Politique de confidentialité
Votre vie privée est importante pour nous. La présente politique explique comment nous collectons, utilisons et protégeons vos informations personnelles lorsque vous utilisez notre plateforme de conformité LCB-FT.
Base juridique
AML Proof, s.r.o. traite les données personnelles conformément au Règlement général sur la protection des données (Règlement (UE) 2016/679, « RGPD »), pierre angulaire du droit européen de la protection des données.
Le RGPD a été adopté par le Parlement européen et le Conseil de l'Union européenne et son application est assurée sous la supervision du Comité européen de la protection des données (CEPD) ainsi que des autorités nationales de protection des données de chaque État membre de l'UE.
AML Proof, s.r.o., en tant que responsable du traitement, détermine les finalités et les moyens du traitement de vos données personnelles lorsque vous utilisez notre plateforme.
AML Proof, s.r.o. agit en tant que sous-traitant à l'égard des données personnelles des clients des entités assujetties. Vous, en tant qu'entité assujettie, restez le responsable du traitement de ces données. Notre relation est régie par l'accord de traitement des données (DPA), qui fait partie de nos conditions générales.
Obligation légale
Comprend : l'identification des clients et la diligence raisonnable conformément aux articles applicables de la loi AML, la tenue des dossiers AML, le filtrage des sanctions, le signalement des transactions suspectes à la FIU (Office d'analyse financière tchèque).
Intérêt légitime
Comprend : la surveillance de la sécurité de la plateforme, la prévention de la fraude, l'amélioration de la plateforme (analyses pseudonymisées), la communication commerciale aux clients existants, prévention de l'utilisation abusive de la plateforme et protection du secret des affaires (évaluation du niveau de risque des organisations inscrites), mesure des ouvertures et des clics dans les e-mails commerciaux.
Nécessité contractuelle
Comprend : l'exploitation des comptes utilisateurs, la génération de rapports de conformité, l'accès aux fonctionnalités de la plateforme.
Informations que nous collectons
Informations personnelles
- • Nom et coordonnées
- • Adresse e-mail et numéro de téléphone
- • Fonction et organisation
- • Qualifications professionnelles
- • Préférences de compte
Données d'utilisation
- • Habitudes d'utilisation de la plateforme
- • Interactions avec les fonctionnalités
- • Durée et fréquence des sessions
- • Informations sur l'appareil et le navigateur
- • Adresse IP et données de localisation
Données de conformité
- • Informations sur les dossiers LCB-FT
- • Données d'évaluation des risques
- • Registres de formation
- • Informations de piste d'audit
- • Données de reporting réglementaire ; enregistrements e-sign (nom et e-mail des signataires, adresse IP, code OTP, consentement, PDF d'audit)
Informations techniques
- • Cookies et pixels de suivi
- • Fichiers journaux et rapports d'erreurs
- • Indicateurs de performance
- • Journaux d'événements de sécurité
- • Statistiques d'utilisation de l'API
Comment nous utilisons vos informations
Fourniture du service
- Fournir et maintenir notre plateforme de conformité LCB-FT
- Traiter et gérer les dossiers de conformité
- Générer des rapports et des analyses
- Faciliter la formation et la certification
Communication
- Envoyer des mises à jour et des notifications relatives au service
- Fournir une assistance client
- Partager les mises à jour réglementaires
- Fournir des supports de formation
Amélioration
- Analyser les habitudes d'utilisation et les performances
- Développer de nouvelles fonctionnalités et de nouveaux services
- Renforcer les mesures de sécurité
- Optimiser l'expérience utilisateur
Conformité
- Respecter les obligations légales et réglementaires
- Répondre aux demandes légales
- Tenir des pistes d'audit
- Protéger contre la fraude et les abus
- Évaluer le risque d'utilisation abusive de la plateforme (score de suspicion de l'organisation selon les domaines e-mail et le type d'activité)
Sécurité et protection des données
Nous mettons en œuvre des mesures de sécurité complètes pour protéger vos informations personnelles contre tout accès, utilisation ou divulgation non autorisés. Sauvegarde des fichiers. Les fichiers téléversés sur la plateforme, notamment les copies de pièces d'identité et les documents recueillis lors de l'identification et du contrôle du client, sont sauvegardés dans un espace de stockage distinct d'Amazon Web Services situé dans l'UE (région de Stockholm, Suède). La sauvegarde est chiffrée et sert exclusivement à restaurer les données après une panne technique ou une suppression accidentelle. Les utilisateurs de la plateforme n'y ont pas accès. Lorsqu'un fichier est supprimé de la plateforme, que ce soit sur instruction de la personne assujettie ou automatiquement à l'expiration du délai de conservation prévu par la loi AML, sa copie de sauvegarde est supprimée automatiquement et de manière irréversible au bout de 90 jours. Pendant ce délai, la copie de sauvegarde ne fait l'objet d'aucun traitement.
