Conditions Générales d’Utilisation

Objet et documents contractuels

Les présentes Conditions Générales d’Utilisation (ci-après les « CGU ») définissent les conditions d’accès et d’utilisation du site techwatchalert.com et de l’application accessible à l’adresse app.techwatchalert.com, API comprise (ci-après ensemble le « Service »), édités et exploités par la société TechWatchAlert (ci-après « TechWatchAlert »).

L’accès au Service et son utilisation impliquent l’acceptation pleine et entière des présentes CGU. L’Utilisateur qui ne les accepte pas doit s’abstenir d’utiliser le Service.

Les CGU sont complétées par :

• les Conditions Générales de Vente (CGV), pour les offres et le programme Partner ;
• la politique de confidentialité, pour le traitement des données personnelles ;
• le cas échéant, un accord de traitement des données (DPA) ou un contrat particulier signé avec TechWatchAlert, qui prévaut sur les CGU et les CGV pour ce qu’il règle.

Définitions

• « Service » : la plateforme TechWatchAlert dans son ensemble : site vitrine, application web, API REST, et leurs fonctionnalités (veille sur les vulnérabilités et les fins de vie, alertes et notifications, workflows, dossiers et rapports, module NIS2, Discussions, assistant Vigie, Espace partenaire, intégrations et exports).
• « Utilisateur » : toute personne physique qui accède au Service, avec ou sans Compte.
• « Client » : la personne physique ou morale qui souscrit une offre, gratuite ou payante, pour une Organisation.
• « Compte » : l’accès personnel d’un Utilisateur à l’application, protégé par ses Identifiants.
• « Organisation » : l’espace de travail d’une équipe, qui porte l’abonnement, les membres, les groupes, les projets, les clés d’API et les réglages. Chaque Compte dispose en outre d’un espace personnel.
• « Contenu Utilisateur » : toute donnée saisie, importée ou transmise par un Utilisateur dans le Service : inventaires, configurations, commentaires, dossiers, registres, fichiers importés, messages des Discussions, demandes adressées à Vigie ou au support.
• « Données de sécurité » : les informations sur les vulnérabilités (CVE), leur exploitation, leurs scores (CVSS, EPSS) et les fins de vie des logiciels, issues des sources tierces décrites à l’article 13.
• « Discussions » : la messagerie d’équipe intégrée à l’application, chiffrée de bout en bout (article 9).
• « Vigie » : l’assistant d’intelligence artificielle du Service et, plus largement, les fonctions d’IA décrites à l’article 11.
• « Module NIS2 » : les fonctions d’aide à la mise en œuvre de la directive (UE) 2022/2555 décrites à l’article 14.
• « Partenaire » : l’organisation admise au programme Partner, qui gère dans l’Espace partenaire les Organisations de ses propres clients (les « Clients gérés »).
• « Identifiants » : l’adresse e-mail et le mot de passe, les codes de double authentification, la connexion par authentification unique (SSO) et les clés d’API permettant d’accéder au Service.

Accès au Service, création de Compte et essai

3.1 Accès libre

La consultation du site techwatchalert.com et de ses outils publics (guides, calculateur CVSS, annuaires) est libre et gratuite, sans inscription.

3.2 Essai sans compte

L’application propose un essai sans compte : l’Utilisateur y colle un manifeste de dépendances, un SBOM ou une liste de composants, et obtient les vulnérabilités connues qui les touchent. Le contenu soumis est analysé à la volée et n’est pas conservé. L’essai est limité en taille et en fréquence, notamment par adresse IP. Ses résultats sont indicatifs et relèvent de l’article 13.

3.3 Création du Compte

L’accès à l’application nécessite un Compte, créé avec une adresse e-mail valide dont l’Utilisateur est titulaire et un mot de passe respectant les exigences de la plateforme, ou par l’authentification unique (SSO) qu’une Organisation a configurée. Un e-mail de vérification confirme l’adresse. La création d’un Compte vaut acceptation des CGU et, pour les offres payantes, des CGV.

L’adresse e-mail sert d’identifiant et de canal pour les notifications liées au Compte, aux alertes et à la facturation. TechWatchAlert peut refuser ou suspendre la création d’un Compte, notamment en cas de risque d’abus.

Conditions d’inscription

4.1 Capacité juridique

Le Service est réservé aux personnes physiques majeures disposant de la pleine capacité juridique. L’Utilisateur qui agit pour le compte d’une personne morale déclare disposer des pouvoirs nécessaires pour l’engager.

4.2 Unicité du Compte

Chaque Utilisateur ne dispose que d’un seul Compte par adresse e-mail. La création de Comptes multiples pour contourner les limites d’une offre, ou à toute autre fin frauduleuse, est interdite et constitue un motif de résiliation.

4.3 Exactitude des informations

L’Utilisateur fournit des informations exactes et les tient à jour. Une information frauduleuse ou erronée peut entraîner la suspension ou la résiliation du Compte.

4.4 Usage professionnel

Le Service est conçu pour un usage professionnel dans le domaine de la sécurité informatique. Un usage personnel reste possible, sans constituer l’usage cible du Service.

Sécurité du Compte et des Identifiants

5.1 Responsabilité des Identifiants

L’Utilisateur est seul responsable de la confidentialité de ses Identifiants et des actions réalisées depuis son Compte. TechWatchAlert ne répond pas des conséquences d’un accès non autorisé résultant d’une négligence de l’Utilisateur.

