Hidden Tokens — contrat cadre Organisation

Version 1.1 · en vigueur au 27 octobre 2026 (identité de l'éditeur et adresse de contact ; version 1.0 du 24 octobre 2026) · version Word à signer · conditions générales

1. Objet et documents contractuels
2. Définitions
3. Périmètre et commandes
4. Prix, paliers, facturation
5. Durée et renouvellement
6. Livraison, déploiement, mises à jour
7. Support et niveaux de service
8. Sécurité et architecture
9. Données et conformité
10. Réversibilité et sortie
11. Audit
12. Garantie et responsabilité
13. Propriété intellectuelle
14. Confidentialité et références
15. Résiliation
16. Droit applicable et litiges

1. Objet et documents contractuels

Le présent contrat cadre est conclu entre TARDIGRADE SARL, éditeur du logiciel Hidden Tokens, siège social 13, rue Ahmed El Mejjati, Rés. Les Alpes, 1er étage n° 8, Maârif, Casablanca, Maroc — ICE 003463957000076 · RC 620437 · IF 65908714 — joignable à info@hiddentokens.com (ci-après « l'Éditeur »), et l'organisation désignée à l'annexe A (ci-après « le Client »).

Il fixe les conditions dans lesquelles le Client, pour lui-même et pour les entités listées à l'annexe A, utilise le logiciel Hidden Tokens dans sa formule Organisation. Il complète le contrat de licence et d'abonnement de Hidden Tokens (hiddentokens.com/fr/conditions, ci-après « les Conditions générales ») et prime sur lui pour ce qu'il règle. Les documents contractuels s'appliquent dans l'ordre suivant, du plus fort au plus faible : l'annexe A (conditions particulières), le présent contrat cadre, les bons de commande, les Conditions générales, la documentation du Logiciel. Les conditions générales d'achat du Client ne s'appliquent que si l'Éditeur les a acceptées par écrit.

2. Définitions

• Logiciel : l'appli de bureau Hidden Tokens, le connecteur pour Claude Desktop qu'elle embarque, l'extension navigateur, l'appli web, la console d'administration, leurs mises à jour et leur documentation, dont le dossier de confiance (fiche sécurité, modèle de charte IA, modèle d'AIPD, cahier d'audit).
• Poste : un compte utilisateur sur un ordinateur, sur lequel le Logiciel est installé et activé par la clé de licence du Client.
• Registre : le registre de pseudonymes de l'organisation — une clé de codes commune à tous les Postes et tous les dossiers du Client, et les correspondances chiffrées qui en résultent, conservés sur un partage de fichiers du Client.
• Console : l'outil d'administration du Client, qui crée le Registre, certifie et retire les Postes, signe la politique de l'organisation et tient le séquestre.
• Politique : les règles signées par l'administrateur du Client (termes toujours codés, motifs, termes en clair, packs activés, éléments interdits) que chaque Poste vérifie avant de coder.
• Packs métier : les jeux de règles livrés avec le Logiciel (télécom, juridique, banque et assurance, santé, expertise comptable, RH et paie, et ceux publiés ensuite).
• Données du Client : tout fichier, texte ou valeur que le Client fait traiter par le Logiciel, le Registre, les clés de correspondance, les journaux et rapports produits sur ses postes.
• Palier : la tranche de nombre de Postes qui détermine le prix unitaire (article 4).

3. Périmètre et commandes

L'annexe A liste les entités du Client couvertes, le nombre de Postes commandé, le Palier, les options et la durée. Le Client peut ajouter des entités ou des Postes en cours de contrat par un bon de commande qui vise le présent contrat cadre ; l'Éditeur émet une clé de licence mise à jour sous deux jours ouvrés après paiement, et les Postes ajoutés sont facturés au prorata de la période restante, au Palier en vigueur. Si un ajout fait franchir un Palier, le nouveau Palier s'applique à l'ensemble des Postes à compter du renouvellement suivant.