Garanties techniques
- Chiffrement de la transmission des données (TLS)
- Chiffrement avancé des données au repos
- Authentification moderne (lien magique, OAuth 2.0 et 2FA optionnelle via application d'authentification)
- Surveillance des erreurs et des événements de sécurité
Contrôles opérationnels
- Contrôles d'accès basés sur les rôles
- Programmes de formation à la sécurité pour les employés et les personnes en position comparable
- Procédures de réponse aux incidents
- Sauvegardes de fichiers chiffrées quotidiennes et historique de base de données pour la récupération
Confidentialité lors de l'utilisation de l'IA
- Pour générer les textes des communications commerciales, nous utilisons l'API Google Gemini ; aucune donnée personnelle n'est envoyée.
- Pour le dépistage des médias adverses, nous utilisons Google Gemini 2.5 Flash via Google Vertex AI (Google LLC). Les données minimisées suivantes sont envoyées au modèle : nom complet de la personne dépistée (requis pour le dépistage), année de naissance, pays (citoyenneté / enregistrement) et jusqu'à 3 alias (le premier en intégralité, les autres en initiales). La date de naissance complète, les numéros de document, les adresses et les coordonnées ne sont pas envoyés. Pour le remplissage automatique de formulaires à partir d'un document numérisé (Scan to Fill), l'image du document est envoyée à Google Vertex AI (gemini-2.5-flash, région europe-west1) — les champs extraits incluent le nom, la date de naissance, le numéro de naissance, l'adresse et le numéro de document. Sur l'offre payante, Google n'utilise pas les données de l'API pour l'amélioration des produits ou la formation des modèles.
Vos droits en matière de confidentialité
Vous disposez de droits importants concernant vos informations personnelles. Contactez-nous pour exercer ces droits.
Accès
Demander des copies de vos informations personnelles
Rectification
Mettre à jour ou corriger des informations inexactes
Suppression
Demander la suppression de vos données personnelles lorsque la loi le permet. Certains registres de conformité LCB-FT ne peuvent pas être supprimés avant la fin des périodes de conservation obligatoires.
Portabilité
Exporter vos données dans un format portable
Droit d'opposition
Vous opposer au traitement fondé sur l'intérêt légitime ou à des fins de prospection directe (art. 21 RGPD)
Droit à la limitation
Demander la limitation temporaire du traitement de vos données personnelles dans les cas prévus par l'art. 18 RGPD
Droit d'opposition
Vous pouvez à tout moment vous opposer au traitement fondé sur l'intérêt légitime, y compris au profilage (évaluation du niveau de risque d'une organisation), à l'adresse hello@amlproof.ai. La restriction ou le blocage d'un compte est toujours décidé par une personne, jamais par la seule évaluation automatisée.
Conservation des données
Nous conservons vos informations personnelles uniquement le temps nécessaire pour atteindre les finalités décrites dans la présente politique et respecter les obligations légales.
Données de compte
Les données opérationnelles du compte utilisateur (identifiants de connexion, paramètres, préférences) sont supprimées dans les 30 jours suivant la fermeture du compte.
Registres de conformité
Nous conservons les données clients des entités obligées pour la durée de l'accord. La période de conservation conformément à la loi AML incombe à l'entité obligée. Après la fin de l'accord, les données peuvent être exportées pendant 90 jours, après quoi nous supprimons les données (Conditions d'utilisation, art. 6.6 et 8.8).
