Politique de confidentialité — Site web garante.fr

Dernière mise à jour : 16 septembre 2026 — Version 1.3

1. Identité du responsable de traitement

Conformément aux articles 13 et 14 du Règlement (UE) 2016/679 (RGPD), la présente politique de confidentialité vous informe sur la manière dont Garante collecte, utilise et protège vos données à caractère personnel lorsque vous visitez le site garante.fr ou utilisez la plateforme Garante.

2. Données collectées et finalités

2.1 Tableau récapitulatif

2.2 Précisions sur les bases légales

Intérêt légitime : Lorsque le traitement est fondé sur l'intérêt légitime de Garante, nous veillons à ce que cet intérêt ne porte pas une atteinte disproportionnée à vos droits et libertés. Vous pouvez exercer votre droit d'opposition à tout moment (voir section 7).

Consentement : Lorsque le traitement est fondé sur votre consentement, vous pouvez le retirer à tout moment. Le retrait du consentement ne remet pas en cause la licéité du traitement fondé sur le consentement effectué avant ce retrait.

2.3 Caractère obligatoire ou facultatif

Les données marquées d'un astérisque (*) dans les formulaires sont obligatoires. En l'absence de ces données, Garante ne pourra pas traiter votre demande. Les autres données sont facultatives.

3. Cookies et traceurs

3.1 Catégories de cookies

3.1bis Mesure d'audience anonyme (Plausible Analytics)

Garante utilise Plausible Analytics, une solution de mesure d'audience respectueuse de la vie privée, auto-hébergée par nos soins sur des serveurs situés dans l'Union européenne et certifiés ISO 27001. Aucune donnée n'est transmise à un tiers.

Données collectées (anonymes et agrégées) :

• Page visitée (URL) et page de provenance (referrer)
• Date et heure de visite
• Type d'appareil et de navigateur (catégories agrégées)
• Pays approximatif (déduit sans géolocalisation précise)
• Liens externes cliqués, fichiers téléchargés, formulaires soumis (compteurs)

Données NON collectées :

• Aucun cookie n'est déposé sur votre appareil
• Adresse IP jamais stockée en clair (uniquement utilisée pour un hash anonyme journalier, supprimée à minuit chaque jour)
• Aucun identifiant individuel persistant, aucun fingerprinting
• Aucune donnée personnelle identifiable

Exemption du consentement : Plausible est explicitement exempté du consentement préalable par la recommandation CNIL du 17 septembre 2020 sur les cookies et autres traceurs, car la solution ne dépose aucun cookie, ne permet aucun suivi individuel et reste limitée à la finalité de mesure d'audience. Aucun bandeau de consentement n'est donc requis.

Base légale : intérêt légitime de Garante à améliorer son service (Art. 6.1.f RGPD), après mise en balance des droits et libertés des personnes concernées.

Durée de conservation : données agrégées conservées 2 ans glissants. Hash IP supprimé chaque jour à minuit (UTC).

Droit d'opposition : pour ne pas être comptabilisé dans la mesure d'audience, activez l'option Do Not Track dans votre navigateur (Plausible la respecte) ou utilisez une extension de blocage type uBlock Origin.

Logs techniques serveur : en plus de Plausible, le serveur conserve des logs d'accès techniques (adresse IP, user-agent, timestamps) pour des finalités de sécurité et de débogage (rotation journalière, conservation 30 jours maximum).

3.2 Paramétrage

Le site ne dépose aucun cookie soumis à consentement : il n'y a donc ni bandeau ni centre de préférences à paramétrer. Les seuls cookies utilisés sont strictement nécessaires au fonctionnement (session de connexion, protection contre les attaques), exemptés de consentement au titre de l'article 82 de la loi Informatique et Libertés. La mesure d'audience décrite au 3.1bis ne dépose aucun cookie ; vous pouvez la refuser en activant l'option Do Not Track de votre navigateur.

Conformément aux lignes directrices CNIL du 17 septembre 2020 :

• La mesure d'audience exemptée de consentement respecte les conditions CNIL : finalité strictement limitée, pas de recoupement avec d'autres traitements, pas de transfert à des tiers
• La durée de vie des cookies strictement nécessaires ne dépasse pas 13 mois

4. Destinataires des données

Vos données sont accessibles aux personnes suivantes :

Garante ne vend pas, ne loue pas et ne cède pas vos données à des tiers à des fins commerciales ou publicitaires.

5. Transferts de données hors UE/EEE

AUCUN transfert de données hors de l'Union européenne ou de l'Espace économique européen n'est effectué.

6. Durées de conservation

À l'expiration des durées de conservation, les données sont supprimées ou anonymisées de manière irréversible.

7. Vos droits

Conformément au RGPD, vous disposez des droits suivants sur vos données :

Comment exercer vos droits

• Par email : dpo@garante.fr
• Par courrier : Garante — 50 avenue des Champs-Élysées, 75008 Paris — À l'attention du Délégué à la Protection des Données

Garante s'engage à répondre à votre demande dans un délai de 30 jours à compter de sa réception. Ce délai peut être prolongé de deux mois supplémentaires si la demande est complexe ou si le nombre de demandes est élevé. Dans ce cas, vous en serez informé dans le délai initial de 30 jours.

Réclamation auprès de la CNIL

Si vous estimez que le traitement de vos données ne respecte pas la réglementation applicable, vous avez le droit d'introduire une réclamation auprès de la Commission Nationale de l'Informatique et des Libertés (CNIL) :

• Adresse : CNIL — 3, place de Fontenoy — TSA 80715 — 75334 Paris Cedex 07
• Site web : www.cnil.fr

8. Sécurité des données

Garante met en oeuvre des mesures techniques et organisationnelles appropriées pour protéger vos données, conformément à l'article 32 du RGPD :

• Chiffrement en transit : TLS 1.2/1.3, HSTS activé
• Chiffrement au repos : AES-256-GCM (stockage), AES-256-CBC (sauvegardes)
• Authentification renforcée : JWT avec durée limitée (15 min), 2FA TOTP disponible
• Mots de passe : hachés avec bcrypt (12 rounds), politique de complexité appliquée
• Contrôle d'accès : basé sur les rôles, multi-tenancy stricte
• Sauvegardes : quotidiennes, chiffrées, rétention 30 jours
• Validation des entrées : systématique sur chaque endpoint API

Pour plus de détails, consulter le document « Mesures Techniques et Organisationnelles (TOMs) ».

9. Décisions automatisées et profilage

Garante n'effectue aucune décision automatisée produisant des effets juridiques ou vous affectant de manière significative au sens de l'article 22 du RGPD.

L'intelligence artificielle (Mistral AI) intégrée au Service est utilisée uniquement en assistance aux DPO pour :

• Suggestions d'anonymisation de données de tiers
• Rédaction de brouillons de réponses DSAR
• Génération assistée de fiches de registre
• Analyse de DPA

Toute décision finale est prise par un DPO humain. L'IA ne prend aucune décision de manière autonome.

10. Modifications de la politique

Garante se réserve le droit de modifier la présente politique de confidentialité. En cas de modification substantielle, vous en serez informé par email ou par un bandeau sur le site.

La date de dernière mise à jour figure en haut du présent document.