Sécurité et confidentialité des dossiers

Dernière mise à jour : 20 août 2026

Cette page décrit, sans formule commerciale, ce que Plaidoria fait des dossiers qui lui sont confiés. Elle complète la politique de confidentialité et les conditions générales. L'accord de traitement des données (article 28 RGPD) est public, accepté en ligne à la création de l'organisation et téléchargeable en version signable ; un dossier d'analyse d'impact pré-rempli est fourni sur demande aux cabinets qui en ont besoin.

1. Le parcours d'un dossier

1. Saisie. L'avocat rédige une synthèse et peut joindre des pièces PDF. La reconnaissance de caractères s'exécute sur nos serveurs, sans appel à un service tiers.
2. Chiffrement. Le contenu est chiffré (AES-256-GCM) avant d'être écrit en base de données. Les mémoires, notes de recherche et échanges avec l'assistant le sont aussi.
3. Pseudonymisation. Avant tout appel à un modèle de langage, les données identifiantes détectables (noms de personnes, y compris sans civilité grâce à une détection d'entités nommées exécutée sur nos propres serveurs, dénominations sociales, emails, téléphones, NIR, IBAN, SIREN/SIRET, adresses, dates de naissance, plaques d'immatriculation, identifiants administratifs) sont remplacées par des jetons techniques stables pour le dossier. La table de correspondance est chiffrée et ne quitte jamais nos serveurs. Le titre du dossier n'est pas transmis au modèle.
4. Vérification par l'avocat. Avant chaque génération, l'écran « Ce qui sera transmis au modèle » affiche la version pseudonymisée de la synthèse, jeton par jeton, avec la table de correspondance. L'avocat peut masquer d'un clic tout fragment que la détection aurait laissé, ou modifier librement le texte lui-même, puis confirme en attestant l'avoir relu : la détection automatique l'assiste mais ne remplace pas sa relecture. L'attestation est horodatée dans le journal de son organisation, et c'est exactement cette version qui part au modèle. Cette étape est obligatoire pour toutes les organisations et ne peut pas être désactivée.
5. Recherche et rédaction. Le texte pseudonymisé sert à interroger Légifrance et Judilibre, puis à faire rédiger un premier jet par le modèle. Chaque citation est ensuite vérifiée mécaniquement contre les textes officiels.
6. Restitution. Les jetons sont remplacés par les valeurs d'origine sur nos serveurs, puis le document est restitué au seul cabinet, dans l'application et en export DOCX.
7. Suppression. Le cabinet supprime ses dossiers quand il le souhaite. La purge physique intervient à l'échéance de la durée configurée pour l'organisation (90 jours par défaut après suppression, réglable de 7 à 730 jours), par un traitement automatisé quotidien qui efface aussi la table de correspondance, les versions, les mémoires et les échanges avec l'assistant.

2. Ce que le mot « pseudonymisation » veut dire ici

Nous employons volontairement ce terme plutôt qu'« anonymisation ». Les jetons sont réversibles par nous seuls, et le texte transmis au modèle conserve les éléments nécessaires au raisonnement juridique (dates de procédure, montants, juridictions, faits). Au sens du RGPD, ces contenus restent des données personnelles : nous les traitons comme telles, sous contrat de sous-traitance, avec des fournisseurs qui n'entraînent aucun modèle sur ces données.

La détection est automatique et ne peut pas être exhaustive : un surnom, un nom dans une pièce mal numérisée ou un identifiant peu courant peut lui échapper. C'est pourquoi l'avocat voit et valide ce qui part au modèle, et peut masquer lui-même ce qui reste. L'application rappelle aussi, à la saisie, de ne coller que les éléments nécessaires.

3. Hébergement et fournisseurs

• Application et bases de données : Railway, région Union européenne (Amsterdam, Pays-Bas).
• Modèle de langage : Anthropic (États-Unis), via son API commerciale. Ne reçoit que des contenus pseudonymisés. Aucun entraînement sur les données (conditions commerciales de l'API) ; contenus non conservés par défaut selon la politique du fournisseur, demande de zéro rétention contractuelle déposée le 19 août 2026 (en attente de confirmation). Transfert encadré par les clauses contractuelles types de la Commission européenne.
• Classement des sources : OpenAI (États-Unis) calcule des empreintes de similarité sur des textes de jurisprudence publics et des requêtes issues de contenus pseudonymisés. Aucun entraînement. Une demande de traitement en région Europe est en cours.
• Bases documentaires : Légifrance et Judilibre (DILA, Cour de cassation) reçoivent des requêtes de recherche issues de contenus pseudonymisés.
• Autres : Brevo (emails transactionnels, France), Stripe (paiement), Sentry (erreurs techniques, région UE, sans contenu de dossier), Cloudflare (protection du site). La liste complète figure ci-dessous et dans l'accord de traitement des données.

Liste des sous-traitants ultérieurs et destinataires

Cette liste est celle de l'annexe 3 de l'accord de traitement des données (version 2026-08-20). Tout ajout ou remplacement est notifié par email aux administrateurs des organisations au moins trente jours avant sa mise en oeuvre ; ils peuvent s'y opposer et, à défaut d'accord, résilier sans pénalité.

