QQ-Review365

Conditions générales d'utilisation et de vente de Q-Review365

Éditeur : Association QUANTUMI, association déclarée (loi du 1er juillet 1901), SIREN 493 983 167, RNA W832000616, siège : GUE PIERREUX, 72170 SEGRIE — [email protected] — directeur de la publication : Christopher HABLET. Hébergeur : Infomaniak Network SA, Rue Eugène-Marziano 25, 1227 Genève (Suisse). Le service est diffusé et protégé par le réseau de Cloudflare, Inc. (voir la politique de confidentialité).

1. Objet et champ d'application

Les présentes conditions régissent l'accès et l'utilisation du service hébergé Q-Review365 (https://www.q-review365.fr), fourni par l'éditeur à des professionnels, associations et organisations (« le Client »). Elles ne s'appliquent pas à l'auto-hébergement du logiciel, régi par la licence GNU AGPL v3. Le service s'adresse à des professionnels agissant pour les besoins de leur activité.

2. Définitions

  • Organisation : le Client, titulaire d'un espace dans le service.
  • Utilisateur : toute personne invitée par l'Organisation.
  • Tenant : l'environnement Microsoft 365 du Client analysé.
  • Formule : l'offre choisie (gratuite ou payante), décrite dans l'application avec ses fonctions et ses limites.
  • Données exportables : les constats, indicateurs et rapports produits pour le Client, disponibles aux formats décrits à l'article 10.

3. Acceptation des conditions

  1. Le Client accepte les présentes conditions, la politique de confidentialité et l'accord de traitement des données par une action positive (case à cocher) lors de la création de l'Organisation.
  2. L'éditeur conserve la preuve de l'acceptation : identifiant de l'Organisation et de l'Utilisateur, date et heure (UTC), version des conditions et de l'accord de traitement acceptés. Les versions successives des conditions sont conservées et consultables sur demande à [email protected].
  3. En cas de nouvelle version, l'article 19 s'applique.

4. Accès au service

  1. L'accès se fait uniquement sur invitation, avec le compte professionnel Microsoft de l'Utilisateur. Aucun mot de passe n'est stocké par le service ; la sécurité de la connexion (dont l'authentification multifacteur) relève de l'organisation du Client.
  2. La première personne invitée crée l'Organisation sur son propre tenant et en devient propriétaire. Le tenant analysé est celui de son identité Microsoft vérifiée.
  3. Le Client est responsable des Utilisateurs qu'il invite, de leurs rôles (lecteur, relecteur, administrateur, propriétaire) et de l'usage fait de leurs accès. Il informe l'éditeur sans délai de toute utilisation non autorisée.

