Accord de traitement des données (DPA)

ANNEXE 1

Ce document constitue une annexe obligatoire au contrat principal et est conçu pour être en parfaite conformité avec l'article 28 du RGPD. Il formalise les obligations de HECTOR.LEGAL en tant que sous- traitant de données pour le compte du Client avocat, qui demeure responsable de traitement.

ENTRE : Le Client (Responsable de Traitement)

ET : HECTOR.LEGAL (Sous-traitant)

Il est convenu ce qui suit :

1 - Objet, Durée, Nature et Finalité du Traitement :

1.1 Le Sous-traitant est autorisé à traiter les données à caractère personnel pour le compte du Responsable de Traitement aux seules fins de fournir le Service SaaS d'intelligence artificielle juridique.

Les traitements consistent en :

• • L'hébergement sécurisé des Données du Client ;
• • Le traitement par des algorithmes d'intelligence artificielle générative ;
• • La sauvegarde et la restauration des Données du Client ;
• • La fourniture des fonctionnalités du Service (génération de documents, analyse juridique, etc.).

1.2 Les traitements réalisés par le Sous-traitant pour le compte du Responsable de Traitement portent sur trois ensembles de données :

• (a) Les Données à caractère personnel des Utilisateurs du Service (avocats « Client », collaborateurs et personnels autorisés du Client) : données d'identification (nom, prénom, qualité professionnelle), coordonnées professionnelles (adresse électronique, numéro de téléphone, cabinet de rattachement) et données techniques de connexion et d'utilisation (identifiants de compte, journaux de connexion, adresse IP).
• (b) Le Contenu Client que l'Utilisateur choisit de téléverser, saisir ou traiter via le Service (actes, écritures, pièces, courriers et tout document du dossier).
• (c) Les courriers électroniques et pièces jointes que l’Utilisateur soumet au Service au moyen du complément Microsoft Outlook ou de l’extension Chrome « Hector pour Gmail ». Le Service peut préparer des réponses et les insérer dans les brouillons de l’Utilisateur. Lorsque l’Utilisateur active la connexion facultative de sa messagerie Microsoft ou Google, le Service peut, pour répondre à ses demandes, rechercher et consulter les messages et pièces jointes nécessaires. L’Utilisateur peut désactiver la fonction concernée ou déconnecter sa messagerie à tout moment.

Pour Gmail, l’autorisation gmail.compose permet techniquement la gestion des brouillons et l’envoi de courriels. Hector l’utilise pour préparer et modifier les brouillons demandés, sans proposer de fonction d’envoi. L’Utilisateur relit et envoie lui-même les courriels dans Gmail.

Les contenus consultés par l’assistant peuvent être conservés dans l’historique des conversations. Les éléments classés sont conservés dans les dossiers ; un courriel importé en EML comprend ses pièces jointes. La désactivation ou la déconnexion n’efface pas les copies déjà conservées dans Hector. Les modalités de conservation, restitution et effacement demeurent celles du présent DPA.

Le contenu, la nature et l'étendue de ces données sont déterminés par le Client et ses Utilisateurs. S’agissant du (c), l’activation de la connexion de la messagerie vaut instruction documentée, au sens de l’article 28.3 a) du RGPD, de consulter les messages et pièces jointes nécessaires pour répondre aux demandes de l’Utilisateur. Ces données sont susceptibles de comprendre des données d'identification et des coordonnées. Les personnes concernées par ces données sont notamment les clients finaux du Client, les parties adverses, les tiers, témoins et toute personne physique mentionnée dans les documents traités.

Le Client, en sa qualité de Responsable de Traitement, garantit qu'il dispose d'une base légale appropriée et qu'il satisfait à ses obligations d'information et, le cas échéant, de recueil du consentement à l'égard des personnes concernées, pour l'ensemble des Données du Client qu'il traite via le Service.

1.3 Durée de conservation

La durée du traitement est limitée à la durée du contrat principal. À l’issue du contrat, chaque catégorie de données est conservée pendant les durées suivantes, puis supprimée :

2 - Instructions Documentées du Client :

Le Sous-traitant ne traite les données que sur instruction documentée du Responsable de Traitement.

L’activation par l’Utilisateur de la connexion de sa messagerie Microsoft ou Google vaut instruction documentée, au sens de l’article 28.3 a) du RGPD, de rechercher et consulter les messages et pièces jointes nécessaires pour répondre à ses demandes, et d’effectuer les traitements qu’il demande, notamment la préparation de brouillons et le classement dans un dossier.

Les instructions initiales sont celles définies dans le présent DPA et le contrat principal. Toute instruction complémentaire devra être formulée par écrit.

Il est formellement et contractuellement interdit au Sous-traitant d'utiliser les Données du Client pour quelque raison que ce soit en dehors du strict cadre de la fourniture du Service, y compris et notamment pour :

• • L'entraînement de ses propres modèles d'IA ou de ceux de tiers ;
• • L'amélioration de ses algorithmes ou services ;
• • Toute finalité commerciale, marketing ou de recherche. Toute utilisation sortant du strict cadre de la fourniture du Service est prohibée.

