1. Responsable du traitement
Le responsable du traitement des données personnelles est :
- ACCÈS LÉGAL (SAS, SIREN 105 799 100, siège : 5 rue Saint-Louis, 94410 Saint-Maurice)
- Contact : a.medina@acceslegal.fr
En l’absence de désignation obligatoire d’un Délégué à la Protection des Données (DPO), toute demande relative au traitement de vos données peut être adressée à l’adresse ci-dessus.
2. Données collectées
Nous collectons et traitons les catégories de données suivantes :
Données d’identification et de contact
- Nom, prénom, civilité,
- Adresse email (vérifiée par lien envoyé après inscription),
- Mot de passe (stocké sous forme hachée via Argon2id, non récupérable),
- Numéro de téléphone (facultatif).
Données professionnelles (selon votre profil)
- Type de profil (particulier, expert-comptable, avocat, autre),
- Raison sociale, SIREN/SIRET, adresse de facturation.
Données de commande
- Contenu des annonces légales rédigées (texte de l’annonce, données de la société concernée),
- Historique des commandes, factures, statuts (payée, publiée, certificat délivré),
- Données de paiement (non stockées chez nous) : Stripe traite directement les paiements et nous communique uniquement un identifiant de transaction.
Données techniques et de navigation
- Adresse IP (pour la sécurité et la prévention de la fraude),
- User-agent (type de navigateur),
- Logs d’erreur anonymisés (via Sentry, données PII filtrées).
Données liées aux formalités sur le Guichet Unique (si vous utilisez ce service)
- Les documents juridiques que vous téléversez (statuts, procès-verbaux, justificatifs) sont transmis pour analyse par l’intelligence artificielle de notre partenaire Le Guichet des Formalités, afin de pré-remplir automatiquement votre formalité auprès de l’INPI.
- Vos identifiants de connexion au Guichet Unique de l’INPI sont transmis directement et de façon sécurisée (HTTPS) à notre partenaire Le Guichet des Formalités, uniquement le temps de déposer votre dossier. Accès Légal ne conserve jamais ces identifiants : ils ne sont à aucun moment enregistrés dans nos bases de données.
3. Finalités du traitement et bases légales
| Finalité | Base légale (RGPD) |
|---|---|
| Création et gestion du compte utilisateur | Exécution du contrat (art. 6.1.b) |
| Traitement et suivi des commandes d’annonces | Exécution du contrat (art. 6.1.b) |
| Facturation et conservation des justificatifs comptables | Obligation légale — Code de commerce L123-22 (art. 6.1.c) |
| Envoi d’emails transactionnels | Exécution du contrat (art. 6.1.b) |
| Sécurité du service et prévention de la fraude | Intérêt légitime (art. 6.1.f) |
| Réponse aux demandes de contact | Intérêt légitime ou consentement (art. 6.1.f / 6.1.a) |
| Réalisation de formalités sur le Guichet Unique de l’INPI | Exécution du contrat (art. 6.1.b) |
4. Sous-traitants et destinataires
Vos données sont accessibles à nos sous-traitants techniques, qui agissent exclusivement sur instruction du responsable du traitement (article 28 RGPD).
| Sous-traitant | Rôle | Localisation |
|---|---|---|
| Vercel Inc. | Hébergement applicatif | USA (DPF certifié) |
| Supabase Inc. | Base de données Postgres | UE (Frankfurt) |
| Stripe Payments Europe Ltd. | Paiements sécurisés | UE (Irlande) |
| Resend Inc. | Envoi d’emails transactionnels | USA (DPF certifié) |
| Sentry Inc. | Supervision technique (logs anonymisés) | USA (DPF certifié) |
| Upstash Inc. | Rate limiting et files d’attente (Redis) | UE (Frankfurt) |
| Backblaze Inc. | Sauvegardes chiffrées (B2 Cloud Storage) | UE (Amsterdam) |
| Le Guichet des Formalités | Rédaction assistée par IA et publication dans les journaux habilités ; transmission des formalités au Guichet Unique de l’INPI | France |
Les transferts de données hors Union Européenne (vers les États-Unis) sont encadrés par le cadre EU-US Data Privacy Framework (DPF). Tous les sous-traitants américains listés ci-dessus sont certifiés DPF, ce qui garantit un niveau de protection équivalent à celui de l’UE.
5. Durées de conservation
| Catégorie de données | Durée |
|---|---|
| Compte utilisateur actif | Pendant toute la durée d’utilisation du compte |
| Compte supprimé (données anonymisées) | Suppression immédiate des données personnelles |
| Données de commande et factures | 10 ans (Code de commerce art. L123-22) |
| Logs techniques (Sentry, audit) | 90 jours |
| Messages de contact | 3 ans après le dernier échange |
| Sauvegardes chiffrées de la base | 4 semaines glissantes |
6. Vos droits
Conformément aux articles 15 à 22 du RGPD, vous disposez des droits suivants :
- Droit d’accès : obtenir la confirmation que vos données sont traitées et en recevoir une copie,
- Droit de rectification : corriger toute donnée inexacte ou incomplète,
- Droit à l’effacement (« droit à l’oubli ») : demander la suppression de votre compte. Les commandes et factures sont conservées 10 ans sous forme anonymisée pour respecter nos obligations comptables,
- Droit à la portabilité : récupérer vos données dans un format structuré, lisible par machine (export JSON disponible depuis votre espace),
- Droit d’opposition et droit à la limitation du traitement,
- Droit de retirer votre consentement à tout moment lorsque le traitement repose sur celui-ci,
- Droit de définir des directives post-mortem relatives au sort de vos données après votre décès.
Pour exercer ces droits, contactez-nous à a.medina@acceslegal.fr. Nous vous répondrons sous un mois (prolongeable à 3 mois en cas de demande complexe, article 12.3 RGPD).
En cas de réponse insatisfaisante, vous pouvez introduire une réclamation auprès de la CNIL (3 place de Fontenoy, 75007 Paris, www.cnil.fr).
7. Cookies et traceurs
En v1, Accès Légal n’utilise aucun cookie de mesure d’audience, de publicité ou de profilage. Seuls les cookies strictement nécessaires au fonctionnement du service sont utilisés (cookie de session Auth.js, cookies anti-fraude Stripe lors du paiement). Ces cookies ne nécessitent pas votre consentement préalable selon les recommandations de la CNIL.
Si un outil de mesure ou de publicité est ajouté ultérieurement, un bandeau de consentement granulaire sera mis en place et cette politique sera mise à jour.
8. Sécurité
Nos mesures techniques et organisationnelles incluent :
- Chiffrement TLS 1.3 pour tous les échanges entre votre navigateur et nos serveurs,
- Stockage des mots de passe en hash Argon2id (non réversible),
- Chiffrement au repos de la base de données chez Supabase,
- Sauvegardes chiffrées GPG hebdomadaires (rétention 4 semaines),
- Supervision Sentry avec filtrage automatique des données personnelles (PII scrubbing),
- Authentification forte 3D Secure pour tous les paiements,
- Rate limiting sur les endpoints sensibles (login, signup, reset password).
9. Notification de violation de données
En cas de violation de données susceptible d’engendrer un risque pour vos droits et libertés, nous nous engageons à notifier la CNIL sous 72 heures (article 33 RGPD) et à vous informer directement par email si le risque est élevé (article 34 RGPD).
10. Contact
Toute question concernant cette politique ou le traitement de vos données peut être adressée à a.medina@acceslegal.fr ou via notre formulaire de contact.