Analyse d’impact (DPIA)
Synthèse publique — article 35 du RGPD
Certains traitements mis en œuvre par LegalBotik, en particulier l’assistance à la rédaction de documents en droit des étrangers ou à finalité contentieuse, sont susceptibles d’engendrer un risque élevé au sens de l’article 35 du Règlement (UE) 2016/679. Ils font à ce titre l’objet d’une analyse d’impact relative à la protection des données (ci-après « DPIA »). La présente page en publie la synthèse. Le dossier complet est tenu à disposition de la Commission nationale de l’informatique et des libertés (CNIL) et des auditeurs mandatés par les clients professionnels.
1. Traitements concernés
- Assistance à la rédaction de recours contentieux en droit des étrangers (OQTF, refus de titre, assignation à résidence) — susceptible d’impliquer des données sensibles relatives à la situation administrative et, le cas échéant, à la santé ou à la vie familiale (art. 9 RGPD)
- Assistance à la rédaction de documents en droit de la famille (garde, pension, résidence) — données relatives à l’état familial, aux enfants et, le cas échéant, à des éléments sensibles produits volontairement par l’utilisateur
- Assistance à la rédaction de courriers à portée prud’homale ou contentieuse professionnelle — données relatives à la relation de travail
2. Description systémique
L’utilisateur saisit les éléments nécessaires à la rédaction de son document et, le cas échéant, téléverse des pièces. Les données transitent de manière chiffrée vers un service d’assistance à la rédaction par intelligence artificielle. Le résultat est enregistré dans le compte de l’utilisateur, qui peut le consulter, le télécharger, le modifier ou le supprimer.
Vos contenus ne sont pas utilisés pour entraîner des modèles tiers. Les prestataires IA traitent les requêtes de manière éphémère, sans réutilisation à des fins d’entraînement.
3. Nécessité et proportionnalité
- Finalité précise, explicite et légitime : produire un document juridique à la demande de l’utilisateur.
- Minimisation : les formulaires ne collectent que les champs strictement nécessaires à la génération du document choisi.
- Exactitude : l’utilisateur peut, à tout moment, rectifier ou supprimer les informations de son compte.
- Durée : les documents sont conservés le temps du compte actif + 3 ans, puis purgés.
- Consentement explicite pour les catégories particulières (art. 9.2.a RGPD) : recueilli au moment du téléversement volontaire de pièces sensibles, avec information préalable affichée sur le formulaire.
4. Risques identifiés et mesures
| Risque | Impact | Mesure mise en œuvre |
|---|---|---|
| Accès non autorisé aux données | Élevé | Chiffrement des communications et des données stockées, accès restreints, authentification renforcée pour les administrateurs, journalisation des accès. |
| Conservation excessive | Modéré | Purge automatisée à l’issue des durées fixées. Suppression à la demande sous 30 jours. Archives chiffrées purgées sous 35 jours. |
| Fuite via le sous-traitant IA | Élevé | Contrats de traitement (DPA) signés. Mode « zero retention » activé. Aucune réutilisation des prompts pour entraîner les modèles. Interdiction contractuelle de profilage. |
| Erreur de génération avec conséquence juridique | Élevé | Contrôles automatiques de cohérence pré- et post-génération, re-génération gratuite si incohérence détectée, rappel systématique au-dessus de chaque document de la recommandation de relecture par un professionnel du droit. |
| Transfert hors Union européenne | Modéré | Clauses contractuelles types. Analyse d’impact des transferts (TIA). Minimisation des données transmises. |
| Abus ou automatisation malveillante | Modéré | Limitation de taux, honeypot anti-bot, détection de contenus incohérents, CAPTCHA en cas de pic anormal. |
| Réidentification par corrélation | Faible | Cloisonnement par utilisateur, suppression des métadonnées des fichiers téléversés, logs pseudonymisés. |
5. Consultation et suivi
La DPIA est revue annuellement et lors de toute évolution substantielle du traitement (nouveau sous-traitant, nouveau type de document, nouvel algorithme). Les utilisateurs concernés sont consultés via des panels qualitatifs et par le biais de sondages volontaires lors des parcours sensibles (droit des étrangers, droit de la famille).
Pour toute question, demande de consultation du dossier complet ou signalement d’un risque non identifié, merci d’écrire à contact@legalbotik.fravec la mention « DPIA » en objet.
6. Autorité de contrôle
Toute personne concernée estimant ses droits non respectés peut saisir la Commission nationale de l’informatique et des libertés (CNIL), 3 place de Fontenoy, 75007 Paris.