RGPD & vos droits

Homisight applique strictement le Règlement Général sur la Protection des Données (RGPD - UE 2016/679). Cette page complète la Politique de confidentialité en détaillant nos engagements, vos droits et le traitement spécifique des données sensibles (relevés bancaires, analyse par intelligence artificielle).

1. Principes fondamentaux que nous appliquons

• Minimisation : on ne collecte que les données strictement nécessaires à la fourniture du Service
• Finalité limitée : chaque donnée a une finalité claire et documentée, jamais réutilisée pour autre chose sans votre consentement
• Conservation limitée : durées de rétention strictes (voir Politique de confidentialité)
• Sécurité par défaut : chiffrement TLS + AES-256 + isolation par utilisateur (RLS)
• Transparence : information claire et accessible à tout moment
• Privacy by Design : la protection de la vie privée est intégrée dès la conception (séparation des comptes, purge automatique, pas de log de contenu sensible)

2. Traitement spécifique : analyse par intelligence artificielle

2.1 Données potentiellement transmises à un modèle IA

• Libellés et montants d opérations bancaires (uniquement si vous importez un relevé)
• Extraits de documents PDF que vous déposez volontairement (PV AG, factures, devis)
• Vos questions à l assistant conversationnel
• Métadonnées de votre patrimoine (anonymisées dans la mesure du possible)

2.2 Base légale et consentement

Le traitement par IA repose sur votre consentement explicite et révocable (article 6.1.a du RGPD). Ce consentement est recueilli :

• Au moment de l import d un relevé bancaire (case à cocher explicite avant l upload)
• À la première activation de l assistant IA dans votre espace
• Lors de toute action ponctuelle d analyse (devis, PV AG)

Vous pouvez retirer ce consentement à tout moment depuis votre espace personnel → Notifications & IA. Le retrait du consentement désactive immédiatement les fonctionnalités IA mais ne remet pas en cause les traitements antérieurs (les données déjà analysées ne sont pas restituées).

2.3 Engagements en matière de traitement IA

• Pas d entraînement : vos données ne sont jamais utilisées pour entraîner ou améliorer les modèles d IA tiers. Nous exigeons contractuellement cette garantie auprès de nos sous-traitants
• Pas de conservation par le sous-traitant IA : les données sont traitées en streaming et supprimées immédiatement après réponse (politique "zero data retention" lorsque disponible)
• Pas de profilage automatisé avec effet juridique ou similaire au sens de l article 22 RGPD : l IA produit des suggestions, jamais des décisions automatiques
• Pseudonymisation : avant transmission, les identifiants directs (email, nom complet) sont remplacés par des références opaques quand techniquement possible
• Hébergement préférentiel UE : nous utilisons en priorité des modèles hébergés en UE. Lorsqu un transfert hors UE est nécessaire, il est encadré par des Clauses Contractuelles Types (CCT) de la Commission européenne
• Pas d analyse à votre insu : aucun document n est envoyé à un modèle IA sans action de votre part (clic sur un bouton "Analyser", import de fichier, message à l assistant)

2.4 Sous-traitants IA

Nous travaillons avec des fournisseurs reconnus du secteur (par exemple Anthropic Claude, OpenAI ou Mistral) selon la fonctionnalité. La liste exhaustive est tenue à jour et communicable sur simple demande à dpo@homisight.fr. Tous nos sous-traitants sont soumis à un Data Processing Agreement (DPA) conforme à l article 28 RGPD.

2.5 Vos garanties spécifiques

• Droit de désactiver l IA totalement et conserver l accès à toutes les autres fonctionnalités
• Droit d obtenir la liste des analyses effectuées sur votre compte sur les 12 derniers mois
• Droit de demander que certains documents soient exclus de toute analyse IA
• Droit de demander la suppression de tout historique de conversation avec l assistant

3. Traitement spécifique : relevés bancaires

Les relevés bancaires (CSV / OFX / PDF) constituent des données sensibles. Notre politique :

• L import est strictement à votre initiative. Aucune connexion bancaire DSP2 automatique n est mise en place sans consentement séparé
• Le fichier original n est jamais conservé sur nos serveurs. Seules les transactions extraites (date, libellé, montant, catégorie) sont stockées dans votre base personnelle, isolée des autres utilisateurs par RLS
• L analyse de classification IA s effectue ligne par ligne sur les libellés uniquement, sans transmission de votre IBAN ni de votre identité bancaire
• Vous pouvez à tout moment supprimer un import (Trésorerie → Historique → Corbeille) ou retirer manuellement n importe quelle ligne
• Numéros de carte, IBAN, BIC, codes secrets : non collectés. Si présents dans un fichier importé, ils sont automatiquement filtrés avant traitement

4. Vos droits RGPD et comment les exercer

5. Sécurité organisationnelle

• Tous les accès aux données utilisateurs sont tracés (audit log Supabase + nos logs internes)
• Le nombre de personnes ayant accès aux données est strictement limité (besoin de savoir)
• Les sauvegardes sont chiffrées et conservées 30 jours, dans la même région UE que la base
• En cas de violation de données (data breach), nous notifions la CNIL sous 72h et les utilisateurs concernés dans les meilleurs délais conformément à l article 33 RGPD
• Politique de patches sécurité : mises à jour appliquées sous 7 jours pour les vulnérabilités critiques

6. Réclamation auprès de la CNIL

Si vous estimez que vos droits ne sont pas respectés, vous pouvez introduire une réclamation auprès de la Commission Nationale de l Informatique et des Libertés :
3 Place de Fontenoy, TSA 80715, 75334 PARIS CEDEX 07 — Tél : 01 53 73 22 22 — www.cnil.fr

7. Délégué à la protection des données (DPO)

Contact : dpo@homisight.fr
Adresse postale : [adresse à compléter avant mise en production]