Olia

Politique de confidentialité

Service Olia - En vigueur à compter du 8 octobre 2026 - Version 1.4

Préambule

La présente politique de confidentialité (ci-après « Politique ») a pour objet d'informer les utilisateurs du service Olia (ci-après le « Service »), édité par Kema Studio, Lda, des modalités de traitement de leurs données à caractère personnel.
Elle est établie en application du Règlement (UE) 2016/679 du 27 avril 2016 (« RGPD »), et de la loi portugaise n° 58/2019 du 8 août 2019 assurant l'exécution du RGPD au Portugal.

1. Responsable de traitement

1.1. Pour les données des Utilisateurs du Service

Kema Studio est responsable de traitement pour les données suivantes :
  • Données d'identification et de contact des Utilisateurs (nom, prénom, courriel, téléphone, données de facturation) ;
  • Données de connexion et d'usage du Service, y compris celles liées au Connecteur MCP (autorisations accordées à des assistants d'intelligence artificielle, journal des appels) ;
  • Données relatives à la facturation et au paiement ;
  • Données de navigation sur le site olia-app.fr (cookies).

1.2. Pour les données saisies dans le Service par l'Utilisateur

Pour les Données que l'Utilisateur saisit, importe ou fait transiter via le Service dans le cadre de son activité professionnelle (informations sur ses clients, ses dossiers, ses factures, son activité), l'Utilisateur est responsable de traitement et Kema Studio est sous-traitant au sens de l'article 28 du RGPD.
Les modalités de ce traitement sont précisées dans l'Accord de traitement des données (DPA).

2. Coordonnées du responsable de traitement

Kema Studio, Lda - Rua João de Castilho, 24, RCDT, 1300-322 Lisboa, Portugal
NIPC : 519361776 - Courriel : hello@kema-studio.com
Délégué à la protection des données (DPO)
Raphaël Macquet - raphael@kema-studio.com

3. Données collectées, finalités, bases légales et durées

3.1. Données d'inscription et de gestion du compte

Catégories : nom, prénom, courriel professionnel, mot de passe chiffré, barreau de rattachement, nom du cabinet.
Finalité : création et gestion du compte utilisateur, authentification, communication relative au Service.
Base légale : exécution du contrat (art. 6.1.b RGPD).
Durée : pendant la durée de l'Abonnement, puis 30 jours après résiliation, sous réserve des durées de conservation légales.

3.2. Données de facturation et de paiement

Catégories : dénomination, adresse de facturation, n° de TVA, factures émises, historique des paiements, identifiant client Stripe.
Finalité : facturation, recouvrement, obligations comptables et fiscales.
Base légale : exécution du contrat et obligation légale (art. 6.1.b et c RGPD).
Durée : 10 ans à compter de la clôture de l'exercice (Código do IVA, régime SAF-T Portugal).
Important : Kema Studio ne stocke pas les données bancaires. Elles sont traitées par Stripe Payments Europe Ltd (PCI-DSS niveau 1).

3.3. Données de connexion et d'usage

Catégories : adresse IP, identifiants de session, horodatage, pages consultées, actions, terminal et navigateur.
Finalité : sécurité, prévention de la fraude, amélioration du Service.
Base légale : intérêt légitime (art. 6.1.f RGPD).
Durée : 12 mois (journaux), 6 mois (analyse d'usage).

3.4. Données de support

Catégories : historique des échanges (courriels, tickets, conversations via le chat de support intégré à l'application), identité et courriel de l'Utilisateur.
Finalité : assistance, traitement des demandes et amélioration du Service.
Base légale : exécution du contrat (art. 6.1.b RGPD).
Durée : 3 ans à compter du dernier échange.
Le chat de support est opéré par Kema Studio sur une infrastructure auto-hébergée dans l'Union européenne, sur des serveurs de Hetzner Online GmbH situés en Allemagne.

3.5. Données de prospection

Base légale : consentement ou intérêt légitime pour la prospection B2B (art. L. 34-5 CPCE).
Durée : 3 ans à compter du dernier contact ou jusqu'au retrait du consentement.

3.6. Données du Connecteur MCP

Catégories :
  • autorisations accordées par l'Utilisateur : identifiant du compte, assistant autorisé tel que déclaré par son éditeur lors de son enregistrement, service concerné, date de l'autorisation ;
  • jetons de session associés ;
  • journal des appels : outil appelé, horodatage, Utilisateur, numéro de facture ou référence de dossier concernés. Le journal ne contient ni le nom d'un client, d'un dossier ou d'un document, ni le contenu des données échangées.
Finalité : authentification de l'assistant, vérification de l'autorisation propre au Service, sécurité et prévention des abus, traçabilité des opérations effectuées via le Connecteur MCP, mise à disposition du journal au cabinet, facturation de l'option.
Base légale : exécution du contrat (art. 6.1.b RGPD) et intérêt légitime (art. 6.1.f RGPD).
Durée : par dérogation à l'article 3.3, le journal des appels est conservé pendant la durée de l'Abonnement et supprimé avec l'espace du cabinet ; l'identifiant de l'Utilisateur y est effacé à la suppression de son compte. Les autorisations sont conservées jusqu'à leur révocation ou jusqu'à la suppression du compte de l'Utilisateur.

