Feranor

Article 1. Objet

Les présentes conditions générales (les « Conditions ») fixent les conditions dans lesquelles Feranor, société à responsabilité limitée au capital de 1 000 €, immatriculée au registre du commerce et des sociétés de Lyon sous le numéro 937 926 020, dont le siège est au 27 rue Charton, 69600 Oullins-Pierre-Bénite, France (« Feranor »), concède au Client une licence d'utilisation de Feranor PQC Suite, en assure la maintenance et le support, et réalise les prestations de services commandées.

Elles s'appliquent à toute Commande et sont remises au Client avec chaque devis ; elles lui sont communiquées à tout moment sur simple demande. Les conditions générales d'achat du Client ne s'appliquent pas, sauf acceptation écrite de Feranor.

Article 2. Définitions

Terme	Sens
Produit	Feranor PQC Suite : Feranor PQC SDK for .NET (paquets Feranor.Net.Cryptography.*), Feranor PQC CLI (fpqc), Feranor PQC Sidecar et Feranor PQC Console, sous forme exécutable, avec leur documentation et leurs mises à jour
Client	La personne morale qui passe la Commande
Entité	L'entité juridique désignée dans la Commande, identifiée par son numéro SIREN ou équivalent ; un groupe compte autant d'Entités que de personnes morales qui utilisent le Produit
Commande	Le bon de commande, le devis accepté ou le marché qui désigne l'Entité, le Produit, les Prestations, les prix et la durée
Abonnement	Le droit d'utiliser le Produit et de recevoir sa maintenance et son support pendant une période de 12 mois, renouvelable
Clé de licence	La clé remise par Feranor qui identifie l'Abonnement ; elle est vérifiée hors ligne et ne conditionne aucune fonction cryptographique du Produit ; Feranor PQC Console ne sert qu'avec une Clé de licence valide (article 6)
Version majeure	Une version du Produit dont le premier numéro change (1.x, 2.x)
Période de support	La durée pendant laquelle une Version majeure est maintenue : 5 ans à compter de sa première publication, date de fin indiquée dans la Commande
Politique de maintenance et de support	Le document de Feranor qui décrit les versions, la maintenance et le support (SUPPORT.md, repris en français dans le guide livré, chapitre Exploitation), dans sa version à la date de la Commande
Politique de sécurité	Le document de Feranor qui décrit le signalement et le traitement des vulnérabilités (SECURITY.md, repris dans le guide livré, chapitre Exploitation)
Prestations	Les services commandés en plus de l'Abonnement : audit, intégration, raccordement à un HSM, formation

Article 3. Documents contractuels

Le contrat est formé, par ordre de priorité décroissant : de la Commande et de ses conditions particulières, des présentes Conditions, de la Politique de maintenance et de support, de la Politique de sécurité, puis de la documentation du Produit. En cas de contradiction, le document de rang supérieur prévaut.

Pour un acheteur public, les pièces du marché (acte d'engagement, cahier des clauses administratives particulières) prévalent sur les présentes Conditions.

Article 4. Commande et entrée en vigueur

La Commande prend effet à sa signature par les deux parties, ou à l'acceptation écrite du devis par le Client. En signant la Commande ou en acceptant le devis, le Client reconnaît avoir reçu les présentes Conditions avant de s'engager, et les accepte.

L'Abonnement commence à la date indiquée dans la Commande, à défaut à la remise de la Clé de licence.

Article 5. Licence

5.1 Droits concédés

Pendant l'Abonnement, Feranor concède au Client, pour les besoins propres de l'Entité, un droit non exclusif, non cessible et non transférable :

• d'installer et d'utiliser le Produit, sans limite de nombre d'applications, de serveurs, de conteneurs, d'environnements ou de développeurs ;
• d'intégrer Feranor PQC SDK for .NET dans les applications de l'Entité, et d'exécuter ces applications, y compris pour fournir des services aux clients de l'Entité, tant que le Produit n'est pas lui-même remis à ces tiers ;
• de reproduire le Produit dans la mesure nécessaire à ces usages, y compris dans les images de conteneur et les chaînes de déploiement de l'Entité ;
• de faire réaliser ces actes par ses prestataires, pour le compte exclusif de l'Entité et sous sa responsabilité.