4. Accès et traçabilité

• Cloisonnement strict par organisation : aucune requête ne traverse deux cabinets.
• Comptes à email vérifié, mots de passe de 12 caractères minimum, double authentification (TOTP) disponible sur chaque compte. Le cabinet peut la rendre obligatoire pour tous ses membres (réglage de la page Équipe) : un membre sans double authentification est alors bloqué à la connexion tant qu'il ne l'a pas activée.
• Journal d'audit des actions (génération, paiement, suppression, pseudonymisation), conservé 3 ans. Les contenus de dossiers ne sont jamais écrits dans les journaux techniques.
• Le contenu des dossiers n'est pas consulté par l'éditeur, hors demande expresse du cabinet pour un support ou obligation légale.

5. Transparence sur l'intelligence artificielle

Chaque document généré porte la mention qu'il a été produit par un système d'IA à titre d'assistance et doit être relu, complété et validé par un avocat avant tout usage. Les exports DOCX contiennent des métadonnées d'origine. L'assistant du site et l'assistant du dossier sont identifiés comme des systèmes d'IA (règlement (UE) 2024/1689, article 50). Plaidoria est destiné aux avocats et professionnels du droit ; il n'est pas conçu pour un usage par une juridiction.

6. Analyse d'impact (AIPD) : résumé

Un dossier d'analyse d'impact pré-rempli (méthode CNIL) est tenu à jour et fourni sur demande aux cabinets pour leur propre AIPD. Ce qu'il retient, en résumé :

• Accès illégitime aux contenus (gravité maximale, vraisemblance limitée) : chiffrement au repos avec clé versionnée et rotative, cloisonnement par organisation, double authentification, journal d'audit, purge automatisée, accès de production restreint. Risque résiduel modéré ; test d'intrusion externe et démarche ISO 27001 prévus.
• Fuite de données identifiantes vers les fournisseurs d'IA (gravité importante) : pseudonymisation renforcée en août 2026 (noms en contexte et propagation, détection d'entités nommées exécutée sur nos serveurs depuis le 17 août 2026, identifiants administratifs, requêtes de recherche nettoyées), prévisualisation et confirmation par l'avocat avec masquage manuel, non-entraînement et demande de zéro rétention déposée le 19 août 2026. Risque résiduel modéré, en baisse.
• Ré-identification par corrélation chez un fournisseur : faible (aucun motif ni moyen raisonnable, contenus non conservés) ; c'est la raison pour laquelle nous parlons de pseudonymisation, non d'anonymisation.
• Défaut d'intégrité (mémoire altéré, mauvaise ré-identification) : faible ; recopie stricte des jetons imposée au modèle, tests, relecture obligatoire par l'avocat.
• Compte utilisateur compromis : modéré ; double authentification disponible, mots de passe de 12 caractères, sessions révocables. Le cabinet peut rendre la double authentification obligatoire pour tous ses membres (réglage de la page Équipe) ; nous le recommandons.
• Accès d'une autorité étrangère (hébergeur et fournisseur d'IA de droit américain) : faible ; contenus chiffrés chez l'hébergeur, pseudonymisés et non conservés chez le fournisseur d'IA ; une configuration de traitement en Union européenne (fournisseur cloud, régions UE) est prête côté code et sera proposée après validation.

7. Ce que nous ne revendiquons pas

Plaidoria ne détient à ce jour aucune certification de sécurité (ISO 27001, SOC 2, HDS). Ces démarches sont planifiées à mesure que le service grandit ; nous préférons décrire précisément ce qui est en place plutôt qu'afficher un label. Le mécanisme de pseudonymisation fait l'objet d'audits internes réguliers, dont les constats alimentent les correctifs.

8. Signaler une vulnérabilité : politique de divulgation responsable

Si vous découvrez une faille de sécurité sur plaidoria.fr ou son API, écrivez à [email protected] en indiquant « sécurité » dans l'objet (le fichier security.txt reprend ces coordonnées). Décrivez les étapes de reproduction, l'impact constaté et, si possible, une preuve minimale. Nous accusons réception sous trois jours ouvrés, donnons une première évaluation sous dix jours ouvrés et vous tenons informé jusqu'à la correction ; nous citons volontiers les chercheurs qui le souhaitent une fois la faille corrigée.

• Périmètre : plaidoria.fr et https://plaidoria.fr/api/v1. Hors périmètre : les services de nos fournisseurs (Railway, Cloudflare, Stripe, Anthropic, OpenAI, Brevo, Sentry) qui ont leurs propres programmes.
• Règles : aucun test de déni de service, aucune ingénierie sociale, aucun accès aux données d'autres organisations que la vôtre (créez un compte de test), aucune exfiltration ; si vous accédez par accident à des données de tiers, arrêtez et signalez-le.
• Engagement : nous ne poursuivons pas la recherche de bonne foi menée dans ces limites, et nous ne demandons ni ne versons de récompense financière à ce stade.

En cas de violation de données touchant un cabinet, celui-ci est informé dans les meilleurs délais, avec les éléments nécessaires à sa propre notification à la CNIL (72 heures).