1. Définitions

1.1 « ARES » désigne la société opérant la Plateforme, constituée en France.

1.2 « Plateforme » désigne le logiciel SaaS de conformité de sécurité mobile ARES, incluant l'agent mobile, le moteur de traitement backend, le tableau de bord et le système de génération de rapports.

1.3 « Client » désigne l'entité juridique qui crée un compte et utilise la Plateforme dans le cadre des présentes Conditions.

1.4 « Appareil » désigne tout appareil Android ou iOS sur lequel l'agent ARES est installé.

1.5 « Données Client » désigne l'ensemble des données de signaux d'appareils, des jetons pseudonymes d'appareils et des rapports générés à partir du compte du Client ou associés à celui-ci.

1.6 « Évaluation Gratuite des Écarts » désigne le niveau sans frais offrant un accès au tableau de bord flotte avec le total des appareils inscrits et les scores de conformité par référentiel sur tous les référentiels Tier 1, tel que décrit à la Section 3.

1.7 « Abonnement » désigne une licence annuelle payante pour accéder à la Plateforme au niveau Tier 1 ou Tier 2, tel que décrit à la Section 4.

2. Acceptation

En créant un compte ou en utilisant la Plateforme, le Client accepte d'être lié par les présentes Conditions. Les présentes Conditions constituent un accord contraignant entre le Client et ARES. Si le Client n'accepte pas les présentes Conditions, il ne doit pas utiliser la Plateforme.

3. Évaluation Gratuite des Écarts

3.1 Périmètre. L'Évaluation Gratuite des Écarts fournit : tableau de bord flotte (total des appareils inscrits, scores de conformité sur tous les référentiels Tier 1). L'Évaluation Gratuite des Écarts ne comprend pas le détail par appareil, la synthèse des risques pour le dirigeant, la génération de PDF prêts pour l'audit, ni l'export signé des preuves en JSON et CSV. Le détail par appareil, le rapport dirigeant, les PDF d'audit et l'export signé des preuves en JSON et CSV sont débloqués au Tier 1.

3.2 Sans limite de temps. L'Évaluation Gratuite des Écarts n'expire pas automatiquement. L'accès se poursuit jusqu'à ce que le Client convertisse vers un Abonnement ou demande la suppression de son compte.

3.3 Conversion. Le Client peut convertir vers un Abonnement Tier 1 ou Tier 2 à tout moment. La conversion débloque le détail complet de la flotte, des rapports PDF d'audit illimités, l'export signé des preuves en JSON et CSV pour les référentiels inclus dans le Tier choisi et la synthèse des risques pour le dirigeant. L'historique de surveillance accumulé pendant l'Évaluation Gratuite des Écarts est préservé et compte pour l'exigence d'historique NIST 800-124 Tier 2.

3.4 Limitations. ARES se réserve le droit de limiter les comptes d'Évaluation Gratuite des Écarts si les schémas d'utilisation indiquent une utilisation automatisée ou abusive.

4. Abonnements

4.1 Tier 1 — Audit. 6 800 € par an, jusqu'à 100 appareils. Comprend la surveillance continue de la flotte, les rapports NIS2, ANSSI, ISO 27001, BSI, CyFun, FNCDP et NCSC CAF, les PDF d'audit illimités, l'export signé des preuves en JSON et CSV pour tous les référentiels UE et UK du Tier 1, la synthèse des risques pour le dirigeant et le conteneur de clés sécurisé OVH.

4.2 Tier 2 — Audit + NIST. 12 000 € par an, jusqu'à 100 appareils. Comprend tout ce qui est inclus dans le Tier 1, plus l'analyse complète des écarts NIST 800-124, le support des preuves CMMC Level 2 pour les appareils mobiles, l'extension de l'export signé des preuves en JSON et CSV à NIST 800-124 et aux preuves CMMC Level 2 et un Customer Success Manager dédié. Nécessite un minimum de 3 mois d'historique de surveillance continue Tier 1 avant que le premier rapport NIST 800-124 puisse être généré.

4.3 Facturation. Les Abonnements sont facturés annuellement à l'avance. Tous les prix s'entendent hors taxes applicables.

4.4 Renouvellement. Les Abonnements se renouvellent automatiquement à la fin de chaque période annuelle, sauf si le Client fournit un préavis écrit de non-renouvellement au moins 30 jours avant la date de renouvellement.

4.5 Limite d'appareils. Les Clients avec plus de 100 appareils doivent contacter ARES pour un devis personnalisé avant d'activer un Abonnement.

