Politique de confidentialité – lazaregue-avocats.fr

1. Identité du responsable de traitement et coordonnées

Le responsable du traitement est l'avocat qui détermine les finalités et les moyens des traitements de données à caractère personnel mis en œuvre via le site lazaregue-avocats.fr. Au sens de l'article 4, 7) du RGPD, est « responsable du traitement » la personne physique ou morale qui, seule ou conjointement avec d'autres, détermine les finalités et les moyens du traitement.

En pratique, le cabinet Lazarègue Avocats, représenté par son représentant légal, agit comme responsable du traitement des données collectées via le site, même si des personnes physiques (collaborateurs, prestataires techniques) interviennent pour son compte.

Coordonnées de contact (données personnelles / RGPD) :

• Adresse postale : Lazarègue Avocats, 18 rue de Tilsitt, 75017 Paris
• Adresse électronique dédiée aux questions de protection des données : contact@lazaregue-avocats.fr

Le cabinet n'est pas soumis à l'obligation légale de désigner un délégué à la protection des données (DPO) au sens des articles 37 et suivants du RGPD, mais un interlocuteur unique est désigné pour toute question relative au traitement des données personnelles.

2. Cadre général : secret professionnel et articulation avec le RGPD

En tant qu'avocat, le cabinet est tenu au secret professionnel pour l'ensemble des informations confiées par ses clients ou recueillies à l'occasion de l'exécution de ses missions, y compris les données à caractère personnel contenues dans les documents transmis via le site.

Le RGPD reconnaît que des obligations de secret professionnel peuvent justifier des aménagements à certaines obligations d'information, notamment lorsque les données doivent rester confidentielles en vertu du droit de l'Union ou du droit national. Toutefois, cette confidentialité ne dispense pas le responsable du traitement :

• de respecter les principes de licéité, loyauté, transparence, limitation des finalités, minimisation des données, exactitude, limitation de la conservation, intégrité et confidentialité ;
• de mettre en œuvre des mesures techniques et organisationnelles appropriées conformément à l'article 24 du RGPD (« accountability »).

En conséquence, les traitements décrits ci-après sont mis en œuvre dans le respect concomitant des règles déontologiques et du secret professionnel de l'avocat, et du RGPD et de la loi Informatique et libertés (modifiée notamment par l'ordonnance n° 2018-1125 du 12 décembre 2018).

3. Description des traitements, finalités, bases légales et catégories de données

3.1. Service (1) – Analyseur IA d'originalité de la photographie reprochée

Fonctionnement : le visiteur téléverse la photographie objet de la mise en demeure ; l'image est transmise à une API d'intelligence artificielle (Anthropic), hébergée aux États-Unis, afin de réaliser une analyse d'originalité ; la photographie et le résultat d'analyse ne sont pas conservés au-delà de ce qui est strictement nécessaire à la fourniture du service.

Catégories de données

• Fichier image téléversé (photographie reprochée), pouvant contenir des données personnelles (visages, lieux identifiables, métadonnées EXIF, etc.) ;
• Données techniques de connexion nécessaires à l'appel de l'API (logs techniques pseudonymisés ou identifiants de requête).

Finalités

• Fournir un outil d'analyse technique d'originalité de la photographie en vue de l'évaluation juridique d'une réclamation de droits d'auteur ;
• Assurer le fonctionnement, la sécurité et la traçabilité technique du service (journalisation minimale des requêtes, lutte contre les abus).

Bases légales

• Exécution de mesures précontractuelles ou contractuelles (art. 6, §1, b) RGPD) : mise à disposition d'un service d'analyse demandé par l'utilisateur en vue de la potentielle conclusion d'un contrat d'assistance ou de représentation ;
• Intérêt légitime du cabinet (art. 6, §1, f) RGPD) : sécuriser le service, prévenir les abus, garantir l'intégrité du système d'information, et préparer la défense des intérêts des personnes qui sollicitent l'avocat.

Durée de conservation

• Fichier image : pas de conservation au-delà de la durée strictement nécessaire au traitement technique par l'API ; suppression automatique après traitement ;
• Logs techniques : conservation limitée à la sécurité et au bon fonctionnement du service, puis anonymisation ou suppression.

