Conditions d'utilisation

Ces conditions régissent l'utilisation d'euvex, service en ligne qui produit une nomenclature logicielle (SBOM) à partir de fichiers que vous déposez, la confronte à des bases de vulnérabilités publiques, surveille l'apparition de nouvelles vulnérabilités et met en forme les éléments utiles à un dossier de conformité.

L'éditeur est identifié dans les mentions légales. Le traitement des données personnelles est décrit dans la politique de confidentialité. Ces trois documents forment un ensemble.

Créer un compte vaut acceptation de ces conditions. Si vous n'en acceptez pas un point, n'en créez pas.

euvex s'adresse à des professionnels : fabricants, éditeurs, intégrateurs, importateurs, distributeurs, et à ceux qui les conseillent. Vous devez avoir la capacité d'engager l'entreprise pour laquelle vous ouvrez un compte.

Un compte correspond à une personne. Les identifiants ne se partagent pas ; ce qui est fait depuis un compte est réputé fait par son titulaire.

L'adresse email doit être exacte et vous appartenir : elle sert à confirmer le compte, à le récupérer, et à vous prévenir qu'une vulnérabilité touche un produit que vous surveillez.

La suppression est immédiate et se fait seule. Elle se trouve dans les réglages du compte, pas dans un formulaire de support. Elle efface le compte et ce qui lui est rattaché ; elle est définitive, donc exportez avant.

Ce que le service fait. Il lit ce que vous déposez, en tire une nomenclature, interroge des bases de vulnérabilités publiques, et vous restitue ce qu'elles répondent, avec leur date et leur origine.

Une absence de résultat n'est pas une absence de vulnérabilité. Un composant peut n'être couvert par aucune source, être connu sous un autre nom, ou être vulnérable sans que quiconque l'ait encore publié. C'est pourquoi euvex ne conclut jamais qu'un produit est sain : il indique ce qui a été interrogé, quand, et ce qui ne l'a pas été. Cette distinction est appliquée dans le produit, elle n'est pas une précaution de style.

euvex ne certifie aucune conformité. Il n'est pas un organisme notifié, ne délivre aucun acte opposable à une autorité de surveillance du marché, et ne fournit pas de conseil juridique. La décision de déclarer, à qui et dans quel délai, appartient à celui qui met le produit sur le marché.

Les sources sont ce qu'elles sont. euvex dépend de bases publiques (OSV, NVD, le catalogue des vulnérabilités activement exploitées de la CISA, la base européenne de l'ENISA) qu'il ne contrôle pas. Une source indisponible, en retard ou erronée se répercute sur le résultat. Quand une source n'a pas répondu, euvex le dit plutôt que de faire comme si elle avait répondu « rien ».

Un scan est accessible à qui possède son adresse : un identifiant aléatoire de 128 bits, indevinable, et sans autre contrôle d'accès. C'est ce qui permet de transmettre un dossier à un auditeur ou à un acquéreur sans lui imposer un compte.

La contrepartie vous revient. Traitez ce lien comme un mot de passe : qui l'obtient voit l'inventaire du produit et ses vulnérabilités connues. Nous ne pouvons pas savoir à qui vous l'avez transmis, ni le reprendre. Un scan déposé sans être connecté n'est rattaché à aucun compte et n'est récupérable que par son adresse.

• déposer des fichiers sur lesquels vous n'avez pas les droits, ou qui contiennent des données personnelles sans nécessité ;
• chercher à contourner les plafonds de sollicitation, les vérifications anti-robot ou les limites du service ;
• automatiser l'usage du service au point d'en dégrader la disponibilité pour les autres ;
• revendre ou redistribuer l'accès au service ; ce que vous produisez avec lui, en revanche, vous appartient et circule librement ;
• vous en servir pour rechercher des vulnérabilités dans les produits d'un tiers à des fins autres que légitimes.

Aucun niveau de service n'est garanti pendant la bêta. Le service peut être interrompu pour maintenance, mise à jour, ou en raison d'une défaillance d'un hébergeur ou d'une source. Nous cherchons à prévenir des interruptions prévisibles, sans nous y engager.

Ce qui n'est pas conditionné à la disponibilité : l'export de vos données. L'archive complète se télécharge en un fichier, chaque révision au format CycloneDX standard, sans condition.

Aucune facturation n'a lieu aujourd'hui. Aucun moyen de paiement n'est demandé, donc rien ne peut être prélevé. Le jour où une offre payante existera, elle sera annoncée et souscrite explicitement : un compte de la bêta ne basculera pas en compte payant de lui-même.