Les environnements de développement et de test sont couverts par l'Abonnement, sans surcoût.

5.2 Limites

Sauf accord écrit de Feranor, le Client s'interdit :

• de distribuer, louer, prêter, céder ou mettre à disposition le Produit à des tiers, y compris intégré dans un produit ou un logiciel remis à des tiers (cet usage fait l'objet d'une offre sur devis) ;
• de l'utiliser au profit d'une autre personne morale que l'Entité ;
• de le modifier, d'en supprimer les mentions de propriété, ou d'en contourner la Clé de licence.

Le Client conserve les droits que lui reconnaît l'article L. 122-6-1 du Code de la propriété intellectuelle : copie de sauvegarde, observation, étude et test du fonctionnement, décompilation dans les conditions qu'il fixe pour l'interopérabilité. Feranor se réserve le droit de corriger les erreurs du Produit.

5.3 Évaluation

Feranor peut, à sa seule discrétion, remettre le Produit pour une évaluation hors production, pour la durée et aux conditions qu'elle fixe par écrit. L'évaluation est fournie sans aucune garantie ; à son terme, le Client cesse d'utiliser le Produit ou passe Commande.

5.4 Audit

Pendant les 2 ans qui suivent la fin de l'Abonnement, Feranor peut faire vérifier par un auditeur indépendant, tenu au secret, que le Client n'utilise plus le Produit, au plus une fois par an, en le prévenant par écrit 30 jours avant. L'audit se fait sur pièces ou, aux heures ouvrées, sur site, dans le respect des règles de sécurité du Client et sans accès à ses données ni à ses clés. Il est aux frais de Feranor, sauf s'il révèle une utilisation non couverte : le Client règle alors au barème en vigueur les Abonnements correspondants, depuis le début de cette utilisation, et rembourse les frais de l'audit.

Article 6. Clé de licence

Feranor remet une Clé de licence par Abonnement. Elle est vérifiée hors ligne, sans appel à Feranor.

Elle ne conditionne aucune fonction cryptographique du Produit : Feranor PQC SDK for .NET, Feranor PQC CLI et Feranor PQC Sidecar chiffrent, déchiffrent, signent et vérifient avec une clé absente, invalide ou expirée, qu'ils signalent seulement dans leurs journaux.

Feranor PQC Console, qui ne chiffre ni ne signe, ne sert que tant que le Sidecar qu'elle appelle dispose d'une Clé de licence valide. Elle ferme le jour où la Clé de licence expire, sans délai de grâce ; sa page d'administration en prévient 30 jours avant. Pendant le délai de 90 jours de l'article 11.3, les données restent accessibles par les autres composants du Produit.

Le Client ne communique pas la Clé de licence à des tiers.

Article 7. Propriété intellectuelle

Feranor est et reste titulaire de tous les droits de propriété intellectuelle sur le Produit, ses mises à jour et sa documentation. Le contrat ne transfère au Client que les droits de l'article 5.

Le Produit s'appuie sur des composants de tiers sous licence libre (notamment le runtime .NET, OpenSSL pour les images de conteneur, OpenTelemetry pour le sidecar), qui restent régis par leur propre licence. Leur liste figure dans la nomenclature logicielle (SBOM) livrée avec chaque version.

Feranor garantit le Client contre toute action d'un tiers alléguant que le Produit, utilisé conformément au contrat, contrefait ses droits de propriété intellectuelle en France, à condition que le Client l'en informe sans délai et lui laisse la conduite de la défense. Feranor peut alors, à son choix, obtenir le droit de poursuivre l'utilisation, modifier le Produit pour qu'il ne soit plus contrefaisant, ou, à défaut, résilier l'Abonnement et rembourser la part du prix correspondant à la période non écoulée.