3.2. Service (2) – Devis instantané à partir de la mise en demeure

Fonctionnement : le visiteur téléverse la mise en demeure reçue (PDF, photo, scan) ; un outil d'IA extrait les principales informations (agence, nombre de photographies, montant réclamé) afin de générer un devis indicatif ; le document est supprimé après traitement.

Catégories de données

• Document téléversé, pouvant contenir : données d'identification de l'utilisateur, données d'identification de l'expéditeur (agence, avocat, société), données relatives au litige (références, URL, montants) ;
• Données techniques de connexion (logs restreints).

Finalités

• Fournir un devis instantané pour une intervention potentielle du cabinet ;
• Permettre au cabinet d'évaluer rapidement la situation juridique et de préparer une proposition d'assistance ou de représentation ;
• Assurer le fonctionnement et la sécurité du service.

Bases légales

• Exécution de mesures précontractuelles (art. 6, §1, b) RGPD) : traitement nécessaire à la fourniture d'un devis à la demande de la personne concernée ;
• Intérêt légitime (art. 6, §1, f) RGPD) pour la sécurisation technique du service et la lutte contre les abus.

Durée de conservation

• Document téléversé : suppression à l'issue du traitement technique, sauf si l'utilisateur décide ensuite de confier formellement son dossier au cabinet (les documents sont alors intégrés au dossier client et conservés selon les règles applicables aux dossiers d'avocat) ;
• Logs techniques : durée limitée, strictement nécessaire à la sécurité.

3.3. Service (3) – Formulaire d'assignation et contact (transmission par e-mail)

Fonctionnement : le visiteur peut transmettre un ou plusieurs documents (mise en demeure, échanges, pièces, captures), son adresse e-mail et son numéro de téléphone ; ces informations sont transmises au cabinet par e-mail et intégrées, le cas échéant, au dossier du client.

Catégories de données

• Données d'identification et de contact : nom, prénom, adresse e-mail, numéro de téléphone, éventuellement adresse postale ;
• Données relatives au litige et à la situation professionnelle ou personnelle (contenues dans les documents) ;
• Données concernant des tiers (adversaires, témoins, cocontractants, photographes, agences…) figurant dans les documents.

Finalités

• Répondre aux demandes de contact et de prise en charge de dossier ;
• Constituer et instruire les dossiers clients (conseil, pré-contentieux, contentieux, rédaction et suivi d'assignations) ;
• Communiquer avec le client (suivi du dossier, informations sur la procédure, échanges confidentiels).

Bases légales

• Exécution de mesures précontractuelles et contractuelles (art. 6, §1, b) RGPD) : traitement nécessaire à l'étude de la demande, à la conclusion et à l'exécution du contrat de mission d'avocat ;
• Intérêt légitime (art. 6, §1, f) RGPD) : organisation interne du cabinet, gestion des dossiers, défense des droits en justice, et traitement des données de tiers strictement nécessaire à la défense des intérêts du client dans le cadre du secret professionnel.

Durée de conservation

• Données de contact et de dossier : durée de la relation contractuelle, puis archivage pendant la durée nécessaire au respect des obligations légales et déontologiques de l'avocat (délais de prescription, règles d'archivage) ;
• Demandes sans suite : conservation limitée au temps nécessaire à l'étude de la situation et, le cas échéant, à la preuve de l'absence de conflit d'intérêts, puis suppression ou anonymisation.

3.4. Service (4) – Paiement en ligne via Stripe

Fonctionnement : le site propose le règlement en ligne des honoraires via la solution de paiement Stripe. Les données de carte bancaire sont traitées directement par Stripe et ne sont pas conservées par le cabinet.

Catégories de données

• Données d'identification et de contact du payeur (nom, prénom, e-mail, éventuellement adresse de facturation) ;
• Données de transaction : montant, date, référence de paiement, identifiant Stripe, état du paiement ;
• Données de carte bancaire : traitées par Stripe conformément à la norme PCI-DSS, non stockées par le cabinet.

Finalités

• Permettre le paiement en ligne des honoraires et frais ;
• Assurer la gestion comptable et fiscale du cabinet (facturation, justificatifs) ;
• Lutter contre la fraude au paiement et sécuriser les transactions.

Bases légales

• Exécution du contrat (art. 6, §1, b) RGPD) ;
• Respect d'obligations légales (art. 6, §1, c) RGPD) : obligations comptables et fiscales ;
• Intérêt légitime (art. 6, §1, f) RGPD) : prévention de la fraude, sécurité des paiements.

