Conditions générales

1. Éditeur et champ d’application

Dibby, société par actions simplifiée immatriculée au RCS de Paris sous le numéro 939 503 181, dont le siège social est situé au 70 avenue de la Grande Armée, 75017 Paris (« dibby »), fournit une plateforme de création et d’exploitation d’applications métier, de workflows et d’agents d’intelligence artificielle. Contact contractuel et données personnelles : [email protected].

Les présentes conditions (« CG ») s’adressent exclusivement aux personnes morales et aux personnes physiques agissant pour les besoins de leur activité professionnelle (« Client »). Les salariés, prestataires et autres personnes habilitées accèdent au service pour le compte du Client (« Utilisateurs autorisés »). L’inscription d’un Utilisateur autorisé ne lui confère pas la qualité de Client à titre personnel.

La personne qui souscrit déclare disposer du pouvoir d’engager le Client. Les CG ne sont pas destinées à une souscription par un consommateur ; elles ne privent cependant aucun Client des dispositions impératives qui lui seraient applicables, notamment dans les cas particuliers de contrats hors établissement entre professionnels.

2. Documents contractuels et acceptation

Le contrat comprend le devis ou bon de commande accepté, ses annexes de service et de sécurité, l’annexe de sous-traitance ci-dessous et les présentes CG. Les conditions particulières prévalent sur les CG. Pour la protection des données personnelles, l’annexe de sous-traitance prévaut sur toute stipulation contradictoire, sans réduire les exigences impératives du RGPD. Les conditions d’achat du Client ne s’appliquent que si dibby les accepte expressément par écrit.

Le contrat prend effet à la date convenue lors de la commande. La version des CG acceptée, la date et la preuve de l’acceptation sont conservées et mises à disposition du Client. Une version durable du contrat peut être enregistrée ou imprimée.

3. Services et périmètre de la commande

Les services permettent, selon l’offre souscrite, d’organiser des données, de construire des applications, de collaborer, de connecter des systèmes tiers et d’exécuter des workflows ou des agents. La commande précise les fonctionnalités disponibles, les limites d’usage, les prestations d’accompagnement, le mode d’hébergement, les éventuels engagements de disponibilité et les modalités de support.

Une démonstration, une maquette ou une fonctionnalité annoncée sur la roadmap ne constitue pas un engagement de livraison sans mention expresse à la commande. Les fonctionnalités expérimentales sont identifiées comme telles et ne doivent pas être utilisées pour des opérations critiques sans accord adapté.

Le Client définit ses besoins et valide les configurations livrées selon les critères convenus. Toute prestation supplémentaire, migration, développement spécifique ou augmentation de capacité fait l’objet d’un accord sur son périmètre et son prix avant exécution.

4. Comptes, habilitations et sécurité des accès

Le Client désigne ses administrateurs, vérifie les habilitations de ses Utilisateurs autorisés et révoque les accès devenus inutiles. Les identifiants sont individuels ; les clés d’API, secrets et jetons de connexion ne doivent pas être partagés hors des personnes ou systèmes habilités. Les comptes techniques et agents disposent de droits limités à leurs missions.

dibby assure les contrôles d’accès relevant du service. Le Client reste responsable des permissions qu’il configure, de ses équipements et des systèmes qu’il connecte. Chaque partie signale sans délai indu toute compromission dont elle a connaissance et coopère pour en limiter les conséquences.

Il est interdit de contourner les contrôles d’accès, d’accéder aux données d’un autre client, d’introduire un code malveillant ou de réaliser des tests intrusifs sans autorisation écrite. Ces interdictions ne limitent pas les droits auxquels la loi interdit de déroger.

5. Données et contenus du Client

Le Client conserve ses droits sur les données, documents, instructions et contenus qu’il fournit ou produit dans ses espaces (« Données du Client »). Les éléments logiciels, applications, workflows et configurations générés au moyen de dibby relèvent du régime distinct prévu à l’article 11, sans transfert à dibby des droits préexistants du Client sur ses propres apports. Le Client garantit disposer des droits et bases légales nécessaires au traitement de ses données et à leur communication au service.

Les Données du Client sont privées par défaut. Leur accès dépend des habilitations et des fonctions de partage expressément activées par le Client. Elles ne deviennent pas publiques du seul fait de leur dépôt ou de la création d’un compte.

