Conditions Générales de Vente

1. Objet et champ d'application

Les présentes Conditions Générales de Vente (ci-après « CGV ») définissent les modalités et conditions dans lesquelles Idrissa Thioune, exerçant sous le nom commercial AI Security Consulting, fournit ses prestations de consulting en cybersécurité IA.

Toute commande de prestation implique l'acceptation sans réserve des présentes CGV par le client. Ces conditions prévalent sur tout autre document du client, sauf accord écrit contraire.

2. Services proposés

Le prestataire propose les services suivants dans le domaine de la cybersécurité appliquée à l'intelligence artificielle :

• Audit de sécurité IA : évaluation complète de la sécurité des systèmes d'intelligence artificielle (LLM, chatbots, agents autonomes, pipelines ML)
• Red Team IA : tests d'intrusion offensifs spécifiques aux systèmes IA (prompt injection, jailbreak, exfiltration de données, contournement de garde-fous)
• Formation : sensibilisation et formation des équipes techniques et dirigeantes aux risques de sécurité liés à l'IA
• Remédiation : accompagnement dans la mise en place de mesures correctives et de défenses (system prompts, filtrage, monitoring, architecture sécurisée)

Le périmètre exact de chaque prestation est défini dans le devis accepté par le client.

3. Devis et commande

Toute prestation fait l'objet d'un devis préalable gratuit et personnalisé, établi après échange avec le client pour définir le périmètre, les objectifs et les délais de la mission.

Le devis est valable 30 jours à compter de sa date d'émission. Passé ce délai, le prestataire se réserve le droit de le réviser.

La commande est considérée comme ferme et définitive à réception du devis signé par le client accompagné du versement de l'acompte prévu à l'article 5.

4. Tarifs

Les tarifs sont établis sur devis, en fonction de la nature, de la complexité et de la durée de la prestation demandée.

Les prix sont exprimés en euros (EUR) et indiqués hors taxes (HT).

TVA non applicable, article 293 B du Code général des impôts.

Le prestataire se réserve le droit de modifier ses tarifs à tout moment. Les tarifs applicables sont ceux en vigueur au jour de la validation du devis par le client.

5. Conditions de paiement

Le paiement s'effectue selon les modalités suivantes :

• Acompte de 30 % du montant total, exigible à la signature du devis et au démarrage de la mission
• Solde de 70 % à la livraison du rapport final ou à l'achèvement de la prestation

Mode de paiement : virement bancaire. Les coordonnées bancaires sont communiquées sur la facture.

Délai de paiement : 30 jours à compter de la date de facturation, sauf accord particulier.

En cas de retard de paiement, des pénalités de retard seront appliquées au taux de trois fois le taux d'intérêt légal en vigueur, conformément à l'article L.441-10 du Code de commerce. Une indemnité forfaitaire de 40 euros pour frais de recouvrement sera également due.

6. Délais d'exécution

Les délais d'exécution sont définis d'un commun accord entre le prestataire et le client et précisés dans le devis.

Le prestataire s'engage à mettre en œuvre tous les moyens nécessaires pour respecter les délais convenus. Toutefois, ces délais sont donnés à titre indicatif et leur dépassement ne pourra donner lieu à des dommages et intérêts, pénalités ou à la résiliation de la commande, sauf accord écrit contraire.

En cas de retard imputable au client (accès non fournis, informations manquantes, indisponibilité du contact technique), les délais sont automatiquement prorogés d'une durée équivalente.

7. Obligations du prestataire

Le prestataire s'engage à :

• Exécuter la mission avec diligence et professionnalisme, conformément aux règles de l'art en matière de cybersécurité
• Respecter une obligation de moyens dans l'exécution de ses prestations
• Fournir un rapport détaillé à l'issue de chaque mission (vulnérabilités identifiées, niveau de criticité, recommandations de remédiation)
• Maintenir une confidentialité absolue sur l'ensemble des informations, données et systèmes auxquels il aura accès dans le cadre de la mission
• Ne réaliser des tests que dans le périmètre défini et autorisé par le client
• Informer immédiatement le client en cas de découverte d'une vulnérabilité critique nécessitant une action urgente

8. Obligations du client

Le client s'engage à :

• Fournir au prestataire l'ensemble des accès nécessaires aux systèmes, applications et environnements concernés par la mission
• Désigner un contact technique référent disponible pendant la durée de la mission
• Fournir une autorisation écrite explicite avant tout test d'intrusion ou red teaming, précisant le périmètre autorisé (lettre de mission / autorisation de test)
• Informer le prestataire de toute contrainte technique, légale ou opérationnelle susceptible d'impacter la mission
• S'assurer que les tests autorisés ne contreviennent pas aux lois en vigueur ni aux contrats avec des tiers (hébergeurs, fournisseurs cloud, etc.)
• Régler les factures dans les délais prévus

Le prestataire ne pourra être tenu responsable de tout retard ou impossibilité d'exécution résultant du manquement du client à ses obligations.