Article 8. Maintenance et support

Pendant l'Abonnement, Feranor fournit la maintenance et le support décrits dans la Politique de maintenance et de support : nouvelles versions, corrections, évolutions cryptographiques, et support par e-mail les jours ouvrés, en français ou en anglais.

Les délais de première réponse sont des objectifs de moyens. Le support couvre le Produit ; il ne couvre pas le développement des applications du Client, la conception de son architecture ou de son infrastructure, ni les versions ou plateformes non supportées.

Les correctifs de sécurité sont fournis gratuitement à tout utilisateur jusqu'à la fin de la Période de support de la Version majeure concernée, dans les délais de la Politique de sécurité.

Article 9. Prestations

Les Prestations sont réalisées selon le devis accepté, au prix journalier ou forfaitaire qui y figure. Feranor y est tenue d'une obligation de moyens. Le Client fournit les informations, accès et interlocuteurs nécessaires ; un retard de sa part décale d'autant les délais.

Les frais de déplacement sont facturés en sus, au réel. Les livrables sont réputés acceptés à défaut de réserve écrite et motivée dans les 10 jours ouvrés de leur remise. Le Client acquiert, à leur paiement complet, le droit d'utiliser les livrables pour ses besoins propres ; Feranor conserve ses savoir-faire, outils et composants génériques.

Article 10. Prix, facturation et paiement

Les prix sont ceux de la Commande, établis d'après le barème de Feranor en vigueur à sa date (l'offre commerciale, communiquée avec le devis et sur simple demande) et les éventuelles réductions qui y figurent. Ils sont en euros hors taxes ; la TVA s'y ajoute au taux en vigueur.

• L'Abonnement est facturé annuellement, à son début puis à chaque renouvellement.
• Les Prestations sont facturées à leur réalisation, ou par tranches pour celles de plus de 10 jours.
• Les factures sont payables à 30 jours à compter de leur date d'émission, par virement. Aucun escompte n'est accordé pour un paiement anticipé.
• Tout retard de paiement entraîne de plein droit des pénalités au taux de trois fois le taux d'intérêt légal, et l'indemnité forfaitaire pour frais de recouvrement de 40 € (articles L. 441-10 et D. 441-5 du Code de commerce).

Si une facture reste impayée 15 jours après une mise en demeure, Feranor peut suspendre le support, la remise des nouvelles versions et celle de la Clé de licence de la période suivante, jusqu'au paiement complet. Les correctifs de sécurité restent fournis (article 8).

À chaque renouvellement, Feranor peut, sans y être tenue, réviser le prix de l'Abonnement. Elle indique le nouveau prix au Client par écrit au moins 3 mois avant l'échéance ; à défaut, le prix reste inchangé pour la période suivante. Le Client qui refuse la révision dénonce le renouvellement dans les conditions de l'article 11.1.

Article 11. Durée, renouvellement et fin du contrat

11.1 Durée et renouvellement

L'Abonnement est conclu pour 12 mois. Il se renouvelle tacitement pour des périodes de 12 mois, sauf dénonciation par l'une des parties par écrit au moins 1 mois avant son échéance. Pour un acheteur public, la durée et les reconductions sont celles du marché.

11.2 Résiliation

En cas de manquement grave d'une partie à ses obligations, non réparé 30 jours après une mise en demeure par lettre recommandée avec accusé de réception, l'autre partie peut résilier le contrat de plein droit, sans préjudice des dommages et intérêts qu'elle pourrait demander.

11.3 À la fin de l'Abonnement

À la fin de l'Abonnement, quelle qu'en soit la cause, le droit d'utilisation de l'article 5.1 prend fin. Le Client dispose de 90 jours pour cesser d'utiliser le Produit et, dans ce délai, déchiffrer ou migrer les données qu'il a traitées avec le Produit. Il ne reçoit plus ni nouvelles versions ni support.

