Politique de données personnelles relative à l’utilisation des fonctionnalités impliquant le traitement et le stockage de documents privés

Bonjour et bienvenue sur notre politique de données personnelles.

Ici, nous vous expliquons comment nous recueillons, utilisons, partageons, stockons et transférons vos informations dans le cadre de l'exploitation des sites Internet “doctrine.fr” (le “Site”) et les droits que vous avez sur les informations qui vous concernent.

Avant de commencer, précisons que les termes “nous” ou “Doctrine” font référence à la société Forseti SAS, en tant que sous-traitant de toutes les utilisations détaillées dans cette politique, immatriculée au RCS de Paris sous le n° 820 867 877, et dont le siège social est situé au 190, rue Championnet, 75018 Paris.

Le référent de l'organisme, auprès de qui vous pouvez exercer vos droits et à qui vous pouvez poser toute question, est Mme Maï Ton-That ; vous pouvez le contacter par email à l'adresse dpo@doctrine.fr. À l'inverse, le terme “vous” et ses dérivés font référence à vous, lecteur ou lectrice de cette politique de données personnelles.

Nous avons structuré la politique de données personnelles sous la forme de plusieurs questions que vous êtes susceptible de vous poser, comme suit :

1. Quelles informations recueillons-nous ? Comment les utilisons-nous et pourquoi ?

2. Partageons-nous des informations avec des tiers ou à l'étranger ?

3. Vos données sont-elles en sécurité ?

4. Quels sont vos droits sur vos informations ?

5. Comment exercer vos droits sur vos informations ?

6. Quand la politique de données personnelles est-elle entrée en vigueur ?

Cette politique de données personnelles s’adresse à vous si vous utilisez l’une des fonctionnalités impliquant un téléversement et le stockage de documents pour vous fournir le service : Flow, Chatbot Document, Extraire des informations.

Vous trouverez plus d’informations sur la sécurité des documents dans les FAQ suivantes :

FAQ sur la sécurité de vos documents

FAQ sur la sécurité du complément Microsoft Word

1. Quelles informations recueillons-nous ? Comment les utilisons-nous et pourquoi ?

Les fonctionnalités impliquant le téléversement et le stockage ou tout simplement le traitement des documents permettent de réaliser des tâches de recherche, d’extraction, d’analyse dans vos documents de travail. Ce traitement peut être effectué directement sur le site doctrine.fr ou directement dans votre espace de rédaction Microsoft Word si vous installez le complément.

1.1. Lorsque vous utilisez Doctrine directement sur le site

La fonctionnalité de Flow Litigate vous permet d'envoyer (“upload”) des documents, notamment des pièces à produire dans le cadre d’un contentieux, afin d’organiser et d’analyser un dossier en ordonnant automatiquement les pièces selon les dates inscrites et en générant une chronologie ainsi qu’un résumé des faits à partir de ces documents.
La fonctionnalité Flow Counsel vous permet de téléverser vos contrats sur Doctrine afin d’en faciliter l’analyse et la gestion. Flow Counsel peut générer automatiquement des analyses de vos documents clause par clause, permettant d’évaluer certains risques juridiques associés et d’identifier d’éventuelles incohérences de fond ou de forme. Flow Counsel crée également un clausier personnel en extrayant automatiquement les clauses contenues dans vos documents.
La fonctionnalité de Chatbot Documents vous permet de poser des questions en langage naturel sur la base de vos documents de travail afin d’obtenir une réponse structurée et sourcée avec les références afférentes.
La fonctionnalité d’extraction vous permet d’envoyer en quantité des documents afin d’extraire automatiquement les informations répondant à une requête utilisateur et les analyser selon une grille de lecture sous la forme d’un tableau généré.

Pour l’ensemble de ces fonctionnalités, vous ou l’organisation dans laquelle vous exercez agissez en tant que responsable de traitement.

Ces fonctionnalités nécessitent la collecte et le traitement de documents susceptibles de contenir des données personnelles, sans que Doctrine ne puisse préjuger de leur nature.