5.2 Bonnes pratiques

L’Utilisateur s’engage à :

• choisir un mot de passe fort et unique, et ne jamais communiquer ses Identifiants à un tiers ;
• activer la double authentification (TOTP) proposée sur tous les Comptes, et conserver ses codes de récupération en lieu sûr ;
• se déconnecter à l’issue de chaque session sur un appareil partagé, et protéger les appareils sur lesquels il utilise les Discussions (article 9).

5.3 Notification d’incident

En cas de suspicion de compromission (accès non autorisé, vol d’Identifiants, activité anormale), l’Utilisateur modifie aussitôt son mot de passe, fait révoquer les clés d’API concernées, réinitialise sa double authentification et prévient TechWatchAlert à [email protected]. TechWatchAlert peut suspendre temporairement un Compte présentant des signes d’activité anormale et en informe l’Utilisateur dans les meilleurs délais.

5.4 Clés d’API

Les clés d’API sont des Identifiants à part entière. Elles ne doivent jamais être exposées (dépôts de code, journaux, variables non protégées). Une clé compromise doit être révoquée sans délai depuis l’Organisation concernée (article 16).

Organisations, projets, rôles et groupes

6.1 Organisation

L’Organisation est l’espace de travail d’une équipe : elle porte l’abonnement, les membres, les groupes, les projets, les clés d’API, l’authentification unique et le journal d’audit. Son créateur en est le Propriétaire. L’espace personnel d’un Compte est réservé à un seul Utilisateur et n’accepte pas d’invitation.

6.2 Rôles et groupes

Les droits découlent des rôles et des groupes définis dans l’Organisation :

• le Propriétaire choisit, change ou résilie l’offre, désigne les responsables NIS2 et peut supprimer l’Organisation ;
• les Administrateurs gèrent les membres, les invitations, les groupes, les clés d’API, l’authentification unique et consultent le journal d’audit, selon l’offre ;
• les Membres accèdent aux projets et aux fonctions que leurs groupes leur ouvrent, avec un rôle de projet (Propriétaire, Admin, Analyste ou Utilisateur) et des droits réglables par domaine, y compris pour les Discussions.

6.3 Responsabilité du Client

Le Client, par l’intermédiaire de son Propriétaire et de ses Administrateurs, décide qui il invite et quels droits il accorde. Il retire sans délai l’accès des personnes qui quittent son équipe, veille à ce que ses membres respectent les CGU et répond de leur usage du Service.

6.4 Authentification unique

Sur l’offre Business, l’Organisation peut configurer une authentification unique OpenID Connect et vérifier ses domaines. Le Client demeure responsable de son fournisseur d’identité et des comptes qu’il y gère.

Usage acceptable du Service

L’Utilisateur utilise le Service de manière loyale, conformément à sa destination, aux présentes CGU, aux lois et règlements en vigueur et aux droits des tiers.

7.1 Usages autorisés

• veille sur les vulnérabilités et les fins de vie des technologies utilisées par l’Utilisateur ou par ses clients, alertes, priorisation et suivi de la remédiation ;
• production de rapports et de preuves, y compris avec le Module NIS2 ;
• échanges d’équipe sur ces sujets dans les Discussions ;
• intégration du Service dans les outils de l’Utilisateur (tickets, messageries, CI/CD, supervision) par les intégrations et l’API ;
• toute autre utilisation légale visant à améliorer la sécurité de l’Utilisateur ou de ses clients.

7.2 Prestations pour des tiers

Le Service peut être utilisé pour des prestations de sécurité réalisées pour des clients, dans les limites de l’offre souscrite. La revente de l’accès au Service en tant que tel n’est permise que dans le cadre du programme Partner (article 15).

7.3 URL surveillées et imports

La surveillance d’une URL conduit TechWatchAlert à interroger régulièrement le site déclaré pour en détecter les technologies et relever son certificat. L’Utilisateur ne déclare que des sites qu’il exploite ou qu’il est autorisé à analyser. Il ne télécharge que des fichiers (SBOM, manifestes, rapports de scan) qu’il a le droit d’utiliser.

Usages et contenus interdits

Il est interdit à l’Utilisateur de :

8.1 Atteintes à la sécurité et à l’intégrité

• tenter de compromettre, contourner ou neutraliser les mesures de sécurité de la plateforme, y compris le chiffrement des Discussions ;
• réaliser des tests d’intrusion ou des scans de vulnérabilités sur l’infrastructure de TechWatchAlert sans autorisation écrite préalable (article 12) ;
• introduire des logiciels malveillants ou tout code nuisible, ou tenter d’accéder à des données d’autres Utilisateurs ou à des ressources non autorisées ;
• exploiter une vulnérabilité du Service sans la signaler selon le processus de divulgation responsable de l’article 12.

8.2 Atteintes à la disponibilité

• générer un volume de requêtes susceptible de dégrader le Service pour les autres Utilisateurs, ou procéder à une extraction massive non autorisée ;
• contourner les limites de débit et les quotas (API, fonctions d’IA, essai sans compte) ;
• utiliser des robots ou scripts sur l’interface web d’une manière non conforme à l’usage prévu.

8.3 Usages malveillants

• utiliser les informations du Service pour concevoir ou mener des attaques contre des systèmes tiers, ou pour toute intrusion, espionnage ou collecte de renseignements non autorisée ;
• partager des informations issues du Service de manière à faciliter une activité malveillante.

