Retrouvez ici les conditions générales de vente, la politique de confidentialité et le data processing agreement.
Dernière mise à jour : 19 mars 2026
Les présentes Conditions Générales de Vente (ci-après « CGV ») régissent les relations contractuelles entre :
- L'Éditeur : Sylvain Bertrand, entrepreneur individuel, dont l'activité est exercée sous le nom commercial « Prudo » (ci-après « Prudo » ou « l'Éditeur »). Contact : contact@prudo.fr
- Le Client : toute personne morale (entreprise, cabinet d'avocats ou syndicat) souscrivant à un abonnement sur la plateforme Prudo (ci-après « le Client »).
Prudo est une plateforme SaaS (Software as a Service) accessible à l'adresse app.prudo.fr, destinée à aider les entreprises, avocats et syndicats à enregistrer, suivre et gérer les procédures prud'homales.
Toute souscription à un abonnement implique l'acceptation pleine et entière des présentes CGV.
Prudo est un outil de gestion et d'aide à la mise en forme destiné à faciliter le suivi administratif des procédures prud'homales. La plateforme propose les fonctionnalités suivantes (selon le plan souscrit) :
- Création et suivi de dossiers prud'homaux (pré-contentieux et/ou contentieux)
- Gestion des parties (salariés, employeurs, syndicats, mandataires, avocats)
- Aide à la mise en forme de documents procéduraux (conclusions, saisines, plaidoiries, attestations, PV de conciliation)
- Stockage sécurisé de pièces et documents sur serveurs français chiffrés
- Extraction automatique de données par OCR
- Présentation d'options et d'informations issues de la jurisprudence et du droit du travail
- Export de documents (PDF, DOCX, archives ZIP)
- Tableau de bord et suivi des échéances
Important : Prudo est un outil technique de gestion et de mise en forme. La plateforme ne fournit aucun conseil juridique, ne se substitue à aucun professionnel du droit et n'exerce aucune activité relevant du monopole de la profession d'avocat au sens de la loi n° 71-1130 du 31 décembre 1971. Les documents produits, les options présentées et les informations affichées ne constituent en aucun cas une consultation juridique, un avis ou une recommandation personnalisée. Le Client reste seul responsable de l'usage qu'il fait des documents et informations générés par la plateforme.
3.1 – Plans pour entreprises
| Plan | Utilisateurs | Dossiers actifs | Stockage |
|------|-------------|-----------------|----------|
| **Standard** | 5 | Pré-contentieux uniquement | 100 Go |
| **Complet** | 5 | 5 | 500 Go |
| **Premium** | 10 | 10 | 1 000 Go |
- Le plan Standard ne donne pas accès aux fonctionnalités contentieuses.
- Les plans Complet et Premium donnent accès au pré-contentieux et au contentieux.
3.2 – Plans pour avocats
| Plan | Utilisateurs | Dossiers actifs | Stockage |
|------|-------------|-----------------|----------|
| **Avocat Solo** | 1 | Illimités | 500 Go |
| **Avocat Trio** | 5 | Illimités | 1 000 Go |
| **Avocat Équipe** | 10 | Illimités | 2 000 Go |
- Les plans avocats ne donnent pas accès aux fonctionnalités de pré-contentieux (gestion des dossiers salariés hors procédure).
3.3 - Limites et dépassement
Les limites de stockage, de nombre d'utilisateurs et de dossiers actifs sont appliquées de manière stricte. En cas d'atteinte d'une limite, le Client devra souscrire à un plan supérieur ou réduire son utilisation.
3.4 - Tarifs
Les tarifs en vigueur sont ceux affichés sur le site au moment de la souscription ou communiqués par l'Éditeur. L'ensemble des prix indiqués s'entendent hors taxes (HT).
À la date des présentes, la TVA n'est pas applicable conformément à l'article 293 B du Code général des impôts (franchise en base de TVA). En conséquence, les montants HT et TTC sont actuellement identiques.
En cas d'assujettissement de l'Éditeur à la TVA — notamment en cas de dépassement des seuils de franchise, de changement de régime fiscal ou de transformation de l'entreprise individuelle en société — la TVA au taux en vigueur sera ajoutée aux prix HT indiqués. Cette évolution fiscale ne constitue pas une modification tarifaire au sens des présentes CGV, les prix HT demeurant inchangés. Le Client en sera informé par e-mail au moins 30 jours avant la première facturation incluant la TVA.
Le Client reconnaît que les prix souscrits sont des prix HT et accepte que la TVA, en tant que taxe légalement due par le consommateur final, s'y ajoutera le cas échéant.
L'Éditeur se réserve le droit de modifier ses tarifs HT à tout moment. Toute modification tarifaire sera notifiée au Client au moins 30 jours avant la date de renouvellement de l'abonnement.
4.1 – Processus de souscription
La souscription s'effectue via le processus de paiement sécurisé Stripe. Après validation du paiement, un lien d'invitation est envoyé par e-mail au Client, valable 7 jours, permettant la création du compte administrateur.
4.2 – Compte Client
Le Client est responsable de la confidentialité de ses identifiants de connexion et de ceux de ses utilisateurs. Toute action réalisée depuis un compte authentifié est réputée effectuée par le titulaire du compte.
4.3 – Utilisateurs
Le Client peut inviter des utilisateurs dans la limite du nombre de sièges prévu par son plan. Chaque utilisateur dispose de ses propres identifiants.
5.1 – Durée
L'abonnement est souscrit pour une durée déterminée selon la périodicité choisie (mensuelle ou annuelle). Il prend effet à la date de validation du paiement.
5.2 – Renouvellement
L'abonnement est renouvelé automatiquement à chaque échéance, sauf résiliation par le Client dans les conditions prévues à l'article 6.