Le Client autorise uniquement les opérations nécessaires à la fourniture, à la sécurité, à la maintenance et au support des services, dans le cadre de ses instructions et du contrat. dibby ne vend pas ces données et ne les réutilise pas pour entraîner ses modèles ou ceux de tiers. Toute autre finalité nécessite un accord distinct et une base légale appropriée ; elle ne résulte pas des présentes CG.

Références commerciales. Sauf opposition du Client ou stipulation contraire de la commande, le Client autorise dibby, à titre non exclusif et gratuit, à citer sa dénomination et reproduire son logo, ainsi que les témoignages qu’il fournit à des fins de publication, sur son site internet et ses supports de présentation commerciale, accessibles dans le monde entier. Cette autorisation s’applique pendant la relation contractuelle puis tant que la référence demeure exacte et pertinente ; elle ne permet pas de présenter un ancien Client comme un client actuel. Elle ne couvre ni les Données du Client non publiques ni une recommandation, un résultat ou un témoignage que le Client n’a pas réellement exprimé.

Le Client peut refuser cette utilisation dès la souscription ou s’y opposer ultérieurement par e-mail à [email protected]. dibby cesse toute nouvelle diffusion et retire la référence des supports qu’il contrôle dans les trente jours de la réception de la demande. Les éléments comportant le nom, l’image ou d’autres données personnelles d’un interlocuteur restent soumis à ses droits et, lorsque nécessaire, à son consentement ; l’acceptation du Client ne s’y substitue pas.

6. Workflows, agents et intelligence artificielle

Les agents et workflows interviennent dans les limites de leur configuration, des autorisations attribuées et des intégrations activées. Le Client définit les actions autorisées, les validations humaines, les seuils et les éventuelles restrictions métier. dibby ne peut s’exonérer de ses propres obligations de sécurité ou de l’exécution conforme des configurations convenues.

Les résultats d’une IA peuvent être inexacts, incomplets ou inadaptés. Le Client organise une vérification proportionnée aux conséquences de leur utilisation, notamment avant une décision engageant une personne, un paiement, une communication externe ou une opération réglementée. Le service ne constitue pas, à lui seul, un conseil juridique, financier ou une validation de conformité.

Limites et responsabilité des usages automatisés. Sauf engagement exprès dans la commande, dibby ne garantit ni l’exactitude, ni l’exhaustivité, ni l’adéquation des résultats générés à un objectif particulier, ni l’obtention d’un résultat commercial ou réglementaire. Le Client demeure responsable des décisions et actions qu’il prend ou autorise à partir de ces résultats, y compris lorsqu’il choisit une exécution automatique sans validation humaine.

Dans les limites de l’article 14 et du droit applicable, dibby n’est pas responsable des dommages résultant d’instructions ou de données erronées fournies par le Client, de permissions ou de configurations qu’il a définies, d’une utilisation contraire à la documentation ou de l’exploitation de résultats sans les vérifications requises, dans la mesure où ces dommages ne sont pas imputables à un manquement de dibby. Ces exclusions ne couvrent pas les défauts des contrôles d’accès relevant de dibby ni l’exécution non conforme des configurations convenues.

Les modèles, prestataires et conditions de traitement utilisés pour une fonctionnalité sont documentés avant son activation. Un modèle choisi ou fourni par le Client reste soumis à la répartition des responsabilités convenue et à l’annexe de sous-traitance lorsqu’il traite des données personnelles.

Les usages interdits par la réglementation sont prohibés. Un usage soumis à des obligations particulières, notamment une décision exclusivement automatisée produisant des effets juridiques ou un système d’IA à haut risque, nécessite une évaluation préalable et un encadrement contractuel adapté. Le simple accès à dibby n’atteste pas de la conformité de cet usage.

7. Intégrations et services tiers

Le Client autorise les connexions à ses systèmes et vérifie les droits nécessaires. Il peut révoquer les autorisations selon les moyens prévus par le service ou le fournisseur concerné. Les droits d’accès accordés doivent rester proportionnés au besoin.

Les services tiers choisis directement par le Client relèvent de leurs propres conditions. dibby informe le Client des limitations connues affectant une intégration et reste responsable des sous-traitants qu’il engage conformément au contrat. La dépendance à un tiers ne constitue pas une exclusion générale de responsabilité.

