Accord de sous-traitance (DPA)

Le Sous-Traitant s'engage à traiter les données personnelles confiées par le Responsable de Traitement dans le cadre de l'exécution du service Visio-Avocats, et uniquement aux fins décrites à l'article 2.

Le présent DPA prend effet à compter de l'acceptation des Conditions Générales de Vente par le Responsable de Traitement et reste en vigueur pendant toute la durée du contrat d'abonnement, ainsi que pendant la durée nécessaire à la restitution ou à la destruction des données (article 11).

Le Sous-Traitant traite les données pour les finalités suivantes :

• Hébergement et fourniture de la plateforme de visioconférence sécurisée ;
• Génération et stockage des comptes-rendus, transcriptions et enregistrements consentis ;
• Émission et encaissement des honoraires (via Stripe Connect) ;
• Génération de courriers et de synthèses par intelligence artificielle (Mistral, hébergé en UE) ;
• Envoi de notifications transactionnelles et de rappels (email, SMS) ;
• Stockage sécurisé des documents et pièces transmises par le client du Cabinet.

Catégories de personnes : avocats et collaborateurs du Cabinet, clients (justiciables) du Cabinet, parties adverses identifiées dans un dossier.

Catégories de données : données d'identification (nom, prénom, email, téléphone, adresse), données professionnelles (SIRET, barreau, spécialités), données de connexion (IP, logs, horodatage), données couvertes par le secret professionnel (contenus de consultations, pièces de dossier, transcriptions, notes), données comptables (montants, factures, échéances).

Aucune donnée de carte bancaire ne transite par les serveurs du Sous-Traitant (PCI DSS Level 1 via Stripe).

Le Sous-Traitant s'engage à :

• Traiter les données uniquement sur instruction documentée du Responsable de Traitement (les présentes CGV et DPA constituant cette instruction) ;
• Garantir la confidentialité des données traitées et veiller à ce que les personnes autorisées à les traiter (employés, prestataires) soient soumises à une obligation de confidentialité contractuelle ou légale ;
• Mettre en œuvre les mesures techniques et organisationnelles décrites à l'article 5 ci-après ;
• Respecter les conditions de recours à des sous-traitants ultérieurs (article 6) ;
• Assister le Responsable de Traitement pour répondre aux demandes d'exercice des droits des personnes concernées (article 7) ;
• Notifier sans retard injustifié toute violation de données (article 8) ;
• Mettre à disposition toutes les informations nécessaires pour démontrer le respect des obligations de l'article 28 RGPD (article 10).

• S'assurer du caractère licite de la collecte initiale des données auprès de ses clients et de la délivrance d'une information conforme aux articles 13 et 14 du RGPD ;
• Documenter par écrit toute instruction complémentaire relative au traitement des données par le Sous-Traitant ;
• Veiller, en amont et pendant toute la durée du traitement, au respect des obligations prévues par le RGPD ;
• Superviser le traitement, y compris en réalisant les audits et inspections prévus à l'article 10.

Le Sous-Traitant met en œuvre les mesures techniques et organisationnelles suivantes :

• Chiffrement : TLS 1.3 pour les communications, SRTP/DTLS pour les flux audio/vidéo, AES-256 au repos pour le stockage de fichiers et la base de données ;
• Hébergement : base de données et stockage hébergés exclusivement dans l'Union européenne (Supabase, Francfort, Allemagne) ;
• Cloisonnement multi-tenant : Row Level Security (RLS) PostgreSQL sur l'ensemble des tables ; aucun croisement de données entre cabinets possible ;
• Authentification : mots de passe hachés (bcrypt), vérification de l'adresse email, support 2FA, contrôle de session ;
• Journalisation : audit-log des accès sensibles, logs conservés 24 mois puis anonymisés ;
• Sauvegardes : sauvegardes automatiques et chiffrées de la base de données, dans l'Union européenne, et procédure de restauration documentée ;
• Réponse aux incidents : procédure documentée, surveillance automatique du service avec alertes, page de statut publique à visio-avocats.com/statut ;
• Contrôles de sécurité : à chaque modification du code, analyse statique, audit des dépendances, recherche de secrets et tests automatisés ; audits de sécurité applicatifs réguliers (OWASP Top 10, cloisonnement des données), dont la synthèse est disponible sur demande sous engagement de confidentialité.