Les données d’usage, les fichiers transmis, les dossiers créés, ainsi que les extractions et analyses sont collectés et traités afin de fournir et assurer la continuité du service.

1.2. Lorsque vous utilisez le complément Microsoft Word

La fonctionnalité Flow Counsel fonctionne exactement de la même manière que ce soit sur doctrine.fr ou sur le complément Microsoft Word.

La fonctionnalité Flow Litigate permet de réutiliser les données extraites lors du téléversement des documents sur le site afin d’assister l’utilisateur dans la rédaction (insérer le résumé des faits généré, citer tout ou partie des pièces, insérer un bordereau, etc.). Dans ce cas, le document ouvert sur l’espace de rédaction n’est pas stocké par Doctrine. Seules les configurations de personnalisation sont stockées par Doctrine afin d’assurer la personnalisation de la rédaction et la continuité du service.

Les mesures de sécurité appliquées au complément Microsoft Word sont décrites dans la FAQ suivante : https://www.doctrine.fr/faq-securite-complement-word.

La collecte et le traitement de vos documents ont pour fondement légal la nécessité de cette collecte et de cette utilisation pour exécuter nos CGV (CGV), comprenant le contrat de sous-traitance entre le client et Doctrine.

Ces informations sont conservées jusqu’à ce que l’utilisateur supprime le(s) document(s) transmis, le dossier ou tout ou partie de son historique sur doctrine.fr ou directement sur le complément Microsoft Word. En tout état de cause, les documents et les données d’usage associées sont automatiquement supprimés dans les deux semaines de l’expiration ou de la résiliation de l’abonnement. Toute autre donnée d’usage est supprimée à la suppression manuelle du compte ou automatique du compte à compter d’un an d’inactivité.

Afin de corriger les erreurs qui seraient susceptibles d’impacter le fonctionnement des services, seules les personnes autorisées pourront y accéder et pour une durée limitée au strict nécessaire, telles que prévues dans les CGV (CGV). Ce traitement est nécessaire à la continuité des services et l’exécution du contrat qui nous lie à votre Organisation (CGV, contrat de sous-traitance en annexe).

Avec le consentement de votre Organisation, certains membres des équipes Engineering et Produit de Doctrine sont également susceptibles d’accéder aux documents téléversés à des fins d’amélioration du produit. Dans ce cas, Doctrine procède donc à un traitement ultérieur. Plusieurs garanties ont été mises en place :

Seules les personnes en charge de l’amélioration pourront y accéder.
L’accès à ces documents est pseudonymisé, en ce qu’ils ne sont rattachables ni à vous ni à votre Organisation.
L’accès à vos documents n’est autorisé que pour la durée nécessaire à l’amélioration des services. Les documents sont immédiatement supprimés, dès l’amélioration des services effectuée.

La collecte et l'utilisation de ces informations ont pour fondement légal le consentement de votre organisation (en tant que responsable de traitement initial), exprimé par le clic sur le bouton "J’active l’amélioration des services" dans les paramètres du compte. Vous pouvez à tout moment retirer votre consentement en cliquant sur le bouton dédié.

2. Partageons-nous des informations avec des tiers ou à l'étranger ?

Nous ne collectons et n'utilisons les données mentionnées à la première question que pour répondre au contrat de sous-traitance qui nous lie à nos clients et ne les revendons en aucun cas à des tiers.