5.3 – Défaut de paiement
En cas d'échec du paiement à l'échéance :
- Le statut de l'abonnement passe en impayé.
- Le Client conserve temporairement l'accès au service.
- Après plusieurs tentatives de prélèvement infructueuses, l'abonnement pourra être suspendu puis résilié.
6.1 – Par le Client
Le Client peut résilier son abonnement à tout moment en contactant le support à l'adresse contact@prudo.fr. La résiliation prend effet à la fin de la période d'abonnement en cours. Aucun remboursement prorata ne sera accordé.
6.2 – Par l'Éditeur
L'Éditeur se réserve le droit de résilier l'abonnement d'un Client dans les cas suivants :
- Non-paiement : en cas de défaut de paiement, l'Éditeur adressera au Client une mise en demeure par e-mail lui accordant un délai de 15 jours pour régulariser. À défaut de régularisation dans ce délai, le contrat sera résilié de plein droit, conformément à l'article 1225 du Code civil.
- Utilisation frauduleuse ou abusive du service : résiliation avec un préavis de 15 jours.
- Violation grave des présentes CGV : résiliation immédiate après notification par e-mail, sans préavis, en cas de manquement portant atteinte à la sécurité du service, aux droits de tiers ou à l'ordre public.
6.3 – Conséquences de la résiliation
À l'issue de la résiliation :
- L'accès au service est désactivé.- Le Client peut demander l'export de ses données pendant une durée de 30 jours suivant la résiliation.- Passé ce délai, les données pourront être supprimées conformément à la politique de confidentialité.
Les obligations de l'Éditeur au titre des présentes CGV constituent des obligations de moyens au sens des articles 1217 et suivants du Code civil. L'Éditeur s'engage à mettre en œuvre les moyens raisonnables et conformes à l'état de l'art pour fournir le service, sans garantir un résultat déterminé. L'Éditeur s'engage à :
- Fournir un service conforme à la description des plans souscrits
- Mettre en œuvre les moyens raisonnables pour assurer la disponibilité du service avec un objectif de 99 % (hors maintenance programmée)
- Héberger l'ensemble des données applicatives et des documents judiciaires exclusivement en France, sur des infrastructures françaises (hébergement Scalingo, stockage chiffré OVH S3 région eu-west-par)
- Mettre en œuvre les mesures de sécurité techniques et organisationnelles appropriées
- Informer le Client en cas de maintenance programmée dans un délai raisonnable
- Respecter la réglementation applicable en matière de protection des données personnelles
Le Client s'engage à :
- Utiliser le service conformément à sa destination et aux présentes CGV
- Fournir des informations exactes et à jour lors de l'inscription
- Garantir la confidentialité des identifiants de connexion de ses utilisateurs
- Ne pas tenter de contourner les limites techniques du plan souscrit
- Respecter les droits de propriété intellectuelle de l'Éditeur
- Ne pas utiliser le service à des fins illicites
9.1 – Droits de l'Éditeur
L'ensemble des éléments composant la plateforme Prudo (logiciel, interface, design, bases de données, algorithmes, documentation) est la propriété exclusive de l'Éditeur et est protégé par les dispositions du Code de la propriété intellectuelle, notamment au titre du droit d'auteur (articles L.111-1 et suivants) et du droit des bases de données (articles L.341-1 et suivants).
9.2 – Licence d'utilisation
La souscription à un abonnement confère au Client un droit d'utilisation non exclusif, non transférable et non cessible de la plateforme, pour la durée de l'abonnement et dans la limite des fonctionnalités prévues par le plan souscrit.
9.3 – Données du Client
Le Client conserve l'intégralité des droits de propriété sur les données et documents qu'il importe dans la plateforme. L'Éditeur ne revendique aucun droit sur le contenu du Client.
10.1 – Limitation de responsabilité
La responsabilité de l'Éditeur est limitée aux dommages directs et prévisibles résultant d'un manquement à ses obligations contractuelles. En tout état de cause, la responsabilité totale de l'Éditeur ne pourra excéder le montant des sommes versées par le Client au titre des 12 derniers mois d'abonnement.
10.2 – Exclusions
L'Éditeur ne saurait être tenu responsable :
- Des interruptions de service liées à des cas de force majeure- Des dommages résultant d'une utilisation non conforme du service par le Client- De l'exactitude, de la pertinence ou de l'exhaustivité des documents mis en forme par la plateforme, qui restent sous l'entière responsabilité du Client- Des résultats de l'extraction OCR ou de l'analyse par intelligence artificielle, qui sont fournis à titre purement indicatif et doivent impérativement être vérifiés par le Client ou par un professionnel qualifié- Des conséquences de toute décision prise par le Client sur la base des informations ou options présentées par la plateforme
10.3 – Absence de conseil juridique – Interdiction d'exercice illégal
La plateforme Prudo ne fournit aucun conseil juridique.
Conformément à la loi n° 71-1130 du 31 décembre 1971 portant réforme de certaines professions judiciaires et juridiques, l'activité de conseil juridique est réservée aux professionnels habilités (avocats, juristes d'entreprise dans les conditions légales, etc.).
Prudo est un outil technique de gestion, de mise en forme et de présentation d'informations. À ce titre :
- Les documents produits par la plateforme (conclusions, saisines, plaidoiries, etc.) constituent une aide à la mise en forme et ne sauraient se substituer à l'analyse, à la stratégie et à la validation d'un professionnel du droit.
- Les informations, options et données de jurisprudence présentées le sont à titre purement informatif. Elles ne constituent ni une consultation juridique, ni un avis personnalisé, ni une recommandation de stratégie contentieuse.
- Les analyses assistées par intelligence artificielle sont fournies à titre indicatif uniquement et peuvent contenir des erreurs ou des approximations. Elles doivent être systématiquement vérifiées par un professionnel qualifié.
