Accord de sous-traitance

Article 28 du Règlement (UE) 2016/679 (RGPD)

Version 1.0, en vigueur depuis le 15 juillet 2026.

Pourquoi cette page existe

Lorsqu’un avocat dépose un dossier dans Lexium, il reste responsable de traitement à l’égard de son client, et Lexium devient son sous-traitant. L’article 28 du RGPD impose alors un contrat écrit entre eux, avec des clauses précises. Cette obligation pèse sur les deux parties : sans un tel accord, le cabinet est lui-même en défaut.

Le présent accord remplit cette obligation. Il est conclu par voie électronique, ce que permet expressément l’article 28.9 du RGPD (« Le contrat ou l’autre acte juridique est établi par écrit, y compris sous forme électronique »). Vous n’avez rien à demander ni à signer : il s’applique dès l’acceptation des conditions générales d’utilisation.

Si votre délégué à la protection des données souhaite néanmoins un exemplaire paraphé et signé, écrivez à romain.allee@lexium-app.com : nous vous l’adressons.

1. Parties et objet

Le présent accord s’applique entre :

• Le Cabinet : le professionnel du droit ou l’entreprise titulaire d’un compte Lexium, tel qu’identifié par les informations de ce compte, agissant en qualité de responsable de traitement ;
• Lexium : Romain Allée, entrepreneur individuel, 10b rue Claude Bernard, 78310 Maurepas, France, SIRET 994 295 533 00016, agissant en qualité de sous-traitant.

Il encadre les traitements de données à caractère personnel réalisés par Lexium pour le compte du Cabinet dans le cadre de l’utilisation du service.

Il complète les conditions générales d’utilisation, dont il fait partie intégrante. En cas de contradiction portant sur la protection des données, le présent accord prévaut.

Il ne couvre pas les traitements dont Lexium est lui-même responsable (compte, facturation, mesure d’audience, prospection), décrits dans la politique de confidentialité.

2. Description des traitements

Nature et objet : hébergement, extraction, indexation et analyse par intelligence artificielle de pièces de procédure, aux fins d’assister le Cabinet dans le traitement de ses dossiers.

Finalités :

• Centralisation des dossiers et des pièces.
• Extraction du texte des documents, y compris par reconnaissance optique de caractères, et transcription des enregistrements.
• Synthèse de dossier, identification de pistes de nullité, détermination d’échéances procédurales.
• Assistance à la rédaction et à la relecture d’actes.
• Collecte de pièces auprès des clients du Cabinet par lien sécurisé.
• Partage d’un dossier avec un confrère désigné par le Cabinet.

Catégories de personnes concernées : clients du Cabinet (personnes mises en examen, prévenus, parties civiles, témoins assistés) ; tiers mentionnés dans les pièces (victimes, témoins, coauteurs allégués, experts, magistrats, enquêteurs, proches) ; collaborateurs et confrères auxquels le Cabinet donne accès.

Catégories de données : données d’identification et de contact ; situation personnelle, familiale, professionnelle et économique ; contenu des pièces de procédure (procès-verbaux, auditions, expertises, ordonnances, conclusions, enregistrements audio ou vidéo) ; données relatives aux infractions et aux condamnations pénales, au sens de l’article 10 du RGPD ; le cas échéant, données visées à l’article 9 du RGPD lorsqu’elles figurent dans les pièces.

Le Cabinet demeure seul juge des pièces qu’il dépose et de la nécessité de leur traitement.

Durée : durée de la fourniture du service, puis suppression selon l’article 10 ci-dessous.

3. Instructions documentées

Lexium ne traite les données que sur instruction documentée du Cabinet, y compris en ce qui concerne les transferts hors de l’Union européenne. Constituent de telles instructions le présent accord, les conditions générales d’utilisation, et les actions réalisées par le Cabinet dans le service.

Lexium informe le Cabinet s’il estime qu’une instruction constitue une violation du RGPD ou d’une autre disposition relative à la protection des données.

Lexium n’utilise les données à aucune autre fin. En particulier, il ne les utilise ni pour ses propres besoins, ni pour un autre client, ni pour entraîner ou améliorer un modèle d’intelligence artificielle.

4. Confidentialité et secret professionnel

Lexium veille à ce que les personnes autorisées à traiter les données s’engagent à en respecter la confidentialité ou soient soumises à une obligation légale appropriée de confidentialité.

Les parties reconnaissent expressément que les contenus déposés par le Cabinet sont susceptibles d’être couverts par le secret professionnel de l’avocat, notamment au titre de l’article 66-5 de la loi n° 71-1130 du 31 décembre 1971. Cette protection est distincte de celle du RGPD et s’y ajoute.

En conséquence, Lexium s’interdit d’accéder au contenu des dossiers du Cabinet, sauf :

• à la demande expresse du Cabinet, dans le cadre d’une assistance technique et pour la seule durée nécessaire ;
• en exécution d’une obligation légale, auquel cas Lexium en informe le Cabinet préalablement, à moins que le droit applicable ne l’interdise.

Lexium notifie sans délai au Cabinet toute réquisition ou demande d’autorité portant sur ses dossiers, dans la mesure permise par le droit applicable, afin de lui permettre de faire valoir le secret professionnel.

