Politique de confidentialité

1. Introduction

Bienvenue sur SWIM, la plateforme de freelance pour les avocats indépendants.

1.1 Qui sommes-nous ?

Nous sommes SWIM LEGAL (ci-après « SWIM »), société domiciliée au 31 rue de Douai, 75009 Paris, et immatriculée au RCS de Paris sous le numéro 949 323 497.

Nous éditons le site https://swim.legal (ci-après « le Site »), qui donne accès à une plateforme d'intermédiation (ci-après « la Plateforme ») entre, d'une part, des avocats, directions juridiques et autres donneurs d'ordre (ci-après les « SWIMER ») et, d'autre part, des avocats indépendants prestataires de services (ci-après les « SWIMEE »), ainsi qu'à un espace réservé aux clients.

À ce titre, nous traitons vos données personnelles soit en qualité de responsable de traitement (au sens de l'article 4 du RGPD), soit en qualité de sous-traitant pour le compte des Utilisateurs.

1.2 Quel est l'objectif de cette politique de confidentialité ?

La présente politique de confidentialité a pour objectif de vous informer sur :

• la manière dont nous collectons vos données personnelles ;
• les raisons de cette collecte ;
• la manière dont nous utilisons, partageons et protégeons ces données ;
• vos droits en matière de contrôle et de gestion de vos données, et la manière de les exercer.

Une donnée personnelle désigne toute information permettant de vous identifier directement (comme votre nom) ou indirectement (par exemple à l'aide d'un numéro de client unique ou de suivi de commande).

Nos activités de traitement de données personnelles sont soumises au Règlement général sur la protection des données de l'Union européenne (Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, ci-après « RGPD ») et à toute autre législation applicable en matière de protection des données.

1.3 Êtes-vous concerné par cette politique de confidentialité ?

Cette politique de confidentialité s'applique à l'ensemble des Utilisateurs, en complément des Conditions Générales de Vente et d'Utilisation (CGVU) et, le cas échéant, des conditions particulières.

On entend par Utilisateur toute personne utilisant ou ayant utilisé le Site ainsi que les services qui y sont proposés, notamment les visiteurs du Site.

Elle décrit également, à la section 6, la manière dont SWIM traite les données issues de ses propres comptes publicitaires Google Ads au moyen de l'API Google Ads.

1.4 Cette politique de confidentialité peut-elle changer ?

Cette politique de confidentialité est susceptible d'évoluer à tout moment, notamment lorsque cela est nécessaire pour nous conformer à la réglementation sur la protection des données personnelles. La date de mise à jour figurant en tête de page indique la version en vigueur. Nous vous encourageons à consulter régulièrement cette page : https://www.swim.legal/politique-confidentialite.

2. Comment nous contacter ?

Pour toute question relative à la présente politique de confidentialité, ou pour exercer les droits décrits ci-après, vous pouvez contacter directement notre référent en matière de données personnelles :

• par email : contact@swim.legal ;
• par courrier : SWIM LEGAL – Données personnelles – 31 rue de Douai, 75009 Paris.

Selon notre rôle dans le traitement de vos données personnelles (responsable de traitement ou sous-traitant), nous répondrons directement à vos demandes dans les délais prévus par la réglementation, ou nous les transmettrons à nos clients agissant en qualité de responsable de traitement.

Toute demande doit préciser son motif (exercice du droit d'accès, d'opposition, etc.) ainsi que l'adresse postale ou email à laquelle la réponse doit être adressée. Pour exercer vos droits, vous devez justifier de votre identité par tout moyen. En cas de doute raisonnable sur votre identité, nous pouvons vous demander les informations complémentaires nécessaires pour la confirmer.

Nous vous répondrons dans un délai maximum d'un (1) mois à compter de la réception de votre demande. Ce délai peut être prolongé de deux (2) mois en raison de la complexité ou du nombre de demandes.

3. Comment pouvez-vous contrôler les traitements réalisés sur vos données personnelles ?

Les droits décrits ci-dessous peuvent être limités dans les circonstances, conditions et exceptions prévues par la réglementation applicable.

