Légal & Confiance.

1. Nature des obligations — Obligation de moyens pure et simple

Viva QSE s'engage à exécuter ses prestations d'accompagnement, de conseil, de rédaction et d'audit avec toute la rigueur et le sérieux professionnel requis. Conformément au principe d'impartialité posé par l'article 9.2 des normes ISO de systèmes de management, Viva QSE s'interdit de signer en qualité d'auditeur interne officiel tout système de management qu'il a lui-même construit ou co-construit dans le cadre d'une mission BUILD (Offres A1/A2). Dans ce cas, Viva QSE réalise une simulation à blanc (CHECK — Offre B1) et/ou forme le référent interne du Client via l'Offre D2 afin qu'il signe l'audit réglementaire obligatoire. Compte tenu de la nature des démarches de mise en conformité, ses obligations s'entendent comme une obligation de moyens pure et simple, excluant de convention expresse toute garantie ou obligation de résultat.

L'obtention d'une certification (ISO 9001, 14001, 45001, 27001 ou autre) ou d'une validation réglementaire dépend exclusivement de l'implication opérationnelle du Client, du maintien quotidien des processus par ses collaborateurs, de sa conformité matérielle et de l'évaluation souveraine de l'organisme auditeur externe indépendant. Viva QSE ne saurait être tenu responsable d’un refus de certification, d’un report de l’audit officiel ou d’un avis défavorable d’un organisme tiers.

2. Obligation de coopération active & Clause anti-enlisement (Forfait de réactivation E1)

Le succès d'un déploiement express en 3 mois ou d'un cadrage de données repose sur une collaboration active et transparente. Le Client s'engage à désigner les référents qualifiés, à garantir leur présence aux ateliers de co-construction programmés, et à fournir au Prestataire l'ensemble des documents, accès et arbitrages de direction nécessaires dans un délai maximal de 5 jours ouvrés à compter de sa demande.

En cas d'inactivité, d'absence de réponse, de refus de livraison documentaire ou de reports répétés d'ateliers du fait du Client pendant plus de 15 (quinze) jours calendaires consécutifs, le projet sera légitimement considéré comme suspendu de plein droit, libérant le planning du Prestataire. Un tel "gel de projet" est formellement caractérisé soit par l'absence de réponse écrite du Client à deux (2) relances successives adressées par courrier électronique par le Prestataire sur une période de sept (7) jours calendaires, soit par la non-fourniture injustifiée des documents, accès ou arbitrages requis pour le bon déroulement du Sprint en cours dans ce même délai de sept (7) jours.

Pour toute réactivation ou reprise du projet suspendu à la demande du Client, une notification écrite de mise en demeure de réactivation sera envoyée par le Prestataire. Le Forfait de Réactivation (Offre E1) de 450 € HT sera facturé de plein droit au Client afin de couvrir la réorganisation complexe du calendrier de livraison, le rattrapage technique et la mise à jour par l'IA des éléments historiques du dossier, préalablement à toute reprise effective des prestations.

3. Cadrage strict du périmètre forfaitaire & Évolutions

Les tarifs forfaitaires proposés par Viva QSE s'appliquent exclusivement au périmètre d'intervention (nombre de sites d'exploitation, de processus métiers, de traitements ou d'effectif ETP) décrit de manière limitative et écrite dans le Devis signé ou dans la Spécification Agile jointe. Toute demande sortant de ce cadre, ou toute modification structurelle majeure de l'organisation survenant en cours de projet, fera l'objet d'un avenant contractuel écrit et d'un devis d'ajustement. Les interventions complémentaires non listées au devis initial seront facturées sur la base du TJM Public (TJM-P) de 1 200 € HT/jour (Offre E2) pour les Clients hors abonnement RUN actif, ou du TJM Abonné (TJM-A) de 850 € HT/jour pour les Clients titulaires d'un abonnement RUN Silver ou Gold, conformément aux dispositions de l'Offre E2.

4. Livraison, Recette et Validation : Distinction "Forfaits" vs "Run"

L'évaluation de la conformité des livrables s'effectue selon deux régimes contractuels distincts afin d'assurer la rigueur des projets et l'agilité indispensable du quotidien :

Renvoi — Missions en régie de longue durée : Pour les missions en régie visées à l'Article E2 dont la durée prévisionnelle excède 15 jours ouvrés, les modalités de facturation périodique et de validation par relevé d'activité mensuel prévues à l'Article E2 se substituent au régime de PV de recette décrit au présent article (§A).

A. Prestations au forfait (Build, Check, Training) : À l'achèvement de la prestation ou de chaque étape clé validée, Viva QSE émet un procès-verbal (PV) de recette dématérialisé. Le Client dispose d'un délai de 15 (quinze) jours calendaires pour notifier des réserves écrites et motivées. À défaut de retour écrit dans ce délai, la prestation est réputée conforme, validée de manière tacite, et la facturation correspondante devient exigible de plein droit.

