Conditions du livrable — Rapport Sedona Radar

E.1Nature de la prestation

Le présent rapport constitue le livrable d'une prestation d'audit technique de sécurité externe réalisée par la plateforme automatisée Sedona Radar, éditée par Sedona AI. Cette prestation correspond à une analyse de la surface d'attaque externe (reconnaissance passive, analyse des services exposés, scan de vulnérabilités, corrélation avec des bases de threat intelligence publiques), et non à un test d'intrusion complet, un audit de code, un audit organisationnel ou un audit physique.

E.2Périmètre et limites

L'audit porte exclusivement sur le ou les noms de domaine et adresses IP fournis par le commanditaire dans le cadre de sa souscription et pour lesquels il a déclaré détenir les droits nécessaires. Sedona AI n'a ni accès ni contrôle sur le système d'information interne du commanditaire.

Les éléments non visibles depuis Internet ne sont ni audités, ni évalués, ni commentés dans ce rapport, notamment :

• Active Directory et gestion des identités internes
• Segmentation réseau interne et politique de pare-feu
• Politique de sauvegarde et plan de continuité d'activité
• Sécurité physique des locaux et des équipements
• Processus RH, formation et sensibilisation des collaborateurs
• Gouvernance de la sécurité et gestion de crise
• Chiffrement des postes de travail et sécurisation des terminaux mobiles
• Gestion des accès privilégiés (PAM)

E.3Validité temporelle

Les résultats reflètent l'état de la surface d'attaque externe à la date et à l'heure du scan (cf. page de couverture du rapport). La cybersécurité étant par nature évolutive (nouveaux CVE quotidiens, changements d'infrastructure, nouveaux services exposés, correctifs éditeurs), ces résultats ne sont pas représentatifs au-delà de 30 jours suivant la date de génération. Un nouveau scan est recommandé à chaque changement significatif d'infrastructure et au minimum tous les 30 jours.

E.4Absence de garantie d'exhaustivité

Le rapport identifie les vulnérabilités détectables par les outils et méthodologies utilisés à la date du scan. Il ne garantit pas l'absence d'autres vulnérabilités, notamment celles relevant de :

• Logiques métier spécifiques (workflow d'achat, escalade de privilèges applicative, contournement de règles fonctionnelles) ;
• Vulnérabilités zero-day non publiées à la date du scan ;
• Configurations accessibles uniquement depuis le réseau interne (intranet, VPN, segments réservés) ;
• Vulnérabilités nécessitant un contexte d'authentification — Sedona Radar effectue exclusivement une analyse non authentifiée. Les vulnérabilités exploitables après connexion (IDOR, BOLA, escalade de privilèges post-authentification, fonctions réservées aux utilisateurs connectés) nécessitent un test spécifique sur devis ou un pentest manuel ;
• Vulnérabilités nichant derrière un WAF, un CDN ou un anti-bot qui filtre ou bloque tout ou partie du scan (Cloudflare, Imperva, Akamai, etc.) ;
• Composants en cours de déploiement ou hors périmètre déclaré (sous-domaines créés après le scan, environnements de pré-production, IP non communiquées).

E.5Absence de garantie d'absence de faux positifs

Malgré les mécanismes de scoring de confiance et de déduplication, des faux positifs peuvent subsister. Un score de confiance (0-100 %) accompagne chaque finding. Une validation manuelle par les équipes techniques du commanditaire est systématiquement recommandée avant toute action corrective sur les environnements de production.

E.6Recours à l'intelligence artificielle

Ce rapport est rédigé avec l'assistance d'un modèle de langage de grande taille (Large Language Model — LLM) opéré sous supervision méthodologique. Le LLM synthétise les données techniques collectées par les outils de scan en un livrable lisible. Toutes les données techniques (identifiants CVE, scores CVSS, ports, services, URL) proviennent exclusivement des outils de scan et des bases de données de référence (NVD, CISA KEV, FIRST EPSS, MITRE ATT&CK, CERT-FR).