3.7. Données du programme de parrainage

Catégories : lien entre l'espace du Parrain et celui du Filleul, date d'inscription du Filleul, étape du parrainage (essai en cours, abonnement souscrit, essai terminé sans abonnement, parrainage réussi) et ses dates, récompenses acquises et leur état.
Communication au Parrain : les utilisateurs de l'espace du Parrain, et l'assistant d'intelligence artificielle que l'un d'eux connecte via le Connecteur MCP sur son instruction, voient le nom du cabinet du Filleul, le courriel de son administrateur, sa date d'inscription, l'étape du parrainage et l'état de la récompense. Aucune autre donnée du Filleul ne leur est communiquée, notamment ni ses dossiers, ni ses clients, ni les montants facturés. Le Filleul en est informé sur la page d'inscription avant de créer son compte. Le Filleul voit le nom du cabinet du Parrain.
Finalité : gestion du programme de parrainage (rattachement, constatation de la réussite, attribution des récompenses, suivi par le Parrain), prévention des abus.
Base légale : exécution du contrat (art. 6.1.b RGPD) et intérêt légitime de Kema Studio et du Parrain au suivi du programme (art. 6.1.f RGPD).
Durée : jusqu'à la suppression de l'espace du Parrain ou de celui du Filleul.

4. Données clients et dossiers saisies par l'Utilisateur

Dans le cadre de son utilisation du Service, l'Utilisateur peut être amené à saisir des données relatives à ses propres clients et dossiers, susceptibles d'être couvertes par le secret professionnel de l'avocat (art. 66-5 de la loi n° 71-1130 du 31 décembre 1971).
Pour ces données, Kema Studio agit en qualité de sous-traitant et non de responsable de traitement. Les modalités sont précisées dans l'Accord de traitement des données (DPA).
Les collaborateurs de Kema Studio ayant accès à ces données sont tenus à une obligation de confidentialité renforcée, visant explicitement le respect du secret professionnel des avocats.
Dans le cadre de l'import de factures et de justificatifs de dépenses, le Service met en œuvre une reconnaissance optique (OCR) du document via un sous-traitant établi dans l'Union européenne, sous régime de Zero Data Retention et sans réutilisation à des fins d'entraînement. L'extraction des données et leur rattachement à un dossier sont réalisés par Kema Studio dans son infrastructure ; les données extraites sont soumises à la validation de l'Utilisateur.
Lorsque l'Utilisateur connecte au Service un assistant d'intelligence artificielle compatible MCP de son choix via le Connecteur MCP, les Données que cet assistant consulte, crée ou modifie lui sont transmises sur instruction de l'Utilisateur, donnée sur l'écran d'autorisation propre au Service Olia. Il en va de même des documents joints aux dossiers que l'assistant demande à lire : le fichier d'origine lui est transmis tel quel, sans extraction ni analyse de son contenu par Kema Studio. Les documents que l'assistant ajoute à un dossier sont enregistrés tels quels, sans lecture ni analyse par Kema Studio. Le fournisseur de cet assistant est choisi par l'Utilisateur et traite ces données selon ses propres conditions, sous la responsabilité de l'Utilisateur. Il n'est pas un sous-traitant de Kema Studio. Il appartient à l'Utilisateur de vérifier que ces conditions sont compatibles avec ses obligations, notamment le secret professionnel.
Lorsqu'un Utilisateur consulte ou gère l'équipe de son cabinet via le Connecteur MCP, les nom, courriel, rôle, droits et taux horaire par défaut des autres Utilisateurs de l'espace, ainsi que l'adresse d'une personne invitée, sont transmis à l'assistant qu'il a connecté, sur son instruction. Seul un Utilisateur administrateur de l'espace reçoit le courriel, les droits et le taux horaire par défaut des autres Utilisateurs, ainsi que les adresses des personnes invitées ; un Utilisateur qui n'est pas administrateur reçoit seulement leur nom et leur rôle. Base légale : exécution du contrat conclu avec le cabinet et intérêt légitime de celui-ci à organiser son équipe (art. 6.1.b et f RGPD).

5. Destinataires des données

  • Personnels habilités de Kema Studio (développement, support, facturation) ;
  • Sous-traitants techniques listés à l'article 6 ;
  • L'assistant d'intelligence artificielle connecté par l'Utilisateur via le Connecteur MCP, sur instruction de celui-ci (article 4), y compris pour les données des autres Utilisateurs de l'espace et des personnes invitées transmises lorsqu'il consulte ou gère l'équipe du cabinet ;
  • Les utilisateurs de l'espace du Parrain, pour les seules données du Filleul décrites à l'article 3.7 ;
  • Autorités administratives ou judiciaires dans les cas prévus par la loi.
Kema Studio ne commercialise pas les données personnelles des Utilisateurs.

