DPIA (art. 35 RGPD) obligatoire avant mise en prod. Non prototypé — analyse d'impact à produire en amont du déploiement.

Registre art. 30 RGPD à tenir côté DexFly. Non prototypé — tableau interne (finalité / base légale / rétention / destinataires).

OCR moteur V1 : AWS Textract AnalyzeID en region EU (eu-west-1). DPA AWS + DPF signé 10/07/2023, pas de transfert hors UE. Parsing MRZ et checksums ICAO implémentés côté widget — pas de dépendance Textract sur cette couche critique.