Politique d'Utilisation Acceptable (PUA)

3.1 Contenus illicites

Les types de contenus suivants sont strictement interdits sur la Plateforme :

• Atteintes aux personnes — diffamation (articles 29 et 32 de la loi du 29 juillet 1881), injure publique (articles 29 et 33 de la même loi), atteinte à la vie privée (article 226-1 du Code pénal), harcèlement moral (article 222-33-2 du Code pénal), harcèlement sexuel (article 222-33 du Code pénal), cyberharcèlement (article 222-33-2-2 du Code pénal), usurpation d'identité et fraude à l'identité (articles 226-4-1 et 434-23 du Code pénal), chantage et extorsion (articles 312-1 et 312-10 du Code pénal), et menaces de violences (articles 222-17 à 222-18-3 du Code pénal) ;
• Incitation à la haine et à la discrimination — provocation à la haine raciale, à la violence ou à la discrimination fondée sur l'origine, l'ethnie, la nation, la race, la religion, le sexe, l'orientation sexuelle, l'identité de genre ou le handicap, au sens des articles 24 et 24 bis de la loi du 29 juillet 1881 sur la liberté de la presse, ainsi que de l'article R.625-7 du Code pénal (provocation non publique à la discrimination) ;
• Contenus à caractère pédopornographique (CSAM) — toute image, vidéo, texte, représentation générée par ordinateur ou tout autre contenu représentant, suggérant ou promouvant l'exploitation sexuelle ou les abus sexuels sur mineurs, au sens de l'article 227-23 du Code pénal et de la directive 2011/93/UE relative à la lutte contre les abus sexuels et l'exploitation sexuelle des enfants ;
• Contenus à caractère terroriste — apologie du terrorisme (article 421-2-5 du Code pénal), provocation à commettre des actes de terrorisme (article 421-2-5 du Code pénal) et diffusion de contenus à caractère terroriste au sens du Règlement (UE) 2021/784 relatif à la lutte contre la diffusion de contenus à caractère terroriste en ligne ;
• Contrefaçon et atteintes à la propriété intellectuelle — reproduction, représentation, distribution ou mise à disposition d'œuvres, marques, brevets, dessins ou bases de données protégés par des droits de propriété intellectuelle sans l'autorisation des titulaires de droits, au sens des articles L.335-2 et suivants du Code de la propriété intellectuelle, des articles L.713-2 et suivants (contrefaçon de marque) et de la directive 2004/48/CE relative au respect des droits de propriété intellectuelle ;
• Fraude et pratiques commerciales trompeuses — pratiques commerciales trompeuses au sens de l'article L.121-1 du Code de la consommation, escroquerie au sens de l'article 313-1 du Code pénal, et faux et usage de faux au sens des articles 441-1 et suivants du Code pénal.

3.2 Contenus préjudiciables

Les types de contenus suivants sont interdits en raison de leur caractère préjudiciable :

• Les contenus promouvant, encourageant ou fournissant des instructions relatives à la violence, l'automutilation, les troubles alimentaires ou le suicide, y compris notamment les contenus pro-anorexie ("pro-ana"), pro-boulimie ou d'automutilation ;
• La désinformation manifestement fausse et raisonnablement susceptible de causer un préjudice significatif à la santé publique (par exemple, des allégations médicales erronées décourageant la vaccination ou promouvant des traitements dangereux), à la sécurité publique ou aux processus démocratiques (par exemple, la désinformation électorale) ;
• Les théories conspirationnistes promouvant la discrimination à l'encontre de groupes identifiables d'individus ou raisonnablement susceptibles d'inciter à la violence ;
• Les contenus qui glorifient, banalisent ou promeuvent l'activité criminelle, y compris notamment les tutoriels relatifs à la commission d'infractions, la romantisation du crime organisé ou la célébration d'actes de violence de masse ;
• Les contenus promouvant ou facilitant la cruauté envers les animaux, y compris notamment les représentations de combats d'animaux, de torture ou de maltraitance animale.

