Accord de traitement des données personnelles (article 28 RGPD)

Article 1. Objet

Le Sous-traitant traite, pour le compte et sur instruction du Responsable de traitement, des données personnelles contenues dans les dossiers juridiques que le Responsable de traitement soumet au service Plaidoria aux fins d'aide à la rédaction d'écritures (mémoires de défense, requêtes) et de recherche documentaire associée. La description détaillée du traitement figure en Annexe 1.

Article 2. Durée

Le présent accord s'applique pendant toute la durée d'utilisation du service et jusqu'à la suppression effective des données dans les conditions de l'article 10.

Article 3. Instructions documentées

Le Sous-traitant ne traite les données que sur instruction documentée du Responsable de traitement, y compris en ce qui concerne les transferts vers un pays tiers, sauf obligation légale de droit de l'Union ou de droit français ; dans ce cas, il informe le Responsable de traitement de cette obligation avant le traitement, sauf interdiction légale. L'utilisation normale du service (soumission d'une synthèse ou de pièces, demande de génération, question à l'assistant, suppression) vaut instruction. Le Sous-traitant informe immédiatement le Responsable de traitement si une instruction constitue, selon lui, une violation du RGPD ou du droit français.

Article 4. Confidentialité et secret professionnel

4.1 Le Sous-traitant veille à ce que les personnes autorisées à traiter les données s'engagent à en respecter la confidentialité ou soient soumises à une obligation légale appropriée de confidentialité. L'accès aux environnements de production est restreint aux seules personnes habilitées par le Sous-traitant, et le contenu des dossiers n'est jamais consulté en clair par le Sous-traitant hors demande expresse du Responsable de traitement (support) ou obligation légale.

4.2 Le Sous-traitant reconnaît que l'ensemble des contenus confiés est couvert par le secret professionnel de l'avocat (article 66-5 de la loi n° 71-1130 du 31 décembre 1971, article 2 du Règlement intérieur national), que ce secret est général, absolu et illimité dans le temps, et que le Responsable de traitement est tenu de le faire respecter par toute personne qui coopère avec lui (RIN, article 2.3). Le Sous-traitant s'engage en conséquence à une obligation de confidentialité renforcée sur l'intégralité des contenus, données identifiantes ou non (faits, stratégie, pièces, raisons sociales), à ne les utiliser à aucune autre fin que la fourniture du service, à n'en tirer aucune statistique nominative ni aucun jeu d'entraînement, et à répercuter ces engagements sur ses sous-traitants ultérieurs.

Article 5. Sécurité

Le Sous-traitant met en œuvre les mesures techniques et organisationnelles décrites en Annexe 2, conformément à l'article 32 du RGPD. Ces mesures comprennent notamment la pseudonymisation des données identifiantes détectables avant tout traitement par un modèle de langage, la prévisualisation et la confirmation par l'utilisateur de ce qui est transmis au modèle, le chiffrement au repos des contenus de dossiers, l'hébergement en Union européenne, le cloisonnement par organisation et la journalisation des actions.

Article 6. Sous-traitance ultérieure

Le Responsable de traitement autorise de manière générale le recours aux sous-traitants ultérieurs listés en Annexe 3. Le Sous-traitant informe le Responsable de traitement de tout projet d'ajout ou de remplacement d'un sous-traitant ultérieur au moins trente (30) jours avant sa mise en œuvre, par email aux administrateurs de l'organisation ; le Responsable de traitement peut émettre des objections écrites motivées dans ce délai et, à défaut d'accord, résilier le service sans pénalité. Le Sous-traitant impose à ses sous-traitants ultérieurs, par contrat, les mêmes obligations de protection des données que celles du présent accord ; il demeure pleinement responsable envers le Responsable de traitement de l'exécution de leurs obligations. La liste à jour est publiée sur plaidoria.fr/dpa et plaidoria.fr/securite.

Article 7. Transferts hors Union européenne

7.1 Les contenus de dossiers ne sont transmis aux fournisseurs d'intelligence artificielle établis aux États-Unis (Annexe 3) qu'après pseudonymisation des données identifiantes détectables, la table de correspondance restant chiffrée sur les serveurs du Sous-traitant en Union européenne. Ces transferts sont encadrés par les accords de traitement des données des fournisseurs concernés incluant les clauses contractuelles types de la Commission européenne (décision d'exécution (UE) 2021/914) et, le cas échéant, par la décision d'adéquation UE-États-Unis (Data Privacy Framework) lorsque le fournisseur y est certifié. Aucun entraînement de modèle n'est réalisé sur ces données (conditions commerciales des API). Le Sous-traitant sollicite auprès du fournisseur de modèle de langage l'absence de conservation des contenus (zéro rétention) et n'utilise pas de modèle soumis à une obligation de conservation prolongée.

7.2 Le Sous-traitant informe le Responsable de traitement de toute évolution notable du cadre de ces transferts (invalidation d'une décision d'adéquation, changement de région de traitement) et lui propose, le cas échéant, une configuration de traitement en Union européenne.

