Conditions d’utilisation

1. Objet et parties

Les présentes conditions régissent l’accès et l’utilisation de Amont Prévention, service en ligne d’aide à l’évaluation des risques professionnels et à la tenue du document unique. Elles sont conclues entre Corentin Cuzeau — EI (entrepreneur individuel, SIREN 000 000 000 (provisoire)), éditeur du service, dont l’identification complète figure dans les mentions légales, et l’organisation qui souscrit — entreprise, association ou personne publique — ci-après « le client ».

L’éditeur exerce en entreprise individuelle. Son patrimoine personnel est, de plein droit, séparé de son patrimoine professionnel : seul ce dernier constitue le gage des créanciers nés à l’occasion de l’activité (articles L526-22 et suivants du code de commerce).

Le service s’adresse exclusivement à des professionnels agissant pour les besoins de leur activité, et à des personnes publiques. Il n’est pas destiné aux consommateurs, et les dispositions protectrices du code de la consommation n’y trouvent pas à s’appliquer.

2. Ce que le service fait, et ce qu’il ne fait pas

Le service permet de déclarer un périmètre de travail, d’identifier et de coter des risques à partir de trames sectorielles, de consigner des mesures de prévention et un plan d’actions, puis de publier des versions successives du document unique sous la forme d’un PDF figé.

L’obligation d’évaluer les risques et de tenir le document unique pèse sur l’employeur (articles L4121-1 à L4121-3 et R4121-1 du code du travail). Le service est un outil de rédaction : il ne se substitue ni à l’appréciation de l’employeur, qui reste seul responsable du contenu et de la pertinence de son évaluation, ni au concours d’un préventeur, d’un intervenant en prévention des risques professionnels ou du service de prévention et de santé au travail. L’éditeur n’intervient à aucun de ces titres.

Trois points méritent d’être connus avant de souscrire, parce qu’ils sont déterminants :

• Le service ne dépose rien sur un portail national. Le dépôt dématérialisé prévu par l’article L4121-3-1 du code du travail suppose un portail qui n’est pas ouvert à ce jour. Le service produit un fichier qui pourra y être déposé le jour venu ; il ne promet aucune transmission automatique.
• Publier fige. Une version publiée conserve l’état de l’évaluation au moment de sa publication et n’est plus recalculée. Poursuivre l’évaluation ensuite est normal et nécessaire, mais le document publié ne la reflète plus : l’application le signale, et corriger consiste à publier une version suivante.
• Le service n’est pas un système d’archivage à valeur probante. Chaque document est scellé par une empreinte qui permet d’en vérifier l’intégrité, et chaque écriture est tracée dans un journal en ajout seul. Ce sont des éléments de preuve sérieux, ce n’est ni un horodatage ni un cachet électronique qualifié au sens du règlement eIDAS.

3. Compte, organisation et rôles

L’accès suppose un compte nominatif, dont l’adresse électronique est vérifiée. Un compte appartient à une personne : il ne se partage pas, et le client répond de l’usage qui en est fait. Chaque membre reçoit dans l’organisation l’un des quatre rôles suivants, du moins étendu au plus étendu : Lecteur, Contributeur, Administrateur, Propriétaire.

Publier une version du document unique, gérer les membres et souscrire une formule sont réservés aux rôles les plus étendus. Une organisation conserve à tout moment au moins un propriétaire.

3.1 Messages adressés aux membres

Deux sortes de messages sont adressées aux membres. Les messages de service — vérification d’adresse, réinitialisation et alerte de changement de mot de passe — sont indissociables du fonctionnement du compte et ne peuvent pas être refusés : pouvoir les faire taire donnerait à qui prendrait la main sur un compte le moyen d’effacer sa trace.

Les rappels d’échéance — mise à jour annuelle attendue, document à republier après une modification de l’évaluation, actions du plan de prévention dont l’échéance est passée, habilitations du personnel expirées ou proches de l’être — sont adressés aux seuls membres qui peuvent publier une version, à raison d’un message au plus par mois et par sujet. Chacun porte un lien de désabonnement qui fonctionne sans connexion, et le réglage figure également dans l’espace de chaque membre.