Elles ne sont transférées qu'aux prestataires listés ci-dessous, dont les services sont utilisés pour fournir les nôtres. Nous avons conclu des contrats de traitement de données personnelles avec chacun de ces prestataires. Certains d'entre eux sont situés hors de l'EEE, et nous nous sommes alors assurés qu'ils présentent des garanties suffisantes pour les transferts (notamment la signature des clauses contractuelles types de la Commission européenne). À la suite de l'invalidation du Privacy Shield par la décision n° C-311/18 du 16 juillet 2020 de la Cour de justice de l'Union européenne, la Commission européenne a adopté, le 10 juillet 2023, une nouvelle décision d'adéquation instaurant le cadre de protection des données UE–États-Unis (« EU-US Data Privacy Framework » ou « DPF »). Les transferts effectués vers nos prestataires établis aux États-Unis et certifiés au titre du DPF bénéficient ainsi d'un niveau de protection reconnu comme adéquat par la Commission. Pour les prestataires établis aux États-Unis qui ne sont pas certifiés au titre du DPF, les transferts reposent sur les clauses contractuelles types, assorties le cas échéant de mesures supplémentaires appréciées en fonction de la nature de chaque traitement. Lorsque les Clauses contractuelles types ont été signées, vous disposez du droit de nous en demander une copie. Vous trouverez ci-dessous la liste des prestataires de Doctrine, leur localisation, et les garanties appropriées adoptées, le cas échéant.

Hébergement

AWS Francfort : Hébergement du site - Prestataire situé en Allemagne

Utilité produit

AWS : Hébergement des modèles de Machine Learning personnalisés et des modèles d'IA générative (Anthropic) - Europe.
Google Cloud (Vision) : Traitements de données - Europe et certifié Data Privacy Framework. Les clauses contractuelles types de la Commission européenne ont été signées.
Microsoft Azure (OpenAI et Document intelligence) : Hébergement des modèles d’OpenAI et océrisation - Déployé en Europe.
Google Cloud (Gemini) : Modèle d’IA générative - Déployé en Europe.

3. Vos données sont-elles en sécurité ?

Nous mettons en œuvre des mesures techniques et organisationnelles correspondant au plus haut niveau de l’état de l’art en matière de cybersécurité. Ces mesures ont été développées en consultant le vade-mecum de la déontologie d’avocat du barreau de Paris ainsi que le Guide de l’avocat numérique et le Guide de sécurité de l’information pour les avocats du CNB et les Lignes directrices du Conseil des barreaux européens sur l’usage des services d’informatique en nuage par les avocats. Elles sont également conformes aux recommandations émises par l’ANSSI dans le cadre du rapport précité.

Avant toute chose, il convient de noter que Doctrine est certifiée ISO 27001. Nous bénéficions par ailleurs de l’accompagnement renforcé de la CNIL pour le développement de nos fonctionnalités d’IA générative juridique :

Accompagnement renforcé : la CNIL guidera quatre entreprises pendant six mois

Nous sommes obligés de stocker vos documents pour vous fournir les services. Ce stockage est effectué sur nos serveurs AWS situés à Francfort, dans l’Union européenne. Ces serveurs répondent aux plus hautes garanties de sécurité physique et logicielle : notre prestataire est certifié ISO/IEC 27001:2022, 27017:2015, 27018:2019, 27701:2019, 22301:2019, 20000-1:2018, 9001:2015 et CSA STAR CCM v4.0. Les fichiers et données sont stockés par utilisateur, de manière pseudonymisée : vos données ne sont pas rattachées à une organisation et il n’y a pas de lien direct entre votre identité et une donnée ou un fichier. Nous avons par ailleurs déployé un chiffrement systématique de chaque fichier stocké sur ces serveurs avec l’algorithme AES-256, l'un des algorithmes de chiffrement les plus robustes qui soient, et n’autorisons que les connexions sécurisées en HTTPS afin que les communications soient elles-mêmes chiffrées.

Afin d’assurer une haute confidentialité des fichiers stockés, nous avons mis en place des mesures d’authentification renforcée afin de restreindre l’accès aux documents aux seuls utilisateurs authentifiés et autorisés par le biais de cookies purement techniques (CloudFront).

Vos documents ne sont envoyés qu’à deux autres prestataires, en sus de notre hébergeur AWS : Google Cloud (Vision et Gemini) Europe et Microsoft Azure Europe (qui nous fournit les modèles d’IA générative d’OpenAI). Dans ces cas, le document n'est stocké que pour la durée nécessaire pour le retour de notre prestataire et n'est pas conservé par ce dernier : il est immédiatement supprimé. Nous avons par ailleurs donné comme instruction à Google et Microsoft de ne pas conserver les documents.