Article 8. Assistance : droits des personnes

Compte tenu de la nature du traitement, le Sous-traitant aide le Responsable de traitement, par des mesures techniques et organisationnelles appropriées, à s'acquitter de son obligation de donner suite aux demandes d'exercice des droits des personnes concernées (accès, rectification, effacement, limitation, opposition, portabilité). Toute demande reçue directement par le Sous-traitant et concernant des données traitées pour le compte du Responsable de traitement lui est relayée sans délai indu, sans y répondre sur le fond. Contact du Sous-traitant : [email protected].

Article 9. Assistance : sécurité, violations, analyses d'impact

Le Sous-traitant aide le Responsable de traitement à garantir le respect des articles 32 à 36 du RGPD, compte tenu de la nature du traitement et des informations à sa disposition. En cas de violation de données personnelles, le Sous-traitant notifie le Responsable de traitement dans les meilleurs délais après en avoir pris connaissance (article 33, paragraphe 2, RGPD), avec, dans la mesure des informations disponibles : la nature de la violation, les catégories et le nombre approximatif de personnes et d'enregistrements concernés, les conséquences probables et les mesures prises ou proposées. Cette notification permet au Responsable de traitement de respecter, le cas échéant, son propre délai de 72 heures envers la CNIL (article 33, paragraphe 1). Le Sous-traitant met à disposition un dossier d'analyse d'impact pré-rempli (résumé sur plaidoria.fr/securite, dossier complet sur demande) et fournit les éléments techniques raisonnablement nécessaires à l'AIPD du Responsable de traitement.

Article 10. Sort des données

Pendant le contrat, le Responsable de traitement dispose de l'export de ses mémoires et documents (formats bureautiques) et de la suppression à la demande dans l'application. Au terme de la relation contractuelle, ou sur demande écrite, le Sous-traitant supprime les données de dossiers ; la purge définitive intervient à l'échéance de la durée de conservation configurée pour la structure (90 jours par défaut après suppression, réglable de 7 à 730 jours), exécutée par un traitement automatisé quotidien. Les données dont la conservation est exigée par la loi (factures : 10 ans ; journaux d'audit : 3 ans) sont conservées pour ces seules durées et finalités.

Article 11. Documentation et audit

Le Sous-traitant met à la disposition du Responsable de traitement les informations nécessaires pour démontrer le respect du présent accord : politique de confidentialité publique, registre des traitements (extrait), registre des sous-traitants ultérieurs (Annexe 3 tenue à jour), description des mesures de sécurité, dossier d'AIPD pré-rempli, rapports d'audit interne. Le Responsable de traitement peut réaliser ou faire réaliser, au maximum une fois par période de douze (12) mois et moyennant un préavis écrit de trente (30) jours, un audit du respect du présent accord, pendant les heures ouvrées, à ses frais, sans accès aux données d'autres clients du Sous-traitant (le service est cloisonné par organisation) ni aux secrets d'affaires de tiers. Les rapports d'audit sont confidentiels.

Article 12. Responsabilité

Chaque partie répond des dommages causés par un traitement non conforme dans les conditions de l'article 82 du RGPD. Le Sous-traitant n'est responsable que des dommages résultant d'un manquement aux obligations que le RGPD met spécifiquement à la charge des sous-traitants ou d'un traitement contraire aux instructions licites du Responsable de traitement.

Article 13. Obligations du Responsable de traitement

Le Responsable de traitement garantit qu'il dispose d'une base légale pour les traitements confiés, qu'il a fourni aux personnes concernées les informations requises, et qu'il ne soumet au service que les données nécessaires au dossier (minimisation), conformément aux conditions d'utilisation. Il est rappelé que la détection automatique des données identifiantes, décrite en Annexe 2, ne peut être exhaustive (en particulier pour les noms écrits sans civilité, les documents en formulaire et les identifiants administratifs non listés) : le Responsable de traitement reste le premier filtre, relit ce qu'il soumet et dispose de la prévisualisation avec masquage manuel avant chaque génération. Pour les données relatives aux condamnations pénales, aux infractions et aux mesures de sûreté connexes (article 10 RGPD), le Responsable de traitement s'assure de relever de l'un des cas prévus à l'article 46 de la loi n° 78-17 du 6 janvier 1978, notamment son 2° (auxiliaires de justice, pour les stricts besoins de leurs missions) ou son 3° (préparation, exercice et suivi d'une action en justice) ; le Sous-traitant ne traite ces données que pour son compte et sur son instruction. Le Responsable de traitement active la double authentification pour ses utilisateurs et supprime les dossiers à leur clôture.

Article 14. Substitution d'entité

Le Sous-traitant a engagé la constitution d'une société (SASU) destinée à reprendre l'édition du service. Les parties conviennent qu'à compter de l'immatriculation de cette société et de la reprise du contrat de service par elle, ladite société sera substituée de plein droit au Sous-traitant dans le présent accord, à périmètre et engagements identiques, sur simple notification écrite au Responsable de traitement, sans autre formalité.