La couche LLM intervient pour la mise en forme, la vulgarisation, la contextualisation business et la structuration éditoriale. Elle n'invente ni CVE, ni score technique, ni référence — les règles de génération lui interdisant explicitement toute fabrication de donnée factuelle.

Ce rapport ne constitue pas un avis juridique, ni un avis d'expert humain certifié PASSI. Pour un rapport co-signé par un auditeur humain qualifié, une prestation complémentaire sur devis est requise.

E.7Responsabilité du commanditaire

Le commanditaire déclare et garantit :

• détenir les droits sur le périmètre audité ou avoir obtenu les autorisations nécessaires. Lorsque le commanditaire agit pour le compte d'un tiers (prestataire, cabinet, infogéreur), il déclare disposer d'un mandat écrit de ce tiers couvrant l'audit du périmètre soumis, et le conserver à disposition ;
• avoir fourni un périmètre exact et à jour ;
• prendre la responsabilité de la mise en œuvre des recommandations ;
• tester toute correction en environnement de pré-production avant application en production ;
• relancer un nouveau scan après chaque correction afin de vérifier que la remédiation est effective. Une vulnérabilité que le commanditaire marque comme corrigée dans l'application est enregistrée comme « déclarée corrigée » sans aucune vérification : elle est exclue du décompte des rapports générés ensuite, qui indiquent combien de failles le sont. Sedona AI ne peut attester d'une correction que si un nouveau scan l'a vérifiée ;
• associer son RSSI, son administrateur système ou son prestataire infogérance à l'interprétation et à l'application des recommandations ;
• consulter son DPO pour tout aspect touchant aux données personnelles ;
• consulter un juriste spécialisé pour toute question de conformité réglementaire (NIS2, RGPD, réglementations sectorielles) ;
• consulter un auditeur certifié PASSI pour toute exigence formelle de conformité nécessitant une qualification humaine ;
• maintenir à jour la configuration de ses systèmes (correctifs éditeurs, durcissement, gestion des secrets) : une mauvaise configuration post-scan introduite par le commanditaire ou un tiers est de sa seule responsabilité.

E.8Limitation de responsabilité de Sedona AI

Dans les limites autorisées par la loi, la responsabilité de Sedona AI au titre de la prestation est limitée au montant effectivement payé par le commanditaire au titre du plan d'abonnement sur les douze (12) mois précédant le fait générateur de responsabilité.

Sedona AI ne saurait être tenue responsable des dommages indirects, pertes d'exploitation, atteinte à la réputation, pertes de données, pertes de chance, manque à gagner.

E.9Estimations financières

Les estimations de coût d'incident présentées dans ce rapport sont indicatives et calculées par Sedona AI selon une heuristique interne (gravité des constats, fourchettes génériques par type d'incident) ; elles ne reprennent la statistique d'aucun tiers. Elles ne constituent ni une garantie, ni un engagement, ni un chiffrage précis de l'exposition financière réelle du commanditaire, laquelle dépend de facteurs propres à son activité, à sa taille, à son secteur, à sa couverture assurantielle et à sa capacité de réponse.

Le commanditaire est invité à consulter son courtier en cyber-assurance et son contrôleur financier pour une évaluation adaptée à sa situation.

E.10Confidentialité et diffusion

Le rapport est classifié CONFIDENTIEL — DIFFUSION RESTREINTE. Cette classification protège le commanditaire : elle décrit une donnée sensible, pas une autorisation à demander à Sedona AI.

Diffusion libre, sans accord préalable de Sedona AI, sous la seule responsabilité du commanditaire, vers :

• ses collaborateurs, sa direction générale, son conseil d'administration et les sociétés de son groupe ;
• ses conseils et prestataires tenus à une obligation de confidentialité (RSSI externalisé, infogéreur, DPO, avocat, expert-comptable, commissaire aux comptes, assureur et courtier cyber) ;
• le client final, lorsque le commanditaire est un prestataire ayant commandé l'audit pour le compte de ce client (cf. E.20) ;
• une autorité de contrôle ou une juridiction qui en fait la demande dans le cadre de ses prérogatives.