Passé ce délai, le Client n'a plus aucun droit d'utiliser le Produit. Ses données ne dépendent pas du Produit : elles suivent des formats publics (messages CMS selon le RFC 5652 et ses extensions publiées par l'IETF, clés au format PKCS#8), que toute implémentation conforme peut lire.

11.4 Réversibilité

Pour préparer la fin de l'Abonnement, le Client peut, sur demande écrite au moins 1 mois avant l'échéance :

• prolonger le délai de 90 jours de l'article 11.3, par périodes de 3 mois, au prorata du prix de l'Abonnement ;
• obtenir, sur devis, un droit limité au déchiffrement et à la vérification de ses données existantes, sans nouveau chiffrement ni nouvelle signature ;
• confier à Feranor, sur devis, une assistance au déchiffrement ou à la migration de ses données.

11.5 Clauses maintenues

Les articles 5.2, 5.4, 7, 11.3, 11.4, 12, 13, 14 et 20 survivent à la fin du contrat.

Article 12. Garanties et obligations du Client

Feranor garantit que le Produit est, pour l'essentiel, conforme à sa documentation. Si le Client constate une non-conformité reproductible, Feranor la corrige ou la contourne dans les conditions de la Politique de maintenance et de support ; c'est le seul recours du Client au titre de cette garantie.

Feranor ne garantit pas que le Produit fonctionne sans aucune interruption ni erreur, ni qu'un algorithme cryptographique reste sûr face à des progrès de la cryptanalyse qui ne sont pas connus à la date de la version concernée. Le suivi de ces progrès fait partie de la maintenance.

Le Client est responsable :

• de l'infrastructure sur laquelle il exploite le Produit et du respect de ses prérequis (notamment OpenSSL 3.5 ou ultérieur hors conteneur) ;
• de la conservation et de la protection de ses clés privées, de leurs secrets et de leurs sauvegardes : une clé perdue rend impossible le déchiffrement des données chiffrées pour elle, et Feranor n'en détient aucune copie ;
• de la validation des certificats de ses correspondants et de ses propres choix de confiance ;
• de l'usage qu'il fait du Produit et de sa conformité aux règles qui lui sont applicables, y compris pour le transfert ou l'exportation hors de France.

Article 13. Responsabilité

Chaque partie est responsable des dommages directs et prévisibles qu'elle cause à l'autre par un manquement prouvé à ses obligations.

Feranor n'est pas responsable des dommages indirects, tels que les pertes d'exploitation, de chiffre d'affaires, de clientèle ou d'image, ni des pertes de données résultant de la perte, de la divulgation ou de la mauvaise gestion des clés et secrets du Client.

La responsabilité totale de Feranor, toutes causes confondues, est limitée aux sommes payées par le Client au titre du contrat pendant les 12 mois qui précèdent le fait générateur.

Ces limitations ne s'appliquent pas en cas de faute lourde ou dolosive, ni aux dommages corporels.

Article 14. Confidentialité

Chaque partie garde confidentielles les informations de l'autre qui lui sont communiquées comme telles ou qui le sont par nature (notamment les conditions financières, les éléments techniques non publics du Produit, et l'architecture et les données du Client), pendant le contrat et 5 ans après sa fin. Cette obligation ne vise pas les informations publiques, déjà connues de la partie qui les reçoit, ou qu'elle doit communiquer en vertu de la loi.

Article 15. Données personnelles

Le Produit fonctionne entièrement chez le Client : il n'envoie aucune donnée à Feranor, ni télémétrie ni contenu. Feranor ne traite donc pas, au titre de la licence, les données que le Client traite avec le Produit.