L’éditeur n’adresse aucun message de prospection aux membres du client et ne cède leurs adresses à personne.

4. Formules, essai et frontière commerciale

Conduire votre évaluation ne coûte rien et n’est pas limité : sites, unités de travail, risques, reprise des trames, cotations, mesures de prévention, plan d’actions, membres et brouillons de version sont accessibles sans formule payante. Aucun quota de volume n’est appliqué — ni sur le nombre de sites, ni d’unités, ni de risques, ni d’utilisateurs. Un plafond sur les unités de travail rendrait l’évaluation fausse au regard de l’article R4121-1 ; il n’y en a donc pas.

Un seul acte est payant : la publication d’une version du document unique — l’opération qui fige l’instantané, attribue le numéro, horodate et produit le PDF.

• Découverte

  Conduisez votre évaluation en entier : unités de travail, risques, cotations, mesures et plan d’actions. La publication du document unique demande une formule payante.

• Essentiel

  Publiez et archivez votre document unique, autant de versions que nécessaire, avec le PDF conforme et son empreinte de non-altération.

• Professionnel

  Les mêmes possibilités que l’Essentiel — le produit est identique, sans plafond de sites, d’unités ni d’utilisateurs dans aucune formule — avec un accompagnement humain prioritaire à la mise en route et au suivi.

Toute organisation nouvellement créée bénéficie d’un essai de 30 jours, ouvert automatiquement, sans moyen de paiement ni acte de souscription. À son terme, rien ne se déclenche : aucun prélèvement, aucune suppression. L’organisation cesse simplement de pouvoir publier de nouvelles versions, et conserve tout le reste.

5. Prix, facturation et paiement

Les montants sont affichés publiquement sur la page de tarifs du site, par tranche d’effectif. Celui qui engage est celui affiché au jour de la souscription : un changement de tarif ultérieur ne s’applique pas à un abonnement en cours, et vous en êtes informé avant tout renouvellement. La périodicité et les modalités de reconduction sont rappelées dans votre espace au moment de payer.

Périodicité : [À RENSEIGNER]. Durée et reconduction : [À RENSEIGNER]. Préavis de dénonciation : [À RENSEIGNER]. TVA non applicable, article 293 B du code général des impôts : les montants affichés sont nets, aucune taxe ne s’y ajoute et aucune TVA n’est récupérable.

Le paiement est traité par le prestataire mentionné à l’annexe. L’éditeur ne voit ni ne conserve aucune donnée bancaire.

Clients privés. Toute somme non réglée à l’échéance porte de plein droit des pénalités de retard au taux de trois fois le taux d’intérêt légal, ainsi qu’une indemnité forfaitaire pour frais de recouvrement de 40 €, sans préjudice de l’indemnisation complémentaire du recouvrement réellement exposé.

Personnes publiques. Le délai de paiement est de trente jours à compter de la réception de la facture sur Chorus Pro, seule voie de facturation admise. Le retard fait courir de plein droit, sans mise en demeure, les intérêts moratoires au taux légal majoré de huit points et l’indemnité forfaitaire de 40 €. La facturation intervient à terme échu, après service fait.

Un incident de paiement ne coupe rien : l’accès et la publication restent entiers pendant que le moyen de paiement est régularisé. Il n’est mis fin à l’abonnement qu’au terme des relances du prestataire de paiement.

6. Durée, résiliation et ce qui vous reste

L’abonnement se résilie depuis le portail de facturation accessible dans votre espace, réservé au propriétaire de l’organisation. La résiliation prend effet au terme de la période déjà payée : l’accès reste entier jusque-là.

Après la résiliation, et sans limitation de durée : votre évaluation reste entière et modifiable — unités de travail, risques, cotations, mesures, plan d’actions — et les versions déjà publiées restent lisibles et téléchargeables. Seule la publication de nouvelles versions cesse. Cet engagement ne couvre pas un document dont la production aurait échoué avant la résiliation : l’éditeur le fournit alors sur demande.