3.3 Contenus trompeurs

Les contenus trompeurs suivants sont interdits :

• Faux avis, témoignages et recommandations — la publication ou la commande d'avis clients fabriqués, la création de faux témoignages (y compris les témoignages générés par IA présentés comme authentiques) ou les recommandations rémunérées non divulguées, en violation de la directive 2005/29/CE relative aux pratiques commerciales déloyales et du Code de la consommation ;
• Médias manipulés et hypertrucages (deepfakes) — les médias synthétiques (images, sons ou vidéos générés par IA) présentés comme des contenus authentiques ou attribués à des personnes réelles sans leur consentement, en particulier lorsque ces contenus sont destinés à tromper, diffamer ou induire en erreur ;
• Usurpation d'identité — la création de comptes, de boutiques ou de contenus usurpant faussement l'identité de personnes physiques, de marques, d'organisations ou d'entités gouvernementales ;
• Allégations de santé et médicales trompeuses — les allégations relatives aux bienfaits pour la santé, à l'efficacité thérapeutique ou aux propriétés médicales de produits qui ne reposent pas sur une base scientifique raisonnable et qui ne sont pas étayées par les autorisations réglementaires appropriées.

3.4 Spam et contenus indésirables

Les types de contenus indésirables suivants sont interdits :

• L'envoi massif de messages commerciaux non sollicités (spam), y compris par l'intermédiaire des systèmes de messagerie, d'avis ou de notification de la Plateforme ;
• Spam SEO et manipulation — bourrage de mots-clés, texte caché, liens cachés, cloaking (présentation de contenus différents aux moteurs de recherche et aux utilisateurs), pages satellites, schémas de liens et toute technique visant à manipuler artificiellement le positionnement dans les moteurs de recherche ;
• Redirections trompeuses — la redirection automatique des visiteurs vers des sites web tiers sans divulgation claire et visible ;
• Contenus auto-générés de faible qualité — la publication en masse de contenus générés automatiquement présentant peu ou pas de valeur informationnelle, créés principalement à des fins de manipulation SEO plutôt que dans l'intérêt véritable des utilisateurs.

3.5 Contenus portant atteinte à la vie privée

Les contenus suivants portant atteinte à la vie privée des personnes sont interdits :

• Images intimes non consenties — la publication, le partage ou la menace de partager des images ou vidéos intimes ou à caractère sexuellement explicite de personnes sans leur consentement explicite ("revenge porn"), au sens de l'article 226-2-1 du Code pénal ;
• Divulgation de données personnelles (doxxing) — la publication ou la menace de publier des informations privées permettant d'identifier des personnes (telles que l'adresse du domicile, le numéro de téléphone, l'adresse électronique, le lieu de travail ou des informations familiales) sans leur consentement et dans l'intention de harceler, intimider ou mettre en danger, au sens de l'article 223-1-1 du Code pénal ;
• Surveillance non autorisée — les contenus facilitant, promouvant ou résultant d'une surveillance illicite de personnes, y compris les logiciels espions (stalkerware, spyware), les instructions relatives à des logiciels espions ou le pistage dissimulé ;
• Enregistrement et diffusion non autorisés — les enregistrements de conversations privées, de réunions ou d'activités diffusés sans le consentement de l'ensemble des parties, en violation de l'article 226-1 du Code pénal.

