Accord de sous-traitance

BriefUp traite les données uniquement sur instruction du Cabinet. Ces instructions sont les CGU, la présente annexe, et les actions des membres du Cabinet dans l’application (créer un dossier, inviter un client, demander une pièce, exporter, supprimer).

Conformément à l’article 6 des CGU, les dossiers d’un avocat sont liés à son compte : lorsqu’il quitte le Cabinet — de lui-même ou retiré par un administrateur — ses dossiers passent en lecture seule pendant 30 jours, puis sont supprimés avec son compte s’ils n’ont pas été transférés à un autre avocat du Cabinet ; les confrères qu’il y avait associés en perdent l’accès dès son départ. Le Cabinet donne cette instruction à BriefUp par l’acceptation des CGU. Pendant ces 30 jours, seul l’avocat qui part peut transférer ses dossiers à un autre avocat du Cabinet ou les exporter ; un administrateur ne peut pas le faire à sa place.

BriefUp ne traite les données à aucune autre fin — ni analyse, ni statistiques, ni amélioration du service, ni entraînement de modèle. Si BriefUp estime qu’une instruction contrevient au RGPD, il en informe le Cabinet avant de l’exécuter.

Si une autorité impose à BriefUp de communiquer des données du Cabinet, BriefUp en informe le Cabinet avant toute communication, sauf interdiction légale.

Une seule personne dispose d’un accès technique à la base de données de production : Tom Dhenain. Elle est tenue à une obligation de confidentialité et n’accède au contenu des dossiers qu’en cas de nécessité technique — résolution d’un incident — ou sur demande expresse du Cabinet.

BriefUp reconnaît que les données des dossiers sont couvertes par le secret professionnel de l’avocat et s’engage à les traiter avec le niveau de protection que ce secret exige.

BriefUp met en œuvre les mesures décrites en annexe 3, qui répondent à l’article 32 du RGPD. Elles peuvent évoluer, sans jamais diminuer le niveau de protection.

BriefUp fait appel aux prestataires listés en annexe 2. Le Cabinet les autorise par l’acceptation des CGU.

Tout ajout ou remplacement est notifié par email aux administrateurs du Cabinet 30 jours avant sa mise en œuvre. Le Cabinet qui s’y oppose peut résilier son abonnement sans frais avant cette date, et bénéficie de la période de lecture seule et de l’export prévus aux CGU.

En cas d’urgence de sécurité ou de continuité de service — défaillance d’un prestataire, incident grave — BriefUp peut procéder au changement sans délai ; le Cabinet en est alors informé dans les 72 heures suivant la mise en œuvre et conserve la même faculté de résiliation.

BriefUp impose à chaque sous-traitant ultérieur des obligations de protection équivalentes à celles du présent accord, et reste responsable envers le Cabinet de leur exécution.

Le contenu des dossiers — documents, messages, notes, événements, identité des clients — est hébergé exclusivement en France et n’en sort jamais, à une exception près : les emails de notification, envoyés depuis la France et remis dans la messagerie de leur destinataire, où qu’elle soit hébergée. Ils peuvent nommer le dossier, les pièces demandées et les rendez-vous, ainsi que le client dans ceux adressés au Cabinet ; les récapitulatifs adressés aux clients, eux, ne nomment rien et ne font que compter leurs nouveautés. Le fichier d’agenda joint à l’annonce d’un rendez-vous en porte l’intitulé, la date, l’heure et le lieu. Aucun email ne porte le texte d’un message ni le motif d’un refus de pièce.

Sentry (Functional Software, Inc., États-Unis) héberge nos rapports d’erreur à Francfort ; Upstash (Upstash, Inc., États-Unis) héberge nos compteurs de limitation de débit à Francfort ; l’un et l’autre ne voient que des données techniques, et encadrent tout accès depuis les États-Unis par leur certification au Data Privacy Framework, avec les clauses contractuelles types de la Commission européenne en repli. Cloudflare (Cloudflare, Inc., États-Unis), protection anti-robot, opère un réseau mondial et voit l’adresse IP et le navigateur le temps de la vérification, sous les mêmes garanties. Stripe (Stripe Payments Europe Ltd, Irlande) vend l’abonnement et traite les données de paiement pour son propre compte, avec des transferts vers les États-Unis encadrés par ses propres garanties.

