Confidentialité & RGPD

Streya traite des données personnelles particulièrement sensibles (informations couvertes par le secret professionnel de l'avocat, art. 66-5 de la loi n°71-1130 du 31 décembre 1971, ainsi que des données pouvant relever de l'article 9 du RGPD dans le cadre du droit de la famille). La présente politique détaille comment ces données sont collectées, traitées, stockées et protégées.

1. Responsable du traitement

Le responsable du traitement est NL PROJECT, entreprise individuelle.

• SIREN : 999 058 753
• SIRET (siège) : 999 058 753 00016
• Contact RGPD : contact@streya.fr

En l'absence de désignation d'un DPO (non obligatoire pour la structure actuelle), les demandes liées à vos données peuvent être adressées directement au responsable de traitement à l'adresse de contact ci-dessus.

2. Finalités du traitement

Vos données sont traitées exclusivement pour les finalités suivantes :

• Génération assistée par intelligence artificielle d'actes juridiques (assignations, conclusions, conventions, dires) à partir des pièces que vous importez ;
• Recherche sémantique (RAG) sur vos modèles cabinet et sur les sources jurisprudentielles publiques (Légifrance, Judilibre, HUDOC, EUR-Lex) ;
• Sauvegarde sécurisée de vos dossiers, pièces, documents et configurations cabinet ;
• Fourniture d'un journal d'audit RGPD inaltérable (traçabilité des accès) ;
• Gestion de votre abonnement (facturation, accès au service) ;
• Amélioration du service : statistiques agrégées et anonymisées uniquement (jamais sur le contenu de vos dossiers).

3. Base légale

• Exécution du contrat (art. 6.1.b RGPD) pour la fourniture du Service et la gestion de l'abonnement ;
• Obligations légales (art. 6.1.c RGPD) pour la conservation des factures (10 ans, art. L.123-22 du Code de commerce) et l'audit RGPD ;
• Intérêt légitime (art. 6.1.f RGPD) pour les statistiques agrégées et la sécurité technique.

4. Catégories de données traitées

Données de compte : email, mot de passe (haché bcrypt), informations cabinet (nom, adresse, barreau, RPVA), préférences.

Données de dossier : pièces uploadées (PDF, images, audios), informations sur les parties au procès, faits du dossier, documents générés, métadonnées de traitement.

Données sensibles (art. 9 RGPD) : dans le cadre des dossiers de famille, les pièces peuvent contenir des données relatives à la santé, à la vie sexuelle, aux opinions politiques ou religieuses, à l'origine raciale ou ethnique. Ces données sont traitées sur le fondement de l'article 9.2.f RGPD (constatation, exercice ou défense d'un droit en justice).

Données de paiement : traitées exclusivement par Stripe (cf. section 5). Streya ne stocke ni numéro de carte ni cryptogramme.

Journaux techniques: adresse IP, user-agent, horodatage des connexions et accès aux pièces (pour le journal d'audit RGPD).

5. Sous-traitants et destinataires

Streya fait appel aux sous-traitants suivants, tous couverts par des accords de protection des données (DPA) :

• Supabase Inc. (hébergement de la base de données et stockage des fichiers) — région EU West (Francfort, Allemagne). Toutes les données structurées et fichiers uploadés sont stockés en Europe. Garanties RGPD : DPA standard, chiffrement TLS en transit et au repos.
• Vercel Inc. (hébergement applicatif) — déploiement sur infrastructure européenne (région Paris). Les requêtes HTTP transitent par les edges Vercel. DPA conforme RGPD signé.
• Anthropic PBC (génération IA Claude) — siège aux États-Unis. Engagement contractuel de non-utilisation de vos prompts pour entraîner les modèles. Transfert hors UE couvert par les Clauses Contractuelles Types (CCT) de la Commission européenne.
• OpenAI L.L.C. (embeddings vectoriels et transcription audio Whisper) — siège aux États-Unis. Données utilisées uniquement pour la requête instantanée, aucune persistance côté OpenAI. CCT en place.
• Stripe Payments Europe Ltd. (traitement des paiements) — siège en Irlande (UE). Aucune donnée bancaire ne transite ou n'est stockée par Streya. Stripe est certifié PCI-DSS niveau 1.

