Olia

Accord de traitement des données (DPA)

Data Processing Agreement - Article 28 RGPD - Service Olia - En vigueur à compter du 5 octobre 2026 - Version 1.2

Préambule

Le présent Accord de traitement des données (« DPA ») est conclu entre :
Kema Studio, Lda, société à responsabilité limitée de droit portugais au capital de 1 000 euros, immatriculée sous le NIPC 519361776, dont le siège est situé Rua João de Castilho, 24, RCDT, 1300-322 Lisboa, Portugal, représentée par Raphaël Macquet et Thomas Eskanazi, gérants, « le Sous-traitant »,
et
Le Client, tel qu'identifié dans son espace personnel Olia et dans les CGV, « le Responsable de traitement »,
ensemble dénommés « les Parties ». Le présent DPA fait partie intégrante du Contrat et prévaut, en cas de contradiction, sur toute autre disposition relative au traitement des données personnelles.

1. Objet

Le présent DPA définit les conditions dans lesquelles le Sous-traitant effectue, pour le compte du Responsable de traitement, les opérations de traitement de données à caractère personnel dans le cadre de la fourniture du Service Olia. Il est établi en application de l'article 28 du RGPD.

2. Description du traitement

2.1. Nature et finalité

  • L'hébergement des données saisies ou importées par le Responsable de traitement ;
  • Le fonctionnement des fonctionnalités (suivi de dossiers, gestion clients, suivi du temps, rattachement de confrères, gestion et émission de factures) ;
  • La gestion des Utilisateurs de l'espace et de leur affectation aux dossiers, y compris via le Connecteur MCP ;
  • La reconnaissance optique (OCR) des factures et des justificatifs de dépenses importés par le Responsable de traitement, le texte restitué étant ensuite traité par le Sous-traitant au sein de son infrastructure aux fins d'extraction des champs, de pré-remplissage et de suggestion de rattachement à un dossier, sous réserve de la validation du Responsable de traitement ;
  • La transmission des données à l'Assistant IA et l'enregistrement des fichiers que celui-ci ajoute aux dossiers, l'Assistant IA étant l'assistant d'intelligence artificielle compatible MCP choisi par le Responsable de traitement et connecté via le Connecteur MCP, sur instruction de celui-ci et dans les conditions de l'article 5.4 ;
  • Le support technique sur demande ;
  • Les sauvegardes et la sécurité technique du Service.

2.2. Catégories de personnes concernées

  • Clients du Responsable de traitement (personnes physiques et morales représentées par des personnes physiques) ;
  • Tiers mentionnés dans les dossiers (parties adverses, témoins, confrères, experts) ;
  • Collaborateurs du Responsable de traitement (associés, collaborateurs, stagiaires, secrétariat).

2.3. Catégories de données

  • Données d'identification (nom, prénom, adresse, coordonnées) ;
  • Données professionnelles ;
  • Données relatives aux dossiers et à leur suivi ;
  • Données de facturation et d'honoraires ;
  • Correspondance et notes relatives aux dossiers ;
  • Toutes autres données saisies librement par le Responsable de traitement.
Données sensibles : le Responsable de traitement est susceptible de saisir des données couvertes par le secret professionnel de l'avocat (art. 66-5 loi n° 71-1130) et, le cas échéant, des catégories particulières (art. 9 RGPD), des données pénales (art. 10 RGPD) ainsi que des données relatives à des mineurs. Le Sous-traitant met en œuvre des mesures de sécurité renforcées.

2.4. Durée du traitement

Durée du Contrat, augmentée de 30 jours après résiliation pour permettre l'export, et des durées de conservation légales (10 ans pour les données de facturation - Código do IVA).