Hors les emails de notification décrits ci-dessus, aucun transfert de contenu de dossier hors de France n’a lieu.

Droits des personnes — si un client du Cabinet adresse à BriefUp une demande d’accès, de rectification, d’effacement, de portabilité ou d’opposition portant sur un dossier, BriefUp la transmet au Cabinet sous 5 jours ouvrés et lui fournit les éléments nécessaires pour y répondre. BriefUp ne répond pas à la place du Cabinet.

Analyse d’impact — BriefUp fournit sur demande une description du traitement, des mesures de sécurité et des sous-traitants, que le Cabinet peut joindre à son analyse d’impact.

Consultation de la CNIL — BriefUp fournit toute information utile si le Cabinet doit consulter l’autorité de contrôle.

BriefUp notifie le Cabinet sous 24 heures après en avoir eu connaissance, par email aux administrateurs du Cabinet, avec :

• la nature de la violation et les données concernées ;
• les dossiers et le nombre approximatif de personnes touchés ;
• les conséquences probables ;
• les mesures prises ou proposées ;
• un point de contact.

Ces informations peuvent être communiquées de manière échelonnée si elles ne sont pas toutes disponibles en même temps. BriefUp documente chaque violation et tient cette documentation à la disposition du Cabinet.

À la fin de l’abonnement, le Cabinet dispose de 30 jours de lecture seule pour exporter ses dossiers — dossier par dossier, ou en un clic pour l’ensemble des dossiers de chaque avocat ; ses clients en perdent l’accès dès le début de cette période. Les membres en sont informés par email au début de la période, une semaine avant et la veille de la suppression.

À l’issue de ce délai, BriefUp supprime l’ensemble des données du Cabinet et de ses dossiers, et les comptes de ses membres avec eux. Les fichiers supprimés restent 90 jours au plus dans une corbeille technique du stockage, inaccessible depuis le service, avant leur effacement définitif ; les sauvegardes de la base de données s’effacent selon leur rotation de 30 jours.

BriefUp conserve ensuite, pendant trois ans et sans aucun contenu de dossier, le nom du Cabinet et son dernier plan, la date de suppression, le motif de résiliation s’il a été donné, la trace de la suppression de chaque compte, réduite à son identifiant technique, le journal des emails de fin de cabinet (destinataire, date, résultat) et le journal des événements reçus de Stripe (identifiants et types d’événements) ; les journaux d’accès sont conservés douze mois au plus à compter de leur création.

Sur demande écrite, BriefUp fournit une attestation de suppression.

BriefUp tient à la disposition du Cabinet toute information nécessaire pour démontrer le respect du présent accord.

Audit documentaire — sur simple demande, BriefUp communique la description de ses mesures de sécurité, la liste de ses sous-traitants, ses procédures et, le cas échéant, les rapports d’audit dont il dispose.

Audit technique — le Cabinet peut, une fois par an au maximum, avec un préavis de 30 jours, faire réaliser un audit par lui-même ou par un tiers indépendant tenu à la confidentialité. L’audit se déroule à distance ou dans un lieu convenu entre les parties, pendant les heures ouvrées, sans perturber le service ni compromettre les données des autres cabinets, et à la charge du Cabinet. En cas d’incident de sécurité avéré, un audit supplémentaire peut être demandé.

La responsabilité de BriefUp au titre du présent accord est soumise aux limitations de l’article 9 des CGU. Chaque partie répond des dommages causés par son propre manquement au RGPD.

Le présent accord s’applique pendant toute la durée de l’abonnement et jusqu’à la suppression complète des données. Il est modifié dans les mêmes conditions que les CGU : notification par email aux administrateurs du Cabinet 30 jours avant l’entrée en vigueur, et faculté de résiliation sans frais.

Voir l’article 1 ci-dessus.

Aucun de ces prestataires n’a accès au contenu déchiffré des dossiers à des fins autres que l’hébergement. Stripe n’est pas un sous-traitant ultérieur au sens du présent accord : il vend l’abonnement au Cabinet et traite les données de paiement pour son propre compte ; il figure ici pour information.