8. Hébergement, maintenance et support

La commande précise si le service est exploité sur l’infrastructure gérée par dibby, dans l’environnement cloud du Client ou sur une autre infrastructure convenue. Les lieux de traitement, responsabilités d’exploitation, sauvegardes et procédures de restauration sont documentés pour le déploiement retenu.

dibby met en œuvre des mesures de sécurité adaptées aux risques et maintient les composants relevant de son périmètre. Le Client maintient les composants relevant du sien. Les interventions planifiées susceptibles d’interrompre le service sont annoncées dans un délai raisonnable ; une intervention urgente de sécurité peut être réalisée sans préavis avec information dès que possible.

Aucun taux de disponibilité, délai de rétablissement ou certification n’est garanti par ces seules CG. Les engagements mesurables, horaires de support et éventuels crédits de service figurent dans un accord de service spécifique. Cette stipulation ne dispense pas dibby de fournir les services convenus avec diligence.

9. Durée, renouvellement et évolution de l’offre

La durée initiale, la périodicité et les conditions de renouvellement sont indiquées avant la commande. Une reconduction tacite ne s’applique que si elle est expressément prévue. À défaut de préavis particulier accepté à la commande, une partie peut notifier le non-renouvellement au moins trente jours avant l’échéance, ou jusqu’à la veille de l’échéance pour un abonnement mensuel.

Une modification substantielle défavorable est annoncée au moins trente jours à l’avance et ouvre une possibilité de résiliation avant son entrée en vigueur, avec remboursement des sommes prépayées relatives à la période non fournie.

10. Prix, facturation et paiement

Les prix sont exprimés hors taxes, selon la devise, les volumes et les échéances de la commande. Les taxes applicables sont ajoutées à la facture. Les crédits, quotas, dépassements et conditions d’expiration sont présentés avant souscription. Aucune option payante ou augmentation de quota n’est activée sans autorisation du Client selon le mécanisme convenu.

À défaut d’échéance différente licitement convenue, les factures sont payables à trente jours à compter de leur émission. Toute contestation doit être motivée et les sommes non contestées restent dues. Un changement de tarif est notifié au moins trente jours avant son application et ne modifie pas rétroactivement une période déjà souscrite à prix ferme.

Tout retard entraîne, dès le lendemain de l’échéance et sans rappel préalable, des pénalités au taux de refinancement de la Banque centrale européenne majoré de dix points, déterminé conformément à l’article L. 441-10 du Code de commerce, ainsi que l’indemnité forfaitaire de 40 euros pour frais de recouvrement. Des frais supplémentaires peuvent être réclamés sur justificatifs lorsque les conditions légales sont réunies. Les exceptions légales, notamment en matière de procédures collectives, demeurent applicables.

11. Propriété intellectuelle

dibby et ses concédants conservent les droits sur la plateforme, ses composants, sa documentation et leurs évolutions. Le Client reçoit, pendant la durée du contrat et dans son périmètre, un droit non exclusif d’utilisation pour ses besoins professionnels et ceux de ses Utilisateurs autorisés.

Applications créées avec dibby, y compris par IA. La création d’une application, d’un workflow, d’une configuration ou de code au moyen du service, le paiement de l’abonnement ou une prestation d’accompagnement n’emportent aucune cession automatique au Client des droits de propriété intellectuelle détenus par dibby sur ces éléments. Le Client bénéficie du droit d’utilisation prévu ci-dessus pour exploiter ses applications dans le cadre du service.

Toute cession de ces droits au Client, notamment pour une exploitation indépendante de dibby, exige un contrat de cession spécifique, écrit et signé. Celui-ci identifie les livrables et les droits effectivement cédés, leur étendue, leur destination, le territoire, la durée, les modalités de remise du code source et la rémunération convenue. À défaut, aucune cession ne peut être déduite de la seule génération ou utilisation de l’application. La plateforme, ses composants préexistants et les éléments de tiers restent exclus de la cession, sauf mention expresse et sous réserve des droits nécessaires.