8.4 Contenus interdits

Dans tout Contenu Utilisateur (Discussions, commentaires, dossiers, registres, demandes à Vigie ou au support), il est interdit de publier ou de transmettre :

• un contenu illicite, ou dont la diffusion est interdite par la loi ;
• des menaces, du harcèlement, des propos injurieux, diffamatoires, haineux ou discriminatoires ;
• des logiciels malveillants, des liens d’hameçonnage ou des liens menant à du code malveillant destiné à être exécuté contre des tiers ;
• un contenu portant atteinte aux droits de tiers : propriété intellectuelle, vie privée, secret des affaires, données personnelles traitées sans base légale ;
• des sollicitations commerciales non sollicitées, ou un contenu usurpant l’identité d’une autre personne.

L’échange d’informations techniques sur des vulnérabilités (CVE, preuves de concept publiques, correctifs) à des fins défensives est l’objet même du Service et n’est pas visé par cet article.

8.5 Atteintes aux droits de TechWatchAlert et contournement des offres

• reproduire, vendre, louer ou distribuer tout ou partie du Service sans autorisation écrite, hors programme Partner ;
• procéder à l’ingénierie inverse du Service, sauf dans les cas autorisés par la loi, ou retirer les mentions de propriété et avertissements qu’il comporte ;
• utiliser les marques et logos de TechWatchAlert sans autorisation ;
• partager ses Identifiants ou créer plusieurs Comptes pour dépasser les limites de l’offre souscrite.

Discussions : messagerie d’équipe chiffrée de bout en bout

9.1 Fonctionnement

Les Discussions permettent aux membres d’une Organisation d’échanger dans le canal # général de l’Organisation et par messages privés entre deux membres. Aucun autre canal ne peut être créé. L’accès dépend des droits réglés par l’Organisation : niveau d’accès aux Discussions (aucun, lecture, écriture), accès au canal de l’Organisation, envoi de messages privés. Un message privé n’est possible qu’entre deux membres d’une même Organisation qui disposent tous deux de ce droit ; si l’un d’eux quitte l’Organisation, la conversation reste lisible par l’autre mais passe en lecture seule.

Les messages, réactions et modifications sont chiffrés de bout en bout dans le navigateur, selon le protocole MLS (RFC 9420). Les clés privées sont générées et conservées sur l’appareil de chaque Utilisateur et ne sont jamais transmises à TechWatchAlert. Le serveur relaie et ordonne des messages chiffrés ; il ne détient aucune clé.

9.2 Conséquences du chiffrement

• TechWatchAlert ne peut ni lire ni modérer le contenu des messages échangés dans les Discussions ;
• TechWatchAlert ne procède à aucune modération automatisée ni à aucune analyse du contenu chiffré ;
• TechWatchAlert ne peut pas restaurer un message : un nouvel appareil ne lit pas les messages antérieurs à son arrivée, et « Oublier cet appareil » efface les messages conservés sur celui-ci ;
• la confidentialité d’une conversation dépend aussi des Utilisateurs : vérification des participants (emojis de vérification), protection et verrouillage de leurs appareils.

9.3 Ce que TechWatchAlert connaît

Pour faire fonctionner le service, le serveur connaît uniquement des métadonnées : qui écrit dans quel canal et quand, la taille des messages, les personnes mentionnées (pour leur envoyer une notification, sans le texte), les membres des canaux, les appareils enregistrés (nom et clé publique) et le statut de présence. L’affichage d’une fiche d’alerte ou de CVE citée dans un message passe par le serveur, comme toute consultation de cette fiche.

9.4 Exceptions : Vigie

La conversation privée avec Vigie n’est pas chiffrée de bout en bout : ses messages sont transmis à TechWatchAlert et au fournisseur d’IA pour obtenir la réponse (article 11). Vigie ne participe ni au canal de l’Organisation ni aux messages privés : aucun de leurs messages ne lui est transmis.

9.5 Responsabilité des Utilisateurs

Chaque Utilisateur est seul responsable des messages qu’il envoie et respecte l’article 8. Les Administrateurs de l’Organisation règlent les droits d’accès aux Discussions, dont dépendent les membres du canal de l’Organisation et la possibilité d’échanger des messages privés. Les Discussions ne sont pas un outil d’archivage : le Client conserve par ailleurs toute information qu’il est tenu de garder, TechWatchAlert ne pouvant ni la lire ni l’exporter en clair.

9.6 Signalements et demandes des autorités

Tout Utilisateur peut signaler un contenu ou un comportement abusif à [email protected], en joignant les éléments qu’il choisit de partager (extraits, captures d’écran). TechWatchAlert ne pouvant pas consulter le contenu chiffré, il traite les signalements et les demandes légalement fondées des autorités à partir des seules métadonnées dont il dispose (Compte, canal, date et heure, taille des messages), et non du contenu.

Selon la gravité, TechWatchAlert peut avertir l’Utilisateur concerné, suspendre son accès aux Discussions ou à son Compte, révoquer ses appareils, ou résilier son Compte (article 21). Il répond aux réquisitions des autorités dans les limites des données qu’il détient et de la loi.

Échanges avec le support

10.1 Canaux

Le support de TechWatchAlert est joignable par e-mail à [email protected] et, lorsque cette fonction est proposée, par conversation en direct depuis l’application. Le niveau de support dépend de l’offre (article 12 des CGV).

10.2 Confidentialité des échanges

Les échanges avec le support ne sont pas chiffrés de bout en bout, contrairement aux Discussions. Ils sont conservés sur les serveurs de TechWatchAlert et lus par les membres habilités de l’équipe support pour traiter la demande.