Un DPA complet listant tous les sous-traitants est disponible sur simple demande à contact@streya.fr.

6. Transferts hors Union européenne

Le stockage de vos données (Supabase EU West, Vercel EU) reste en Union européenne. Les traitements par les modèles d'IA (Anthropic, OpenAI) impliquent un transfert temporaire des prompts vers les États-Unis, couvert par les Clauses Contractuelles Types adoptées par la Commission européenne (Décision 2021/914).

Pour les dossiers les plus sensibles, le Mode Confidentielde Streya pseudonymise automatiquement les données nominatives (noms, adresses, IBAN) avant tout envoi à l'IA. La table de correspondance (token ↔ vraie valeur) n'est jamais persistée en base et est détruite à la fin de chaque requête.

7. Durées de conservation

• Données de compte: pendant toute la durée de l'abonnement + 30 jours après résiliation (délai pour export de vos données).
• Dossiers et pièces: tant que l'abonnement est actif et que vous ne les supprimez pas manuellement. Suppression définitive sous 30 jours après résiliation de l'abonnement.
• Journaux d'audit : 12 mois minimum (recommandation CNIL), 3 ans maximum.
• Factures et comptabilité : 10 ans (obligation légale, art. L.123-22 Code de commerce).
• Cookies techniques : 13 mois maximum (recommandation CNIL).

8. Mesures de sécurité

Streya met en œuvre les mesures techniques et organisationnelles suivantes :

• Chiffrement TLS 1.3 en transit, AES-256 au repos (Supabase) ;
• Isolation stricte multi-tenant par Row Level Security (RLS) PostgreSQL : un cabinet ne peut techniquement pas accéder aux données d'un autre cabinet ;
• Authentification par mot de passe haché (bcrypt) ou OAuth Google ;
• Hard cap des consommations IA (anti-abus) et rate limiting horaire sur toutes les routes sensibles ;
• Journal d'audit inaltérable de tous les accès aux pièces et documents ;
• Sauvegardes automatiques quotidiennes (Supabase point-in-time recovery sur 7 jours) ;
• Tests de pénétration internes et revue de sécurité du code avant chaque mise en production.

Pour les détails techniques, consultez la page Sécurité.

9. Vos droits

Conformément au RGPD, vous disposez des droits suivants sur vos données personnelles :

• Droit d'accès (art. 15) : obtenir une copie de vos données ;
• Droit de rectification (art. 16) : corriger des données inexactes ;
• Droit à l'effacement (art. 17) : supprimer vos données (sous réserve des obligations légales de conservation) ;
• Droit à la limitation (art. 18) ;
• Droit à la portabilité (art. 20) : récupérer vos données dans un format structuré ;
• Droit d'opposition (art. 21) ;
• Droit de définir des directives post-mortem (art. 85 loi Informatique et Libertés).

Pour exercer vos droits : contact@streya.fr. Une réponse vous sera apportée dans un délai d'un mois (art. 12.3 RGPD), prolongeable de deux mois en cas de complexité.

En cas de désaccord, vous pouvez introduire une réclamation auprès de la CNIL (Commission Nationale de l'Informatique et des Libertés).

Important — limitation liée au secret professionnel : dans le cadre où vous traitez des données de vos propres clients (parties au procès), c'est vous(l'avocat) qui êtes responsable de traitement vis-à-vis de ces personnes, et Streya agit comme sous-traitant. Les demandes RGPD de vos clients doivent vous être adressées directement.

10. Cookies

Streya utilise uniquement des cookies strictement nécessaires au fonctionnement du Service (authentification, préférences UI, sécurité CSRF). Ces cookies sont dispensés de consentement (art. 82 loi Informatique et Libertés). Aucun cookie tiers de tracking publicitaire ou analytique n'est utilisé.

11. Données stockées localement

Certaines préférences (instructions cabinet permanentes, choix d'interface) peuvent être conservées dans le stockage local du navigateur (localStorage). Ces données ne quittent pas votre appareil et peuvent être effacées à tout moment via les paramètres du navigateur ou les fonctions de l'application.

12. Modification de la politique

Cette politique peut être modifiée pour refléter les évolutions du Service ou de la réglementation. Toute modification substantielle sera notifiée par email aux utilisateurs actifs, avec un préavis d'au moins 30 jours.