- Les fonctionnalités d'IA reposent sur Mistral, modèle d'intelligence artificielle français, dans un souci de souveraineté des données. Les résultats produits par l'IA sont systématiquement encadrés et complétés par des données de référence codées en dur dans l'application (barèmes légaux, prescriptions, taux de charges sociales, catalogues de demandes issus du Code du travail), afin de limiter le risque d'erreur ou d'hallucination. Ce dispositif ne garantit toutefois pas l'absence totale d'inexactitudes.
- Le Client est seul responsable de la vérification, de la validation et de l'utilisation des documents et informations générés par la plateforme.- L'Éditeur décline toute responsabilité en cas de préjudice résultant de l'utilisation des documents ou informations sans vérification par un professionnel du droit.
Le traitement des données personnelles est régi par la Politique de Confidentialité et le Data Processing Agreement (DPA), accessibles séparément et faisant partie intégrante des présentes CGV.
L'Éditeur agit en qualité de sous-traitant au sens du RGPD pour les données personnelles que le Client importe dans la plateforme (données des salariés, parties aux procédures, etc.).
12.1 – Disponibilité
L'Éditeur met en œuvre les moyens raisonnables pour assurer la continuité du service 24h/24, 7j/7. L'objectif de disponibilité est de 99 % sur une base mensuelle. Cet engagement constitue une obligation de moyens et non de résultat.
12.2 – Maintenance
L'Éditeur se réserve le droit d'interrompre temporairement le service pour des opérations de maintenance. Les maintenances programmées seront notifiées au Client avec un préavis raisonnable.
12.3 – Force majeure
L'Éditeur ne pourra être tenu responsable des retards ou interruptions résultant de cas de force majeure, tels que définis par l'article 1218 du Code civil.
Le support technique est disponible par e-mail à l'adresse contact@prudo.fr. L'Éditeur s'efforce de répondre aux demandes dans un délai raisonnable pendant les jours ouvrables.
Le support est strictement limité à l'assistance technique liée à l'utilisation de la plateforme (fonctionnement, accès, paramétrage, export de données, etc.). Le support ne peut en aucun cas fournir de conseil juridique, d'avis sur une stratégie contentieuse, d'interprétation du droit du travail ou de recommandation sur la conduite d'une procédure. Toute demande de cette nature sera déclinée et le Client sera invité à consulter un professionnel du droit habilité.
L'Éditeur se réserve le droit de modifier les présentes CGV à tout moment. Les modifications seront notifiées au Client par e-mail au moins 30 jours avant leur entrée en vigueur. La poursuite de l'utilisation du service après cette date vaut acceptation des nouvelles CGV.
Conformément à l'article 2224 du Code civil, toute action découlant des présentes CGV se prescrit par cinq ans à compter du jour où le titulaire du droit a connu ou aurait dû connaître les faits lui permettant de l'exercer.
Les présentes CGV sont régies par le droit français. En cas de litige, les parties s'engagent à rechercher une solution amiable. À défaut d'accord dans un délai de 30 jours, le litige sera soumis aux tribunaux compétents du domicile de l'Éditeur.
17.1 – Intégralité
Les présentes CGV, la Politique de Confidentialité et le DPA constituent l'intégralité de l'accord entre les parties et remplacent tout accord antérieur.
17.2 – Nullité partielle
Si une clause des présentes CGV était déclarée nulle ou inapplicable, les autres clauses conserveraient leur pleine validité.
17.3 – Cession et transfert du contrat
L'Éditeur se réserve le droit de transférer, céder ou apporter le présent contrat, ainsi que l'ensemble des droits et obligations qui en découlent, à toute société qu'il contrôle, qui le contrôle, ou avec laquelle il est sous contrôle commun, notamment en cas de transformation de l'entreprise individuelle en société (SAS, SARL, etc.). Ce transfert n'affectera pas les droits du Client au titre des présentes CGV. Le Client en sera informé par e-mail dans un délai raisonnable.
17.4 – Renonciation
Le fait pour l'une des parties de ne pas exercer un droit prévu par les présentes CGV ne constitue pas une renonciation à ce droit.
La présente Politique de Confidentialité décrit la manière dont Sylvain Bertrand, entrepreneur individuel exerçant sous le nom commercial « Prudo » (ci-après « Prudo », « nous » ou « l'Éditeur »), collecte, utilise, conserve et protège les données personnelles dans le cadre de l'exploitation de la plateforme Prudo, accessible à l'adresse app.prudo.fr.
Prudo est une plateforme SaaS destinée aux entreprises, cabinets d'avocats et syndicats pour la gestion des procédures prud'homales.
Nous nous engageons à respecter le Règlement Général sur la Protection des Données (UE) 2016/679 (« RGPD ») et la loi n° 78-17 du 6 janvier 1978 modifiée (« loi Informatique et Libertés »).