3 - Obligation de Confidentialité :

Le Sous-traitant garantit que toutes les personnes autorisées à traiter les données (ses salariés, prestataires, sous-traitants) se sont engagées à respecter la confidentialité ou sont soumises à une obligation légale appropriée de confidentialité.

Le Sous-traitant s'engage à faire signer à l'ensemble de son personnel des clauses spécifiques de confidentialité.

4 - Mesures de Sécurité :

Le Sous-traitant met en œuvre les mesures techniques et organisationnelles appropriées pour garantir un niveau de sécurité adapté au risque, conformément à l'article 32 du RGPD, incluant notamment :

Mesures techniques

• • Chiffrement des données en transit (protocole TLS 1.3 minimum) et au repos (norme AES-256 minimum) ;
• • Contrôle d'accès strict avec authentification multi-facteurs pour les accès administratifs ;
• • Journalisation des accès et des opérations sur les données ;
• • Sauvegardes quotidiennes chiffrées avec test régulier de restauration.

Mesures organisationnelles

• • Politique de gestion des habilitations et des droits d'accès (principe du moindre privilège) ;
• • Procédures de gestion des incidents de sécurité et des violations de données ;
• • Tests de sécurité (audits de code, tests d'intrusion) ;
• • Formation du personnel aux bonnes pratiques de sécurité et de protection des données ;
• • Plan de continuité d'activité et de reprise après sinistre.

5 - Recours à des Sous-traitants Ultérieurs :

Le Sous-traitant peut faire appel à des sous-traitants ultérieurs pour certaines opérations de traitement, notamment pour l'hébergement des données, la fourniture de modèles d'intelligence artificielle générative, et l'infrastructure technique du Service.

Le Client autorise expressément le Sous-traitant à recourir à des sous-traitants ultérieurs pour l'exécution de ses obligations.

Le Sous-traitant s'engage à :

• • N'engager que des sous-traitants ultérieurs présentant des garanties suffisantes quant à la mise en œuvre de mesures techniques et organisationnelles appropriées conformes au RGPD;
• • Conclure avec chaque sous-traitant ultérieur un contrat écrit encadrant la protection des données à caractère personnel et privilégier des sous-traitants offrant une politique de zéro rétention des données ;
• • Informer préalablement le Client de tout changement prévu concernant l'ajout ou le remplacement de sous-traitants ultérieurs, par courrier électronique adressé au moins trente (30) jours avant le changement ;

En cas d'objection justifiée du Client, les Parties rechercheront ensemble une solution alternative. Si aucune solution n'est trouvée, le Client pourra résilier le contrat sans pénalité dans un délai de trente (30) jours.

Le Sous-traitant demeure pleinement responsable envers le Client de l'exécution par le sous-traitant ultérieur de ses obligations en matière de protection des données.

6 – Localisation et Transferts de Données :

Le Contenu Client est stocké sur des datacenters situés en France. Les datacenters utilisés pour l'exécution des modèles d'intelligence artificielle (LLM) sont situés au sein de l'Union Européenne, et pour partie en France.

Le Sous-traitant peut recourir, notamment à des fins de sauvegarde, de paiement ou de fonctions techniques accessoires, à des outils ou prestataires établis en dehors de l'Union Européenne. Dans cette hypothèse, le Sous-traitant veille au respect des principes et garanties du RGPD.

La liste des sous-traitants ultérieurs et leur localisation est communiquée au Client sur simple demande.

7 - Politique de Rétention de Données :

7.1 Rétention par les Modèles d'IA

Le Fournisseur met en œuvre une politique de zéro rétention pour les principaux outils et sous-traitants traitant des données à caractère personnel.

Concrètement, cela signifie que :

• • Les requêtes et les données envoyées aux modèles d'IA ne sont pas conservées par ces sous- traitants au-delà du temps strictement nécessaire au traitement de la requête ;
• • Ces données ne sont pas utilisées pour l'entraînement ou l'amélioration des modèles d'IA ;
• • Le Fournisseur s'assure contractuellement que ses sous-traitants respectent cette politique de zéro rétention.

7.2 Rétention sur l'Infrastructure du Service

Les Données du Client stockées sur l'infrastructure du Service (documents, prompts personnalisés, historiques de génération) sont conservées pendant la durée du contrat pour permettre aux Utilisateurs d'accéder, éditer et gérer leurs données.

À l’issue du contrat, elles sont conservées puis supprimées selon les durées définies à l’Article 1 et à l’article 11 du présent DPA.

8 - Aide au Responsable de Traitement :

Le Sous-traitant s'engage à aider le Responsable de Traitement, dans la mesure du possible et compte tenu de la nature du traitement, à s'acquitter de ses propres obligations RGPD, notamment :

a) Exercice des droits des personnes concernées :

Le Sous-traitant assistera le Client pour donner suite aux demandes d'exercice des droits des personnes concernées (droit d'accès, de rectification, d'effacement, d'opposition, de limitation du traitement, de portabilité des données).

