Les présentes conditions s'appliquent lorsqu'une entreprise crée et utilise weakestlink — un service de formation à la sécurité et de simulation interne de phishing autorisée, exploité par WEAKESTLINK ApS (CVR 46614011, registre danois des sociétés), info@weakestlink.io. Le service est proposé exclusivement aux professionnels ; la législation relative à la consommation, y compris le droit de rétractation, ne s'applique pas. En créant un compte, vous acceptez les présentes conditions au nom de l'entreprise.

1. Compte et création

Le compte est créé en libre-service avec une adresse e-mail professionnelle. Vous garantissez être habilité à agir au nom de l'entreprise et que les informations fournies sont exactes. Vous êtes responsable de la confidentialité de vos identifiants de connexion et de l'activité effectuée sur le compte.

2. Période d'essai

Les nouvelles organisations bénéficient d'une période d'essai gratuite d'un mois à compter de la création, avec un nombre illimité d'utilisateurs et un accès complet. L'essai ne nécessite pas de carte bancaire et ne se transforme pas automatiquement en abonnement payant — aucun montant n'est prélevé tant que vous n'avez pas enregistré vous-même une carte.

3. Prix et paiement

Après la période d'essai, le prix en vigueur par utilisateur actif et par mois s'applique, tel qu'indiqué dans la liste de prix sur weakestlink.io — actuellement 1 € au Danemark. Les prix s'entendent hors taxes ; pour les ventes à des entreprises situées dans d'autres pays de l'UE, la facturation est établie selon les règles de l'autoliquidation. Les prix sont affichés à titre indicatif dans la devise locale, mais sont facturés en couronnes danoises (DKK) — le montant figurant sur votre relevé bancaire peut varier en fonction du taux de change appliqué par l'émetteur de votre carte et d'éventuels frais.

Le paiement s'effectue mensuellement, à l'avance, et est prélevé automatiquement sur la carte bancaire que vous avez enregistrée. Le nombre d'utilisateurs actifs est calculé le 1er du mois ; un utilisateur est actif lorsqu'il est créé sur le compte et qu'il n'a pas été désactivé (offboardé) au moment du calcul. Les utilisateurs créés en cours de mois ne sont comptabilisés qu'à partir du calcul suivant, et aucun remboursement n'est effectué pour les utilisateurs désactivés au cours d'un mois déjà facturé. Si le montant ne peut être prélevé, nous vous en informons par e-mail et le compte est placé en mode restreint (section 4) jusqu'à ce que le paiement soit effectué.

Le prix peut varier selon le marché. Nous pouvons modifier le prix — y compris pour un seul marché à la fois — moyennant un préavis d'au moins 30 jours par e-mail ; le nouveau prix s'applique au plus tôt à partir de la première période de facturation suivant l'expiration du préavis, et jamais pour une période déjà payée. Si vous ne souhaitez pas continuer au nouveau prix, vous pouvez résilier avant son entrée en vigueur et payer le prix en vigueur jusqu'à la fin de l'abonnement. Il n'y a aucun engagement de durée.

4. Expiration de la période d'essai et mode restreint

Si la période d'essai expire sans qu'une carte bancaire n'ait été enregistrée — ou si un paiement ne peut être effectué — le compte est placé en mode restreint : il n'est plus possible d'envoyer de nouvelles simulations ni de créer de nouveaux utilisateurs, mais vos données et rapports sont conservés et restent accessibles. Le compte est de nouveau débloqué dès qu'un paiement est enregistré. Si le compte reste en mode restreint pendant plus de 90 jours consécutifs, nous considérons la relation client comme terminée ; nous vous en informons par e-mail au moins 30 jours à l'avance, puis supprimons les données personnelles conformément à l'accord de sous-traitance des données.

5. Utilisation autorisée

Les simulations de phishing ne peuvent être envoyées qu'aux propres collaborateurs de l'organisation (ou aux personnes disposant d'un compte chez vous), sur la base d'une autorisation écrite de la direction de l'organisation et d'une mise en balance des intérêts réalisée et approuvée (intérêt légitime, RGPD art. 6, § 1, point f) — et uniquement une fois qu'un domaine d'expéditeur a été vérifié. Il n'est pas permis d'utiliser le service pour envoyer des simulations à des tiers ou pour mener de véritables attaques. En cas d'abus, nous pouvons suspendre le compte immédiatement et résilier sans préavis.

6. Votre responsabilité concernant les simulations

Les simulations ne sont envoyées qu'avec votre autorisation expresse et sur la base de la mise en balance des intérêts que vous approuvez dans le produit. Vous garantissez que cette autorisation a été donnée par une personne ayant une responsabilité de direction, et que les représentants du personnel, comités d'entreprise, etc. ont été informés et associés lorsque la législation ou les accords en vigueur dans votre pays l'exigent. Vous assumez la responsabilité des conséquences internes des simulations approuvées — par exemple les réactions des collaborateurs, les alertes déclenchées dans vos systèmes de sécurité informatique ou les escalades erronées — sauf si le dommage résulte du fait que nous nous sommes écartés du contenu ou du périmètre de destinataires approuvés.

