Politique de confidentialité

1. Qualité du traitement

Deux rôles se superposent selon les traitements concernés :

• Auris agit en qualité de responsable de traitement (Data Controller) pour les données strictement nécessaires à la vie du compte client : identification des utilisateurs, facturation, logs de sécurité.
• Auris agit en qualité de sous-traitant (Data Processor) pour l'ensemble des données saisies ou téléversées par le Client dans le Service (documents audités, registres IA, RGPD et Machines). Dans ce cas, le Client demeure le responsable de traitement et les conditions de la sous-traitance sont détaillées dans l'Accord de Traitement des Données (DPA).

Responsable de traitement éditeur : [À COMPLÉTER : RAISON SOCIALE] — [À COMPLÉTER : ADRESSE SIÈGE]
Délégué à la Protection des Données (DPO) : [À COMPLÉTER : NOM DPO] — [À COMPLÉTER : EMAIL DPO]

2. Données collectées

Auris collecte strictement les données nécessaires à ses finalités. Aucune donnée sensible (art. 9 RGPD) n'est collectée par l'Éditeur pour son propre compte.

• Données de compte : nom, prénom, email professionnel, fonction, entreprise de rattachement, numéro de téléphone (optionnel).
• Données d'authentification : empreinte de mot de passe (hash bcrypt), secret TOTP chiffré, codes de récupération 2FA, historique des connexions.
• Données de facturation : raison sociale, adresse, SIREN, moyens de paiement (traités par Stripe, jamais stockés par Auris).
• Données métier (saisies par le Client) : documents téléversés pour l'Audit Magique, registres IA (AI Act), RGPD (Article 30) et Machines (UE 2023/1230).
• Données techniques :journaux d'activité, adresses IP techniques lors des connexions, agents utilisateur.

3. Bases légales des traitements

Chaque traitement mis en œuvre par Auris repose sur une base légale identifiée au sens de l'article 6 du RGPD :

• Exécution du contrat (art. 6.1.b) : création de compte, fourniture du Service, facturation.
• Obligation légale (art. 6.1.c) : conservation des factures, coopération avec les autorités.
• Intérêt légitime (art. 6.1.f) : sécurité de la plateforme, prévention de la fraude, amélioration fonctionnelle.
• Consentement (art. 6.1.a) : cookies non essentiels, communications marketing.

4. Durées de conservation

Les durées de conservation sont strictement proportionnées aux finalités poursuivies. Elles sont synthétisées dans le tableau ci-dessous.

5. Non-utilisation des données pour l’entraînement de modèles d’IA

Auris s'engage de manière ferme et contractuelle :

• Aucune donnée du Client n'est utilisée pour entraîner ou affiner des modèles d'intelligence artificielle, qu'ils soient exploités par Auris, par Anthropic ou par tout tiers.
• Les appels au modèle Claude (Anthropic) sont effectués via l'API commerciale d'Anthropic, dont les conditions contractuelles excluent expressément l'usage des requêtes API pour l'entraînement des modèles (hors opt-in explicite au programme partenaires, auquel Auris n'a jamais souscrit).
• Les documents PDF transmis pour l'Audit Magique sont acheminés vers l'API d'Anthropic pour analyse, puis immédiatement supprimésde nos serveurs après obtention du résultat. Aucun stockage persistant n'est effectué côté Auris.

6. Destinataires et sous-traitants

Les données sont accessibles, dans la limite stricte de leurs attributions, aux personnels habilités de l'Éditeur. Certaines données sont transmises à des sous-traitants techniques rigoureusement sélectionnés (Supabase, Anthropic, Resend, Stripe, Vercel). La liste complète, les finalités et les garanties applicables sont détaillées dans l'Accord de Traitement des Données (DPA).

7. Transferts hors Union européenne

Les données sont hébergées prioritairement au sein de l'Union européenne (Francfort, Allemagne) via Supabase. Certains sous-traitants (Anthropic, Stripe, Vercel) peuvent traiter des données depuis les États-Unis. Ces transferts sont encadrés par les Clauses Contractuelles Types adoptées par la Commission européenne le 4 juin 2021 et, le cas échéant, par le mécanisme EU-U.S. Data Privacy Framework.

8. Vos droits

Conformément au RGPD, toute personne concernée dispose des droits suivants : accès, rectification, effacement (« droit à l'oubli »), limitation, opposition, portabilité, et droit de définir des directives post-mortem.

Ces droits peuvent être exercés à tout moment auprès du Délégué à la Protection des Données : [À COMPLÉTER : EMAIL DPO]. Une réponse sera apportée dans un délai maximal de 30 jours. En cas de non-satisfaction, la personne concernée peut introduire une réclamation auprès de la CNIL (www.cnil.fr).

9. Cookies et traceurs

Auris n'utilise que des cookies strictement nécessaires au fonctionnement du Service (session, CSRF, préférences d'interface). Les outils de mesure d'audience utilisés (Vercel Analytics, Vercel Speed Insights) sont configurés sans collecte de données à caractère personnel permettant d'identifier les visiteurs.

10. Sécurité

Auris applique des mesures techniques et organisationnelles de l'état de l'art : chiffrement TLS 1.3 en transit, chiffrement AES-256 au repos (Supabase), isolation stricte par Row Level Security (RLS) PostgreSQL, double authentification (TOTP), journalisation des accès sensibles, revue régulière des dépendances et tests d'intrusion.

11. Modifications de la présente politique

La présente politique peut être mise à jour pour refléter des évolutions techniques, légales ou contractuelles. Toute modification substantielle sera notifiée aux Clients par email et signalée en haut de la présente page. La date de dernière mise à jour figure dans le bandeau en début de document.