Accord de traitement des données (DPA)

Préambule

1. Objet

2. Description du traitement

2.1. Nature et finalité

• L'hébergement des données saisies ou importées par le Responsable de traitement ;

• Le fonctionnement des fonctionnalités (suivi de dossiers, gestion clients, suivi du temps, rattachement de confrères, gestion et émission de factures) ;

• La reconnaissance optique (OCR) des factures importées par le Responsable de traitement, le texte restitué étant ensuite traité par le Sous-traitant au sein de son infrastructure aux fins de pré-remplissage et de suggestion de rattachement à un dossier, sous réserve de la validation du Responsable de traitement ;

• Le support technique sur demande ;

• Les sauvegardes et la sécurité technique du Service.

2.2. Catégories de personnes concernées

• Clients du Responsable de traitement (personnes physiques et morales représentées par des personnes physiques) ;

• Tiers mentionnés dans les dossiers (parties adverses, témoins, confrères, experts) ;

• Collaborateurs du Responsable de traitement (associés, collaborateurs, stagiaires, secrétariat).

2.3. Catégories de données

• Données d'identification (nom, prénom, adresse, coordonnées) ;

• Données professionnelles ;

• Données relatives aux dossiers et à leur suivi ;

• Données de facturation et d'honoraires ;

• Correspondance et notes relatives aux dossiers ;

• Toutes autres données saisies librement par le Responsable de traitement.

2.4. Durée du traitement

2.5. Absence de décision automatisée (art. 22 RGPD)

3. Obligations du Sous-traitant

3.1. Agir sur instructions documentées

3.2. Garantir la confidentialité

3.3. Mettre en œuvre les mesures de sécurité

3.4. Encadrer les sous-traitants ultérieurs

3.5. Aider le Responsable de traitement

• À répondre aux demandes d'exercice de droits ;

• À assurer la sécurité du traitement ;

• À notifier les violations aux autorités et personnes concernées ;

• À réaliser les analyses d'impact (AIPD) ;

• À consulter préalablement l'autorité de contrôle si nécessaire.

3.6. Notifier les violations de données

3.7. Supprimer ou restituer les données

3.8. Tenir un registre

3.9. Mettre à disposition la documentation

3.10. Permettre les audits

• Un audit par an au maximum (sauf violation avérée) ;

• Préavis écrit de 30 jours ;

• Pendant les heures ouvrables, sans perturber l'activité ;

• Auditeur soumis à confidentialité ;

• Coût à la charge du Responsable de traitement, sauf non-conformité grave.

4. Obligations du Responsable de traitement

• Fournir les données et instructions nécessaires ;

• S'assurer de la licéité des traitements ;

• Respecter ses propres obligations RGPD (information, consentement, registre, AIPD) ;

• Documenter par écrit toute instruction complémentaire ;

• Respecter les règles déontologiques de la profession d'avocat, notamment le secret professionnel.

5. Sous-traitants ultérieurs

5.1. Autorisation générale

5.2. Modifications

5.3. Obligations

6. Transferts hors Union européenne

• Une décision d'adéquation (Data Privacy Framework) ; ou

• Les clauses contractuelles types (Décision d'exécution UE 2021/914) ; et

• Des mesures complémentaires (chiffrement, pseudonymisation) après Transfer Impact Assessment.

7. Responsabilité

8. Durée — Résiliation

9. Dispositions diverses

Annexe 1 — Mesures de sécurité techniques et organisationnelles

1. Chiffrement et pseudonymisation

• Chiffrement des communications en TLS 1.2 ou supérieur ;

• Chiffrement au repos (AES-256 via l'infrastructure AWS) ;

• Pseudonymisation des identifiants transmis aux outils d'analyse (Amplitude, Sentry).

2. Contrôle d'accès

• Authentification par identifiant et mot de passe fort ;

• Authentification à deux facteurs disponible ;

• Gestion granulaire des accès (principe du moindre privilège) ;

• Journalisation des accès aux données sensibles.

3. Disponibilité et résilience

• Sauvegardes quotidiennes automatiques ;

• Tests de restauration périodiques ;

• Infrastructure répartie et haute disponibilité ;

• Plan de continuité et de reprise d'activité.

4. Sécurité opérationnelle

• Mises à jour de sécurité régulières ;

• Tests de sécurité applicative ;

• Supervision continue (Sentry, journaux applicatifs) ;

• Procédure documentée de gestion des incidents.

5. Sécurité organisationnelle

• Engagement de confidentialité renforcé visant le secret professionnel des avocats ;

• Politique interne de sécurité documentée ;

• Sensibilisation et formation régulière du personnel ;

• Contrôle préalable des sous-traitants ultérieurs et DPA signés avec chacun.

Annexe 2 — Liste des sous-traitants ultérieurs autorisés

Hébergement et base de données

• Supabase Inc. (USA, données hébergées en UE — AWS eu-north-1, Stockholm) — base de données, authentification, stockage de fichiers.

• Vercel Inc. (USA, infrastructure edge avec traitement UE) — hébergement de l'application.

Paiement et facturation

• Stripe Payments Europe Ltd (Irlande) — paiements et abonnements.

• Invopop (Espagne) — émission et transmission de factures électroniques conformes.

Communication et support

• Resend — emails transactionnels.

Analyse et supervision

• Amplitude (USA, CCT en place) — analyse d'usage pseudonymisée.

• Sentry (USA, CCT en place) — supervision technique et remontée d'erreurs.

Reconnaissance optique de caractères (OCR)

• Mistral AI, société par actions simplifiée de droit français, RCS Paris 952 418 325, siège 15 rue des Halles, 75001 Paris, France (Union européenne). Finalité : reconnaissance optique de caractères (OCR) des factures importées par le Responsable de traitement, aux seules fins de restitution du texte brut. L'extraction des champs et la suggestion de rattachement à un dossier sont réalisées par Kema Studio au sein de son infrastructure UE, sans transmission à ce sous-traitant. Traitement réalisé dans l'UE, sous régime Zero Data Retention activé sur l'organisation, sans réutilisation à des fins d'entraînement.

Annexe 3 — Coordonnées