Reste soumise à l'accord écrit préalable de Sedona AI la seule diffusion publique : publication intégrale ou partielle sur un site web, dans la presse, sur un réseau social, dans une plaquette commerciale ou dans une réponse à un appel d'offres public — ainsi que toute utilisation du nom, de la marque ou du logo Sedona AI en dehors de la mention de source prévue à l'article E.20.

La base légale de conservation par Sedona AI est l'exécution contractuelle et l'amélioration de la qualité du service (article 6.1.b du RGPD). Les résultats de scan et les rapports sont conservés 24 mois, puis supprimés. La suppression du compte efface le compte, les scans et les rapports de la base de données ; les fichiers stockés (PDF, captures d'écran) et le contact de notre outil de relation client sont effacés par des opérations distinctes : si l'une échoue, la suppression du compte se poursuit et l'échec est consigné dans les journaux de Radar. Seule la preuve de l'attestation de scan (horodatage, adresse IP, cible) est conservée 5 ans, dans un journal distinct (article 17.3.e du RGPD). Toute demande de suppression anticipée peut être adressée à vincent.coderch@sedona-ai.com.

E.11Protection des données personnelles

Le scan peut traiter des données personnelles appartenant à des tiers (salariés, clients, prospects du commanditaire). Lors de la reconnaissance, Radar peut lire des documents publics du domaine audité (PDF, documents Office) et en extraire les noms d'auteurs et les adresses e-mail qu'ils contiennent : ces éléments sont conservés dans le résultat du scan, et les noms d'auteurs peuvent être cités dans les constats du rapport. Radar peut aussi recenser, par des recherches en sources ouvertes, des adresses e-mail rattachées au domaine : elles ne sont pas enregistrées avec le résultat du scan, seul un constat chiffré en est tiré (nombre d'adresses, part d'adresses nominatives, convention de nommage). Si des fuites de données publiques (HaveIBeenPwned) mentionnent des adresses e-mail du domaine audité, celles-ci sont traitées uniquement pour alerter le commanditaire, sans traitement de masse ni enrichissement.

Le responsable de traitement est le commanditaire ; Sedona AI agit en qualité de sous-traitant au sens du RGPD pour la partie exécution technique du scan. Lorsque le commanditaire est lui-même prestataire d'un client final, il lui appartient de refléter cette chaîne dans ses propres contrats (sous-traitance ultérieure, article 28.4 du RGPD).

Pour l'exécution technique du scan, Sedona AI traite les données personnelles du domaine audité (noms d'auteurs et adresses e-mail lus dans des documents publics) pour le seul compte du commanditaire et sur ses instructions documentées, c'est-à-dire le lancement du scan, pendant la durée de l'abonnement puis la durée de conservation de 24 mois. Sedona AI garantit la confidentialité des personnes autorisées à traiter ces données, applique les mesures de sécurité décrites dans la politique de confidentialité de Sedona Radar, ne recourt qu'aux sous-traitants ultérieurs qui y sont listés, aide le commanditaire à répondre aux demandes des personnes concernées, l'informe sans délai indu de toute violation de données, supprime les données à sa demande ou au terme de la conservation, et met à sa disposition les informations nécessaires pour démontrer le respect de ces obligations.

E.12Loi applicable et juridiction

Le présent rapport et la prestation dont il est le livrable sont soumis au droit français. Tout litige relatif à l'interprétation ou à l'exécution de la prestation relève de la compétence exclusive des tribunaux de Paris, après tentative préalable de règlement amiable, sous réserve des règles de compétence impératives applicables aux consommateurs.

E.13Recours à des experts tiers

Sedona AI recommande explicitement au commanditaire de mobiliser, en complément de ce rapport, selon ses besoins :

• un juriste spécialisé en droit du numérique (conformité, contrats, responsabilité) ;
• un Délégué à la Protection des Données (DPO) (volet RGPD) ;
• un RSSI ou DSI (décisions opérationnelles et priorisation) ;
• un auditeur qualifié PASSI (audit qualifié, lorsqu'un dispositif réglementaire ou contractuel l'exige) ;
• un courtier en cyber-assurance (couverture du risque résiduel) ;
• un SOC / MSSP (détection et réponse aux incidents).