3.1 Vous pouvez modifier vos informations depuis votre compte

Lorsque vous créez un compte sur le Site, vous gardez le contrôle des informations vous concernant grâce aux outils mis à votre disposition :

• Outils d'accès et de mise à jour : les paramètres de votre compte vous permettent d'accéder aux informations que vous nous fournissez et qui sont associées à votre compte, de les rectifier ou de les supprimer directement dans le service.
• Suppression de compte : vous pouvez supprimer votre compte à l'aide de la fonctionnalité prévue à cet effet dans le service.

3.2 Vous pouvez demander l'accès à vos données personnelles

Le droit d'accès vous permet de savoir si des données vous concernant sont traitées et d'en obtenir la communication dans un format compréhensible.

3.3 Vous pouvez demander la rectification de vos données personnelles

Vous avez le droit de corriger des données inexactes vous concernant, ou de compléter des données au regard des finalités pour lesquelles elles sont utilisées.

3.4 Vous pouvez demander l'effacement de vos données personnelles

Vous avez le droit de nous demander l'effacement de données personnelles vous concernant lorsque vous justifiez de l'un des motifs prévus à l'article 17 du RGPD, sous réserve des obligations légales qui nous incombent.

3.5 Vous pouvez limiter l'utilisation de vos données personnelles

Dans certains cas prévus à l'article 18 du RGPD, vous avez le droit de nous demander de geler temporairement l'utilisation de certaines de vos données.

3.6 Vous pouvez décider du sort de vos données après votre décès

Vous pouvez nous donner des directives concernant le sort des informations vous concernant après votre décès.

3.7 Vous pouvez demander la portabilité de vos données personnelles

Vous pouvez demander à récupérer une copie des données personnelles que vous nous avez fournies, dans un format structuré, couramment utilisé et lisible par machine. Lorsque cela est techniquement possible, vous pouvez demander que nous transmettions cette copie à un tiers.

3.8 Vous avez des droits face à une décision automatisée

Par principe, vous avez le droit de ne pas faire l'objet d'une décision entièrement automatisée, fondée ou non sur un profilage, produisant des effets juridiques à votre égard ou vous affectant de manière significative. Nous pouvons néanmoins recourir à ce type de décision lorsqu'elle est nécessaire à la conclusion ou à l'exécution d'un contrat conclu avec nous, lorsqu'elle est autorisée par la réglementation, ou lorsque vous y avez consenti. Dans tous les cas, vous pouvez contester la décision, exprimer votre point de vue et demander l'intervention d'une personne humaine en mesure de la réexaminer (voir la section 5).

3.9 Vous pouvez vous opposer au traitement de vos données

Vous avez le droit de vous opposer à l'utilisation de vos données lorsque leur traitement est fondé sur notre intérêt légitime. En matière de prospection commerciale, ainsi que pour le traitement automatisé de vos données, y compris le profilage, vous pouvez vous y opposer à tout moment.

3.10 Vous pouvez retirer votre consentement à tout moment

Si vous avez consenti au traitement de vos données personnelles, vous pouvez retirer ce consentement à tout moment. Ce retrait n'affecte ni la licéité des traitements effectués avant celui-ci, ni notre droit de poursuivre certains traitements sur une autre base juridique que votre consentement.

3.11 Vous pouvez adresser une réclamation à l'autorité de protection des données

En France, vous pouvez adresser une réclamation à la Commission Nationale de l'Informatique et des Libertés (CNIL) : https://www.cnil.fr/fr/plaintes.

4. Quelles informations sont collectées, comment et pourquoi ?

4.1 Lorsque SWIM agit en tant que responsable de traitement

Nous collectons vos données personnelles lorsque vous nous les communiquez directement, automatiquement lors de votre navigation sur le Site, ou lorsqu'elles nous sont transmises par nos partenaires.

Les champs obligatoires sont signalés comme tels dans nos formulaires de collecte.

Si, dans le cadre de l'utilisation du Site, vous nous communiquez des données personnelles que vous avez collectées directement ou indirectement auprès d'une autre personne, il vous appartient de vous assurer que cette personne vous a autorisé à les partager avec SWIM et qu'elle a été dûment informée de la présente politique.

Lorsque vous nous fournissez volontairement des données personnelles vous concernant, vous vous engagez à communiquer des informations exactes et ne portant pas atteinte aux intérêts ou aux droits des tiers.

Les données que nous collectons en qualité de responsable de traitement sont détaillées ci-dessous.