B. Prestations récurrentes en abonnement (Run - MCO) : Les abonnements de maintien en condition opérationnelle (MCO) ne font l'objet d'aucun PV de recette. Le régime de validation diffère selon le niveau d'abonnement souscrit :

• Forfaits Run Bronze (C1) et Run Silver (C2) : La facturation mensuelle repose exclusivement sur la mise à disposition permanente de la hotline (SLA contractuel) et sur la réalisation des livrables périodiques à la fréquence définie au Devis. Aucun rapport d'activité mensuel n'est requis pour ces forfaits. Le service du mois échu est réputé validé à défaut de contestation écrite et motivée du Client dans un délai de 7 (sept) jours calendaires suivant la date d'émission de la facture mensuelle.
• Forfait Run Gold (C3) : L'exécution mensuelle des prestations est matérialisée par la tenue de la revue de conformité mensuelle (ou, en situation de crise, par un rapport flash transmis sous 48h ouvrées). Sauf contestation écrite et motivée du Client dans un délai de 7 (sept) jours calendaires suivant la transmission du compte-rendu de revue, le service du mois échu est réputé validé et conforme.

Pour les projets de la plateforme Malt, le processus natif de validation de fin d'étape ou de fin de projet de la plateforme vaut recette définitive et libère de plein droit la facturation.

5. Conditions spécifiques au Diagnostic de Maturité (Offre HOOK)

Le Diagnostic de Maturité (300 € HT) est une prestation autonome non remboursable. Son montant est intégralement déduit de la première facture émise de tout forfait BUILD (Famille A) ou du premier mois de tout abonnement RUN (Famille C) souscrit auprès de Viva QSE dans un délai strict de 30 jours calendaires à compter de la date de réalisation du Diagnostic. Passé ce délai, aucune déduction ne pourra être appliquée. La déduction est limitée à un seul forfait et ne peut être cumulée ni transférée à un tiers. Le Diagnostic ne constitue pas un engagement contractuel de souscription à une prestation ultérieure.

1. Politique d'annulation ou de report tardif des sessions

L'organisation et la réservation de créneaux de formation mobilisent l'agenda exclusif du formateur. Toute demande de report ou d'annulation doit être formulée par écrit à l'adresse bonjour@vivaqse.fr :

• Plus de 10 jours ouvrés avant la date planifiée : la session peut être reportée d'un commun accord, sans frais.
• Entre 5 et 10 jours ouvrés avant la date planifiée : une indemnité forfaitaire de report ou d'annulation tardive correspondant à 50% du montant de la session est facturée de plein droit.
• Moins de 5 jours ouvrés avant la date planifiée : la session est facturée à 100% de son montant d'origine, aucun report sans frais n'étant accordé.

2. Facturation directe — Absence de certification Qualiopi

Viva QSE contracte et facture directement le Client. Viva QSE n'est pas certifié Qualiopi au sens de la loi n° 2018-771 du 5 septembre 2018. En conséquence, les prestations de formation de Viva QSE ne sont pas éligibles à un financement direct par les Opérateurs de Compétences (OPCO) ni au Compte Personnel de Formation (CPF). Aucune subrogation de paiement OPCO n'est pratiquée par Viva QSE.

Toutes nos factures de formation sont payables directement par le Client sous 30 jours, indépendamment de toute démarche de financement complémentaire entreprise par le Client auprès de tiers. La transmission des attestations de présence ou feuilles d'émargement et la gestion administrative relèvent de la responsabilité exclusive du Client.

3. Absence de garantie d'évaluation ou d'assimilation

Viva QSE s'engage à concevoir des supports de qualité et à animer les sessions selon les objectifs pédagogiques définis. Cependant, l'atteinte d'un score d'évaluation ou l'assimilation complète des connaissances par les stagiaires dépendent de leur investissement. Le Prestataire ne saurait être tenu pour responsable de l'échec d'un collaborateur aux quiz d'acquisition de connaissances.

1. Indépendance consultative & Responsabilité CNIL

Conformément aux exigences de l'article 38 du RGPD, le DPO externe exerce ses fonctions de conseil et de contrôle de manière indépendante. Le DPO émet des recommandations, dresse des plans d'action et documente la conformité, mais le responsable du traitement (le Client) demeure le seul décisionnaire légal de la mise en œuvre effective de ces recommandations et de la gestion de ses infrastructures informatiques.