E.14Absence de garantie d'absence d'incident futur

Le présent rapport reflète l'état de la surface d'attaque externe à un instant T. Il ne constitue en aucun cas une garantie d'absence d'incident de sécurité futur, ni avant, ni pendant, ni après le scan.

L'écosystème des menaces cyber évolue quotidiennement : environ 80 nouvelles vulnérabilités (CVE) sont publiées chaque jour (source : NVD/NIST), de nouveaux exploits apparaissent, de nouveaux groupes d'attaquants émergent. Un rapport sans alerte critique à la date du scan ne signifie ni que l'organisation est invulnérable, ni qu'elle le restera. Sedona AI ne saurait être tenue responsable d'une intrusion, fuite de données, rançongiciel ou autre incident survenu postérieurement à la génération du rapport, qu'il résulte d'une vulnérabilité non détectée, d'une vulnérabilité apparue post-scan, ou d'une exploitation d'un vecteur hors périmètre couvert (cf. E.2, E.4).

E.15Caractère non destructif des scans

Sedona Radar réalise des scans non destructifs : reconnaissance passive, requêtes de test HTTP/HTTPS (y compris des charges d'injection non destructrices et la vérification d'identifiants par défaut), fingerprinting de services, comparaison avec des bases de vulnérabilités publiques. Aucune exploitation aboutie, aucun déni de service, aucune modification ou suppression de données, ni exécution de code ne fait partie de la prestation.

Les tests sont calibrés pour limiter l'impact, mais une perturbation de disponibilité reste possible sur des systèmes fragiles ou anciens : le commanditaire est invité à lancer le scan hors période critique. Si le commanditaire constate une indisponibilité ou une dégradation de performance pendant un scan, il peut en demander l'arrêt en écrivant à vincent.coderch@sedona-ai.com (voir aussi la politique de divulgation, section 4). Sedona AI décline sa responsabilité pour un impact opérationnel lié à une configuration de protection inadaptée (anti-bot trop agressif, limitation de débit mal réglée) ou à un défaut de l'infrastructure auditée, sous réserve des dispositions de l'article E.8.

E.16Continuité de service Sedona Radar

La plateforme Sedona Radar est fournie selon une obligation de moyens, et non de résultat. Sedona AI met en œuvre les meilleurs efforts pour assurer la disponibilité et la performance de la plateforme, sans garantie de niveau de service (SLA) : aucun taux de disponibilité n'est garanti et aucune pénalité ni avoir n'est dû en cas d'indisponibilité. Un SLA contractuel ne peut résulter que d'une stipulation écrite expresse dans un contrat signé.

Les interruptions ou dégradations de service liées à nos fournisseurs tiers (hébergeur OVHcloud, base de données Supabase, fournisseur de modèles d'IA, fournisseurs d'API de threat intelligence, etc.), à un cas de force majeure, à une attaque informatique ciblée contre Sedona AI, ou à une maintenance planifiée ne peuvent engager la responsabilité de Sedona AI. Le commanditaire dispose de la possibilité de relancer un scan ultérieurement sans coût additionnel dans la limite du quota de son plan.

E.17Réutilisation du rapport vis-à-vis de tiers

Le rapport est destiné au commanditaire, à son organisation et — lorsqu'il agit pour le compte d'autrui — au client final pour lequel l'audit a été commandé.

Sa communication à d'autres tiers (partenaires commerciaux, assureurs, autorités de contrôle, donneurs d'ordre) est libre et ne requiert pas l'accord de Sedona AI, mais elle ne crée aucune relation contractuelle ni chaîne de responsabilité entre Sedona AI et ces tiers : Sedona AI ne répond que devant son commanditaire, dans les limites de l'article E.8.