5. Utilisation Acceptable

Le Client ne peut utiliser la Plateforme qu'aux fins de surveillance et d'évaluation de la posture de sécurité des appareils placés sous son contrôle opérationnel. Le Client ne doit pas utiliser la Plateforme pour surveiller des appareils à l'insu de l'organisation employeuse, revendre l'accès à la Plateforme, procéder à l'ingénierie inverse de la Plateforme ou de ses mappings réglementaires, ni utiliser la Plateforme de toute manière contraire au droit applicable.

6. Disponibilité de la Plateforme

ARES vise une disponibilité mensuelle de 99,5 % pour la Plateforme, hors fenêtres de maintenance programmées. La maintenance programmée sera notifiée aux Clients au moins 48 heures à l'avance. ARES ne garantit pas un accès ininterrompu et n'est pas responsable des interruptions indépendantes de sa volonté raisonnable.

7. Avertissement sur les Mappings de Référentiels

Les mappings de référentiels sont construits à partir de sources officielles primaires et revus par des experts en conformité qualifiés. Ils représentent l'interprétation par ARES de la façon dont les signaux de configuration des appareils se rapportent à des exigences réglementaires spécifiques. Ils ne constituent pas un conseil juridique. L'utilisation de la Plateforme ne garantit pas la conformité réglementaire ni l'acceptation des rapports par une autorité réglementaire spécifique. Le Client demeure seul responsable de ses propres obligations de conformité réglementaire.

La certification ANSSI de la plateforme ARES n'est pas disponible au lancement. La revendication d'ARES d'une architecture souveraine UE sur OVH est valide et indépendante de tout statut de certification.

8. Protection des Données

8.1 Zéro donnée personnelle par architecture. ARES ne collecte que des signaux techniques de configuration des appareils. Aucun identifiant d'appareil (IMEI, numéro de série), aucune liste d'applications, aucune donnée de localisation et aucun signal comportemental ne sont collectés. L'identité de l'appareil est représentée par un jeton RSA opaque généré et contrôlé par le Client. ARES n'est pas responsable de traitement pour les signaux d'appareils au sens de l'Art. 4 du RGPD.

8.2 Contrôle de la clé par le Client. Chaque compte Client est provisionné avec un conteneur de clés sécurisé OVH dédié. La clé RSA du Client est stockée dans ce conteneur. ARES n'a aucun accès au matériel cryptographique du Client.

8.3 Infrastructure. Toutes les Données Client sont stockées exclusivement sur l'infrastructure OVH située en France. Aucune Donnée Client n'est transférée en dehors de l'Espace Économique Européen.

8.4 Sous-traitants ultérieurs. OVH SAS (France) est le seul sous-traitant ultérieur engagé par ARES dans le cadre de la Plateforme.

8.5 Accord de Traitement des Données. Un Accord de Traitement des Données (DPA) complet régissant les obligations respectives des parties en vertu du RGPD sera fourni au Client avant ou au moment de l'activation du compte. Le DPA fait partie intégrante des présentes Conditions. En cas de conflit entre le DPA et les présentes Conditions sur des questions de protection des données, le DPA prévaut.

8.6 Sécurité. ARES met en œuvre le chiffrement AES-GCM et RSA-OAEP pour toutes les Données Client en transit et au repos. L'accès aux Données Client est restreint au Client via des sessions authentifiées. Le personnel d'ARES n'a pas accès aux contenus des Données Client.

9. Conservation et Suppression des Données

9.1 Pendant le contrat. Les Données Client sont conservées et entièrement accessibles pendant la durée de l'Abonnement actif ou de l'Évaluation Gratuite des Écarts.

9.2 Délai de grâce. Suite à l'expiration, la résiliation ou le non-renouvellement d'un Abonnement, ou lorsqu'un compte d'Évaluation Gratuite des Écarts est fermé sans conversion, ARES conserve les Données Client pendant un délai de grâce de 12 mois. Pendant le délai de grâce, le Client conserve un accès en lecture seule à la Plateforme aux fins d'export des données et de récupération des rapports. L'ingestion des signaux d'appareils est suspendue pendant le délai de grâce.

9.3 Suppression automatique. À la fin du délai de grâce de 12 mois, toutes les Données Client sont définitivement et irréversiblement supprimées, y compris tous les contenus de signaux d'appareils, les jetons pseudonymes d'appareils, les rapports PDF stockés et le conteneur de clés sécurisé OVH dédié du Client. ARES notifiera le Client au début du délai de grâce et à nouveau au mois 11. Un certificat de confirmation de suppression est émis automatiquement à l'achèvement.