Durée de conservation

• Données de facturation et de paiement : durée légale applicable en matière comptable et fiscale ;
• Données de carte bancaire : gérées et conservées par Stripe selon ses propres politiques, sans conservation par le cabinet.

3.5. Hébergement, mesures d'audience, cookies et traceurs

Le site est hébergé par Vercel (infrastructure cloud) et peut utiliser des outils de mesure d'audience et des cookies pour assurer son fonctionnement et analyser sa fréquentation.

Données techniques d'hébergement

Logs de serveur (adresses IP, dates et heures de connexion, pages consultées, erreurs techniques, identifiants de requêtes), aux fins d'assurer la mise à disposition et la sécurité du site (détection d'anomalies, intrusions, abus). Base légale : intérêt légitime (art. 6, §1, f) RGPD). Conservation : durée strictement nécessaire à la sécurité et au diagnostic technique, puis anonymisation ou suppression.

Cookies et autres traceurs

Conformément aux exigences de la CNIL et aux directives européennes, le site peut mettre en œuvre différents types de cookies :

• Cookies strictement nécessaires au fonctionnement (session, sécurité, langue) — base : intérêt légitime, sans consentement préalable ;
• Cookies de mesure d'audience et autres cookies non strictement nécessaires — base : consentement de l'utilisateur (art. 6, §1, a) RGPD), recueilli via un bandeau/module de gestion des cookies ;
• Le cas échéant, cookies liés à des services tiers (paiement, scripts de sécurité).

L'utilisateur peut refuser les cookies non nécessaires ou retirer son consentement à tout moment via le module de gestion des cookies ou les paramètres de son navigateur. Les informations collectées via les cookies de mesure d'audience sont conservées pendant une durée proportionnée à la finalité, puis anonymisées ou supprimées.

4. Sous-traitants, responsables conjoints et transferts hors UE

4.1. Sous-traitants intervenant pour le compte du cabinet

Conformément à l'article 28 du RGPD, les prestataires qui traitent des données personnelles pour le compte du cabinet agissent en qualité de sous-traitants et doivent présenter des garanties suffisantes. Le cabinet conclut avec chacun un contrat définissant l'objet, la nature, la finalité, la durée du traitement, le type de données, les catégories de personnes concernées et les obligations du sous-traitant (confidentialité, sécurité, assistance, suppression ou restitution des données, audits, sous-traitance ultérieure).

À la date des présentes, les principaux sous-traitants sont notamment :

• Vercel — hébergement du site et des services associés ;
• Anthropic — API d'IA pour l'analyse d'images et de documents ;
• Stripe — traitement des paiements en ligne ;
• Resend — acheminement des e-mails ;
• Le cas échéant, un outil de mesure d'audience (analytics), soumis à consentement.

Ces sous-traitants sont tenus de ne traiter les données que sur instruction documentée du cabinet, d'en garantir la confidentialité, de mettre en œuvre des mesures de sécurité appropriées, d'assister le cabinet dans la gestion des demandes de droits et des incidents, et de supprimer ou restituer les données à l'issue de la prestation (sauf obligation légale de conservation).

4.2. Responsables de traitement conjoints

Dans certaines hypothèses (chaînes de traitement, intégration de services tiers), plusieurs acteurs peuvent déterminer conjointement les finalités et les moyens d'un même traitement et être qualifiés de « responsables conjoints » (art. 26 RGPD). Un accord définit alors de manière transparente leurs obligations respectives (exercice des droits, information, sécurité, notification des violations). Indépendamment de cet accord, la personne concernée peut exercer ses droits à l'égard de chacun des responsables.

4.3. Transferts de données hors de l'Union européenne

Certains sous-traitants (par exemple Anthropic, Stripe, ou certains services d'hébergement/analytics) peuvent être établis hors UE ou recourir à des ressources situées hors UE, notamment aux États-Unis. Le cabinet s'assure que ces transferts sont encadrés conformément aux articles 44 et suivants du RGPD, notamment par : une décision d'adéquation de la Commission européenne lorsqu'elle existe ; des clauses contractuelles types approuvées par la Commission, complétées le cas échéant par des mesures supplémentaires ; ou toute autre garantie appropriée prévue par le RGPD. Des informations complémentaires peuvent être obtenues auprès du cabinet (article 1).

