Annexe de sous-traitance : moteur d’analyse Mistral

Le mot employé compte, parce qu’il détermine les responsabilités. La chaîne est la suivante, au sens de l’article 28 du RGPD :

• Le cabinet d’avocats est responsable de traitement. Il décide des finalités, choisit les pièces qu’il charge, informe ses clients et répond de la licéité de la collecte.
• Ruby SAS, éditeur de meentera, est sous-traitant. Elle n’agit que sur instruction documentée du cabinet et pour la seule exécution des fonctions demandées.
• Mistral AI est sous-traitant ultérieur. Ruby SAS y recourt pour la seule couche d’analyse, avec l’autorisation du cabinet prévue à l’article 5 bis des conditions générales, et en demeure pleinement responsable envers lui.

Le nom usuel de ce type d’acte en anglais est parfois repris tel quel dans la profession. Le terme retenu ici est celui du droit applicable : accord de sous-traitance au titre de l’article 28 du RGPD. L’accord publié par Mistral est consultable sur son site juridique, les stipulations propres à Ruby SAS y étant ajoutées par le contrat d’entreprise décrit ci-dessous.

Les points qui suivent sont des obligations souscrites par Mistral AI envers Ruby SAS. Leur exécution relève de Mistral AI, qui en répond ; Ruby SAS en répond à son tour envers le cabinet.

• Rétention nulle accordée à Ruby SAS. Ce régime n’est pas la position par défaut de Mistral AI, qui conserve en principe les échanges transmis à son interface de programmation pendant une durée limitée pour la lutte contre les abus. Ruby SAS en a formé la demande motivée, et Mistral AI l’a accordée pour les seuls points d’accès sans état de son interface, selon la procédure qu’elle publie. Une fois ce régime accordé, Mistral AI s’engage à traiter les contenus transmis en mémoire le temps de produire la réponse, puis à les effacer, sans rétention pour journalisation, mise au point ou reprise.
• Engagement de non-réutilisation. Mistral AI s’engage à ne réutiliser ni les pièces, ni les textes, ni les réponses : ni pour entraîner ou améliorer un modèle, ni pour alimenter un jeu de données, agrégé ou non.
• Traitement dans l’Union européenne. Mistral AI héberge par défaut, dans l’Union européenne, les données transmises à ses points d’accès, ainsi qu’elle le documente publiquement. Ruby SAS a vérifié, dans la configuration de son compte Mistral, que ce périmètre s’applique intégralement à meentera, sans routage hors Union européenne.
• Chiffrement en transit et au repos mis en œuvre par Mistral AI sur son infrastructure européenne.
• Certifications de sécurité. Mistral AI est certifié SOC 2 Type II et ISO 27001/27701. Les rapports d’audit correspondants sont communiqués sur demande via son centre de confiance.
• Éditeur français. Mistral AI est une société française, soumise au contrôle de la CNIL et au même règlement que le cabinet.
• Sous-traitants ultérieurs connus. Mistral publie la liste de ses propres prestataires sur son portail de confiance. Toute évolution suit le mécanisme d’information et d’objection prévu à l’article 28.2 du RGPD.

Un engagement contractuel est une promesse dont son auteur répond, pas une impossibilité technique. Les mesures suivantes sont mises en œuvre par Ruby SAS, indépendamment de ce que Mistral AI a souscrit, pour réduire ce qui sort du périmètre du cabinet :

• Pseudonymisation avant l’appel. Les identifiants structurés (SIREN, SIRET, TVA, RCS, URSSAF, téléphone, adresse électronique, IBAN, BIC) sont remplacés par des jetons, puis remplacés de nouveau par les valeurs d’origine dans le résultat rendu au cabinet. Les noms de personnes et les raisons sociales le sont dès lors que le cabinet les déclare au dossier, de même que la date et le lieu de naissance d’un client personne physique inscrits sur sa fiche, dans les conditions de l’article 5 bis des conditions générales.
• Table de correspondance chiffrée. Le lien entre un jeton et l’identité réelle reste du côté de meentera et n’est jamais transmis au moteur d’analyse.
• Points d’accès sans conservation uniquement. Seuls les points d’accès de l’interface de programmation Mistral qui ne stockent rien sont appelés. Ceux qui déposent des fichiers, créent des agents, ouvrent des conversations persistantes ou traitent par lots sont refusés par le code lui-même, et non par un simple réglage d’exploitation.
• Appels strictement côté serveur. Aucune requête vers le moteur d’analyse n’est émise depuis le navigateur de l’avocat, et aucune clé d’accès n’y circule.
• Hébergement certifié ISO/IEC 27001 pour l’application et pour les pièces des datarooms et des coffres de vigilance, en France (article 9 ter des conditions générales).

Seul ce qui est nécessaire à la fonction demandée est soumis au moteur d’analyse. Les limites suivantes sont portées à la connaissance du cabinet au titre de son obligation d’information, et sont détaillées à l’article 5 bis des conditions générales :

• La pseudonymisation porte sur des identifiants, non sur le contenu : montants, dates, clauses et descriptions sont transmis tels quels, puisque c’est sur eux que porte l’analyse, à l’exception de la date et du lieu de naissance d’un client inscrits sur sa fiche, remplacés là où ils sont reconnus, y compris dans une clause.
• Le masquage des noms repose sur une déclaration du cabinet : le nom d’un tiers cité au corps d’une pièce et absent du dossier est transmis tel quel, sauf s’il est reconnu à sa forme (civilité, forme juridique), ce qui n’est pas le cas de tous.
• Une pièce fournie en image, en fichier numérisé ou en liasse fiscale est transmise dans son format d’origine pour en extraire le texte, l’extraction précédant nécessairement la pseudonymisation.
• Les fonctions dont l’objet même est de lire une information nominative, comme la lecture des dirigeants et de leurs rémunérations dans les pièces d’une valorisation ou la lecture d’une pièce dans le module Vigilance LCB-FT (lutte contre le blanchiment de capitaux et le financement du terrorisme), transmettent la pièce ou son texte sans masquage préalable.

Côté Mistral AI, l’engagement de non-conservation décrit à l’article 2 s’applique à chaque appel. Côté meentera, les pièces restent dans le dossier du cabinet et suivent les durées indiquées dans la politique de confidentialité. Le cabinet peut les supprimer à tout moment, et la suppression d’un dossier emporte celle des pièces qui y sont rattachées.

Cette annexe couvre le seul moteur d’analyse. La lecture de l’agenda extérieur et la reprise de portefeuille, décrites à l’article 8 bis des conditions générales, n’y font pas appel. Les autres prestataires auxquels Ruby SAS recourt, hébergement, paiement et envoi des messages, figurent dans la politique de confidentialité. Les mesures décrites ici sont des mesures techniques et organisationnelles au sens de l’article 32 du RGPD ; leur adéquation au regard du secret professionnel de l’avocat s’apprécie par le cabinet, qui reste responsable de traitement.

Toute évolution du contrat conclu avec Mistral est reportée ici. Pour une question relative à la protection des données, écrire au contact protection des données de Ruby SAS à l’adresse dpo@meentera.com.