5. Description du service et limites

  1. Q-Review365 est un outil automatisé d'analyse et d'aide à l'audit de la configuration, de la sécurité et de certains paramètres de conformité d'un environnement Microsoft 365. Il analyse en lecture seule les métadonnées du tenant (comptes, rôles, applications, accès, partages et, avec la fonction correspondante, règles de la boîte de réception) et produit des constats et des indicateurs. Il ne modifie rien dans le tenant et ne lit ni les messages ni le contenu des fichiers.
  2. L'analyse nécessite le consentement d'un administrateur du tenant, donné directement chez Microsoft. Les permissions demandées et leur finalité sont décrites dans l'application (« Voir les autorisations demandées »). Le Client peut retirer ce consentement à tout moment depuis Microsoft ; le service ne peut alors plus collecter de nouvelles données.
  3. Les résultats produits par Q-Review365 ne constituent pas, à eux seuls, un audit de conformité complet, une certification, une attestation de conformité ou un avis juridique. Les constats, indicateurs et mises en correspondance avec ISO/IEC 27001 ou le RGPD sont indicatifs.
  4. Certaines informations dépendent des licences Microsoft du Client, des autorisations accordées, de la disponibilité des interfaces de programmation de Microsoft et des fonctionnalités activées chez le Client ; le service ne garantit donc pas l'exhaustivité de l'analyse. Les décisions prises à partir des constats relèvent de la seule responsabilité du Client.
  5. Le service peut évoluer ; les fonctions réservées à une Formule sont indiquées dans l'application.
  6. Analyse des règles de messagerie (formule Pro, option activée tenant par tenant). Cette fonction lit, en lecture seule, les règles de la boîte de réception des comptes du tenant afin de repérer les redirections et les règles qui font disparaître des messages. Elle ne lit jamais le contenu d'un message et ne conserve jamais le texte des conditions saisies par l'utilisateur : Microsoft le transmet au service avec la règle, qui n'en retient que des types de conditions et des mots d'une liste fixe. Elle exige une permission Microsoft supplémentaire (lecture des paramètres de boîte aux lettres) qu'un administrateur du tenant doit accorder, ou renouveler après l'ajout de la fonction ; le Client peut limiter l'accès de l'application à certaines boîtes par les moyens que Microsoft propose. Elle est désactivée par défaut et activée par un administrateur de l'Organisation. Les données concernées sont décrites dans l'accord de traitement.
  7. Connexion d'une IA (formule Pro, option désactivée par défaut). a. Principe. Lorsqu'un administrateur de l'Organisation l'active, chaque Utilisateur peut connecter à Q-Review365, de sa propre initiative, l'assistant d'intelligence artificielle de son choix (par exemple Claude ou ChatGPT, sous réserve de leurs conditions, de leurs offres et de leur compatibilité) pour l'interroger, en lecture seule, sur les constats, les indicateurs de posture et de conformité et les règles de messagerie de l'Organisation. L'IA ne peut ni modifier le tenant, ni prendre ou modifier une décision de revue, ni lancer une collecte, ni lire des messages ou des fichiers. b. Fournisseur d'IA. Le fournisseur de l'IA est choisi par l'Utilisateur et lié à lui, ou au Client, par ses propres conditions. L'éditeur n'est ni son sous-traitant, ni son partenaire, ne choisit pas ce fournisseur et n'a aucun accès aux échanges entre l'Utilisateur et l'IA. Les informations transmises sont traitées par ce fournisseur selon ses conditions (conservation, usage éventuel pour améliorer ses modèles, lieu de traitement, éventuellement hors de l'Union européenne). Il appartient au Client de vérifier que cet usage est compatible avec ses politiques et ses engagements, et d'en informer ses Utilisateurs. c. Pseudonymisation. Par défaut, les identités (comptes, groupes, sites, tenants), les adresses, les adresses IP et les noms saisis dans le tenant (fichiers, applications, stratégies, règles) sont remplacés avant l'envoi par des pseudonymes stables. Cette mesure réduit l'exposition mais n'est pas une anonymisation : les données pseudonymisées restent des données personnelles et des informations de sécurité sensibles. Un administrateur peut choisir de transmettre les identités en clair, sous sa seule responsabilité et après confirmation ; ce choix révoque toutes les autorisations en cours. d. Contrôle. Chaque Utilisateur donne son autorisation sur un écran de consentement, avec son propre compte. Elle est limitée à la lecture, à l'Organisation de l'Utilisateur et à ce que son rôle et la formule de l'Organisation lui permettent de consulter, et expire au plus tard 90 jours après avoir été donnée. Elle peut être révoquée à tout moment par l'Utilisateur ou par un administrateur ; elle l'est aussi à la désactivation de la fonction, à la désactivation ou au départ de l'Utilisateur et à la fermeture de ses sessions. Des limites techniques d'usage (nombre d'appels par minute) s'appliquent. e. Risques propres à l'IA. Les réponses d'une IA peuvent être inexactes ou incomplètes ; elles ne constituent ni un avis ni un audit, et les décisions restent de la seule responsabilité du Client (article 5.4). Un texte piégé contenu dans une donnée du tenant (par exemple le nom d'une application) peut chercher à influencer l'IA : le Client s'engage à ne pas associer ce connecteur à des outils capables d'envoyer des messages, d'écrire des fichiers ou d'agir sur ses systèmes. f. Disponibilité. La fonction dépend de services tiers (fournisseurs d'IA, leurs offres, leur compatibilité avec le protocole utilisé). L'éditeur ne garantit ni leur disponibilité ni la compatibilité avec un assistant donné, et peut suspendre la fonction pour des raisons de sécurité ou en cas d'usage abusif.