4.1 Produits et services strictement interdits

• Substances dangereuses — drogues illicites, stupéfiants, substances psychotropes, précurseurs chimiques figurant à l'annexe du Règlement (CE) n° 273/2004, médicaments sans autorisation de mise sur le marché (AMM), stéroïdes anabolisants, nouvelles substances psychoactives ("legal highs") et toute substance dont la vente est interdite ou restreinte en droit français ou européen ;
• Armes et articles connexes — armes à feu de toute catégorie, armes blanches soumises à réglementation, munitions, explosifs, engins incendiaires, matériel militaire, pièces et composants pour l'assemblage d'armes, fichiers d'impression 3D d'armes ou de pièces d'armes, silencieux, kits de modification d'armes (y compris les bump stocks et les dispositifs auto-sear), gilets pare-balles lorsque leur vente est restreinte, et tout article classé comme arme au titre des articles L.311-1 et suivants du Code de la sécurité intérieure ;
• Exploitation humaine et animale — organes, tissus ou fluides corporels humains ; services facilitant la traite des êtres humains au sens de l'article 225-4-1 du Code pénal ; produits dérivés d'espèces protégées inscrites à la Convention CITES (Convention sur le commerce international des espèces de faune et de flore sauvages menacées d'extinction) ; ivoire et produits en ivoire ; produits issus du travail forcé ou du travail des enfants ; et produits résultant du braconnage illégal ou de la déforestation ;
• Contenus numériques illicites et outils de piratage — logiciels malveillants (incluant virus, chevaux de Troie, vers, rançongiciels, rootkits et logiciels espions), kits d'exploitation, réseaux de machines zombies (botnets) et services de location de botnets, outils et services de piratage, données personnelles volées ou divulguées, identifiants ou informations financières, clés de licence de logiciels contrefaites, logiciels craqués, outils de contournement de la gestion des droits numériques (DRM), outils de création ou de distribution de kits d'hameçonnage (phishing), et tout produit ou service conçu principalement pour faciliter l'accès non autorisé à des systèmes informatiques ;
• Services frauduleux — services de blanchiment d'argent, schémas de Ponzi ou pyramidaux, faux documents d'identité (passeports, permis de conduire, cartes d'identité), faux diplômes ou certifications, services de rédaction de mémoires et fraude académique, fausse monnaie, services proposant de faux abonnés ou de l'engagement artificiel sur les réseaux sociaux, et tout service conçu principalement pour faciliter la fraude ;
• Contenus sexuels non conformes — tout contenu à caractère adulte ou sexuellement explicite ne respectant pas les obligations de vérification de l'âge prévues par la loi n° 2024-449 du 21 mai 2024 visant à sécuriser et à réguler l'espace numérique ;
• Produits du tabac — cigarettes, cigares, tabac à rouler, cigarettes électroniques et recharges contenant de la nicotine, et tout produit lié au tabac dont la publicité ou la vente à distance est interdite en vertu du Code de la santé publique (articles L.3511-1 et suivants) ;
• Produits contrefaits — tout produit portant une marque, un logo ou un dessin utilisé sans l'autorisation du titulaire des droits de propriété intellectuelle ;
• Biens volés — tout bien dont il est avéré ou raisonnablement suspecté qu'il a été obtenu par vol, cambriolage, vol à main armée ou tout autre moyen délictueux, au sens des articles 321-1 et suivants du Code pénal (recel de biens volés) ;
• Produits soumis à embargo ou sanctions — tout produit dont l'exportation ou la vente est interdite en vertu de sanctions internationales ou d'embargos imposés par les Nations Unies, l'Union européenne ou la France.

