Politique de confidentialité

Responsable de traitement

Fiurenzu Sanna EI (Lieu-dit Molini, 20166 Albitreccia, France). Pour toute question relative à vos données : dpo@probatum.fr.

Distinction des rôles

Pour les données de mission saisies par un cabinet ARP, le cabinet est responsable de traitement et Probatum agit en sous-traitant au sens du RGPD. Pour les données de compte et de facturation, Probatum est responsable de traitement.

Données traitées et finalités

Compte et authentification (e-mail, secret TOTP) : fournir l’accès sécurisé.
Données de mission saisies par le cabinet : exécuter le service pour son compte.
Recherche OSINT sur sources publiques (option, si activée) : interroger des registres publics à partir d’un nom, pour le compte du cabinet, dans le cadre d’une mission.
Facturation et paiement de l’abonnement : gérer la relation contractuelle.
Correspondance reçue par courriel (contact, DPO, sécurité) : répondre aux demandes, instruire les demandes d’exercice de droits et traiter les signalements.
Journaux d’audit techniques : sécurité et traçabilité.

Base légale

Exécution du contrat (accès au service, facturation), intérêt légitime (sécurité, journalisation) et, le cas échéant, obligations légales du cabinet.

Durées de conservation

Les durées sont paramétrables par type de mission, avec purge contrôlée et possibilité de gel légal (legal hold). Les données de compte sont conservées le temps de la relation, puis archivées ou supprimées selon les obligations applicables.

Sous-traitants et localisation

La liste des sous-traitants, leur rôle et leur localisation est publiée sur la page Sous-traitants. L’hébergement est situé en France (UE) : Rectangle, sur infrastructure 3DS Outscale. Pour l’hébergement, aucun transfert hors UE n’a lieu : l’accord de traitement signé avec l’hébergeur l’exclut contractuellement.

La messagerie du domaine, c’est-à-dire les adresses en @probatum.fr dont celle du DPO, est hébergée par OVHcloud en France (UE). Elle est distincte de la plateforme : un courriel qui nous est adressé n’entre pas dans l’hébergement des missions, et aucune donnée d’enquête ne circule par ce canal.

Les autres traitements suivent leurs propres règles, détaillées ci-dessous et sur la page Sous-traitants. Le fournisseur du modèle de langage traite les textes dans l’UE/EEE, mais ne garantit pas l’absence de traitement hors EEE par ses propres sous-traitants ; ces transferts sont encadrés par des clauses contractuelles types. Il reçoit aussi la photographie d’une note papier dont le détective demande la lecture et la transcription par l’IA, une fonction prévue pour ses propres notes manuscrites. Deux fonctions de recherche optionnelles, désactivées par défaut, interrogent par ailleurs des services situés aux États-Unis.

Recherche OSINT sur sources publiques (fonctionnalité optionnelle)

Cette fonctionnalité est désactivée par défaut et n’est activée qu’à la demande du cabinet. Lorsqu’elle est active, l’enquêteur peut, dans le cadre d’une mission (mandat), rechercher une personne à partir de critères (nom, prénom, ville…) sur des registres publics. La base légale est l’intérêt légitime du cabinet, apprécié au regard de la proportionnalité et du mandat.

Les sources principales (destinataires de la requête) sont l’API publique Recherche d’entreprises (annuaire-entreprises / data.gouv.fr) et le BODACC (DILA), toutes deux en France/UE. Deux fonctions optionnelles sollicitent des services aux États-Unis, activées au cas par cas par l’enquêteur : la recherche presse (GDELT, qui reçoit alors le nom recherché) et l’archivage daté d’une page (Internet Archive / Wayback Machine, qui ne reçoit qu’une URL publique). Ces transferts hors UE sont signalés en tant que tels.

Les catégories sensibles (santé, opinions, etc.) sont écartées. Un résultat « versé au dossier » est conservé avec la mission (mêmes durées et purge que les autres pièces, avec empreinte SHA-256 et horodatage). Une recherche non versée n’est pas stockée : seul un journal d’audit est conservé, sans l’identité de la personne recherchée. Les droits RGPD s’exercent auprès du cabinet responsable.

Sécurité

Les mesures techniques sont décrites sur la page Sécurité(empreintes SHA-256, chaîne de hash, double facteur, cloisonnement multi-cabinet, journalisation).

Vos droits

Vous disposez des droits d’accès, de rectification, d’effacement, de limitation, d’opposition et de portabilité. Pour les données de mission, ces demandes sont relayées au cabinet responsable. Vous pouvez introduire une réclamation auprès de la CNIL.

Contact

Délégué à la protection des données : dpo@probatum.fr.