## Oracle NetSuite Politiques en matière d'hébergement et de prestation de services de soutien Date d'entrée en vigueur : 19 janvier 2024 ## Table des matières | Overview | Overview | 4 | |-------------|-------------------------------------------------------|-----| | Definitions | Definitions | 5 | | I. | Oracle NetSuite Cloud Services Data Security Policies | 6 | | A. | Oracle NetSuite Security Policy | 6 | | B. | Oracle NetSuite Security Organization | 6 | | C. | Data Storage and Handling | 6 | | D. | Data Transmission | 7 | | E. | Incident Reponse | 7 | | F. | Change Management | 7 | | G. | Server Operating Systems | 7 | | H. | Access Control and Privilige Management | 7 | | I. | User Accounts | 7 | | J. | Oracle Responsibilities and Policy Controls | 8 | | K. | Password Configuration | 8 | | L. | Network Connectivity Security Requirements | 8 | | M. | Audits and Certifications | 8 | | N. | Data Center Environments and Physical Security | 9 | | O. | Disaster Recovery | 9 | | P. | Risk Assessments | 10 | | Q. | Handling of Personal Information | 10 | | R. | Use of Services | 10 | | S. | SECTION I EXCEPTIONS& EXCLUSIONS | 10 | | II. | Oracle NetSuite Support Services | 11 | | A. | General | 11 | | B. | Scope of Support Services | 11 | | C. | Termination | 12 | | D. | Incident Reporting and Response Times | 12 | | E. | Exclusions and Exceptions from Support Services | 14 | | F. | SECTION II EXCEPTIONS& EXCLUSIONS: | 14 | | III. | Oracle NetSuite Service Level Commitment | 15 | | A. | Service Availability | 15 | | B. | Scheduled and Unscheduled Maintenance | 15 | | C. | Service Credit Request | 15 | | D. | Updates | 16 | | E. | Notice | 16 | |------|------------------------------------------------|------| | F. | SECTION III EXCEPTIONS & EXCLUSIONS | 16 | | IV. | Oracle NetSuite Response Services Requirements | 16 | | A. | General | 16 | | B. | Response Services Requirements& Descriptions | 16 | | C. | Termination | 17 | | D. | SECTION IV EXCEPTIONS AND EXCLUSIONS | 17 | ## APERÇU Ces Politiques d'Oracle NetSuite en matière d'hébergement et de prestation de services de soutien (ces « politiques d'hébergement ») décrivent les services infonuagiques, comme définis dans la convention (définie ci-dessous) qui inclut ce qui suit (chacun un « service infonuagique » et collectivement « services infonuagiques »). - Service NetSuite - Service OpenAir - Connecteurs NetSuite - NetSuite CPQ Ces politiques d'hébergement peuvent faire référence à d'autres documents de politique infonuagique Oracle. Toute référence à « vous » dans ces politiques d'hébergement ou dans d'autres documents de ladite politique sera réputée faire référence au « client », comme défini dans le Formulaire d'estimation/commande (« commande ») ou dans la convention. Aux fins de ces politiques d'hébergement, (1) le terme « convention » désigne la convention applicable indiquée par renvoi dans la commande du client qui régit l'utilisation du service infonuagique par le client et qui fait référence à ces politiques. En outre, ce q ui suit s'applique à ces politiques d'hébergement : - Dans cette politique d'hébergement, les références aux termes suivants ont la même signification que celle qui leur est attribuée dans la Convention sur les services d'abonnement pour NetSuite Connectors : (a) le terme « client » inclut le terme « abonné », (b) le terme « données du client » inclut le terme « données de l'abonné » et (c) le terme « durée » inclut la « durée initiale » et toute « durée de renouvellement ». - Dans ces politiques d'hébergement, les références à la « période des services » désignent la durée des services infonuagiques achetés par le client, comme indiqué dans la commande du client (par exemple, 12 mois). Les termes qui n'ont pas d'autre définition dans ces politiques d'hébergemen t ont la signification qui leur est attribuée dans la convention (y compris les documents incorporés dans la convention) ou dans la commande du client, le cas échéant. La commande du client ou la convention peut inclure des détails supplémentaires ou des exceptions concernant des services infonuagiques particuliers. Les services infonuagiques sont fournis en vertu des conditions de la convention et de la commande du client applicables. La prestation des services infonuagiques par Oracle est conditionnelle au respect des obligations et responsabilités de conformité du client et des utilisateurs du client définies dans lesdits documents et dans les politiques qui y sont incorporées. Ces politiques d'hébergement, et les documents qui sont référencés sont suscep tibles d'être modifiés à la discrétion d'Oracle; cependant, les modifications de la politique par Oracle n'entraîneront pas une réduction importante du niveau de performance, de fonctionnalité, de sécurité ou de disponibilité des services infonuagiques fournis pendant la période des services de la commande du client. Ces politiques d'hébergement ne s'appliquent à aucune application de tierce partie (comme défini dans la convention) à aucun service vendu par Oracle et qui est assujetti à des conditions différentes (autres que celles de la convention) y compris, mais sans s'y limiter, les services NetSuite d'exécution de la paie, ou selon d'autres indications précisées dans la commande du client (y compris dans la description des articles applicables ou dans les descriptions des services). Des exceptions supplémentaires à cette politique d'hébergement sont indiquées dans chaque section applicable. ## DÉFINITIONS Le terme « soutien client avancé » désigne un service géré, proposé par Oracle sur la base d'un abonnement. Le soutien client avancé est fourni par Oracle pour aider les clients dans leur utilisation du service infonuagique ou de ses composants particuliers. Le terme « solution de rechange » désigne une solution ou une correction d'un incident qui permet au service infonuagique de fonctionner de manière suffisamment conforme aux guides de l'utilisateur. Le terme « contacts autorisés » désigne les employés du client ou ses