'elles sont. euvex dépend de bases publiques (OSV, NVD, le catalogue des vulnérabilités activement exploitées de la CISA, la base européenne de l'ENISA) qu'il ne contrôle pas. Une source indisponible, en retard ou erronée se répercute sur le résultat. Quand une source n'a pas répondu, euvex le dit plutôt que de faire comme si elle avait répondu « rien ».

Un scan est accessible à qui possède son adresse : un UUID de 128 bits, dont 122 tirés au hasard, indevinable, et sans autre contrôle d'accès. C'est ce qui permet de transmettre un dossier à un auditeur ou à un acquéreur sans lui imposer un compte.

La contrepartie vous revient. Traitez ce lien comme un mot de passe : qui l'obtient voit l'inventaire du produit et ses vulnérabilités connues. Nous ne pouvons pas savoir à qui vous l'avez transmis, ni le reprendre. Un scan déposé sans compte avant le 31 août 2026, quand le dépôt était ouvert, n'est rattaché à aucun compte et ne se retrouve que par son adresse.

• déposer des fichiers sur lesquels vous n'avez pas les droits, ou qui contiennent des données personnelles sans nécessité ;
• chercher à contourner les plafonds de sollicitation, les vérifications anti-robot ou les limites du service ;
• automatiser l'usage du service au point d'en dégrader la disponibilité pour les autres ;
• revendre ou redistribuer l'accès au service ; ce que vous produisez avec lui, en revanche, vous appartient et circule librement ;
• vous en servir pour rechercher des vulnérabilités dans les produits d'un tiers à des fins autres que légitimes.

Aucun niveau de service n'est garanti pendant la bêta. Le service peut être interrompu pour maintenance, mise à jour, ou en raison d'une défaillance d'un hébergeur ou d'une source. Nous cherchons à prévenir des interruptions prévisibles, sans nous y engager.

Ce qui ne dépend d'aucun abonnement : l'export de vos données. L'archive complète se télécharge chaque fois que le service répond, chaque révision au format CycloneDX standard.

Aucune facturation n'a lieu aujourd'hui. Aucun moyen de paiement n'est demandé, donc rien ne peut être prélevé. Le jour où une offre payante existera, elle sera annoncée et souscrite explicitement : un compte de la bêta ne basculera pas en compte payant de lui-même.

L'unité facturée sera la gamme de produit, non la version. Une révision d'un produit déjà couvert ne coûte rien de plus : facturer la version reviendrait à faire payer le fabricant qui met à jour, c'est-à-dire celui qui obéit au règlement.

Les quatre engagements ci-dessous sont pris dès maintenant et survivent à toute révision de ces conditions, dans les termes de l'article 12.

1. Le prix de ce que vous avez ne monte jamais. Le tarif de base pourra augmenter pour les nouveaux comptes ; le vôtre reste celui de votre souscription, aussi longtemps que l'abonnement est ininterrompu.
2. Une amélioration de ce que vous avez déjà est comprise. Une source de vulnérabilités supplémentaire, un identifiant de plus, une couverture élargie sur un règlement que vous avez déjà souscrit : compris, sans supplément.
3. Un nouveau règlement est un module facultatif. Il sera payant, pour tout le monde, membres fondateurs compris. Personne ne sera contraint de le prendre pour conserver ce qu'il avait déjà.
4. Le statut de membre fondateur est sans limite de durée. Il revient aux comptes qui souscrivent au plus tard douze mois après le jour où le prix s'affiche. Les comptes ouverts pendant la bêta en font partie de droit, s'ils souscrivent dans ces mêmes douze mois. Ils ont pris le risque avant que le prix soit affiché. Il vaut la moitié du tarif public, sur l'abonnement comme sur chaque gamme ajoutée ensuite, et il ne comporte aucune échéance. Ce n'est ni une remise de bienvenue, ni une période d'essai. Il est attaché à un abonnement ininterrompu : qui résilie et revient plus tard rentre au tarif du jour, avec trois mois de grâce pour qu'un incident de paiement ou une pause budgétaire ne coûte pas un statut à vie.

Le montant s'affichera sur la page tarifs au lancement. Dans tous les cas, il est indiqué au compte qui souscrit, avant tout paiement.

Comment on paie. Au mois ou à l'année, au choix, sans engagement au-delà de la période choisie. Par carte bancaire dans les deux cas ; à l'année, aussi sur facture, payable par virement à trente jours. Le paiement est traité par notre prestataire : aucun numéro de carte ni aucune coordonnée bancaire n'entre chez euvex, qui n'en conserve donc aucun. Le moyen de paiement, les factures et la résiliation se gèrent depuis votre console, dans l'espace de facturation.