2.5. Absence de décision automatisée (art. 22 RGPD)

Les traitements mis en œuvre dans le cadre du Service, y compris la reconnaissance optique (OCR) des factures et des justificatifs de dépenses, la suggestion de rattachement à un dossier et les opérations demandées par un Assistant IA via le Connecteur MCP, ne constituent pas une décision fondée exclusivement sur un traitement automatisé au sens de l'article 22 du RGPD. L'extraction des champs est réalisée par le Sous-traitant au sein de son infrastructure UE, et toute donnée extraite ou suggestion de rattachement est soumise à la validation préalable du Responsable de traitement (ou de ses préposés), qui conserve l'entière maîtrise des décisions produisant des effets juridiques ou affectant de manière significative les personnes concernées. Les opérations réalisées via le Connecteur MCP le sont sur instruction de l'Utilisateur authentifié, qui conserve la maîtrise des décisions produisant des effets juridiques ; les opérations sensibles requièrent sa confirmation explicite, après présentation d'un aperçu : notamment l'émission d'une facture, la création d'une facture à partir des temps, la suppression d'un temps ou d'un document, le changement d'espace actif, l'invitation d'un utilisateur, l'annulation d'une invitation, le changement de rôle et le retrait d'un utilisateur.

3. Obligations du Sous-traitant

3.1. Agir sur instructions documentées

Traiter les données uniquement sur instructions documentées du Responsable de traitement, y compris pour les transferts hors UE, sauf obligation légale contraire. Le Contrat et le présent DPA constituent les instructions initiales. Toute instruction complémentaire doit être adressée à raphael@kema-studio.com.
Lorsqu'un Utilisateur habilité par le Responsable de traitement connecte un Assistant IA au Service via le Connecteur MCP, il approuve un écran d'autorisation propre au Service Olia. Cet écran nomme le Service et l'Assistant IA, décrit les accès demandés et renvoie aux CGU, au présent DPA et à la Politique de confidentialité. Par cette approbation, l'Utilisateur donne au Sous-traitant, au nom du Responsable de traitement, l'instruction documentée, au sens de l'article 28.3.a du RGPD, de transmettre à cet Assistant IA les données demandées par chacune de ses requêtes, dans la limite des droits dont cet Utilisateur dispose dans le Service. Cette instruction ne vaut que pour le Service Olia. La souscription de l'option Connecteur MCP par le Responsable de traitement vaut autorisation générale de ce mode d'accès pour les Utilisateurs de son espace.

3.2. Garantir la confidentialité

Garantir que les personnes autorisées s'engagent à respecter la confidentialité, visant explicitement le secret professionnel des avocats lorsque les données traitées en relèvent.

3.3. Mettre en œuvre les mesures de sécurité

Mesures techniques et organisationnelles prévues à l'Annexe 1.

3.4. Encadrer les sous-traitants ultérieurs

Respecter les conditions de l'article 5.

3.5. Aider le Responsable de traitement

  • À répondre aux demandes d'exercice de droits ;
  • À assurer la sécurité du traitement ;
  • À notifier les violations aux autorités et personnes concernées ;
  • À réaliser les analyses d'impact (AIPD), notamment en lui fournissant sur demande les informations utiles à l'analyse du Connecteur MCP : flux de données, mesures de sécurité, journalisation et modalités de révocation ;
  • À consulter préalablement l'autorité de contrôle si nécessaire.

3.6. Notifier les violations de données

Notifier toute violation dans un délai maximum de 48 heures à compter de sa connaissance, par courriel à l'adresse renseignée dans le compte, avec les informations prévues à l'article 33.3 du RGPD.

3.7. Supprimer ou restituer les données

À la fin de la prestation, selon le choix du Responsable de traitement : restitution (CSV et/ou PDF) ou destruction. À défaut d'instruction dans 30 jours après résiliation, suppression définitive (sous réserve des obligations légales).

3.8. Tenir un registre

Registre des catégories d'activités de traitement (art. 30.2 RGPD).

3.9. Mettre à disposition la documentation

Informations nécessaires pour démontrer le respect du DPA et de l'article 28 du RGPD.

3.10. Permettre les audits

  • Un audit par an au maximum (sauf violation avérée) ;
  • Préavis écrit de 30 jours ;
  • Pendant les heures ouvrables, sans perturber l'activité ;
  • Auditeur soumis à confidentialité ;
  • Coût à la charge du Responsable de traitement, sauf non-conformité grave.

