Conditions d’utilisation des employés

1. Pourquoi vous lisez ce document

Votre employeur utilise Brightside AI pour aider son personnel à reconnaître les cyberattaques et à y résister. Puisque votre employeur vous a inscrit, vous pouvez recevoir des formations de sensibilisation à la sécurité sur notre plateforme ainsi que des attaques simulées — des exercices qui semblent réels, mais ne le sont pas.

Les présentes Conditions d’utilisation des employés (les « Conditions ») constituent un accord entre vous et Brightside Technologies SA, exerçant sous le nom Brightside AI (« Brightside », « nous », « notre » ou « nos »), société immatriculée en Suisse à Route des Flumeaux 46, 1008 Prilly, Vaud.

Elles régissent votre utilisation de la plateforme. Elles ne modifient pas vos conditions de travail et ne créent aucune relation de travail entre vous et nous.

En utilisant la plateforme, vous acceptez les présentes Conditions. Si vous ne les acceptez pas, veuillez en parler à votre employeur — c’est lui, et non nous, qui organise votre accès.

2. Définitions

« Employeur » désigne l’organisation qui vous a inscrit et qui est notre cliente.

« Plateforme » désigne la plateforme de sensibilisation à la sécurité Brightside AI, y compris l’application destinée aux participants, les cours de formation et toute diffusion de ce contenu par Slack, Microsoft Teams ou un LMS.

« Services » désigne la Plateforme ainsi que les formations de sensibilisation à la sécurité et les attaques simulées diffusées par son intermédiaire.

« Simulation » désigne un exercice d’ingénierie sociale simulé qui vous est envoyé par l’intermédiaire des Services — par exemple un e-mail d’hameçonnage simulé ou un appel téléphonique simulé — et qui constitue un exercice de formation, non une attaque réelle.

« vous » désigne la personne qui utilise les Services.

3. Votre Employeur est responsable de votre participation

Votre Employeur décide :

• si vous êtes inscrit et quelles formations vous sont attribuées ;
• quelles Simulations vous recevez et à quelle fréquence ;
• quels rapports il consulte sur votre participation et vos résultats ; et
• quand votre accès commence et prend fin.

Nous exploitons la Plateforme selon les instructions de votre Employeur. Nous ne décidons pas qui est formé, qui est testé ni ce que votre Employeur fait des résultats. L’utilisation des Services par votre Employeur est régie par nos Conditions d’utilisation.

Si vous avez des questions sur les raisons de votre formation ou de vos tests, l’utilisation de vos résultats ou le traitement de vos données personnelles, contactez votre Employeur. La Section 7 vous explique pourquoi.

4. Fonctionnement des Services

Grâce aux Services, vous pouvez :

• suivre des cours interactifs de sensibilisation à la sécurité pouvant comprendre des quiz, des mini-jeux et des récompenses ;
• recevoir des e-mails d’hameçonnage simulés conçus pour ressembler à de véritables messages ;
• recevoir des appels téléphoniques simulés utilisant une voix artificielle générée par ordinateur, pouvant être composés automatiquement et s’adapter à vos réponses pendant l’appel ;
• recevoir des exercices combinés associant un appel à un e-mail ; et
• consulter des commentaires, des scores et des formations de suivi après un exercice.

Vous devez avoir au moins 18 ans pour utiliser les Services.

5. Attaques simulées — à quoi vous attendre

Les Simulations sont délibérément réalistes. Elles visent à ressembler à de véritables attaques afin que l’exercice soit pertinent. Cela signifie que :

• un e-mail simulé peut sembler provenir d’un collègue, d’un fournisseur, d’une marque connue ou d’un cadre de votre organisation ;
• un appel simulé peut provenir d’un numéro local, ne pas identifier Brightside et utiliser une voix synthétique, y compris une voix générée pour ressembler à une personne déterminée lorsque votre Employeur l’a prévu et nous a confirmé disposer du consentement de cette personne ;
• le contenu utilisé dans les Simulations est généré artificiellement. Il ne représente rien de ce que la personne imitée a réellement dit, écrit ou pensé ; et
• si vous cliquez, répondez ou fournissez des informations pendant une Simulation, aucun véritable attaquant ne les reçoit. Les mots de passe et autres identifiants saisis sur une page simulée ne sont jamais conservés. La Plateforme enregistre uniquement le fait que des identifiants ont été saisis, comme résultat de formation — jamais les identifiants eux-mêmes.

Les Simulations sont des exercices de formation. Elles ne testent ni votre honnêteté ni votre loyauté, et le contenu d’une Simulation ne constitue pas une déclaration réelle de la personne dont il semble provenir.

6. Informations vous concernant utilisées dans les Services

Pour rendre les formations pertinentes et les simulations réalistes, nous traitons des informations vous concernant pour le compte de votre Employeur. Elles peuvent comprendre :

Informations fournies par votre Employeur. Votre nom, votre adresse e-mail professionnelle, votre numéro de téléphone professionnel, votre fonction, votre service, votre langue et votre localisation — fournis directement ou par l’intermédiaire de systèmes connectés par votre Employeur, tels qu’un système RH, un fournisseur d’identité (par exemple Microsoft Entra ID ou Okta) ou un outil de communication comme Slack ou Microsoft Teams.

Informations provenant de sources publiques et tierces. Lorsque votre Employeur nous le demande, nous pouvons utiliser des informations vous concernant disponibles légalement — par exemple des profils professionnels et de réseaux sociaux, des sites web d’entreprise, des annuaires en ligne et des registres publics de violations de données — afin d’évaluer votre exposition aux attaques ciblées et de faire en sorte que les simulations reflètent l’approche d’un véritable attaquant.

