Politique de confidentialité

Le responsable du traitement est STERLING PEAK, société d'exercice libéral par actions simplifiée (SELAS) d'avocats, 34 rue Laugier, 75017 Paris, inscrite au barreau de Paris, qui exploite Formalist et rend les services d'avocat qui y sont proposés. Elle est seule à décider des finalités et des moyens des traitements décrits ici ; il n'y a pas d'autre responsable, ni de responsable conjoint.

Pour toute question ou demande sur vos données : ops@formalist.fr.

Quand vous êtes un professionnel (expert-comptable, notaire, avocat) et que vous saisissez les données de vos clients, vous restez responsable du traitement de ces données dans votre propre activité ; nous les traitons pour vous rendre le service commandé.

• Votre compte : adresse e-mail, nom et prénom, mot de passe (jamais stocké en clair, seulement son empreinte), réglages, appareils connectés.
• Les dossiers : informations sur la société et sur les personnes qui y figurent (associés, dirigeants, bénéficiaires effectifs, liquidateur) : identité, date et lieu de naissance, nationalité, adresse, parts détenues ; actes et pièces déposées, dont les pièces d'identité.
• La signature : identité déclarée et adresse e-mail des signataires, date et heure, adresse IP, navigateur, image de la signature et du paraphe, empreinte des actes signés.
• Le paiement : montant, formule, référence et statut du paiement, adresse de facturation et, le cas échéant, numéro de TVA. Les numéros de carte sont saisis chez Stripe : nous ne les voyons jamais.
• Les acceptations : version des conditions acceptée, date et heure, dossier ou abonnement concerné, adresse IP et navigateur.
• Les échanges avec l'avocat et la trace d'audit des actions faites dans l'espace (qui a fait quoi, quand), sans le contenu des dossiers.
• Les données techniques : adresse IP, journaux de connexion et de sécurité (tentatives de connexion, limitation des abus).

Les personnes dont vous saisissez les données

Vous saisissez souvent les données d'autres personnes (vos associés, vos clients, les signataires). Vous vous engagez à le faire avec leur accord ou sur une base légale, et à les informer de ce traitement en leur indiquant cette page (article 14 du RGPD).

• Nous ne vendons ni ne louons aucune donnée, et n'en faisons aucun usage publicitaire.
• Nous ne mesurons pas l'audience du site et ne déposons aucun traceur publicitaire (voir la page Cookies).
• Nous n'envoyons pas vos documents à un service d'intelligence artificielle extérieur : la lecture des statuts et des contrats se fait sur nos serveurs, par des outils de reconnaissance de texte.
• Aucune décision produisant des effets juridiques à votre égard n'est prise sur le seul fondement d'un traitement automatisé (RGPD, article 22).
• Aucune donnée d'un client n'est utilisée pour un autre client.

À l'issue de ces durées, les données sont supprimées ou rendues anonymes. Une archive peut être conservée plus longtemps si un litige est en cours.

Chez nous

Les avocats et collaborateurs de Sterling Peak qui font fonctionner le service ou traitent votre dossier, et les membres de votre espace selon les droits que vous leur donnez. Tous sont tenus à la confidentialité ; les avocats, au secret professionnel.

Nos sous-traitants

Chaque sous-traitant est lié par un contrat conforme à l'article 28 du RGPD et ne peut utiliser les données que pour le service qu'il rend. Stripe agit aussi comme responsable de traitement pour ses propres obligations (lutte contre la fraude et le blanchiment) : sa politique est sur stripe.com/fr/privacy.

Les destinataires imposés par la formalité

• l'INPI, qui tient le Guichet unique et le registre national des entreprises, et le greffe compétent, quand le dossier est déposé ; les informations inscrites au registre deviennent publiques selon les règles du code de commerce ;
• le journal d'annonces légales qui publie l'annonce, dont le texte est public par nature ;
• les signataires que vous invitez, qui voient les actes qu'on leur demande de signer ;
• les autorités qui peuvent en faire la demande dans les cas prévus par la loi.

Les services publics appelés par votre navigateur

Pour compléter une adresse ou retrouver une société pendant la saisie, votre navigateur interroge directement les services publics de l'État (Base adresse nationale, découpage administratif, annuaire des entreprises, sur data.gouv.fr et api.gouv.fr). Ils reçoivent votre adresse IP et le texte cherché.

Vos dossiers et documents sont stockés dans l'Union européenne : la base de données à Francfort, les fichiers à Paris, et l'application s'exécute à Paris. Plusieurs prestataires sont toutefois des sociétés américaines, ou en dépendent, et peuvent traiter certaines données aux États-Unis ou y accéder :

• Vercel, qui héberge l'application : journaux techniques et données en transit ;
• Neon, qui exploite la base de données : accès possible de ses équipes pour l'assistance et la maintenance ;
• Stripe, pour les données de paiement et de facturation ;
• Resend, pour l'adresse du destinataire et le contenu des e-mails envoyés (liens, avis de suivi ; jamais les actes en pièce jointe).

Ces transferts sont encadrés par la décision d'adéquation de la Commission européenne du 10 juillet 2023 relative au cadre de protection des données UE-États-Unis, pour les entreprises qui y ont adhéré, et à défaut par les clauses contractuelles types adoptées par la Commission (RGPD, article 46). Vous pouvez en obtenir une copie en écrivant à ops@formalist.fr.

• connexions chiffrées (HTTPS), mots de passe conservés sous forme d'empreinte (Argon2id), double authentification proposée ;
• jetons de session et liens envoyés par e-mail jamais stockés en clair ;
• secrets de double authentification chiffrés ;
• droits d'accès réglés membre par membre, trace d'audit des actions sensibles ;
• hébergement dans l'Union européenne.

Vous pouvez, à tout moment :

• accéder à vos données et en obtenir une copie ;
• les faire rectifier si elles sont inexactes ;
• en demander l'effacement, sauf si nous devons les conserver (obligation légale, preuve, secret professionnel) ;
• en demander la limitation, ou vous opposer à un traitement fondé sur notre intérêt légitime ;
• recevoir les données que vous nous avez fournies dans un format lisible par une machine (portabilité) ;
• définir des directives sur le sort de vos données après votre décès (loi du 6 janvier 1978, article 85).

Écrivez à ops@formalist.fr. Nous répondons dans un délai d'un mois, qui peut être prolongé de deux mois pour une demande complexe ; nous pouvons vous demander de justifier de votre identité en cas de doute. Le secret professionnel peut limiter l'accès aux données qui concernent d'autres personnes.

Réclamation auprès de la CNIL

Si vous estimez que vos droits ne sont pas respectés, vous pouvez adresser une réclamation à la Commission nationale de l'informatique et des libertés (CNIL), 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07, cnil.fr.