Article 15. Droit applicable

Le présent accord est régi par le droit français. Tout litige relève des juridictions françaises compétentes.

---

Annexe 1 : Description du traitement

• Nature du traitement : hébergement et stockage chiffré des synthèses de dossiers et pièces associées (reconnaissance de caractères réalisée localement sur les serveurs du Sous-traitant) ; pseudonymisation des données identifiantes détectables ; prévisualisation et confirmation par l'utilisateur ; interrogation de bases documentaires publiques (Légifrance, Judilibre) au moyen de requêtes issues de contenus pseudonymisés ; génération d'un premier jet d'écriture et d'une note de recherche par modèle de langage sur contenus pseudonymisés ; vérification des références citées ; assistant conversationnel sur le dossier ; ré-identification sur les serveurs du Sous-traitant ; restitution au Responsable de traitement ; suppression et purge.
• Finalité : fourniture du service d'aide à la rédaction d'écritures, pour l'usage professionnel du Responsable de traitement.
• Catégories de personnes concernées : clients du Responsable de traitement ; le cas échéant, parties adverses, témoins, agents, experts, magistrats et autorités cités dans les dossiers ; utilisateurs du service au sein de la structure.
• Catégories de données : données d'identification et de situation contenues dans les dossiers (état civil, coordonnées, situation administrative, familiale, professionnelle et patrimoniale, éléments de procédure). Selon les dossiers soumis, les contenus peuvent comporter des catégories particulières de données (article 9 RGPD : santé, origine, opinions, vie sexuelle) et des données relatives aux condamnations pénales et infractions (article 10 RGPD), traitées pour le seul compte du Responsable de traitement, qui s'assure de la licéité de leur traitement.
• Durée : celle du contrat de service, puis purge selon l'article 10.

Annexe 2 : Mesures techniques et organisationnelles

Chaque mesure ci-dessous correspond à un mécanisme effectivement en production, constaté au 20 août 2026 ; la page plaidoria.fr/securite décrit l'état courant et prévaut en cas d'écart.

• Pseudonymisation avant IA : avant tout envoi à un modèle de langage, les données identifiantes détectables (noms en contexte et dénominations sociales, emails, téléphones, NIR, IBAN, SIREN/SIRET, adresses, dates de naissance, plaques d'immatriculation, identifiants administratifs) sont remplacées par des jetons techniques stables par dossier, avec propagation aux occurrences nues ; la table de correspondance est chiffrée (AES-256-GCM) et n'est jamais transmise à des tiers ni au navigateur ; la ré-identification s'effectue sur les serveurs du Sous-traitant. Le titre du dossier n'est pas transmis au modèle. Les questions posées à l'assistant sont pseudonymisées avec la même table.
• Vérification par l'utilisateur : avant chaque génération, l'écran « Ce qui sera transmis au modèle » affiche la version pseudonymisée, permet de masquer manuellement tout fragment restant ou de modifier librement le texte, et la confirmation, assortie d'une attestation de relecture, est horodatée dans le journal de l'organisation ; seule la version confirmée est transmise. Cette étape est obligatoire pour toutes les organisations et ne peut pas être désactivée.
• Chiffrement : contenus de dossiers, table de correspondance, mémoires générés, notes de recherche, messages de l'assistant, résultats de reconnaissance de caractères et secrets d'authentification chiffrés au repos (AES-256-GCM, clé versionnée et rotative) ; communications chiffrées en transit (TLS).
• Hébergement : serveurs applicatifs et bases de données en région Union européenne (Amsterdam, Pays-Bas), chez un hébergeur de droit américain (annexe 3).
• Cloisonnement : isolation logique des données par organisation (multi-tenant) ; aucune requête inter-organisations.
• Traçabilité : journal d'audit des actions métier (génération, paiement, suppression, pseudonymisation, confirmation, export), conservé 3 ans ; les contenus de dossiers ne sont jamais journalisés en clair.
• Authentification : comptes à email vérifié ; mots de passe de 12 caractères minimum ; double authentification (TOTP) disponible sur chaque compte.
• Purge automatisée : traitement quotidien exécutant les suppressions à l'échéance de la durée configurée (90 jours par défaut après suppression) ; suppression en cascade de la table de correspondance, des versions, des mémoires et des messages de l'assistant.
• Non-entraînement et non-conservation : conditions commerciales des API des fournisseurs d'IA (aucun entraînement) ; contenus non conservés par défaut selon la politique du fournisseur de modèle de langage, demande de zéro rétention contractuelle en cours ; aucun modèle soumis à une obligation de conservation prolongée n'est utilisé.
• Minimisation côté site : aucun cookie publicitaire ni mesure d'audience tierce à cookie.
• Transparence IA : mention « généré par un système d'intelligence artificielle » sur chaque écriture et métadonnées lisibles par machine dans les exports ; assistant du site identifié comme IA (règlement (UE) 2024/1689, article 50).

Annexe 3 : Sous-traitants ultérieurs et destinataires

Liste à jour au 16 août 2026. Tout ajout ou remplacement fait l'objet du préavis de trente jours prévu à l'article 6.