Pour les données des utilisateurs de la plateforme (comptes, connexions) :
- Responsable de traitement : Sylvain Bertrand, entrepreneur individuel
- Contact : contact@prudo.fr
Pour les données des personnes concernées par les procédures (salariés, employeurs, avocats, etc.) :
- Responsable de traitement : le Client (entreprise, cabinet ou syndicat)
- Prudo agit en qualité de sous-traitant au sens du RGPD (voir le Data Processing Agreement)
3.1 – Données des utilisateurs
Lors de l'inscription et de l'utilisation de la plateforme, nous collectons :
| Donnée | Finalité | Base légale |
|--------|----------|-------------|
| Nom, prénom | Identification du compte | Exécution du contrat |
| Adresse e-mail | Authentification, communication | Exécution du contrat|
| Numéro de téléphone (optionnel) | Contact | Consentement |
| Mot de passe (hashé) | Authentification | Exécution du contrat |
| Adresse IP (anonymisée) | Sécurité, détection d'abus | Intérêt légitime |
| Données de navigation | Amélioration du service | Intérêt légitime |
| Avatar et signature (optionnels) | Personnalisation, documents | Consentement |
3.2 – Données des personnes concernées par les procédures
Ces données sont importées par le Client dans le cadre de la gestion de ses dossiers prud'homaux. Prudo agit en tant que sous-traitant pour ces données. Les catégories incluent :
- Salariés : nom d'usage, nom de naissance, prénom, date et lieu de naissance, nationalité, numéro de sécurité sociale, adresse, e-mail, téléphone, informations sur le représentant légal
- Contrats de travail : dates, type de contrat, poste, rémunération, convention collective, clauses spécifiques
- Employeurs : raison sociale, SIRET, adresse, représentant légal
- Avocats : nom, cabinet, adresse, barreau, toque
- Mandataires et syndicats : identité et coordonnées professionnelles
- Héritiers : nom, prénom, lien de parenté
- Documents : pièces du dossier pouvant contenir des données personnelles variées
3.3 – Données de paiement
Les paiements sont traités par Stripe. Nous ne stockons pas les numéros de carte bancaire. Seuls l'identifiant client Stripe et l'identifiant d'abonnement sont conservés dans notre base de données.
3.4 – Données collectées automatiquement
- Analytique : nous utilisons PostHog (instance UE) pour analyser l'utilisation de la plateforme. Les utilisateurs sont identifiés par un identifiant interne uniquement (pas d'e-mail). Les identifiants dans les URLs sont automatiquement anonymisés.
- Logs techniques : les journaux d'accès sont structurés (Lograge) et ne contiennent pas de données personnelles identifiantes au-delà de l'identifiant utilisateur et de l'adresse IP.
- Erreurs : Sentry collecte les erreurs techniques avec l'identifiant utilisateur uniquement, sans données personnelles.
| Finalité | Base légale | Données concernées |
|----------|-------------|--------------------|
| Fourniture du service SaaS | Exécution du contrat | Données utilisateurs + données procédurales |
| Gestion des abonnements et facturation | Exécution du contrat | Données utilisateurs, données Stripe |
| Sécurité de la plateforme | Intérêt légitime | IP, logs de connexion, tentatives échouées |
| Amélioration du service | Intérêt légitime | Analytique d'usage (PostHog) |
| Support technique | Exécution du contrat | Données utilisateurs |
| Communication transactionnelle | Exécution du contrat | E-mail |
| Respect des obligations légales | Obligation légale | Données nécessaires à la conformité |
5.1 – Accès interne
Seul le personnel habilité de Prudo a accès aux données personnelles, dans la stricte mesure nécessaire à l'exécution de ses missions (développement, support, administration).
5.2 – Sous-traitants et hébergement souverain
L'ensemble des données judiciaires sensibles (dossiers, documents, pièces, données des salariés et des parties aux procédures) est hébergé exclusivement en France, sur des infrastructures opérées par des sociétés françaises. Les documents judiciaires sont chiffrés au repos (AES-256) sur les serveurs OVH S3 situés en France.
Infrastructure critique (données judiciaires) — France :
| Prestataire | Rôle | Localisation |
|-------------|------|-------------|
| Scalingo | Hébergement application et base de données | France |
| OVH | Stockage objet S3 chiffré (documents judiciaires) | France |
| Sweego | E-mails transactionnels | France |
| n8n (auto-hébergé sur Scalingo) | OCR et extraction IA | France |
| Mistral AI | IA française — correction, rédaction, analyse | France |
Services auxiliaires (aucune donnée judiciaire) — UE :
| Prestataire | Rôle | Localisation |
|-------------|------|-------------|
| Cloudinary | CDN pour assets non-sensibles (logos, illustrations) | UE |
| Stripe | Paiement en ligne (données bancaires uniquement) | UE |
| Sentry | Monitoring d'erreurs (identifiant utilisateur uniquement) | UE |
| PostHog | Analytique d'usage anonymisée | UE |
5.3 – Transferts hors UE
Aucun transfert de données personnelles n'est effectué hors de l'Union européenne. Les données judiciaires sensibles ne quittent jamais le territoire français.
6.1 – Données des utilisateurs
| Situation | Durée de conservation |
|-----------|----------------------|
| Compte actif | Durée de l'abonnement |
| Après résiliation | 30 jours (période d'export), puis suppression |
| Logs de connexion | 12 mois |
| Données de facturation | 10 ans (obligation comptable) |
6.2 – Données des personnes concernées par les procédures
La conservation des données des salariés et parties aux procédures suit un mécanisme progressif :
Dossier ouvert
- Les données sont accessibles normalement pendant toute la durée de traitement du dossier.
Dossier clôturé – Phase de conservation (0 à 5 ans) :
- Les données restent accessibles après la clôture du dossier.- La date de référence est la plus tardive entre la fin du contrat de travail et la date de clôture du dossier.
Dossier clôturé – Phase d'anonymisation (après 5 ans) :
- Conformément au principe de minimisation (article 5(1)(c) du RGPD), les données personnelles des salariés sont automatiquement anonymisées : Nom et prénom remplacés par « Salarié anonymisé », E-mail, téléphone, adresse, date de naissance, numéro de sécurité sociale, lieu de naissance, nationalité masqués, Salaire et clauses contractuelles spécifiques masqués
- Les données structurelles du dossier (nature du litige, montants des demandes, décisions) restent accessibles à des fins statistiques et d'archive.
- L'anonymisation est effectuée par un traitement automatisé et tracé.
Phase de suppression (après 10 ans) :
- Conformément aux obligations de conservation des titres exécutoires, les données sont conservées au minimum 10 ans.
- Passé ce délai, les données sont éligibles à une suppression définitive de la base de données et des systèmes de stockage.