mandataires désignés ou autorisés : (i) qui ont suffisamment d'expertise technique, de formation et/ou d'expérience avec le service infonuagique pour remplir les obligations du client comme indiqué aux présentes; (ii) qui ont la responsabilité de toutes les communications avec Oracle en ce qui concerne les services de soutien NetSuite décrits dans la section II de ces politiques d'hébergement, y compris la soumission de cas et de rapports d'incidents; et (iii) qui sont autorisés par le client à demander et à recevoir des ser vices de soutien pour le service infonuagique au nom du client. Le terme « soutien de base » désigne les services de soutien de base Oracle décrit aux présentes, qui est inclus dans un abonnement actuel au service infonuagique. En outre, le soutien de base prolonge la couverture pour les problèmes de gravité 1 à 24x7. Le terme « jours ouvrables ' désigne les jours du lundi au vendredi pendant les heures d'ouverture normales, à l'exclusion des jours fériés de l'entreprise Oracle. Le terme « demande d'amélioration » désigne une demande du client pour un ajout de fonctionnalité ou une amélioration de performance au-delà des spécifications du service infonuagique et qui ne fait pas partie des services de soutien. Le terme « soutien de premier niveau » désigne tout soutien concernant les appels provenant des clients du client, des utilisateurs finaux ou des sociétés affiliées, ou de la résolution générale des erreurs des utilisateurs, des erreurs de réseau, de l'obtention d'erreurs, des délais ou d'un mauvais fonctionnement de l'Internet. Le terme « incident » désigne une question de soutien ou de défaillance reproductible unique du service infonuagique pour qu'il se conforme en grande partie aux fonctions et/ou aux spécifications décrites dans les guides de l'utilisateur, la défaillance étant rapportée par un contact autorisé. Le terme « heures d'ouverture normales » désigne les heures de 8 heures à 18 heures pendant les jours ouvrables dans le fuseau horaire de l'adresse du siège social du client indiquée dans la convention. Le terme « soutien Premium » désigne le niveau amélioré des services de soutien Oracle. En plus des services de soutien de base décrits aux présentes, si le client est admissible au soutien Premium, il bénéficiera d'heures d'ou verture normales de soutien pour les problèmes de gravité 1 et de gravité 2 prolongées à une couverture 24x7 avec des objectifs de délai d'intervention amélioré et des contacts autorisés supplémentaires. Le terme « centre de données principal l » désigne le centre de données principal dans lequel sont stockées les données du client. Le terme « informations nominatives » a le même sens que le terme « données à caractère personnel », « renseignements permettant d'identifier une personne » ou un terme équivalent employé dans la législation en vigueur sur la protection des données. Le terme « protections » désigne les protections physiques et techniques. Le terme « incident de sécurité » désigne une divulgation non autorisée actuelle ou un doute raisonnable d'Ora cle selon lesquels une divulgation non autorisée des données du client, qui contiennent des renseignements non cryptés, a eu lieu pour une personne ou une entité non autorisée. Le terme « SuiteAnswers » désigne le portail de soutien en ligne accessible 24x7. Le terme « services de soutien » désigne les services de base et les services de soutien Premium en option pour le service infonuagique fourni par Oracle en vertu des conditions indiquées aux présentes et définies plus en détail dans la convention, mai s n'inclut pas le soutien de premier niveau ou les demandes d'amélioration. Le niveau des services de soutien du client sera déterminé par le niveau de services de soutien que ledit client a obtenu. Les services de soutien peuvent être offerts en d'autres langues, si disponibles, à l'entière discrétion d'Oracle. ## I. POLITIQUES DE SÉCURITÉ DES DONNÉES DES SERVICES INFONUAGIQUES ORACLE NETSUITE En ce qui concerne le service infonuagique fourni dans la commande Oracle applicable, Oracle maintient des protections administratives commercialement raisonnables conçues pour la protection, la confidentialité et l'intégrité des données du client. Toutes ces protections sont proportionnelles à l'importance des données du client étant protégées, mais en aucun cas elles ne sont moindres que les protections utilisées par Oracle pour protéger ses propres renseignements ou données d'importance similaire, ou selon les exigences de la loi en vigueur. Les protections décrites aux présentes s'appliquent pendant la période des serv ices de la commande du client; cependant, les protections décrites dans ces politiques d'hébergement ne sont pas complètes et lesdites protections peuvent changer pendant la période des services de la commande applicable, car les vérifications de sécurité de tierces parties, les normes de conformité et/ou les certifications évoluent/changent au cours du temps, dans la mesure où lesdits changements aux protections ne réduisent pas de manière importante la sécurité générale du service infonuagique pendant la période des services de la commande applicable. Pendant la période des services, Oracle se conformera à toutes les obligations concernant les données du client, y compris, sans s'y limiter, les obligations d'Oracle de maintenir des protections commercialement raisonnables comme indiqué aux présentes. ## A. Politique de sécurité Oracle NetSuite Oracle possède et gère une politique de sécurité pour son organisation de sécurité, qui exige une formation sur la sécurité et sur la confidentialité dans le cadre d'un groupe de formations destinées au personnel de sécurité Oracle qui prend en charge le service infonuagique. ## B. Organisation de la sécurité Oracle NetSuite Oracle possède et continue à posséder une organisation dédiée à la sécurité qui est responsable de la surveillance continue de l'infrastructure de sécurité Oracle, de l'examen des produits et services Oracle et des interventions