Conditions générales d'utilisation

1. Éditeur et objet

Weriff est édité par Cognita GRC, Inc. (Corporation de l'État du Delaware (États-Unis), Delaware File Number 10624888), siège : 131 Continental Dr, Suite 305, Newark, New Castle County, DE 19713, États-Unis. Contact : contact@weriff.com ; sécurité : securite@weriff.com.

Weriff mesure l'exposition cyber visible de l'extérieur d'une organisation et sa gouvernance déclarée, en tire une note et une classe de A à E, délivre une attestation vérifiable et permet de partager ces résultats avec des assureurs, sur consentement.

2. Comptes, double authentification et rôles

• Un compte est personnel, rattaché à une adresse e-mail confirmée. Vous êtes responsable de sa confidentialité.
• La double authentification est obligatoire pour les membres d'un assureur et pour l'administration de Weriff, et recommandée pour tous.
• Rôles : propriétaire (tout, dont les membres et les partages), validateur et souscripteur (assureurs), membre (contribue), lecteur (consulte sans modifier). Le propriétaire répond des accès qu'il accorde.
• Un statut « conforme » du module Conformité 010 ne compte comme conforme qu'une fois validé par une autre personne que celle qui l'a déclaré.

3. Domaines et scans

• Vous ne pouvez évaluer qu'un domaine dont votre organisation prouve le contrôle par un enregistrement DNS.
• Le scan passif n'utilise que des informations publiques et des requêtes ordinaires, décrites sur la page Sécurité.
• Le scan actif exige une autorisation signée par un propriétaire, bornée dans le temps et dans son périmètre, et l'accord préalable de l'hébergeur lorsque le contrat d'hébergement l'impose. Vous garantissez disposer de ces accords.
• Il est interdit d'utiliser Weriff pour évaluer un tiers sans son accord, pour contourner une mesure de sécurité ou pour perturber un service.

4. Nature du score et de l'attestation

• Le score est une mesure indicative, calculée par un modèle publié et versionné, à partir de constats techniques et de réponses déclarées. Ce n'est ni un audit, ni une certification, ni un avis juridique, ni un constat de conformité à un règlement.
• Les réponses au questionnaire engagent l'organisation qui les donne. Une réponse appuyée par une pièce datée pèse davantage qu'une réponse sans pièce, selon le modèle en vigueur.
• Une attestation est valable 90 jours au plus. La page publique de vérification indique si elle est valide, expirée, révoquée, dépassée par une classe plus basse, ou émise en essai.
• Il est interdit de modifier une attestation ou d'en présenter une qui n'est plus valable comme si elle l'était.

5. Partage avec les assureurs

• Aucun assureur ne voit les données d'une organisation sans un partage accordé par l'un de ses propriétaires, pour 30 ou 90 jours, révocable à tout moment avec effet immédiat.
• Un assureur peut demander un partage par e-mail ; rien n'est partagé tant que le destinataire ne l'a pas accordé.
• Les pièces justificatives ne sont accessibles à l'assureur que si le partage les inclut. Chaque consultation de la fiche, des pièces, des rapports et chaque lecture par l'API est inscrite au journal que voit l'organisation.
• L'assureur n'utilise les données partagées que pour apprécier, souscrire, gérer ou suivre un risque d'assurance de cette organisation. Il ne les revend pas et ne les communique pas à un tiers, sauf obligation légale ou réassurance couvrant ce même risque.

6. API et webhooks

Les clés d'API et les webhooks sont réservés aux assureurs disposant d'un abonnement actif. Une clé est confidentielle, n'ouvre que ce que l'assureur voit déjà dans son espace, et peut être révoquée à tout moment. L'usage est limité à 600 requêtes par heure et par clé.

7. Propriété intellectuelle

Weriff, ses modèles de score, ses référentiels et ses rapports restent la propriété de l'éditeur. Vos données restent les vôtres ; vous accordez à l'éditeur le droit de les traiter pour fournir le service, dans les conditions de la politique de confidentialité et de l'accord de traitement.

L'éditeur peut produire des statistiques agrégées et anonymisées, qui ne permettent d'identifier ni une organisation ni une personne.

8. Disponibilité et responsabilité

Les engagements de disponibilité et de support sont ceux de l'engagement de niveau de service. Hors ces engagements, le service est fourni avec diligence, sans garantie qu'il soit exempt d'erreur.

L'éditeur ne répond pas des décisions de souscription, de tarification ou d'indemnisation prises par un assureur, ni d'un incident de sécurité subi par une organisation évaluée. [Plafond de responsabilité : à arrêter avec le conseil, par exemple les sommes payées au titre des douze derniers mois.]

9. Suspension, résiliation, suppression

• L'éditeur peut suspendre un compte en cas de violation de ces conditions, d'usage abusif ou de risque pour la sécurité du service, en le motivant.
• Vous pouvez fermer votre organisation à tout moment. Ses données sont alors supprimées dans les 30 jours, sauf les empreintes du registre scellé (nécessaires à la vérification des attestations déjà émises) et les factures (conservées dix ans pour les obligations comptables).

10. Évolution des conditions, droit applicable

L'éditeur peut modifier ces conditions ; les changements substantiels sont annoncés par e-mail au moins 30 jours avant leur entrée en vigueur.

[Droit applicable et règlement des litiges : à arrêter avec le conseil, par exemple droit ivoirien et arbitrage de la Cour d'arbitrage de Côte d'Ivoire ou de la CCJA de l'OHADA, après une tentative de règlement amiable de 30 jours.]