Personnes publiques. Le marché est conclu pour une durée limitée, et son renouvellement relève de l’acheteur. L’acheteur public conserve son pouvoir de résiliation unilatérale pour motif d’intérêt général, quoi que stipulent les présentes ; l’éditeur est alors indemnisé des prestations exécutées et des dépenses engagées.

7. Vos obligations

• Fournir des informations exactes, et les tenir à jour — le nom porté par un compte est imprimé sur le document publié et inscrit au journal d’audit.
• Ne pas consigner dans les champs libres de donnée nominative dont vous n’avez pas besoin. Le service est conçu pour décrire des situations de travail, et aucun champ ne demande de donnée de santé ni d’identité de salarié. Ce que vous y écrivez néanmoins relève de votre responsabilité de responsable de traitement.
• Préserver la confidentialité des accès, et retirer sans délai les membres qui quittent l’organisation.
• N’utiliser le service ni pour une finalité illicite, ni d’une façon qui en compromette le fonctionnement pour les autres organisations.

8. Propriété intellectuelle

Le logiciel, ses interfaces et le référentiel de risques sectoriels sont la propriété de l’éditeur. Le client reçoit, pour la durée de son abonnement, un droit d’utilisation personnel, non exclusif et non cessible du service. Aucune cession de droits n’est consentie.

Les éléments du référentiel que vous reprenez dans votre évaluation vous sont concédés séparément, à titre gratuit, perpétuel et transférable, pour tout usage de votre document unique : reproduction, diffusion aux salariés et à leurs représentants, remise au service de prévention et de santé au travail, production devant l’inspection du travail ou devant un juge, et conservation pendant quarante ans. Cette concession survit à la fin du contrat, et il fallait qu’elle y survive : un document unique a vocation à circuler et à être conservé longtemps après, et une licence limitée à la durée de l’abonnement aurait fait de sa diffusion normale une contrefaçon.

Les données que vous saisissez restent les vôtres. L’éditeur ne s’en arroge aucun droit d’usage : elles ne servent ni à enrichir le référentiel, ni à produire des statistiques, ni à entraîner quelque modèle que ce soit.

9. Disponibilité, maintenance et responsabilité

Aucun taux de disponibilité n’est garanti, et il vaut mieux le dire que l’écrire à la légère. Le service fait l’objet d’une supervision continue, de sauvegardes quotidiennes et d’une procédure de restauration éprouvée ; il peut être interrompu pour maintenance, ou par la défaillance d’un prestataire technique.

L’éditeur répond des dommages directs causés par sa faute. Il ne répond pas des conséquences d’une évaluation des risques inexacte ou incomplète, dont le contenu relève du client, ni d’une sanction prononcée à son encontre à ce titre. Aucune limitation ne joue en cas de faute intentionnelle ou de faute lourde, ni ne saurait vider de sa substance l’obligation essentielle de l’éditeur, qui est de conserver vos données et de vous les restituer.

Continuité. L’éditeur étant une personne physique, le client peut à tout moment récupérer l’intégralité de ses données dans les conditions de l’article 10, sans avoir à en justifier. En cas d’arrêt du service, un préavis de trois mois est donné et la restitution reste assurée pendant toute cette durée.

10. Réversibilité et changement de fournisseur

Le client peut à tout moment basculer vers un autre fournisseur ou vers ses propres moyens. Le changement s’engage sur simple demande, avec un préavis n’excédant pas deux mois. S’ouvre alors une période transitoire de trente jours au plus, que le client peut prolonger une fois ; si un obstacle technique rend ce délai intenable, l’éditeur le notifie par écrit et motivé dans les quatorze jours ouvrables, et propose une période de remplacement qui n’excède pas sept mois.

À l’issue de la période transitoire, les données restent récupérables pendant trente jours au moins, après quoi elles sont effacées. L’ensemble de ces opérations, assistance comprise, est gratuit.

• Vos documents uniques publiés — portable

  le PDF de chaque version, téléchargeable à tout moment depuis l’application, sans intervention de l’éditeur.

