> ## Documentation Index > Fetch the complete documentation index at: https://docs.finkare.io/llms.txt > Use this file to discover all available pages before exploring further. # Protection des données > Hébergement, sous-traitants, conservation, chiffrement et droits des personnes concernées. ## Hébergement | Service | Fournisseur | Région | | - | - | - | | Base de données, authentification, fichiers | Supabase (sur AWS) | Paris (eu-west-3) | | Microservices | Railway | Union européenne (Pays-Bas, europe-west4) | | Frontends | Vercel | Fonctions à Paris (cdg1), diffusion par réseau mondial | | Intelligence artificielle | Mistral AI (société française) | Union européenne | La base de données qui contient les dossiers de recouvrement est hébergée à Paris. Certains prestataires de communication sont des sociétés établies hors de l'Union européenne : voir la liste des sous-traitants ci-dessous. Les données envoyées à Mistral AI ne sont pas utilisées pour entraîner ses modèles. ## RGPD ### Rôles Pour les dossiers de recouvrement, Finkare agit pour le compte du créancier, qui choisit les créances confiées. Pour ses propres clients, prospects et la sécurité de la plateforme, Finkare est responsable de traitement. ### Base légale Le recouvrement repose sur l'**intérêt légitime** du créancier (article 6.1.f du RGPD) et sur l'**exécution du contrat** (article 6.1.b). ### Durées de conservation | Catégorie | Données | Durée | | - | - | - | | **Dossiers clos** | Identité et coordonnées du débiteur, historique des relances, transcriptions d'appels, score | 5 ans après la clôture, puis pseudonymisation | | **Pièces comptables** | Montants, dates, références de factures et de paiements | 10 ans | | **Enregistrements d'appels** | Audio | 6 mois au plus | | **Journaux techniques** | Requêtes API, adresses IP | 12 mois | | **Prospects** | Coordonnées professionnelles | 3 ans après le dernier contact | L'application automatique de ces durées (pseudonymisation et purges planifiées) est en cours de mise en production. ### Droits des personnes concernées | Droit | Mise en oeuvre | | - | - | | **Accès** (art. 15) et **portabilité** (art. 20) | Export structuré (JSON) des données d'un débiteur, via l'API | | **Rectification** (art. 16) | Mise à jour via l'API ou le tableau de bord | | **Effacement** (art. 17) | Pseudonymisation des données personnelles ; montants et références gardés pour les obligations comptables. Refusé tant qu'un dossier est en cours | | **Opposition** (art. 21) | Arrêt des communications sur le canal concerné (STOP SMS et WhatsApp, désinscription email) | | **Limitation** (art. 18) | Arrêt du dossier par le créancier | ### Exercice des droits * **Contact données personnelles** : [dpo@finkare.io](mailto:dpo@finkare.io) * **Société** : Finkare, RCS Paris 101 482 081 Délai de réponse : **un mois** (article 12.3 du RGPD), prolongeable dans les cas prévus par le texte. ## Chiffrement ### Données au repos * **Base de données** : chiffrement du stockage par l'hébergeur (AWS) * **IBAN des créanciers** : chiffrés en base * **Clés API** : seule leur empreinte SHA-256 est stockée * **Secrets de signature des webhooks** : chiffrés en base ### Données en transit * **HTTPS** obligatoire (TLS 1.2 minimum) * **HSTS** avec preload et includeSubDomains ## Accès et isolation * **Isolation par entreprise** : chaque requête est limitée aux données de l'entreprise du compte (Row Level Security PostgreSQL et contrôles côté serveur) * **Double authentification** : obligatoire pour l'équipe Finkare, disponible pour les comptes clients * **Journaux** : emails, téléphones et montants masqués dans les journaux applicatifs * **Environnements de démonstration et de test** : données fictives * **Test d'intrusion** : un test externe est programmé ## Sous-traitants | Sous-traitant | Rôle | Localisation des données ou du siège | | - | - | - | | Supabase | Base de données, authentification, fichiers | Paris (AWS eu-west-3) ; société américaine | | Railway | Hébergement des microservices | Pays-Bas ; société américaine | | Vercel | Hébergement des frontends | Paris (fonctions) ; société américaine | | Amazon Web Services (S3) | Pièces jointes des factures reçues par email | Paris (eu-west-3) ; société américaine | | Mistral AI | Intelligence artificielle (texte et voix) | Union européenne | | Resend | Emails transactionnels et relances | États-Unis | | SMSFactor | SMS | France | | Meta (WhatsApp Cloud API) | Messages WhatsApp | États-Unis | | AR24 | Lettres recommandées électroniques et papier | France | | Telnyx | Téléphonie des appels | États-Unis | | LiveKit | Transport temps réel des appels | Société américaine | | ElevenLabs | Synthèse vocale | États-Unis | | Tavus, HeyGen | Avatars vidéo | États-Unis | | Microsoft Azure | Lecture automatique (OCR) des factures | Société américaine | | Pappers, Dropcontact | Données d'entreprise, enrichissement de contacts | France | | ZeroBounce | Vérification d'emails | États-Unis | | Hunter, Datastore | Recherche d'emails professionnels | Localisation en cours de vérification | | Mollie | Paiements des débiteurs | Pays-Bas | | Stripe | Abonnements des clients créanciers | Irlande ; société américaine | | Brevo | Newsletter | France | Pour les prestataires établis hors de l'Union européenne, le transfert s'appuie sur les clauses contractuelles types de la Commission européenne ou sur le Data Privacy Framework ; la revue contractuelle de chaque prestataire est en cours. Un accord de sous-traitance conforme à l'article 28 du RGPD est proposé aux clients sur demande. Cette liste est mise à jour avant l'ajout de tout nouveau sous-traitant. ## AI Act Le scoring Finkare est conçu pour respecter les exigences de l'AI Act européen : | Exigence | Mise en oeuvre | | - | - | | **Transparence** | Chaque score est accompagné des critères qui l'ont déclenché | | **Explicabilité** | Scoring algorithmique (13 critères nommés et pondérés), pas de modèle opaque | | **Non-discrimination** | Aucune donnée sensible utilisée (ni âge, ni sexe, ni origine). Seules les données factuelles d'entreprise et de comportement de paiement sont prises en compte | | **Supervision humaine** | Le créancier consulte chaque score dans le tableau de bord et décide des actions | ## Contact * **Données personnelles** : [dpo@finkare.io](mailto:dpo@finkare.io) * **Sécurité** : [security@finkare.io](mailto:security@finkare.io) * **Support** : [hello@finkare.io](mailto:hello@finkare.io) This documentation is built and hosted on [Mintlify](https://mintlify.com), a developer documentation platform.