Nous garantissons qu'aucun salarié de Doctrine ne peut avoir accès aux fichiers et que ces derniers ne sont transmis à aucun tiers hormis nos sous-traitants sécurisés nécessaires pour la réalisation de cette prestation. Nos développeurs dédiés à ces services peuvent accéder aux fichiers et dossiers que vous nous transmettez et dont le traitement a abouti à une erreur, aux seules fins de correction de cette erreur, ou aux seules fins de comprendre l’usage et la pertinence du produit. Vos documents et données ne sont jamais utilisés pour entraîner nos algorithmes ou nos modèles d’intelligence artificielle. Vous pouvez nous notifier votre refus de ces accès par email à dpo@doctrine.fr. Dans tous les cas, l’utilisation du fichier est strictement limitée à ces personnes autorisées et à la correction d’erreurs et la compréhension de l’usage du produit.

Les documents sont traités conformément à notre code de bonne conduite et notre code de conduite sur l’IA générative.

4. Quels sont vos droits sur vos informations ?

La réglementation sur les données personnelles vous confère les droits suivants :

4.a. Le droit d'accéder à vos données ;

4.b. Le droit à la portabilité de vos données ;

4.c. Le droit de rectifier d'éventuelles erreurs ;

4.d. Le droit à l'effacement, sous certaines conditions ;

4.e. Le droit de vous opposer au traitement, sous certaines conditions ;

4.f. Le droit à la limitation du traitement ;

4.g. Le droit de décider ce que nous ferons de vos données en cas de décès ;

4.h. Le droit au retrait du consentement ;

4.i. Le droit à un recours devant la CNIL ou en justice.

4.a. Droit d'accès (article 15 du RGPD)

Vous pouvez avoir accès à toutes les informations vous concernant que nous utilisons en nous adressant une demande, à laquelle nous répondrons en vous fournissant une copie de toutes vos données à caractère personnel ainsi que toutes les informations légalement requises, en ce compris :

Les types d'informations recueillies et utilisées ;
Les objectifs de cette utilisation ;
Les catégories des destinataires auxquels les informations vous concernant ont été communiquées ou sont susceptibles d'être communiquées ;
La durée de conservation des informations vous concernant ; et
Des informations concernant vos droits à l'égard de vos données à caractère personnel.

4.b. Droit à la portabilité (article 20 du RGPD)

Lorsque nous utilisons vos informations sur la base de votre consentement ou parce qu'elles sont nécessaires à l'exécution d'un contrat, vous disposez du droit à la portabilité de vos informations. Ce droit se distingue du droit d'accès aux informations dans la mesure où (i) il ne concerne que les données que vous nous avez fournies (à l'exclusion, notamment, des statistiques agrégées réalisées sur la base de ces données et des données que nous avons collectées par nous-mêmes) et (ii) il permet d'obtenir ces données dans un format structuré et lisible par machine.

Contrairement au droit d'accès, le droit à la portabilité des informations n'impose pas que le fichier transmis et contenant vos informations soit lisible par l'homme. Ce fichier ne contiendra stricto sensu que vos données à caractère personnel sans autre information quelle qu'elle soit.

Le droit à la portabilité de vos données à caractère personnel ouvre également la possibilité qu'elles soient transmises à un autre responsable de traitement, dans le respect de vos choix, sous réserve que cela soit techniquement possible.

4.c. Droit de rectification (article 16 du RGPD)

Vous pouvez demander à corriger, compléter ou actualiser les informations vous concernant si celles-ci se révèlent inexactes, incomplètes ou obsolètes. Cette demande devra être justifiée.