Le Client désigne un administrateur (et un suppléant), seuls habilités à tenir la Console, à certifier les Postes et à signer la Politique, et au moins deux gardiens du séquestre (article 8). Ces personnes sont nommées à l'annexe A et peuvent être changées par simple notification écrite.

4. Prix, paliers, facturation

Le prix annuel ne peut être inférieur au plancher de 4 900 € HT (15 000 Dhs HT) : il rémunère la Console, le séquestre, le déploiement et le support prioritaire, qui ne dépendent pas du nombre de Postes. Le Palier s'applique à tous les Postes du Client.

Les prix sont hors taxes ; les taxes applicables s'ajoutent selon la situation du Client. L'abonnement est facturé annuellement d'avance, payable à trente jours date de facture par virement ; la clé de licence est remise à réception du paiement, ou, pour un Client ayant déjà réglé une période, à la commande. L'Éditeur peut faire évoluer ses prix ; un nouveau prix ne s'applique qu'à un renouvellement et il est annoncé au moins 90 jours avant l'échéance. Un Client engagé pour 36 mois (annexe A) bénéficie d'un prix bloqué sur toute la durée.

Les options (formation, pack sur mesure, SLA renforcé, déploiement sur site) sont celles de l'annexe A, au prix qui y figure.

5. Durée et renouvellement

Le contrat cadre prend effet à sa signature pour douze mois à compter de la remise de la clé de licence, ou pour la durée indiquée à l'annexe A. Il n'est pas reconduit tacitement : l'Éditeur ne conserve aucun moyen de paiement. Le renouvellement fait l'objet d'un bon de commande ; la nouvelle période commence à l'échéance de la précédente, sans perte de jours. Le Logiciel prévient chaque Poste trente jours avant l'échéance ; les quinze jours qui la suivent sont un délai de grâce pendant lequel tout fonctionne.

6. Livraison, déploiement, mises à jour

L'Éditeur fournit le Logiciel en téléchargement (macOS signé et notarisé ; Windows), la clé de licence, les fichiers d'enrôlement des Postes et la documentation. Il assure une demi-journée de déploiement en visioconférence : installation de la Console, création du Registre et du séquestre, enrôlement et certification des premiers Postes, première Politique, premier rapport de couverture, remise des modèles de charte IA et d'AIPD.

Pendant l'abonnement, le Client reçoit les mises à jour du Logiciel : correctifs, nouvelles versions, nouveaux Packs métier, adaptations aux évolutions des fournisseurs d'IA. Chaque version est rejouée, avant publication, contre la suite de tests et le banc d'essai des fuites de l'Éditeur ; les binaires macOS sont signés et notarisés ; l'empreinte SHA-256 de chaque fichier publié est affichée. L'appli se met à jour d'elle-même ; le Client peut désactiver la vérification automatique et déployer les versions par ses propres outils.

7. Support et niveaux de service

Le support porte sur l'installation, l'usage, l'administration et les anomalies du Logiciel. Il ne comprend ni conseil juridique, ni l'administration des postes, du réseau ou du partage de fichiers du Client. Pour un signalement, le Client cite les codes (NOM-…), jamais les valeurs réelles : l'Éditeur ne demandera jamais de Donnée du Client.

Le Logiciel dépend de Claude Desktop et des sites des fournisseurs d'IA, édités par des tiers. Si une évolution d'un tiers empêche l'usage du Logiciel et que l'Éditeur ne la corrige pas dans les trente jours, le Client peut résilier et obtenir le remboursement de la période non utilisée.

