Accord de sous-traitance des données (RGPD, article 28)

Le cabinet (l'avocat ou la structure d'exercice titulaire du compte) est responsable du traitement des données de ses clients et de ses dossiers.

L'éditeur, GO TO AGENCY, société par actions simplifiée à capital variable, immatriculée au RCS de Dijon sous le numéro 944 980 762, siège [adresse du siège], représenté par [représentant légal], est sous-traitant pour les seules opérations décrites à l'article 3.

Le service est conçu pour que les données identifiant les clients du cabinet ne quittent jamais ses postes :

• les pièces sont lues et pseudonymisées sur le poste du cabinet avant tout envoi ; seuls des alias (PERSONNE_1, SOCIETE_1, ADRESSE_1…) sont transmis ;
• la table de correspondance alias → identité réelle et la clé de chiffrement du cabinet, dérivée d'une phrase secrète qui n'est jamais transmise, restent sur le poste ;
• les contenus conservés par l'éditeur le sont sous forme d'enveloppes chiffrées par cette clé, que l'éditeur ne détient pas et ne peut pas reconstituer.

En conséquence, l'éditeur n'a techniquement accès ni aux identités des clients du cabinet, ni au contenu en clair des dossiers, et ne peut pas les restituer en cas de perte de la phrase secrète.

L'éditeur traite, pour le compte du cabinet et sur ses instructions :

• données de compte : adresse e-mail professionnelle, nom du cabinet, empreinte du mot de passe, état d'abonnement (finalité : fournir et facturer le service) ;
• texte pseudonymisé (alias, sans identité) soumis à l'assistant de rédaction (finalité : analyse et rédaction assistées) ;
• journal d'audit : horodatage, action, alias utilisés, empreintes, signature du cabinet (finalité : traçabilité opposable ; aucune identité) ;
• sauvegardes chiffrées du poste (enveloppes opaques ; finalité : restauration sur un nouveau poste, à la demande du cabinet).

Catégories de personnes concernées : les clients et parties des dossiers du cabinet (sous forme d'alias uniquement), les avocats et collaborateurs titulaires d'un compte. Durée : pendant la relation contractuelle, puis suppression dans les trente jours suivant la demande de fermeture du compte (article 9).

• ne traiter les données que sur instruction documentée du cabinet (l'utilisation du service vaut instruction), y compris pour les transferts hors Union européenne décrits à l'article 6 ;
• garantir que les personnes autorisées à traiter les données sont tenues à une obligation de confidentialité ;
• mettre en œuvre les mesures de sécurité de l'article 5 ;
• respecter les conditions de l'article 6 pour le recours à des sous-traitants ultérieurs ;
• aider le cabinet à répondre aux demandes d'exercice des droits (dans la limite de ce que l'architecture permet : l'éditeur ne peut pas rechercher une personne dans des données qu'il ne peut pas lire ; le cabinet dispose lui-même de tous les moyens de le faire) ;
• aider le cabinet à assurer la sécurité, notifier sans délai indu toute violation de données affectant les données traitées (article 7), et contribuer aux analyses d'impact ;
• supprimer ou restituer les données à la fin de la prestation (article 9) ;
• mettre à disposition les informations nécessaires pour démontrer le respect de ces obligations et permettre des audits (article 8).

• pseudonymisation des données avant tout envoi, sur le poste du cabinet ;
• chiffrement des contenus conservés (AES-256-GCM) avec une clé dérivée d'une phrase secrète détenue par le seul cabinet ; phrase secrète forte exigée à la création ; verrouillage automatique du poste après inactivité ;
• garde-fou serveur refusant automatiquement tout envoi contenant un identifiant direct (adresse e-mail, IBAN, téléphone, numéros d'identification) ;
• cloisonnement strict entre cabinets (isolation par cabinet à chaque lecture et écriture ; politiques de sécurité au niveau des lignes en base de données) ;
• journal d'audit chaîné et signé par la clé du cabinet, recalculé dans le navigateur, rendant toute altération par l'éditeur détectable ;
• connexions chiffrées (TLS), sessions signées, mots de passe hachés (scrypt), limitation de débit, conteneur d'exécution sans privilèges, sauvegardes chiffrées hors site ;
• audits de sécurité réguliers du code et de la configuration ; le dernier en date est du 19 août 2026.

Le cabinet autorise l'éditeur à recourir aux sous-traitants ultérieurs suivants, liés par des obligations équivalentes ; toute modification est notifiée au cabinet, qui peut s'y opposer dans un délai de trente jours, la résiliation étant alors ouverte sans frais.

• Hetzner Online GmbH (Union européenne (Allemagne)) : hébergement de l'application et des données (enveloppes chiffrées, journal, comptes).
• Anthropic, PBC (États-Unis) : exécution de l'assistant de rédaction. Reçoit uniquement du texte pseudonymisé, jamais une identité. Aucun entraînement sur les données (conditions API du fournisseur). Ce transfert hors Union européenne ne porte que sur du texte pseudonymisé ; le cabinet peut, en remplacement, choisir dans ses paramètres un assistant exécuté localement ou un fournisseur établi dans l'Union, auquel cas aucun transfert hors UE n'a lieu.
• Stripe Payments Europe, Ltd. (Irlande (Union européenne)) : traitement des paiements et facturation (données de facturation du cabinet uniquement ; jamais de données de dossier).

L'éditeur notifie au cabinet, à l'adresse e-mail du compte, toute violation de données à caractère personnel dont il a connaissance, dans les meilleurs délais et au plus tard 48 heures après en avoir pris connaissance, avec les informations dont il dispose (nature, catégories et volume approximatif, conséquences probables, mesures prises). Le cabinet reste responsable de la notification à la CNIL et aux personnes concernées.

Le cabinet peut demander une fois par an, avec un préavis de trente jours, la communication des éléments permettant de vérifier le respect du présent accord (description des mesures, résultats des audits de sécurité, attestations des sous-traitants ultérieurs). Un audit sur place, à la charge du cabinet, peut être organisé en cas de motif sérieux.

À la fermeture du compte, l'éditeur supprime dans les trente jours les données qu'il détient (comptes, journal d'audit, sauvegardes chiffrées), sauf obligation légale de conservation (données de facturation). Les dossiers chiffrés conservés sur les postes du cabinet restent sa propriété et ne sont pas concernés : le cabinet peut les exporter à tout moment, avant comme après la fin de l'abonnement.

Pour toute question relative au présent accord ou à l'exercice des droits : contact@go-to-agency.com. Droit applicable : droit français ; juridictions de Dijon.