Conditions générales de vente

1. Objet et périmètre

Les présentes conditions générales de vente (« CGV ») s'appliquent à la prestation d'audit de site, d'application ou d'outil web (« le projet ») proposée en libre-service par Muji Lab (Hicham Thabti, Entrepreneur individuel), sur ses paliers « Projet perso », affiché « Hobby », et « Indépendant », affiché « Pro », commandée et payée en ligne sur mujilab.com, aux prix affichés sur la page de commande au moment de l'achat. Les paliers « Société » et « Rescue » ne sont pas concernés par le parcours de commande en ligne décrit ici et font l'objet d'un échange préalable avec Muji Lab.

Le détail des livrables inclus dans chaque palier (contenu du rapport, fiches de correction, re-check, attestation) est décrit sur la page de présentation de l'audit et sur la page de commande du palier choisi, qui font foi pour le périmètre exact de la prestation commandée. Le palier « Indépendant » inclut un audit, une fiche de correction par problème relevé, un re-check après correction par le client, puis une attestation datée lorsque les points contrôlés lors du re-check sont au vert.

L'audit est réalisé selon une méthodologie interne de près de 200 points de contrôle, sur le périmètre déclaré par le client (code du projet transmis conformément à l'article 3). Le volet dynamique de l'audit (« la Chasse », inclus à partir du palier « Pro » et proposé en option sur le palier « Hobby », au prix affiché sur la page de commande) est conduit exclusivement sur une copie du projet montée sur l'infrastructure de Muji Lab, à partir du code transmis et de données fictives créées pour le test. Aucun test n'est conduit sur l'environnement de production du client, ni sur aucun système hébergé par le client ou par un tiers. À la commande, le client déclare être titulaire des droits sur le code transmis ou mandaté par son titulaire, autoriser le montage de cette copie isolée, et confirmer que le code transmis ne contient aucune donnée personnelle réelle ni aucun identifiant de production. Les vérifications portant sur l'URL publique communiquée par le client restent limitées à des observations passives et non intrusives (en-têtes HTTP, certificat, pages accessibles publiquement), sans sollicitation active du service au-delà de ce qu'un visiteur ordinaire du site produirait.

La prestation constitue une obligation de moyens : l'audit constate l'état du projet à la date d'exécution ; il ne garantit ni l'absence de défaut non détectable par la méthodologie décrite, ni la sécurité future du projet. Il ne peut par nature prétendre à l'exhaustivité : il est réalisé sur le périmètre déclaré par le client, avec les moyens et le temps que suppose le palier commandé.

2. Commande, prix, paiement

La commande est passée en ligne : choix du palier et, le cas échéant, de l'option Chasse, réponses au questionnaire de qualification, puis paiement. Le palier « Projet perso » n'est proposé que si les réponses au questionnaire ne font apparaître aucun des critères d'exclusion affichés sur la page de commande ; dans le cas contraire, le palier « Indépendant » ou un contact direct avec Muji Lab est proposé à la place.

Les prix sont indiqués en euros (EUR) au moment de la commande. Le régime de TVA applicable, le cas échéant, figure sur la facture transmise après paiement.

Le paiement est intégral, à la commande, via Stripe Checkout (page de paiement hébergée par Stripe : carte bancaire et moyens de paiement proposés par Stripe selon la configuration du compte). Muji Lab ne reçoit et ne conserve aucune donnée bancaire du client : celle-ci est traitée directement par Stripe. Le paiement en plusieurs fois n'est pas proposé sur ce parcours.

Un reçu de paiement et une facture sont émis via Stripe et envoyés par email à l'adresse fournie lors de la commande, séparément de la confirmation de commande de Muji Lab.

3. Exécution

Après paiement, le client reçoit un lien vers un espace de suivi personnel pour transmettre son projet et suivre l'avancement de la prestation.

Avant toute transmission d'accès, le client certifie être propriétaire du projet audité ou mandaté par son propriétaire pour en autoriser l'audit. Cette autorisation est recueillie par écrit, horodatée, et nomme le dépôt ou l'archive concerné.

Le client transmet le code de son projet, à l'exclusion de toute donnée sensible : le fichier .env et les valeurs de secrets (mots de passe, clés d'accès, jetons) ne doivent jamais être transmis, un fichier d'exemple listant uniquement les noms des variables (.env.example) suffit à l'audit. De même, aucun export ni dump de base de données, ni dossier contenant des données personnelles de tiers non indispensable à l'audit, ne doit être transmis. Un contrôle automatique de dépôt vérifie la présence de ce type de fichier et alerte le client si nécessaire (voir article 5).

