Conditions générales d'utilisation

Qui ces conditions engagent#

Les présentes conditions forment un contrat entre LIMITLESS KNOWLEDGE, société par actions simplifiée unipersonnelle (SASU) au capital de 500 €, dont le siège est situé 10 Place de Wicklow, 78180 Montigny-le-Bretonneux, France, immatriculée au RCS de Versailles sous le numéro 994 833 143 (SIRET 994 833 143 00013, TVA intracommunautaire FR46994833143), qui exploite la marque Narvy, et vous, que vous utilisiez Narvy à titre individuel ou pour le compte d'une organisation. Dans ce document, « nous » désigne LIMITLESS KNOWLEDGE, et « Narvy » désigne la plateforme que nous éditons sur narvy.io.

Si vous acceptez ces conditions au nom d'une société, vous confirmez avoir le pouvoir de l'engager, et « vous » désigne alors cette société.

Vous acceptez ces conditions en créant un compte ou en utilisant le service. Si vous ne les acceptez pas, n'utilisez pas Narvy. Notre politique de confidentialité et, lorsqu'il s'applique, notre accord de traitement des données font partie intégrante de ce contrat.

Ce que fait Narvy#

Narvy analyse des logiciels à la recherche de faiblesses de sécurité sur plusieurs surfaces et, pour une partie des résultats, propose le correctif sous forme de demande de fusion. Selon votre offre, le service comprend :

• L'analyse statique mobile des binaires Android (APK, AAB) et iOS (IPA), ainsi que du code source Android et iOS.
• L'analyse dynamique mobile, qui exécute l'application dans un environnement de test instrumenté que nous exploitons.
• Le scan d'applications web sur une URL que vous indiquez, y compris en mode authentifié si vous fournissez des identifiants.
• L'analyse de code source pour plusieurs langages, depuis un dépôt connecté ou une archive téléversée.
• L'analyse des dépendances face aux bases publiques de vulnérabilités.
• L'audit de posture cloud à partir d'identifiants en lecture seule que vous fournissez.
• L'audit de configuration d'hôte en SSH sur un serveur que vous désignez.
• La remédiation automatique, qui ouvre une demande de fusion sur votre dépôt pour les classes de résultats qu'elle couvre.
• Les rapports et exports en JSON, SARIF, HTML et PDF, et les intégrations avec les chaînes CI/CD et les outils de suivi.

La remédiation automatique ne couvre pas toutes les classes de résultats, et elle ne modifie jamais votre code en silence : elle ouvre une demande de fusion que vous relisez et fusionnez, ou que vous fermez. La correspondance de conformité intégrée au produit est une aide à la décision, pas une certification. Notre correspondance est article par article pour l'OWASP MASVS et pour les recommandations de la CNIL ; nos références au CRA, à DORA et à NIS2 sont une correspondance dérivée destinée à vous aider à vous préparer, et ni nous ni le rapport ne certifions la conformité à l'un d'eux.

Nous pouvons ajouter, modifier ou retirer des fonctionnalités. Si nous retirons une fonctionnalité que vous payez, la section 15 s'applique.

Votre compte#

Un compte est nécessaire pour tout ce qui dépasse les pages publiques. Vous vous engagez à vous inscrire avec des informations exactes, à les tenir à jour, et à garder pour vous votre mot de passe et vos jetons d'API. Activez la double authentification si votre compte dispose d'un accès à un dépôt ou à un cloud ; elle est disponible sur toutes les offres.

Vous êtes responsable de ce qui se passe sous votre compte, y compris des actions de vos coéquipiers et de tout ce que vous automatisez sur notre API. Prévenez-nous à founders@narvy.io dès que vous suspectez un accès non autorisé.

Un compte correspond à un client. Partager des identifiants pour que plusieurs organisations utilisent un seul abonnement constitue un manquement aux présentes conditions.