9.4 Droit à l'effacement. Le Client peut demander la suppression immédiate de toutes les Données Client à tout moment via le tableau de bord en libre-service. ARES achèvera la suppression dans les 72 heures suivant la demande et émettra un certificat de confirmation de suppression. Le Client reconnaît que l'exercice du droit à l'effacement avant la génération de rapports détruira définitivement l'historique de surveillance requis pour le rapport NIST 800-124 Tier 2, et que cette conséquence est irréversible.

9.5 Données conservées par ARES. Nonobstant ce qui précède, ARES conserve les enregistrements de facturation, les factures et les métadonnées contractuelles pendant 10 ans conformément à l'Article L123-22 du Code de Commerce français. Les statistiques agrégées anonymisées ne pouvant être liées à aucun Client ou Appareil peuvent être conservées indéfiniment à des fins d'amélioration du produit.

10. Propriété Intellectuelle

La Plateforme, incluant l'ensemble des logiciels, algorithmes, mappings réglementaires, logique de conformité et rapports générés par ARES, reste la propriété intellectuelle exclusive d'ARES. Les présentes Conditions ne transfèrent aucun droit de propriété intellectuelle au Client.

Le Client conserve tous les droits sur ses propres Données Client. En utilisant la Plateforme, le Client accorde à ARES une licence limitée pour traiter les Données Client uniquement dans la mesure nécessaire à la fourniture des services de la Plateforme.

11. Confidentialité

Chaque partie s'engage à garder confidentielles toutes les informations non publiques reçues de l'autre partie dans le cadre des présentes Conditions qui sont désignées comme confidentielles ou qui, de par leur nature, devraient raisonnablement être considérées comme confidentielles. Cette obligation ne s'applique pas aux informations publiquement disponibles, déjà connues de la partie réceptrice, ou dont la divulgation est exigée par la loi ou la réglementation.

ARES ne divulguera les Données Client à aucun tiers, à l'exception d'OVH en tant que sous-traitant ultérieur, ou lorsqu'une décision contraignante d'un tribunal français ou européen ou d'une autorité compétente l'exige. ARES notifiera le Client de toute telle décision dans la mesure permise par la loi.

12. Limitation de Responsabilité

12.1 Exclusions. Aucune des parties n'est responsable des dommages indirects, accessoires, consécutifs ou punitifs, y compris la perte de profit, la perte de données ou l'interruption d'activité, résultant de ou liés aux présentes Conditions, même si elle a été informée de la possibilité de tels dommages.

12.2 Plafond. La responsabilité totale cumulée d'ARES envers le Client pour toutes réclamations découlant de ou en rapport avec les présentes Conditions est limitée au montant total des frais payés par le Client à ARES au cours des 12 mois précédant l'événement à l'origine de la réclamation. Pour l'Évaluation Gratuite des Écarts, lorsqu'aucun frais n'a été payé, la responsabilité totale d'ARES est limitée à 500 €.

12.3 Exceptions. Rien dans les présentes Conditions ne limite la responsabilité de l'une ou l'autre des parties en cas de fraude, de négligence grave, de faute intentionnelle, de décès ou de dommage corporel causé par négligence, ou de toute autre responsabilité ne pouvant être limitée en vertu du droit français applicable.

13. Garanties et Limitations

ARES garantit que la Plateforme fonctionnera de manière substantiellement conforme à sa documentation dans des conditions normales d'utilisation. ARES ne garantit pas que la Plateforme constitue un conseil juridique, que l'utilisation de la Plateforme garantit la conformité réglementaire, ou que les rapports d'audit générés par la Plateforme seront acceptés par une autorité réglementaire spécifique. Le Client demeure seul responsable de ses propres obligations de conformité réglementaire.

14. Durée et Résiliation

14.1 Durée. Les présentes Conditions prennent effet à la date de création du compte par le Client et restent en vigueur jusqu'à la fin de la période d'Abonnement applicable ou, pour les utilisateurs de l'Évaluation Gratuite des Écarts qui ne convertissent pas, jusqu'à la fermeture du compte et la fin du délai de grâce décrit à la Section 9.

14.2 Résiliation pour motif. Chaque partie peut résilier les présentes Conditions immédiatement par notification écrite si l'autre partie manque de manière substantielle aux présentes Conditions et ne remédie pas à ce manquement dans les 30 jours suivant la notification écrite.