Analyses d'utilisation
3 ans
Demandes d'assistance
Demandes d'assistance – 2 ans après résolution. Les demandes non résolues sont supprimées 2 ans après leur création.
Contacts commerciaux
Contacts commerciaux – jusqu'à la désinscription, au maximum 3 ans sans aucune réponse. Après la désinscription, nous conservons uniquement votre adresse e-mail sur une liste de suppression pour ne plus vous contacter.
Signature électronique — traitement des données personnelles
Lors de l'utilisation de la fonctionnalité de signature électronique (E-Sign), la Plateforme traite les données personnelles des signataires des documents signés.
Données traitées
- Nom et adresse e-mail du signataire
- Adresse IP au moment de la vérification et de la signature
- Date et heure de la signature
- Consentement au contenu du document (vérification OTP)
- PDF d'audit avec l'historique complet des signatures
Base juridique du traitement
Intérêt légitime du responsable du traitement (art. 6, par. 1, lit. f) RGPD) pour assurer la traçabilité des actes juridiques, ou l'exécution d'un contrat (art. 6, par. 1, lit. b) RGPD) conclu avec le signataire.
Durée de conservation
Les données de signature font partie du cas AML pertinent et sont conservées de la même manière que le cas (Conditions d'utilisation, art. 6.6 et 8.8).
Destinataires des données
Les données de signature (PDF d'audit) sont stockées dans le stockage cloud Vercel Blob, centre de données FRA1 (Francfort, UE). Les e-mails contenant les liens de signature et les codes OTP sont acheminés via la plateforme Resend, qui agit en tant que sous-traitant dans le cadre d'un DPA signé. Une sauvegarde de ces données est stockée dans Amazon Web Services S3 (UE – Suède).
Annexe 1 : Accord de traitement des données (DPA)
Version effective à partir du 21 novembre 2026.
1. Objet et rôles
Cet accord régit la relation entre le client en tant qu'entité obligée (Responsable du traitement) et AML Proof, s.r.o. (Sous-traitant). Le sous-traitant traite les données personnelles pour le responsable du traitement afin de permettre au responsable du traitement de respecter ses obligations en vertu de la loi AML.
Description du traitement
Objet : fonctionnement de la plateforme AML PROOF pour le Responsable de traitement. Durée : pour la durée de l'Accord et la période d'exportation (art. 6). Nature et finalité : identification de la clientèle et due diligence, dépistage des personnalités politiquement exposées et des sanctions, évaluation des risques, suivi continu, signature électronique, tenue de dossiers, système de signalement interne. Types de données : données d'identification, copies de documents, numéro de naissance, données des bénéficiaires effectifs, informations sur le statut de personnalité politiquement exposée et les sanctions, données de transactions, documents pour un rapport de transaction suspecte, données des signataires. Catégories de personnes concernées : les clients du Responsable de traitement, les personnes agissant au nom d'un client, les bénéficiaires effectifs, les signataires, les lanceurs d'alerte.
2. Obligations du sous-traitant
- Traiter les données uniquement sur instructions documentées du responsable du traitement (y compris les paramètres définis dans l'application).
- Veiller à ce que les personnes autorisées à traiter les données se soient engagées à respecter la confidentialité.
- Mettre en œuvre des mesures techniques et organisationnelles appropriées (chiffrement des données en transit et au repos, hébergement sécurisé dans l'UE, minimisation des données personnelles transmises aux sous-traitants externes).
- Aider le responsable du traitement à remplir son obligation de répondre aux demandes d'exercice des droits des personnes concernées.
- Traiter les données uniquement sur la base d'instructions documentées du responsable du traitement, y compris les transferts vers des pays tiers.
- Informer immédiatement le responsable du traitement si, à son avis, une instruction viole le RGPD.
- Notifier le Responsable du traitement d'une violation de données personnelles sans délai excessif après en avoir pris connaissance. Cette notification doit contenir au minimum : (a) une description de la nature de la violation (y compris, si possible, les catégories et le nombre approximatif de personnes concernées et de fichiers de données affectés) ; (b) les coordonnées d'un point de contact auprès duquel on peut obtenir de plus amples informations sur la violation de données personnelles ; (c) ses conséquences probables et les mesures prises ou envisagées pour remédier à la violation, y compris pour atténuer ses effets négatifs possibles. Si l'ensemble de ces informations ne peut être fourni simultanément, la notification initiale doit contenir les informations disponibles à ce moment-là, et les informations complémentaires doivent être fournies ultérieurement, sans délai excessif, au fur et à mesure de leur disponibilité.
