1. Responsable du traitement

Le service Inventory Object est édité et opéré par Beweird SAS, responsable du traitement de vos données personnelles conformément au Règlement Général sur la Protection des Données (RGPD — Règlement UE 2016/679) et à la loi Informatique et Libertés.

Beweird SAS
128 rue La Boétie, 75008 Paris, France
Email DPO : dpo@inventoryobject.com

Pour toute question relative à vos données personnelles, notre délégué à la protection des données (DPO) répond sous 30 jours.

2. Données collectées

Nous collectons les données suivantes :

Données de compte : adresse email, prénom, nom, téléphone (optionnel)
Données d'inventaire : descriptions de biens, valeurs estimées, photos, documents (factures, garanties)
Données de navigation : adresse IP, logs de connexion, cookies de session
Données de facturation : plan souscrit, historique de paiement (traité par Stripe)

3. Finalités et bases légales

Finalité	Base légale
Fourniture du service d'inventaire	Exécution du contrat (art. 6.1.b)
Authentification et sécurité	Intérêt légitime (art. 6.1.f)
Facturation et gestion des abonnements	Obligation légale + contrat (art. 6.1.b/c)
Amélioration du service (analytics anonymisés)	Intérêt légitime (art. 6.1.f)
Communications marketing	Consentement (art. 6.1.a)

4. Sécurité et chiffrement

Vos données sont chiffrées en transit (TLS 1.3) et au repos (AES-256). Les données sensibles (documents, valeurs patrimoniales) bénéficient d'un chiffrement applicatif supplémentaire. Nos serveurs sont hébergés par Supabase (Francfort, Union Européenne, certifié SOC 2 Type II).

5. Durée de conservation

Données de compte actif : durée de la relation contractuelle
Après suppression du compte : 30 jours (récupération), puis suppression définitive
Logs de connexion : 12 mois (sécurité)
Données de facturation : 10 ans (obligation comptable)

6. Vos droits

Conformément au RGPD, vous disposez des droits suivants :

Accès — obtenir une copie de vos données (art. 15)
Rectification — corriger des données inexactes (art. 16)
Effacement — demander la suppression de votre compte (art. 17) — disponible dans les paramètres
Portabilité — exporter vos données en format JSON (art. 20) — disponible dans les paramètres
Opposition — vous opposer au traitement à des fins marketing (art. 21)
Limitation — restreindre temporairement le traitement (art. 18)

Pour exercer vos droits : dpo@inventoryobject.com. Réponse sous 30 jours. Vous pouvez également saisir la CNIL.

7. Sous-traitants

Nous faisons appel aux prestataires suivants :

Supabase — hébergement base de données et stockage (Francfort, Union Européenne)
Vercel — hébergement application (États-Unis)
Stripe — paiement sécurisé (États-Unis — certifié PCI DSS Level 1)
Anthropic — analyse IA des photos et descriptions d'objets (serveurs aux États-Unis) — données transmises à Anthropic PBC sur la base de l'exécution du contrat (art. 6.1.b RGPD), jamais utilisées pour entraîner les modèles (DPA Anthropic), non conservées au-delà du traitement immédiat
PostHog — analytique produit (Union Européenne — eu.i.posthog.com) — uniquement après consentement explicite aux cookies analytiques
Sentry — suivi des erreurs applicatives (États-Unis — CCT en place) — traces anonymisées, en-têtes auth et cookies retirés avant envoi
Brevo — envoi d'e-mails transactionnels (France/Europe) — prénom, nom, adresse e-mail transmis pour les notifications de compte
Apify — enrichissement des cotes marché via scraping eBay (serveurs internationaux) — libellé de l'objet et catégorie uniquement, sans données personnelles identifiantes
eBay — source publique de cotes marché (États-Unis — CCT en place) — données scrapées par Apify (libellé, marque, prix), aucune donnée personnelle de nos utilisateurs n'est transmise à eBay
OpenAI — fournisseur IA secondaire activé uniquement en cas d'indisponibilité d'Anthropic (États-Unis — DPF + CCT) — descriptions textuelles uniquement (pas de photos), base : exécution du contrat (art. 6.1.b RGPD), jamais utilisées pour entraîner les modèles (DPA OpenAI), non conservées au-delà du traitement
Upstash — cache et limitation de débit (Union Européenne — Frankfurt) — sessions, compteurs anti-abus, file d'attente d'e-mails ; aucune donnée d'inventaire ne transite
YouSign — signature électronique des certificats (France — certifié eIDAS) — nom du signataire et e-mail nécessaires à la signature

Les transferts hors UE sont encadrés par les Clauses Contractuelles Types (CCT) de la Commission européenne.

8. Cookies

Nous utilisons uniquement des cookies strictement nécessaires au fonctionnement du service (session d'authentification). Consultez notre Politique cookies pour plus d'informations.

Traitement par intelligence artificielle

Certaines fonctionnalités (scan d'objets, analyse de photos, détection de fraude) utilisent les API d'Anthropic (Claude). Informations spécifiques à ce traitement :

Finalité	Identification et description des objets à partir de photos ; détection d'images générées par IA.
Base légale	Art. 6.1.b RGPD — exécution du contrat de service souscrit par l'utilisateur.
Données transmises	Photos d'objets, descriptions textuelles. Aucune donnée biométrique ni directement identifiante n'est envoyée à Anthropic.
Conservation par Anthropic	Anthropic n'utilise pas les données soumises via l'API pour entraîner ses modèles (cf. Data Processing Agreement Anthropic).
Transfert hors UE	Serveurs d'Anthropic aux États-Unis. Transfert encadré par les Clauses Contractuelles Types (CCT) de la Commission européenne.
Droit d'opposition	L'utilisation des fonctionnalités IA est optionnelle. Il est possible de créer et gérer son inventaire manuellement sans y recourir.

Politique de confidentialité