Cette disposition porte uniquement sur les droits existants et cessibles dont dibby dispose ; elle ne crée pas de droits sur un résultat d’IA qui ne serait pas protégeable et ne garantit pas son exclusivité. Les droits du Client sur ses propres données et apports préexistants, les licences des tiers et les droits impératifs d’export ou de changement de fournisseur restent préservés. L’absence de contrat de cession ne permet pas de refuser la restitution des Données du Client et des actifs exportables prévue à l’article 16.

12. Protection des données personnelles

Chaque partie respecte le RGPD, la loi Informatique et Libertés et les autres textes applicables dans son rôle. Pour les données métier traitées sur instruction du Client, dibby intervient comme sous-traitant ; le Client est responsable de traitement ou, lorsqu’il agit pour un tiers, sous-traitant disposant de l’autorisation nécessaire. L’annexe A s’applique à ces traitements.

Pour la gestion de ses contacts, de la relation commerciale, de ses obligations légales et de ses propres finalités de sécurité ou d’analyse d’utilisation, dibby agit comme responsable de traitement selon sa politique de confidentialité. Cette qualification ne l’autorise pas à réutiliser les données métier pour ses propres finalités.

Le Client informe ses Utilisateurs autorisés sur les traitements qu’il met lui-même en œuvre. Les enregistrements de sessions et autres traceurs non essentiels de dibby ne sont activés qu’après le choix requis de la personne concernée. Leur refus ou retrait n’empêche pas l’accès aux fonctions essentielles du service. L’administrateur ne consent pas au nom de tous ses utilisateurs par la seule signature du contrat.

13. Confidentialité

Chaque partie protège les informations non publiques reçues de l’autre et n’y donne accès qu’aux personnes ayant besoin d’en connaître, soumises à une obligation de confidentialité appropriée. Elle ne les utilise que pour l’exécution du contrat.

Cette obligation ne s’applique pas aux informations devenues publiques sans faute, déjà connues licitement, reçues licitement d’un tiers ou développées indépendamment. Une divulgation légalement imposée est limitée au nécessaire et précédée d’une information lorsque la loi l’autorise.

L’obligation perdure trois ans après la fin du contrat, aussi longtemps que nécessaire pour les données personnelles et tant que les conditions légales de protection d’un secret des affaires sont réunies pour ce secret.

14. Responsabilité

Chaque partie répond des dommages directs et prévisibles causés par un manquement prouvé à ses obligations. Dans les limites autorisées par la loi, la responsabilité totale de dibby au titre du contrat est plafonnée au montant hors taxes payé ou dû pour les services concernés pendant les douze mois précédant le fait générateur. Les pertes indirectes, notamment les pertes de chance commerciale ou d’image, sont exclues dans ces mêmes limites.

Ces limitations ne s’appliquent pas au dol, à la faute lourde, aux dommages corporels ni aux responsabilités que la loi interdit de limiter. Elles ne privent pas de sa substance une obligation essentielle. Elles ne limitent ni les droits des personnes concernées ni les pouvoirs d’une autorité au titre du RGPD. Les recours entre responsables de traitement et sous-traitants demeurent régis par les dispositions impératives applicables.

Le Client n’assume pas les manquements propres de dibby. Toute réclamation est signalée avec les informations utiles dans un délai raisonnable, sans réduction conventionnelle des délais légaux de prescription.

15. Suspension et résiliation pour manquement

En cas de manquement, la partie lésée peut résilier le contrat après une mise en demeure écrite restée sans effet pendant quinze jours, précisant le manquement et la conséquence envisagée.

Une suspension immédiate, limitée au périmètre nécessaire, est possible en cas de menace de sécurité, d’usage manifestement illicite ou d’obligation légale. dibby en indique les motifs dès que cela est possible et rétablit le service après disparition de la cause. Un impayé ne justifie une suspension qu’après information et possibilité raisonnable de régularisation.

La résiliation ne dispense pas du paiement des services effectivement dus. En cas de résiliation pour un manquement non corrigé de dibby, la période prépayée non fournie est remboursée. Les obligations de confidentialité, de restitution, de suppression et les dispositions destinées à survivre au contrat restent applicables.

16. Réversibilité et fin du service

Le Client peut demander la restitution de ses données et actifs numériques exportables, y compris les métadonnées nécessaires à leur utilisation, dans un format structuré et couramment utilisé. Le périmètre, les formats, les moyens de récupération et les éventuelles exclusions justifiées par des droits de tiers sont décrits avant la commande. Une exclusion ne doit pas faire obstacle aux droits impératifs de changement de fournisseur.

