RC Pro et assurance cyber : ce qui est vraiment couvert
Beaucoup de TPE découvrent l'exclusion « défaut de mise à jour » en lisant le contrat après coup. Après l'incident : déclarez tôt, joignez le constat, ne « réparez pas tout » sans accord si le contrat l'exige. La RC pro n'est pas automatiquement une cyber.
Beaucoup de TPE découvrent l'exclusion « défaut de mise à jour ». Lisez avant l'incident si possible. Après : déclarez tôt, joignez le constat, ne « réparez pas tout » sans accord si le contrat l'exige.
RC pro, cyber, deux produits
La RC professionnelle indemnise surtout les tiers pour votre faute dans l'activité. Un client qui attaque parce que ses données ont fuité peut entrer là — selon les clauses. Le coût de *votre* nettoyage, la perte d'exploitation, le rançon, le consultant : souvent une police cyber, si vous en avez une. Beaucoup n'en ont pas, et croient que « RC pro » suffit.
Relisez les deux, plus les avenants. Un courtier qui dit « vous êtes couverts » par téléphone n'est pas le contrat. Demandez la fiche exclusion.
La notification CNIL n'attend pas l'accord assureur. Les 72 h tournent. On déclare le sinistre en parallèle. Un courtier joignable le jour J vaut mieux qu'un numéro générique du contrat : notez-le *avant* le prochain incident, dans le même classeur que les accès.
Lire les exclusions avant d'espérer
Classiques : défaut de mises à jour, absence de sauvegarde, mots de passe partagés, non-déclaration dans le délai, actes d'un assuré, guerre / nation state (parfois invoqué à tort), rançon interdite, données déjà en clair « non conformes ». Chacune se discute sur faits. Le constat sert ici plus qu'un sentiment d'injustice.
Une exclusion « manque de mesures élémentaires » vise parfois le stockage en clair ou le 777 généralisé. Ce n'est pas perdu d'avance ; c'est un débat. Mentir sur les versions d'extensions le fait perdre.
Les franchises et plafonds cyber TPE sont souvent bas. Lisez le chiffre avant de commander un audit à 15 000 € « parce que c'est remboursé ».
- Délai de déclaration.
- Exclusions MAJ / backups / mots de passe.
- Plafond et franchise réels.
Déclarer tôt, même incomplet
Un mail au courtier / à la compagnie : date de découverte, nature (site compromis, éventuelle lecture de données), mesures urgentes, que le constat suit. Le délai contractuel est souvent court (5 jours, 48 h…). « On attendait d'être sûrs » est l'argument qui fait tomber la garantie.
Incomplet n'est pas mensonger. « Volume encore inconnu » est acceptable. « Aucune donnée touchée » alors que vous n'avez pas regardé, non.
Joindre ensuite les pièces. Un devis seul sans avant/après passe mal.
Ce que le contrat demande souvent
Accord préalable pour certains frais (expert, comm' de crise, parfois le nettoyeur). Lisez. Si c'est écrit, un appel le jour J : « on doit isoler, on envoie le devis dans l'heure ». Ne restez pas inactif : couper une page d'hameçonnage n'attend pas un gestionnaire en RTT.
Certaines polices imposent *leur* prestataire. D'autres acceptent le vôtre. Clarifiez avant de signer trois interventions.
Gardez les preuves d'accord (email). Un « oui » téléphonique s'écrit en confirmation.
Mises à jour et « faute »
L'assureur cherchera la version de l'extension d'entrée et la date du correctif public. Votre responsabilité prestataire et les emails « on ne touche pas le builder » deviennent des pièces. Honnêteté : un gel demandé par vous se dit.
Un cœur WordPress à jour avec un module 2018 n'est pas « à jour ». Ne l'écrivez pas.
Les mesures après coup (2FA, backups hors serveur) montrent la remédiation. Elles n'effacent pas une exclusion, elles aident le dossier humain et le prochain contrat.
Prestataires et recours
La compagnie peut se retourner contre l'agence ou l'hébergeur. Coopérez sur les faits, ne sabotez pas un recours pour « garder l'agence ». Vous n'avez pas à écrire leur plaidoirie non plus.
Deux polices (vous / eux) : deux déclarations. Pas un seul silence « ils s'en occupent ».
Le DPA hébergeur n'est pas une police d'assurance.
Ce qui n'est presque jamais couvert
Amendes CNIL pures (souvent exclues). Perte de valeur de marque « au feeling ». Temps du gérant à 800 €/jour improvisé. Rançon si la police l'interdit. Refonte complète « tant qu'on y est » sans lien avec le sinistre.
Le SEO perdu se discute rarement bien. Les factures d'intervention et l'interruption documentée, mieux.
Un nouveau site « parce que celui-ci est maudit » n'est pas un sinistre. C'est un projet.
Après l'accord : factures et suite
Factures détaillées (quoi, quand), tickets, captures d'avant, constat, récépissé de plainte si déposée. Un lot unique, nommé.
Si le dossier est refusé : demandez le motif écrit. Parfois une négociation. Parfois vous payez le nettoyage — qui restait de toute façon dû aux visiteurs.
Créer un espace pour intervenir n'est pas une déclaration de sinistre. Faites les deux si vous avez une police. Notre confidentialité n'est pas votre contrat d'assurance. Relisez les plafonds une fois indemnisé : beaucoup de TPE découvrent trop tard qu'elles étaient déjà au maximum pour « tous événements cyber de l'année ». Ça oriente la souscription suivante, à froid.
- Déclarer dans le délai, faits honnêtes.
- Lire accord préalable vs urgence vitale.
- Pièces alignées sur le constat.