Politique de confidentialité

Dernière mise à jour : 20 septembre 2026

La présente politique décrit la manière dont LegalProof (« l'Éditeur », « nous », « le Service ») collecte, utilise et protège les données personnelles des utilisateurs du Service, conformément au Règlement (UE) 2016/679 (« RGPD ») et à la loi n° 78-17 du 6 janvier 1978 modifiée (« Informatique et Libertés »).

1. Qualité de LegalProof

LegalProof intervient à deux titres, selon les données en cause.

Pour la gestion des comptes, des abonnements, de l'annuaire, de la mise en relation, de la sécurité et du fonctionnement général du Service, LegalProof est responsable de traitement. Ses coordonnées figurent dans les mentions légales.

Pour les données qu'une organisation saisit dans ses registres et ses documents de conformité, y compris celles de ses salariés, de ses élus et de tiers, cette organisation est responsable de traitement et LegalProof intervient en qualité de sous-traitant, au sens de l'article 28 du RGPD. Le paragraphe 3 bis précise cette répartition et les traitements qu'elle recouvre.

Pour toute question relative à la protection des données ou pour exercer vos droits : contact@legalproof.fr.

2. Données traitées

• Données de compte : identité, adresse email, organisations d'appartenance, rôle et permissions, informations de profil renseignées à l'inscription, préférences, et horodatages d'acceptation des conditions.
• Contenus déposés ou produits dans le Service : saisies, documents téléversés ou générés, fichiers joints, échanges, ainsi que les versions et l'historique qui s'y rattachent. Ces contenus peuvent comporter des données concernant des tiers - salariés, élus, candidats, cocontractants - notamment lorsqu'ils servent à tenir un registre ou un document imposé à votre organisation. Leur contenu est déterminé par les textes qui l'imposent et par votre organisation, jamais par LegalProof.
• Fiche professionnelle (comptes Professionnel) : profession, spécialités, coordonnées, localisation, logo, présentation et prestations. Ces informations sont publiées dans l'annuaire public dès que le professionnel publie sa fiche, selon les préférences d'affichage qu'il définit.
• Signalements : contenu des alertes déposées et échanges avec la personne référente. Ils sont recueillis de manière anonyme, au moyen d'un code d'accès dont seul le déclarant dispose et qui n'est pas conservé en clair : perdu, il ne peut être restauré.
• Données de facturation et d'usage : identifiants d'abonnement, formule souscrite, dates, montants et compteurs de consommation. Aucune coordonnée bancaire n'est stockée par LegalProof ; elles sont traitées exclusivement par un établissement de paiement agréé, sur sa propre infrastructure.
• Données techniques : adresse IP, user-agent, journaux serveur, cookies de session, identifiant de visiteur conservé dans le stockage local du navigateur, et jetons aléatoires associés aux liens de partage, révocables à tout moment.
• Données de communication : emails envoyés et leur suivi d'acheminement, messages adressés au support.

3. Finalités et bases légales

3 bis. Sous-traitance : portée et engagements

La sous-traitance annoncée au paragraphe 1 recouvre les traitements que votre organisation met en œuvre pour sa propre conformité : les registres et documents dont la loi lui impose la tenue, les analyses et évaluations qui s'y rattachent, les documents qu'elle dépose dans le Service et le dispositif de recueil des signalements.

À ce titre, LegalProof s'engage à :

• ne traiter ces données que sur instruction documentée de l'organisation, l'usage du Service valant instruction ;
• garantir la confidentialité des personnes autorisées à y accéder ;
• mettre en œuvre les mesures de sécurité décrites au § 9 ;
• ne recourir qu'à des sous-traitants ultérieurs relevant des catégories décrites au § 5, et informer l'organisation de tout changement envisagé ;
• aider l'organisation à répondre aux demandes d'exercice des droits et à ses obligations de sécurité, de notification de violation et d'analyse d'impact ;
• mettre les données à disposition en vue de leur export, et les supprimer à la fin de la prestation, sous réserve des écritures rendues irréversibles pour la valeur probante des registres (voir § 4) ;
• mettre à disposition les informations nécessaires pour démontrer le respect de ces obligations.