6. Formules, prix et paiement

  1. Les Formules, leurs fonctions, leurs limites (utilisateurs, tenants, durée de conservation des résultats) et leurs prix en euros hors taxes sont affichés dans l'application et sur la page de connexion.
  2. Essai : une organisation nouvellement créée bénéficie d'un essai de la formule Pro pendant la durée indiquée dans l'application (30 jours par défaut). À son terme, elle passe automatiquement à la formule gratuite, sans suppression de données : les fonctions payantes sont verrouillées jusqu'à l'abonnement.
  3. Conservation des résultats selon la Formule : 30 jours pour la formule Gratuit, 90 jours pour la formule Pro (résultats bruts, relevés d'historique et constats résolus). Les constats ouverts et les décisions de revue sont conservés tant que l'Organisation existe.
  4. Abonnement : mensuel, par carte, via Stripe sur ses pages hébergées. L'éditeur ne conserve aucune donnée de carte bancaire. L'abonnement est renouvelé tacitement chaque mois et peut être ajusté en cours de période (utilisateurs ou tenants supplémentaires, au prorata).
  5. Prestataire de paiement : le Client contracte directement avec Stripe pour le paiement en ligne et accepte ses conditions ; la résiliation du présent contrat met fin à l'abonnement chez Stripe.
  6. Modification des prix : article 19.

7. Retard de paiement

  1. Conséquences légales : tout retard de paiement entraîne, dans les conditions légales applicables aux relations entre professionnels, des pénalités de retard exigibles à compter du retard, ainsi qu'une indemnité forfaitaire de 40 € pour frais de recouvrement.
  2. Tolérance commerciale avant suspension : indépendamment de ce qui précède, l'éditeur accorde un délai de 7 jours avant de verrouiller les fonctions payantes. Ce délai concerne uniquement la suspension de l'accès à ces fonctions ; il ne repousse pas le point de départ des pénalités. Le verrouillage s'effectue sans suppression de données et prend fin au paiement.

8. Durée, résiliation et fin du contrat

  1. Le contrat est conclu pour une durée indéterminée à compter de la création de l'Organisation. Le Client peut résilier à tout moment depuis la gestion de l'abonnement ; la résiliation prend effet à la fin de la période mensuelle en cours. Aucun remboursement automatique de la période entamée n'est dû, sous réserve des dispositions légales impératives.
  2. L'éditeur peut suspendre ou clôturer l'accès en cas de manquement grave (utilisation illicite, atteinte à la sécurité, impayé persistant), après mise en demeure restée sans effet pendant 15 jours, sauf urgence.
  3. Cycle de fin de contrat (la clôture est déclenchée sur demande écrite du Client à [email protected], ou par l'éditeur dans les cas de l'article 8.2 ; la fin d'un abonnement payant ramène l'Organisation à la formule gratuite et ne déclenche pas à elle seule la clôture) : a. à la date effective de clôture, l'Organisation passe en état « export uniquement » ; b. pendant 30 jours, le Client peut se connecter pour consulter et exporter ses Données exportables (fonction réservée aux utilisateurs ayant au moins le rôle de relecteur) et gérer son abonnement et ses factures ; aucune nouvelle analyse, collecte, invitation ou ajout de tenant n'est possible ; la date définitive de suppression est affichée ; c. à l'issue des 30 jours, les données de l'Organisation (résultats d'audit, tenants connectés, constats, décisions) sont purgées de la base active ; d. les copies résiduelles disparaissent ensuite selon le cycle de rotation des sauvegardes (au plus 30 jours pour les sauvegardes du service ; l'éditeur s'engage à limiter à 30 jours la conservation des instantanés de l'hébergeur).
  4. Les comptes des Utilisateurs sont ensuite supprimés dans les conditions de la politique de confidentialité.
  5. Le Client peut demander l'annulation de la clôture pendant la phase d'export ; l'Organisation est alors réactivée avec ses données.