L’Utilisateur n’y transmet ni mot de passe, ni clé d’API, ni secret, ni donnée personnelle sensible. Le support n’a pas besoin de votre mot de passe et ne vous le demandera pas.

10.3 Accès au contenu du Compte

Le support ne consulte le contenu d’un Compte ou d’une Organisation qu’à la demande explicite de l’Utilisateur pour une assistance ; cet accès est alors tracé dans le journal d’audit. Le contenu des Discussions reste, en tout état de cause, inaccessible.

10.4 Conservation

Les échanges avec le support sont conservés pendant la durée du Compte, sauf durée différente indiquée dans la politique de confidentialité. Les règles de l’article 8 s’y appliquent.

Fonctions d’intelligence artificielle (Vigie)

11.1 Description

Vigie répond aux questions de l’Utilisateur sur les vulnérabilités, les fins de vie et sa stack, en conversation privée ; elle ne participe pas aux Discussions. L’Organisation peut retirer l’usage de Vigie à certains de ses membres. Elle peut proposer des actions dans l’application (ajouter un composant, suivre une fin de vie, surveiller une URL, composer un tableau de bord) : ces actions ne sont exécutées qu’après validation de l’Utilisateur. Selon l’offre, Vigie peut aussi construire des workflows et ajouter une analyse aux notifications d’un workflow. L’usage est limité par des quotas propres à chaque offre.

11.2 Fournisseur du modèle

Les réponses sont produites par un modèle d’IA fourni par un prestataire tiers, choisi et configuré par TechWatchAlert en sa qualité d’administrateur de la plateforme : par défaut Mistral AI. TechWatchAlert peut changer de fournisseur ; le fournisseur en service figure dans la politique de confidentialité.

11.3 Données transmises au fournisseur

• Conversation privée : les messages de l’Utilisateur et l’historique récent de la conversation, avec un contexte technique du projet actif (composants, alertes récentes, fins de vie suivies, articles de veille). TechWatchAlert n’y ajoute ni adresse e-mail, ni liste des membres, ni identifiant interne.
• Workflows et tableaux de bord : les données techniques publiques de l’événement (CVE, cycle de fin de vie, certificat) ou la demande de l’Utilisateur, adresses e-mail masquées, sans donnée permettant d’identifier une personne.

Le texte saisi par l’Utilisateur est transmis tel qu’il l’écrit : il n’y inclut pas de données personnelles ou de secrets inutiles.

11.4 Utilisation par le fournisseur

TechWatchAlert n’utilise pas le Contenu Utilisateur pour entraîner des modèles d’IA. Le traitement des données par le fournisseur (conservation, éventuelle réutilisation, localisation) est régi par les conditions de ce fournisseur applicables au service utilisé par TechWatchAlert. TechWatchAlert ne garantit pas l’absence de réutilisation par le fournisseur au-delà de ce que prévoient ces conditions.

11.5 Fiabilité des réponses

Les réponses de Vigie sont générées automatiquement. Elles peuvent être inexactes, incomplètes, obsolètes ou inadaptées, y compris lorsqu’elles paraissent affirmatives. Elles ne constituent pas un conseil professionnel. L’Utilisateur les vérifie, par une personne qualifiée, avant toute décision, en particulier avant une correction, une acceptation de risque ou une déclaration d’incident.

L’Utilisateur demeure responsable de l’usage qu’il fait des réponses et des actions qu’il valide. Les fonctions d’IA peuvent être limitées, suspendues ou indisponibles, notamment en cas de panne du fournisseur ou d’épuisement d’un quota.

Sécurité de la plateforme

12.1 Mesures de sécurité

TechWatchAlert met en œuvre des mesures techniques et organisationnelles appropriées pour protéger le Service et les données, notamment : mots de passe hachés, double authentification proposée sur tous les Comptes, chiffrement des données en transit et au repos, chiffrement de bout en bout des Discussions, journal d’audit des actions sensibles et sauvegardes quotidiennes chiffrées. Le détail figure sur la page Sécurité, qui ne mentionne que des mesures effectivement en place.

12.2 Divulgation responsable des vulnérabilités

Toute vulnérabilité découverte dans le Service doit être signalée à [email protected] avant toute divulgation publique, en laissant un délai raisonnable pour la corriger.

TechWatchAlert s’engage à accuser réception de tout signalement dans un délai de 5 jours ouvrés, à traiter les vulnérabilités avec diligence et à ne pas engager de poursuites contre un chercheur ayant agi de bonne foi dans le cadre d’une divulgation responsable.

12.3 Responsabilité de l’Utilisateur

L’Utilisateur s’engage à ne pas réaliser de tests de sécurité (scans, fuzzing, injection) sur l’infrastructure de TechWatchAlert sans autorisation écrite préalable. Toute action susceptible de compromettre la sécurité ou la disponibilité du Service est interdite et constitue une infraction pénale pouvant être poursuivie au titre de la loi Godfrain (art. 323-1 et suivants du Code pénal).

Données de sécurité issues de sources tierces

13.1 Sources

Les Données de sécurité proviennent de sources tierces, notamment CVE List (MITRE), NVD (NIST), le catalogue KEV de la CISA, EPSS (FIRST), GitHub Security Advisories, OSV.dev, PoC-in-GitHub, VulnCheck, le CERT-FR (ANSSI), l’EUVD (ENISA) et endoflife.date pour les fins de vie, ainsi que de sources de veille éditoriale. La liste et les licences sont détaillées sur la page Sources de données.