Nous mettons en œuvre des mesures de sécurité techniques et organisationnelles conformes à l'état de l'art :
7.1 – Chiffrement et hébergement français
- En transit : toutes les communications sont chiffrées via HTTPS/TLS (SSL forcé en production)
- Au repos : les documents judiciaires stockés sur OVH S3 (serveurs situés en France) sont chiffrés en AES-256 côté serveur
- Localisation : l'application, la base de données et les documents sont hébergés exclusivement en France sur des infrastructures françaises (Scalingo, OVH)
7.2 – Contrôle d'accès
- Authentification par e-mail et mot de passe avec hashage sécurisé
- Verrouillage automatique des comptes après plusieurs tentatives échouées
- Expiration automatique des sessions inactives
- Système d'autorisation basé sur les rôles (accès limité selon le profil)
7.3 – Protection contre les attaques
- Limitation du débit des requêtes (rate limiting) : 5 tentatives de connexion par minute, 3 réinitialisations de mot de passe par minute, 300 requêtes API par tranche de 5 minutes (par IP)
- Protection contre le rebinding DNS
- Politique de sécurité du contenu (CSP) restrictive
7.4 – Monitoring et audit
- Journalisation structurée des accès (sans données personnelles)
- Suivi des erreurs en temps réel
- Analyse statique de sécurité du code source- Audit régulier des dépendances
7.5 – Isolation des données- Les données de chaque Client sont isolées par identifiant client- Les fichiers sont accessibles uniquement via le proxy applicatif (pas d'accès direct au stockage)
Conformément au RGPD et à la loi Informatique et Libertés, vous disposez des droits suivants :
8.1 – Pour les utilisateurs de la plateforme
| Droit | Description |
|-------|-------------|
| Accès | Obtenir une copie de vos données personnelles |
| Rectification | Corriger des données inexactes ou incomplètes |
| Effacement | Demander la suppression de vos données (sous réserve des obligations légales) |
| Portabilité | Recevoir vos données dans un format structuré et lisible |
| Limitation | Demander la limitation du traitement dans certains cas |
| Opposition | Vous opposer au traitement fondé sur l'intérêt légitime |
| Retrait du consentement | Retirer votre consentement à tout moment pour les traitements fondés sur celui-ci (sans affecter la licéité du traitement antérieur) |
Pour exercer vos droits, contactez-nous à : contact@prudo.fr
Nous répondrons à votre demande dans un délai d'un mois à compter de sa réception.
8.2 – Pour les personnes concernées par les procédures
Si vous êtes un salarié, employeur ou toute autre personne dont les données figurent dans un dossier géré via Prudo, vos droits doivent être exercés auprès du Client (entreprise, cabinet d'avocats ou syndicat) qui est le responsable de traitement. Nous assisterons le Client dans le traitement de votre demande.
8.3 – Réclamation
Vous disposez du droit d'introduire une réclamation auprès de la Commission Nationale de l'Informatique et des Libertés (CNIL) :
- Site web : [www.cnil.fr](https://www.cnil.fr)
- Adresse : 3 Place de Fontenoy, TSA 80715, 75334 Paris Cedex 07
Conformément à l'article 5(3) de la directive ePrivacy (2002/58/CE), à l'article 82 de la loi Informatique et Libertés et aux lignes directrices de la CNIL sur les cookies et traceurs (délibération n° 2020-091), nous vous informons de l'utilisation des technologies suivantes :
9.1 – Traceurs strictement nécessaires (sans consentement)
Ces traceurs sont indispensables au fonctionnement du service et ne nécessitent pas votre consentement :
| Traceur | Type | Finalité | Durée |
|---------|------|----------|-------|
| Cookie de session | Cookie | Authentification de l'utilisateur | Durée de la session |
| Token CSRF | Cookie | Protection contre les attaques CSRF | Durée de la session |
| Sentry (monitoring d'erreurs) | Aucun cookie | Détection et correction des erreurs techniques — aucune donnée personnelle collectée (identifiant interne uniquement, pas d'IP ni d'e-mail) | — |
9.2 – Traceurs de mesure d'audience
La plateforme utilise PostHog pour la mesure d'audience. Ce traceur utilise le stockage local du navigateur (localStorage), et non des cookies, mais relève néanmoins de la réglementation sur les traceurs au sens de l'article 82 de la loi Informatique et Libertés.
Garanties mises en œuvre pour limiter l'impact sur la vie privée :
- Instance PostHog hébergée dans l'Union européenne (eu.posthog.com)
- Collecte automatique désactivée (autocapture: false) — seuls les événements explicitement définis sont envoyés
- Identification par identifiant interne uniquement (pas d'e-mail, pas de nom)
- Adresse IP non collectée (ip: false)
- Enregistrement de session désactivé
- Anonymisation automatique des identifiants dans les URLs
- Sanitisation des données : toute donnée personnelle (e-mail, nom, prénom, téléphone, adresse, date de naissance, numéro de sécurité sociale) est automatiquement supprimée avant envoi- Pas de recoupement avec d'autres traitements ou transmissions à des tiers- Finalité strictement limitée à la mesure d'audience et à l'amélioration du service
Base légale : intérêt légitime de l'Éditeur à mesurer l'audience et améliorer le service (article 6(1)(f) du RGPD). Compte tenu des garanties ci-dessus (absence de données personnelles identifiantes, absence de recoupement, absence de transfert à des tiers), ce traceur est mis en œuvre conformément aux recommandations de la CNIL relatives à l'exemption de consentement pour certains outils de mesure d'audience (délibération n° 2020-091).
9.3 – Absence de traceurs publicitaires ou de profilage
La plateforme n'utilise aucun traceur publicitaire, aucun pixel de suivi tiers, aucun outil de profilage comportemental et aucun réseau publicitaire. Aucune donnée n'est transmise à des régies publicitaires ou à des courtiers en données.