Informations générées par votre utilisation. Le fait que vous ayez ouvert, cliqué ou signalé un message simulé ; si et comment vous avez répondu pendant un appel simulé ; votre progression dans les cours et vos scores ; et, lorsque cette option est activée, un enregistrement et une transcription d’un appel simulé.

Enregistrements. Les appels simulés peuvent être enregistrés et transcrits, et une analyse automatisée peut être produite. Votre Employeur décide si l’enregistrement est activé. Lorsqu’il est désactivé, l’appel est analysé en temps réel et l’audio n’est pas conservé.

Analyse automatisée. Les scores, résultats de réussite ou d’échec et indicateurs de risque sont produits en partie par l’intelligence artificielle et peuvent être erronés. Ils sont destinés à orienter la formation, non à constituer le seul fondement d’une décision ayant un effet important sur vous.

7. Vie privée — à qui vous adresser

Pour toutes les informations décrites à la Section 6, votre Employeur est le responsable du traitement et nous agissons en qualité de sous-traitant. Votre Employeur détermine pourquoi et comment vos données sont utilisées.

Par conséquent, si vous souhaitez accéder à vos données, les rectifier, vous opposer à leur traitement ou exercer tout autre droit relatif à la protection des données concernant vos données de formation et de simulation, vous devez contacter votre Employeur, et non nous. Nous aiderons votre Employeur à vous répondre.

Notre propre Politique de confidentialité explique les données personnelles que nous traitons en notre qualité de responsable du traitement — par exemple si vous nous contactez directement.

8. Utilisations autorisées et interdites des Services

Vous acceptez d’utiliser les Services de manière responsable et conformément aux instructions de votre Employeur. Vous ne devez pas :

• a. perturber ou entraver délibérément la diffusion des formations ou Simulations à vous-même ou à vos collègues — par exemple en diffusant les éléments d’identification d’une Simulation en cours afin que d’autres puissent la filtrer avant de la voir ;
• b. procéder à une ingénierie inverse, contourner ou désactiver toute mesure technique ou de sécurité des Services ;
• c. introduire du code malveillant ou tenter d’accéder à un compte, à des données ou à une partie de la Plateforme qui ne vous appartient pas ;
• d. partager, publier ou transférer du contenu de formation, des messages simulés ou des résultats de simulation en dehors de votre organisation, ou d’une manière qui compromettrait les exercices en cours pour vos collègues ;
• e. utiliser les identifiants d’une autre personne ou permettre à quiconque d’utiliser les vôtres ; ou
• f. utiliser les Services à d’autres fins que la formation organisée par votre Employeur.

Signaler un message ne constitue jamais une violation des présentes Conditions. Si un élément vous semble suspect, signalez-le par le canal de sécurité habituel de votre organisation — qu’il s’agisse finalement d’une Simulation ou d’une véritable attaque. Le signalement est précisément le comportement que cette formation vise à développer. Le fonctionnement normal de vos filtres antispam et de sécurité ne constitue jamais non plus une violation.

9. Équité dans la conception des formations

Les fonctions de récompense et de ludification de la Plateforme sont conçues comme un renforcement positif. Nous ne développons pas de fonctions visant à humilier les participants qui échouent à une Simulation.

L’utilisation des résultats par votre Employeur relève de sa décision et échappe à notre contrôle. Si vous avez des inquiétudes concernant cette utilisation, adressez-vous à votre Employeur ou à l’instance représentative du personnel.

10. Disponibilité et absence de garantie

Nous fournissons les Services avec une compétence et une diligence raisonnables, mais ils vous sont fournis « en l’état » et « selon disponibilité ». Nous ne garantissons pas qu’ils seront ininterrompus ou exempts d’erreurs, que chaque message ou appel vous parviendra ni que la formation produira un résultat particulier.

11. Notre responsabilité envers vous

Dans toute la mesure permise par la loi, nous ne sommes pas responsables envers vous des pertes indirectes ou consécutives, ni des pertes de données, de bénéfices ou d’opportunités résultant de votre utilisation des Services.

Aucune disposition des présentes Conditions n’exclut ni ne limite une responsabilité qui ne peut être exclue ou limitée en vertu du droit suisse, notamment en cas de décès ou de préjudice corporel causé par négligence, d’intention illicite ou de négligence grave. Les présentes Conditions ne limitent ni vos droits à l’égard de votre Employeur ni vos droits à la protection des données en vertu de la loi applicable.

12. Fin de votre accès

Votre Employeur contrôle votre accès et peut y mettre fin à tout moment. Nous pouvons suspendre ou mettre fin à votre accès si vous enfreignez la Section 8, ou si nous estimons raisonnablement que cela est nécessaire pour des raisons de sécurité ou juridiques.

13. Modifications des présentes Conditions

Nous pouvons mettre à jour les présentes Conditions. Nous publierons la nouvelle version avec une nouvelle date de « Dernière mise à jour ». Lorsqu’une modification est substantielle, nous la rendrons visible sur la Plateforme avant son entrée en vigueur. En continuant à utiliser les Services après cette date, vous acceptez les Conditions mises à jour.

14. Droit applicable

Les présentes Conditions sont régies par le droit matériel suisse, à l’exclusion de ses règles de conflit de lois. Les tribunaux du canton de Vaud, en Suisse, sont compétents, sous réserve de tout for impératif dont vous bénéficiez en vertu du droit de votre pays de résidence.

15. Contact

Pour toute question concernant les présentes Conditions ou la Plateforme elle-même :

Pour toute question concernant vos propres données, vos résultats ou la raison de votre inscription : veuillez contacter votre Employeur.