Conditions générales de service

Article 1 — Objet et champ d'application

Les présentes conditions générales (ci-après les « CONDITIONS GÉNÉRALES ») ont pour objet de définir les modalités selon lesquelles le PRESTATAIRE met à la disposition du CLIENT la plateforme de vote électronique « CSE Election », marque blanche propulsée par la technologie Sephos, ainsi que les prestations d'accompagnement associées (ci-après le « SERVICE »).

Elles s'appliquent à toute commande du SERVICE, à l'exclusion de tout autre document, et notamment des conditions générales d'achat du CLIENT. Toute dérogation doit faire l'objet d'un accord écrit et exprès entre les parties dans les conditions prévues à l'article 4.

Le SERVICE est destiné aux employeurs et organisations tenus d'organiser les élections des membres du comité social et économique (CSE) en application des articles L.2314-4 et suivants du Code du travail. Le SERVICE s'adresse à des professionnels agissant pour les besoins de leur activité ; il n'est pas proposé à des consommateurs.

Article 2 — Définitions

Les termes ci-après, employés avec une majuscule, ont la signification suivante, qu'ils soient au singulier ou au pluriel.

Article 3 — Description du SERVICE

Le SERVICE comprend la mise à disposition d'une plateforme de vote électronique conçue pour les élections CSE et, selon le périmètre arrêté au devis, des prestations d'accompagnement : cadrage juridique (accord ou DUE, PAP, cahier des charges), constitution et import des listes, paramétrage des collèges, déroulement et supervision du SCRUTIN, génération des procès-verbaux et archivage des preuves.

L'authentification des ÉLECTEURS repose sur le standard WebAuthn avec extension PRF (clé d'accès, clé matérielle ou biométrie). Le secret prouvant le droit de vote est dérivé localement sur l'appareil de l'ÉLECTEUR et n'est jamais transmis au PRESTATAIRE. Les bulletins sont chiffrés sur l'appareil avant transmission selon un schéma de chiffrement homomorphe à seuil (ElGamal sur Ristretto255), accompagné de preuves à divulgation nulle de connaissance (Generalized Bulletproofs, constructions FCMP++). Les opérations sensibles sont consignées dans un journal en ajout seul (ledger append-only), chaîné et horodaté.

Par conception, aucun bulletin individuel n'est déchiffré : seul le résultat agrégé est révélé, par la coopération d'un seuil de gardiens. La plateforme repose sur un profil CSE conçu pour la conformité et certifiable au niveau 3 au sens de la recommandation de la CNIL, destiné à l'expertise indépendante. Ce profil ne constitue pas une certification acquise : la conformité du SCRUTIN s'établit au cas par cas, par l'expertise indépendante diligentée par le CLIENT.

Article 4 — Commande, devis et formation du contrat

Le SERVICE fait l'objet d'un devis personnalisé établi par le PRESTATAIRE en fonction des besoins du CLIENT (effectif, nombre de collèges, périmètre d'accompagnement, calendrier). Le devis précise le périmètre des prestations, les conditions financières et la durée. Il constitue, une fois accepté, le document contractuel de premier rang.

Le contrat est formé à la date de réception par le PRESTATAIRE du devis ou du bon de commande accepté sans réserve par le CLIENT, par signature manuscrite ou par signature électronique disposant d'un procédé de preuve (de type Yousign ou DocuSign). Aucune commande n'est réputée ferme avant cette acceptation.

Toute demande de modification du périmètre en cours d'exécution fait l'objet d'un avenant écrit ou d'un devis complémentaire. Le PRESTATAIRE se réserve le droit de refuser une commande pour motif légitime, notamment en cas de calendrier incompatible avec les exigences de sécurité et d'expertise du SCRUTIN.

Article 5 — Prix et conditions de paiement

Les prix du SERVICE sont définis au devis, en fonction des paramètres propres à chaque SCRUTIN. Aucun prix ferme et définitif n'est présenté en dehors du devis : les tarifs indicatifs éventuellement publiés ne valent pas offre et ne lient pas le PRESTATAIRE. Les prix s'entendent hors taxes ; la TVA et les éventuelles taxes applicables s'ajoutent au taux en vigueur.

Les modalités de facturation et d'échéance sont précisées au devis. Sauf stipulation contraire, les factures sont payables à [À COMPLÉTER : délai de paiement] à compter de leur émission. Conformément aux articles L.441-10 et L.441-11 du Code de commerce, tout retard de paiement entraîne, de plein droit et sans mise en demeure préalable, l'application de pénalités de retard au taux mentionné sur la facture, ainsi qu'une indemnité forfaitaire pour frais de recouvrement de 40 euros.

