> **Brouillon, à relire par un avocat. Ce n'est pas un avis juridique.** Rédaction Produit, ELF-130, 24/10/2026. Les montants, la raison sociale et les choix commerciaux sont entre crochets : rien n'est inventé. Les CGV s'adressent à des professionnels (B2B) ; elles ne sont pas rédigées pour des consommateurs.

# Conditions générales de vente et d'utilisation du Service NACscale

**Version : [numéro et date, horodatés à l'acceptation en ligne]**

## 1. Parties et objet
1.1 Le service NACscale (le « Service ») est édité par **[À COMPLÉTER : raison sociale, forme, capital, SIREN, siège]** (l'« Éditeur »). Le « Client » est la personne morale qui s'inscrit au Service pour le compte de l'organisation qu'elle représente.
1.2 Les présentes conditions régissent l'accès au Service en ligne (console, API et portail captif WiFi invité), dans la version décrite par la documentation publique à la date de commande.
1.3 Le périmètre du Service est celui de la documentation publique. Une fonction n'est vendue que si elle y figure comme disponible. Les fonctions annoncées « à venir » ou conditionnées à un drapeau, notamment l'authentification 802.1X (RadSec, EAP-TLS), n'entrent dans le Service que lorsque l'Éditeur les déclare disponibles par écrit pour le Client.

## 2. Inscription et compte
2.1 L'inscription est entièrement en ligne. Le Client déclare agir pour des besoins professionnels et avoir le pouvoir d'engager son organisation.
2.2 Le Client est responsable de ses identifiants et de ceux de ses administrateurs, et de l'activation de l'authentification à deux facteurs sur les comptes privilégiés. Toute action réalisée avec ses identifiants est réputée faite par lui.
2.3 **Acceptation** : l'inscription vaut acceptation des présentes conditions **et** de l'accord de sous-traitance (article 9), par case à cocher ; la version acceptée et l'horodatage sont conservés. Une nouvelle version est soumise à nouvelle acceptation par l'administrateur propriétaire.

## 3. Prix et paiement
3.1 Les prix sont ceux **affichés publiquement** à la date de commande, en euros, **hors taxes**, par site et par mois **[à confirmer : unité et périodicité de facturation]**. **[À COMPLÉTER : grille tarifaire. Aucun prix n'est établi dans le dépôt à ce jour.]**
3.2 Mode de paiement : **[À COMPLÉTER : carte / prélèvement ; prestataire de paiement à nommer à l'annexe IV du DPA s'il traite des données]**. Facture électronique émise à chaque période.
3.3 Retard de paiement : pénalités au taux de **[trois fois le taux d'intérêt légal — à confirmer par l'avocat]** et indemnité forfaitaire de 40 € pour frais de recouvrement (art. L441-10 du code de commerce). L'Éditeur peut suspendre le Service **[après mise en demeure restée sans effet pendant X jours]**.
3.4 Évolution des prix : toute modification est notifiée au moins **[30 jours]** avant son application ; le Client peut résilier avant son entrée en vigueur.
3.5 Pilote : **[À DÉCIDER : conditions d'un pilote gratuit ou payant]**. Un pilote qui traite des données réelles de visiteurs est soumis à l'accord de sous-traitance comme tout autre usage.

## 4. Durée et résiliation
4.1 Le contrat est conclu pour **[une période mensuelle / annuelle — à décider]**, renouvelée tacitement.
4.2 Le Client résilie à tout moment depuis la console **[ou par écrit : à décider, la promesse « sans parler à un humain » plaide pour la console]**, avec effet à la fin de la période en cours. **[Remboursement : aucun / prorata — à décider.]**
4.3 Chaque partie peut résilier pour manquement grave non corrigé **[30 jours]** après mise en demeure. L'Éditeur peut suspendre un compte sans préavis en cas de risque pour la sécurité du Service ou d'usage illicite.
4.4 La fin du contrat déclenche la réversibilité (article 8).

## 5. Le Service
5.1 L'Éditeur fournit le Service avec la diligence due à un professionnel (obligation de moyens). **Aucun niveau de disponibilité chiffré n'est garanti à ce stade** **[À DÉCIDER : si un engagement chiffré est pris, il doit s'appuyer sur ce que SRE mesure réellement, `docs/monitoring/`]**.
5.2 L'Éditeur peut faire évoluer le Service. Une évolution qui réduit sensiblement une fonction vendue est notifiée au moins **[30 jours]** à l'avance.
5.3 **Hébergement.** Les données du Service sont hébergées dans l'Union européenne ; les sous-traitants ultérieurs, leurs régions et le cadre applicable aux éventuels transferts figurent à l'annexe IV du DPA. L'Éditeur ne s'engage ni sur une localisation en France ni sur l'absence d'accès par une autorité d'un pays tiers à l'égard de sous-traitants soumis à un droit étranger.
5.4 Conservation des journaux : le Service conserve les journaux de connexion **12 mois** (durée légale, non modifiable), puis les purge.

