Confidentialité et cookies

1. Qui décide de quoi

Kanoo est un logiciel en ligne de gestion de cabinet d'avocats, édité par [À COMPLÉTER : dénomination, forme juridique, siège, RCS] (« Kanoo », « nous »). Kanoo intervient à deux titres différents, et cette distinction commande tout le reste de cette page.

Pour les données de vos dossiers et de vos clients, votre cabinet est responsable de traitement : c'est lui qui décide de ce qui est collecté et pourquoi. Kanoo agit comme sous-traitant, au sens de l'article 28 du règlement (UE) 2016/679 (RGPD) : nous traitons ces données uniquement sur instruction du cabinet et pour lui fournir le service, jamais pour notre propre compte.

Si vous êtes client d'un cabinet qui utilise Kanoo, c'est la politique de confidentialité de votre cabinet qui vous informe, et c'est auprès de lui que vous exercez vos droits.

Pour les données nécessaires au fonctionnement du service et à la relation avec les cabinets (comptes des avocats et collaborateurs, profil des cabinets, sécurité du service, ce site), Kanoo est responsable de traitement. C'est l'objet principal de cette page, qui délivre l'information prévue par l'article 13 du RGPD.

2. Le secret professionnel

Les données des dossiers sont couvertes par le secret professionnel de l'avocat (article 66-5 de la loi n° 71-1130 du 31 décembre 1971). Kanoo est conçu pour ne pas y porter atteinte :

• chaque cabinet est cloisonné des autres : chaque accès est contrôlé par l'application, et la base de données refuse elle-même tout accès direct aux données d'un autre cabinet ;
• nous n'accédons pas au contenu des dossiers, sauf lorsque c'est techniquement nécessaire pour assurer le fonctionnement du service, corriger un incident ou répondre à une demande d'assistance du cabinet, et dans la stricte mesure de cette nécessité ;
• les emails envoyés par Kanoo ne contiennent aucune information confidentielle : ils invitent à se connecter ;
• aucune donnée de dossier n'est utilisée à une autre fin que la fourniture du service : ni publicité, ni revente, ni statistique commerciale, ni entraînement d'un modèle d'intelligence artificielle.

3. Les données que nous traitons comme responsable

Le journal de sécurité n'est accessible qu'aux administrateurs du cabinet concerné et, si nécessaire, à Kanoo pour la sécurité du service.

Depuis octobre 2026, lorsque vous acceptez le projet de conditions générales d'utilisation (à la création de votre compte, à l'activation d'un compte de membre invité, ou à votre connexion lorsqu'une nouvelle version vous est présentée), nous enregistrons votre adresse email, l'identifiant de votre compte, la version acceptée, la date et l'heure de l'acceptation et votre adresse IP. Cet enregistrement sert uniquement à pouvoir établir que cette acceptation a eu lieu : l'application ne peut ni le modifier ni le supprimer, et seul Kanoo y a accès. Ce registre est provisoire : il sera remplacé par celui des acceptations des conditions générales d'utilisation et de vente, lors de leur publication. Il repose sur l'intérêt légitime de Kanoo à pouvoir établir cette acceptation, y compris après la fin de la relation (article 6.1.f du RGPD), et il est conservé jusqu'à cinq ans après la fin de la relation contractuelle.

Pour compléter la fiche d'une entreprise, Kanoo interroge des registres publics de l'État (annuaire des entreprises, registre national des entreprises de l'INPI) à partir du numéro SIREN ou de la dénomination saisis par le cabinet.

4. Qui reçoit les données

Les données ne sont ni vendues, ni louées, ni cédées. Elles ne sont accessibles qu'aux personnes qui en ont besoin, et aux prestataires techniques sans lesquels le service ne fonctionnerait pas (nos sous-traitants ultérieurs) :

Supabase, Vercel, Resend et Cloudflare sont des sociétés de droit américain : même lorsque les données sont hébergées dans l'Union européenne, elles peuvent être soumises à des lois américaines d'accès aux données. [À FAIRE CONFIRMER : encadrement contractuel de ces prestataires, accords de sous-traitance et clauses contractuelles types, en cours.]

Chaque nuit, une copie de la base de données du service, comptes de connexion compris, est chiffrée au moment même de son extraction, puis conservée sur un serveur loué chez OVHcloud à Strasbourg. Ce serveur ne détient que de quoi chiffrer : la clé qui permet de relire les copies est détenue par Kanoo seul, hors de ce serveur. Une fois par mois, l'une de ces copies, toujours chiffrée, est en outre conservée sur un disque externe détenu par Kanoo, sans autre prestataire. Les documents déposés dans le service ne sont pas inclus dans ces copies.

