Conditions générales de vente et d'utilisation

Éditeur : kOlapsis SAS, société par actions simplifiée au capital de 1 000 €, immatriculée au registre du commerce et des sociétés de Bordeaux sous le numéro 109 228 718, dont le siège est situé 38 rue Hortense, 33100 Bordeaux, France. Numéro de TVA intracommunautaire : FR87109228718. Représentée par Benjamin Touchard, président. RestoreProof est un service exploité par kOlapsis SAS.

Contact : support@kolapsis.com

Date d'entrée en vigueur : 6 septembre 2026

1. Objet

Les présentes conditions régissent l'accès au service RestoreProof et son utilisation, ainsi que la vente des abonnements qui y donnent accès.

RestoreProof est un service en ligne qui permet de vérifier, de façon répétée et automatisée, qu'une sauvegarde est réellement restaurable. La vérification est exécutée par un agent installé sur l'infrastructure du Client. Le service héberge le pilotage et conserve les preuves produites.

Toute création de compte vaut acceptation des présentes conditions.

2. Définitions

Control Plane — la partie hébergée du service : l'application web, l'API et la base de données qui enregistrent les organisations, les configurations et les rapports.

Runner — l'agent logiciel que le Client installe et exploite sur sa propre infrastructure. Il télécharge les sauvegardes, les restaure dans un bac à sable jetable, exécute les sondes et signe les rapports.

Sonde — un conteneur de test exécuté par le Runner sur les données restaurées, qui rend un verdict et des mesures.

Rapport signé — le résultat d'une exécution, signé cryptographiquement en Ed25519 par le Runner qui l'a produit, puis transmis au Control Plane.

Organisation — le compte client, périmètre d'isolation de toutes les données. Chaque Organisation porte un Forfait et un abonnement.

Membre — une personne physique rattachée à une Organisation, avec un rôle de lecteur, d'opérateur ou d'administrateur.

Forfait — le niveau d'abonnement souscrit, qui détermine les quotas et la durée de consultation des rapports.

3. Création de compte et organisation

L'inscription exige un nom d'organisation, un identifiant unique, un nom, une adresse e-mail et un mot de passe d'au moins huit caractères. Elle est confirmée par un lien envoyé à l'adresse indiquée : l'Organisation et son premier utilisateur, qui en est propriétaire et administrateur, sont créés à l'ouverture de ce lien, valable une heure.

L'adresse ayant ouvert ce lien est réputée confirmée. Pour un compte dont l'adresse n'est pas confirmée, cette confirmation ne conditionne pas l'accès au service : elle conditionne la fiabilité des alertes envoyées à cette adresse.

Un administrateur peut inviter des Membres et leur attribuer un rôle. L'invitation expire au bout de sept jours. Une adresse e-mail déjà rattachée à un compte RestoreProof ne peut pas rejoindre une autre Organisation.

Le Client est responsable de la confidentialité des identifiants de ses Membres et des clés d'API de ses Runners. Une clé d'API de Runner donne accès aux travaux de l'Organisation : elle doit être traitée comme un secret.

4. Forfaits et quotas

Chaque Forfait fixe :

• un nombre maximal de plans de restauration ;
• un nombre maximal de sources de sauvegarde ;
• un nombre maximal de Runners ;
• un nombre maximal d'exécutions par période de trente jours. Le compteur repart de zéro trente jours après sa dernière remise à zéro, et non le premier jour du mois civil ;
• une durée pendant laquelle les rapports restent consultables et téléchargeables dans l'application.

Le détail chiffré de chaque Forfait est affiché dans l'application et sur le site public. Il fait foi.

Un Forfait gratuit est attribué à toute Organisation à sa création. Il donne accès à l'ensemble des sondes et des fonctions du produit, avec des quotas réduits, et n'exige aucun moyen de paiement.

Des Forfaits peuvent être offerts pour une durée déterminée, notamment dans le cadre d'un partenariat ou d'une évaluation. L'Organisation bénéficie alors des quotas du Forfait concerné sans carte bancaire ni abonnement. À l'échéance, l'Organisation revient automatiquement au Forfait gratuit et à ses quotas.

Le dépassement d'un quota n'est jamais facturé. Il se traduit par un refus de création : l'API répond une erreur explicite et l'interface l'annonce. Aucune facturation à l'usage n'existe. Pour dépasser une limite, il faut changer de Forfait.

Certaines fonctions d'essai, destinées à mettre au point un plan, sont plafonnées séparément — trente essais par jour et par Organisation, décomptés à partir de minuit UTC — et ne consomment pas le quota d'exécutions. Un essai ne produit pas de rapport signé. Les essais et leurs résultats sont supprimés au bout de sept jours.