13.2 Fourniture en l’état

Ces données sont fournies en l’état, telles que publiées par leurs sources et soumises à leurs propres conditions. TechWatchAlert ne garantit ni leur exhaustivité, ni leur exactitude, ni leur actualité : une source peut publier tardivement, se tromper sur les versions affectées, corriger une fiche ou être indisponible, et la synchronisation introduit un délai.

Le rapprochement avec l’inventaire de l’Utilisateur dépend de l’exactitude de cet inventaire et des identifiants de produits : des faux positifs comme des omissions sont possibles. L’absence d’alerte ne signifie pas l’absence de vulnérabilité.

13.3 Indicateurs calculés

Les priorités, échéances de correction et autres indicateurs calculés par TechWatchAlert reposent sur des règles et des paramètres, en partie réglables par l’Organisation. Ils sont indicatifs.

13.4 Pas un substitut

Le Service ne se substitue ni à une évaluation de sécurité par un professionnel qualifié, ni à un test d’intrusion, ni aux avis des éditeurs concernés. Le Client reste responsable de ses décisions de correction et de la sécurité de ses systèmes.

Module de conformité NIS2

14.1 Objet

Sur les offres Pro et Business, le Module NIS2 outille une partie des obligations de la directive (UE) 2022/2555 et de ses actes d’exécution : veille incluant les CSIRT nationaux, registre des risques acceptés, délais de correction, revues d’inventaire, fournisseurs, registre des incidents avec les échéances de déclaration, et rapport à la direction.

14.2 Nature du module

Le Module NIS2 est un outil d’aide à la décision et de conservation de preuves. Il ne constitue ni un conseil juridique, ni un audit, ni une certification ou une homologation, et ne rend pas le Client « conforme ». Il ne couvre pas l’ensemble des mesures exigées par la directive. Les références aux textes et aux référentiels peuvent évoluer, notamment avec la transposition en droit national ; TechWatchAlert ne garantit pas leur mise à jour à tout instant.

14.3 Responsabilité du Client

Le Client demeure seul responsable de déterminer s’il est soumis à NIS2, de sa conformité, du contenu de ses registres et des déclarations qu’il adresse aux autorités compétentes, qu’il effectue lui-même. Les échéances affichées sont une aide et ne remplacent pas l’analyse du Client.

14.4 Registres

Les registres conservent l’historique des décisions, qui ne sont pas réécrites. Une Organisation qui tient un registre d’incidents NIS2 ne peut pas être supprimée depuis l’application : le Client exporte le registre, puis s’adresse au support.

Espace partenaire et accès délégués

15.1 Programme Partner

Le programme Partner est ouvert sur candidature aux prestataires qui gèrent la sécurité de plusieurs clients ; l’admission est décidée par TechWatchAlert. Ses conditions financières figurent à l’article 14 des CGV.

15.2 Accès délégués

Les Propriétaires et Administrateurs de l’organisation du Partenaire accèdent à toutes les Organisations des Clients gérés, où ils apparaissent comme membres « Partenaire ». Ils peuvent notamment y créer des projets, inviter des contacts, choisir l’offre de chaque Client géré, consulter les alertes et produire des rapports.

Une Organisation existante n’est confiée à un Partenaire qu’avec l’accord de son Propriétaire, au moyen d’un lien de rattachement à usage unique et limité dans le temps. Le détachement suppose que le Client géré dispose de son propre Propriétaire.

15.3 Responsabilités du Partenaire

• disposer d’un mandat ou d’un contrat de chaque Client géré l’autorisant à créer et administrer son Organisation et à accéder à ses données ;
• informer les Clients gérés et leurs utilisateurs des présentes CGU et de la politique de confidentialité, et veiller à leur respect ;
• répondre des actions de ses techniciens, limiter les accès au strict nécessaire et retirer sans délai ceux des personnes qui quittent son équipe ;
• organiser avec chaque Client géré la répartition de leurs rôles au regard de la protection des données.

15.4 Marque blanche

Le Partenaire peut faire figurer son logo sur les rapports PDF et dans l’application de ses Clients gérés ; la mention « via TechWatchAlert » est retirée au-delà d’un seuil de Clients gérés fixé par TechWatchAlert. Le Partenaire garantit détenir les droits sur les logos qu’il dépose, ne se présente pas comme l’éditeur du Service et ne trompe pas ses clients sur l’origine des données. La marque blanche ne transfère aucun droit de propriété intellectuelle.

15.5 Fin de la participation

À la fin de l’abonnement Partner, les Clients gérés perdent l’offre attribuée par le Partenaire ; ils peuvent souscrire leur propre offre. Le Partenaire les en informe préalablement.

Intégrations, API et exports

16.1 Intégrations

Selon l’offre, le Service peut être relié à des outils tiers : tickets Jira, GitLab et GitHub ; webhooks vers Slack, Microsoft Teams, Discord ou tout point d’accès JSON (signés par HMAC) ; connecteurs d’inventaire GLPI et Microsoft Intune ; authentification unique OpenID Connect. L’Utilisateur fournit les adresses et les accès nécessaires, en se limitant aux droits strictement utiles.

Les données envoyées vers ces outils quittent le Service et relèvent des conditions de leurs éditeurs. Ces outils sont ceux du Client, et non des sous-traitants de TechWatchAlert, qui ne répond pas de leur fonctionnement, de leur disponibilité ni de leurs évolutions.