Pour tous les Utilisateurs

Pour les SWIMER

Pour les SWIMEE

4.2 Lorsque SWIM agit en tant que sous-traitant

Chaque Utilisateur traite les données personnelles de ses interlocuteurs sur la Plateforme en qualité de responsable de traitement distinct, pour ses propres activités. SWIM agit alors en qualité de sous-traitant des Utilisateurs, au sens de la réglementation applicable, pour le traitement des données personnelles échangées entre Utilisateurs dans le cadre de l'identification d'un SWIMEE, de la réponse à une offre, des échanges entre Utilisateurs et de l'envoi de devis et de factures.

Les engagements de SWIM en tant que sous-traitant sont décrits dans l'« Accord de traitement de données » accessible sur la Plateforme.

5. Qu'est-ce que l'IA de SWIM ?

L'IA de SWIM analyse les informations fournies par les Utilisateurs afin de proposer des correspondances pertinentes entre les SWIMEE et les missions.

Ce profilage et cette prise de décision automatisée sont des fonctionnalités intégrées à nos services, sans lesquelles nous ne pourrions pas mettre en relation SWIMER et SWIMEE de manière pertinente. Ces décisions entièrement automatisées sont nécessaires à la conclusion ou à l'exécution du contrat d'utilisation de nos services.

Nous utilisons ces fonctionnalités pour :

• Vous mettre en relation avec d'autres Utilisateurs. Nous utilisons les informations que vous nous fournissez (comme vos compétences ou votre expérience professionnelle) et celles que nous recueillons lors de votre utilisation du service (comme votre activité sur la Plateforme) pour alimenter notre algorithme propriétaire de mise en relation, et vous recommander des missions ou des utilisateurs compatibles avec vos critères. Nous ne collectons aucune donnée sensible, telle que l'origine ethnique, la religion ou l'appartenance syndicale, et de tels critères ne jouent aucun rôle dans notre algorithme.
• Promouvoir la sûreté et la sécurité. Nous utilisons la prise de décision automatisée et le profilage dans le cadre de nos efforts de modération (par exemple pour supprimer les robots), ainsi que pour prévenir, détecter et combattre rapidement les actions illégales ou non autorisées. Ce traitement peut conduire à la suspension ou à la fermeture du compte des Utilisateurs signalés comme se livrant à des activités illégales ou non conformes aux CGVU, sur notre Plateforme comme en dehors, sans préjudice de toute autre action que nous serions en droit d'engager.

Vous disposez des droits décrits à la section 3.8 à l'égard de ces décisions.

6. Données issues des services Google (API Google Ads)

Cette section décrit le traitement des données que SWIM obtient des services Google au moyen de l'API Google Ads. Les autres sections de la présente politique s'y appliquent également.

6.1 Quelles données sont consultées ?

SWIM utilise l'API Google Ads, au moyen d'une application interne nommée « swim-sea-agent », exclusivement pour gérer ses propres comptes publicitaires Google Ads.

L'application accède uniquement aux données des comptes Google Ads appartenant à SWIM : campagnes, groupes d'annonces, mots-clés, termes de recherche, annonces, budgets et statistiques de performance (impressions, clics, coûts, conversions). Elle n'accède à aucune donnée d'autres comptes Google.

Ces données sont pour l'essentiel des statistiques agrégées. Les termes de recherche sont communiqués par Google sans identification des internautes qui les ont saisis.

6.2 À quoi servent-elles ?

Ces données servent uniquement à analyser et optimiser les campagnes publicitaires de SWIM, et à identifier des thématiques de contenu pour son Site.

Elles ne sont pas vendues, ne sont pas utilisées à des fins publicitaires pour le compte de tiers, et ne sont pas utilisées pour développer, améliorer ou entraîner des modèles d'intelligence artificielle généralistes.

6.3 Avec qui sont-elles partagées, transférées ou divulguées ?

SWIM ne vend, ne loue et ne cède pas les données issues des services Google. Elles ne sont transmises qu'aux destinataires suivants :

• les prestataires techniques strictement nécessaires à leur traitement pour le compte de SWIM : hébergement, et services d'intelligence artificielle fournis par Anthropic et OpenAI, utilisés pour automatiser l'analyse des campagnes. Ces prestataires agissent sur instruction de SWIM et sont soumis à des engagements contractuels de confidentialité ;
• toute autorité judiciaire ou administrative habilitée, lorsque la loi l'exige.

