Centre de conformité RGPD.

Notre engagement

Garantiz traite des preuves d'achat susceptibles de servir lors d'un sinistre. La sécurité et la confidentialité de ces documents sont une exigence fondamentale. L'Éditeur applique le principe de protection des données dès la conception et par défaut (art. 25 RGPD) et adopte une approche de cyber-résilience alignée avec la directive (UE) 2022/2555 (NIS2).

Cette page expose, en complément de la politique de confidentialité, les modalités concrètes d'exercice de vos droits et le détail des mesures de protection.

Vos droits en un coup d'œil

Droit d'accès (art. 15)

Obtenir la confirmation que des données vous concernant sont traitées et en recevoir une copie.

Droit de rectification (art. 16)

Corriger ou compléter des données inexactes directement depuis votre compte ou sur demande.

Droit à l'effacement (art. 17)

Supprimer votre compte et l'intégralité des données associées, hors obligations légales de conservation.

Droit à la portabilité (art. 20)

Récupérer vos données dans un format structuré, couramment utilisé et lisible par machine (JSON).

Droit d'opposition (art. 21)

Vous opposer à tout traitement fondé sur l'intérêt légitime, et au marketing direct sans motif.

Droit à la limitation (art. 18)

Faire « geler » l'utilisation de vos données pendant le temps nécessaire à une vérification.

Comment exercer vos droits

• Depuis votre compte : exportez vos données et supprimez votre compte à tout moment dans Paramètres > Confidentialité.
• Par email : rgpd@garantiz.fr — joignez une pièce d'identité uniquement si nécessaire à l'authentification de votre demande (article 12.6 RGPD).
• Délai de réponse : un mois maximum, prorogeable de deux mois pour les demandes complexes (vous serez prévenu).
• Recours : en cas de réponse insatisfaisante, vous pouvez saisir la CNIL — cnil.fr/fr/plaintes.

Sous-traitants (art. 28 RGPD)

Bases légales appliquées

• Exécution du contrat (art. 6.1.b) : création de compte, stockage des preuves d'achat, extraction OCR, facturation, emails transactionnels.
• Consentement (art. 6.1.a) : newsletter, parrainage, traceurs non essentiels.
• Intérêt légitime (art. 6.1.f) : sécurité, prévention de la fraude, statistiques d'amélioration. Une mise en balance documentée (« LIA ») a été réalisée pour chacun.
• Obligation légale (art. 6.1.c) : conservation des pièces comptables, réponse aux réquisitions des autorités.

Durées de conservation

Sécurité (RGPD art. 32 — NIS2)

• TLS 1.3 avec HSTS, certificats automatisés.
• Chiffrement au repos conforme à l'état de l'art.
• Cloisonnement strict des données par utilisateur au niveau de la base.
• MFA TOTP disponible avec codes de récupération.
• Signed URLs à durée limitée pour les pièces sensibles.
• CAPTCHA et anti-bot sur les formulaires sensibles, limitation de débit, protection DDoS.
• En-têtes de sécurité conformes aux recommandations OWASP.
• Journalisation des accès admin, plan de réponse aux incidents, exercices de restauration.
• Hachage des mots de passe selon les recommandations ANSSI / OWASP.

Procédure en cas de violation de données

1. Détection et qualification de l'incident (équipe technique et référent données).
2. Confinement et remédiation immédiate (rotation de secrets, révocation de sessions, isolement).
3. Notification à la CNIL sous 72 heures en cas de risque pour les droits et libertés (art. 33 RGPD).
4. Information individuelle des personnes concernées sans délai en cas de risque élevé (art. 34 RGPD).
5. Post-mortem, mise à jour de l'analyse d'impact (AIPD) et plan d'amélioration.

Transferts internationaux

Les données sont stockées dans l'UE (Supabase). Certains traitements sont réalisés hors de l'UE, notamment aux États-Unis, par les sous-traitants listés ci-dessus (ex. : Cloudflare, Stripe, Resend, Firecrawl, fournisseurs de modèles d'IA) ; ces transferts sont encadrés par les clauses contractuelles types adoptées par la Commission européenne (décision 2021/914) et, lorsque applicable, par la décision d'adéquation EU-U.S. Data Privacy Framework.