Toute utilisation du rapport ou de ses extraits dans un cadre contractuel B2B, dans un appel d'offres, dans une procédure judiciaire, ou comme élément de preuve opposable à un tiers, est réalisée sous la seule responsabilité du commanditaire. Le commanditaire s'engage à ne pas présenter le rapport comme une certification, une qualification, une attestation de conformité ou un audit PASSI : il n'en est pas un (cf. E.1, E.6, E.18).

Seules restent soumises à l'accord écrit préalable de Sedona AI la publication publique du rapport et l'utilisation de la marque ou du logo Sedona AI à des fins publicitaires (cf. E.10).

E.18Articulation avec l'assurance cyber et les obligations réglementaires

Le présent rapport ne se substitue pas :

• aux audits annuels ou semestriels exigés par les contrats de cyber-assurance ;
• aux audits PASSI, lorsqu'un dispositif réglementaire ou contractuel l'exige ;
• aux audits de conformité SOC 2, ISO 27001, HDS, PCI DSS, ou autre certification formelle ;
• aux obligations de notification d'incident auprès de l'ANSSI (CERT-FR), de la CNIL ou de toute autre autorité compétente ;
• aux exigences contractuelles spécifiques imposées par les clients ou partenaires du commanditaire.

Il en constitue un complément récurrent permettant un suivi régulier de la posture d'exposition externe, mais ne libère en aucune manière le commanditaire de ses obligations propres.

E.19Évolution des référentiels de conformité

Les scores et évaluations de conformité présentés dans ce rapport (NIS2, OWASP Top 10, RGPD, ANSSI Hygiène, ISO 27001, Cadre Sedona) sont calculés à partir des versions des référentiels en vigueur à la date du scan (cf. page de couverture). Les amendements, mises à jour ou nouvelles versions publiées postérieurement (par exemple OWASP 2025 vs 2021, évolutions du guide d'hygiène ANSSI, transposition nationale d'une directive européenne) ne sont pas appliqués rétroactivement.

Le commanditaire est invité à relancer un scan post-publication d'un amendement réglementaire significatif. Sedona AI met à jour ses référentiels au plus tard six (6) mois après la publication officielle d'une nouvelle version.

E.20Propriété intellectuelle et utilisation autorisée

Le rapport, ses textes, sa structure éditoriale, ses schémas, ses formules de scoring et ses méthodologies d'analyse sont la propriété exclusive de Sedona AI et protégés par les droits d'auteur et le droit des bases de données. Les données factuelles relatives au périmètre audité (actifs exposés, findings, identifiants CVE, scores) appartiennent au commanditaire, qui en dispose librement.

A. Licence accordée au commanditaire — Sedona AI concède au commanditaire, pour la durée des droits, une licence non exclusive, mondiale, gratuite et non cessible d'utiliser, reproduire et diffuser le rapport pour ses besoins propres, dans les conditions de l'article E.10.

C. Restent interdits, sauf accord écrit préalable de Sedona AI — ces interdictions visent la revente du produit lui-même, jamais la prestation de service rendue autour du rapport :

• la revente, la location ou la sous-licence de l'accès à la plateforme Sedona Radar, ainsi que le partage d'identifiants entre entités distinctes ;
• la commercialisation du rapport en tant que produit — c'est-à-dire sa vente en l'état, sur catalogue ou en abonnement, à des destinataires dont le périmètre n'a pas été audité pour leur compte ;
• la diffusion en marque blanche, c'est-à-dire la suppression ou le remplacement de la mention de source prévue au B, hors offre Enterprise le prévoyant expressément au contrat ;
• le reverse-engineering des algorithmes de scoring, de classification ou de remédiation ;
• le scraping massif des résultats par des requêtes automatisées sur la plateforme ou tout moyen technique de contournement des quotas du plan souscrit ;
• l'utilisation des résultats pour entraîner un modèle d'intelligence artificielle concurrent.

Toute violation expose à des poursuites civiles et pénales conformément au code de la propriété intellectuelle et au règlement général sur la protection des données.