6. Sous-traitants

6.1. Sous-traitants techniques et opérationnels

  • Supabase Inc. - base de données et authentification - hébergement AWS eu-north-1 (Stockholm, UE).
  • Vercel Inc. - hébergement de l'application et mesure d'audience sans cookie (Vercel Web Analytics) - infrastructure edge avec stockage UE.
  • Stripe Payments Europe Ltd - paiements et abonnements - Irlande.
  • Invopop - émission de factures électroniques conformes - Espagne.
  • Resend - envoi d'emails transactionnels.
  • Hetzner Online GmbH - hébergement du chat de support intégré à l'application - serveurs situés en Allemagne (UE).
  • Amplitude - analyse d'usage pseudonymisée.
  • Sentry - supervision technique et remontée d'erreurs.
  • Mistral AI (France, Union européenne) - reconnaissance optique (OCR) des factures et des justificatifs de dépenses importés.

6.2. Transferts hors Union européenne

Les données sont hébergées et traitées dans l'UE chaque fois que techniquement possible. Lorsqu'un transfert hors UE est nécessaire, il est encadré par une décision d'adéquation (Data Privacy Framework), les clauses contractuelles types (CCT) de la Commission européenne et des mesures techniques et organisationnelles complémentaires.

7. Sécurité

  • Chiffrement des communications (TLS 1.2 ou supérieur) ;
  • Chiffrement des données au repos au niveau de l'infrastructure ;
  • Contrôle des accès et authentification forte ;
  • Journalisation des accès aux données sensibles et des appels effectués via le Connecteur MCP ;
  • Sauvegardes régulières et testées ;
  • Plan de réponse aux incidents de sécurité ;
  • Engagement de confidentialité des personnels et sous-traitants.
En cas de violation de données susceptible d'engendrer un risque, Kema Studio notifie la CNPD (Portugal) dans un délai de 72 heures.

8. Droits des personnes concernées

  • Droit d'accès (art. 15 RGPD)
  • Droit de rectification (art. 16 RGPD)
  • Droit à l'effacement (art. 17 RGPD)
  • Droit à la limitation (art. 18 RGPD)
  • Droit à la portabilité (art. 20 RGPD)
  • Droit d'opposition (art. 21 RGPD)
  • Droit de retirer son consentement à tout moment
  • Droit de définir des directives relatives au sort des données après le décès

8.1. Exercice des droits

Par courriel à raphael@kema-studio.com ou par courrier au siège social, accompagnés d'un justificatif d'identité si nécessaire. Réponse sous un mois (prolongeable de deux mois).

8.2. Réclamation

  • CNPD - Av. D. Carlos I, 134, 1º, 1200-651 Lisboa, Portugal - www.cnpd.pt
  • Toute autre autorité de contrôle de l'État membre de résidence habituelle.

9. Cookies

9.1. Cookies utilisés

Strictement nécessaires (sans consentement) : session, authentification, sécurité, préférences linguistiques, identifiant technique de conversation du chat de support (déposé dans le stockage local du navigateur uniquement après ouverture d'une conversation).
Soumis à consentement (sites publics olia-app.fr et docs.olia-app.fr) : mesure d'audience (Amplitude), chargée uniquement après votre accord. Dans l'application, aucun traceur de mesure d'audience n'est déposé sur votre terminal ; les données d'usage sont traitées côté serveur dans les conditions de l'article 3.3.
Mesure d'audience sans cookie (sans consentement, dans l'application comme sur les sites publics) : Vercel Web Analytics (Vercel Inc.) compte les pages consultées, la page de provenance, le pays, le type d'appareil, le système et le navigateur, sans déposer de cookie ni lire d'information sur votre terminal. Les visites sont distinguées par une empreinte calculée à partir de l'adresse IP et du navigateur, renouvelée chaque jour ; les résultats sont agrégés et ne permettent pas d'identifier un visiteur. Base légale : intérêt légitime de Kema Studio à mesurer la fréquentation de ses services (art. 6.1.f RGPD).

9.2. Gestion du consentement

À votre première visite sur nos sites publics, une bannière vous permet d'accepter, refuser ou paramétrer les cookies non essentiels. Vous pouvez modifier vos préférences à tout moment via le lien « Gérer mes cookies » disponible en bas de page. Votre choix s'applique à l'ensemble des sites publics Kema Studio. La durée de conservation du consentement n'excède pas 13 mois.

10. Modifications

La présente Politique peut être modifiée. Toute modification substantielle est notifiée aux Utilisateurs par courriel ou dans le Service.

11. Contact

Pour toute question : hello@kema-studio.com. Exercice de vos droits : raphael@kema-studio.com (délégué à la protection des données, article 8.1).