Offres, limites et usage raisonnable#

Les offres, les prix et les limites incluses sont publiés sur la page tarifs, qui fait partie des présentes conditions. Les offres diffèrent par le volume de scans, les types de scan disponibles, la durée de conservation et le nombre de membres d'équipe.

L'offre gratuite Community est limitée en débit et porte la conservation la plus courte : un scan Community et son rapport sont supprimés sept jours après l'exécution. Exportez ce dont vous avez besoin avant. Community sert à évaluer le produit et à couvrir des projets personnels. L'utiliser pour vendre des prestations de sécurité à des tiers ne relève pas de l'usage raisonnable, et nous pouvons exiger un passage à une offre payante.

Un scan consomme du calcul, des environnements de test et de la bande passante bien réels. Nous pouvons appliquer des limites techniques proportionnées, mettre en file d'attente les traitements longs, ou vous contacter avant un scan dont le coût serait sans rapport avec votre offre, plutôt que de le lancer et de vous le facturer par surprise.

Autorisation de tester#

Le scan dynamique n'est pas passif. Un scan web envoie de vraies requêtes vers la cible depuis notre infrastructure. Un audit d'hôte ouvre une vraie session SSH. L'analyse dynamique mobile installe et exécute votre application. Diriger l'un de ces traitements vers un système que vous ne contrôlez pas, sans autorisation, est susceptible de constituer une infraction au titre des articles 323-1 et suivants du code pénal français, et de la législation équivalente à l'étranger, notamment le Computer Misuse Act au Royaume-Uni et le Computer Fraud and Abuse Act aux États-Unis.

Nous pouvons demander une preuve d'autorisation avant d'exécuter un scan, et refuser ou interrompre tout scan sur lequel nous avons un doute raisonnable. Nous conservons la trace de qui a lancé quel scan contre quelle cible, et nous la produirons à toute autorité compétente qui l'exigera légalement.

Vous êtes seul responsable des conséquences d'un scan lancé contre une cible que vous n'étiez pas autorisé à tester, y compris de la perturbation de cette cible. La section 12 s'applique.

Usages interdits#

Vous vous engagez à ne pas :

• Utiliser Narvy pour préparer, faciliter ou mener une attaque contre un système.
• Téléverser un logiciel malveillant en vue de le diffuser, ni utiliser la plateforme comme canal d'hébergement ou de distribution. Analyser un échantillon suspect que vous détenez légitimement est un usage légitime et n'est pas visé ici.
• Tenter d'accéder aux données d'un autre client, ou à une partie de notre infrastructure qui ne vous est pas exposée comme une fonctionnalité. La recherche de sécurité de bonne foi est bienvenue via founders@narvy.io, et cette interdiction ne lui fait pas obstacle.
• Surcharger, dégrader ou contourner les limites techniques du service, y compris en créant plusieurs comptes pour échapper à un quota.
• Revendre, sous-licencier ou exposer le service à des tiers comme votre propre produit sans accord écrit de notre part.
• Faire de la rétro-ingénierie de la plateforme, ni extraire nos règles de détection, nos scores ou nos modèles en vue de construire ou d'améliorer un produit concurrent.
• Utiliser le service en violation d'une loi applicable ou d'une réglementation de contrôle des exportations.

Vos contenus et notre propriété intellectuelle#

7.1 Ce qui reste à vous

Vous conservez tous vos droits sur ce que vous soumettez : vos binaires, votre code source, votre configuration, ainsi que les résultats et rapports qui en sont issus. Rien ici ne nous en transfère la propriété.

Vous nous accordez une licence non exclusive et mondiale pour héberger, copier, décompresser, exécuter et analyser ce que vous soumettez, strictement pour fournir le service demandé et aussi longtemps que les règles de conservation de la politique de confidentialité le conservent. La licence prend fin à la suppression des données. Nous n'utilisons pas votre code pour entraîner un modèle généraliste, et il n'est traité qu'au sein de l'Union européenne. L'unique exception, étroite, porte sur les retours de faux positifs que vous soumettez explicitement : elle est décrite à la section 4.4 de la politique de confidentialité, et vous pouvez la refuser.

