1. Responsable du traitement
Le responsable du traitement est LegalPay, SIREN 930 789 938, dont le siège est à Paris, France. Contact : signatures@getlegalpay.com.
Pour toute question relative à la protection des données et à l'exercice de vos droits, vous pouvez contacter le référent conformité : signatures@getlegalpay.com.
2. Données collectées
Données des Utilisateurs (avocats)
Nom, prénom, adresse email, nom du cabinet, numéro de barreau, adresse professionnelle, numéro SIRET, numéro de téléphone, signature manuscrite numérisée.
Données des Clients (destinataires des conventions)
Nom, prénom, adresse email, adresse postale, telles que renseignées par l'Utilisateur lors de la création d'une convention.
Données relatives aux conventions
Montant des honoraires, type d'affaire, description de la mission, échéancier, statut de signature et de paiement.
Données financières
Coordonnées bancaires de l'Utilisateur (IBAN), saisies pour permettre l'encaissement des honoraires. L'IBAN est chiffré au repos (AES-256-GCM). Conformément à sa finalité d'encaissement, il est affiché à l'Utilisateur dans ses paramètres, figure sur les factures et conventions, et est transmis aux Clients dans les emails de paiement.
Données des prospects (demande de démonstration)
Prénom, nom, adresse email professionnelle, numéro de téléphone et réponses au questionnaire (difficulté principale, nombre de clients facturés par mois, temps consacré à l'administratif), lorsqu'un visiteur remplit le formulaire de notre page de campagne publicitaire pour demander une démonstration. Ces coordonnées sont enregistrées dès leur saisie, même si le formulaire n'est pas envoyé, afin de pouvoir donner suite à la demande. Elles servent uniquement à organiser la démonstration et son suivi (base légale : intérêt légitime de LegalPay à répondre à une demande commerciale, art. 6.1.f RGPD) et sont conservées dans notre outil de suivi commercial et notre outil de prise de rendez-vous. Vous pouvez demander leur suppression à tout moment à signatures@getlegalpay.com.
Données techniques
Adresse IP, type de navigateur, données de connexion, cookies strictement nécessaires au fonctionnement du Service.
3. Finalités du traitement
Les données sont traitées pour les finalités suivantes :
- Fourniture et amélioration du Service
- Génération et envoi des conventions d'honoraires
- Gestion de la signature électronique
- Suivi des paiements
- Communication avec les Utilisateurs (support, mises à jour)
- Respect des obligations légales
4. Bases légales
Les traitements sont fondés sur :
- L'exécution du contrat (CGU) entre LegalPay et l'Utilisateur
- Le consentement du Client lorsqu'il signe la convention
- L'intérêt légitime de LegalPay pour l'amélioration du Service
- Le respect des obligations légales
5. Destinataires des données
Les données peuvent être transmises aux sous-traitants suivants :
Hébergement et base de données
Supabase Inc. — base de données et stockage de fichiers, hébergés dans l'Union européenne (région Irlande, eu-west-1). L'entité Supabase Inc. étant établie hors UE, tout accès de support est encadré par le DPA et les Clauses contractuelles types (CCT) Supabase.
Authentification
Clerk, Inc. (États-Unis) — gestion des comptes et de la connexion des Utilisateurs : adresse email, nom, prénom et identifiants de connexion (y compris la connexion via Google lorsque l'Utilisateur la choisit). Le traitement peut avoir lieu hors Union européenne ; ce transfert est encadré par le DPA et les Clauses contractuelles types (CCT) conclus avec Clerk. Pour la protection anti-robot des écrans de connexion et d'inscription, Clerk recourt à Cloudflare, Inc. (États-Unis, service Turnstile) : l'adresse IP et des signaux techniques du visiteur sont alors transmis à Cloudflare, transfert également encadré par les CCT.
Signature électronique
La signature électronique est assurée par DocuSeal, API hébergée en Union européenne (api.docuseal.eu). Signature électronique simple (SES) au sens du règlement eIDAS (article 3.10). Une migration vers Yousign (société française, tiers de confiance eIDAS qualifié, hébergement et archivage des preuves en France) est prévue afin de garantir un hébergement 100 % français et l'accès aux niveaux de signature avancée (AES) et qualifiée (QES).
Emails transactionnels
Brevo (ex-Sendinblue) — société française, données hébergées dans l'Union européenne. Envoi des emails de relance, de signature et de mise en demeure. ISO 27001. La réinitialisation de mot de passe et la vérification d'email sont, elles, gérées par Clerk.