Le Responsable de Traitement autorise expressément le recours aux sous-traitants ultérieurs listés sur la page Registre des traitements.

Tout ajout ou remplacement d'un sous-traitant ultérieur sera notifié au Responsable de Traitement par email et publication sur ladite page, au minimum 30 jours avant l'entrée en vigueur du changement. Le Responsable de Traitement disposera de ce délai pour formuler une objection motivée ; à défaut d'objection, le changement sera réputé accepté.

Le Sous-Traitant impose à chacun de ses sous-traitants ultérieurs des obligations contractuelles équivalentes à celles du présent DPA, conformément à l'article 28.4 RGPD.

Dans la mesure du possible, le Sous-Traitant assiste le Responsable de Traitement pour donner suite aux demandes d'exercice des droits (accès, rectification, effacement, opposition, limitation, portabilité). Le Cabinet dispose, dans son espace, d'un centre d'exercice des droits permettant d'exporter et de supprimer les données en autonomie.

Le Sous-Traitant notifie au Responsable de Traitement toute violation de données à caractère personnel dans un délai maximum de 48 heures après en avoir pris connaissance, par email à l'adresse du DPO du Cabinet (ou à défaut à l'email administrateur du compte).

La notification précise :

• la nature de la violation ;
• les catégories et le nombre approximatif de personnes concernées ;
• les conséquences probables et les mesures prises ou proposées pour y remédier.

Les données principales (base de données, stockage de fichiers, flux de visioconférence) sont hébergées exclusivement au sein de l'Union européenne.

Certains sous-traitants ultérieurs appartiennent à des groupes dont la maison mère est établie aux États-Unis (Supabase et Amazon Web Services pour l'hébergement, LiveKit pour la visioconférence, Stripe pour les paiements, Mailgun pour l'envoi des emails, le cas échéant Twilio pour les SMS). Leurs données sont hébergées dans l'Union européenne lorsque le service le permet ; les transferts éventuels sont encadrés par les Clauses Contractuelles Types (CCT) adoptées par la Commission européenne (décision 2021/914), complétées le cas échéant par des mesures techniques supplémentaires (chiffrement SRTP/TLS et AES-256, pseudonymisation), conformément à l'arrêt CJUE C-311/18 (Schrems II).

L'exposition de chaque prestataire aux lois extraterritoriales et les alternatives européennes identifiées sont détaillées sur la page Résilience numérique.

Le Sous-Traitant met à disposition du Responsable de Traitement, sur demande et après signature d'un engagement de confidentialité, les éléments suivants : synthèse du dernier audit de sécurité, registre des sous-traitants ultérieurs, registre des incidents, procédures de sécurité. Le Responsable de Traitement peut, à ses frais, réaliser un audit sur site une fois par an, sous réserve d'un préavis de 60 jours et d'une charte d'audit conjointement signée.

Au terme du contrat, le Sous-Traitant restitue au Responsable de Traitement, ou détruit, l'ensemble des données à caractère personnel selon le choix exprimé par celui-ci. La restitution est gratuite et au format JSON exportable. À défaut d'instruction dans les 30 jours suivant la fin du contrat, les données seront automatiquement supprimées, à l'exception des pièces comptables conservées 10 ans en application de l'article L.123-22 du Code de commerce.

Chacune des parties est responsable des dommages causés par un manquement aux dispositions du RGPD qui lui est imputable, dans les conditions de l'article 82 du RGPD. La responsabilité du Sous-Traitant est plafonnée, dans les limites permises par la loi, aux conditions prévues par les CGV.

Le présent DPA est soumis au droit français. Tout litige relatif à son interprétation ou à son exécution relève de la compétence exclusive des tribunaux du ressort de la Cour d'appel de Paris.