7.2 Ce qui reste à nous

La plateforme, son interface, ses règles de détection, ses scores, ses modèles et sa documentation appartiennent à LIMITLESS KNOWLEDGE et sont protégés par le droit de la propriété intellectuelle. « Narvy » et ses logos sont nos marques. Rien dans ces conditions ne vous donne le droit de les utiliser au-delà de l'usage normal du service.

7.3 Parler de vos résultats

Vous pouvez publier, partager et réutiliser vos propres rapports comme bon vous semble, y compris auprès de vos clients et de vos auditeurs. Les rapports produits sur l'offre gratuite Community portent un filigrane indiquant leur origine, que vous vous engagez à ne pas retirer. Nous ne vous citerons pas comme client et n'utiliserons pas votre logo sans votre accord écrit.

Facturation, taxes et remboursements#

8.1 Paiement

Les offres payantes sont facturées d'avance, au mois ou à l'année, via Stripe. Nous ne voyons ni ne stockons jamais votre numéro de carte. Les prix sont affichés hors taxes sauf mention contraire ; la TVA est appliquée au taux qui vous concerne. Si vous êtes une entreprise établie dans un autre État membre de l'Union européenne et disposez d'un numéro de TVA valide, l'autoliquidation s'applique.

Un échec de paiement ne supprime rien. Stripe relance, nous vous écrivons, et si l'abonnement prend fin impayé le compte revient à l'offre Community au lieu d'être fermé. La conservation Community (sept jours) s'applique alors à votre historique à l'issue du délai de trente jours décrit au point 8.2 : exportez vos rapports si vous anticipez un problème de paiement.

8.2 Changer d'offre ou résilier

Vous pouvez monter d'offre à tout moment, avec effet immédiat et au prorata ; la durée de conservation plus longue de la nouvelle offre s'applique aussitôt. Vous pouvez résilier à tout moment depuis votre page de facturation. Aucun frais de résiliation, aucun préavis. À la fin de l'abonnement, le compte revient à l'offre Community et continue de fonctionner.

Lorsqu'un changement d'offre réduit la durée de conservation (passage à une offre inférieure, ou résiliation, qui ramène le compte à l'offre Community et à sa conservation de sept jours), la durée de conservation de la nouvelle offre s'applique à tout votre historique, mais seulement trente jours après le changement. Pendant ces trente jours, la durée de conservation de votre offre précédente continue de s'appliquer. Au moment du changement, nous vous envoyons un e-mail indiquant la date exacte à partir de laquelle les données plus anciennes que la nouvelle durée seront supprimées, avec un lien pour les exporter, puis un rappel sept jours avant cette date. Si, pendant ces trente jours, vous revenez à une offre dont la durée de conservation est égale ou supérieure, la suppression prévue est annulée.

8.3 Remboursements

Nous remboursons intégralement un nouvel abonnement, sur demande, si vous nous écrivez dans les sept jours suivant la souscription et que vous n'avez pas consommé entre-temps les parties coûteuses de l'offre, à savoir l'analyse dynamique mobile et la remédiation automatique. Celles-ci mobilisent des environnements de test et du calcul que nous ne récupérons pas. Le remboursement n'est pas automatique : écrivez à contact@narvy.io et nous le traitons.

Au-delà de cette fenêtre, nous examinons au cas par cas, et nous préférons rembourser que discuter quand le service n'a pas fait ce que nous avions annoncé.

Par ailleurs, si vous souscrivez en qualité de consommateur et non à des fins professionnelles, l'article L221-18 du code de la consommation vous donne quatorze jours pour vous rétracter d'un contrat à distance, sans motif. Nous ne vous demandons pas de renoncer à ce droit : vous conservez donc les quatorze jours entiers, même après avoir commencé à utiliser le service. Si vous vous rétractez après l'avoir utilisé, nous pouvons retenir un montant proportionnel à ce que vous avez effectivement consommé, comme le permet l'article L221-25. Ce droit légal vous appartient quoi que disent les paragraphes ci-dessus.

