Sift

Qu''est-ce que Sift ?

Sift est une plateforme de prévention de la fraude et de sécurité basée sur le machine learning utilisée par les grandes plateformes e-commerce, les fintechs et les marketplaces en ligne. Elle fournit des scores de risque en temps réel pour la création de comptes, les connexions, les paiements et autres actions utilisateurs. Le snippet JavaScript Sift Beacon collecte des signaux détaillés sur l''appareil et le comportement depuis chaque page, construisant un profil de risque continu pour chaque utilisateur. Intégré à un site, Sift peut bloquer ou signaler automatiquement les activités suspectes basées sur son réseau mondial de signaux de fraude.

Quelles données Sift collecte-t-il ?

Sift collecte une vaste gamme de signaux incluant l''adresse IP, le type et la version du navigateur, le système d''exploitation, la résolution d''écran, les polices installées, les identifiants d''appareil, les modèles de mouvement de souris, la dynamique des frappes clavier, le comportement de défilement, les modèles de clics, la durée de session, l''historique de navigation dans le site et les caractéristiques réseau. Il collecte également les attributs des comptes utilisateurs, les détails des transactions et les métriques de vélocité comportementale. Cette combinaison de fingerprinting d''appareil et de biométrie comportementale crée un profil individuel très granulaire utilisé pour générer des scores de risque.

Implications RGPD et ePrivacy

La conformité RGPD de Sift est plus complexe que la plupart des outils tiers car la prévention de la fraude bénéficie de dispositions spécifiques. Le Considérant 47 du RGPD reconnaît la prévention de la fraude comme un intérêt légitime, ce qui signifie que le consentement n''est pas toujours requis pour le scoring de risque sous-jacent. Cependant, la directive ePrivacy exige toujours le consentement pour les cookies déposés sur les appareils des utilisateurs. De plus, lorsque les scores de risque de Sift conduisent à des décisions automatisées affectant significativement les utilisateurs, l''Article 22 sur la prise de décision automatisée s''applique.

Consentement et intérêt légitime

Pour le suivi par cookies, le consentement est requis au titre de la directive ePrivacy avant que Sift ne dépose des cookies. Pour le traitement plus large (IP, fingerprinting, signaux comportementaux), l''intérêt légitime (Art. 6(1)(f)) peut s''appliquer si un test de mise en balance documenté démontre que la prévention de la fraude l''emporte sur les intérêts de confidentialité individuels dans le contexte spécifique. Ce test doit être consigné dans votre registre. Les utilisateurs doivent toujours être informés du traitement et disposer du droit de s''y opposer.

Transferts de données hors UE

Sift traite toutes les données sur une infrastructure américaine sans option d''hébergement en Europe. C''est un transfert vers un pays tiers au titre du Chapitre V du RGPD. Les clauses contractuelles types constituent le mécanisme de transfert applicable. Le transfert est particulièrement sensible car Sift partage les signaux de risque dans son réseau mondial de clients, ce qui signifie que les données utilisateurs individuelles peuvent contribuer à des évaluations de risque utilisées par d''autres organisations. Cet effet réseau doit être divulgué dans votre politique de confidentialité et évalué dans votre AIPD.

Étapes pratiques de mise en conformité

Pour utiliser Sift en conformité : obtenez le consentement avant de charger le snippet Sift Beacon ; documentez votre test de mise en balance pour l''intérêt légitime ; réalisez une AIPD compte tenu de la prise de décision automatisée et du fingerprinting ; mettez à jour votre politique de confidentialité pour divulguer Sift comme sous-traitant ; signez un accord de traitement avec Sift ; implémentez des garanties pour les décisions automatisées (option de révision humaine, droit d''opposition) ; documentez tous les traitements dans votre registre.