Il vous appartient, en tant que responsable de traitement, de définir les finalités, les durées de conservation et les destinataires, de restreindre les accès au sein de votre organisation, et d'informer les personnes concernées - salariés, élus, candidats, tiers - du traitement de leurs données dans ces registres.

3 ter. Vous figurez dans un registre tenu par votre employeur ?

Si vos données apparaissent dans un registre, un document de conformité ou un signalement hébergé par le Service, votre interlocuteur est l'organisation qui les a saisies, et non LegalProof : c'est elle qui décide de ce qui y figure, qui peut le rectifier et qui doit répondre à votre demande. Si vous nous écrivez directement, nous transmettrons votre demande à cette organisation et vous en informerons, sans agir de notre propre chef sur le contenu.

4. Durée de conservation

• Compte : tant que l'utilisateur en dispose. Nous nous réservons de supprimer un compte resté inactif pendant trois (3) ans, après relance par email.
• Contenus déposés ou produits : pendant la durée du compte et de l'organisation, puis supprimés avec eux.
• Contenus relevant de la sous-traitance : pendant la durée que l'organisation détermine, dans les limites fixées par les textes qui imposent chaque registre ou document. Certaines mentions ne peuvent pas être supprimées avant le terme que la loi leur assigne et sont effacées automatiquement à son échéance ; à l'inverse, les versions validées et les lignes de journal qui font la valeur probante d'un registre sont inaltérables et disparaissent avec l'organisation.
• Fichiers déposés en vue d'un traitement : effacés dès que le traitement les a lus. Ceux qu'aucun traitement n'a réclamés, parce que l'onglet a été fermé ou la connexion interrompue, sont balayés lors du passage automatique de la nuit suivante, dès lors qu'ils ont plus d'une heure.
• Données comptables et factures : 10 ans (obligation légale).
• Journaux techniques et preuves de consentement : conservés le temps nécessaire à la sécurité du Service et à la preuve du consentement recueilli.
• Préférence newsletter : conservée tant que le profil existe (la préférence « désabonné » reste effective même après suppression du compte, pour éviter une réinscription involontaire).

5. Destinataires et sous-traitants

Vos données sont accessibles aux personnels habilités de LegalProof et aux sous-traitants suivants, encadrés par un accord conforme à l'article 28 du RGPD :

L'identité des hébergeurs figure dans les mentions légales, celle des fournisseurs de mesure d'audience au § 8. Lorsque LegalProof agit en sous-traitant, il informe l'organisation de tout changement de sous-traitant ultérieur et lui permet de s'y opposer, conformément à l'article 28 du RGPD.

Les transferts hors UE éventuels sont encadrés par les Clauses Contractuelles Types adoptées par la Commission européenne (CCT 2021) et/ou par le cadre Data Privacy Framework (DPF) UE-États-Unis.

D'autres destinataires peuvent recevoir des données du fait de votre propre usage du Service : le professionnel que vous contactez par l'annuaire ou que vous retenez après une annonce, les cabinets qui consultent une annonce que vous publiez, les signataires à qui vous adressez un lien de signature, et toute personne à qui vous communiquez un lien de partage. Ces destinataires agissent pour leur propre compte.

Le Service interroge enfin, depuis ses serveurs, les API publiques Légifrance (DILA) et « Recherche d'entreprises » (DINUM). Ces services reçoivent la requête émise (un article de code, un nom d'entreprise ou un numéro SIREN) et aucune donnée de navigation vous concernant.

6. Données envoyées aux modèles d'IA

Les requêtes formulées dans le chat, les contenus de documents analysés et les paramètres de génération sont transmis à notre fournisseur de modèles de langage pour produire la réponse. Nous recourons exclusivement à son offre professionnelle, dans laquelle ces données ne sont pas utilisées pour entraîner les modèles et sont conservées au maximum 30 jours à seule fin de détection d'abus. Nous vous recommandons de ne pas inclure de données sensibles inutiles dans vos requêtes.

Les registres ne sont pas envoyés aux modèles du seul fait de leur tenue : la saisie, la consultation et l'export d'un registre n'appellent aucun modèle. Seules le sont les données que vous soumettez explicitement à une fonction d'analyse ou de génération.