Disponibilité et support#

Nous visons une disponibilité continue de Narvy et nous la surveillons depuis l'extérieur, mais nous ne nous engageons pas contractuellement sur un taux de disponibilité pour les offres en libre-service, et aucun mécanisme d'avoir n'y est attaché. Annoncer un chiffre que nous ne mesurons pas contre un contrat ne vous vaudrait rien. Un contrat Enterprise peut inclure un niveau de service négocié, par écrit.

L'analyse dynamique mobile dépend d'une capacité de test limitée : les scans sont donc mis en file d'attente et attendent parfois. Les maintenances programmées sont annoncées à l'avance dans le produit lorsqu'elles seront perceptibles.

Le support se fait par e-mail à support@narvy.io pour toutes les offres, en français ou en anglais. Les délais de réponse sont plus courts sur les offres payantes.

Ce qu'un scan ne garantit pas#

Un test de sécurité est un échantillonnage, pas une preuve. Narvy est fourni en l'état et selon disponibilité. Dans les limites permises par le droit français, nous excluons toute garantie implicite et, en particulier, nous ne garantissons pas que :

• un scan détecte toutes les vulnérabilités de votre application, ni toutes les occurrences d'une classe qu'il détecte ;
• chaque résultat signalé soit une vraie vulnérabilité, l'analyse statique comme l'analyse dynamique produisant des faux positifs ;
• un correctif généré automatiquement soit exact, complet, ou fusionnable sans relecture ;
• un rapport satisfasse un régulateur, un auditeur, un organisme de certification ou un questionnaire client ;
• le service soit ininterrompu ou exempt d'erreurs.

Un rapport vide signifie que nos règles n'ont rien trouvé, et rien de plus. Ce n'est pas la preuve que votre application est sûre, et vous ne devriez pas le présenter comme telle. Les systèmes critiques méritent une revue manuelle indépendante en complément des tests automatisés.

Cette section n'écarte pas les garanties que le droit français rend obligatoires, dont la garantie légale de conformité au bénéfice des consommateurs.

Responsabilité#

Dans toute la mesure permise par la loi, notre responsabilité totale au titre du service ou en lien avec lui est plafonnée au montant que vous nous avez effectivement versé au cours des douze mois précédant le fait générateur. Lorsque vous ne payez rien, sur l'offre Community, le plafond est de cinquante euros.

Nous ne répondons pas des dommages indirects ou consécutifs, de la perte de bénéfice, de la perte d'exploitation, de la perte de données ou de l'atteinte à la réputation, ni du préjudice résultant d'une vulnérabilité que nous n'aurions pas détectée, d'un résultat que vous auriez choisi de ne pas traiter, ou d'un correctif automatique que vous auriez fusionné sans relecture.

Ces limites ne s'appliquent pas, et ne le peuvent pas en droit français, au décès ou aux dommages corporels causés par notre négligence, au dol, à la faute lourde, ni à toute responsabilité qui ne peut légalement être limitée. Rien ici ne réduit les droits que la loi reconnaît aux consommateurs.

Garantie#

Vous nous garantissez contre les réclamations, dommages et frais raisonnables, y compris les frais de justice, découlant :

• d'un scan que vous avez lancé contre une cible que vous n'étiez pas autorisé à tester ;
• de votre manquement aux présentes conditions ou à toute loi applicable ;
• d'un contenu que vous avez soumis et qui porte atteinte aux droits d'un tiers ;
• de la réclamation d'un tiers liée à votre utilisation du service.

Nous vous informerons sans délai de toute réclamation de ce type, ne la transigerons pas sans votre accord, et vous laisserons en prendre la défense si vous le souhaitez.

Protection des données#

Le traitement des données personnelles est décrit dans la politique de confidentialité, qui fait partie du présent contrat. L'essentiel : tout est hébergé dans l'Union européenne, la conservation dépend de l'offre (sept jours sur Community), et la suppression de compte s'exécute automatiquement au plus tard trois jours après votre demande.