lors incidents de sécurité. ## C. Stockage et gestion des données Le support de stockage et tout équipement ayant une capacité de stockage, y compris les supports mobiles utilisés pour stocker les données du client, sont sécurisés et renforcés conformément aux pratiques standards du secteur, comme : - i. Le maintien par Oracle d'une politique raisonnable de gestion des biens pour gérer le cycle de vie (mise en service, exploitation, entretien, gestion, modification, réparation et mise hors service/élimination) des supports en question; - ii. Les supports mis hors service, qui contiennent des données du client, sont détruits conformément au NIST 800-88 au niveau modéré de sensibilité (ou selon une norme similaire de destruction des données); - iii. Les données du client sont segmentées de manière logique par rapport aux données d'Oracle et à celles d'autres clients d'Oracle; et - iv. Dans le service infonuagique, les champs de bases de données désignés pour des renseignements sur les données de carte de crédit et les numéros de sécurité sociale sont cryptés et Oracle ne traite pas de telles données du client dans des tests, pour un développement ou dans des environnements de non-production. ## D. Transmission de données L'accès du client au service infonuagique a lieu par l'entremise d'un protocole de communication sécurisé spécifié par Oracle. Oracle utilise une cryptographie robuste et des protocoles de sécurité conformes aux normes du secteur, comme indiqué dans la docume ntation des guides de l'utilisateur pour le service infonuagique. ## E. Intervention en cas d'incident Oracle surveille plusieurs canaux de communication pour y détecter des incidents connus et l'équipe de sécurité Oracle réagit promptement à ces incidents connus. Si un incident de sécurité survient, Oracle : (i) avise le client conformément aux obligations d'Oracle en vertu de la loi en vigueur ou des exigences réglementaires, dans la mesure où une loi en vigueur sur la violation de sécurité s'applique à cet incident de sécurité; et (ii) effectue un test de pénétration après avoir mis en œuvre des mesures correctives, le cas échéant, avec un sommaire des résultats de test qui est fourni au client, et ces résultats sont réputés être des renseignements confidentiels d'Oracle. Les incidents liés aux informations nominatives sont gérés conformément aux dispositions indiquées dans la Convention sur le traitement des données Oracle. ## F. Gestion des modifications Oracle maintient une politique de gestion des modifications pour assurer le contrôle des modifications de l'organisation, des processus commerciaux, des instal lations et des systèmes de traitement des informations qui ont un impact sur la sécurité des informations. ## G. Systèmes d'exploitation du serveur Les serveurs Oracle utilisent une mise en œuvre de système d'exploitation renforcée et personnalisée pour le service infonuagique. Oracle gère une politique de gestion des correctifs établissant des priorités basées sur le risque. ## H. Gestion des privilèges et du contrôle de l'accès Oracle utilise des systèmes et des processus pour limiter l'accès physique et logique en f onction de privilèges minimaux et de la séparation des tâches pour assurer un accès aux données critiques uniquement par le personnel Oracle autorisé. ## I. Comptes d'utilisateurs Le client contrôle la création, la suppression et la suspension des rôles d'utilis ateurs dans le service infonuagique, comme l'indique la documentation des guides de l'utilisateur du service. Le service infonuagique permet au client d'effectuer des fonctions administratives. ## J. Responsabilités d'Oracle et contrôles de la politique Oracle m et en œuvre des mesures pour s'assurer que les données du client sont traitées uniquement en conformité aux conditions de la convention. ## K. Configuration des mots de passe Comme indiqué dans les guides de l'utilisateur pour le service infonuagique applicable, certains services infonuagiques permettent au client d'appliquer ses propres mots de passe et politiques d'authentification par l'entremise de paramètres de politique configurables du service et lorsqu'il utilise une fonctionnalité de signature unique dans le service infonuagique. ## L. Exigences de sécurité pour la connectivité réseau Oracle protège son infrastructure par de multiples niveaux de périphériques réseau sécurisés. Tout accès à distance aux environnements du service infonuagique par le personnel d'O racle ayant accès aux données du client, doit être effectué par une ou par plusieurs des méthodes suivantes : réseau privé virtuel, authentification à facteurs multiples, authentification mutuelle, cote de confiance du client, ou d'autres méthodes d'authen tification qui permettent un niveau de sécurité égal ou supérieur. ## M. Vérifications et certifications Les vérifications et certifications de sécurité suivantes sont pertinentes pour le service infonuagique, comme indiqué ci-dessous : - i. PCI DSS. Les Normes de sé curité des données de l'industrie des cartes de paiement (Payment Card Industry Data Security Standard ou PCI DSS) sont des normes de sécurité des renseignements à l'échelle mondiale pour les organisations qui gèrent des cartes de crédit de marque comme Visa, Master Card, American Express, etc. Les normes de la PCI sont mandatées par les marques de cartes et gérées par le Payment Card Industry Security Standards Council. Pendant la période des services, Oracle doit maintenir la conformité aux PCI DSS pour les parties du service infonuagique désignées par Oracle pour le stockage et le traitement des données de carte de crédit. 