En cas de défaut de paiement persistant après mise en demeure restée infructueuse pendant [À COMPLÉTER : délai], le PRESTATAIRE pourra suspendre l'accès au SERVICE et la fourniture des prestations, sans que cette suspension ne dégage le CLIENT de ses obligations. La suspension ne pourra toutefois pas porter atteinte à l'intégrité et à la conservation sous scellés des preuves d'un SCRUTIN déjà clôturé.

Article 6 — Obligations du CLIENT (responsable de traitement)

Le CLIENT est seul organisateur du SCRUTIN et seul responsable de traitement des DONNÉES au sens du RGPD. Il lui appartient de réunir, préalablement à toute mise en œuvre, la base juridique du vote électronique : accord d'entreprise ou de groupe, ou, à défaut, décision unilatérale (DUE) prise après tentative loyale de négociation, puis transcription des modalités au protocole d'accord préélectoral (PAP).

Le CLIENT fournit, sous sa seule responsabilité, les listes électorales exactes, complètes et à jour, ainsi que les éléments nécessaires à la constitution des collèges et à la vérification de l'éligibilité des ÉLECTEURS. Il garantit l'exactitude des DONNÉES transmises et la licéité de leur communication au PRESTATAIRE. Le PRESTATAIRE ne saurait être tenu responsable des conséquences d'une liste erronée, incomplète ou transmise hors délai.

Le CLIENT réalise, en sa qualité de responsable de traitement, l'analyse d'impact relative à la protection des données (AIPD) requise pour le vote électronique, inscrit le traitement à son registre, informe les ÉLECTEURS du traitement et de leurs droits, et fait réaliser l'expertise indépendante du dispositif avant sa première mise en œuvre. Le PRESTATAIRE apporte son concours et la documentation utile, sans se substituer au CLIENT dans l'accomplissement de ces obligations.

Article 7 — Obligations du PRESTATAIRE (sous-traitant)

Le PRESTATAIRE intervient en qualité de sous-traitant au sens de l'article 28 du RGPD. Il traite les DONNÉES uniquement pour le compte du CLIENT, sur ses instructions documentées et dans les limites du DPA. Il s'engage à mettre en œuvre les mesures techniques et organisationnelles appropriées pour assurer la sécurité, la confidentialité et l'intégrité des DONNÉES et du SCRUTIN.

Le PRESTATAIRE met à disposition une plateforme conçue selon les exigences de sécurité du vote électronique : authentification sans secret transmissible (WebAuthn PRF), chiffrement homomorphe à seuil sans déchiffrement individuel des bulletins, séparation stricte du fichier d'authentification et de l'urne, registre d'enrôlement cloisonné, journal append-only et scellement de l'urne. Il fournit au CLIENT et à son expert indépendant la documentation et le mapping des garanties nécessaires à l'expertise.

Le PRESTATAIRE est tenu d'une obligation de moyens renforcée quant à la disponibilité, la sécurité et la traçabilité du SERVICE. Il n'assume aucune obligation de résultat sur la validité juridique globale du SCRUTIN, laquelle dépend du respect par le CLIENT de ses propres obligations et de circonstances qui échappent au contrôle du PRESTATAIRE.

Article 8 — Durée du contrat et calendrier du SCRUTIN

Le contrat prend effet à la date de formation prévue à l'article 4 et demeure en vigueur jusqu'au complet accomplissement des prestations commandées, en ce compris l'archivage des preuves jusqu'à l'expiration des délais de recours. Sa durée est précisée au devis.

Le calendrier du SCRUTIN (ouverture, clôture, dépouillement, proclamation) est arrêté d'un commun accord, en cohérence avec le PAP et les contraintes du Code du travail. Le CLIENT s'engage à respecter les jalons de préparation convenus ; tout retard imputable au CLIENT susceptible de compromettre la sécurité ou l'expertise du SCRUTIN dégage le PRESTATAIRE de toute responsabilité afférente et peut justifier le report ou la suspension des opérations.

Les obligations qui, par leur nature, ont vocation à survivre à l'expiration du contrat — notamment la confidentialité, la conservation et la restitution des preuves, et les dispositions relatives à la responsabilité et aux litiges — demeurent en vigueur après son terme.