10.1 – Extraction OCR
La plateforme utilise des technologies d'extraction automatique (OCR) pour faciliter la saisie des données à partir de documents importés. Les données extraites sont :
- Traitées sur une instance n8n auto-hébergée en France (Scalingo)
- Soumises à validation par l'utilisateur avant enregistrement
- Non conservées en dehors de la plateforme après traitement
10.2 – Analyse et rédaction assistées par IA
La plateforme utilise Mistral, modèle d'intelligence artificielle français, pour les fonctionnalités suivantes :
- Correction et amélioration de texte : orthographe, grammaire et terminologie juridique
- Aide à la rédaction de courriers : avertissements, mises à pied, licenciements (à partir de notes saisies par l'utilisateur)
- Analyse de jugements : extraction et synthèse d'informations à partir de décisions de justice
- Extraction de données (OCR) : lecture automatique de documents (contrats, convocations)
Souveraineté des données :
- Mistral est une entreprise française (Mistral AI, Paris). Les données envoyées à l'API Mistral sont traitées en France (ou UE).
- Aucune donnée n'est conservée par Mistral après le traitement de la requête (pas d'entraînement sur les données clients).
- Les workflows d'extraction (OCR, analyse de jugements) sont hébergés sur une instance n8n auto-hébergée en France (Scalingo).
Fiabilité et encadrement des résultats :
- Les résultats produits par l'IA sont systématiquement encadrés et complétés par des données de référence codées en dur dans l'application : barèmes légaux (barème Macron, article L.1235-3 du Code du travail), prescriptions, taux de charges sociales, catalogues de demandes prud'homales, et autres données issues du Code du travail.
- Ce dispositif de double vérification (IA + données de référence) vise à limiter le risque d'erreur ou d'hallucination, sans toutefois le supprimer totalement.
Limites et responsabilité :
- Les résultats sont fournis à titre purement indicatif et peuvent contenir des erreurs ou approximations
- Ils ne constituent en aucun cas un conseil juridique, un avis personnalisé ou une recommandation de stratégie contentieuse au sens de la loi n° 71-1130 du 31 décembre 1971
- Ils doivent impérativement être vérifiés par un professionnel du droit qualifié avant toute utilisation
- Les données sont traitées de manière confidentielle
- Aucune prise de décision automatisée au sens de l'article 22 du RGPD n'est mise en œuvre
La plateforme Prudo n'est pas destinée aux mineurs de moins de 15 ans, conformément à l'article 45 de la loi n° 78-17 du 6 janvier 1978 modifiée (loi Informatique et Libertés). Nous ne collectons pas sciemment de données personnelles de mineurs.
Nous nous réservons le droit de modifier la présente Politique de Confidentialité à tout moment. En cas de modification substantielle, les utilisateurs seront informés par e-mail ou via une notification dans la plateforme au moins 30 jours avant l'entrée en vigueur des modifications.
La date de dernière mise à jour est indiquée en haut du document.
Pour toute question relative à la protection de vos données personnelles :
- E-mail : contact@prudo.fr
- Responsable de la protection des données : Sylvain Bertrand
Le présent Data Processing Agreement (ci-après « DPA ») définit les conditions dans lesquelles l'Éditeur de la plateforme Prudo (ci-après « le Sous-traitant ») traite les données personnelles pour le compte du Client (ci-après « le Responsable de traitement »), conformément au Règlement Général sur la Protection des Données (UE) 2016/679 (ci-après « RGPD ») et à la loi n° 78-17 du 6 janvier 1978 modifiée (loi Informatique et Libertés).
Le présent DPA fait partie intégrante des Conditions Générales de Vente (CGV) de Prudo.
- Données personnelles : toute information se rapportant à une personne physique identifiée ou identifiable, au sens de l'article 4 du RGPD.
- Responsable de traitement : le Client, qui détermine les finalités et les moyens du traitement des données personnelles importées dans la plateforme.
- Sous-traitant : l'Éditeur de Prudo, qui traite les données personnelles pour le compte du Responsable de traitement.
- Sous-traitant ultérieur : tout prestataire auquel le Sous-traitant fait appel pour traiter des données personnelles dans le cadre du présent DPA.
- Violation de données : une violation de la sécurité entraînant, de manière accidentelle ou illicite, la destruction, la perte, l'altération, la divulgation non autorisée ou l'accès non autorisé à des données personnelles.
3.1 – Données des utilisateurs de la plateforme
- Nom, prénom, adresse e-mail- Numéro de téléphone (optionnel)- Fonction et rôle au sein de l'organisation du Client- Adresse IP (anonymisée dans les logs)- Données de connexion et d'utilisation
3.2 – Données des personnes concernées par les procédures prud'homales
Ces données sont importées par le Client et peuvent inclure :
Données d'identification des salariés :
- Nom d'usage, nom de naissance, prénom
- Date et lieu de naissance
- Nationalité
- Numéro de sécurité sociale
- Adresse postale complète
- Adresse e-mail et numéro de téléphone
- Informations sur le représentant légal (le cas échéant)
Données relatives au contrat de travail :
- Dates d'embauche et de fin de contrat
- Type de contrat, poste occupé, classification
- Rémunération (salaire mensuel brut et net)
- Convention collective applicable
- Clauses spécifiques du contrat
Données relatives à la procédure :
- Position procédurale (demandeur / défendeur)
- Demandes et prétentions
- Représentation par avocat
- Documents et pièces du dossier (pouvant contenir des données sensibles)
Données des employeurs :
- Raison sociale, SIRET, forme juridique
- Adresse du siège social
- Nom du représentant légal
- Convention collective applicable
Données des avocats et mandataires :
- Nom, prénom, cabinet
- Adresse professionnelle
- Numéro de téléphone, adresse e-mail
- Numéro de toque / barreau
Données des héritiers (le cas échéant) :
- Nom d'usage, nom de naissance, prénom
- Lien de parenté avec le salarié
Le Sous-traitant traite les données personnelles uniquement aux fins suivantes, sur instruction du Responsable de traitement :
1. Gestion des dossiers prud'homaux : enregistrement, suivi et gestion des procédures
2. Aide à la mise en forme de documents procéduraux : conclusions, saisines, plaidoiries, attestations, PV de conciliation
3. Stockage sécurisé : conservation des documents et pièces du dossier
4. Extraction automatique (OCR) : numérisation et extraction de données à partir de documents importés
5. Analyse assistée par IA : présentation d'informations et d'options à titre indicatif (ne constituant pas un conseil juridique). L'IA utilisée est Mistral, modèle français, et ses résultats sont systématiquement encadrés par des données de référence codées en dur (barèmes légaux, prescriptions, catalogues issus du Code du travail)
6. Export : génération de PDF, DOCX et archives pour le Client
Le Sous-traitant ne traite pas les données pour ses propres finalités et ne les utilise pas à des fins commerciales, publicitaires ou de profilage.