2. Il incombe au client de s'assurer que son utilisation du service infonuagique pour stocker ou traiter des données de carte de crédit est conforme aux exigences des PCI DSS et il ne doit pas stocker des données de carte de crédit et de sécurité sociale dans le service infonuagique sauf dans les champs ayant été cryptés et désignés pour de telles données. Tous les changements effectués au service infonuagique par ou au nom du client peuvent avoir une incidence sur la conformité du client aux exigences des PCI DSS et le client assume l'entière responsabilité de s'assurer que tous ces changements sont conformes aux exigences des PCI DSS. - ii. Attestations du rapport SOC . L'American Institute of CPAs (AICPA) a établi des cadres de travail pour les contrôles de l'organisation et du système (SOC ou System and Organization Controls) afin d'évaluer et de produire des rapports sur l'efficacité des contrôles d'un organisme de service qui répondent aux besoins particuliers d'un utilisateur. En ce qui concerne le service infonuagique, Oracle doit assurer la production de rapports annuels d'attestation par de tierces parties conformément à l'AICPA et à l'IFAC Standards for Assurance Engagements : - a. Oracle doit assurer la production d'un rapport annuel SOC 1 / ISAE 3402 Type II. - b. Oracle doit assurer la production d'un rapport annuel SOC 2 Type II pour les attributs de sécurité, de disponibilité et de confidentialité. - c. Tout résultat important qui entraîne une opinion avec réserve dans les rapports SOC fera l'objet d'une réponse rapide avec développement et mise en œuvre d'un plan de mesures correctives par la direction d'Oracle. - iii. ISO 27001. ISO 27001 est une norme int ernationale dominante publiée par l'Organisation internationale de normalisation (« ISO ») et la Commission électronique internationale (« IEC ») pour la mesure des systèmes de gestion de la sécurité de l'information (« ISMS ou information security management systems »). Cette norme précise les exigences d'établissement, de mise en œuvre, d'exploitation, de surveillance, de revue, de gestion et d'amélioration d'un ISMS documenté. 4. Oracle doit assurer l'exécution d'une vérification de certification par une tierce partie de l'ISMS d'Oracle par rapport aux exigences de la norme ISO 27001. - iv. Le client peut soumettre à Oracle une demande de copie finale des rapports suivants : a) SOC 1 / I SAE 3402 Type II; b) SOC 2 Type II; et (c) certificat et déclaration d'applicabilité (« SOA ») (Statement of Applicability) ISO 27001. Tous lesdits rapports, certificats et documents connexes fournis par Oracle en lien avec la présente section I.M.iv sont réputés être des renseignements confidentiels d'Oracle. - v. Si des vérifications, des normes et/ou des certifications similaires de tierces parties sont proposées à l'avenir, Oracle peut choisir de les exécuter et/ou d'obtenir une certification de telles norme s établies dans le secteur, selon le choix d'Oracle, au lieu de celles indiquées dans la présente section I.M. ## N. Environnements du centre de données et sécurité physique Les informations qui suivent présentent une description générale des divers environnements de centre de données Oracle et des efforts visant à assurer leur sécurité physique. Les centres de données exécutant les services infonuagiques dans l'infrastructure infonuagique Oracle (« OCI ») (Oracle Cloud Infrastructure) sont régis par la section 1.2, « Mesures de protection matérielle » et par la section 2.1, « Stratégie de haute disponibilité des services infonuagiques Oracle », des Politiques d'Oracle en matière d'hébergement et de prestation de services infonuagiques accessibles à l'adresse www.oracle.com/contracts/cloud-services ou à d'autres URL désignées par Oracle. ## O. Reprise après sinistre Oracle gère un plan interne de reprise après sinistre (« plan interne de reprise après sinistre ») qui vise à fournir une capacité de restauration du service des comptes de production du client en cas de sinistre, comme déclaré p ar Oracle, à son entière discrétion. Si Oracle détermine qu'un événement constitue un sinistre exigeant l'exécution de son plan interne de reprise après sinistre, Oracle travaillera à restaurer les environnements de production du service infonuagique touché. Le terme objectif de temps de reprise : (« RTO ») (Recovery Time Objective ) désigne l'objectif d'Oracle pour la période maximum entre la décision d'Oracle d'activer les processus décrits aux présentes et le point auquel le client peut reprendre les opérations de production dans un autre site. Si la décision d'activer le processus de reprise après sinistre a lieu pendant une prédiode d'excécution de mise à niveau, le processus de reprise après sinistre est lancé et terminé en premier, et suivi par l'ach èvement de la mise à niveau. Le terme objectif de point reprise : (« RPO' ou Recovery Point Objective) désigne l'objectif d'Oracle pour la période maximum de perte de données mesurée en tant que moment depuis la perte de la première opération jusqu'au moment de l'occurrence du sinistre (comme reconnu par Oracle). Le RPO ne s'applique à aucune charge de données en cours lors de l'occurrence du sinistre. En ce qui concerne le service infonuagique suivant, le RTO est 12 heures et le RPO est 1 heure. ## · Service NetSuite Si le service NetSuite Service ne réalise pas le RTO, le recours unique et exclusif du client est l'obtention d'un crédit de service lui permettant d'utiliser le service infonuagique conformément aux conditions de la section III. (Engagement envers le niveau de service Oracle NetSuite) Le client peut subir certains retards dans l'exploitation du service infonuagique pendant la durée du sinistre. Pendant les événements de basculement actif ou les opérations de reprise, la livraison par Oracle des c orrectifs non critiques et les demandes d'amélioration sont suspendues. ## P. Évaluations du risque Oracle effectue chaque année une évaluation du risque du service infonuagique. Cette évaluation inclut une évaluation des risques dans les domaines de la confiden tialité, de l'intégrité et de l'accessibilité des données du client qui résident dans le service infonuagique, de même qu'un plan, documenté dans sa politique de sécurité, pour corriger ou atténuer ces risques à un niveau de risque résiduel acceptable selo n la détermination d'Oracle, à son entière discrétion. ## Q. Gestion des informations nominatives