4.2 Produits et services soumis à restrictions

• Alcool — doit être conforme à la loi Évin (loi n° 91-32 du 10 janvier 1991 modifiée), y compris les restrictions publicitaires, les mentions sanitaires et l'interdiction de vente aux mineurs. La vente en ligne doit respecter le cadre réglementaire applicable à la vente à distance d'alcool ;
• Produits alimentaires — doivent être conformes à l'ensemble des règles applicables en matière d'étiquetage, de traçabilité et de sécurité alimentaire, y compris le Règlement (UE) n° 1169/2011 concernant l'information des consommateurs sur les denrées alimentaires, les règlements du "Paquet Hygiène" et les règles françaises applicables en matière de déclaration des allergènes et d'information nutritionnelle ;
• Cosmétiques — doivent être conformes au Règlement (CE) n° 1223/2009 relatif aux produits cosmétiques, y compris la notification du produit (portail CPNP), les exigences d'étiquetage, l'évaluation de la sécurité et l'interdiction de l'expérimentation animale ;
• Jouets — doivent être conformes à la directive 2009/48/CE relative à la sécurité des jouets, y compris le marquage CE, l'évaluation de la conformité, l'étiquetage relatif à l'âge et les restrictions sur les substances chimiques ;
• Équipements électroniques — doivent porter le marquage CE, être conformes aux directives applicables en matière de compatibilité électromagnétique (CEM) et de sécurité, et respecter la directive DEEE (2012/19/UE) relative aux déchets d'équipements électriques et électroniques, y compris les obligations de reprise ;
• Crypto-actifs — doivent être conformes au Règlement (UE) 2023/1114 relatif aux marchés de crypto-actifs (MiCA), y compris les exigences d'enregistrement ou d'agrément, les obligations relatives au livre blanc le cas échéant, et les règles de protection des consommateurs ;
• Jeux d'argent et jeux de hasard — les activités de jeux d'argent en ligne sont soumises à l'agrément de l'Autorité Nationale des Jeux (ANJ). Seuls les opérateurs agréés peuvent proposer des services de jeux d'argent par l'intermédiaire de la Plateforme ;
• Compléments alimentaires — doivent être conformes à la directive 2002/46/CE et à la législation française de transposition (articles D.4211-11 et suivants du Code de la santé publique), y compris la notification à la DGCCRF et la conformité aux allégations autorisées en vertu du Règlement (CE) n° 1924/2006 relatif aux allégations nutritionnelles et de santé ;
• Dispositifs médicaux — doivent être conformes au Règlement (UE) 2017/745 (MDR), y compris le marquage CE, l'évaluation de la conformité par un organisme notifié le cas échéant, l'identifiant unique des dispositifs (IUD) et l'enregistrement dans EUDAMED ;
• Produits au CBD — doivent contenir un taux de THC n'excédant pas 0,3 % (conformément au seuil applicable en droit français), ne doivent pas formuler d'allégations thérapeutiques et doivent être conformes à la décision du Conseil d'État du 29 décembre 2022 et aux orientations réglementaires ultérieures ;
• Biens d'occasion — les Marchands vendant des biens d'occasion doivent respecter les obligations de garantie, y compris la garantie légale de conformité (articles L.217-1 et suivants du Code de la consommation), et doivent indiquer clairement le caractère d'occasion du produit ;
• Produits et services numériques — doivent être conformes aux droits des consommateurs en matière de contenu numérique et de services numériques tels que définis par la directive (UE) 2019/770, y compris les exigences de conformité, le droit de rétractation (délai de réflexion de 14 jours) et les obligations d'information précontractuelle.

8.1 Règles générales d'utilisation de l'IA

• Il est interdit aux utilisateurs d'utiliser les outils d'IA pour générer des contenus illicites, discriminatoires, diffamatoires, préjudiciables ou autrement interdits en vertu de la présente PUA ou du droit applicable ;
• Il est interdit aux utilisateurs de tenter de contourner, désactiver ou neutraliser les filtres de sécurité de l'IA, les mécanismes de modération de contenu ou les restrictions d'utilisation mis en place par SKYNET INITIATIVE ou par les fournisseurs des modèles d'IA sous-jacents ;
• Il est interdit aux utilisateurs d'utiliser l'IA pour créer des hypertrucages (deepfakes) ou des médias synthétiques attribués à des tiers sans leur consentement explicite ;
• Il est interdit aux utilisateurs de soumettre aux outils d'IA des données personnelles sensibles de tiers (y compris des données de santé, des données financières, des documents d'identité ou des données relatives à des enfants), sauf s'ils disposent d'une base juridique valide au regard du RGPD et ont mis en œuvre les garanties appropriées ;
• Les utilisateurs doivent vérifier l'ensemble des contenus générés par l'IA avant leur publication et sont seuls responsables de tout contenu qu'ils choisissent de publier, indépendamment du fait qu'il ait été généré par l'IA ;
• Il est interdit aux utilisateurs d'utiliser l'IA pour générer des contenus portant atteinte aux droits de propriété intellectuelle de tiers, y compris notamment la génération de contenus reproduisant des œuvres protégées par le droit d'auteur, des marques déposées ou des inventions brevetées.