4.d. Droit à l'effacement (article 17 du RGPD)

Vous pouvez demander à ce que les informations vous concernant soient supprimées si l'un des cas suivants s'applique :

si vos informations personnelles ne sont plus nécessaires au regard des finalités pour lesquelles elles ont été collectées ou sont traitées ;
si vous avez retiré votre consentement à l'utilisation des informations vous concernant, sous réserve que le consentement préalable ait été la base légale de leur collecte et leur utilisation et qu'il n'existe pas d'autre base légale les justifiant ;
si vous vous êtes opposé à la collecte ou à l'utilisation des informations vous concernant et que nous n'avons pas fait échec à cette demande, comme précisé dans la rubrique « Droit d'opposition » ;
si l'utilisation des informations vous concernant est illégale,
si nous devons supprimer vos informations pour nous conformer à une obligation légale mise à notre charge ou
si vous étiez mineur au moment de la collecte de vos informations. Pour ce dernier cas de figure, et sous réserve que vous soyez mineur au moment de la demande, les titulaires de l'exercice de l'autorité parentale peuvent également formuler une demande de suppression de vos données à caractère personnel.

4.e. Droit d'opposition (article 21 du RGPD)

Vous pouvez vous opposer à l'utilisation de vos informations si les deux conditions suivantes sont réunies : (i) vous justifiez de raisons tenant à votre situation particulière et (ii) la base légale de notre utilisation est la poursuite d'un intérêt légitime.

Nous pouvons faire échec à votre opposition en démontrant qu'il existe des motifs légitimes et impérieux pour le traitement qui prévalent sur vos intérêts et droits et libertés, ou pour la constatation, l'exercice ou la défense de droits en justice.

Vous pouvez également toujours vous opposer, sans obligation de motif, à l'utilisation de vos informations personnelles à des fins de prospection envers vous.

4.f. Droit à la limitation du traitement (article 18 du RGPD)

Vous pouvez demander la limitation de l'utilisation des informations vous concernant :

dans l'hypothèse où vous contesteriez l'exactitude des informations vous concernant, et ce pour la durée nécessaire pour nous permettre de les vérifier,
si l'utilisation des informations vous concernant est illicite et que vous souhaitez la limiter plutôt que de demander la suppression de ces dernières,
si vous souhaitez que nous conservions vos informations lorsque celles-ci sont nécessaires à la constatation, l'exercice ou la défense de vos droits en justice,
si vous vous êtes opposé à l'utilisation des informations vous concernant, pendant la période au cours de laquelle nous vérifions si nous n'avons pas d'autres motifs légitimes prépondérants pour poursuivre leur utilisation.

4.g. Droit de définir des directives relatives au sort des données après votre mort (Article 85 de la loi informatique et libertés)

Vous pouvez nous indiquer des directives concernant les modalités de conservation, d'effacement et de communication des informations vous concernant à intervenir après votre décès.

4.h. Droit au retrait du consentement (article 7 du RGPD)

Pour toutes les utilisations, parmi celles précédentes, ayant pour fondement légal votre consentement, vous disposez du droit de retirer ce consentement à tout moment, sans avoir à vous en justifier auprès de nous.

4.i. Droit à un recours

En cas de besoin et si un éventuel litige n'aboutissait pas à une résolution amiable, vous disposez toujours de la faculté de vous rapprocher de l'autorité de protection des données à caractère personnel compétente pour introduire une réclamation (en France, la CNIL, dont le site internet est accessible en cliquant ici).

Vous pouvez également toujours, et ce sans préalablement saisir la CNIL, introduire une action devant le juge compétent.

5. Comment exercer vos droits sur vos informations ?

Dans l'hypothèse où vous auriez une quelconque question relative à la présente politique de données personnelles ou souhaiteriez exercer l'un des droits précités, vous êtes invité à envoyer un courrier électronique à l'adresse suivante : dpo@doctrine.fr.

Conformément à l'article 12 du RGPD, nous sommes susceptibles de vous demander des informations supplémentaires nécessaires pour confirmer votre identité en cas de doute sur celle-ci. Nous mettons en œuvre nos meilleurs efforts pour vous répondre le plus rapidement possible, et en tout état de cause, dans le respect du délai légal d'un mois.

6. Quand la politique de données personnelles est-elle entrée en vigueur ?

Cette version de la politique de données personnelles est entrée en vigueur le 30 octobre 2025.