9. Confidentialité

Le prestataire s'engage à traiter comme strictement confidentielles toutes les informations et données auxquelles il aura accès dans le cadre de l'exécution de la mission, qu'elles soient de nature technique, commerciale ou stratégique.

Cette obligation de confidentialité constitue un engagement de non-divulgation (NDA) implicite couvrant notamment :

• Les vulnérabilités et failles de sécurité découvertes
• Les données et informations accessibles pendant les tests
• L'architecture et la configuration des systèmes du client
• Les rapports d'audit et leurs contenus

Cette obligation de confidentialité survit à la fin de la mission pour une durée de 5 ans, sauf accord différent entre les parties.

Le prestataire ne mentionnera le nom du client comme référence commerciale qu'avec l'accord préalable écrit de celui-ci.

10. Propriété intellectuelle

Les rapports d'audit, documents de remédiation et livrables produits dans le cadre de la mission deviennent la propriété exclusive du client après paiement intégral de la prestation.

Le prestataire conserve la propriété intellectuelle de ses méthodologies, outils, frameworks et savoir-faire développés indépendamment de la mission.

Le client s'interdit de diffuser, publier ou communiquer à des tiers les rapports et livrables sans l'accord préalable du prestataire, sauf obligation légale ou réglementaire.

11. Responsabilité et limitation

Le prestataire est soumis à une obligation de moyens. Il ne peut garantir l'identification exhaustive de toutes les vulnérabilités, ni l'impossibilité de toute intrusion future.

La responsabilité du prestataire est limitée aux dommages directs et prévisibles. En tout état de cause, la responsabilité financière totale du prestataire ne pourra excéder le montant total de la prestation concernée.

Le prestataire ne saurait être tenu responsable :

• Des dommages indirects (perte de chiffre d'affaires, perte de données, préjudice d'image)
• Des conséquences d'une mauvaise mise en œuvre des recommandations par le client
• Des incidents de sécurité survenant en dehors du périmètre audité
• Des dysfonctionnements causés par l'exécution des tests dans le périmètre autorisé par le client

12. Résiliation

Chaque partie peut résilier le contrat en cas de manquement grave de l'autre partie à ses obligations, après mise en demeure restée infructueuse pendant 15 jours.

Résiliation par le client : en cas de résiliation anticipée par le client sans faute du prestataire, l'acompte versé reste acquis au prestataire. Si des travaux supplémentaires ont été réalisés au-delà de l'acompte, ils seront facturés au prorata du travail effectué.

Résiliation par le prestataire : en cas de résiliation pour manquement du client (défaut de paiement, refus de fournir les accès), le prestataire restituera les livrables déjà produits correspondant aux sommes encaissées.

13. Force majeure

Aucune des parties ne pourra être tenue responsable de l'inexécution totale ou partielle de ses obligations si cette inexécution est due à un cas de force majeure tel que défini par l'article 1218 du Code civil.

Sont notamment considérés comme cas de force majeure : catastrophes naturelles, guerres, épidémies, pannes généralisées d'Internet ou d'électricité, cyberattaques majeures, décisions gouvernementales ou réglementaires.

La partie touchée devra informer l'autre partie dans les meilleurs délais. Si le cas de force majeure se prolonge au-delà de 30 jours, chaque partie pourra résilier le contrat sans indemnité.

14. Droit applicable et litiges

Les présentes CGV sont régies par le droit français.

En cas de différend relatif à l'interprétation, l'exécution ou la résiliation des présentes, les parties s'engagent à rechercher une solution amiable dans un délai de 30 jours.

À défaut de résolution amiable, le litige sera soumis à la compétence exclusive des tribunaux de Nantes (Loire-Atlantique), quel que soit le lieu d'exécution de la prestation ou le domicile du client.

15. Données personnelles (RGPD)

Dans le cadre de l'exécution des prestations, le prestataire peut être amené à accéder à des données personnelles du client ou de tiers. Le prestataire s'engage à respecter le Règlement Général sur la Protection des Données (RGPD — Règlement UE 2016/679) et la loi Informatique et Libertés.

Le prestataire s'engage notamment à :

• Ne traiter les données personnelles que dans le cadre strict de la mission confiée
• Ne pas conserver les données personnelles découvertes lors des tests au-delà de la durée nécessaire à la rédaction du rapport
• Supprimer ou restituer toutes les données personnelles à l'issue de la mission, au choix du client
• Informer immédiatement le client en cas de violation de données découverte lors de la mission

Pour toute question relative au traitement des données personnelles : contact@ai-security-consulting.com

16. Dispositions diverses

Si l'une des clauses des présentes CGV était déclarée nulle ou inapplicable, les autres clauses conserveraient leur pleine validité.

Le fait pour l'une des parties de ne pas se prévaloir d'un manquement de l'autre partie à l'une des obligations visées dans les présentes ne saurait être interprété comme une renonciation à l'obligation en cause.

Dernière mise à jour : 23 mars 2026