5. Sécurité

Lexium met en œuvre les mesures techniques et organisationnelles appropriées prévues à l’article 32 du RGPD :

• Chiffrement des communications en transit (TLS) et des données au repos, en base comme en stockage.
• Règles de sécurité de la base de données et du stockage en refus par défaut : l’accès à un dossier est refusé sauf autorisation explicite.
• Cloisonnement par compte : seuls le propriétaire du dossier et les personnes qu’il a expressément invitées y accèdent.
• Authentification déléguée à Firebase Authentication. Aucun mot de passe n’est stocké par Lexium.
• Accès administrateur limité à l’éditeur, sans accès au contenu des dossiers hors des cas prévus à l’article 4.
• Aucune coordonnée bancaire n’est collectée ni stockée par Lexium.
• Journalisation technique des accès et des opérations, conservée 12 mois.
• Sauvegardes chiffrées, à cycle de rotation défini.
• La démonstration publique repose sur un dossier fictif et ne requiert aucune donnée réelle.

Ces mesures peuvent évoluer, sans que le niveau de sécurité global puisse être diminué.

6. Sous-traitants ultérieurs

Le Cabinet donne à Lexium une autorisation générale écrite de recourir aux sous-traitants ultérieurs listés sur la page Sous-traitants, qui fait partie intégrante du présent accord.

Lexium impose à chacun d’eux, par contrat, des obligations de protection des données équivalentes à celles du présent accord, et demeure pleinement responsable envers le Cabinet de l’exécution de leurs obligations.

En cas d’ajout ou de remplacement d’un sous-traitant ultérieur, Lexium met à jour cette page et en informe le Cabinet au moins trente (30) jours avant que le changement ne prenne effet. Le Cabinet peut s’y opposer, pour un motif légitime tenant à la protection des données, dans un délai de quinze (15) jours. À défaut d’accord, le Cabinet peut résilier son abonnement sans frais ni pénalité, la partie non consommée lui étant remboursée au prorata.

7. Transferts hors de l’Union européenne

La majorité des traitements est réalisée dans l’Union européenne. La page Sous-traitants indique, pour chacun, la localisation des traitements.

Les transferts hors de l’Union européenne y sont identifiés et encadrés par les clauses contractuelles types adoptées par la Commission européenne, au sens de l’article 46 du RGPD.

Le Cabinet est informé, de manière expresse, que l’analyse par intelligence artificielle du contenu des dossiers repose actuellement sur une interface de Google qui n’offre pas de garantie de localisation dans l’Union européenne. Lexium recourt à l’offre payante de cette interface, au titre de laquelle Google s’engage à ne pas utiliser les contenus transmis pour améliorer ses modèles, et ces contenus ne font pas l’objet de relecture humaine. Lexium s’engage à basculer ce traitement vers une région européenne dès que les modèles utilisés y seront disponibles, et à en informer le Cabinet.

8. Assistance au Cabinet

Compte tenu de la nature du traitement, Lexium assiste le Cabinet par des mesures techniques et organisationnelles appropriées :

• pour donner suite aux demandes d’exercice des droits des personnes concernées (articles 15 à 22). Lorsqu’une telle demande est adressée directement à Lexium, celui-ci la transmet au Cabinet sans y répondre lui-même ;
• pour garantir le respect des obligations de sécurité, de notification des violations et d’analyse d’impact (articles 32 à 36).

Le service permet au Cabinet d’accéder à ses dossiers, de les exporter et de les supprimer de manière autonome, ce qui lui permet de répondre par lui-même à la plupart des demandes.

9. Violation de données

Lexium notifie au Cabinet toute violation de données à caractère personnel le concernant dans les meilleurs délais et, en tout état de cause, dans les quarante-huit (48) heures après en avoir pris connaissance, afin de lui permettre de respecter son propre délai de soixante-douze (72) heures prévu à l’article 33.

La notification décrit la nature de la violation, les catégories et le nombre approximatif de personnes et d’enregistrements concernés, les conséquences probables et les mesures prises. Si ces informations ne peuvent être fournies d’emblée, elles le sont de manière échelonnée.

10. Sort des données à la fin de la prestation

Au choix du Cabinet, exprimé au plus tard à la fin de la prestation, Lexium supprime toutes les données ou les lui restitue dans un format structuré et couramment utilisé, et détruit les copies existantes.

À défaut de choix exprimé, les données sont supprimées dans un délai de trente (30) jours à compter de la clôture du compte. Les sauvegardes chiffrées sont purgées selon leur cycle de rotation.

Lexium ne conserve les données au-delà que dans la mesure où le droit de l’Union ou d’un État membre l’exige, et pour la seule durée requise.

11. Documentation et audit

Lexium met à la disposition du Cabinet les informations nécessaires pour démontrer le respect des obligations de l’article 28, notamment la présente page et la page Sous-traitants.

Le Cabinet peut réaliser un audit, y compris une inspection, une fois par période de douze (12) mois, sous réserve d’un préavis écrit de trente (30) jours, pendant les heures ouvrables, sans perturber l’activité de Lexium et sans accéder aux données d’autres clients. Un audit supplémentaire est possible à la suite d’une violation de données avérée. Les frais d’audit sont à la charge du Cabinet, sauf si l’audit révèle un manquement substantiel de Lexium.

La production d’un rapport d’audit ou d’une certification pertinente d’un sous-traitant ultérieur vaut réponse pour les traitements le concernant.

12. Durée

Le présent accord prend effet à l’acceptation des conditions générales d’utilisation et demeure en vigueur pendant toute la durée de la fourniture du service. Les clauses relatives à la confidentialité, au secret professionnel et au sort des données survivent à son terme.

13. Droit applicable

Le présent accord est soumis au droit français. À défaut de résolution amiable, tout litige relève de la compétence des tribunaux français.

Historique des versions

• Version 1.0, 15 juillet 2026 : version initiale.