9. Réversibilité et changement de fournisseur

  1. Le Client peut quitter le service, migrer ses Données exportables vers un autre prestataire ou vers sa propre infrastructure, ou utiliser plusieurs prestataires.
  2. Données exportables et formats : constats (CSV), indicateurs de conformité (CSV), droits de partage (CSV), fiches et suivis de campagnes de revue d'accès (CSV), rapport de conformité imprimable (navigateur / PDF), profil de l'Utilisateur (JSON). Les résultats d'audit bruts chiffrés ne sont pas fournis en tant que tels : seules les Données exportables ci-dessus sont restituées.
  3. Procédure : l'exportation s'effectue sur demande écrite adressée à [email protected], indiquant l'option choisie (autre prestataire, infrastructure propre, plusieurs prestataires). Le Client donne un préavis de 2 mois ; à l'issue, l'éditeur dispose d'une période de transition de 30 jours pour lui transmettre les Données exportables aux formats de l'article 9.2. Aucun mécanisme automatisé de migration n'est proposé ; les exports disponibles en libre-service dans l'application (selon les droits de l'utilisateur) restent utilisables à tout moment.
  4. Coopération et limites : l'éditeur coopère de bonne foi. Les limites techniques sont celles du service : pas de migration automatisée vers un tiers, et pas d'export des données brutes de Microsoft, que le Client peut obtenir directement chez Microsoft.
  5. Lorsque la demande de réversibilité est faite avant la clôture, la période de transition de l'article 9.3 prolonge la phase d'export de l'article 8.3 jusqu'à la remise des Données exportables ; les données sont ensuite supprimées.

10. Obligations du Client

Le Client s'engage à : (a) n'analyser que des tenants pour lesquels il est habilité ; (b) ne pas tenter de contourner la sécurité, l'isolation entre clients ou les limites de sa Formule ; (c) ne pas perturber le service (tests d'intrusion non autorisés, charge abusive) ; (d) fournir des informations exactes ; (e) respecter la loi et les droits des personnes dont les données figurent dans son tenant ; (f) vérifier les constats avant d'agir et conserver ses propres exports des éléments importants ; (g) s'il active la connexion d'une IA : en évaluer les conséquences pour ses données, en informer ses Utilisateurs, respecter l'article 5.7.e et révoquer sans délai toute autorisation devenue inutile ou suspecte.

11. Disponibilité et support

  1. Le service est fourni sans engagement contractuel chiffré de disponibilité. L'éditeur s'efforce de le maintenir accessible et d'informer des interruptions programmées ; des opérations de maintenance peuvent limiter ou suspendre temporairement l'accès. L'éditeur peut communiquer des objectifs non contractuels, qui ne constituent pas un niveau de service garanti.
  2. Support par e-mail à [email protected], du lundi au vendredi, de 9 h à 18 h (heure de Paris), hors jours fériés. Aucun délai de réponse n'est garanti.
  3. Des sauvegardes chiffrées quotidiennes sont réalisées ; le Client conserve néanmoins ses propres exports.

12. Données personnelles

  1. Pour les données de comptes, de facturation, de sécurité et de contact, l'éditeur est responsable de traitement : voir la politique de confidentialité.
  2. Pour les données du tenant du Client analysées par le service, l'éditeur agit en sous-traitant : voir l'accord de traitement des données, qui fait partie intégrante des présentes.