Article 9 — Propriété, preuves et archivage

Le PRESTATAIRE conserve l'ensemble des droits de propriété intellectuelle sur la plateforme, la technologie Sephos, ses composants logiciels, sa documentation et tout élément du SERVICE. Aucune disposition des présentes n'emporte cession de ces droits au CLIENT, qui bénéficie d'un simple droit d'usage personnel, non exclusif et non transférable, limité à la durée et à l'objet du contrat.

Les DONNÉES, les listes électorales et les résultats du SCRUTIN demeurent la propriété du CLIENT, responsable de traitement. Les preuves du SCRUTIN — journal append-only, scellés, preuves cryptographiques de décompte, procès-verbaux — sont constituées et conservées dans des conditions permettant leur opposabilité devant l'expert indépendant et le juge.

Conformément à l'article R.2314-17 du Code du travail, les fichiers et les preuves sont conservés sous scellés jusqu'à l'épuisement des délais de recours, soit en pratique quinze jours après la proclamation des résultats, sauf contentieux qui suspend la destruction jusqu'à la décision définitive. À l'issue de cette période, les DONNÉES sont, selon les instructions du CLIENT et les stipulations du DPA, restituées, détruites ou archivées de manière sécurisée.

Article 10 — Responsabilité et limitation

Le PRESTATAIRE est responsable, dans les conditions du droit commun, des dommages directs et certains causés au CLIENT résultant d'un manquement prouvé à ses obligations. Sa responsabilité ne saurait être engagée en cas de dommage résultant d'une faute du CLIENT, d'un manquement de ce dernier à ses obligations (notamment base juridique, listes, AIPD, expertise), du fait d'un tiers, ou d'un cas de force majeure.

Le PRESTATAIRE ne saurait être tenu responsable des dommages indirects, tels que perte d'exploitation, perte de chance, préjudice commercial ou d'image, ou conséquences d'une contestation ou d'une annulation du SCRUTIN imputable au CLIENT. En particulier, le PRESTATAIRE ne garantit pas l'absence de contentieux électoral, dont l'issue dépend de facteurs étrangers au fonctionnement de la plateforme.

Sauf faute lourde ou dolosive, et sauf dommage corporel ou cas où la loi prohibe une telle limitation, la responsabilité totale et cumulée du PRESTATAIRE au titre du contrat est limitée au montant total hors taxes effectivement payé par le CLIENT au titre de la commande à l'origine du dommage. Cette limitation reflète l'équilibre économique du contrat et la répartition des risques entre professionnels.

Article 11 — Confidentialité

Chaque partie s'engage à préserver la confidentialité des informations et documents de l'autre partie dont elle a connaissance à l'occasion du contrat, et à ne les utiliser qu'aux seules fins de son exécution. Cette obligation couvre notamment les DONNÉES, les éléments techniques de la plateforme, les conditions financières et toute information identifiée comme confidentielle.

Ne sont pas couvertes par cet engagement les informations tombées dans le domaine public sans manquement, celles déjà légitimement connues de la partie réceptrice, ou celles dont la divulgation est requise par la loi, une autorité compétente ou une décision de justice. La partie tenue de divulguer en informe l'autre dans la mesure permise par la loi.

L'obligation de confidentialité demeure pendant la durée du contrat et pour une durée de [À COMPLÉTER : durée] après son terme. Le personnel du PRESTATAIRE habilité à traiter les DONNÉES est soumis à une obligation de confidentialité appropriée, conformément à l'article 28 du RGPD.

Article 12 — Protection des données personnelles (RGPD)

Le traitement des DONNÉES s'inscrit dans une relation responsable de traitement / sous-traitant : le CLIENT (employeur organisateur) est responsable de traitement ; le PRESTATAIRE (CSE Election / Sephos) est sous-traitant au sens de l'article 28 du RGPD. Les obligations détaillées de chaque partie figurent dans le contrat de sous-traitance de données (DPA), conclu obligatoirement avant tout traitement, qui complète les présentes.

La base légale du traitement est l'obligation légale qui pèse sur l'employeur d'organiser les élections du CSE (Code du travail, art. L.2314-4 et suivants), complétée par l'exécution du contrat de travail pour la vérification de l'éligibilité des ÉLECTEURS. Les finalités sont la constitution des listes et des arbres d'éligibilité, la vérification de l'identité des électeurs et la traçabilité des opérations électorales. Le consentement n'est pas la base légale du traitement.