Les éventuels transferts hors de l'Union européenne sont encadrés dans les conditions décrites à la section 8.

6.4 Comment sont-elles protégées ?

• L'accès aux comptes Google Ads repose sur le protocole d'autorisation OAuth 2.0 de Google : aucun mot de passe n'est stocké par SWIM.
• Les jetons d'accès sont conservés dans un fichier de configuration dont l'accès est restreint au seul administrateur, et qui est exclu de tout système de gestion de versions.
• Tous les échanges avec les serveurs de Google sont chiffrés (HTTPS/TLS).
• Les données stockées localement par SWIM sont chiffrées sur disque.
• Les traitements qui n'ont pas vocation à modifier les campagnes utilisent un accès en lecture seule, et l'application ne comporte aucune fonction de suppression de données dans les comptes Google Ads.
• L'autorisation accordée à l'application peut être révoquée à tout moment depuis les paramètres de sécurité du compte Google.

6.5 Combien de temps sont-elles conservées ?

Les données issues des comptes Google Ads sont conservées 25 mois, puis supprimées. Cette durée permet de comparer les performances d'une année sur l'autre.

En cas de révocation de l'autorisation, les jetons d'accès sont supprimés et plus aucune donnée n'est collectée.

6.6 Conformité aux règles de Google

L'utilisation et le transfert, par SWIM, des informations reçues des API Google respectent la Règle relative aux données utilisateur des services d'API Google (Google API Services User Data Policy), y compris les exigences d'utilisation limitée (Limited Use).

7. Qui a accès à vos données personnelles ?

Vos données personnelles sont traitées au moyen d'outils informatiques. Aux fins décrites dans la présente politique, elles sont destinées à :

• notre personnel habilité, dans la limite de ce qui est nécessaire à ses missions ;
• nos hébergeurs : pour vous permettre d'accéder au Site et à la Plateforme, nous faisons appel à des prestataires chargés de leur hébergement, de leur maintenance et de leur édition ;
• nos prestataires (sous-traitants), fournisseurs et partenaires, auxquels nous faisons appel pour la réalisation de nos services, notamment nos prestataires de services d'intelligence artificielle (Anthropic, OpenAI) utilisés pour automatiser certaines tâches internes ;
• toute profession réglementée à laquelle la communication de données personnelles est nécessaire pour satisfaire à nos obligations légales et réglementaires, notamment expert-comptable, auditeur d'une autorité compétente, experts, avocats, commissaires aux comptes ;
• toute autorité judiciaire ou administrative habilitée par la loi à solliciter la communication de ces informations.

Les destinataires des données issues des services Google sont précisés à la section 6.3.

8. Vos données personnelles sont-elles transférées hors de l'Union européenne ?

Certains de nos prestataires sont établis hors de l'Union européenne, dans des pays dont le niveau de protection des données peut être inférieur. Dans ce cas, nous encadrons ces transferts par les garanties prévues par la réglementation.

9. Comment protégeons-nous vos données personnelles ?

SWIM met en œuvre des mesures techniques et organisationnelles appropriées pour protéger vos données personnelles contre la perte, l'accès non autorisé, la divulgation, l'altération ou la destruction, notamment :

• le chiffrement des échanges entre votre navigateur et le Site ou la Plateforme (HTTPS/TLS) ;
• la limitation de l'accès aux données au seul personnel habilité et authentifié, dans la limite de ce qui est nécessaire à ses missions ;
• le recours à des hébergeurs et prestataires présentant des garanties suffisantes en matière de sécurité, et liés à SWIM par contrat ;
• le chiffrement sur disque des données stockées localement par SWIM ;
• des mesures spécifiques aux données issues des services Google, décrites à la section 6.4.

En cas de violation de données personnelles susceptible d'engendrer un risque pour vos droits et libertés, SWIM la notifie à la CNIL dans les 72 heures et vous en informe lorsque ce risque est élevé, conformément aux articles 33 et 34 du RGPD.

10. Combien de temps vos données personnelles sont-elles conservées ?

Nous conservons vos données personnelles pendant la durée strictement nécessaire aux finalités du traitement concerné, puis nous les supprimons selon les critères suivants :

• SWIM conserve vos données aussi longtemps qu'elle entretient une relation commerciale continue avec vous ;
• SWIM conserve vos données aussi longtemps que nécessaire pour vous fournir ses services ;
• SWIM conserve vos données aussi longtemps que nécessaire pour se conformer à ses obligations légales et contractuelles.