• L’instantané figé de chaque version publiée — portable

  la photographie complète de l’évaluation au moment de la publication, au format JSON, lisible par machine.

• Votre évaluation en cours — portable

  sites, unités de travail, effectifs, risques, cotations avec leur historique complet, mesures de prévention, plan d’actions, membres et leurs rôles. Remis au format JSON sur simple demande, gratuitement.

• Le journal d’audit de votre organisation — portable

  la trace horodatée de chaque écriture, au format JSON, remise sur demande.

• Le logiciel lui-même et le référentiel de risques — non portable

  ils appartiennent à l’éditeur et ne sont pas portables. Les libellés et les codes de dangers que vous avez repris et incorporés à VOS documents partent en revanche avec eux, sans restriction — voir l’article 8.

• Les journaux techniques et les sauvegardes — non portable

  ils servent l’exploitation et la sécurité du service, pas votre évaluation. Ils ne sont pas restituables et s’effacent d’eux-mêmes par rotation.

Les formats employés sont ouverts et documentés : PDF pour les documents publiés, JSON pour tout le reste. L’infrastructure du service est établie dans l’Union européenne, et relève des juridictions indiquées à l’annexe.

11. Modification des conditions

Toute modification substantielle est portée à la connaissance du client au moins trente jours avant son entrée en vigueur. Le client qui la refuse peut résilier sans frais jusqu’à cette date ; les sommes correspondant à la période non courue lui sont remboursées. La version applicable est celle en vigueur au jour de la souscription ou de la dernière reconduction.

12. Droit applicable et litiges

Le contrat est régi par le droit français et rédigé en français, y compris ses annexes. Les parties recherchent d’abord une solution amiable.

Clients privés. À défaut d’accord, le litige relève des tribunaux compétents dans le ressort du lieu d’établissement de l’éditeur.

Personnes publiques. Le contrat est un marché public et présente un caractère administratif. Les litiges relèvent du tribunal administratif territorialement compétent, et aucune clause d’arbitrage n’est stipulée. Le contrat s’exécute sous réserve des prérogatives que l’acheteur public tient du code de la commande publique — pouvoir de contrôle et de direction, modification unilatérale et résiliation pour motif d’intérêt général, avec l’indemnisation qui s’y attache. Lorsque l’acheteur contractualise avec ses propres pièces, celles-ci priment dans l’ordre qu’il a fixé.

13. Annexe — traitement des données à caractère personnel (article 28 du RGPD)

Cette annexe fait partie intégrante du contrat. Elle vaut acte juridique de sous-traitance au sens de l’article 28 du règlement (UE) 2016/679. Elle ne se confond pas avec la politique de confidentialité, qui informe les personnes concernées et n’engage rien contractuellement.

13.1 Objet, durée, nature et finalité

L’éditeur traite, pour le compte du client et sur ses seules instructions, les données à caractère personnel nécessaires à l’hébergement de son évaluation des risques professionnels, à la production et à la conservation de ses documents uniques, et à la traçabilité des écritures. Le traitement dure le temps du contrat, augmenté des délais de restitution et d’effacement de l’article 10.

Catégories de personnes concernées : les membres de l’organisation cliente titulaires d’un compte ; les personnes invitées à en devenir membre, dont l’adresse est enregistrée avant même qu’un compte existe ; celles que le client désigne comme responsables d’une action de son plan de prévention ; les salariés que le client inscrit à son fichier de personnel, qui n’ont pas de compte et ne sont pas utilisateurs du service ; et toute personne que le client choisirait de nommer dans un champ libre — ce qu’aucun champ ne lui demande, et dont il reste responsable. Catégories de données : nom, adresse électronique, rôle dans l’organisation, adresse IP et navigateur des sessions, les éléments du fichier de personnel énumérés à l’article 13.5, et tout élément que le client choisit d’inscrire dans les champs libres. Le service ne demande aucune donnée de santé, et l’effectif exposé d’une unité de travail est un nombre.