Oracle traite les informations nominatives dans le cadre d'une disposition de ses services conformément à sa convention applicable et assume la responsabilité de se conformer à ses obligations respectives en vertu des lois en vigueur sur la protection des données. Lors de la gestion et du traitement des informations nominatives, Oracle met en œuvre et gère des mesures de sécurité organisationnelles et techniques pertinentes conçues pour prévenir la destruction accidentelle ou illégale, la perte, la modification, la divulgation non autorisée d'informations nominatives ou leur accès illicite. ## R. Utilisation des services Le service infonuagique ne peut pas être livré à des utilisateurs au Venezuela ou faire l'objet d'un accès par ceux-ci; et le service infonuagique ou tout résultat des services ne peuvent pas être utilisés pour l'avantage de toute personne ou entité au Venezuela y compris, sans s'y limiter, le gouvernement d u Venezuela. ## S. SECTION I EXCEPTIONS ET EXCLUSIONS - Section I.M.i. (Vérifications et certifications, PCIDSS) ne s'applique pas au service Open Air. - Section I.M (Vérifications et certifications) ne s'applique pas à : - o NetSuite QuickStart Edition Early Adopter (anciennement appelé : NetSuite New Starter Edition) - o Service infonuagique NetSuite Connector - o Service infonuagique NetSuite CPQ - Section I.O (Repris e après sinistre) ne s'applique pas à : - o Service infonuagique NetSuite Connector - o Service infonuagique NetSuite Point-of-Sale (POS) - o Service infonuagique NetSuite CPQ - o Service Open Air - o NetSuite QuickStart Edition Early Adopter (anciennement appelé : NetSuite New Starter Edition) - o Environnement(s) non lié(s) à la production, y compris, sans s'y limiter, les comptes de bac à sable, les comptes de développement, les comptes de présentation et les comptes d'essai - o Le RTO ne s'applique à aucun des services infonuagiques NetSuite Suite Commerce (remarque : Oracle lancera le processus de recherche dans les 12 heures, mais la préparation finale du service dépend de la configuration du magasin du client [en particulier le volume et la complexité des articles] qui peut dépasser les 12 heures du RTO). ## II. SERVICE DE SOUTIEN ORACLE NETSUITE ## A. Généralités Sous réserve de l'obtention par le client des services de soutien (comme définis aux présentes) les conditions de cette section II (les « conditions relatives au soutien ») décrivent la prestation par Oracle de services de soutien destinés au client en vertu des conditions de la convention et de ces conditions, conformément au niveau de services de soutien obtenu par le client. ## B. Portée des services de soutien - i. Sous réserve de ces conditions de soutien, Oracle répondra à tous les incidents pouvant survenir à la suite de l'utilisation du service infonuagique par le client, conformément aux sections II.D (Rapport d 'incident et délais d'intervention) et II.E (Exclusions et exceptions) des services de soutien ci-dessous. - ii. Oracle n'a aucune obligation de fournir des services de soutien en ce qui a trait : - a. à toutes adaptations, configurations ou modifications du service infonuagique effectuées par le client ou par toute tierce partie, y compris celles effectuées au moyen de SuiteScript ou de JavaScript; - b. soutien de premier niveau, qui sera fourni par le client; - c. demandes d'amélioration; ou - d. tous les articles exclus en vertu de la section II.E (Exclusion et exception des services de soutien) - iii. Oracle peut offrir des services professionnels ou du soutien client avancé pour aider à résoudre des problèmes hors de la portée des services de soutien. Tout engagement de services profe ssionnels ou de soutien client avancé sera fourni en vertu d'une convention distincte et/ou sera assujetti à la convention, de même qu'aux frais de consultation et aux conditions d'Oracle alors en vigueur. ## C. Résiliation Nonobstant toute indication contraire en vertu des présentes ou dans la convention applicable, ces conditions relatives au soutien seront résiliées lors de l'expiration ou de la résiliation de la convention ou lors de l'expiration ou de la résiliation du droit d'accès par le client au service infonuagique applicable. ## D. Production de rapport d'incident et délais d'intervention - i. Contacts autorisés . Tous les rapports d'incident doivent être communiqués à Oracle par le ou les contacts autorisés. La première méthod e de rapport d'incident de la part du client est l'utilisation de SuiteAnswers. Nonobstant ce qui précède, les clients qui obtiennent le soutien de base peuvent aviser Oracle des incidents 1 (définis dans la section II.D [Niveaux de gravité]) par téléphone si l'accès du client à l'application SuiteAnswser n'est pas disponible. Les clients qui obtiennent le soutien Premium peuvent aviser Oracle des incidents S1 et S2 (définis dans la section II.D.iii [Niveaux de gravité]) par téléphone si l'accès au client à l'application SuiteAnswer n'est pas disponible. De temps à autre, le client peut substituer un ou plusieurs contacts autorisés en envoyant à Oracle un avis écrit et préalable, y compris les coordonnées pertinentes pour tout nouveau contact autorisé. Nombre permis de contacts autorisés admissibles - o Soutien de base : 2 - o - Soutien Premium : 4 - ii. Informations requises . Tous les rapports d'incident doivent inclure, le cas échéant : - a. Le numéro d'identification du client, fourni dans le cadre de la prestation. - b. Des instru ctions détaillées qui permettent à Oracle de reproduire l'utilisation particulière ayant causé l'incident rapporté. - c. Une formulation exacte de tous les messages d'erreur correspondants. - d. Une description complète de l'incident et des résultats attendus. - e. Toute s les circonstances particulières entourant la découverte de l'incident. - f. En ce qui concerne les incidents S1, fournir un point de contact supplémentaire. Oracle peut partager de telles informations, ainsi que d'autres informations sur les incidents avec ses soustraitants, fournisseurs