13. Sécurité

L'éditeur met en œuvre les mesures décrites à l'annexe A de l'accord de traitement. Ces mesures sont des engagements de moyens ; aucune mesure ne garantit une sécurité absolue.

14. Propriété intellectuelle

Le logiciel Q-Review365 est un logiciel libre publié sous licence GNU Affero General Public License v3 : son code source est accessible et réutilisable dans les conditions de cette licence. Le Client reste propriétaire de ses données et des rapports produits pour lui ; il concède à l'éditeur le droit de les traiter pour fournir le service. Les noms, logos et éléments graphiques du service sont la propriété de l'éditeur.

Microsoft 365 est une marque de Microsoft Corporation. Q-Review365 n'est pas affilié à Microsoft.

15. Responsabilité

  1. L'éditeur est tenu d'une obligation de moyens. Le service étant indicatif (article 5), l'éditeur ne garantit pas l'absence de faille détectée ou non détectée dans le tenant du Client.
  2. La responsabilité de l'éditeur est limitée aux dommages directs et prouvés ; les dommages indirects (perte d'exploitation, d'image, de données non sauvegardées par le Client…) sont exclus. La responsabilité globale de l'éditeur, tous faits générateurs confondus, est plafonnée au montant payé par le Client au titre du service au cours des douze (12) mois précédant le fait générateur (ou, si le contrat a une durée inférieure à douze mois, au montant payé depuis sa souscription). Ce montant est nul pour la formule gratuite et pour la période d'essai.
  3. L'éditeur n'est pas responsable du traitement réalisé par le fournisseur d'IA qu'un Utilisateur a choisi, ni du contenu des réponses de l'IA, ni de l'usage que le Client en fait, sans préjudice de ses obligations pour les traitements qu'il réalise lui-même.
  4. Le Client est seul responsable de l'adéquation du niveau de sécurité du service à la sensibilité de ses données.
  5. Aucune stipulation ne limite la responsabilité lorsque la loi l'interdit, notamment en cas de dol, de faute lourde ou de dommages corporels.

16. Force majeure

Aucune partie n'est responsable d'un manquement dû à un cas de force majeure au sens du Code civil, y compris une défaillance durable des services de Microsoft, de l'hébergeur ou du prestataire de diffusion réseau indépendante de l'éditeur.

17. Confidentialité

Chaque partie garde confidentielles les informations non publiques reçues de l'autre et ne les utilise que pour l'exécution du contrat, pendant la durée du contrat et 3 ans après son terme. Les obligations qui, par leur nature ou par la loi, doivent survivre plus longtemps restent applicables pendant la durée correspondante. Les données personnelles restent soumises au RGPD indépendamment de cette durée.

18. Droit applicable et litiges

Les présentes conditions sont soumises au droit français. Les parties recherchent une solution amiable avant toute action. À défaut, les tribunaux compétents du ressort de la Sarthe seront seuls compétents.

19. Modification des conditions et des prix

  1. L'éditeur peut modifier les présentes conditions et les prix. Le Client est informé de la nouvelle version (dans le service et par e-mail à l'adresse du propriétaire de l'Organisation) au moins 30 jours avant son entrée en vigueur, avec la date d'entrée en vigueur et l'indication des changements importants.
  2. Si la modification affecte substantiellement le contrat, le Client peut résilier avant son entrée en vigueur. À défaut, la poursuite d'utilisation du service après cette date vaut acceptation.
  3. Les versions successives des conditions sont conservées et consultables sur demande à [email protected].

Version 2.1 — 31/10/2026. Remplace la version 2.0 du 06/10/2026 ; ajoute l'analyse des règles de messagerie (article 5.6), la connexion d'une IA (articles 5.7, 10 et 15) et le prestataire de diffusion réseau. Entrée en vigueur : voir l'article 19.

Version 2.1.