SedLex

Accord de sous-traitance des données personnelles

Article 28 du règlement (UE) 2016/679 (RGPD). Ce que SedLex traite pour le compte de votre cabinet, comment, et avec quelles garanties.

Dernière mise à jour : 26 septembre 2026

1. Parties et objet

Le présent accord est conclu entre le cabinet qui souscrit au service SedLex (le « responsable du traitement ») et Julie Zaneboni, entrepreneur individuel, SIREN 841 345 127, 1730 Strada di l’Acqua Acitosa, 20243 Serra-di-Fiumorbo, France, éditrice du service SedLex (le « sous-traitant »).

Il complète les conditions générales du 26 septembre 2026 et il est accepté en même temps qu’elles, au moment de la commande. En cas de contradiction sur la protection des données personnelles, le présent accord prévaut.

Il couvre uniquement les traitements que SedLex effectue pour le compte du cabinet. Les traitements dont SedLex est lui-même responsable (gestion des comptes, sécurité des accès, facturation, journal technique) sont décrits dans la politique de confidentialité.

2. Description des traitements

• Nature et finalité : recevoir les requêtes de recherche que l’assistant du cabinet transmet aux outils SedLex ; interroger les sources officielles et le moteur de recherche SedLex ; restituer les résultats à l’assistant. Pour la recherche par le sens, calculer la représentation vectorielle du texte de la requête. Conserver, sous forme chiffrée, les identifiants délivrés au cabinet par les plateformes officielles (notamment PISTE) et les utiliser pour interroger ces plateformes en son nom.
• Données : le contenu des paramètres de recherche transmis par l’assistant, et les identifiants des plateformes officielles du cabinet. Le cabinet s’engage à ne pas inclure dans ses recherches l’identité de ses clients, des informations couvertes par le secret professionnel ou des pièces de dossier (article 7 des conditions générales). Si des données personnelles y figurent malgré tout, elles sont traitées dans les conditions du présent accord.
• Personnes concernées : les personnes éventuellement mentionnées dans les paramètres de recherche, et les membres du cabinet auxquels les identifiants officiels se rattachent.
• Durée : le traitement des requêtes est transitoire. Leur contenu n’est ni enregistré dans le journal technique, ni conservé après la restitution des résultats. Les identifiants officiels sont conservés pendant la durée de l’abonnement, puis effacés dans les conditions de l’article 9.

3. Instructions du cabinet

Le sous-traitant traite les données uniquement sur instruction documentée du cabinet. Ces instructions sont constituées par les conditions générales, le présent accord et les réglages effectués dans l’espace cabinet. Le sous-traitant n’utilise pas les données à d’autres fins, notamment pas pour entraîner des modèles, établir des statistiques d’usage nominatives ou les commercialiser.

Si une instruction lui paraît contraire au RGPD ou au droit de la protection des données, le sous-traitant en informe immédiatement le cabinet. Si le droit de l’Union ou d’un État membre lui impose un traitement non prévu, il en informe le cabinet avant de le réaliser, sauf interdiction légale.

4. Confidentialité

Les personnes autorisées à accéder aux données pour le compte du sous-traitant sont en nombre limité, soumises à une obligation de confidentialité et n’y accèdent que dans la mesure nécessaire à l’exploitation, au support ou à la sécurité du service.

5. Sécurité

Le sous-traitant met en œuvre les mesures techniques et organisationnelles appropriées prévues à l’article 32 du RGPD, notamment :

• le chiffrement des échanges entre l’assistant, SedLex et les sources (TLS) ;
• le chiffrement au repos des identifiants officiels du cabinet ;
• l’authentification des postes et des assistants par jetons révocables, dont le cabinet peut retirer l’accès à tout moment depuis son espace ;
• un journal technique qui ne contient jamais le texte des recherches ;
• des accès d’administration restreints et nominatifs ;
• des sauvegardes régulières, dont une copie est conservée sur un serveur distinct ;
• la surveillance du service et des alertes d’exploitation.

Ces mesures sont réexaminées au regard de l’évolution des risques et de l’état de l’art.