14.3 Résiliation de convenance. Le Client peut résilier un Abonnement à tout moment. Aucun remboursement n'est accordé pour la portion non utilisée d'un Abonnement annuel prépayé, sauf si la résiliation est due à un manquement substantiel d'ARES.

14.4 Effets de la résiliation. À la résiliation, l'accès du Client à la Plateforme est suspendu et les dispositions de conservation des données de la Section 9 s'appliquent.

15. Modifications

ARES peut modifier les présentes Conditions à tout moment. Les Clients seront notifiés par e-mail au moins 30 jours avant l'entrée en vigueur de toute modification substantielle. L'utilisation continue de la Plateforme après la date d'effet d'une modification vaut acceptation. Si le Client n'accepte pas une modification, il peut résilier son Abonnement avant la date d'effet sans pénalité.

16. Droit Applicable et Résolution des Litiges

Les présentes Conditions sont régies par le droit français. En cas de litige découlant de ou en rapport avec les présentes Conditions, les parties tenteront de résoudre le différend à l'amiable dans les 30 jours suivant la notification écrite. Si aucune résolution n'est atteinte, le litige sera soumis à la compétence exclusive des tribunaux compétents de Paris, France.

17. Dispositions Diverses

Intégralité de l'accord. Les présentes Conditions, conjointement avec le DPA et tout bon de commande applicable, constituent l'intégralité de l'accord entre les parties concernant la Plateforme et remplacent tous les accords antérieurs.

Divisibilité. Si une disposition des présentes Conditions est jugée inapplicable, les dispositions restantes conservent leur plein effet.

Absence de renonciation. Le fait pour l'une des parties de ne pas faire valoir une disposition des présentes Conditions ne constitue pas une renonciation au droit de la faire valoir à l'avenir.

Cession. Le Client ne peut céder ses droits ou obligations en vertu des présentes Conditions sans le consentement écrit préalable d'ARES. ARES peut céder les présentes Conditions dans le cadre d'une fusion, d'une acquisition ou d'une vente de la quasi-totalité de ses actifs.

Langue. Les présentes Conditions sont rédigées en anglais. En cas de conflit entre la version anglaise et toute traduction, la version anglaise prévaut.

1. Qui Sommes-Nous

ARES Attest est édité par ARES SIGNUM SAS, société de droit français, dont le siège social est situé à Frouzins, France.

Pour toute question relative à la confidentialité, contactez-nous à : contact@ares-signum.eu

2. Ce Que Fait ARES Attest

ARES Attest est un agent de conformité de sécurité des appareils. Il est déployé par les organisations pour surveiller en continu la configuration de sécurité des appareils mobiles de leur flotte et produire des preuves de conformité prêtes pour l'audit.

ARES Attest n'est pas une solution de gestion des appareils mobiles (MDM). Il ne gère pas, ne contrôle pas, ne verrouille pas, n'efface pas et ne restreint en aucune manière l'appareil. Il rapporte la configuration de sécurité de l'appareil — rien de plus.

3. Les Données Que Nous Collectons

ARES Attest collecte uniquement des données de configuration de sécurité des appareils : des relevés techniques anonymes et non personnels décrivant la posture de sécurité de l'appareil. Ces relevés couvrent des catégories telles que la version du système d'exploitation et l'état des correctifs, l'état de chiffrement de l'appareil, la configuration du verrouillage d'écran, l'état des interfaces réseau et d'autres paramètres système pertinents pour la sécurité.

Chaque relevé est une observation factuelle d'état (par exemple, si une fonction de sécurité est activée ou désactivée). Aucun relevé n'identifie une personne et aucun relevé ne révèle le contenu d'une quelconque activité de l'utilisateur.

ARES Attest collecte également sa propre version applicative à des fins de gestion de flotte.

L'identité de l'appareil est établie au moyen d'une clé cryptographique attestée par le matériel, générée sur l'appareil lors de l'inscription. Cette clé est liée au matériel de l'appareil et ne peut être extraite, copiée, ni utilisée pour identifier le propriétaire de l'appareil.

4. Ce Que Nous Ne Collectons Pas

ARES Attest ne collecte aucune donnée personnelle. En particulier, l'application n'accède jamais, ne lit jamais et ne transmet jamais :

• Les identifiants d'appareil tels que l'IMEI, le numéro de série, l'adresse MAC ou l'identifiant publicitaire
• Les données de localisation, précises ou approximatives
• Les contacts, journaux d'appels ou messages
• Les photos, vidéos ou fichiers audio
• Les fichiers, documents ou historiques de navigation
• Les listes d'applications installées
• Les noms d'utilisateur, adresses e-mail ou informations de compte
• Les données biométriques
• Les saisies clavier ou le contenu du presse-papiers

Aucune base légale au titre de l'article 6 du RGPD n'est requise pour le traitement de données personnelles, car aucune donnée personnelle n'est traitée. Aucune analyse d'impact relative à la protection des données (AIPD) n'est requise. Aucun accord de sous-traitance (DPA) n'est requis entre l'organisation qui déploie la solution et ARES SIGNUM.