13.2 Engagements de l’éditeur

Conformément à l’article 28.3, l’éditeur s’engage à :

• ne traiter les données que sur instruction documentée du client, transferts hors Union européenne compris, sauf obligation juridique — auquel cas il en informe le client avant le traitement, à moins que la loi ne l’interdise ;
• veiller à ce que toute personne autorisée à traiter les données s’engage à la confidentialité, ou soit soumise à une obligation légale appropriée de confidentialité ;
• prendre les mesures de sécurité requises par l’article 32. Les mesures effectivement en place sont : cloisonnement des organisations au niveau de la base de données par policies d’étanchéité, avec deux rôles distincts dont l’un ne peut pas les contourner ; journal d’audit en ajout seul, dont les privilèges de modification et de suppression sont révoqués en base ; masquage des valeurs sensibles dans ce journal ; mots de passe conservés sous forme d’empreinte ; jetons à usage unique et de courte durée pour la vérification d’adresse, la réinitialisation et les invitations, révoqués dès leur usage ; chiffrement des échanges ; sauvegardes quotidiennes avec exercice de restauration. Aucune autre mesure n’est promise, et cette liste est tenue à jour ;
• ne recourir qu’aux sous-traitants ultérieurs énumérés au 13.4, leur imposer par contrat les mêmes obligations, et répondre pleinement de leurs manquements. Tout ajout ou remplacement est notifié au client au moins trente jours à l’avance, délai pendant lequel il peut s’y opposer et, s’il maintient son opposition, résilier sans frais ;
• aider le client, par des mesures appropriées, à donner suite aux demandes d’exercice de leurs droits par les personnes concernées, et lui transmettre sous cinq jours ouvrés toute demande qui lui parviendrait directement — le client dispose lui-même d’un mois au total, ce délai doit donc lui rester ;
• aider le client à garantir la sécurité des traitements, à notifier les violations de données, et à mener ses analyses d’impact et consultations préalables, compte tenu des informations dont l’éditeur dispose ;
• au terme du contrat, au choix du client, lui restituer ou effacer toutes les données à caractère personnel, et détruire les copies existantes, dans les délais de l’article 10 — étant précisé que les éléments supprimés dans l’application sont marqués supprimés et subsistent en base jusqu’à cet effacement, et que les sauvegardes s’effacent par rotation dans les quatorze jours qui suivent ;
• mettre à la disposition du client toutes les informations nécessaires pour démontrer le respect de ces obligations, et permettre la réalisation d’audits. En pratique : un dossier documentaire remis sur demande, un audit sur pièces une fois par an, et un audit sur site de plein droit après une violation de données.

L’éditeur informe immédiatement le client s’il estime qu’une instruction reçue constitue une violation du règlement ou d’une autre disposition relative à la protection des données.

13.3 Violation de données

L’éditeur notifie au client toute violation de données à caractère personnel dans les vingt-quatre heures suivant le moment où il en a connaissance, avec les éléments d’une première qualification. Ce délai est délibérément plus court que les soixante-douze heures dont le client dispose envers la CNIL : consommer le délai du client reviendrait à le mettre en infraction au moment même où on le prévient.

13.4 Sous-traitants ultérieurs

Le client autorise le recours aux prestataires suivants, et à eux seuls. La même liste est reprise dans la politique de confidentialité : c’est une seule source, pour que les deux documents ne puissent pas diverger.

• Hébergement du serveur

  Machine sur laquelle tournent le site, l'application, l'API et la génération des documents. Tout le traitement s'y exécute : ce prestataire est celui dont la portée est la plus large.

  Prestataire : OVH SAS (OVHcloud) — France.
  Aucun transfert hors de l’Union européenne.

• Base de données

  PostgreSQL, où résident l'évaluation, les comptes et le journal d'audit — c'est là que s'appliquent les policies de cloisonnement. Elle tourne sur la MÊME machine que le reste du service, et n'est joignable depuis aucun réseau public.

  Prestataire : OVH SAS (OVHcloud) — France.
  Aucun transfert hors de l’Union européenne.