La liste des sous-traitants ultérieurs sera tenue à jour dans l'accord de sous-traitance conclu avec chaque cabinet [À COMPLÉTER : accord à rédiger], qui sera informé de tout ajout ou remplacement.

5. Combien de temps

• Données des dossiers : tant que le cabinet ne les supprime pas, et pendant la durée de son abonnement. Un document supprimé reste trente jours en corbeille avant d'être effacé définitivement.
• Emails reçus par le cabinet et non encore classés dans un dossier : effacés au bout de trente jours.
• Journal des connexions et des ouvertures de dossiers et de documents : un an. Journal des actions (qui a créé, modifié, partagé ou supprimé quoi) : cinq ans.
• Copies de sauvegarde de la base de données : sept copies quotidiennes et quatre hebdomadaires sur le serveur, et les trois dernières copies mensuelles sur le disque externe. Une donnée effacée peut donc subsister jusqu'à quatre semaines dans les copies du serveur, et environ trois mois dans les copies mensuelles, avant d'en disparaître à son tour. Ces copies ne servent qu'à restaurer le service après un incident.
• À la fin de l'abonnement d'un cabinet : [À COMPLÉTER : délai de récupération des données, puis suppression].

6. Sécurité

Nous mettons en œuvre des mesures techniques et organisationnelles adaptées au risque (article 32 du RGPD) :

• chiffrement des échanges entre votre navigateur et le service ;
• cloisonnement des cabinets, contrôlé par l'application et par la base de données, et accès aux dossiers réservé aux membres que le cabinet y a désignés ;
• mots de passe exigeants, et double authentification proposée à tous les comptes ;
• enregistrement des connexions, des ouvertures de dossiers et de documents, et des actions effectuées ;
• une copie quotidienne de la base de données, chiffrée, conservée hors de l'hébergeur principal, dont la restauration a été testée.

Aucune mesure ne supprime tout risque. En cas de violation de données, nous informons le cabinet concerné sans délai injustifié, avec les éléments nécessaires à sa propre notification ; lorsque nous sommes responsables du traitement, nous notifions la CNIL dans les conditions de l'article 33 du RGPD.

7. Vos droits

Conformément au RGPD et à la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, vous disposez sur les données qui vous concernent :

• d'un droit d'accès, pour savoir si des données vous concernant sont traitées et en obtenir une copie ;
• d'un droit de rectification des données inexactes ou incomplètes ;
• d'un droit d'effacement, dans les limites des obligations de conservation ;
• d'un droit à la limitation du traitement ;
• d'un droit d'opposition, pour les traitements fondés sur l'intérêt légitime ;
• d'un droit à la portabilité des données que vous avez fournies ;
• du droit de définir des directives relatives au sort de vos données après votre décès.

Pour les exercer : [À COMPLÉTER : adresse email dédiée et adresse postale]. Nous répondons dans un délai d'un mois, qui peut être prolongé de deux mois si la demande est complexe ; nous vous en informons alors. Nous ne demandons un justificatif d'identité qu'en cas de doute raisonnable sur celle-ci. [À COMPLÉTER : désignation éventuelle d'un délégué à la protection des données.]

Si vous êtes client d'un cabinet utilisant Kanoo, adressez votre demande à ce cabinet : c'est lui qui est responsable de vos données, et nous l'assistons pour y répondre.

Vous pouvez introduire une réclamation auprès de la CNIL (3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07, cnil.fr).

8. Cookies et autres traceurs

Kanoo n'utilise aucun cookie publicitaire, aucun outil de mesure d'audience et aucun traceur tiers. Les pages de présentation du site ne déposent aucun cookie. Les seuls traceurs utilisés sont strictement nécessaires au service que vous demandez : ils sont, à ce titre, dispensés de consentement (article 82 de la loi Informatique et Libertés), et c'est pourquoi aucun bandeau ne vous le demande.

Le service d'édition des documents en ligne peut utiliser ses propres traceurs techniques le temps d'une session d'édition [À FAIRE CONFIRMER : relevé à faire].

Vous pouvez supprimer ces traceurs depuis les réglages de votre navigateur ; votre session sera alors fermée.

9. Modifications

Cette politique évolue avec le service. La version en vigueur et sa date figurent en tête de page, et les cabinets sont informés de toute modification substantielle.