et/ou fournisseurs d'applications tiers pour faciliter la prestation par Oracle des services de soutien décrits aux présentes. - iii. Niveaux de gravité. Oracle collabore avec le client et attribue le niveau de gravité approprié de tous les incidents, selon les définitions ci-dessous (chacun un « niveau de gravité »). Les niveaux de gravité sont attribués pour permettre l'établissement des priorités des incidents entrants. Oracle peut reclasser les incidents en fonction de leur impact actuel sur le service infonuagique et sur l'exploitation commerciale selon les descriptions ci -dessous. Si Oracle détermine qu'un incident est en fait une demande d'amélioration, il n'est pas pris en compte dans le cadre de ces Conditions relatives au soutien. Les niveaux de gravité sont définis comme : - a. « niveau de gravité 1 » ou « S1 (critique) », qui désigne un incident où l'utilisation par le client du service infonuagique en mode de production subit un impact grave qui empêche le client de poursuivre une exploitation commerciale raisonnable. Cet incident peut entraîner une interruption importante et immédiate des opérations commerciales du client qui causera une perte de données du client et/ou restreindra la disponibilité desdites données et/ou aura des conséquences financières notables. - b. « niveau de gravité 2 » ou « S2 » (significatif), qui désigne un incident où une ou plusieurs fonctions importantes du service infonuagique ne sont pas disponibles alors qu'aucune solution de rechange n'est acceptable. La mise en œuvre du client ou l'utilisation de la production du service infonuagique continue, mais n'est pas arrêtée; toutefois cet incident a un impact important sur l'exploitation commerciale du client. - c. « niveau de gravité 3 » ou « S3 (moins significatif) », qui désigne un incident où : (a) des fonctionnalités importantes du service infonuagique ne sont pas disponibles, mais une solution de remplacement est disponible, ou (b) des fonctionnalités moins importantes du service infonuagique ne sont pas disponibles sans solution de remplacement raisonnable; les clients subissent une perte mineure de fonctionnalité d'exploitation commerciale et/ou un impact sur les ressources de mise en œuvre, ou (c) le client pose des questions concernant les fonctionnalités de base du service infonuagique. Cette catégorie est seulement offerte aux clients qui achètent le soutien Premium. - d. « niveau de gravité 4 » ou « S4 (minimal) », qui désigne un incident qui a un impact minimal sur l'exploitation commerciale ou sur une fonctionnalité de base du service infonuagique. Cette catégorie est seulement offerte aux clients qui achètent le soutien Premium. - iv. Obligations d'Oracle . Oracle au torisera l'accès aux services de soutien pendant les heures d'ouverture normales pour permettre au client de produire des rapports d'incidents et de recevoir de l'assistance. À la réception d'un rapport d'incident, Oracle établira s'il y a un incident pour lequel le client est admissible au service de soutien en vertu des présentes conditions relatives au soutien et, si c'est le cas, Oracle : - a. Validera la réception du rapport d'incident et avisera le client du numéro de cas que les deux parties doivent utiliser dans toutes les communications au sujet de l'incident en question. - b. Collaborera avec le client pour définir un niveau de gravité de l'inc ident basé sur les critères stipulés aux présentes. - c. Analysera l'incident et vérifiera l'existence du problème. - d. Donnera au client des directives et de l'assistance pour la résolution de l'incident en vertu des conditions décrites aux présentes. ## v. Objectifs de délai d'intervention . | | Niveau de gravité 1 | Niveau de gravité 2 | Niveau de gravité 3 | Niveau de gravité 4 | |-----------------|-----------------------|-----------------------|-----------------------|-----------------------| | Soutien de base | 2 h | Sans objet 1 | Sans objet 2 | Sans objet | | Soutien Premium | 1 h | 2 h | 8 h | 2 jours ouvrables | 1 Remarque : En ce qui concerne les clients qui ont acheté du soutien avant le 1er décembre 2019, le délai d'intervention pour S2 est de 4 heures. - 1 Remarque : En ce qui concerne les clients qui ont acheté du soutien avant le 1er décembre 2019, le délai d'interventi on pour S3 est de 2 jours ouvrables. ## vi. Obligations du client. - a. L'obligation d'Oracle de fournir des services en vertu des présentes conditions relatives au soutien est subordonnée aux obligations suivantes du client : 1. payer tous les frais applicables aux services de soutien avant la date du rapport d'incident; 2. obtenir un accès valide au service infonuagique; 3. fournir à Oracle une assistance raisonnable ainsi que des données, des informations et du matériel raisonnablement nécessaires; 4. fournir, installer et gérer tous les équipements, lignes téléphoniques, interfaces de communication et autres matériels et logiciels nécessaires pour accéder au service infonuagique; 5. fournir tout le soutien de premier niveau; 6. fournir les coordonnées pertinentes pour tous les contacts autorisés; 7. utiliser la base de connaissances de SuiteAnswers pour la recherche autonome de solutions connues, et 8. utiliser le portail de production de rapports d'incident de SuiteAnswers pour consigner tous les cas d'incident, sauf pour les clients du soutien de base qui sont autorisés à consigner les incidents S1 et les clients du soutien Premium qui sont autorisées à consigner les incidents S1 et S2 par téléphone, comme indiqué dans la section II.D.i (Contacts autorisés). - b. Pendant la durée de la période initiale et pendant toute la (les) durée(s) de renouvellement choisies pour laquelle ou lesquelles le client a acheté des services de soutien, le client doit acheter et gérer le même niveau de service de soutien pour tous les utilisateurs du service infonuagique (y compris, sans s'y limiter, toutes les licences supplémentaires achetées ultérieurement par le client). Pour éviter toute confusion, le client ne peut