8. Sécurité et architecture

• Rien ne quitte le Client. Le Logiciel fonctionne sur les Postes et le partage du Client, sans connexion vers l'Éditeur, sans compte, sans télémétrie. La licence est vérifiée sur le Poste. L'Éditeur ne tient aucun serveur pour le Client.
• Le Registre est chez le Client. Il vit sur un partage de fichiers du Client (NAS, serveur de fichiers, SharePoint, Drive), chiffré et signé : ce partage n'a pas à être de confiance. Les secrets du Registre sont scellés pour chaque Poste certifié ; la clé privée de chaque Poste est gardée par le trousseau du système (macOS) ou DPAPI (Windows).
• La continuité est garantie par le Client lui-même. Le séquestre, ouvert par un quorum de gardiens nommés par le Client, et la feuille de secours imprimable permettent de rescaler le Registre à un nouveau Poste quand tous les autres sont perdus. L'Éditeur ne détient aucune clé et ne peut rien restituer : il le dit, et il forme les gardiens.
• La Politique est signée. Chaque Poste vérifie la signature de l'administrateur du Client, refuse une politique modifiée, périmée ou émise par une autre clé, et s'arrête plutôt que de laisser passer.
• La preuve. Chaque Poste tient un journal signé de ce que l'IA a reçu ; le rapport de couverture et le sceau sont signés et vérifiables hors ligne par un tiers.
• Le code est lisible. Le Client, ou un prestataire qu'il mandate, peut examiner le code du Logiciel, le vérificateur de preuve et le banc d'essai des fuites (article 11).

9. Données et conformité

Le Logiciel ne transmet rien à l'Éditeur. L'Éditeur ne reçoit, ne stocke et ne traite aucune Donnée du Client, ni Registre, ni clé de correspondance, ni journal. En conséquence, l'Éditeur n'agit pas comme sous-traitant du Client au sens de l'article 28 du RGPD ou de la loi n° 09-08 pour les données traitées par le Logiciel : le Client en reste le seul responsable de traitement. Les fournisseurs d'IA que le Client utilise sont choisis par lui et liés à lui par leurs propres conditions.

Les seules données que l'Éditeur traite sont celles de la relation commerciale : coordonnées des contacts, de facturation et des administrateurs nommés à l'annexe A. Elles sont décrites par la politique de confidentialité du site.

L'Éditeur remet au Client, à la demande et au plus une fois par an, une attestation décrivant l'architecture du Logiciel (hors ligne, zéro serveur, zéro donnée chez l'Éditeur), la version en vigueur et les résultats du banc d'essai des fuites, pour son registre des traitements ou son AIPD. Cette attestation décrit le Logiciel ; elle ne certifie pas la conformité du Client.

Pseudonymiser n'est pas anonymiser. Le Logiciel remplace les valeurs par des codes réversibles grâce à des clés que le Client conserve ; les données ainsi codées restent des données personnelles pseudonymisées. Le Logiciel protège ce qui passe par lui : un texte collé directement dans une conversation, un fichier joint à l'IA sans passer par Hidden Tokens, un dossier synchronisé dans le cloud échappent à sa protection ; l'outil de confinement et le rapport de couverture signalent ce qu'ils savent détecter, et la charte IA du Client fait de Hidden Tokens la seule voie autorisée.

10. Réversibilité et sortie

• La dé-anonymisation des fichiers déjà codés et la lecture du Registre restent disponibles sans limite de durée, y compris après la fin du contrat pour quelque cause que ce soit. Les Données du Client ne sont jamais prises en otage.
• Le Registre et les clés de correspondance sont des fichiers ordinaires, sur le partage et les Postes du Client, dans un format ouvert documenté (JSON, JSON Lines, Excel) : ils restent lisibles sans le Logiciel, et la documentation décrit leur déchiffrement par le Client avec ses propres secrets.
• À la fin du contrat, l'Éditeur fournit sur demande une assistance de sortie d'une demi-journée (export du Registre en clair sous le contrôle du Client, arrêt des Postes, remise des éléments) au tarif de déploiement de l'annexe A.

11. Audit

Le Client, ou un prestataire indépendant qu'il mandate et qui s'engage à la confidentialité, peut auditer le code du Logiciel, son vérificateur de preuve et son banc d'essai des fuites, à ses frais, sur préavis de quinze jours, sans interrompre l'activité de l'Éditeur. L'Éditeur remet son cahier d'audit et répond aux questions dans le cadre du support. Lorsqu'un audit indépendant est financé en commun par plusieurs clients, son rapport est remis à chacun d'eux.