Messagerie de correspondance
Namecheap, Inc. (États-Unis) — hébergement de la boîte de messagerie signatures@getlegalpay.com utilisée pour la correspondance manuelle (échanges avec les Utilisateurs et leurs Clients). Les emails qui y transitent peuvent contenir les coordonnées des Clients ; les emails transactionnels automatiques (relances, paiement) sont, eux, envoyés via Brevo. Ce transfert hors Union européenne est encadré par les conditions et les Clauses contractuelles types (CCT) du prestataire.
Intelligence artificielle (aide à la rédaction)
Mistral AI — société française (Paris). Utilisé uniquement pour l'aide à la rédaction du texte de mission dans les conventions d'honoraires, sur demande explicite de l'Utilisateur. Aucune donnée n'est utilisée pour entraîner les modèles (Commercial Terms, API payante). La rétention zéro donnée (Zero Data Retention) est activée sur le compte : les données d'entrée et de sortie ne sont traitées que le temps nécessaire à la génération et ne sont pas conservées.
Hébergement applicatif
Vercel Inc. — société américaine avec des points de présence en Europe. Les données en transit sont chiffrées (TLS). Ce transfert est encadré par les CCT.
Paiement en ligne
Stripe, Inc. (États-Unis) — traitement des paiements par carte bancaire et prélèvement SEPA lorsque l'Utilisateur active Stripe Connect. Données traitées : données de paiement des clients, identifiant et statut du compte Connect de l'avocat. Le traitement peut avoir lieu hors Union européenne ; LegalPay s'appuie sur le DPA et les Clauses contractuelles types (CCT) signés avec Stripe. Conditions et politique de confidentialité : stripe.com/legal.
Programme de parrainage
Affonso (ZASolution — Ayrton Zinnanti, Fellbach, Allemagne) — gestion du programme de parrainage : suivi et attribution des recommandations. Données traitées : adresse e-mail, adresse IP, identifiants d'affiliation et paramètres de campagne, données d'événement liées au parrainage. Ce traitement n'est activé qu'avec le consentement du visiteur (cf. cookie de parrainage, section Cookies). Données hébergées dans l'Union européenne (Francfort), sous contrat de sous-traitance (art. 28 RGPD). Politique de confidentialité : affonso.io.
Mesure publicitaire (Meta)
Meta Platforms Ireland Limited (Dublin, Irlande) — mesure de l'efficacité de nos campagnes publicitaires. Lors de la souscription d'un abonnement, un événement de conversion est transmis à Meta via son API de conversion (Conversions API, côté serveur) : adresse e-mail et numéro de téléphone hachés (SHA-256, non réversibles), montant et date de l'abonnement. Ce traitement côté serveur ne dépose aucun cookie. Par ailleurs, sur notre page de campagne publicitaire uniquement, un pixel de mesure Meta est chargé : il peut déposer les cookies _fbp et _fbc (durée : 3 mois) afin de mesurer l'arrivée sur la page après un clic sur une publicité. Le reste du site ne charge pas ce pixel. Ces cookies de mesure publicitaire sont déposés dès l'affichage de la page de campagne, sans recueil préalable de votre consentement. Vous pouvez les supprimer à tout moment en effaçant les données du site dans votre navigateur. Meta peut transférer ces données aux États-Unis dans le cadre du Data Privacy Framework UE–États-Unis. Vous pouvez demander l'effacement des données vous concernant (art. 17 RGPD) en nous contactant. Politique de confidentialité : facebook.com/privacy.
LegalPay ne vend ni ne loue les données personnelles à des tiers.
6. Transferts hors Union européenne
La signature électronique est assurée par DocuSeal (API api.docuseal.eu, hébergement orienté Union européenne). Les garanties contractuelles du prestataire s'appliquent selon ses conditions. Une migration vers Yousign (société française, tiers de confiance eIDAS) reste envisageable pour les besoins barreaux ou clients.
L'hébergement applicatif est assuré par Vercel Inc. Les fonctions serverless qui traitent les données de LegalPay sont configurées pour s'exécuter dans une région de l'Union européenne (Dublin), colocalisée avec la base de données. Les traitements réseau au niveau de la distribution (edge : authentification, routage), qui ne stockent aucune donnée, peuvent s'exécuter au plus proche du visiteur. LegalPay s'engage à évaluer régulièrement les garanties offertes par ses sous-traitants.