16.2 API et clés d’API

L’API REST v1 est ouverte sur les offres Pro et Business, dans la limite d’un quota d’appels par heure. Les clés d’API sont créées au niveau de l’Organisation ; elles donnent un accès en lecture, à l’exception du dépôt de rapports de scan, et peuvent être limitées à certaines ressources, à certains projets et dans le temps. Une clé n’est affichée qu’une fois. Le Client en assure la garde ; TechWatchAlert peut limiter ou révoquer une clé en cas d’abus ou de risque pour la sécurité.

16.2 bis Connecteur MCP (Claude et autres clients)

L’Utilisateur peut autoriser un client du Model Context Protocol, comme Claude, à accéder au Service en son nom, pour une Organisation et des droits qu’il choisit sur l’écran d’autorisation. L’application autorisée n’a jamais plus de droits que l’Utilisateur dans cette Organisation ; les droits de lecture et d’écriture accordés ne font que les restreindre. Les actions faites par ce client sont celles de l’Utilisateur, avec les mêmes contrôles et la même trace au journal d’audit. L’Utilisateur, ou un administrateur de l’Organisation, peut révoquer cet accès à tout moment ; le retrait de l’Organisation y met fin aussi.

Le client autorisé est un outil de l’Utilisateur, et non un sous-traitant de TechWatchAlert : les données que le Service lui renvoie relèvent des conditions de son éditeur. TechWatchAlert peut limiter le débit des appels, et suspendre ou révoquer un accès en cas d’abus ou de risque pour la sécurité.

16.3 Exports

Selon l’offre, l’Utilisateur peut exporter les CVE et les alertes au format Excel, les registres NIS2 en CSV ou en PDF, et des rapports PDF. Le Client assure la sécurité des fichiers exportés.

16.4 Liens externes

Le Service contient des liens vers des sites tiers (sources de données, avis d’éditeurs, articles). TechWatchAlert n’en contrôle ni le contenu, ni la disponibilité, ni les pratiques en matière de données personnelles.

Contenu Utilisateur

17.1 Propriété et licence

L’Utilisateur, ou le Client pour lequel il agit, conserve l’entière propriété du Contenu Utilisateur. Il accorde à TechWatchAlert une licence limitée, non exclusive et non transférable, pour la durée nécessaire, aux seules fins de :

• héberger, traiter et afficher le Contenu Utilisateur pour fournir le Service ;
• le transmettre aux intégrations configurées par l’Utilisateur et, lorsqu’il utilise les fonctions d’IA, au fournisseur d’IA dans les limites de l’article 11 ;
• améliorer le Service à partir de données agrégées et anonymisées ;
• respecter ses obligations légales.

17.2 Responsabilité du contenu

L’Utilisateur est seul responsable de l’exactitude, de la licéité et de la pertinence du Contenu Utilisateur. TechWatchAlert ne contrôle pas ce contenu a priori, et ne peut pas accéder à celui des Discussions.

Propriété intellectuelle

18.1 Droits de TechWatchAlert

Les éléments du Service sont la propriété de TechWatchAlert ou font l’objet d’une licence qui lui est accordée : code source, algorithmes, architecture et bases de données ; interfaces, maquettes et éléments visuels ; marques, logos et noms de domaine ; textes, documentation et méthodologies ; structuration, enrichissement et organisation des Données de sécurité (scores calculés, corrélations, indexation). Ils sont protégés par le droit de la propriété intellectuelle.

18.2 Données publiques

Les données brutes issues des sources publiques restent soumises à leurs propres conditions de réutilisation ; TechWatchAlert ne revendique aucun droit exclusif sur elles.

18.3 Droit d’usage

L’offre souscrite confère un droit d’usage non exclusif, non cessible et non sous-licenciable du Service, limité à sa durée et à ses fonctionnalités. Ce droit n’emporte aucun transfert de propriété.

18.4 Suggestions

TechWatchAlert peut librement utiliser les suggestions et retours que lui adressent les Utilisateurs pour améliorer le Service, sans contrepartie.

Données personnelles et cookies

19.1 Rôles

TechWatchAlert agit en qualité de responsable de traitement pour la gestion des Comptes, la relation commerciale, la sécurité du Service et la mesure d’audience. Pour les données personnelles que le Client dépose dans le Service (membres, inventaires, commentaires, dossiers, registres, incidents), TechWatchAlert agit en qualité de sous-traitant, sur les instructions du Client ; un accord de traitement (DPA) est disponible dans les conditions des CGV.

19.2 Sous-traitants

TechWatchAlert fait appel à des sous-traitants pour l’hébergement (en France), la diffusion et la protection du site et de l’application, la mesure d’audience, le paiement et la facturation (Paddle, revendeur officiel) et, lorsque les fonctions d’IA sont utilisées, le fournisseur d’IA. Les e-mails partent de son propre serveur de messagerie. La liste nominative et les garanties de transfert figurent dans la politique de confidentialité et sur la page Sécurité.

19.3 Durées, droits et cookies

Les données traitées, leurs finalités, leurs durées de conservation, les droits des personnes et l’usage des cookies sont décrits dans la politique de confidentialité. Les préférences de cookies se règlent depuis le bandeau de consentement.