Feranor traite, comme responsable de traitement, les coordonnées des interlocuteurs du Client (nom, fonction, adresse e-mail professionnelle, téléphone) pour gérer la relation commerciale : Commandes, facturation, Clés de licence, envoi des versions et des avis de sécurité, support. Elles sont conservées pendant le contrat puis le temps des prescriptions légales, et ne sont ni vendues ni cédées. Ces personnes exercent leurs droits auprès de legal@feranor.com.

Le Client n'envoie au support ni clé privée, ni secret, ni contenu en clair ; aucun n'est nécessaire au diagnostic. Si une Prestation conduit Feranor à accéder à des données personnelles, les parties concluent l'accord prévu à l'article 28 du règlement général sur la protection des données.

Article 16. Réglementation de la cryptologie

Le Produit est un moyen de cryptologie au sens de l'article 29 de la loi n° 2004-575 du 21 juin 2004. Feranor en déclare la fourniture en France à l'ANSSI avant toute fourniture, conformément à l'article 30 de cette loi ; la date et la référence du récépissé sont communiquées au Client sur simple demande. Le transfert du Produit vers un autre État membre de l'Union européenne ou son exportation hors de l'Union, y compris par le Client, peuvent être soumis à des formalités propres ; le Client consulte Feranor avant toute opération de ce type.

Article 17. Sécurité et vulnérabilités

Feranor traite les vulnérabilités du Produit selon sa Politique de sécurité et ses obligations au titre du règlement (UE) 2024/2847 sur la cyber-résilience. Le Client signale les vulnérabilités qu'il découvre à security@feranor.com et ne les divulgue pas avant leur correction, ou au plus tard 90 jours après son signalement.

Article 18. Dépôt du code source

À la demande du Client et à ses frais, Feranor dépose le code source du Produit auprès d'un tiers de confiance, l'Agence pour la Protection des Programmes (APP) ou un autre convenu entre les parties, et le met à jour à chaque Version majeure. Le Client peut y accéder, pour les seuls besoins de la maintenance du Produit pour l'Entité, si Feranor cesse son activité sans successeur ou cesse de fournir les correctifs de sécurité pendant la Période de support. Les modalités figurent dans un accord de séquestre entre Feranor, le Client et le tiers.

Article 19. Références

Feranor ne cite le Client comme référence qu'avec son accord écrit, qui peut figurer dans la Commande.

Article 20. Cession et sous-traitance

Le Client ne peut céder le contrat sans l'accord écrit de Feranor, qui ne peut le refuser sans motif légitime en cas de fusion ou de transfert de l'activité concernée. Feranor peut confier à des sous-traitants une partie des Prestations ou du support, dont elle reste responsable.

Article 21. Force majeure

Aucune partie n'est responsable d'un manquement causé par un cas de force majeure au sens de l'article 1218 du Code civil. Si l'empêchement dure plus de 60 jours, chaque partie peut résilier le contrat par écrit, sans indemnité.

Article 22. Dispositions générales

• Le contrat exprime l'intégralité de l'accord des parties sur son objet et remplace tout accord antérieur sur le même objet.
• La nullité d'une clause n'affecte pas les autres.
• Le fait de ne pas se prévaloir d'un manquement ne vaut pas renonciation à s'en prévaloir plus tard.
• Les notifications se font par écrit, par lettre recommandée avec accusé de réception ou par e-mail avec accusé de réception, aux adresses de la Commande.
• Les parties reconnaissent la valeur probante des écrits électroniques et des signatures électroniques (articles 1366 et 1367 du Code civil) : un devis accepté, une Commande ou une notification signés ou échangés par voie électronique les engagent comme sur papier.
• Feranor peut modifier les présentes Conditions ; la version applicable est celle en vigueur à la date de la Commande ou de son dernier renouvellement.

Article 23. Droit applicable et litiges

Le contrat est soumis au droit français. Les parties cherchent d'abord une solution amiable, pendant au moins 30 jours à compter de la notification du différend. À défaut, tout litige relève de la compétence exclusive des tribunaux de Lyon, y compris en cas de référé ou de pluralité de défendeurs, sauf règle impérative contraire.