4. Obligations du Responsable de traitement

  • Fournir les données et instructions nécessaires ;
  • S'assurer de la licéité des traitements ;
  • Respecter ses propres obligations RGPD (information, consentement, registre, AIPD) ;
  • Documenter par écrit toute instruction complémentaire ;
  • Respecter les règles déontologiques de la profession d'avocat, notamment le secret professionnel.
  • Lorsqu'il utilise le Connecteur MCP, disposer avec le fournisseur de l'Assistant IA d'un cadre contractuel conforme au RGPD, dans les conditions de l'article 5.4 ;
  • Définir quels Utilisateurs de son espace sont autorisés à connecter un Assistant IA, et retirer sans délai de son espace un Utilisateur qui quitte sa structure.

5. Sous-traitants ultérieurs

5.1. Autorisation générale

Le Responsable de traitement autorise le Sous-traitant à recourir aux sous-traitants listés à l'Annexe 2.

5.2. Modifications

Le Sous-traitant informe de tout projet de changement au moins 30 jours avant. Le Responsable de traitement peut formuler des objections motivées. À défaut d'accord, il pourra résilier sans frais.

5.3. Obligations

Le Sous-traitant impose à ses sous-traitants ultérieurs des obligations équivalentes et demeure pleinement responsable de leur exécution.

5.4. Connecteur MCP et assistants d'intelligence artificielle choisis par le Responsable de traitement

Le Connecteur MCP est l'interface du Service qui permet à un Utilisateur de connecter à l'espace Olia du Responsable de traitement un Assistant IA, c'est-à-dire un assistant d'intelligence artificielle compatible avec le protocole Model Context Protocol (MCP) choisi par le Responsable de traitement, après une autorisation OAuth 2.1.
a. Instruction et autorisation propre au Service. La transmission de données via le Connecteur MCP est réalisée exclusivement sur instruction du Responsable de traitement, donnée dans les conditions de l'article 3.1 sur l'écran d'autorisation propre au Service Olia. Cet écran indique les accès demandés : consultation des dossiers et de leurs documents, des clients, des temps et des factures ; création et modification des dossiers, clients et temps, ajout et suppression de documents de dossier, et, pour un Utilisateur administrateur de l'espace, gestion des Utilisateurs de l'espace (invitations, rôles, droits, retraits) ; création et émission de factures, une facture émise étant définitive. À la demande de l'Assistant IA et après confirmation de l'Utilisateur, le Sous-traitant adresse un courriel d'invitation à la personne désignée. Il indique également que l'Assistant IA est un service tiers qui traite les données selon ses propres conditions. L'autorisation est enregistrée pour chaque Utilisateur, chaque Assistant IA et le seul Service Olia : une autorisation donnée pour un autre service édité par le Sous-traitant ne permet pas d'accéder au Service Olia. Le Sous-traitant refuse toute requête d'un Assistant IA qui n'a pas reçu cette autorisation, ainsi que toute demande d'autorisation qui ne désigne pas le service concerné.
b. Traitement par l'Assistant IA. L'Assistant IA et son fournisseur sont choisis par le Responsable de traitement, sous sa seule responsabilité. Ce fournisseur n'est pas un sous-traitant ultérieur du Sous-traitant et ne figure pas à l'Annexe 2. Le traitement qu'il réalise relève de la seule relation entre le Responsable de traitement et ce fournisseur, et le Sous-traitant n'en répond pas.
c. Cadre contractuel du Responsable de traitement. Le Responsable de traitement s'engage à disposer, avec ce fournisseur, d'un cadre contractuel conforme au RGPD, notamment un accord de sous-traitance au sens de l'article 28 et, en cas de transfert hors de l'Union européenne, les garanties prévues au chapitre V du RGPD. Il vérifie que ce cadre est compatible avec le secret professionnel de l'avocat.
d. Minimisation et journalisation. Le Sous-traitant ne transmet à l'Assistant IA que les données nécessaires pour répondre à chaque requête. Les documents joints aux dossiers peuvent être lus, ajoutés et supprimés par l'Assistant IA, dans la limite des droits de l'Utilisateur. À la lecture, à la demande de l'Assistant IA, le Sous-traitant lui transmet le fichier d'origine, sans en extraire, analyser ni résumer le contenu, la lecture du document étant réalisée par l'Assistant IA ; au-delà de 3 Mo, il lui communique un lien de téléchargement valable cinq minutes au plus. À l'ajout, le Sous-traitant enregistre le fichier transmis tel quel, sans le lire, le convertir ni l'indexer, dans la limite de 3 Mo lorsque le fichier est transmis par l'Assistant IA, ou de 50 Mo lorsque l'Utilisateur le choisit depuis son appareil dans l'encart du Connecteur MCP. La suppression d'un document, définitive, requiert la confirmation explicite de l'Utilisateur. Il journalise chaque appel abouti : outil appelé, horodatage, Utilisateur concerné et identifiant de l'objet, à savoir le numéro de facture ou la référence de dossier attribuée par le Responsable de traitement. Les opérations portant sur les Utilisateurs de l'espace sont journalisées sans identifiant d'objet, et le journal ne contient ni le nom ni l'adresse électronique d'un Utilisateur ou d'une personne invitée. Le journal ne contient ni le nom d'un client, d'un dossier ou d'un document, ni le contenu des données transmises. Le Responsable de traitement veille à ce que les références de dossier qu'il attribue ne comportent pas d'information couverte par le secret professionnel. Le journal est conservé pendant la durée de l'Abonnement et supprimé avec l'espace du Responsable de traitement ; l'identifiant de l'Utilisateur y est effacé à la suppression de son compte. Le Responsable de traitement peut consulter ce journal par l'outil de consultation exposé par le Connecteur MCP et, sur demande écrite, en obtenir un export.
e. Fin de l'option et révocation. L'option Connecteur MCP vaut pour l'ensemble de l'espace du Responsable de traitement. Celui-ci peut à tout moment mettre fin à l'option, retirer un Utilisateur de son espace, ou demander par écrit au Sous-traitant la révocation des autorisations accordées par un Utilisateur. Le Sous-traitant invalide alors sans délai les autorisations et les jetons de renouvellement concernés. Les jetons d'accès déjà délivrés, dont la validité n'excède pas une heure, cessent d'être acceptés au plus tard à leur expiration.