Disponibilité et maintenance

20.1 Objectif de disponibilité

TechWatchAlert s’efforce de maintenir le Service accessible avec un objectif de disponibilité de 99,5 % par mois calendaire, calculé hors périodes de maintenance planifiée et cas de force majeure. Cet objectif ne constitue pas une garantie contractuelle, sauf pour les Clients bénéficiant d’un engagement de disponibilité formalisé dans un contrat signé avec TechWatchAlert. TechWatchAlert est tenu d’une obligation de moyens.

20.2 Maintenances planifiées

Les opérations de maintenance sont, dans la mesure du possible, planifiées en dehors des heures de forte utilisation et annoncées par e-mail ou notification dans l’application avec un préavis d’au moins 48 heures.

20.3 Incidents

En cas d’incident, TechWatchAlert s’efforce d’en informer les Utilisateurs dans les meilleurs délais par les canaux disponibles, de rétablir le Service au plus vite et de fournir un compte rendu pour les interruptions significatives.

20.4 Évolutions

TechWatchAlert peut faire évoluer le Service, notamment en ajoutant, modifiant ou retirant des fonctionnalités, dans les conditions de l’article 25.

Suspension et résiliation

21.1 Suspension

TechWatchAlert peut suspendre tout ou partie de l’accès d’un Utilisateur (y compris aux Discussions ou aux fonctions d’IA), avec ou sans préavis selon la gravité, en cas de :

• violation suspectée ou avérée des CGU, notamment des articles 8 et 9 ;
• signalement d’abus fondé, ou activité anormale sur le Compte (tentative de compromission, usage abusif de l’API) ;
• défaut de paiement, dans les conditions des CGV ;
• demande d’une autorité compétente.

L’Utilisateur en est informé par e-mail dans les meilleurs délais, sauf si cette information est susceptible d’aggraver le risque.

21.2 Résiliation par TechWatchAlert

TechWatchAlert peut résilier un Compte en cas de violation grave ou répétée des CGU, de fourniture d’informations manifestement fausses, d’utilisation du Service à des fins illicites, ou de défaut de paiement persistant au-delà du délai prévu par les CGV.

21.3 Résiliation par l’Utilisateur

Le Propriétaire d’une Organisation peut résilier l’offre depuis l’onglet Facturation ou la supprimer depuis l’application (article 22.4). L’Utilisateur peut supprimer son Compte depuis ses paramètres (article 22.6).

21.4 Effets

À la résiliation, quelle qu’en soit la cause, les droits d’usage prennent fin et les données sont traitées conformément à l’article 22. Les stipulations destinées à survivre (propriété intellectuelle, limitation de responsabilité, droit applicable) restent en vigueur.

Export, réversibilité et suppression des données

22.1 Pendant l’abonnement

Le Client récupère ses données par les exports et l’API prévus à l’article 16, selon son offre. Une copie des données d’un Compte ou d’une Organisation dans un format structuré peut aussi être demandée à [email protected].

22.2 Passage à une offre inférieure

Le passage à une offre inférieure ne supprime aucune donnée : les créations au-delà des limites de la nouvelle offre sont simplement bloquées tant que l’usage les dépasse.

22.3 Fin de l’abonnement

À l’expiration d’un abonnement, le Client dispose de 30 jours pour exporter ses données, conformément à l’article 9 des CGV. Au-delà, TechWatchAlert peut les supprimer.

22.4 Suppression d’une Organisation

Le Propriétaire demande la suppression d’une Organisation depuis l’application, lorsqu’elle ne compte plus aucun autre membre, puis la confirme par le lien envoyé à l’adresse de son Compte. Dès la confirmation, l’Organisation n’est plus accessible et l’abonnement en cours est annulé ; ses projets, groupes, clés d’API, tags et réglages sont supprimés définitivement 30 jours plus tard, délai pendant lequel le support peut la restaurer. Elle est refusée tant que l’Organisation gère des Clients en tant que Partenaire ou tient un registre d’incidents NIS2 (article 14.4).

22.5 Discussions et sauvegardes

Le journal chiffré d’un canal est supprimé avec lui. Les copies déchiffrées conservées dans les navigateurs restent sur les appareils des Utilisateurs jusqu’à ce qu’ils les effacent (« Oublier cet appareil ») : TechWatchAlert ne peut pas les supprimer. Les données supprimées peuvent subsister dans les sauvegardes chiffrées jusqu’à leur rotation, au plus douze mois.

22.6 Suppression d’un Compte

L’Utilisateur supprime son Compte depuis ses paramètres, en ressaisissant son mot de passe (et son code de double authentification s’il l’a activée), puis le confirme par le lien envoyé à son adresse. Le Compte est désactivé dès la confirmation et ses données personnelles sont supprimées 30 jours plus tard ; d’ici là, le support peut le restaurer. La suppression est refusée tant que l’Utilisateur est le seul Propriétaire d’une Organisation qui compte d’autres membres : il en transfère d’abord la propriété ou retire les membres. Les Organisations dont il est l’unique membre sont supprimées avec lui (article 22.4). Ce qu’il a déposé dans les espaces d’une équipe (commentaires, dossiers, discussions) reste à l’Organisation, détaché de son identité ; le journal d’audit conserve ses entrées, l’auteur anonymisé.

Limitation de responsabilité

23.1 Exclusions

Dans toute la mesure permise par la loi, TechWatchAlert ne peut être tenu responsable des dommages résultant :

• d’une interruption temporaire du Service pour maintenance ou incident ;
• d’inexactitudes, d’omissions ou de retards dans les Données de sécurité issues de sources tierces ;
• de décisions prises sur la base des informations du Service, des réponses de Vigie ou du Module NIS2 sans vérification par une personne qualifiée ;
• du contenu publié par les Utilisateurs, notamment dans les Discussions ;
• d’une utilisation non conforme aux CGU, ou d’un accès non autorisé dû à une négligence de l’Utilisateur ;
• de la défaillance de services tiers (intégrations, fournisseur d’IA, sources de données) ;
• d’un cas de force majeure au sens de l’article 18 des CGV.