Chiffrement

• En transit : TLS sur toutes les connexions.
• Au repos : base de données chiffrée chez Scaleway ; pièces des dossiers chiffrées en AES-256 (chiffrement côté serveur, clés gérées par Scaleway, activé sur l’espace de stockage des dossiers).
• Non chiffrés au repos : les logos de cabinet et photos de profil, servis depuis un espace public à adresses non devinables ; les sauvegardes de la base, pour lesquelles Scaleway ne propose pas encore de chiffrement.
• Secrets de double authentification et codes de secours chiffrés en base.

Isolation des données

• Chaque cabinet ne voit que ses données, et chaque avocat que les dossiers dont il est titulaire et ceux auxquels un confrère l’a associé. La règle est appliquée par la base de données elle-même (row-level security), sur toutes les tables. Seul le serveur de l’application lit au-delà d’un cabinet, pour ses tâches techniques (notifications, facturation, maintenance) ; aucun utilisateur ne le peut.
• La base n’accepte de connexions que depuis les adresses de sortie de l’hébergeur de l’application et, le temps d’une opération de maintenance, depuis le poste de l’administrateur technique.
• Le rôle administrateur n’est pas présent dans l’environnement de l’application déployée.
• Les tables contenant les mots de passe hachés et les secrets de double authentification ne sont accessibles qu’au rôle de la couche d’authentification.

Authentification

• Mots de passe : 8 caractères minimum, une lettre et un chiffre, stockés hachés ; aucun service tiers n’intervient dans leur vérification.
• Double authentification disponible pour les membres, avec codes de secours chiffrés, verrouillage après dix échecs, alerte email en cas de désactivation, de régénération des codes ou d’usage d’un code de secours.
• Sessions de 7 jours glissants, cookies signés, httpOnly, Secure, SameSite, préfixe __Host-.
• Registre d’appareils et alerte email à toute connexion depuis un appareil inconnu, hors la première connexion d’un compte.
• Limitation de débit sur la connexion, l’inscription, la réinitialisation de mot de passe et l’acceptation d’invitation.
• Protection anti-robot sur les formulaires d’authentification.

Fichiers

• Type vérifié par lecture de la signature binaire, confrontée à l’extension déclarée.
• Taille réelle mesurée côté serveur, quota calculé sur elle.
• Empreinte SHA-256 calculée à l’envoi et revérifiée à l’export.
• Mise en quarantaine avant copie vers l’emplacement définitif.
• Consultation et téléchargement uniquement par lien signé valable cinq minutes ; à l’export, le serveur lit chaque pièce par un lien signé d’une minute.
• Aucune analyse de contenu, aucun OCR, aucune indexation, aucun aperçu généré côté serveur, aucun service tiers de conversion.

Journalisation

• Journal d’audit des écritures sur les dossiers, les demandes de pièces exceptées : auteur quand le geste vient d’un utilisateur, action, objet, dossier, horodatage, ainsi que le nom des fichiers, l’intitulé des dossiers et des rendez-vous et l’email des personnes invitées — jamais le texte d’un message ou d’une note, ni le motif d’un refus ; conservé avec le cabinet, les entrées dont un compte supprimé est l’auteur ou l’objet étant supprimées avec lui.
• Journal des accès du cabinet : exports, ouvertures et téléchargements de pièces, ouverture des fils de messages et des notes — conservé 12 mois. La consultation de son propre dossier par un client n’y figure pas.
• Journaux serveur de l’hébergeur — conservés 12 mois.

Sauvegardes

• Sauvegardes automatiques quotidiennes de la base de données, conservées 30 jours, chez Scaleway, en France.
• Corbeille technique des fichiers : un fichier supprimé reste 90 jours au plus dans le stockage d’objets, inaccessible depuis le service, avant effacement définitif.

Rapports d’erreur

• Aucune donnée directement identifiante transmise : compte utilisateur et adresse IP supprimés, chaînes de requête retirées des URL, requêtes reconstruites en liste blanche (méthode et chemin seulement), aucun enregistrement de session, aucune variable locale. Les chemins et les messages d’erreur peuvent porter des identifiants techniques de dossiers et de comptes, jamais de contenu. Les fonctions d’intelligence artificielle du prestataire sont désactivées.

Organisation

• Un seul administrateur technique.
• Notification de violation au Cabinet sous 24 heures.
• Suppression 30 jours après la fin de l’abonnement, effacement définitif des fichiers dans les 90 jours suivants, attestation sur demande.