Par conséquent, Viva QSE ne saurait être tenu solidairement responsable de toute mise en demeure, avertissement ou sanction pécuniaire prononcée par la CNIL ou toute autorité de contrôle européenne à l’encontre du Client, sauf faute prouvée du Prestataire dans l’exécution de sa mission de conseil ou de contrôle, même si les faits reprochés concernent un traitement de données personnelles audité par le DPO.

2. Obligation de signalement immédiat des violations de sécurité

En cas d'incident de sécurité informatique, de fuite de données suspectée, de piratage, ou de perte d'accès à des données de clients ou collaborateurs, le Client s'engage à en notifier le DPO sous un délai maximal de 24 heures à compter de la découverte ou de la suspicion de l'incident.

Cette réactivité est indispensable pour permettre au DPO d'évaluer la gravité de l'incident et de conseiller le Client sur la notification officielle obligatoire de violation de données à la CNIL sous les 72 heures légales. Tout retard ou défaut d'information du Client décharge Viva QSE de toute responsabilité liée aux sanctions découlant du non-respect des délais réglementaires.

1. Périmètre & Indépendance RSSI externe

Lorsque Mathieu Bataillon EI (Viva QSE) est désigné en qualité de Responsable de la Sécurité des Systèmes d'Information (RSSI) externe dans le cadre d'un abonnement RUN, il exerce cette fonction de conseil et de pilotage de la Politique de Sécurité des Systèmes d'Information (PSSI) de manière indépendante. Le RSSI externe émet des recommandations, établit des plans de remédiation et assure le suivi des indicateurs de sécurité, mais le Client demeure seul décisionnaire de la mise en œuvre effective des mesures techniques et organisationnelles sur ses infrastructures.

2. Obligation de signalement des incidents de sécurité informatique

En cas d'incident de sécurité informatique, de suspicion de compromission, de perte ou de vol de données, le Client s'engage à en notifier le RSSI externe sous un délai maximal de 24 heures à compter de la découverte ou de la suspicion de l'incident. Tout retard de notification décharge Viva QSE de toute responsabilité liée aux conséquences du délai de réponse.

3. Limitation de responsabilité spécifique RSSI

Viva QSE ne saurait être tenu solidairement responsable des conséquences d'un incident de sécurité, d'une cyberattaque ou d'une violation de données survenant sur les infrastructures du Client, sauf faute prouvée du RSSI externe dans l'exécution de sa mission de conseil, et dans la limite du plafond défini à l'Article 7 des présentes CGV.

1. Forfait d'onboarding (Offre E3)

Tout Client accédant directement à un abonnement RUN sans avoir réalisé un projet BUILD (Famille A) avec Viva QSE dans les 6 mois précédant la souscription acquitte un forfait d'onboarding unique et non récurrent de 1 500 € HT (Offre E3). Ce forfait couvre l'audit d'entrée du système de management existant, l'état des lieux documentaire, la cartographie des écarts et la reprise de conformité initiale nécessaire au démarrage du MCO dans des conditions qualitatives optimales. Il est facturé avec la première mensualité de l'abonnement. Les Clients issus d'un parcours BUILD conclu dans les 6 mois précédents, ou activant la passerelle BUILD → RUN acceptée au Devis d'origine (Art. 13), en sont expressément dispensés.

2. Majoration multi-normes et multi-sites

Le tarif mensuel des abonnements RUN est calculé pour un périmètre de base défini au Devis (une norme principale ou un référentiel RGPD, et un site d'exploitation). Toute adjonction en cours de contrat d'un référentiel normatif supplémentaire (ex. : ajout de l'ISO 45001 à un contrat initialement limité à l'ISO 9001) ou d'un site d'exploitation additionnel entraîne de plein droit, dès le premier mois suivant la demande écrite validée par avenant, une majoration de 30 % du tarif mensuel HT en vigueur par norme ou site ajouté. Ces majorations sont cumulables entre elles et suivent le même mécanisme d'indexation SYNTEC que le tarif de base (Article 14).

3. Tarif journalier préférentiel abonné (TJM-A)

Les Clients titulaires d'un abonnement RUN Silver (C2) ou Gold (C3) actif bénéficient, pour toute journée d'expertise commandée en dehors des jalons contractuels inclus, du TJM Abonné (TJM-A) à 850 € HT/jour, en lieu et place du TJM Public (TJM-P) de 1 200 € HT/jour. Ce tarif préférentiel est valable exclusivement pendant la durée d'activité de l'abonnement RUN et ne peut être reporté ni capitalisé au-delà du terme du contrat. Il est décompté en journées entières ou demi-journées (0,5 jour = 425 € HT pour le TJM-A). Les abonnés Bronze (C1) bénéficient du TJM-A dans la limite de 2 journées additionnelles par an.