7. Vos droits

Conformément aux articles 15 à 22 du RGPD, vous disposez des droits suivants : accès, rectification, effacement, limitation, opposition, portabilité, le droit de définir des directives relatives au sort de vos données après votre décès et celui d'introduire une réclamation auprès de la CNIL. Vous pouvez retirer votre consentement à tout moment lorsque le traitement repose sur celui-ci.

Pour exercer ces droits : contact@legalproof.fr. Nous répondons sous un mois (prolongeable de deux mois pour les demandes complexes).

Lorsque les données en cause figurent dans un registre ou un document de conformité tenu par une organisation, votre demande doit être adressée à celle-ci (voir § 3 ter).

Vous pouvez vous désabonner de la newsletter à tout moment depuis la page /newsletter.

8. Cookies et traceurs

LegalProof utilise des cookies strictement nécessaires au fonctionnement du Service (session, authentification, préférences d'interface), qui ne requièrent pas de consentement (article 82 de la loi Informatique et Libertés).

Avec votre consentement préalable, recueilli par notre bandeau cookies, nous déposons des cookies de mesure d'audience via Microsoft Clarity et Google Analytics (Microsoft Corporation et Google Ireland Limited). Ils impliquent un transfert vers les États-Unis, encadré par les clauses contractuelles types de la Commission européenne. Vous pouvez retirer votre consentement à tout moment via l'icône « cookies » en bas à gauche du site ; votre décision est enregistrée, avec sa date, afin d'en faire la preuve.

9. Sécurité

Nous mettons en œuvre des mesures techniques et organisationnelles appropriées au risque (art. 32 RGPD) :

• chiffrement des flux applicatifs (TLS 1.2 ou supérieur) ;
• chiffrement au repos des bases de données et du stockage de fichiers ;
• hachage des mots de passe selon l'état de l'art, sans conservation en clair ;
• cloisonnement des données par organisation appliqué au niveau de la base elle-même, et non du seul affichage ;
• accès restreints aux seules personnes dont c'est la fonction, au sein de LegalProof comme au sein de l'organisation cliente ;
• accès aux fichiers privés par liens signés à durée de validité limitée ;
• limitation du débit sur les points d'entrée sensibles, contre les abus et les attaques par force brute ;
• journalisation, sauvegardes régulières et testées ;
• effacement automatique des données arrivées au terme de leur durée de conservation ;
• tests de sécurité et revues de code des fonctionnalités sensibles.

En cas de violation de données présentant un risque pour vos droits et libertés, nous notifions la CNIL dans les 72 heures et vous informons individuellement en cas de risque élevé (art. 33 et 34 RGPD). Lorsque la violation porte sur des données traitées pour le compte d'une organisation, nous l'en informons sans délai afin qu'elle puisse procéder elle-même à ces notifications.

10. Données sensibles

Le Service n'est pas destiné à traiter des données sensibles au sens de l'article 9 du RGPD (santé, opinions politiques, convictions, appartenance syndicale, données biométriques, orientation sexuelle) ni des données d'infractions (art. 10). Nous vous recommandons de ne pas téléverser de documents contenant ces catégories d'informations à propos de tiers identifiables sans base légale appropriée.

Certaines obligations légales que le Service aide à remplir peuvent toutefois, par nature, conduire à en traiter. Ces traitements sont alors réalisés pour le compte de l'organisation, qui en est responsable et doit en encadrer l'usage : finalité, restriction des accès aux seules personnes dont c'est la fonction, durée de conservation, information des personnes concernées. LegalProof fournit pour cela des accès par rôle et une historisation ; il ne décide ni de ce qui est saisi, ni de qui y accède au sein de l'organisation.

11. Décisions automatisées

Les scores de conformité, indicateurs calculés, classifications et suggestions affichés par le Service sont des aides à la décision indicatives et révisables. Ils ne produisent pas d'effet juridique à votre égard et ne sauraient être considérés comme des décisions automatisées au sens de l'article 22 du RGPD. Il appartient à l'organisation qui les utilise de ne fonder aucune décision individuelle sur leur seul résultat.

12. Modifications

La présente politique peut évoluer. Toute modification substantielle sera notifiée par email ou via le Service.