La livraison des simulations dans votre environnement de messagerie suppose que vous configuriez les exceptions recommandées (mise en liste blanche) dans votre filtre de messagerie. Nous ne sommes pas responsables des simulations bloquées ou modifiées par vos propres systèmes, et nous recommandons d'informer votre service informatique avant l'envoi de la première simulation.

7. Rôles et données personnelles

Lorsque vous utilisez le service pour la formation de vos collaborateurs, votre entreprise est responsable du traitement des données des collaborateurs, et weakestlink agit en tant que sous-traitant. Le traitement s'effectue conformément à l'accord de sous-traitance, accepté lors de la création du compte. Voir également la politique de confidentialité pour les informations dont weakestlink est lui-même responsable du traitement.

8. Disponibilité et support

Nous visons une disponibilité élevée, mais le service est fourni tel quel — sans disponibilité garantie (SLA) et sans délais de réponse de support garantis. Le support est assuré par e-mail à info@weakestlink.io, et nous répondons dans un délai raisonnable les jours ouvrés. Nous pouvons effectuer des opérations de maintenance et des mises à jour planifiées.

9. Responsabilité

Le service est un outil de formation et de mesure. Il ne constitue pas un conseil en sécurité et ne garantit ni une protection contre des attaques réelles, ni un changement de comportement précis chez les collaborateurs.

Aucune des parties n'est responsable des pertes indirectes, y compris les pertes d'exploitation, la perte de données ou les dommages consécutifs. Notre responsabilité totale au titre de l'accord est limitée au montant que vous avez payé pour le service au cours des 12 derniers mois. Ces limitations ne s'appliquent pas en cas de dol ou de faute lourde, ni lorsque le droit applicable ne permet pas une telle limitation.

10. Contenu du client et nos droits

Vous conservez les droits sur les données que vous fournissez (par exemple les listes de collaborateurs). Vous nous accordez uniquement l'accès nécessaire à la fourniture du service. Notre contenu de formation et notre bibliothèque de simulations appartiennent à weakestlink et ne peuvent être revendus ni publiés en dehors de votre organisation. Nous pouvons établir et utiliser des statistiques sous forme anonymisée et agrégée, non attribuables à votre organisation ou à des individus, afin d'améliorer le service et d'alimenter une veille des menaces à l'échelle du service.

Les modèles de simulation peuvent imiter des expéditeurs connus et reproduire les noms et logos de tiers. Ceux-ci appartiennent à leurs propriétaires respectifs, sont utilisés uniquement à des fins de formation interne autorisée auprès d'un cercle de destinataires restreint, et n'impliquent aucun lien avec ces propriétaires ni leur approbation. Si un titulaire de droits s'oppose à un modèle, nous le retirons.

11. Confidentialité

Les parties traitent de manière confidentielle leurs informations non publiques respectives — y compris les rapports sur les résultats de formation et de simulation de votre organisation — et ne les utilisent qu'aux fins de l'accord. Cette obligation subsiste après la résiliation. Nous n'utilisons pas votre nom ou votre logo à des fins de marketing sans votre consentement.

12. Résiliation et fin de contrat

Vous pouvez résilier à tout moment depuis l'administration ou en nous écrivant ; la résiliation prend effet à la fin de la période payée. Nous pouvons résilier avec un préavis de 30 jours à la fin d'un mois ; tout prépaiement pour la période postérieure à la résiliation sera remboursé. En cas de manquement substantiel — y compris un usage abusif (section 5) ou un défaut de paiement malgré rappel — nous pouvons suspendre le compte immédiatement et résilier sans préavis. À la fin du contrat, nous supprimons ou restituons les données personnelles selon votre choix, conformément à l'accord de sous-traitance (au plus tard 90 jours après la fin du contrat).

13. Force majeure

Aucune des parties n'est responsable des circonstances échappant à son contrôle raisonnable, y compris les pannes chez des sous-traitants, les coupures de courant, les cyberattaques, la guerre ou les injonctions des autorités, tant que ces circonstances perdurent.

14. Cession

Nous pouvons céder le contrat dans le cadre d'une cession totale ou partielle d'entreprise ou d'une restructuration. Vous ne pouvez pas céder le contrat sans notre consentement écrit, qui ne sera pas refusé sans motif raisonnable.

15. Modifications des conditions

Nous pouvons modifier les présentes conditions. Les modifications substantielles sont notifiées par e-mail avec un préavis d'au moins 30 jours. Si vous ne souhaitez pas continuer selon les conditions modifiées, vous pouvez résilier avant leur entrée en vigueur ; toute utilisation continue par la suite vaut acceptation.

16. Droit applicable et juridiction compétente

Les présentes conditions sont régies par le droit danois. Les litiges relèvent de la compétence exclusive des tribunaux danois, le tribunal de première instance (byret) du ressort où WEAKESTLINK ApS a son siège social étant compétent en première instance.

Des questions ? Écrivez-nous à info@weakestlink.io.