Aide à l'AIPD
Cette page propose une trame d'aide aux Clients responsables de traitement qui souhaitent conduire une Analyse d'Impact relative à la Protection des Données (AIPD) sur leur usage de Documail. Elle complète l'Accord de sous-traitance RGPD, la Politique de confidentialité, la liste publique des Sous-traitants et l'Annexe sécurité.
Dernière mise à jour : 1ᵉʳ juin 2026
1. Quand une AIPD est-elle requise ?
Au sens de l'article 35 du RGPD, une AIPD est requise lorsqu'un traitement est susceptible d'engendrer un risque élevé pour les droits et libertés des personnes concernées. La CNIL publie une liste des traitements pour lesquels une AIPD est obligatoire.
Un usage de Documail peut justifier une AIPD dans plusieurs situations typiques :
- collecte massive de pièces d'identité (CNI, passeport, titre de séjour) dans le cadre d'un parcours client ;
- traitement de données fiscales, financières ou patrimoniales à grande échelle ;
- profilage ou évaluation systématique de personnes (sélection de locataires, sélection de candidats…) ;
- usage par une profession réglementée (avocat, notaire, comptable, courtier, etc.) sur des dossiers de clients.
2. Trame d'AIPD adaptée à Documail
2.1 Description du traitement
| Finalité poursuivie par le Client | À documenter par le Client — par exemple : constitution d'un dossier locataire, recouvrement, instruction d'un dossier comptable, gestion RH d'un salarié. |
| Catégories de données | Identité (nom, prénom, date de naissance, photo, n° de pièce), coordonnées, données financières (salaires, montants), justificatifs fiscaux, contrats. Le Client liste les catégories effectivement chargées. |
| Catégories particulières (art. 9 RGPD) | Interdites par défaut dans le DPA, sauf accord écrit. À confirmer par le Client (par exemple, une fiche de paie ne contient en principe pas de donnée de santé, mais un certificat médical en contiendrait). |
| Personnes concernées | Locataires, prospects, salariés, justiciables, contribuables, ou plus généralement les personnes dont le Client traite les Documents. |
| Volumes | Nombre estimé de personnes concernées et de Documents par mois. Le Client connaît ces chiffres mieux que Documail. |
| Durée de conservation | Durée du contrat + 30 jours d'export + suppression sous 60 jours (cf. DPA art. 9). Les obligations légales de conservation propres au Client peuvent allonger la durée côté Client (ex. 6 ans pour la comptabilité, 5 ans pour les baux). |
2.2 Évaluation de la nécessité et de la proportionnalité
- Base légale : le Client identifie laquelle des bases de l'article 6 du RGPD justifie son traitement (exécution d'un contrat, obligation légale, intérêt légitime, consentement…).
- Minimisation : Documail recommande de ne charger que les Documents strictement nécessaires à la finalité. Une CNI sans cache des numéros de référence inutiles, par exemple.
- Limitation des finalités : Documail ne ré-utilise pas les Documents pour ses propres finalités (cf. art. 4 du DPA).
- Exactitude : les résultats d'IA sont fournis à titre d'aide à la décision, validation humaine requise (cf. CGV art. 14).
2.3 Mesures techniques et organisationnelles
Pour les MTO mises en œuvre par Documail, se référer à l'Annexe sécurité. Le Client documente en complément ses propres MTO :
- politique de mots de passe interne du Client ;
- gestion des accès des collaborateurs au compte Documail ;
- politique 2FA / 3FA imposée aux utilisateurs ;
- procédure interne de réaction à une demande RGPD ;
- procédure interne de notification de violation au DPO ou à la CNIL.
2.4 Identification et appréciation des risques
Pour chaque risque, le Client évalue la vraisemblance et la gravité, puis la mesure adéquate :
| Risque | Mesures Documail | Mesures Client (à compléter) |
|---|---|---|
| Accès illégitime aux Documents | Chiffrement transit/repos, 2FA/3FA, isolation par espace, journalisation, accès interne restreint au minimum. | Politique d'accès interne, séparation des comptes, formation. |
| Modification non désirée | Journal d'audit applicatif, sauvegardes 30 jours, versioning S3. | Vérification périodique, droits d'écriture limités. |
| Disparition des données | Sauvegardes chiffrées quotidiennes, test trimestriel de restauration, suppression contrôlée en fin de contrat. | Export régulier en local pour redondance. |
| Transfert hors UE | Stockage UE (S3 eu-west-1 + IONOS France). Traitement IA : OpenAI Ireland Ltd, avec transfert technique US encadré par CCT + DPF. | Information des personnes concernées du transfert, option Zero Data Retention possible. |
| Erreur d'analyse IA | Résultats explicitement présentés comme aide à la décision ; mode correction post-import pour réviser les classifications ; possibilité de désactiver l'IA sur demande. | Validation humaine systématique avant toute action externe sur la base des résultats. |
3. Documents Documail utiles pour l'AIPD
- Accord de sous-traitance RGPD (DPA)
- Liste publique des sous-traitants ultérieurs
- Annexe sécurité (mesures techniques et organisationnelles)
- Politique de confidentialité
- Conditions Générales de Vente
4. Demande d'éléments complémentaires
Pour les Clients réalisant une AIPD formelle (cabinets, professions réglementées, ETI…), Documail peut fournir sur demande :
- une fiche sécurité détaillée téléchargeable (PDF) ;
- les éléments contractuels OpenAI invoqués (CCT, certification EU-US Data Privacy Framework) ;
- les engagements de notification de violation (timing 72 h prévu dans le DPA) ;
- une version signable bilatéralement du DPA et de l'Annexe sécurité.
Adresser la demande à support@documail.fr en précisant le contexte (type de Client, volumes traités, sensibilité particulière).
Une question sur cette trame ?
Écrivez-nous à support@documail.fr.