5. Commande et paiement

Les abonnements payants sont commandés depuis l'application. Le paiement est traité par Stripe Payments Europe, prestataire de paiement. RestoreProof ne reçoit ni ne conserve aucune donnée de carte bancaire.

La souscription se fait au choix en facturation mensuelle ou annuelle. Les prix sont ceux affichés au moment de la commande.

Les prix sont affichés hors taxes. La taxe sur la valeur ajoutée au taux en vigueur s'y ajoute et figure sur la facture.

L'abonnement est activé lorsque Stripe confirme le paiement. Au retour du parcours de paiement, l'application interroge Stripe pour connaître l'état réel de la commande : tant que ce paiement n'est pas confirmé, la commande est signalée comme en attente et les quotas du Forfait précédent restent en vigueur.

Les factures sont établies et hébergées par Stripe. Elles sont accessibles à tout moment depuis l'application, dans la section facturation, et téléchargeables au format PDF depuis Stripe. La consultation de la facturation est ouverte à tous les Membres ; seul un administrateur peut acheter, changer de Forfait ou ouvrir le portail de paiement.

6. Durée, renouvellement, changement de forfait, résiliation

L'abonnement est conclu pour la période souscrite et se renouvelle automatiquement par tacite reconduction, pour une période de même durée, sauf résiliation.

Changer de Forfait se fait depuis l'application, qui redirige vers le portail de facturation Stripe, où le changement est confirmé.

Le passage à un autre Forfait payant prend effet dès que Stripe confirme le changement : les nouveaux quotas s'appliquent immédiatement et la différence de prix est calculée au prorata de la période en cours.

Le retour au Forfait gratuit emprunte, lui, le parcours de résiliation décrit ci-dessous : il prend effet au terme de la période en cours, sans prorata.

Résilier se fait depuis ce même portail. La résiliation prend effet au terme de la période en cours : le service reste accessible avec le Forfait souscrit jusqu'à cette échéance. Aucun remboursement au prorata n'est dû pour la période entamée.

À l'échéance, l'Organisation revient au Forfait gratuit, qui reste actif. Le compte n'est pas fermé et la résiliation ne supprime par elle-même ni les exécutions, ni les rapports, ni les Runners, ni les sources de sauvegarde, ni les plans de restauration.

En revanche, les quotas et la durée de consultation du Forfait gratuit s'appliquent dès l'échéance, et cette durée est plus courte : le contenu des rapports plus anciens que cette durée est effacé de l'application, dans les conditions de l'article 10. L'archive de cinq ans en conserve une copie complète. Le journal d'audit suit cette même durée, mais ses entrées plus anciennes sont supprimées sans archivage. Le Client est invité à exporter ce qu'il souhaite conserver avant l'échéance.

Fermer définitivement le compte suppose de supprimer l'Organisation (article 10).

7. Défaut de paiement

Si un paiement échoue, l'abonnement passe au statut paiement en retard. Les conséquences sont les suivantes :

• la consultation reste ouverte : tableau de bord, rapports existants, historique des exécutions, journal d'audit, facturation ;
• les créations sont bloquées : plus aucun plan de restauration, Runner ni exécution ne peut être créé tant que la situation n'est pas régularisée. Le blocage vaut pour les exécutions déclenchées à la main, par une planification ou par un déclencheur webhook. L'API répond une erreur explicite ;
• les essais de mise au point restent possibles, dans la limite de leur plafond quotidien : ils ne produisent pas de preuve et ne sont pas facturés.

Dès qu'un paiement aboutit, l'abonnement redevient actif et les créations sont de nouveau possibles, sans intervention du Client.

8. Obligations du Client

Le Client reconnaît que l'architecture du service repose sur une séparation stricte, et qu'elle emporte des obligations de son côté :

• le Runner s'exécute sur son infrastructure, sous sa responsabilité : installation, mise à jour, accès au démon Docker, ressources, sécurité de la machine ;
• il est seul détenteur de ses sauvegardes et de ses secrets. Les identifiants d'accès d'une source sont enregistrés chez nous sous forme de références (env://, file://, static://), jamais de valeurs : le service refuse d'en enregistrer une. Nous ne pouvons ni les lire, ni les restituer, ni les régénérer. Il revient au Client d'écrire de la même façon toute valeur sensible qu'il saisit ailleurs, notamment dans les étapes d'un plan de restauration : ce qu'il y écrit en clair est enregistré tel qu'il l'a écrit ;
• il conserve ses propres copies des rapports dont il pourrait avoir besoin au-delà de la durée de consultation de son Forfait. Un rapport téléchargé est un fichier autonome, vérifiable hors ligne et sans limite de temps ;
• il s'assure de disposer des droits nécessaires sur les données qu'il fait restaurer et tester, et il n'utilise pas le service pour tester des données auxquelles il n'a pas légitimement accès ;
• il maintient à jour l'adresse e-mail de contact de son Organisation.