Si une personne concernée adresse directement une demande au Sous-traitant, celui-ci redirigera immédiatement cette demande vers le Client et s'abstiendra de répondre directement, sauf instruction contraire écrite du Client.

Le Sous-traitant fournira au Client, dans un délai raisonnable n'excédant pas quinze (15) jours, toutes les informations nécessaires pour répondre à la demande.

b) Analyses d'Impact relatives à la Protection des Données (AIPD) :

Le Sous-traitant mettra à disposition du Client, sur demande, toutes les informations nécessaires pour effectuer une analyse d'impact relative à la protection des données (AIPD) lorsque le type de traitement est susceptible d'engendrer un risque élevé pour les droits et libertés des personnes physiques.

c) Consultations préalables :

Le Sous-traitant assistera le Client pour les consultations préalables avec l'autorité de contrôle (CNIL) si l'AIPD indique que le traitement présenterait un risque élevé en l'absence de mesures pour atténuer le risque.

9 - Notification des Violations de Données :

En cas de violation de données à caractère personnel (accès non autorisé, perte, destruction, altération ou divulgation de données), le Sous-traitant s'engage à :

• • Notifier le Responsable de Traitement dans les meilleurs délais et au plus tard dans les quarante-huit (48) heures suivant la découverte de la violation ;
• • Fournir au Client toutes les informations pertinentes disponibles, notamment la nature de la violation, les catégories et le nombre approximatif de personnes concernées, les catégories et le nombre approximatif d'enregistrements de données concernés, les conséquences probables de la violation, ainsi que les mesures prises ou proposées pour remédier à la violation et atténuer ses effets négatifs.

Le Sous-traitant coopérera pleinement avec le Client pour permettre à ce dernier de satisfaire à ses obligations de notification à la CNIL et aux personnes concernées conformément aux articles 33 et 34 du RGPD.

Le Sous-traitant documentera toute violation de données, y compris les faits, les effets et les mesures prises, et conservera cette documentation à disposition du Client et de l'autorité de contrôle.

10 - Audits et Inspections :

Le Responsable de Traitement (ou un mandataire dûment habilité) a le droit de réaliser des audits, y compris des inspections, pour vérifier la conformité du Sous-traitant avec le présent DPA et le RGPD.

Ces audits seront réalisés dans les conditions suivantes :

• • Moyennant un préavis raisonnable de quinze (15) jours ouvrés, sauf en cas de violation de données nécessitant une intervention immédiate ;
• • Durant les heures ouvrées du Sous-traitant ;
• • Sans affecter indûment l'activité du Sous-traitant ni la confidentialité des données d'autres clients ;
• • Par un auditeur soumis à des obligations de confidentialité strictes ;
• • À une fréquence raisonnable (en principe, maximum un audit par an, sauf incident justifiant un audit supplémentaire).

Le Sous-traitant s'engage à mettre à disposition toutes les informations nécessaires pour démontrer le respect des obligations prévues par le présent DPA et à permettre la réalisation d'audits.

Les frais d'audit sont à la charge du Client, sauf si l'audit révèle un manquement grave du Sous-traitant à ses obligations, auquel cas les frais seront partagés ou à la charge du Sous-traitant selon la gravité du manquement.

11 - Sort des Données en Fin de Contrat :

Au terme du contrat, quelle qu'en soit la cause (résiliation, non-renouvellement, résolution), le Sous- traitant s'engage à, au choix du Responsable de Traitement :

• Option A - Restitution : Renvoyer au Responsable de Traitement l'intégralité du Contenu Client, des Contenus Générés et des données à caractère personnel dans un format structuré, couramment utilisé et lisible par machine (JSON, CSV, DOCX, PDF selon la nature des données), permettant leur réutilisation ;
• Option B - Suppression : Supprimer de manière sécurisée et irrécupérable le Contenu Client et toutes les données à caractère personnel, y compris toutes les copies existantes, sauf obligation légale de conservation.

Ces opérations sont effectuées à l’issue des durées de conservation prévues à l’Article 1 du présent DPA, à savoir : trente (30) jours après la cessation du contrat pour les Données à caractère personnel des Utilisateurs et les données non personnelles ; trois (3) mois après la cessation du contrat pour le Contenu Client, afin de permettre à l’avocat d’en demander la restitution. Les données de facturation et comptables sont conservées dix (10) ans, les journaux d’audit six (6) à douze (12) mois et les données de sauvegarde trente (30) jours.

Sur demande du Client, le Sous-traitant fournira un certificat de destruction ou de restitution attestant de l'accomplissement de cette obligation.

Après restitution ou suppression, le Sous-traitant ne conservera aucune copie des données, sauf obligation légale contraire (par exemple, conservation pour les besoins de la comptabilité), auquel cas le Sous-traitant informera le Client des données conservées, de la base légale et de la durée de conservation.