Le Sous-traitant s'engage à :
5.1 – Respect des instructions
- Traiter les données personnelles uniquement sur instruction documentée du Responsable de traitement
- Informer immédiatement le Responsable de traitement s'il estime qu'une instruction constitue une violation du RGPD
5.2 – Confidentialité
- S'assurer que les personnes autorisées à traiter les données personnelles sont soumises à une obligation de confidentialité
- Limiter l'accès aux données au personnel strictement nécessaire
5.3 – Sécurité des données
Le Sous-traitant met en œuvre les mesures techniques et organisationnelles suivantes :
Hébergement et infrastructure – Souveraineté française :
L'ensemble des données applicatives, de la base de données et des documents judiciaires sont hébergés exclusivement en France, sur des infrastructures opérées par des sociétés françaises :
- Hébergement applicatif et base de données PostgreSQL sur Scalingo, plateforme cloud française (datacenters Outscale / 3DS, région eu-west-par, France)
- Stockage des documents judiciaires et pièces des dossiers sur OVH S3 (région eu-west-par, France) avec chiffrement AES-256 côté serveur — aucun document judiciaire n'est stocké en dehors du territoire français
- Workflows d'extraction OCR et IA hébergés sur une instance **n8n auto-hébergée sur Scalingo** (France)
- Envoi d'e-mails transactionnels via Sweego, prestataire français- Connexions HTTPS/TLS obligatoires (force_ssl en production)
- En-têtes HTTP de sécurité (Strict-Transport-Security, Content-Security-Policy)
Les services auxiliaires ne traitant aucune donnée judiciaire sensible (analytique d'usage, monitoring d'erreurs, paiement, CDN pour assets non-sensibles) sont opérés au sein de l'Union européenne (voir tableau des sous-traitants ultérieurs, article 5.4).
Contrôle d'accès :
- Authentification par e-mail et mot de passe (Devise) avec verrouillage après tentatives échouées
- Système d'autorisation basé sur les rôles (Pundit)
- Limitation du nombre de requêtes (Rack::Attack) :
- Tentatives de connexion : 5 par minute
- Réinitialisations de mot de passe : 3 par minute
- Requêtes API : 300 par tranche de 5 minutes (par IP), 500 par tranche de 5 minutes (par utilisateur)
- Expiration automatique des sessions (timeout Devise)
Traçabilité et monitoring :
- Journalisation structurée (Lograge) sans données personnelles dans les logs
- Suivi des erreurs (Sentry) avec envoi de l'identifiant utilisateur uniquement (pas de PII)
- Analytique (PostHog) : identification par ID uniquement, pas d'e-mail ; anonymisation des identifiants dans les URLs
Audit de sécurité :
- Analyse statique de sécurité du code (Brakeman)
- Audit des dépendances (Bundler-Audit)
5.4 – Sous-traitance ultérieure
Le Sous-traitant fait appel aux sous-traitants ultérieurs suivants :
Infrastructure critique (données judiciaires et applicatives) — France :
| Sous-traitant | Finalité | Localisation | Données sensibles |
|---------------|----------|-------------|-------------------|
| Scalingo | Hébergement de l'application et de la base de données | France (eu-west-par) | Oui |
| OVH | Stockage objet S3 chiffré (documents et pièces judiciaires) | France (eu-west-par) | Oui |
| Sweego | Envoi d'e-mails transactionnels | France | Non |
| n8n (auto-hébergé sur Scalingo) | Workflows d'OCR et d'extraction IA | France (eu-west-par) | Oui (traitement transitoire) |
| Mistral AI | Modèle d'IA français — correction de texte, aide à la rédaction de courriers, analyse de documents | France / UE (API Mistral) | Oui (traitement transitoire, aucune donnée conservée par Mistral après traitement) |
Services auxiliaires (aucune donnée judiciaire) — UE :
| Sous-traitant | Finalité | Localisation | Données sensibles |
|---------------|----------|-------------|-------------------|
| Cloudinary | CDN pour assets applicatifs non-sensibles (logos, illustrations) | UE | Non |
| Stripe | Traitement des paiements (données bancaires uniquement) | UE | Non |
| Sentry | Suivi des erreurs applicatives (identifiant utilisateur uniquement, pas de PII) | UE | Non |
| PostHog | Analytique d'usage anonymisée (identifiant interne uniquement) | UE | Non |
Le Sous-traitant informera le Responsable de traitement de tout ajout ou remplacement de sous-traitant ultérieur avec un préavis de 30 jours. Le Responsable de traitement dispose d'un droit d'opposition.