6. Transferts hors Union européenne

Les bases de données de production sont hébergées dans l'UE (AWS eu-north-1, Stockholm). Lorsqu'un transfert hors UE est nécessaire, il est encadré par :
  • Une décision d'adéquation (Data Privacy Framework) ; ou
  • Les clauses contractuelles types (Décision d'exécution UE 2021/914) ; et
  • Des mesures complémentaires (chiffrement, pseudonymisation) après Transfer Impact Assessment.
Les transferts éventuellement réalisés par le fournisseur d'un Assistant IA connecté via le Connecteur MCP relèvent du cadre contractuel prévu à l'article 5.4.c.

7. Responsabilité

Chaque Partie est responsable des dommages résultant d'un manquement, dans les limites prévues par les CGV et le RGPD. Le Sous-traitant est réputé responsable conformément à l'article 82.2 du RGPD lorsqu'il n'a pas respecté les obligations qui lui incombent ou agit en dehors des instructions licites.

8. Durée - Résiliation

Le DPA entre en vigueur à la date d'acceptation du Contrat et reste en vigueur pendant toute la durée du traitement, sous réserve des obligations qui par nature survivent (confidentialité, restitution/destruction).

9. Dispositions diverses

En cas de contradiction, le présent DPA prévaut sur le Contrat pour les questions relatives au traitement des données personnelles. Régi par le droit portugais. Compétence exclusive des tribunaux de Lisbonne.

Annexe 1 - Mesures de sécurité techniques et organisationnelles

1. Chiffrement et pseudonymisation

  • Chiffrement des communications en TLS 1.2 ou supérieur ;
  • Chiffrement au repos (AES-256 via l'infrastructure AWS) ;
  • Pseudonymisation des identifiants transmis aux outils d'analyse (Amplitude, Sentry).