Le traitement respecte la séparation stricte entre l'identité et le bulletin, ainsi qu'un registre d'enrôlement cloisonné. Une analyse d'impact (AIPD) est requise et relève du CLIENT, avec le concours du PRESTATAIRE. Les DONNÉES sont conservées jusqu'à l'épuisement des délais de recours (art. R.2314-17 : quinze jours après proclamation, sauf contentieux), puis archivées sous scellés jusqu'à l'expiration du délai de recours ou la décision définitive. L'hébergement est assuré au sein de l'Union européenne [À COMPLÉTER : hébergeur, localisation à confirmer au contrat].

Article 13 — Résiliation

Chaque partie peut résilier le contrat en cas de manquement grave de l'autre partie à ses obligations, non réparé dans un délai de [À COMPLÉTER : délai] suivant une mise en demeure adressée par écrit et restée infructueuse. La résiliation intervient de plein droit à l'expiration de ce délai, sans préjudice des dommages et intérêts éventuels.

Le PRESTATAIRE peut résilier ou suspendre le SERVICE, après mise en demeure, en cas de défaut de paiement, d'utilisation du SERVICE contraire à sa destination, ou d'instruction du CLIENT manifestement illicite au regard du RGPD. La suspension ou la résiliation ne peut compromettre la conservation sous scellés et l'intégrité des preuves d'un SCRUTIN engagé ou clôturé.

En cas de résiliation, le CLIENT règle les prestations exécutées jusqu'à la date d'effet. Le PRESTATAIRE procède, selon les instructions du CLIENT et le DPA, à la restitution ou à la destruction des DONNÉES, sous réserve des obligations légales de conservation des preuves jusqu'à l'épuisement des recours.

Article 14 — Force majeure

Aucune des parties ne pourra être tenue responsable d'un manquement à ses obligations résultant d'un cas de force majeure au sens de l'article 1218 du Code civil et de la jurisprudence de la Cour de cassation : un événement échappant au contrôle de la partie qui l'invoque, qui ne pouvait être raisonnablement prévu lors de la conclusion du contrat et dont les effets ne peuvent être évités par des mesures appropriées.

La partie affectée informe l'autre dans les meilleurs délais et met en œuvre les moyens raisonnables pour limiter les effets de l'événement. Les obligations affectées sont suspendues pendant la durée de la force majeure. Si l'empêchement est définitif ou se prolonge au-delà de [À COMPLÉTER : durée], chaque partie peut résilier le contrat de plein droit, sans indemnité, par notification écrite.

La survenance d'un cas de force majeure pendant un SCRUTIN en cours donne lieu à une concertation immédiate entre les parties afin de préserver, dans la mesure du possible, le secret, la sincérité et l'intégrité des opérations, ainsi que la conservation des preuves.

Article 15 — Dispositions diverses

Le PRESTATAIRE se réserve le droit de modifier les présentes CONDITIONS GÉNÉRALES. Toute modification est portée à la connaissance du CLIENT moyennant un préavis raisonnable ; la version applicable à une commande est celle en vigueur à la date de sa formation, et la dernière version publiée sur le site fait foi pour les commandes futures.

Si une stipulation des présentes était déclarée nulle ou réputée non écrite, les autres stipulations conserveraient leur pleine valeur, les parties s'engageant à lui substituer une clause valable d'effet économique équivalent. Le contrat constitue un ensemble indivisible. Le fait pour une partie de ne pas se prévaloir d'un manquement ne vaut pas renonciation.

Le CLIENT ne peut céder le contrat sans l'accord écrit préalable du PRESTATAIRE. Le contrat est rédigé en langue française ; en cas de traduction, seule la version française fait foi entre les parties.

Article 16 — Droit applicable et litiges

Les présentes CONDITIONS GÉNÉRALES et le contrat sont régis par le droit français. Les parties conviennent de rechercher une solution amiable préalablement à toute action contentieuse, par une notification écrite du différend permettant un échange dans un délai raisonnable.

À défaut de résolution amiable, et nonobstant pluralité de défendeurs ou appel en garantie, tout litige relatif à la formation, l'interprétation, l'exécution ou la rupture du contrat est soumis à la compétence exclusive du tribunal compétent de [À COMPLÉTER : ressort / ville du siège du PRESTATAIRE], sauf disposition d'ordre public contraire.

Le présent article ne fait pas obstacle à l'application des règles impératives propres au contentieux des élections professionnelles, qui relèvent du tribunal judiciaire dans les conditions et délais prévus par le Code du travail.

Questions fréquentes