5.5 – Assistance
Le Sous-traitant assiste le Responsable de traitement pour :
- Répondre aux demandes d'exercice des droits des personnes concernées (accès, rectification, effacement, portabilité, limitation, opposition)- Réaliser des analyses d'impact relatives à la protection des données (AIPD) si nécessaire- Notifier les violations de données à l'autorité de contrôle (CNIL) et aux personnes concernées
En cas de violation de données personnelles, le Sous-traitant s'engage à :
1. Notifier le Responsable de traitement dans un délai de 48 heures après en avoir pris connaissance
2. Fournir les informations suivantes :
- La nature de la violation (catégories et nombre approximatif de personnes et d'enregistrements concernés)
- Les conséquences probables de la violation
- Les mesures prises ou proposées pour remédier à la violation
3. Coopérer avec le Responsable de traitement pour la notification à la CNIL (dans les 72 heures) et, le cas échéant, aux personnes concernées
7.1 – Durée de conservation en cours d'utilisation
Les données personnelles sont conservées pendant toute la durée de l'abonnement du Client et pendant une période de 30 jours suivant la résiliation, durant laquelle le Client peut demander l'export de ses données.
7.2 – Anonymisation des données des salariés (RGPD)
Conformément au principe de minimisation des données, le système met en œuvre un mécanisme d'anonymisation progressive :
Phase 1 – Anonymisation (5 ans après la date de référence) :
- La date de référence est calculée comme la date la plus tardive entre la fin du contrat de travail et la clôture du dossier
- Passé un délai de 5 ans, les données personnelles du salarié sont masquées :
- Nom, prénom → « Salarié anonymisé »
- E-mail, téléphone → masqués
- Adresse → « Adresse masquée (RGPD) »
- Date de naissance, numéro de sécurité sociale, lieu de naissance, nationalité → masqués
- Informations du représentant légal → masquées
- Salaire et clauses spécifiques du contrat → masqués
- Les données ne sont pas supprimées de la base de données mais rendues inaccessibles via l'interface et les API
- Cette opération est irréversible en conditions normales (une dé-anonymisation est techniquement possible mais réservée à des cas exceptionnels justifiés)
Phase 2 – Éligibilité à la suppression (10 ans) :
- Conformément aux obligations légales de conservation des titres exécutoires, les données sont conservées 10 ans
- Passé ce délai, les données sont éligibles à une suppression définitive
Traitement automatisé :
- Un traitement automatisé identifie et anonymise les dossiers éligibles selon les règles ci-dessus
- Les opérations d'anonymisation sont tracées et les éventuelles erreurs remontées au système de monitoring
7.3 – Suppression à la demande
Le Responsable de traitement peut demander la suppression anticipée de données spécifiques en contactant le Sous-traitant, sous réserve des obligations légales de conservation.
7.4 – Fin du contrat
À l'issue du contrat et passé le délai d'export de 30 jours, le Sous-traitant procédera à la suppression des données du Client, sauf obligations légales de conservation.
8.1 – Localisation
Les données judiciaires sensibles (dossiers, documents, pièces, données des salariés et parties aux procédures) sont hébergées exclusivement en France, sur des infrastructures opérées par des sociétés françaises (Scalingo, OVH). Les documents judiciaires sont chiffrés au repos (AES-256) sur les serveurs OVH S3 situés en France.
Les services auxiliaires ne traitant aucune donnée judiciaire (analytique, monitoring, paiement, CDN) opèrent au sein de l'Union européenne.
Aucun transfert de données personnelles vers des pays tiers (hors UE) n'est effectué.
8.2 – Garanties
En cas de nécessité exceptionnelle de transfert hors UE, le Sous-traitant s'engage à mettre en œuvre les garanties appropriées prévues par le RGPD (clauses contractuelles types, décision d'adéquation, etc.) et à en informer préalablement le Responsable de traitement.
Le Sous-traitant met à disposition du Responsable de traitement les outils et fonctionnalités nécessaires pour répondre aux demandes d'exercice des droits des personnes concernées :
- Droit d'accès : export des données du dossier (archive ZIP, PDF, DOCX)
- Droit de rectification : modification des données via l'interface de gestion
- Droit à l'effacement : anonymisation ou suppression des données sur demande
- Droit à la portabilité : export des données dans un format structuré
- Droit à la limitation : clôture du dossier pour limiter le traitement
- Droit d'opposition : possibilité de demander l'arrêt du traitement
Le Sous-traitant assiste le Responsable de traitement dans le traitement de ces demandes dans un délai raisonnable.
Le Responsable de traitement dispose d'un droit d'audit des mesures de sécurité et des pratiques de traitement du Sous-traitant. Les audits peuvent être réalisés :
- Sur demande écrite avec un préavis de 30 jours- Par le Responsable de traitement ou un auditeur tiers mandaté- À une fréquence maximale d'une fois par an (sauf en cas de violation de données)- Aux frais du Responsable de traitement
Le Sous-traitant s'engage à coopérer pleinement et à fournir les informations nécessaires pour démontrer le respect de ses obligations.
Le présent DPA est conclu pour la durée de l'abonnement du Client aux services Prudo. Il prend fin automatiquement à l'expiration ou la résiliation de l'abonnement, sous réserve des obligations de conservation prévues à l'article 7.
Le Sous-traitant se réserve le droit de transférer le présent DPA, ainsi que l'ensemble des droits et obligations qui en découlent, à toute société qu'il contrôle, qui le contrôle, ou avec laquelle il est sous contrôle commun, notamment en cas de transformation de l'entreprise individuelle en société. Ce transfert n'affectera pas les garanties de protection des données prévues au présent DPA. Le Responsable de traitement en sera informé dans un délai raisonnable.
Le présent DPA est régi par le droit français et le RGPD. En cas de litige, les parties s'engagent à rechercher une solution amiable. À défaut, les tribunaux compétents sont ceux du domicile du Sous-traitant.