5. Base Légale

Les données de configuration de sécurité des appareils collectées par ARES Attest sont des données techniques anonymes qui ne constituent pas des données à caractère personnel au sens du Règlement Général sur la Protection des Données (RGPD). Elles ne peuvent, seules ou combinées à d'autres données détenues par ARES SIGNUM, identifier une personne physique.

Lorsque l'organisation qui déploie la solution considère que les données relèvent du champ d'application du RGPD en raison de son contexte d'utilisation spécifique, la base légale applicable est l'intérêt légitime du responsable du traitement (l'organisation qui déploie la solution) à maintenir la sécurité de sa flotte d'appareils, conformément à l'article 6(1)(f) du RGPD, ou l'exécution d'un contrat entre l'organisation et l'utilisateur de l'appareil, conformément à l'article 6(1)(b) du RGPD.

6. Utilisation des Données

Les données collectées par ARES Attest sont utilisées exclusivement pour :

• La surveillance continue de la conformité de sécurité des appareils au regard des référentiels réglementaires applicables
• La génération de preuves de conformité prêtes pour l'audit destinées à l'organisation qui déploie la solution
• Le reporting de conformité à l'échelle de la flotte et la visibilité des risques pour la direction informatique et la direction générale de l'organisation

Les données ne sont jamais utilisées à des fins publicitaires, de profilage, d'analyse comportementale ou à toute fin sans rapport avec la conformité de sécurité des appareils.

7. Stockage et Sécurité des Données

Toutes les données sont traitées et stockées sur une infrastructure souveraine européenne opérée par OVH, société française soumise exclusivement au droit de l'Union européenne. Il n'existe aucune dépendance à un hyperscaler d'origine américaine ni aucune exposition à une législation extraterritoriale d'accès aux données.

Les données sont chiffrées en transit entre l'appareil et le backend. L'identité de l'appareil est attestée par le matériel et liée cryptographiquement à l'appareil.

8. Partage avec des Tiers

Les données de configuration de sécurité des appareils sont partagées uniquement avec les administrateurs de l'organisation qui a inscrit l'appareil. Elles ne sont ni vendues, ni louées, ni divulguées à un tiers, à quelque fin que ce soit.

ARES SIGNUM n'utilise aucun service tiers d'analyse, de publicité ou de suivi au sein de l'application.

9. Conservation des Données

Les données sont conservées pendant toute la durée de l'inscription de l'appareil auprès de l'organisation qui déploie la solution, conformément aux conditions contractuelles entre ARES SIGNUM et l'organisation. Lors de la désinscription ou de la résiliation du contrat, les données sont supprimées conformément aux calendriers de conservation applicables.

10. Vos Droits

Si vous estimez que des données traitées par ARES Attest constituent des données à caractère personnel dans votre contexte spécifique, vous pouvez exercer les droits suivants au titre du RGPD :

• Droit d'accès (article 15)
• Droit de rectification (article 16)
• Droit à l'effacement (article 17)
• Droit à la limitation du traitement (article 18)
• Droit à la portabilité des données (article 20)
• Droit d'opposition (article 21)

Pour exercer l'un de ces droits, contactez l'administrateur informatique de votre organisation ou directement ARES SIGNUM à contact@ares-signum.eu.

Vous disposez également du droit d'introduire une réclamation auprès de la Commission nationale de l'informatique et des libertés (CNIL) ou auprès de l'autorité de contrôle de votre État membre de résidence.

11. Mineurs

ARES Attest est une application professionnelle destinée à être utilisée par des organisations. Elle ne s'adresse pas aux personnes de moins de 18 ans.

12. Modifications de la Présente Politique

Nous pouvons mettre à jour la présente politique de confidentialité afin de refléter des changements dans nos pratiques ou dans le droit applicable. La politique mise à jour sera publiée à cette adresse avec une date d'entrée en vigueur révisée. Nous vous encourageons à consulter cette page périodiquement.

13. Contact

ARES SIGNUM SAS
Frouzins, France
contact@ares-signum.eu