pas choisir d'acheter ou de renouveler des services de soutien pour seulement une partie de son service ou de ses utilisateurs pouvant accéder au service, et le client ne peut pas acheter des niveaux différents de soutien pour une partie de ses utilisateurs. ## E. Exclusions et exceptions des services de soutien Oracle n'est pas tenue de corriger un quelconque incident causé par (i) l'intégration de toute fonctionnalité, tout programme ou tout appareil au service infonuagique ou à l'une ou l'autre de ses parties; (ii) toute non-conformité causée par une mauvaise utilisation, une altération, une modification ou une amélioration non autorisée du service infonuagique; ou (iii) une utilisation du service infonuagique non conforme à la convention. ## F. SECTION II EXCEPTIONS ET EXCLUSIONS Oracle n'est pas tenue de corriger un quelconque incident causé par (i) l'intégration de toute fonctionnalité, tout programme ou tout appareil au service infonuagique ou à l'une ou l'autre de ses parties; (ii) toute non-conformité causée par une mauvaise utilisation, une altération, une modification ou une amélioration non autorisée du service infonuagique; ou (iii) une utilisation du service infonuagique non conforme à la convention. ## III. ENGAGEMENT ENVERS LE NIVEAU DE SERVICE ORACLE NETSUITE. ## A. Disponibilité du service Oracle s'engage à fournir un e disponibilité de 99,7 % en ce qui concerne le service infonuagique commandé par le client pendant chaque mois civil de la période des services pour la commande applicable, à l'exclusion des périodes de maintenance programmée (« disponibilité du service »). Si, dans tous moi civil, Oracle ne peut pas fournir cette disponibilité du service et que le client subit un impact négatif (après avoir essayé d'ouvrir une session ou d'accéder au service infonuagique et n'a pas réussi à cause d'un temps d'arrêt non pl anifié, comme défini ci-dessous), Oracle fournira en tant que recours unique et exclusif, un crédit de service basé sur les frais mensuels d'utilisation du service infonuagique : | Disponibilité du service | <99,7 %et >= 99,5% | <99,5 %et >= 99,0% | < 99,0% | |----------------------------|----------------------|----------------------|-----------| | Crédit de service | 10% | 15% | 25% | Oracle mesure la disponibilité du service de chaque mois civil en divisant la différence entre le nombre total de minutes dans la période de mesure mensuelle et tout temps d'arrêt non planifié par le nombre total de minutes dans la période de mesure et en multipliant le résultat par 100 pour obtenir un pourcentage. Le terme « temps d'arrêt non planifié » désigne tout temps pendant lequel un problème du service infonuagique empêche le client d'ouvrir une session dans le s ervice infonuagique ou d'y accéder. Oracle calcule tout temps d'arrêt non planifié en utilisant les journaux du système et les autres dossiers d'Oracle. Le temps d'arrêt non planifié n'inclut pas toute période pendant laquelle le service infonuagique n'est pas disponible en raison de toute suspension ou résiliation du service infonuagique applicable, ou de toute autre non-disponibilité ou de tout problème de performance résultant de l'équipement du client et/ou d'une tierce partie, de logiciels, de services ou d'autres technologies (sauf l'équipement ou les services d'une tierce partie sous le contrôle direct d'Oracle). ## B. Maintenance planifiée et non planifiée La maintenace programmée n'est pas prise en compte comme un temps d'arrêt non planifié aux fins du ca lcul d'un crédit de service, comme indiqué dans le tableau ci -dessus. La maintenance est considérée comme « planifiée » si elle est communiquée (i) conformément à la section III.E (Avis), indiqué ci-dessous et (ii) au moins deux jours ouvrables complets avant la maintenace programmée, bien qu'Oracle s'efforce de communiquer une maintenace programmée au moins une semaine à l'avance lorsque cela est possible. Une maintenace programmée a généralement lieu en dehors des heures ouvrables normales pour chaque région et exige généralement moins de 15 heures par trimestre. En plus de toutes les autres maintenances planifiées, Oracle peut communiquer, chaque samedi soir entre 22 h et 22h20 heure du Pacifique, qu'une période est réservée pour une maintenace programmée, en cas de besoin. Oracle peut, à son entière discrétion, interrompre le service infonuagique d'Oracle pour une maintenance non planifiée, et tentera, dans ce cas, d'en informer le client à l'avance conformément à la section III.E (Avis) indiquée ci-dessous. Une maintenance non planifiée sera incluse dans un temps d'arrêt non planifié et sera soustraite de la disponibilité du service indiquée ci -dessus. ## C. Demande de crédit de service Afin de recevoir un crédit de service comme décrit aux présentes, le client doit envoyer à Oracle un courriel à l'adresse billing@netsuite.com pour demander un crédit de service dans les 30 jours suivant la fin du mois dans lequel la disponibilité de se rvice n'a pas été remplie et le client doit fournir les détails de la réclamation à la suite d'une demande raisonnable d'Oracle. Toute demande de réclamation dont la soumission a réussi recevra une réponse indiquant la réception de la demande. Si le client ne reçoit pas cette réponse, la réclamation est réputée ne pas avoir été reçue par Oracle et le client doit soumettre de nouveau sa réclamation afin qu'Oracle puisse prendre en compte la demande pour un crédit de service. Les clients dont les comptes sont en retard ou en défaut de paiement en ce qui concerne tout paiement ou toute obligation contractuelle importante à l'égard d'Oracle ne sont admissibles à aucun crédit de service en vertu de cet Engagement relatif au niveau de service. Le crédit de service est valide pendant un maximum de deux années à partir du trimestre de son émission. ## D. Mises à jour Cette section III des politiques d'hébergement (Engagement envers le niveau de service Oracle NetSuite) peut être modifiée en tout temps à la discrétion d'Ora cle. Les mises à jour