8.2 Restrictions relatives au sandbox SkyEngine

SkyEngine est un environnement d'exécution de code sandboxé côté serveur. Les activités suivantes au sein du sandbox SkyEngine sont strictement interdites :

• Évasion du sandbox — toute tentative d'évasion, de sortie ou de contournement de l'environnement sandboxé est strictement interdite et entraînera la résiliation immédiate du compte ;
• Paquets malveillants — installer des paquets contenant des logiciels malveillants, des portes dérobées, des cryptomineurs ou des compromissions connues de la chaîne d'approvisionnement logicielle ;
• Minage de cryptomonnaies — utiliser les ressources de calcul du sandbox SkyEngine pour le minage de cryptomonnaies, le calcul de preuve de travail (proof-of-work) ou tout autre calcul intensif sans finalité commerciale ;
• Reconnaissance réseau — le balayage de réseau, le balayage de ports, l'énumération de services ou toute forme de reconnaissance réseau depuis le sandbox SkyEngine ;
• Consommation excessive de ressources — consommer délibérément de manière excessive les ressources en processeur, mémoire, stockage ou réseau au sein du sandbox SkyEngine, y compris les boucles infinies, les bombes à fourche ou les attaques par épuisement de mémoire.

8.3 Transparence des contenus générés par l'IA

• Les Marchands doivent divulguer l'utilisation de descriptions de produits, d'images ou d'autres contenus marketing générés par l'IA lorsque le droit applicable l'exige ou lorsque l'absence de divulgation serait raisonnablement susceptible d'induire les consommateurs en erreur ;
• Les images de produits générées par l'IA ne doivent pas dénaturer l'apparence réelle, les dimensions, la couleur, la qualité ou les caractéristiques du produit physique mis en vente ;
• Les réponses automatisées du service client générées par l'IA doivent être identifiées comme telles lorsque la réglementation applicable en matière de protection des consommateurs l'exige.

8.4 Injection de prompt et contournement des protections (jailbreaking)

10.1 Mécanisme de signalement

Tout utilisateur, tiers ou organisation peut signaler un contenu ou un comportement qu'il estime contraire à la présente PUA en contactant :

E-mail : [email protected]

Un accusé de réception est adressé dans un délai de 72 heures suivant la soumission. Chaque signalement est examiné par notre équipe de modération de contenu. Les signalements anonymes sont acceptés ; toutefois, la communication de coordonnées peut faciliter l'enquête et nous permettre de communiquer le résultat.

10.2 Niveaux de mesures d'application

En fonction de la nature, de la gravité, de la récurrence et de l'intentionnalité de la violation, les mesures d'application suivantes peuvent être appliquées de manière graduée :

10.3 Mesures d'urgence

10.4 Politique relative aux contrevenants récidivistes

SKYNET INITIATIVE applique une politique relative aux contrevenants récidivistes. Trois (3) violations confirmées ou plus au cours d'une période glissante de douze (12) mois entraînent automatiquement l'escalade vers le niveau de mesure supérieur. Par exemple :

• Un utilisateur ayant reçu trois avertissements de Niveau 1 au cours des 12 derniers mois peut faire l'objet d'une escalade directe vers le Niveau 2 ou le Niveau 3 ;
• Un utilisateur ayant fait l'objet de deux suspensions de Niveau 3 au cours des 12 derniers mois peut faire l'objet d'une escalade directe vers le Niveau 4 (résiliation définitive).

10.5 Exposé des motifs

Conformément à l'article 17 du Règlement (UE) 2022/2065 (Règlement sur les services numériques), chaque décision de modération de contenu est accompagnée d'un exposé clair et circonstancié des motifs, comprenant :

• La disposition précise de la présente PUA, des CGU ou du droit applicable ayant été enfreinte ;
• Une description des faits constitutifs de la violation ;
• La mesure d'application retenue et sa durée ;
• Les informations relatives aux voies de recours disponibles, y compris le mécanisme de réclamation interne (Section 11) et le règlement extrajudiciaire des litiges (Section 11) ;
• Le cas échéant, lorsque des outils automatisés ont contribué à la décision, une description de ces outils et de leur rôle.

