Politique de confidentialité

1. Responsable du traitement

Le responsable du traitement des données personnelles est :

• Raison sociale : 42forge — [SIRET]
• Adresse : [ADRESSE_SIEGE]
• Email DPO : [EMAIL_DPO]

2. Données collectées

2.1 Données de compte

• Adresse email (inscription)
• Mot de passe (hashé bcrypt, jamais stocké en clair)

2.2 Documents uploadés

• Contrats PDF (chiffrés AES-256)
• Relevés bancaires PDF (chiffrés)

2.3 Données extraites par l'IA

• Résumé, points de vigilance, dates
• Garanties d'assurance détectées
• Abonnements récurrents détectés

2.4 Données NON collectées

• Pas de cookies (analytics Rybbit cookie-free)
• Pas de tracking publicitaire
• Pas de données de géolocalisation

3. Finalités du traitement

4. Sous-traitants et transferts

Transferts hors UE : Anthropic (Claude) est basé aux États-Unis. Les données envoyées sont anonymisées (noms, adresses, IBAN retirés) et le transfert est encadré par des Clauses Contractuelles Types (CCT) conformes au RGPD.

5. Anonymisation et sécurité

5.1 Processus d'anonymisation

Le traitement se déroule en deux étapes :

Étape 1 — Extraction du texte : votre PDF est envoyé à Mistral (UE) pour en extraire le texte. Le document complet est transmis car l'anonymisation n'est pas possible sur un fichier binaire.

Étape 2 — Anonymisation puis analyse : le texte extrait est anonymisé sur nos serveurs avantd'être envoyé à l'IA d'analyse (Anthropic) :

• Noms et prénoms → remplacés
• Adresses postales → remplacées
• Numéros de contrat → retirés
• IBAN et coordonnées bancaires → retirés

5.2 Chiffrement

• Fichiers : AES-256 (clé individuelle, gérée par KMS)
• Transit : HTTPS/TLS
• Mots de passe : bcrypt (12 rounds)
• Clés : gérées par OpenBao (Transit KMS)

6. Durée de conservation

• Documents et analyses : conservés jusqu'à suppression par l'utilisateur
• Compte inactif : supprimé après 3 ans d'inactivité (avec préavis email de 30 jours)
• Après suppression : les fichiers chiffrés sont supprimés du stockage immédiatement. Les données structurées sont rendues inaccessibles puis définitivement supprimées sous 30 jours.

7. Vos droits

Conformément au RGPD (articles 15 à 22), vous disposez des droits suivants :

• Accès : obtenir une copie de vos données
• Rectification : corriger vos informations
• Effacement : supprimer votre compte et toutes vos données
• Portabilité : exporter vos données dans un format structuré
• Opposition : vous opposer au traitement (analytics)
• Limitation : limiter le traitement dans certains cas

Pour exercer ces droits, contactez-nous à [EMAIL_DPO]. Nous répondons sous 30 jours maximum.

En cas de litige, vous pouvez saisir la CNIL(Commission Nationale de l'Informatique et des Libertés) — www.cnil.fr.

8. Cookies

VigilIA n'utilise aucun cookie publicitaire ni de tracking tiers.

• Cookie de session : strictement nécessaire au fonctionnement (authentification). Exempté de consentement (directive ePrivacy 2002/58/CE).
• Analytics : Rybbit (self-hosted, cookie-free). Aucun cookie déposé, aucune donnée personnelle collectée.

Aucun bandeau de consentement n'est nécessaire car nous n'utilisons pas de cookies non essentiels.

9. Modifications de cette politique

Nous nous réservons le droit de modifier cette politique. En cas de changement substantiel, vous serez informé par email au moins 30 jours avant l'entrée en vigueur. La date de dernière mise à jour est indiquée en haut de cette page.