4. Avantages spécifiques Gold et Silver

Les abonnés Gold (C3) bénéficient d'une session de formation opérationnelle D1 offerte par année contractuelle (valeur 800 € HT), non reportable d'une année sur l'autre, ainsi que de la prise en charge illimitée de la gestion opérationnelle des incidents de conformité ou de sécurité (valeur marché estimée à 3 600–6 000 € HT/an). Les abonnés Silver (C2) bénéficient d'une remise de 20 % sur tout module de formation de spécialisation D2 commandé pendant la durée de leur abonnement actif.

5. Gouvernance agile du RUN, enveloppes Groupe & Multi-sollicitations

Afin de garantir l'agilité et l'efficacité indispensables aux fonctions de maintien en condition opérationnelle (MCO) — qu'il s'agisse de prestations de maintenance QSE, de sécurité de l'information (RSSI), de délégué à la protection des données (DPO) ou de conseil managérial —, les demandes d'assistance, d'avis réglementaires, de validation ou de traitement d'alertes peuvent être soumises directement par tout collaborateur habilité des différents services du Client (Direction, RH, Marketing, DSI, Opérations, Achats, etc.) ou de ses filiales rattachées. Le temps consacré à l'analyse et à la résolution de ces demandes est décompté de l'enveloppe globale et mutualisée "Groupe" spécifiée au Devis, assurant une fluidité opérationnelle optimale et évitant les goulets d'étranglement administratifs.

6. Désignation CNIL Multi-Siren (DPO Externe)

Dans le cadre des abonnements Run Gold (C3) ou de toute formule incluant la désignation d'un DPO externe, dès lors que le périmètre validé au Devis intègre plusieurs entités juridiques distinctes (Maison Mère et filiales disposant de numéros SIREN distincts), le Prestataire effectue autant de déclarations officielles individuelles de désignation auprès de la CNIL que d'entités spécifiées. Bien que les formalités réglementaires CNIL soient dupliquées par entité juridique, l'enveloppe d'heures de conseil et de suivi opérationnel reste globalisée et mutualisée à l'échelle du Groupe conformément aux conditions particulières du Devis.

1. Recours aux outils d'intelligence artificielle

Le Prestataire utilise des outils d'intelligence artificielle (modèles de langage, moteurs de rétro-ingénierie documentaire et solutions d'automatisation) pour la production partielle ou totale des livrables contractuels, notamment : politiques, procédures, cartographies de processus et de risques, registres réglementaires, rapports d'audit, analyses d'impact (AIPD/PIA) et tout autre document normatif ou de conformité. Le recours à ces outils constitue un élément central de la méthodologie agile de Viva QSE, dont le Client est informé et qu'il accepte expressément dès signature du Devis.

2. Responsabilité éditoriale et qualité

Chaque livrable produit avec l'assistance de l'IA fait l'objet d'une révision, d'une validation et d'une mise en cohérence par le Prestataire avant transmission au Client. Le Prestataire assume l'entière responsabilité éditoriale des livrables finaux. Le Client ne saurait invoquer le mode de production assisté par IA comme cause de non-conformité des livrables aux exigences normatives ou réglementaires, dès lors que les livrables répondent aux critères de fond définis au Devis ou à la Spécification Agile annexée.

3. Confidentialité des données traitées par l'IA

Le Prestataire s'engage à ne soumettre aux outils d'IA aucune donnée personnelle identifiante relevant du périmètre du Client, ni aucune information confidentielle couverte par l'Article 11, sans anonymisation ou pseudonymisation préalable. Le Prestataire s'engage à désactiver, pour l'ensemble des outils d'intelligence artificielle utilisés dans le cadre des missions, toute fonctionnalité d'entraînement des modèles sur les données transmises ainsi que tout historique de conversation susceptible d'exposer des informations du Client, préalablement à tout traitement impliquant des données ou informations relatives au Client. Les traitements réalisés par les outils IA sont effectués sous la responsabilité éditoriale exclusive du Prestataire, dans le respect du cadre défini à l'Article 10 (DPA).

4. Propriété intellectuelle des livrables

Les droits de propriété intellectuelle afférents aux livrables produits dans le cadre de la mission — qu'ils soient générés avec ou sans assistance de l'IA — sont cédés au Client à titre exclusif, à compter du règlement intégral de la facture correspondant au lot ou au sprint de livraison. Avant ce règlement, les livrables demeurent la propriété exclusive du Prestataire et ne peuvent être reproduits, diffusés ou soumis à un organisme tiers (certificateur, CNIL, client du Client) sans autorisation écrite préalable. Les méthodes, architectures documentaires et savoir-faire propriétaires de Viva QSE restent en toutes circonstances la propriété exclusive du Prestataire et ne sont pas compris dans la cession.