Une gamme ajoutée en cours de période est facturée tout de suite, au prorata. Le prorata court jusqu'à la fin de la période en cours, mois ou année, au tarif figé sur votre compte. Son montant vous est indiqué avant le geste qui ajoute la gamme, puis prélevé sur la carte, ou facturé aussitôt et payable par virement à trente jours. S'il ne peut pas être calculé à ce moment, aucun prorata n'est facturé et la gamme l'est à partir de l'échéance suivante. Une gamme retirée n'est pas remboursée au prorata : elle cesse d'être facturée à l'échéance suivante.

Un abonnement au mois, par carte, peut passer à l'année. L'année commence le jour du passage, aux prix figés sur votre compte. La part du mois en cours déjà payée et non utilisée est déduite du paiement de cette première année : ce n'est pas un remboursement, rien ne vous est reversé. Le montant, calculé par notre prestataire, vous est indiqué avant le geste, puis prélevé sur la carte ; si le paiement ne passe pas, l'abonnement reste au mois et rien n'est prélevé.

La résiliation prend effet à la fin de la période payée. Aucune période entamée, mois ou année, n'est remboursée au prorata, et aucune période supplémentaire n'est facturée. Vos preuves restent téléchargeables jusqu'à la suppression du compte, qui reste un geste distinct et de votre seule main.

Un impayé ne coupe rien. Un prélèvement refusé ou une facture restée impayée à son échéance suspend la régularité du paiement, pas la surveillance : les alertes continuent de partir. Interrompre la surveillance d'un fabricant sur une carte expirée le laisserait sans avertissement au moment où il en a le plus besoin.

à compléter : régime de TVA, mentions de facturation et autoliquidation, à fixer selon le pays d'établissement de la société.

Ce que vous déposez et ce qui en est produit vous appartient. Nous en faisons le strict usage nécessaire au fonctionnement du service : rien n'est revendu, ni utilisé pour entraîner quoi que ce soit, ni communiqué à un tiers en dehors des sous-traitants techniques nommés dans la politique de confidentialité.

Les fichiers déposés ne sont pas conservés : ils sont lus, transformés en nomenclature, puis jetés. Seule la nomenclature qui en résulte est enregistrée.

Vous pouvez partir à tout moment en supprimant votre compte, sans justification et sans délai.

Nous pouvons suspendre un compte qui met le service en danger ou qui contrevient à l'article 6. Sauf urgence ou obligation légale, la suspension est précédée d'un avertissement à l'adresse du compte, et laisse un délai raisonnable pour exporter.

Le service est fourni en l'état, sans garantie que ses résultats soient exhaustifs, à jour ou adaptés à un usage particulier. Il n'a pas vocation à remplacer l'analyse du fabricant ni celle de son conseil.

Nous répondons de nos fautes dans les conditions du droit commun. Nous ne répondons pas des dommages indirects, notamment d'une perte d'exploitation, d'une sanction administrative ou d'un préjudice de réputation liés à une décision de conformité que vous auriez prise. Rien ici n'exclut la responsabilité en cas de faute lourde, de dol ou d'atteinte à la vie ou à l'intégrité des personnes.

à compléter : plafond de responsabilité, à fixer avec la première offre payante.

Ces conditions peuvent évoluer. Toute modification substantielle est annoncée à l'adresse du compte au moins trente jours avant de prendre effet. Continuer à utiliser le service au-delà vaut acceptation ; refuser, c'est partir sans pénalité.

Souscrire un abonnement demande d'accepter ces conditions. La version acceptée, désignée par sa date de mise à jour, et l'instant de cette acceptation sont enregistrés avec l'abonnement.

Les engagements de l'article 8 ne peuvent pas être révisés à la baisse pour un compte existant. Une modification de ces conditions ne peut ni augmenter le prix de ce qu'un client a déjà souscrit, ni supprimer un statut de membre fondateur déjà acquis. Sans cette réserve, une promesse sans limite de durée ne serait qu'une promesse jusqu'à la prochaine version du texte.

à compléter : droit applicable et juridiction compétente, à fixer selon le pays d'établissement de la société.

En cas de désaccord, écrivez-nous d'abord à contact@euvex.eu : la plupart se règlent ainsi, et plus vite.