2. Contrôle d'accès

  • Authentification par identifiant et mot de passe fort ;
  • Gestion granulaire des accès (principe du moindre privilège) ;
  • Journalisation des accès aux données sensibles.
  • Connecteur MCP : authentification OAuth 2.1 avec autorisation expresse de l'Utilisateur, donnée sur un écran propre au Service Olia et enregistrée par Utilisateur, par Assistant IA et par service ; refus, à chaque requête, de tout jeton dépourvu d'autorisation pour le Service Olia ; jetons d'accès à durée de validité limitée (une heure au plus) ;
  • Isolation des données par espace client, appliquée en base par des règles de sécurité au niveau des lignes (Row Level Security), y compris pour les requêtes du Connecteur MCP ;
  • Journal des appels effectués via le Connecteur MCP, limité aux identifiants des objets et consultable par le Responsable de traitement (article 5.4.d).

3. Disponibilité et résilience

  • Sauvegardes quotidiennes automatiques ;
  • Tests de restauration périodiques ;
  • Infrastructure répartie et haute disponibilité ;
  • Plan de continuité et de reprise d'activité.

4. Sécurité opérationnelle

  • Mises à jour de sécurité régulières ;
  • Tests de sécurité applicative ;
  • Supervision continue (Sentry, journaux applicatifs) ;
  • Procédure documentée de gestion des incidents.
  • Absence de journalisation volontaire du contenu des requêtes et des réponses du Connecteur MCP dans les journaux techniques.

5. Sécurité organisationnelle

  • Engagement de confidentialité renforcé visant le secret professionnel des avocats ;
  • Politique interne de sécurité documentée ;
  • Sensibilisation et formation régulière du personnel ;
  • Contrôle préalable des sous-traitants ultérieurs et DPA signés avec chacun.

Annexe 2 - Liste des sous-traitants ultérieurs autorisés

Hébergement et base de données

  • Supabase Inc. (USA, données hébergées en UE - AWS eu-north-1, Stockholm) - base de données, authentification, stockage de fichiers.
  • Vercel Inc. (USA, infrastructure edge avec traitement UE) - hébergement de l'application.

Paiement et facturation

  • Stripe Payments Europe Ltd (Irlande) - paiements et abonnements.
  • Invopop (Espagne) - émission et transmission de factures électroniques conformes.

Communication et support

  • Resend - emails transactionnels.
  • Hetzner Online GmbH (Allemagne, Union européenne) - hébergement, sur des serveurs situés en Allemagne, du chat de support intégré à l'application, exploité par le Sous-traitant.

Analyse et supervision

  • Amplitude (USA, CCT en place) - analyse d'usage pseudonymisée.
  • Sentry (USA, CCT en place) - supervision technique et remontée d'erreurs.

Reconnaissance optique de caractères (OCR)

  • Mistral AI, société par actions simplifiée de droit français, RCS Paris 952 418 325, siège 15 rue des Halles, 75001 Paris, France (Union européenne). Finalité : reconnaissance optique de caractères (OCR) des factures et des justificatifs de dépenses importés par le Responsable de traitement, aux seules fins de restitution du texte brut. L'extraction des champs et la suggestion de rattachement à un dossier sont réalisées par Kema Studio au sein de son infrastructure UE, sans transmission à ce sous-traitant. Traitement réalisé dans l'UE, sous régime Zero Data Retention activé sur l'organisation, sans réutilisation à des fins d'entraînement.
Le fournisseur d'un Assistant IA connecté par le Responsable de traitement via le Connecteur MCP n'est pas un sous-traitant ultérieur (article 5.4.b).
La liste est susceptible d'évoluer dans les conditions de l'article 5.

Annexe 3 - Coordonnées

Responsable de traitement : tel qu'identifié dans son espace personnel Olia et dans le Contrat.
Sous-traitant : Kema Studio, Lda - Rua João de Castilho, 24, RCDT, 1300-322 Lisboa, Portugal
Contact DPA : raphael@kema-studio.com
Délégué à la protection des données : Raphaël Macquet - raphael@kema-studio.com