6. Sous-traitants ultérieurs

Le cabinet autorise de manière générale le recours aux sous-traitants ultérieurs suivants :

• OVH SAS (France) : hébergement des serveurs et des sauvegardes, dans l’Union européenne ;
• Voyage AI (États-Unis) : calcul de la représentation vectorielle du texte des requêtes. Voyage AI ne reçoit ni l’identité du cabinet, ni celle de l’utilisateur, et la conservation des requêtes est désactivée. Le transfert hors de l’Union européenne repose sur les garanties prévues au chapitre V du RGPD, dans les conditions de traitement des données de ce prestataire.

Le sous-traitant impose à chacun, par contrat, des obligations de protection des données équivalentes à celles du présent accord, et reste responsable envers le cabinet de leur respect. Il informe le cabinet, par courriel à l’administrateur, de tout ajout ou remplacement au moins trente jours à l’avance. Le cabinet peut s’y opposer pour un motif légitime tenant à la protection des données ; à défaut de solution, il peut résilier l’abonnement sans frais avant la prise d’effet du changement.

Ne sont pas des sous-traitants de SedLex : les plateformes officielles interrogées (Légifrance et Judilibre via PISTE, Journal officiel, BOAMP, registre national des entreprises, EUR-Lex, TED), qui reçoivent les requêtes et appliquent leurs propres règles ; l’éditeur de l’assistant utilisé par le cabinet (Anthropic, OpenAI ou autre), avec lequel le cabinet contracte directement.

7. Droits des personnes concernées

Le sous-traitant aide le cabinet, dans la mesure du possible, à répondre aux demandes d’exercice des droits des personnes concernées. S’il reçoit directement une telle demande relative aux traitements couverts par le présent accord, il la transmet au cabinet sans délai et n’y répond pas sans son instruction.

8. Violation de données

Le sous-traitant notifie au cabinet toute violation de données personnelles dans les meilleurs délais, et au plus tard quarante-huit heures après en avoir pris connaissance. La notification précise, dans la mesure où ces informations sont disponibles, la nature de la violation, les catégories et le nombre approximatif de personnes et d’enregistrements concernés, les conséquences probables et les mesures prises ou envisagées. Le sous-traitant aide le cabinet à satisfaire à ses propres obligations de notification à l’autorité de contrôle et d’information des personnes.

9. Sort des données en fin de contrat

Le contenu des requêtes n’étant pas conservé, il n’y a pas de données de recherche à restituer. À la suppression du cabinet, les identifiants officiels et les données du compte sont effacés à l’issue du délai de trente jours prévu à l’article 9 des conditions générales, sauf obligation légale de conservation. Les copies de sauvegarde sont effacées au terme de leur cycle de rotation, qui n’excède pas quatre-vingt-dix jours. Sur demande, le sous-traitant confirme l’effacement par écrit.

10. Assistance, documentation et audit

Le sous-traitant aide le cabinet, en fonction des informations dont il dispose, à réaliser une analyse d’impact relative à la protection des données et, le cas échéant, à consulter l’autorité de contrôle. Il tient un registre des traitements effectués pour le compte de ses clients (article 30, paragraphe 2, du RGPD).

Il met à la disposition du cabinet les informations nécessaires pour démontrer le respect du présent accord. Il permet la réalisation d’audits, y compris d’inspections, par le cabinet ou un auditeur mandaté par lui, soumis à une obligation de confidentialité et non concurrent de SedLex. Sauf en cas de violation de données, un audit est annoncé au moins trente jours à l’avance, se limite à une fois par an et se déroule aux frais du cabinet, sans perturber l’exploitation du service ni compromettre la sécurité ou la confidentialité des données des autres clients.

11. Secret professionnel

Le service n’a pas vocation à recevoir d’informations couvertes par le secret professionnel de l’avocat. Si de telles informations lui étaient néanmoins transmises, le sous-traitant s’engage à ne pas en prendre connaissance au-delà de ce qu’exige le fonctionnement technique du service, à ne pas les conserver et à ne pas les communiquer à des tiers autres que les sous-traitants ultérieurs mentionnés à l’article 6.

12. Durée et contact

Le présent accord s’applique pendant toute la durée de l’abonnement, puis jusqu’à l’effacement des données dans les conditions de l’article 9. Il est soumis au droit français.

Le sous-traitant n’a pas désigné de délégué à la protection des données. Pour toute question relative au présent accord : chap@alt155.com.