9. Nature du service : ce qu'il fournit et ce qu'il ne fournit pas

Ce que RestoreProof fournit : une preuve de restaurabilité à un instant donné. Chaque rapport atteste qu'à telle date, telle sauvegarde a été restaurée sur l'infrastructure du Client, que tels contrôles ont été exécutés, et avec quelles mesures. Cette preuve est signée par le Runner du Client, avec une clé privée qui n'existe que chez lui, et reste vérifiable par un tiers.

Ce que RestoreProof ne fournit pas :

• il ne sauvegarde rien. Les travaux de sauvegarde du Client restent les siens, avec leur propre outillage et leur propre responsabilité ;
• il ne conserve aucune copie des données du Client. Les données de sauvegarde ne transitent jamais par le Control Plane ;
• il ne garantit pas qu'une sauvegarde vérifiée aujourd'hui sera restaurable demain. Un rapport porte sur l'objet testé, à sa date. Une sauvegarde ultérieure est un autre objet, qui exige sa propre vérification ;
• il ne restaure pas la production du Client. Le bac à sable est jetable et isolé : le Runner le détruit à la fin de chaque exécution, conteneurs et volumes compris, y compris lorsque l'exécution échoue. Cette destruction a lieu sur l'infrastructure du Client, par son Runner ;
• il ne définit pas les seuils d'acceptation à la place du Client : ceux-ci relèvent de sa connaissance de ses données.

10. Conservation et restitution des rapports

Durée de consultation. Chaque Forfait fixe la durée pendant laquelle un rapport reste ouvrable et téléchargeable depuis l'application. Passé ce délai, le contenu du rapport est effacé de l'application : résultats de sondes, mesures, journaux assainis et charge utile signée.

Ce qui subsiste. L'identifiant du rapport, son statut, les identifiants de l'exécution et du Runner qui l'a produit, l'empreinte de sa charge utile signée, sa signature, la clé publique qui l'a signée, la date de réception et la date d'effacement sont conservés. L'attestation publique continue donc de répondre pour un rapport dont le contenu a été effacé, et une preuve téléchargée en son temps reste vérifiable, origine comprise. Le téléchargement du rapport depuis l'application, lui, n'est plus possible.

Archive scellée de cinq ans. Au moment de l'effacement — ou, s'il intervient avant, à la suppression de l'Organisation — une copie complète du rapport est versée, à des fins de preuve, dans un espace séparé et inaccessible depuis l'application. Elle y est conservée jusqu'à cinq ans après l'émission du rapport, puis supprimée.

Restitution. Cette archive est restituable sur demande écrite adressée à support@kolapsis.com. La restitution est un service sur devis, facturé séparément de l'abonnement.

Suppression de l'Organisation. Un administrateur peut supprimer l'Organisation depuis ses paramètres, après avoir saisi le nom de celle-ci pour confirmer. L'opération est immédiate et sans retour possible :

• l'abonnement Stripe en cours est résilié sur-le-champ, sans attendre le terme de la période, et sans remboursement ;
• l'accès cesse pour tous les Membres : leurs comptes sont supprimés, avec les sessions ouvertes, les liens de connexion en cours et les invitations ;
• les Runners, leurs clés d'API, les sources, les plans de test, les planifications et les déclencheurs webhook sont supprimés ;
• les exécutions, leurs rapports et le journal d'audit sont supprimés.

Une seule exception : l'archive scellée. À la suppression, les rapports encore présents sont versés dans l'archive décrite plus haut, qui n'est pas supprimée. Chaque rapport y reste jusqu'à cinq ans après son émission, puis est supprimé ; fermer le compte ne fait ni avancer ni reculer cette échéance. L'archive vit hors de l'application et n'est restituable que sur demande écrite, dans les conditions et au tarif prévus au paragraphe Restitution ci-dessus.

Hors cette exception, rien n'est conservé. La suppression est un effacement, pas une désactivation : il ne reste dans l'application aucune ligne appartenant à l'Organisation. L'attestation publique cesse par conséquent de confirmer la clé de ses rapports : elle répond qu'elle ne trouve pas l'identifiant demandé, et indique que le rapport, s'il existe, est conservé dans l'archive scellée et s'obtient dans les conditions du paragraphe Restitution. Elle continue en revanche de répondre pour un rapport dont seule la rétention du Forfait a effacé le contenu.