Lorsque le chapitre VI du règlement (UE) 2023/2854 (« Data Act ») s’applique, dibby facilite le changement de fournisseur ou le transfert vers l’infrastructure du Client selon les délais et garanties prévus par ce règlement. Le préavis ne dépasse pas deux mois ; la période de transition n’excède pas trente jours calendaires, sous réserve des prolongations légalement admises et documentées. Une période de récupération d’au moins trente jours suit la transition. La continuité et la sécurité sont maintenues selon les obligations applicables.

Les frais de changement de fournisseur ne peuvent dépasser les limites légales ; ils sont supprimés à compter du 12 janvier 2027 lorsque cette obligation s’applique. Des prestations distinctes ne peuvent servir à contourner cette règle.

Après la période de récupération ou sur instruction valable de suppression, dibby supprime les données conformément à l’annexe A. Les données conservées pour une obligation légale sont isolées et limitées à cette finalité. Les échéances opérationnelles d’effacement et de rotation des sauvegardes doivent être fixées dans la fiche de traitement avant signature.

17. Force majeure

En cas de force majeure au sens de l’article 1218 du Code civil, la partie empêchée informe l’autre sans délai indu, en explique les conséquences et prend les mesures raisonnables pour les limiter. Les obligations affectées sont suspendues pendant l’empêchement. Si celui-ci se poursuit plus de trente jours, chaque partie peut mettre fin aux prestations affectées par notification écrite, sans préjudice des sommes dues pour les prestations déjà exécutées.

18. Modifications, notifications et droit applicable

Une nouvelle version des CG n’a pas d’effet rétroactif. Les modifications substantielles sont notifiées sur un support durable au moins trente jours avant leur application et recueillent l’accord requis ; elles ne remplacent pas silencieusement la version acceptée. Les droits de sortie prévus à l’article 9 demeurent applicables.

Les notifications contractuelles sont adressées aux contacts désignés à la commande. Le Client maintient ces coordonnées à jour. Si une clause est inapplicable, les autres dispositions subsistent, sauf si l’équilibre essentiel du contrat en est affecté.

Le contrat est régi par le droit français. Les parties recherchent une solution amiable sans empêcher une mesure urgente ou conservatoire. POUR LES LITIGES ENTRE PARTIES AYANT TOUTES CONTRACTÉ EN QUALITÉ DE COMMERÇANT, COMPÉTENCE EXPRESSE EST ATTRIBUÉE AUX TRIBUNAUX COMPÉTENTS DE PARIS, sous réserve des règles impératives. Dans les autres cas, les règles de compétence légales s’appliquent.

La version française fait foi. La traduction anglaise est fournie pour faciliter la lecture ; en cas de divergence, le texte français prévaut.

Annexe A. Accord de sous-traitance des données personnelles

Cette annexe encadre les traitements confiés à dibby conformément à l’article 28 du RGPD. Elle ne remplace pas la fiche de traitement propre au Client, qui doit être complétée et approuvée avant tout traitement.

A.1. Description et instructions

L’objet est la fourniture des services souscrits. Les opérations peuvent comprendre la collecte sur instruction, l’hébergement, l’organisation, la consultation, le rapprochement de documents, l’exécution de workflows, le traitement par les modèles autorisés, l’export et l’effacement. Les finalités sont exclusivement celles déterminées par le Client pour ses applications métier.

Les données peuvent concerner les Utilisateurs autorisés, salariés, clients, prospects, investisseurs, fournisseurs ou autres interlocuteurs du Client : identité professionnelle, coordonnées, rôles, données contractuelles et documents métier. La fiche précise les catégories effectivement concernées, les personnes, les finalités, les opérations, les volumes, la fréquence et la durée. Les données sensibles au sens de l’article 9, les données pénales de l’article 10 et les traitements exigeant des garanties sectorielles ne sont admis qu’après accord écrit et définition des mesures requises.

Le traitement dure pendant le contrat, puis uniquement pour la réversibilité et l’effacement convenus. Les instructions sont constituées du contrat, des configurations autorisées et des demandes écrites du Client. dibby informe immédiatement le Client si une instruction paraît contraire au droit applicable. Si une loi lui impose un autre traitement, dibby en informe le Client avant d’agir, sauf interdiction légale.

