Politique de confidentialité & RGPD

1. Responsable du traitement et DPO

Alexandre POMMIER (Entrepreneur Individuel — Avocena) agit :

• En qualité de Responsable de traitement pour la création et la gestion des comptes utilisateurs, la relation contractuelle, la facturation du service logiciel et la sécurité de l'infrastructure.
• En qualité de Sous-traitant (au sens de l'article 28 du RGPD) pour l'ensemble des données professionnelles, clients, dossiers et notes d'honoraires hébergées dans l'espace cabinet pour le compte de l'avocat abonné (lequel demeure le Responsable de traitement de ses propres dossiers clients).

Contact Délégué à la Protection des Données (DPO) : dpo@avocena.fr ou par courrier à l'adresse du siège social : 1 Bis Passage Prosper Camus, 95170 Deuil-la-Barre, France.

2. Données collectées

• Données de compte cabinet : nom, prénom, barreau d'appartenance, numéro SIRET, adresse e-mail professionnelle, adresse postale professionnelle, numéro de téléphone.
• Données métier : notes d'honoraires, rétrocessions de collaboration, dossiers juridiques, justificatifs de dépenses, calculs kilométriques et écritures du livre-journal.
• Données bancaires et de paiement : identifiant client Stripe et historique d'abonnement logiciel ; relevés d'opérations et soldes des comptes bancaires professionnels synchronisés via Enable Banking (DSP2).
• Données techniques et de journalisation : adresse IP publique de connexion, empreinte de session chiffrée, horodatage des opérations et journaux de sécurité (audit logs).

3. Finalités et bases légales des traitements

Conformément aux articles 6 et 13 du RGPD, chaque traitement de données repose sur une base juridique déterminée :

• Fourniture du service logiciel et gestion des abonnements : Base légale = Exécution du contrat (art. 6.1.b RGPD).
• Authentification forte (2FA) et sécurité de la plateforme : Base légale = Intérêt légitime (art. 6.1.f RGPD) à prévenir les accès non autorisés et garantir la confidentialité.
• Comptabilité et conservation des factures d'abonnement : Base légale = Obligation légale (art. 6.1.c RGPD) imposée par le Code de commerce et le CGI.
• Assistance IA contextuelle et reconnaissance de reçus (OCR) : Base légale = Consentement explicite et révocable (art. 6.1.a RGPD). Ces fonctionnalités sont strictement optionnelles et désactivées par défaut.

4. Durées de conservation des données

Les données sont conservées pour des durées strictement proportionnées aux finalités poursuivies :

• Données métier du cabinet (dossiers, factures, dépenses, clients) : conservées pendant toute la durée active de l'abonnement. À compter de la résiliation effective, les données restent téléchargeables pendant un délai de prévenance de 30 jours, puis sont définitivement supprimées de nos bases de production.
• Pièces comptables et factures d'abonnement de l'Éditeur : conservées pendant 10 ans conformément à l'article L. 123-22 du Code de commerce.
• Journaux de connexion et traces d'audit de sécurité : conservés pendant 1 an glissant conformément aux obligations de la LCEN et au décret n° 2021-1362.
• Sessions de synchronisation bancaire DSP2 : conservées pendant la durée de validité du mandat bancaire (180 jours maximum renouvelables) et révoquées immédiatement en cas de déconnexion manuelle par l'avocat.
• Mesure d'audience de la landing page (empreintes signées, sans cookie ni identifiant persistant) : conservée 13 mois maximum, puis purgée automatiquement par un traitement quotidien.

5. Sous-traitants techniques déclarés

Avocena fait appel à des prestataires rigoureusement sélectionnés pour leurs garanties de sécurité et de conformité :

• OVH SAS (France / UE) : Hébergement souverain de l'infrastructure applicative, de la base de données PostgreSQL et des sauvegardes externalisées (datacenter Gravelines, France).
• Stripe Payments Europe, Ltd. (Irlande / UE) : Gestion sécurisée des abonnements et encaissements par carte bancaire.
• Enable Banking Oy (Finlande / UE) : Prestataire AISP agréé DSP2 par la FIN-FSA pour la lecture automatisée des comptes bancaires professionnels.
• Brevo (Sendinblue SAS) (France / UE) : Acheminement sécurisé des e-mails d'authentification 2FA et des relances de factures.
• Google Cloud Platform (Gemini) (Google LLC, États-Unis) : Fournisseur de modèles de langage utilisé exclusivement en cas d'activation volontaire de l'assistance IA par le cabinet.

6. Transferts de données hors Union européenne & Secret professionnel

L'hébergement principal de la plateforme, des bases de données et des sauvegardes est 100 % situé en France (OVH Gravelines).

Le recours aux fonctionnalités optionnelles d'assistance IA (OCR des notes de frais et copilote) sollicite les services d'API de Google LLC. Ces transferts sont encadrés par les Clauses Contractuelles Types (CCT) adoptées par la Commission européenne et les engagements du Data Privacy Framework UE-USA.

Garantie absolue de secret professionnel : L'assistance IA externe est désactivée par défaut. Si le cabinet choisit de l'activer, les noms des clients et dossiers sont systématiquement pseudonymisés localement avant tout envoi afin de préserver l'inviolabilité du secret professionnel de l'avocat (art. 66-5 de la loi du 31 décembre 1971).

7. Sécurité et étanchéité des données

L'isolation hermétique entre cabinets repose sur PostgreSQL Row Level Security (FORCE RLS) interdisant toute fuite de données inter-tenants. Tous les secrets TOTP, sessions DSP2 et historiques sont chiffrés au repos en AES-256-GCM. L'ensemble des communications transite par des protocoles chiffrés TLS 1.3.

8. Absence de cookies publicitaires et traceurs tiers

Avocena applique une stricte politique de sobriété numérique :

• Aucun traceur publicitaire, outil de profilage ou régie publicitaire n'est présent sur le site vitrine ou la plateforme logicielle.
• Aucun cookie analytique tiers (type Google Analytics, Meta Pixel) n'est déployé.
• Mesure d'audience respectueuse et souveraine : la mesure d'audience de la landing page est opérée exclusivement en interne, sur notre propre infrastructure, sans aucun cookie persistant ni transfert à des tiers. Conformément aux directives de la CNIL, l'adresse IP est combinée à l'empreinte du navigateur puis signée en HMAC-SHA256 avec une clé secrète conservée hors du code, et l'empreinte est recalculée chaque jour : elle change quotidiennement et n'est pas réversible. Ces données de mesure sont conservées 13 mois maximum, puis supprimées automatiquement. La session de navigation temporaire, elle, est purgée à la fermeture de l'onglet.
• Seuls des cookies techniques strictement nécessaires au fonctionnement et à la sécurité du service (cookie de session d'authentification sécurisé HttpOnly, SameSite=Lax, Secure) sont émis. Conformément aux recommandations de la CNIL, ces cookies techniques indispensables sont exemptés de consentement préalable.

9. Vos droits

Conformément au RGPD et à la loi Informatique et Libertés, vous disposez d'un droit d'accès, de rectification, d'effacement, de portabilité, de limitation et d'opposition au traitement de vos données personnelles.

Pour faire valoir ces droits, contactez notre Délégué à la Protection des Données à dpo@avocena.fr. Vous bénéficiez également du droit d'introduire une réclamation auprès de la CNIL (3 Place de Fontenoy, 75007 Paris — www.cnil.fr).