Apruvd

Qu'est ce qu'Apruvd

Apruvd est un service managé de prévention de la fraude qui analyse les transactions e commerce et offre une garantie de chargeback. Le marchand appelle l'API Apruvd au checkout. Apruvd combine machine learning, fingerprinting et revue manuelle pour approuver, refuser ou mettre la commande en attente.

Données traitées

Apruvd traite le nom de l'acheteur, les adresses de facturation et de livraison, l'e mail, le téléphone, l'IP, le fingerprint, la valeur de la commande, le contenu du panier, le BIN et les métadonnées du moyen de paiement. Ces données sont confrontées à un graphe de risque historique et à des réseaux connus de fraudeurs.

Implications RGPD et ePrivacy

La prévention de la fraude peut s'appuyer sur l'exécution du contrat (article 6(1)(b)) ou l'intérêt légitime (article 6(1)(f)) dès lors que le traitement est strictement proportionné. Le script de fingerprinting reste soumis à l'article 5(3) ePrivacy s'il lit ou écrit sur l'appareil pour des finalités allant au delà du strict nécessaire. Les décisions automatisées à effet juridique relèvent de l'article 22, avec un droit à l'intervention humaine.

Obligations de consentement

Le consentement n'est généralement pas requis car le scoring antifraude est nécessaire à l'exécution du contrat et à la protection des deux parties. Le fingerprinting et la collecte de signaux doivent être mentionnés dans la politique de confidentialité, avec une explication de la logique et du droit de contester la décision. Une réutilisation marketing des signaux exigerait un consentement.

Transferts internationaux

Apruvd traite principalement les données aux États Unis. Les transferts s'appuient sur les CCT et le EU US Data Privacy Framework. Documentez le transfer impact assessment, d'autant que les signaux de risque peuvent être croisés entre marchands du réseau.

Étapes pratiques de conformité

Signez le DPA, réalisez une AIPD, mentionnez Apruvd dans la politique de confidentialité, expliquez la logique de la décision automatisée en termes clairs, exposez un canal de revue humaine au titre de l'article 22, limitez les champs envoyés au strict nécessaire, fixez une conservation pour les scores et alignez le périmètre PCI DSS pour toute donnée de paiement partagée.