L'authentification des comptes (Clerk, Inc., et son service anti-robot Cloudflare, Inc.) et la messagerie de correspondance (Namecheap, Inc.) sont assurées par des sociétés établies aux États-Unis. Les transferts de données correspondants sont encadrés par les Clauses contractuelles types (CCT) adoptées par la Commission européenne (décision d'exécution 2021/914).
Lorsque l'Utilisateur active le paiement en ligne via Stripe Connect, les données de paiement (carte, SEPA) et les informations liées au compte Connect sont traitées par Stripe, Inc. (États-Unis). Ce transfert est encadré par le DPA et les Clauses contractuelles types (CCT) adoptées par la Commission européenne (décision d'exécution 2021/914).
7. Durée de conservation
- Données du compte et données associées (clients, conventions, factures et documents) : conservées pendant toute la durée d'utilisation du Service. Lorsque l'Utilisateur supprime son compte depuis l'application (Paramètres), l'ensemble de ces données personnelles est définitivement effacé — base de données et fichiers (PDF stockés) — sans conservation par LegalPay au-delà.
- Archivage légal des conventions signées : l'obligation de conserver les conventions d'honoraires incombe à l'Utilisateur (l'avocat), tenu à ses propres obligations de conservation. Il lui appartient d'exporter ses documents (export CSV/PDF) avant de supprimer son compte.
- Données des prospects (demande de démonstration) : conservées 3 ans à compter du dernier contact, puis supprimées.
- Données de connexion et logs techniques : conservés 12 mois.
8. Sécurité des données
LegalPay met en œuvre les mesures de sécurité suivantes :
- Chiffrement des données en transit (TLS/HTTPS)
- Authentification sécurisée des Utilisateurs
- Accès restreint aux données de production
- Sauvegardes régulières de la base de données
LegalPay procède à des revues et contrôles de sécurité réguliers pour identifier et corriger les vulnérabilités.
9. Secret professionnel
LegalPay est conscient que les données traitées peuvent être couvertes par le secret professionnel de l'avocat (article 66-5 de la loi du 31 décembre 1971). LegalPay s'engage à ne jamais accéder au contenu des conventions sauf pour des raisons techniques strictement nécessaires au fonctionnement du Service (génération, conversion, envoi pour signature).
LegalPay ne procède à aucune analyse, indexation ou exploitation du contenu des conventions à des fins commerciales, statistiques ou publicitaires.
L'Utilisateur reste seul responsable de l'appréciation de la compatibilité de l'utilisation du Service avec ses obligations déontologiques en matière de secret professionnel.
10. Droits des personnes concernées
Conformément au RGPD, toute personne concernée dispose des droits suivants : droit d'accès, de rectification, d'effacement, de limitation du traitement, de portabilité des données et d'opposition.
Ces droits peuvent être exercés par email à l'adresse : signatures@getlegalpay.com. LegalPay s'engage à répondre dans un délai de 30 jours.
En cas de réclamation, la personne concernée peut saisir la CNIL (Commission Nationale de l'Informatique et des Libertés).
11. Cookies
Outre les cookies décrits ci-dessous, LegalPay utilise des cookies strictement nécessaires au fonctionnement du Service (authentification, session, et protection anti-robot lors de la connexion), qui ne requièrent pas de consentement.
Un cookie de parrainage (déposé par notre prestataire Affonso, durée : 30 jours) permet d'attribuer la venue d'un visiteur à l'avocat qui l'a recommandé. Ce cookie de traçage n'est déposé qu'après votre consentement explicite (bandeau « Accepter / Refuser ») ; en cas de refus, aucun cookie de parrainage n'est activé. Vous pouvez revenir sur votre choix en effaçant les données du site dans votre navigateur.
Sur notre page de campagne publicitaire, des cookies de mesure publicitaire Meta (_fbp, _fbc — durée : 3 mois) sont déposés dès l'affichage de la page, sans recueil préalable de votre consentement, afin de mesurer l'efficacité de nos publicités. Ils ne sont pas déposés sur le reste du site. Vous pouvez les supprimer à tout moment en effaçant les données du site dans votre navigateur.
12. Modification de la politique
LegalPay se réserve le droit de modifier la présente politique. Toute modification sera communiquée aux Utilisateurs par email et publiée sur le site.