AIPD, synthèse publique.

1. Objet et périmètre

L'AIPD couvre les traitements opérés par Garantiz pour la conservation des preuves d'achat, le suivi des garanties produits, la génération de dossiers d'assurance et les fonctionnalités d'assistance reposant sur l'intelligence artificielle. Elle est révisée au moins une fois par an et à chaque évolution significative.

2. Finalités et base légale

• Conservation et organisation des preuves d'achat — exécution du contrat (art. 6.1.b).
• Suivi des garanties et alertes (fin de garantie, rappels produits) — exécution du contrat / intérêt légitime (art. 6.1.f).
• Génération de dossiers d'assurance — exécution du contrat (art. 6.1.b).
• Partage d'un dossier sinistre avec l'assureur choisi par l'utilisateur, y compris le résultat du contrôle des justificatifs sous une forme limitée — consentement explicite à chaque partage (art. 6.1.a).
• Détection d'usages frauduleux de la plateforme — intérêt légitime (art. 6.1.f).
• Communications transactionnelles et, si l'utilisateur y consent, communications marketing — consentement (art. 6.1.a).

3. Catégories de données traitées

• Données d'identification (email, nom).
• Documents fournis par l'utilisateur (factures, tickets, photos de produits) et leurs métadonnées (marchand, date, montant).
• Métadonnées techniques nécessaires à la sécurité de la plateforme.
• Aucune donnée sensible au sens de l'article 9 RGPD n'est collectée ni traitée.

4. Traitements assistés par IA — Article 22

Les fonctions d'assistance par IA (extraction OCR, suggestions documentaires, aide à la détection d'anomalies) ne produisent aucune décision juridique ou significative à l'égard de l'utilisateur. Toute action sensible reste soumise à une validation humaine. L'utilisateur est informé de l'usage de l'IA dans la politique de confidentialité et la page RGPD.

5. Mesures de sécurité — synthèse

• Chiffrement en transit et au repos conforme à l'état de l'art.
• Contrôle d'accès strict et cloisonnement des données par utilisateur.
• Authentification multifacteur disponible.
• Anti-bot et limitation de débit sur les formulaires sensibles.
• Journalisation des actions sensibles, supervision et plan de réponse aux incidents.
• Sous-traitants soumis à un DPA et à des garanties contractuelles équivalentes.

Le détail technique de ces mesures n'est pas publié pour ne pas faciliter d'éventuelles tentatives d'attaque. Il est documenté dans l'AIPD complète tenue en interne.

6. Conservation des données

Les données sont conservées tant que le compte est actif. À la suppression du compte, les données utilisateur sont effacées dans des délais courts et proportionnés. Les durées détaillées sont précisées dans la politique de confidentialité.

7. Risques principaux et niveau résiduel

L'analyse identifie comme principaux risques : l'accès illégitime aux documents financiers, l'altération ou la perte d'intégrité des fiches produits, l'indisponibilité temporaire du service, et les biais ou erreurs ponctuelles des modèles d'IA d'assistance, et le préjudice qu'un signalement de justificatif transmis à un assureur pourrait causer à l'assuré. Ce dernier risque est encadré par un consentement éclairé, un niveau limité à trois valeurs sans score, une confirmation humaine avant tout signalement et un droit de contestation. Après application des mesures de mitigation, le niveau de risque résiduel est évalué comme faible et acceptable. Une revue continue garantit la mise à jour de cette évaluation.

8. Droits des personnes

Les modalités d'exercice des droits d'accès, rectification, effacement, opposition, portabilité et limitation sont décrites dans la politique de confidentialité. Toute demande peut être adressée à rgpd@garantiz.fr.