23.2 Dommages indirects

TechWatchAlert ne répond pas des dommages indirects, notamment perte de données, de revenus, de clientèle, atteinte à la réputation ou manque à gagner.

23.3 Plafond

Pour les Clients disposant d’une offre payante, la responsabilité totale de TechWatchAlert est limitée conformément à l’article 17 des CGV. Pour les Utilisateurs de l’offre Free et de l’essai sans compte, elle est exclue dans toute la mesure permise par la loi applicable.

Garanties et nature du Service

Le Service est fourni « en l’état » et « selon disponibilité ». TechWatchAlert ne garantit pas qu’il sera exempt d’erreurs, ininterrompu ou adapté à un usage particulier au-delà des fonctionnalités décrites.

Les informations fournies par le Service, y compris les réponses de Vigie et les contenus du Module NIS2, ont un caractère informatif et indicatif. Elles ne constituent ni des conseils juridiques, ni des recommandations de sécurité certifiées, ni des audits de conformité.

Modifications du Service et des CGU

25.1 Évolution du Service

TechWatchAlert peut modifier, améliorer ou interrompre tout ou partie des fonctionnalités du Service. Les changements significatifs sont annoncés dans l’application et, lorsqu’ils affectent substantiellement une offre payante, par e-mail avec un préavis raisonnable.

25.2 Modification des CGU

Toute modification substantielle des CGU est notifiée aux titulaires d’un Compte par e-mail au moins 15 jours avant son entrée en vigueur. La poursuite de l’utilisation du Service après cette date vaut acceptation. L’Utilisateur qui refuse les nouvelles CGU cesse d’utiliser le Service et peut résilier dans les conditions de l’article 21.3.

La version en vigueur est accessible en permanence à l’adresse techwatchalert.com/cgu, avec sa date de mise à jour et l’historique des versions.

Dispositions diverses

26.1 Intégralité de l’accord

Les CGU, lues avec les CGV et la politique de confidentialité, constituent l’intégralité de l’accord entre TechWatchAlert et l’Utilisateur relatif à l’utilisation du Service et remplacent tout accord antérieur.

26.2 Divisibilité

Si une stipulation est déclarée nulle ou inapplicable, les autres restent en vigueur ; elle est remplacée par une stipulation valide aussi proche que possible de l’intention initiale.

26.3 Non-renonciation

Le fait de ne pas se prévaloir d’une stipulation ne vaut pas renonciation à s’en prévaloir ultérieurement.

26.4 Cession

L’Utilisateur ne peut céder ses droits et obligations au titre des CGU sans l’accord écrit de TechWatchAlert. TechWatchAlert peut céder les CGU dans le cadre d’une fusion, d’une acquisition ou d’une cession de tout ou partie de son activité, en en informant l’Utilisateur.

26.5 Communications

Les communications officielles de TechWatchAlert sont adressées par e-mail à l’adresse du Compte ou par notification dans l’application. L’Utilisateur veille à la validité de son adresse e-mail.

Droit applicable et juridiction compétente

Les présentes CGU sont régies et interprétées conformément au droit français, à l’exclusion de tout autre droit et des règles de conflit de lois.

Pour les Utilisateurs professionnels : tout litige relatif à la formation, l’interprétation, l’exécution ou la résiliation des présentes CGU sera soumis, après tentative de résolution amiable dans un délai de 30 jours, à la compétence exclusive des tribunaux compétents du ressort du siège social de TechWatchAlert.

Pour les Utilisateurs Consommateurs : l’Utilisateur Consommateur peut saisir le tribunal du lieu de son domicile ou tout tribunal compétent selon les règles de droit commun. Les dispositions impératives du pays de résidence de l’Utilisateur Consommateur restent applicables dans toute la mesure prévue par la réglementation en vigueur.

Pour les litiges des Consommateurs, le recours à la médiation est prévu à l’article 20 des CGV.

Historique des versions

• 8 octobre 2026 : connecteur MCP (Claude et autres clients) (article 16.2 bis).
• 3 octobre 2026 : Discussions : un seul canal par Organisation, dont les membres suivent les droits réglés par l’Organisation, et messages privés entre deux membres (article 9) ; Vigie ne participe plus aux Discussions (articles 9 et 11).
• 3 octobre 2026 : suppression du Compte depuis l’application ; suppression d’un Compte ou d’une Organisation confirmée par e-mail et effective 30 jours plus tard, restaurable d’ici là (articles 21.3, 22.4 et 22.6).
• 2 octobre 2026 : refonte des CGU pour couvrir l’ensemble du Service. Ajout des articles consacrés aux organisations et aux rôles (6), aux Discussions chiffrées de bout en bout (9), au support (10), aux fonctions d’IA (11), aux données de sécurité tierces (13), au module NIS2 (14), à l’Espace partenaire (15), aux intégrations et à l’API (16) et à l’export des données (22) ; renumérotation des autres articles ; précisions sur la suppression du Compte.
• 13 avril 2026 : version précédente.

Coordonnées

Pour toute question relative aux présentes CGU, à votre Compte ou à l’utilisation du Service :