• Relais de courrier électronique

  Acheminement des seuls messages de service : confirmation d'adresse, réinitialisation et alerte de changement de mot de passe. Le relais reçoit l'adresse et le nom du destinataire, ainsi que le corps du message.

  Prestataire : Sendinblue SAS (Brevo) — France.
  Transfert hors Union européenne : Clauses contractuelles types et décision d'adéquation, pour ceux de ses propres sous-traitants qui sont établis hors de l'Union.

• Paiement en ligne

  Ouverture de la souscription et gestion de l'abonnement. Reçoit votre adresse e-mail et l'identifiant de votre organisation ; recueille lui-même, sur ses pages, les données de la carte et de facturation, que l'éditeur ne voit jamais.

  Prestataire : Stripe Payments Europe, Limited — Irlande. Uniquement si vous souscrivez une formule payante.
  Transfert hors Union européenne : Transfert vers Stripe, LLC aux États-Unis, fondé sur la décision d'adéquation « cadre de protection des données UE–États-Unis », et à défaut sur les clauses contractuelles types.

• Hébergement de la supervision et des sauvegardes déportées

  Seconde machine de l'éditeur, distincte de celle qui sert le service, et qui reçoit deux choses. D'abord les journaux de fonctionnement, recopiés pour être consultables : ils portent l'adresse IP du visiteur et l'adresse à laquelle un courriel de service a été envoyé. Ensuite, chaque nuit, une copie de la sauvegarde de la base — qui contient donc l'ensemble des données du service, évaluation comprise. C'est elle qui fait qu'un sinistre sur la machine principale ne fait pas perdre vos données. Le transfert est TIRÉ par cette seconde machine : celle qui sert le service n'a aucun accès vers elle, de sorte que qui prendrait la main sur la première ne peut pas effacer les copies.

  Prestataire : OVH SAS (OVHcloud) — France.
  Aucun transfert hors de l’Union européenne.

• Protection contre les attaques automatisées

  Filtrage des adresses à l'entrée du serveur. Les adresses IP à l'origine d'une attaque détectée, l'horodatage et le nom du scénario déclenché sont partagés avec le réseau du fournisseur ; le contenu des requêtes ne l'est jamais.

  Prestataire : CrowdSec — France.
  Aucun transfert hors de l’Union européenne.

13.5 Fichier de personnel et suivi des formations

Le service permet au client de tenir la liste de son personnel et le suivi des formations à la sécurité correspondantes. Ces données concernent des personnes qui ne sont pas utilisatrices du service et n’en ont pas connaissance : elles appellent donc les précisions qui suivent.

Ce qui est enregistré. Pour chaque salarié : nom et prénom, et facultativement le poste, un matricule interne au client, l’unité de travail de rattachement, la date d’entrée et la date de sortie. Pour chaque formation : son intitulé, sa date d’obtention, son échéance, l’organisme et la référence du titre.

Ce qui ne peut pas l’être : aucune date de naissance, aucun numéro de sécurité sociale, aucune adresse personnelle, aucune donnée de santé — ni aptitude, ni restriction, ni date de visite médicale. Ces champs n’existent pas dans le produit : leur absence est une propriété du logiciel, et non une consigne d’usage. L’aptitude médicale est une donnée concernant la santé au sens de l’article 9 du règlement, dont le traitement est interdit par principe ; elle est détenue par le service de prévention et de santé au travail, et l’employeur n’en connaît que l’avis.

Ce que le service en fait. Il calcule les échéances de renouvellement à partir des périodicités du référentiel, et signale deux mois à l’avance celles qui approchent. Ces signalements figurent dans l’espace du client et, pour les membres qui peuvent publier une version, dans le rappel mensuel de l’article 3.1. Un salarié dont la date de sortie est renseignée quitte les rappels ; ses formations restent consultables, l’employeur devant pouvoir en justifier après son départ.

Un champ libre reste un champ libre. Le client s’abstient d’y consigner une donnée sensible que le produit ne demande pas : les champs poste et intitulé de formation décrivent un travail, pas une personne. Il lui revient également d’informer son personnel de ce traitement, dont il est responsable.