Aucun délai d'exécution n'est garanti ni indiqué, à quelque étape que ce soit de la commande ou de la prestation. L'état d'avancement (projet reçu, audit en cours, rapport disponible, puis pour le palier Indépendant, corrections en cours, re-check en cours, attestation délivrée) est visible dans l'espace de suivi du client.

Pour le palier « Indépendant », un re-check est inclus après que le client a corrigé les points relevés dans le rapport initial. Toute vérification complémentaire au-delà de ce re-check unique fait l'objet d'un devis séparé. L'attestation n'est délivrée que lorsque les points contrôlés lors du re-check sont au vert.

4. Limitation de responsabilité

La prestation étant une obligation de moyens (article 1), la responsabilité de Muji Lab ne peut être engagée qu'en cas de faute prouvée dans l'exécution de l'audit selon la méthodologie et le périmètre annoncés, et non au titre d'un résultat non atteint.

Dans cette limite, et sauf disposition d'ordre public contraire, la responsabilité de Muji Lab au titre de la prestation est plafonnée au montant effectivement payé par le client pour la commande concernée. Sont en principe exclus les dommages indirects (perte d'exploitation, perte de chance, préjudice commercial, atteinte à l'image) ainsi que les conséquences d'une action ou omission du client postérieure à la remise du rapport ou de l'attestation, notamment l'absence de correction des points relevés ou l'évolution du projet après l'audit.

Cette limitation ne s'applique pas en cas de faute lourde ou dolosive de Muji Lab, conformément au droit commun.

L'attestation délivrée sur le palier « Indépendant » constate l'état observé à la date du re-check, sur le périmètre défini avec le client ; elle ne constitue en aucun cas une garantie de sécurité, une certification de conformité, ni un engagement sur l'évolution du projet après cette date. La correction des points relevés et le maintien de la sécurité dans le temps relèvent de la seule responsabilité du client.

5. Données et confidentialité

L'accès au projet transmis par le client est réservé à Hicham Thabti et aux outils utilisés dans le cadre strict de la prestation d'audit.

Lorsque le projet transmis par le client contient des données à caractère personnel de tiers (utilisateurs finaux du client, par exemple), Muji Lab agit en principe en qualité de sous-traitant au sens du RGPD pour le traitement strictement nécessaire à la réalisation de l'audit ; le client demeure responsable de traitement de ces données. Les modalités précises de cette sous-traitance (durée, mesures de sécurité, sort des données) pourront faire l'objet d'un document contractuel dédié à la demande du client.

Le dépôt du projet (code transmis par le client) est conservé le temps strictement nécessaire à la réalisation de la prestation, puis supprimé au plus tard quatorze (14) jours après la livraison finale (remise du rapport pour le palier « Projet perso », délivrance de l'attestation pour le palier « Indépendant »). Cette suppression est confirmée par écrit au client dans son espace de suivi. Le client peut demander la suppression anticipée de son dépôt à tout moment à l'adresse [email protected].

Si un contrôle automatique du dépôt détecte un secret (mot de passe, clé, jeton) ou un fichier de données malgré la consigne de l'article 3, l'élément concerné est signalé au client, une recommandation de rotation du secret est formulée le cas échéant, puis l'élément est purgé sans être exploité au-delà de ce signalement.

Le rapport d'audit et, le cas échéant, l'attestation restent accessibles au client depuis son espace de suivi ; leur durée de conservation est précisée dans cet espace.

6. Rétractation et exécution immédiate

La prestation est proposée à des clients professionnels (indépendants, sociétés), dans le cadre d'un contrat conclu et exécuté intégralement à distance, en ligne. En principe, le droit de rétractation prévu par le Code de la consommation pour les contrats conclus à distance ou hors établissement ne s'applique pas de plein droit aux contrats conclus entre professionnels, sauf disposition contraire dont le client estimerait pouvoir se prévaloir au regard de sa situation propre.

En tout état de cause, en validant sa commande, le client demande expressément que l'exécution de la prestation commence immédiatement, sans attendre l'expiration d'un éventuel délai de rétractation, et reconnaît qu'il renonce ainsi, dans les cas où un tel droit lui serait applicable, à s'en prévaloir une fois l'exécution commencée.

7. Droit applicable et litiges

Les présentes CGV sont régies par le droit français.

En cas de différend relatif à la commande ou à l'exécution de la prestation, le client est invité à contacter Muji Lab à l'adresse [email protected] afin de rechercher une solution amiable avant toute action judiciaire.

À défaut d'accord amiable, les tribunaux français seront seuls compétents.