L'unité facturée sera la gamme de produit, non la version. Une révision d'un produit déjà couvert ne coûte rien de plus : facturer la version reviendrait à faire payer le fabricant qui met à jour, c'est-à-dire celui qui obéit au règlement.

Les quatre engagements ci-dessous sont pris dès maintenant et survivent à toute révision de ces conditions, dans les termes de l'article 12.

1. Le prix de ce que vous avez ne monte jamais. Le tarif de base pourra augmenter pour les nouveaux comptes ; le vôtre reste celui de votre souscription, aussi longtemps que l'abonnement est ininterrompu.
2. Une amélioration de ce que vous avez déjà est comprise. Une source de vulnérabilités supplémentaire, un identifiant de plus, une couverture élargie sur un règlement que vous avez déjà souscrit : compris, sans supplément.
3. Un nouveau règlement est un module facultatif. Il sera payant, pour tout le monde, membres fondateurs compris. Personne ne sera contraint de le prendre pour conserver ce qu'il avait déjà.
4. Le statut de membre fondateur est sans limite de durée. Il vaut la moitié du tarif public, sur l'abonnement comme sur chaque gamme ajoutée ensuite, et il ne comporte aucune échéance. Ce n'est ni une remise de bienvenue, ni une période d'essai. Il est attaché à un abonnement ininterrompu : qui résilie et revient plus tard rentre au tarif du jour, avec trois mois de grâce pour qu'un incident de paiement ne coûte pas un statut à vie.

Le détail de la grille figure sur la page tarifs.

Comment on paie. Par carte bancaire, mensuellement, sans engagement de durée. Le paiement est traité par notre prestataire : aucun numéro de carte n'entre chez euvex, qui n'en conserve donc aucun. Le moyen de paiement, les factures et la résiliation se gèrent depuis votre console, dans l'espace de facturation.

La résiliation prend effet à la fin de la période payée. Aucun mois entamé n'est remboursé au prorata, et aucun mois supplémentaire n'est prélevé. Vos preuves restent téléchargeables jusqu'à la suppression du compte, qui reste un geste distinct et de votre seule main.

Un impayé ne coupe rien. Un prélèvement refusé suspend la régularité du paiement, pas la surveillance : les alertes continuent de partir. Interrompre la surveillance d'un fabricant sur une carte expirée le laisserait sans avertissement au moment où il en a le plus besoin.

à compléter : régime de TVA, mentions de facturation et autoliquidation, à fixer selon le pays d'établissement de la société.

Ce que vous déposez et ce qui en est produit vous appartient. Nous en faisons le strict usage nécessaire au fonctionnement du service : rien n'est revendu, ni utilisé pour entraîner quoi que ce soit, ni communiqué à un tiers en dehors des sous-traitants techniques nommés dans la politique de confidentialité.

Les fichiers déposés ne sont pas conservés : ils sont lus, transformés en nomenclature, puis jetés. Seule la nomenclature qui en résulte est enregistrée.

Vous pouvez partir à tout moment en supprimant votre compte, sans justification et sans délai.

Nous pouvons suspendre un compte qui met le service en danger ou qui contrevient à l'article 6. Sauf urgence ou obligation légale, la suspension est précédée d'un avertissement à l'adresse du compte, et laisse un délai raisonnable pour exporter.

Le service est fourni en l'état, sans garantie que ses résultats soient exhaustifs, à jour ou adaptés à un usage particulier. Il n'a pas vocation à remplacer l'analyse du fabricant ni celle de son conseil.

Nous répondons de nos fautes dans les conditions du droit commun. Nous ne répondons pas des dommages indirects, notamment d'une perte d'exploitation, d'une sanction administrative ou d'un préjudice de réputation liés à une décision de conformité que vous auriez prise. Rien ici n'exclut la responsabilité en cas de faute lourde, de dol ou d'atteinte à la vie ou à l'intégrité des personnes.

à compléter : plafond de responsabilité, à fixer avec la première offre payante.

Ces conditions peuvent évoluer. Toute modification substantielle est annoncée à l'adresse du compte au moins trente jours avant de prendre effet. Continuer à utiliser le service au-delà vaut acceptation ; refuser, c'est partir sans pénalité.

Les engagements de l'article 8 ne peuvent pas être révisés à la baisse pour un compte existant. Une modification de ces conditions ne peut ni augmenter le prix de ce qu'un client a déjà souscrit, ni supprimer un statut de membre fondateur déjà acquis. Sans cette réserve, une promesse sans limite de durée ne serait qu'une promesse jusqu'à la prochaine version du texte.

à compléter : droit applicable et juridiction compétente, à fixer selon le pays d'établissement de la société.

En cas de désaccord, écrivez-nous d'abord : la plupart se règlent ainsi, et plus vite.