Lorsque ce que vous soumettez contient des données personnelles de vos propres utilisateurs, vous en êtes le responsable de traitement et nous en sommes le sous-traitant. L'accord de traitement des données encadre cette relation comme l'exige l'article 28 du RGPD, et il prévaut sur la présente section pour ce point.

Vous êtes responsable de ce que vous téléversez. Si vous pouvez lancer un scan sur un jeu de données expurgé ou sur une compilation sans données de production, faites-le.

Durée, suspension et résiliation#

Le contrat court du jour de la création de votre compte jusqu'à ce que vous ou nous y mettions fin.

Vous pouvez partir à tout moment : résiliez l'abonnement depuis votre page de facturation, ou supprimez le compte depuis vos paramètres, ce qui efface vos données selon la politique de confidentialité.

Nous pouvons suspendre ou fermer votre compte en cas de manquement grave aux présentes conditions, en particulier aux sections 5 et 6, si votre usage menace la plateforme ou un autre client, ou si la loi nous y contraint. Sauf lorsque la gravité impose d'agir immédiatement, ou lorsque la loi nous y oblige, nous vous alerterons d'abord et vous laisserons un délai raisonnable pour régulariser. Si nous fermons un compte payant pour un motif qui ne tient pas à votre manquement, nous remboursons la part non utilisée de la période.

Après résiliation, vous pouvez demander un export de vos données pendant trente jours. Passé ce délai, les règles de suppression de la politique de confidentialité s'appliquent. Les sections 7, 10, 11, 12 et 16 survivent à la résiliation.

Modification des conditions#

Ces conditions évolueront avec le produit et avec la loi. Pour un changement important, nous écrivons à chaque titulaire de compte au moins trente jours avant son entrée en vigueur. Si vous ne l'acceptez pas, vous pouvez résilier avant cette date et nous remboursons la part non utilisée de toute période déjà payée. Continuer à utiliser le service après cette date vaut acceptation de la nouvelle version.

Les corrections mineures, un lien cassé, une phrase clarifiée, se font sans préavis et ne modifient jamais vos droits ni vos obligations. La date en haut de cette page indique toujours la version que vous lisez et celle qu'elle remplace.

Droit applicable et litiges#

Les présentes conditions sont régies par le droit français, sans égard aux règles de conflit de lois.

Écrivez d'abord à contact@narvy.io : presque tout se règle ainsi. À défaut, les litiges relèvent des tribunaux compétents du ressort de notre siège social, étant précisé que les consommateurs conservent tous les droits que la loi leur donne d'agir ailleurs, notamment devant la juridiction de leur lieu de résidence.

Les consommateurs peuvent également recourir gratuitement au dispositif de médiation de la consommation prévu à l'article L612-1 du code de la consommation, ainsi qu'à la plateforme européenne de règlement en ligne des litiges. Demandez-nous et nous vous indiquerons le médiateur compétent.

Dispositions générales#

• Intégralité. Les présentes conditions, la politique de confidentialité, l'accord de traitement des données lorsqu'il s'applique et la page tarifs constituent l'intégralité de l'accord entre nous et remplacent tout échange antérieur.
• Divisibilité. Si une clause est jugée invalide, le reste demeure en vigueur et la clause invalide est ramenée à ce que la loi permet.
• Absence de renonciation. Ne pas faire jouer une clause une fois n'y fait pas renoncer.
• Cession. Vous ne pouvez pas céder ce contrat sans notre accord écrit. Nous pouvons le céder dans le cadre d'une fusion ou d'une cession de l'activité, et vous en informerons.
• Force majeure. Aucune des parties n'est responsable d'un manquement causé par un événement échappant à son contrôle raisonnable, tel que la jurisprudence française le définit.
• Langue. Ces conditions existent en français et en anglais. En cas de divergence, la version française prévaut, la société étant française et le droit français applicable.