entreront en vigueur 30 jours après l'envoi de l'avis au client conformément à la section III.E. (Avis) ci-dessous. ## E. Avis L'avis sera envoyé soit : (a) comme un avis à l'écran d'un ou plusieurs administrateurs du client présenté immédi atement après l'ouverture de session dans le service infonuagique ou (b) par courriel à l'adresse de courriel enregistrée fournie pour le ou les administrateurs du compte du client. ## F. SECTION III EXCEPTIONS ET EXCLUSIONS La section III ne s'applique pas : - à tout bac à sable, aperçu de version, version bêta, formation professionnelle, démonstration, compte de développeur et/ou de débogueur et à tous les environnements de non-production ou de test. - Service infonuagique NetSuite CPQ - Service infonuagique NetSuite Connectors ## IV. EXIGENCES EN MATIÈRE DE SERVICES D'INTERVENTION ORACLE NETSUITE ## A. Généralités Sous réserve des exigences supplémentaires indiquées dans le tableau ci-dessous, ces exigences en matièr e de services d'intervention, qui constituent un supplément au service de soutien Oracle NetSuite décrits dans la section II de ces politiques d'hébergement, régissent la prestation de services d'intervention spécifiques décrits ci -dessous (les « services d'intervention ») et s'appliquent seulement dans le cadre des services d'intervention. ## B. Descriptions et exigences des services d'intervention | | Exigences | Exigences | Exigences | Exigences | Exigences | |-------------------------|-------------------------|-------------|----------------|-------------|----------------------| | Services d'intervention | Niveau services soutien | des de | Niveau gravité | de | Service infonuagique | | Services d'intervention Commerce | Soutien Premium | Niveau de gravité 1 (critique) | SuiteCommerce (« SC ») ou SuiteCommerce Advanced (« SCA ») | |-------------------------------------------|-------------------|----------------------------------|--------------------------------------------------------------| | Services d'intervention au point de vente | Soutien Premium | Niveau de gravité (critique) | Module POS de NetSuite (« NSPOS ») | Le terme « services d'intervention Commerce » ou « CRS » (Commerce Response Services) désigne le supplément en anglais du service d'intervention pour les sites Web créés au moyen de SC ou SCA (« site(s) Web »). Le terme « services d'intervention au point de vente » ou « PRS » (Point-of-Sale Response Services) désigne le supplément en anglais du service d'intervention pour le NSPOS. Services d'intervention Commerce . Oracle déploiera des efforts raisonnables pour analyser les erreurs liées au site Web et faciliter l'identifica tion des causes. Oracle fournira une assistance raisonnable pour des mesures correctives, pour identifier une solution de rechange ou pour recommander au client de se procurer des services professionnels et distincts de la part d'Oracle. Oracle pourra exiger un accès au bac à sable et aux environnements de production du service infonuagique du client (« comptes du client »). Le client accepte de fournir à Oracle le niveau d'accès raisonnablement nécessaire à un ou plusieurs comptes du client et pour aussi l ongtemps qu'Oracle exige un tel accès, et le client retirera immédiatement l'accès en question lors de l'achèvement de l'activité des services d'intervention Commerce. Services d'intervention au point de vente . Oracle déploiera des efforts raisonnables pour analyser les erreurs liées au NSPOS et faciliter l'identification des causes. Oracle fournira une assistance raisonnable pour des mesures correctives, pour identifier une solution de rechange ou pour recommander au client de se procurer des services pro fessionnels et distincts de la part d'Oracle. Oracle pourra exiger un accès au bac à sable et aux environnements de production du service infonuagique du client (« comptes du client »). Le client accepte de fournir à Oracle le niveau d'accès d'un ou plusie urs comptes du client qui est raisonnablement nécessaire et pour aussi longtemps qu'Oracle exige un tel accès et le client retirera immédiatement l'accès en question lors de l'achèvement de l'activité de PRS. ## C. Résiliation Le service d'intervention est un se rvice additionnel fourni par Oracle sans frais supplémentaires. Oracle peut, à son entière discrétion, cesser immédiatement de fournir des services d'intervention en tout temps, à la suite d'un avis au client. ## D. SECTION IV EXCEPTIONS ET EXCLUSIONS Les exigen ces en matière de services d'intervention Oracle NetSuite sont seulement disponibles pour les services infonuagiques répertoriés dans le tableau de la section IV.B ci-dessus (Descriptions et exigences des services d'intervention). Voici les exceptions et l es limitations aux CRS et aux PRS : - i. Le CRS n'est pas disponible pour les bibliothèques de tierce partie, les intégrations ou le code qui n'est pas développé en utilisant SC ou SCA. - ii. Les PRS ne sont pas disponibles pour des solutions de tierce partie ou pour des intégrations ou pour tout problème concernant le matériel physique. - iii. Les CRS et les PRS sont limités à un niveau de gravité 1 reproductible (le client doit fournir des instructions détaillées qui permettent Oracle de reproduire l'utilisation précise qu i a causé l'incident). - a. Uniquement aux fins du CRS, le service infonuagique (comme défini dans la convention) désigne le site Web. - b. Uniquement aux fins des PRS, le service (comme défini dans la Convention sur les services d'abonnement) désigne le NSPOS. - iv. Oracle peut, à son entière, mais raisonnable discrétion, cesser de fournir les CRS et les PRS à tout client n'ayant pas pris les mesures appropriées ou recommandées pour corriger les problèmes rapportés antérieurement. - v. Oracle peut refuser de fournir des CRS pour une erreur liée à un site Web individuel, ou des PRS pour une erreur liée à un NSPOS individuel si, selon son entière, mais raisonnable discrétion, Oracle conclut que le niveau ou l'effort requis pour corriger l'erreur n'est pas commercialement raisonnable.