A.2. Confidentialité et sécurité

dibby limite les accès aux personnes habilitées tenues à la confidentialité. Il met en œuvre les mesures adaptées prévues à l’article 32 du RGPD, en tenant compte de la nature des données et des risques.

L’annexe de sécurité décrit, pour le déploiement choisi, l’authentification et les habilitations, l’isolation des environnements, la protection des transmissions et du stockage, la gestion des vulnérabilités, la journalisation, les sauvegardes, les tests de restauration, la gestion des incidents et la suppression. Elle indique les mesures réellement mises en œuvre, leur responsable et les options restant à activer. Une mesure non documentée n’est pas présentée comme acquise.

A.3. Sous-traitants ultérieurs

La liste initiale des sous-traitants est fournie et approuvée avant traitement ; elle précise leur identité, leur rôle, les lieux de traitement et les garanties de transfert. Le Client autorise leur recours dans ce périmètre.

Tout ajout ou remplacement est annoncé au moins trente jours à l’avance. Le Client peut formuler une objection motivée par la protection des données dans les quinze jours suivant l’information. Les parties recherchent une solution raisonnable ; à défaut, le Client peut mettre fin au service affecté avant l’intervention du nouveau sous-traitant, avec restitution des sommes prépayées non consommées.

dibby impose des obligations de protection équivalentes à ses sous-traitants et demeure responsable envers le Client de l’exécution de leurs obligations. Aucune clause générale n’autorise un prestataire à réutiliser les données pour entraîner ses modèles.

A.4. Localisation et transferts

Les lieux d’hébergement, de traitement et d’accès à distance sont indiqués dans la fiche. Un hébergement dans l’Union européenne ne suffit pas à exclure un transfert international.

Tout transfert hors de l’Espace économique européen respecte les instructions du Client et le chapitre V du RGPD. Les parties documentent le mécanisme applicable, les évaluations nécessaires et les mesures supplémentaires pertinentes avant le transfert. dibby communique les garanties sur demande et informe des changements affectant leur validité.

A.5. Droits, analyses d’impact et violations

dibby aide le Client à répondre aux demandes d’exercice de droits, à réaliser les analyses d’impact et, si nécessaire, les consultations de l’autorité. Une demande reçue directement est transmise au Client sans délai indu ; dibby ne répond sur le fond que sur instruction ou obligation légale.

dibby notifie au Client toute violation de données personnelles sans délai indu après en avoir pris connaissance. Il communique les informations disponibles : nature de l’incident, catégories et volumes concernés, conséquences probables, mesures prises et contact de suivi. Des compléments sont transmis progressivement sans retarder la première alerte.

Le Client décide des notifications à l’autorité et aux personnes, avec l’assistance de dibby. Le délai réglementaire éventuellement applicable au Client ne constitue pas un délai que dibby pourrait attendre avant de l’alerter. Un objectif contractuel d’alerte plus précis peut être défini selon les capacités opérationnelles convenues.

A.6. Preuves et audits

dibby tient à disposition les informations nécessaires pour démontrer le respect de cette annexe et permet les audits, y compris les inspections, par le Client ou un auditeur mandaté soumis à confidentialité. Une revue documentaire peut être réalisée en premier lieu, sans supprimer le droit d’inspection lorsque nécessaire.

Les audits ordinaires sont organisés avec un préavis raisonnable, en protégeant les autres clients et la sécurité. Ni une limite de fréquence ni des frais ne doivent empêcher un audit justifié par un incident, un risque sérieux, une non-conformité ou une demande d’une autorité. Les mesures correctives et leur suivi sont documentés.

A.7. Restitution et suppression

Au choix du Client, dibby restitue ou supprime les données à l’issue des services et détruit les copies, sauf conservation imposée par la loi. Les sauvegardes restant temporairement conservées sont isolées, protégées et éliminées selon le calendrier convenu ; elles ne sont réutilisées que pour une restauration nécessaire, avec réapplication des instructions d’effacement.

Une confirmation de restitution ou de suppression est fournie sur demande. Les données du Client ne peuvent être retenues comme garantie de paiement au détriment des obligations impératives de protection des données ou de réversibilité.