## 6. Obligations du Client
6.1 Le Client est **seul responsable** de la conformité de son propre traitement : information des visiteurs, base légale, textes présentés sur son portail, conservation des journaux imposée par l'art. L34-1 du CPCE, réponse aux réquisitions des autorités. Les textes types fournis par l'Éditeur sont une aide, non un avis juridique.
6.2 Le Client n'utilise pas le Service pour un usage illicite ni pour porter atteinte à la sécurité du Service. Il s'interdit de collecter, par les champs personnalisés du portail, des données de l'article 9 ou 10 du RGPD, un NIR ou des données bancaires (voir l'annexe II du DPA).
6.3 Le Client garantit l'Éditeur contre les réclamations de tiers résultant d'un manquement à l'article 6.2, **[dans la limite et selon les modalités de l'article 7 — à décider]**.

## 7. Responsabilité
7.1 L'Éditeur répond des dommages directs et prévisibles résultant d'un manquement prouvé à ses obligations.
7.2 **Plafond** : la responsabilité totale de l'Éditeur, tous faits générateurs confondus, ne peut excéder **[les sommes payées par le Client au titre des 12 mois précédant le fait générateur — position proposée, à arbitrer par elfayafi puis à valider par l'avocat]**.
7.3 Ne sont pas réparés : perte de chiffre d'affaires, de clientèle, d'image, et tout dommage indirect.
7.4 Ces limites ne s'appliquent pas à la faute lourde ou dolosive, ni aux dommages corporels, ni à ce que la loi interdit de limiter. **[L'avocat dira si un régime distinct s'impose pour les violations de données ; le DPA reste régi par ses propres clauses (art. 28 et clause 10 des clauses types).]**
7.5 Le Service n'est pas conçu pour la sécurité des personnes ni comme seule protection d'un réseau : l'Éditeur ne garantit pas qu'il empêche toute intrusion.

## 8. Réversibilité et restitution des données
8.1 Pendant le contrat, le Client exporte ses données à tout moment : export CSV des journaux et des réponses aux champs personnalisés, export de conformité signé (Ed25519, manifeste, script de vérification), API.
8.2 **À la fin du contrat**, le Client dispose de **[30 jours — à décider]** pour récupérer ses données, notamment l'export signé des journaux qu'il doit lui-même conserver 12 mois. Passé ce délai, l'Éditeur supprime les données du Client, sauf obligation légale de les conserver, et le confirme sur demande, dans un délai de **[à fixer]**.
8.3 La clôture du compte est demandée par un administrateur `owner` du Client, par l'API. À la fin du contrat, si le Client ne l'a pas demandée, l'Éditeur l'ouvre lui-même. Le délai de l'article 8.2 court à compter de cette demande. Pendant ce délai, le Service est arrêté et le Client télécharge un export de clôture signé de ses données ; à son terme, sauf suspension, toutes les données du Client sont supprimées. Le contenu de l'export, les données qui n'y figurent pas, les cas de suspension et ce que l'Éditeur conserve pour son propre compte figurent à l'annexe III, §16, de l'accord de sous-traitance (DPA). *(Note de rédaction : en production depuis le 24/10/2026, ADR-0019. Écrire « par la console ou par l'API » une fois l'écran de clôture en production, ELF-155.)*
8.4 Les données sont restituées dans des formats ouverts (CSV, JSON, archive zip). Les journaux et empreintes servent à vérifier l'intégrité des journaux ; la vérification n'exige aucun service de l'Éditeur.

## 9. Données personnelles
9.1 Pour les données des visiteurs et des administrateurs que l'Éditeur traite pour le compte du Client, **le Client est responsable de traitement et l'Éditeur sous-traitant** (art. 28 du RGPD). Les clauses contractuelles types de la décision d'exécution (UE) 2021/915 et leurs annexes (le « DPA ») font partie du contrat.
9.2 En cas de contradiction entre les présentes conditions et le DPA sur le traitement des données personnelles, **le DPA prévaut** (clause 4 des clauses types).
9.3 Pour ses propres besoins (facturation, relation commerciale, sécurité du Service, comptes des administrateurs du Client), l'Éditeur agit en responsable de traitement ; l'information correspondante figure dans la politique de confidentialité **[à rédiger]**.

## 10. Propriété intellectuelle et confidentialité
10.1 L'Éditeur conserve tous les droits sur le Service. Le Client reçoit un droit d'usage non exclusif, non cessible, pour la durée du contrat.
10.2 Le Client reste propriétaire de ses données. Il concède à l'Éditeur le droit de les traiter aux seules fins du Service.
10.3 Chaque partie garde confidentielles les informations non publiques de l'autre, pendant le contrat et **[3 ans]** après.

## 11. Force majeure
Aucune partie n'est responsable d'un manquement causé par un événement de force majeure au sens de l'art. 1218 du code civil.

## 12. Droit applicable et litiges
12.1 Droit français. Les parties recherchent d'abord une solution amiable.
12.2 À défaut, compétence du **[tribunal de commerce de [ville du siège] — à compléter]**, y compris en cas de pluralité de défendeurs ou d'appel en garantie.

## 13. Divers
Les présentes conditions et le DPA forment l'intégralité de l'accord. L'Éditeur peut les modifier pour l'avenir, selon l'article 2.3. Une clause nulle n'affecte pas les autres.

---
*Ce que ce brouillon ne dit volontairement pas* : « hébergement France », « souverain », « conforme NIS2 » ou un taux de disponibilité, faute d'éléments vérifiés sur `origin/main` à ce jour.