Le journal d'audit suit la durée de consultation du Forfait : les entrées plus anciennes sont supprimées.

11. Disponibilité et support

Le service est fourni en mode continu, hors interruptions pour maintenance et hors cas de force majeure. Aucun engagement chiffré de disponibilité n'est souscrit au titre des présentes conditions.

Le support est assuré selon le Forfait :

• Forfait gratuit : documentation en ligne, sans support individuel garanti ;
• Forfait Starter : support par e-mail, sans engagement de délai de réponse ;
• Forfait Pro : support prioritaire.

Le canal de support est support@kolapsis.com.

Il est rappelé qu'une interruption du Control Plane n'affecte ni les sauvegardes du Client, ni ses données : elle suspend le pilotage des exécutions et la consultation des rapports.

12. Propriété intellectuelle

RestoreProof, son Control Plane, son interface, sa documentation et ses marques restent la propriété exclusive de l'éditeur. L'abonnement confère un droit d'usage personnel, non exclusif et non cessible, pour la durée de l'abonnement.

Le Runner et les Sondes sont distribués sous forme d'images de conteneurs publiées sur ghcr.io/kolapsis/restoreproof/, afin de permettre au Client de les déployer sur sa propre infrastructure.

Cette publication n'emporte aucune licence libre. Elle confère au Client une licence d'utilisation non exclusive et non transférable, strictement limitée à l'exécution du service RestoreProof pour son Organisation, pendant la durée du contrat.

Toute autre utilisation est interdite sans accord écrit préalable de l'éditeur, notamment la redistribution, la modification, la rétro-ingénierie et l'intégration dans un autre produit ou service.

Le Client reste propriétaire de ses données et de ses rapports. Les rapports signés produits par ses Runners lui appartiennent ; il peut les télécharger, les diffuser et les opposer à un tiers sans autorisation de notre part.

13. Responsabilité

L'éditeur s'engage à apporter le soin et la diligence nécessaires à la fourniture du service. Il est tenu d'une obligation de moyens.

Le Client demeure seul responsable de sa politique de sauvegarde, de la qualité de ses sauvegardes, de la définition de ses plans de restauration et de l'interprétation des rapports produits.

La responsabilité de l'éditeur ne peut être engagée pour les dommages indirects, notamment la perte de données, la perte d'exploitation, la perte de chiffre d'affaires ou l'atteinte à l'image.

En tout état de cause, la responsabilité totale de l'éditeur, toutes causes confondues, est plafonnée aux sommes effectivement versées par le Client au titre de son abonnement au cours des douze mois précédant le fait générateur.

Ces limitations ne s'appliquent pas en cas de faute lourde ou dolosive, ni dans les cas où la loi les écarte.

14. Suspension et résiliation par l'éditeur

L'éditeur peut suspendre ou résilier l'accès d'une Organisation, après mise en demeure restée sans effet pendant quinze jours, en cas :

• de défaut de paiement persistant ;
• d'usage manifestement abusif du service, notamment un usage de nature à dégrader le service pour les autres clients ;
• d'usage illicite, ou contraire aux présentes conditions.

En cas de manquement grave portant atteinte à la sécurité du service ou à celle d'un tiers, la suspension peut être immédiate. Le Client en est informé sans délai.

15. Données personnelles

Le traitement des données personnelles est décrit dans la Politique de confidentialité, qui fait partie intégrante des présentes conditions.

Pour les données que le Client dépose dans le service, l'éditeur agit comme sous-traitant au sens de l'article 28 du règlement général sur la protection des données. Les engagements correspondants figurent dans la section Nos engagements de sous-traitant de cette politique, et tiennent lieu d'accord de sous-traitance entre les parties.

16. Modification des conditions

L'éditeur peut modifier les présentes conditions. Toute modification substantielle est notifiée au Client par e-mail, à l'adresse de contact de son Organisation, au moins trente jours avant son entrée en vigueur.

Le Client qui refuse les nouvelles conditions peut résilier son abonnement avant leur entrée en vigueur. La poursuite de l'utilisation du service après cette date vaut acceptation.

17. Droit applicable et juridiction

Les présentes conditions sont soumises au droit français.

En cas de litige, les parties s'efforceront de trouver une solution amiable. À défaut, compétence est attribuée aux tribunaux de Bordeaux, sous réserve des règles impératives applicables aux consommateurs.

Les coordonnées de l'éditeur et de l'hébergeur figurent dans les Mentions légales.

Texte en cours de validation juridique.