Les durées de conservation retenues sont les suivantes :

• les données personnelles des prospects (personnes n'ayant jamais acheté) sont conservées 3 ans après le dernier contact émanant du prospect ;
• les données personnelles des clients sont conservées 3 ans à compter du dernier achat ;
• les cookies de mesure d'audience, de publicité ciblée et de partage vers les réseaux sociaux sont déposés sur votre terminal pour une durée de 13 mois ;
• les données issues des comptes Google Ads de SWIM sont conservées 25 mois (section 6.5).

Les durées propres à chaque catégorie de données figurent dans les tableaux de la section 4.

Certaines données personnelles (avoirs, bons d'achat) peuvent être conservées pendant une durée commercialement raisonnable à des fins de sauvegarde, d'archivage ou d'audit. Les factures sont conservées pendant dix (10) ans, conformément aux obligations légales.

11. À propos des cookies

Nous collectons d'autres informations de manière indirecte, notamment au moyen de cookies ou d'autres traceurs. Notre usage des cookies est détaillé dans notre Politique Cookies.

Summary in English — Google user data and data security

This English summary covers sections 6 and 9 of this privacy policy. It is provided for information purposes; in case of discrepancy, the French version prevails.

Google user data (Google Ads API)

Data accessed. SWIM LEGAL uses the Google Ads API, through an internal application named "swim-sea-agent", solely to manage its own Google Ads advertising accounts. The application only accesses data from Google Ads accounts owned by SWIM LEGAL: campaigns, ad groups, keywords, search terms, ads, budgets and performance statistics (impressions, clicks, costs, conversions). It does not access data from any other Google account. This data consists mainly of aggregated statistics; search terms are provided by Google without identifying the users who entered them.

Use. This data is used solely to analyse and optimise SWIM LEGAL's advertising campaigns and to identify content topics for its website. It is not sold, not used for advertising on behalf of third parties, and not used to develop, improve or train generalised artificial intelligence models.

Sharing, transfer and disclosure. SWIM LEGAL does not sell, rent or transfer Google user data. It is only disclosed to: (i) technical service providers strictly necessary to process it on SWIM LEGAL's behalf — hosting, and artificial intelligence services provided by Anthropic and OpenAI to automate campaign analysis — acting on SWIM LEGAL's instructions and bound by contractual confidentiality obligations; (ii) competent judicial or administrative authorities, where required by law. Transfers outside the European Union are governed by the EU–US Data Privacy Framework or the European Commission's standard contractual clauses.

Data protection. Access to Google Ads accounts relies on Google's OAuth 2.0 authorisation protocol: SWIM LEGAL stores no password. Access tokens are kept in a configuration file restricted to the administrator only and excluded from any version control system. All exchanges with Google servers are encrypted (HTTPS/TLS). Data stored locally by SWIM LEGAL is encrypted at rest. Processes that are not meant to modify campaigns use read-only access, and the application has no capability to delete data in Google Ads accounts. The authorisation can be revoked at any time from the Google account security settings.

Retention. Data from Google Ads accounts is kept for 25 months, then deleted. If the authorisation is revoked, access tokens are deleted and no further data is collected.

Compliance. SWIM LEGAL's use and transfer of information received from Google APIs adheres to the Google API Services User Data Policy, including the Limited Use requirements.

Data security

SWIM LEGAL implements appropriate technical and organisational measures to protect personal data against loss, unauthorised access, disclosure, alteration or destruction, including: encryption of exchanges between your browser and the website or platform (HTTPS/TLS); access to data restricted to authorised and authenticated staff, on a need-to-know basis; use of hosting and service providers offering sufficient security guarantees and bound to SWIM LEGAL by contract; encryption at rest of data stored locally by SWIM LEGAL; and the specific measures for Google user data described above. In the event of a personal data breach likely to result in a risk to individuals' rights and freedoms, SWIM LEGAL notifies the French data protection authority (CNIL) within 72 hours and informs the individuals concerned where the risk is high, in accordance with Articles 33 and 34 of the GDPR.

Contact: contact@swim.legal — SWIM LEGAL, 31 rue de Douai, 75009 Paris, France.