12. Garantie et responsabilité

L'Éditeur garantit que le Logiciel fonctionne pour l'essentiel conformément à sa documentation, et corrige les anomalies reproductibles qui lui sont signalées, dans les délais de l'article 7. Les taux de détection publiés sont mesurés sur le banc d'essai de l'Éditeur ; ils ne constituent pas la garantie qu'aucune valeur ne puisse échapper au Logiciel sur d'autres documents. Hidden Tokens outille la conformité du Client, il ne la certifie pas : il ne vaut ni attestation de conformité au RGPD, à la loi n° 09-08 ou aux règles déontologiques, ni conseil juridique.

La responsabilité de chaque partie est limitée aux dommages directs et prévisibles. Celle de l'Éditeur, toutes causes confondues, est plafonnée au montant payé par le Client au titre des douze derniers mois du présent contrat. Ne sont pas indemnisés les dommages indirects, tels que la perte de chiffre d'affaires, de clientèle ou de chance. Ces limites ne s'appliquent ni en cas de faute lourde ou intentionnelle, ni aux cas où la loi interdit de limiter la responsabilité.

13. Propriété intellectuelle

L'Éditeur détient les droits sur le Logiciel, ou est dûment autorisé à les concéder. Le contrat ne transfère au Client aucun droit de propriété : il lui concède, pour la durée du contrat, un droit non exclusif, non cessible et non transférable d'installer et d'utiliser le Logiciel sur le nombre de Postes commandé, pour ses besoins internes et ceux des entités de l'annexe A, et le droit de l'examiner (article 11). Les Données du Client, le Registre, la Politique, les rapports et les fichiers produits restent sa propriété exclusive. Un pack sur mesure développé pour le Client lui est concédé en usage exclusif ; l'Éditeur en conserve la propriété et ne le livre à aucun autre client sans accord écrit.

14. Confidentialité et références

Chaque partie garde confidentielles les informations non publiques de l'autre dont elle a connaissance à l'occasion du contrat, pendant sa durée et cinq ans après. L'Éditeur ne cite le nom ou le logo du Client comme référence qu'avec son accord écrit ; le Client peut à tout moment le retirer.

15. Résiliation

En cas de manquement grave d'une partie, non réparé trente jours après une mise en demeure écrite, l'autre partie peut résilier le contrat. La résiliation pour manquement de l'Éditeur, ou au titre de l'article 7 (dépendance d'un tiers), ouvre droit au remboursement de la période non utilisée. Dans tous les cas, l'article 10 (réversibilité) continue de s'appliquer.

16. Droit applicable et litiges

Le contrat est régi par le droit marocain, sauf stipulation contraire de l'annexe A pour un Client établi hors du Maroc. En cas de différend, les parties recherchent d'abord une solution amiable pendant trente jours, au niveau des signataires. À défaut, le litige est porté devant le tribunal de commerce de Casablanca, sauf disposition légale impérative contraire ou juridiction désignée à l'annexe A.

Annexe A — conditions particulières

Fait en deux exemplaires, à ______________, le ______________.

Pour l'Éditeur : ______________ · Pour le Client : ______________

Annexe B — niveaux de service

Les engagements de l'article 7, avec les pénalités suivantes si le Client en fait la demande écrite dans les trente jours : première réponse au-delà de 8 heures ouvrées ou fuite constatée sans contournement sous 2 jours ouvrés, 5 % de la mensualité équivalente par manquement, plafonnés à 20 % de l'abonnement annuel, déduits du renouvellement.

Annexe C — packs métier inclus

Télécom (opérateur marocain), Juridique (cabinet d'avocats, France), Banque et assurance, Santé, Expertise comptable, RH et paie — et tout pack publié par l'Éditeur pendant la durée du contrat. Le contenu de chaque pack (ce qu'il code, ce qu'il laisse en clair) est décrit dans la documentation du Logiciel et visible dans la Console.

Questions sur ce contrat ou demande de conditions particulières : info@hiddentokens.com. Voir aussi : la grille et la formule Organisation · le contrat de licence · vérifier une preuve.