En bref : les clients posent de plus en plus de questions sur la sécurité de leurs données. Cinq reviennent à chaque dossier sensible. Voici les réponses argumentées, les références légales à citer, et un modèle d’email prêt à envoyer pour transformer ces questions en preuve de sérieux.
Avant 2020, un client qui vous demandait « où sont mes données ? » était une exception. Aujourd’hui, c’est presque la norme dans les dossiers où l’enjeu est haut — divorce avec patrimoine, due diligence M&A, plainte pénale, bilan patient lourd, fiscalité internationale. La question n’est plus une marque de méfiance. C’est une marque de maturité du client. Bien répondre devient un avantage compétitif.
J’ai listé les cinq questions que mes utilisateurs de Client Vault reçoivent le plus souvent. Pour chacune, vous trouverez la réponse argumentée, la référence légale précise à mentionner, et un encadré pratique. À la fin, un modèle d’email que vous pouvez réutiliser tel quel.
Question 1 : « Où sont stockées mes données ? »
La réponse honnête tient en trois éléments. Premièrement, le lieu physique du serveur — chez quel hébergeur, dans quel pays. Deuxièmement, la juridiction de l’éditeur du logiciel — c’est ce qui détermine l’exposition au CLOUD Act. Troisièmement, la durée et le mécanisme de conservation.
Un cabinet souverain peut répondre : « Vos pièces sont stockées sur notre installation, hébergée chez [OVH/Scaleway/Infomaniak], en France. Aucun éditeur tiers n’y a accès. La conservation est limitée à la durée du dossier plus la prescription légale, après quoi les données sont purgées. » C’est court, précis et opposable. Référence : RGPD article 5.1.b (limitation des finalités) et 5.1.e (limitation de la conservation).
Question 2 : « Qui peut lire mes documents ? »
Le client veut savoir qui, dans votre cabinet, accède concrètement à ses pièces. La réponse doit nommer le principe — l’accès est limité aux collaborateurs assignés au dossier — et préciser le mécanisme — chaque ouverture est tracée dans un journal d’audit auquel le client peut demander un extrait.
Sur un Drive partagé classique, cette réponse est difficile à tenir. Sur un coffre métier configuré par dossier, elle devient mécanique. Référence : RGPD article 32 (sécurité du traitement) et article 5.1.f (intégrité et confidentialité).
Question 3 : « Et si vous êtes piraté ? »
Le client ne demande pas une garantie zéro intrusion — il sait que ça n’existe pas. Il veut savoir trois choses. Combien de temps vous mettez à détecter une intrusion. Comment vous le préviendrez. Combien de données seraient exposées si ça arrivait.
La réponse est triple. Une : votre installation est surveillée — soit par votre prestataire WordPress, soit via un service de monitoring que vous nommez. Deux : en cas de violation susceptible d’engendrer un risque pour le client, vous notifierez la CNIL sous 72 heures et le client concerné sans délai. Trois : le chiffrement au repos limite l’exposition d’une intrusion à un sous-ensemble du dossier — pas à l’intégralité. Référence : RGPD article 33 (notification CNIL) et article 34 (notification personne concernée).
Question 4 : « Puis-je récupérer toutes mes données quand le dossier sera clos ? »
C’est le droit à la portabilité. Le client peut le demander à tout moment, pas seulement à la clôture. Votre obligation : restituer les pièces qu’il vous a fournies, dans un format structuré, couramment utilisé et lisible par machine. Concrètement : un ZIP avec les fichiers d’origine et un index.
Plusieurs SaaS rendent cette opération si lente ou si dégradée — formats propriétaires, captures écran, métadonnées perdues — qu’ils sont en infraction de fait. Un coffre installé chez vous exporte un ZIP propre en quelques secondes. Référence : RGPD article 20 (droit à la portabilité).
Question 5 : « Mes données peuvent-elles partir à l’étranger ? »
C’est la question la plus délicate, parce qu’elle dépend moins de votre intention que de l’architecture de vos outils. Si vous utilisez TaxDome, Notion, HoneyBook, Dropbox ou tout autre SaaS américain, la réponse honnête est « oui, à tout moment, par réquisition CLOUD Act et sans que je puisse l’empêcher ». Si vous utilisez une installation souveraine hébergée en France, la réponse honnête est « non, par construction ».
Cette différence n’est pas marketing. C’est un fait juridique vérifiable. Pour un client dont l’enjeu est stratégique ou pénal, c’est souvent ce qui fait pencher la décision de vous choisir vous plutôt qu’un confrère qui n’a pas la maîtrise. Référence : décision Schrems II (16 juillet 2020) et CLOUD Act américain (mars 2018).
Modèle d’email à envoyer à un client qui pose ces questions
« Bonjour [Prénom],
Vous m’avez interrogé sur la sécurité de vos données. Je vous remercie de cette question — c’est exactement le type de vigilance que je recommande à tous mes clients. Voici les éléments factuels sur lesquels vous pouvez vous appuyer. Vos pièces sont stockées sur mon installation Client Vault, hébergée chez [OVH], en France. Aucun éditeur tiers n’y a accès. La consultation interne est limitée à [Maître X] et moi-même, et chaque ouverture est tracée. En cas d’incident, vous seriez notifié sans délai et la CNIL dans les 72 heures. À la clôture du dossier, je vous remettrai sur demande l’intégralité des pièces dans un ZIP exploitable. Aucune réquisition étrangère ne peut, par construction, atteindre vos données. Si vous souhaitez des détails techniques supplémentaires, ma porte est ouverte. Bien à vous, [Signature] »
Ce mail prend deux minutes à personnaliser. Il transforme une question potentiellement gênante en démonstration de votre sérieux. Et il rassure exactement les clients qui vous payent le plus cher.