15.1 Signalement

Les vulnérabilités de sécurité doivent être signalées à l'adresse : [email protected]

Les rapports doivent inclure, dans la mesure du possible :

• Une description claire de la vulnérabilité et de son impact potentiel ;
• Les étapes de reproduction de la vulnérabilité (preuve de concept) ;
• La ou les URL(s), point(s) de terminaison ou composant(s) affecté(s) ;
• Toute preuve à l'appui (captures d'écran, journaux, requêtes/réponses HTTP) ;
• Votre moyen de contact préféré pour le suivi.

15.2 Périmètre

Les actifs suivants entrent dans le périmètre du présent programme :

• platform.skynet-initiative.com et l'ensemble des sous-domaines ;
• Les API accessibles au public de la Plateforme ;
• Les services SkyBuilder, SkyPay et Genisys AI.

15.3 Règles d'engagement

Les participants au Programme de Divulgation Responsable doivent respecter les règles suivantes :

• Exploitation minimale — Ne pas exploiter la vulnérabilité au-delà de ce qui est strictement nécessaire pour démontrer son existence (preuve de concept uniquement) ;
• Divulgation coordonnée — Respecter un délai de divulgation coordonnée de quatre-vingt-dix (90) jours à compter de la date du rapport initial avant toute divulgation publique ;
• Protection des données — Ne pas accéder, modifier, télécharger ou supprimer des données appartenant à d'autres utilisateurs. En cas d'accès involontaire à des données utilisateur, cesser immédiatement les tests et signaler le problème ;
• Pas de test de déni de service — Ne pas effectuer de tests DoS ou DDoS contre les systèmes de production ;
• Pas d'ingénierie sociale — Ne pas mener d'attaques d'hameçonnage, de prétextage ou d'autres formes d'ingénierie sociale à l'encontre des salariés, prestataires ou utilisateurs de SKYNET INITIATIVE ;
• Pas d'attaques physiques — Les tests de sécurité physique sont hors périmètre.

15.4 Sphère de sécurité (Safe Harbour)

SKYNET INITIATIVE s'engage à ne pas engager ni poursuivre d'action judiciaire à l'encontre des chercheurs en sécurité qui découvrent et signalent des vulnérabilités de bonne foi et dans le respect des règles du présent programme. Cette sphère de sécurité s'applique aux poursuites au titre du droit pénal français (articles 323-1 et suivants du Code pénal) et du droit civil, sous réserve que les actions du chercheur demeurent dans le périmètre et les règles décrits ci-dessus.

15.5 Délais de réponse

15.6 Reconnaissance

Avec le consentement du chercheur, les vulnérabilités confirmées peuvent être mentionnées dans le Tableau d'Honneur Sécurité de SKYNET INITIATIVE. SKYNET INITIATIVE ne gère pas actuellement de programme de prime aux bogues (bug bounty) rémunéré ; toutefois, nous nous réservons le droit d'offrir des récompenses discrétionnaires pour les découvertes particulièrement significatives.

15.7 Hors périmètre

Les éléments suivants sont hors périmètre du présent programme :

• Les attaques d'ingénierie sociale (hameçonnage, hameçonnage vocal, prétextage) ;
• Les attaques physiques ou les évaluations de sécurité physique ;
• Les vulnérabilités de services, bibliothèques ou infrastructures tiers non exploités par SKYNET INITIATIVE ;
• Les attaques par déni de service (DoS/DDoS) ;
• Les signalements de spam ou d'ingénierie sociale ;
• Les signalements d'en-têtes de sécurité manquants ne démontrant pas d'exploitation concrète ;
• Les signalements de divulgation de version logicielle sans vulnérabilité démontrée ;
• Le détournement de clic (clickjacking) sur des pages sans actions sensibles ;
• Le CSRF sur des formulaires non authentifiés ou sans actions sensibles.