5. Données concernant des tiers

Les documents transmis au cabinet (photographies, mises en demeure, courriels, contrats…) peuvent contenir des données relatives à des tiers : photographes, agences, sociétés de gestion, ayants droit, adversaires, cocontractants, prestataires, témoins, salariés, collaborateurs, etc.

Ces données sont traitées dans la seule mesure où elles sont nécessaires à l'analyse de la situation juridique, à la défense des intérêts du client ou à l'exécution de la mission d'avocat, et où leur traitement est compatible avec le secret professionnel et les règles déontologiques.

Le RGPD prévoit qu'une obligation d'information des personnes dont les données sont collectées indirectement peut faire l'objet d'une exception lorsque ces données doivent rester confidentielles en vertu d'une obligation de secret professionnel. Lorsqu'une telle information serait impossible, exigerait des efforts disproportionnés, ou entrerait en conflit avec le secret professionnel ou la stratégie de défense, le cabinet pourra se prévaloir de cette exception.

6. Mesures de sécurité

Conformément à l'article 24 du RGPD, le cabinet met en œuvre des mesures techniques et organisationnelles appropriées pour garantir un niveau de sécurité adapté au risque et démontrer la conformité de ses traitements :

• sécurisation des systèmes d'information et des accès (contrôle des droits, authentification, mises à jour, sauvegardes) ;
• confidentialité des données (secret professionnel, clauses de confidentialité, limitation des accès aux personnes habilitées) ;
• sécurisation des échanges (protocoles chiffrés, protection de la messagerie) ;
• sensibilisation des collaborateurs aux bonnes pratiques ;
• protection des données dès la conception et par défaut (« privacy by design / by default »).

Le fait de procéder à un traitement de données sans mettre en œuvre les mesures prescrites à l'article 24 du RGPD est sanctionné par l'article 226-17 du Code pénal. En raison de la sensibilité des informations qu'ils détiennent, les cabinets d'avocats accordent une attention renforcée à la sécurité de leurs systèmes d'information.

7. Droits des personnes concernées et modalités d'exercice

Toute personne concernée dispose, dans les conditions et limites prévues par le RGPD et la loi Informatique et libertés, des droits suivants :

• Droit d'accès aux données la concernant et aux informations afférentes ;
• Droit de rectification des données inexactes ou incomplètes ;
• Droit d'effacement (« droit à l'oubli »), sauf lorsque la conservation est nécessaire au respect d'une obligation légale ou à la constatation, l'exercice ou la défense de droits en justice ;
• Droit à la limitation du traitement ;
• Droit d'opposition, pour des raisons tenant à sa situation particulière, à un traitement fondé sur l'intérêt légitime ;
• Droit à la portabilité, lorsque le traitement est fondé sur le consentement ou l'exécution d'un contrat et réalisé par des procédés automatisés ;
• Droit de retirer son consentement à tout moment lorsque le traitement est fondé sur le consentement.

L'exercice de ces droits peut être restreint lorsqu'il porterait atteinte au secret professionnel de l'avocat, serait susceptible de compromettre la défense des droits du client ou la stratégie contentieuse, ou entrerait en conflit avec des obligations légales de conservation ou d'archivage.

7.1. Modalités d'exercice

Pour exercer ses droits, toute personne peut adresser une demande par courrier postal à Lazarègue Avocats, 18 rue de Tilsitt, 75017 Paris, ou par e-mail à contact@lazaregue-avocats.fr. La demande doit préciser l'identité du demandeur (justificatif si nécessaire), le droit exercé et toute information utile pour retrouver les données concernées.

Le cabinet répond dans les délais prévus par la réglementation, en tenant compte le cas échéant des limitations résultant du secret professionnel ou de la défense des droits en justice. La personne concernée dispose également du droit d'introduire une réclamation auprès de la CNIL (Commission nationale de l'informatique et des libertés).

8. Évolution de la politique de confidentialité

La présente politique peut évoluer, notamment en cas de modification des services, des textes applicables ou des recommandations des autorités de contrôle (CNIL, CEPD). Toute modification substantielle sera portée à la connaissance des utilisateurs par tout moyen approprié. Cette politique s'inscrit dans une démarche de responsabilisation (« accountability ») : le cabinet documente ses traitements, réexamine régulièrement ses mesures techniques et organisationnelles, et les actualise si nécessaire.