- Assister le responsable du traitement dans le respect de ses obligations en vertu des articles 32 à 36 du RGPD.
3. Recours à des sous-traitants ultérieurs
Le responsable du traitement accorde une autorisation générale pour l'engagement de nouveaux sous-traitants. La liste actuelle nommée des sous-traitants (nom, objectif, localisation, catégories de données) est disponible sur la page Traitement des données personnelles (amlproof.ai/data_processing). Le sous-traitant annonce tout changement prévu de sous-traitants en publiant la liste mise à jour sur cette page au moins 30 jours avant l'entrée en vigueur du changement. Pendant cette période, le responsable du traitement peut présenter une objection motivée à hello@amlproof.ai. Il impose aux nouveaux sous-traitants les mêmes obligations de protection des données que cet accord et reste entièrement responsable de leur respect envers le responsable du traitement.
4. Sécurité
Le Prestataire adopte des mesures techniques et organisationnelles en vertu de l'art. 32 du RGPD. Les données personnelles ne sont transférées en dehors de l'EEE que vers les sous-traitants pour lesquels cela est indiqué dans la liste, sur la base de clauses contractuelles types (art. 46(2)(c) du RGPD). Les données ne sont pas transmises pour l'entraînement de modèles d'IA.
5. Audit
Le sous-traitant autorise et contribue aux audits ou inspections menés par le responsable du traitement afin de démontrer la conformité à l'article 28 du RGPD.
6. Résiliation
Après la fin de l'Accord, le Prestataire permet au Responsable de traitement d'exporter les données pendant 90 jours (Conditions générales, art. 8.8), puis supprime toutes les données personnelles. Le Responsable de traitement est responsable de la conservation des données en vertu de la loi AML. Les copies de sauvegarde des fichiers sont supprimées au plus tard 90 jours après la suppression.
Traitement des données personnelles dans le système de dénonciation
AML PROOF exploite un module de système de signalement interne en vertu de la législation sur la protection des lanceurs d'alerte. AML Proof, s.r.o. agit uniquement en tant que responsable du traitement de l'infrastructure technique — le contrôleur du système est l'entité obligée (votre organisation).
Données personnelles traitées
Les rapports peuvent impliquer le traitement de : l'identité du lanceur d'alerte (sauf s'il est soumis de manière anonyme), les coordonnées de contact, le contenu du rapport et les pièces jointes, la clé de suivi attribuée à chaque soumission. Les soumissions anonymes ne nécessitent aucune donnée personnelle.
Base juridique
Le traitement est nécessaire pour se conformer à une obligation légale en vertu de l'art. 6(1)(c) du RGPD en conjonction avec la législation sur la protection des lanceurs d'alerte.
Période de conservation
Les données personnelles liées aux rapports sont conservées pendant la période requise par la législation sur la protection des lanceurs d'alerte (5 ans à compter de la réception du rapport), sauf si un règlement spécial en dispose autrement.
Les droits des lanceurs d'alerte en vertu du RGPD (accès, rectification, suppression) peuvent être exercés auprès du contrôleur du système — l'entité obligée. Pour les soumissions anonymes, ces droits ne peuvent pas être techniquement exercés car le système ne permet pas l'identification du lanceur d'alerte.
Des questions sur votre vie privée ?
Si vous avez des questions sur la présente politique de confidentialité ou sur la façon dont nous traitons vos données personnelles, contactez-nous à hello@amlproof.ai. AML Proof, s.r.o. n'a pas désigné de délégué à la protection des données.
Si vous estimez que vos données personnelles ont été traitées de manière illicite, vous avez également le droit d'introduire une réclamation auprès de l'Úřad pro ochranu osobních údajů (ÚOOÚ) ou auprès de votre autorité de contrôle locale au sein de l'Espace économique européen.