Terminal d'Intelligence Financière

Politique de confidentialité

Politique de protection des données personnelles (RGPD)Version 1.4 — Entrée en vigueur : 04/10/2026 — Dernière mise à jour : 04/10/2026

Art. 13Responsable de traitement et DPO

Ad Viternam, SAS, 60 rue François 1er, 75008 Paris (SIREN 990 909 996), agit en qualité de responsable de traitement au sens de l'article 4(7) du RGPD. Le référent protection des données est Valentin Soulages, joignable à : [email protected] ou par courrier au siège social.

Les données des Utilisateurs ne sont jamais vendues, échangées ou cédées à des tiers à des fins commerciales.

Art. 14Données collectées, finalités et durées de conservation

14.1 Données d'identification et de compte

Données obligatoires : adresse email (chiffrée AES-256-GCM en base de données), pays de résidence.

Données optionnelles : statut socio-professionnel, revenus annuels estimés, patrimoine estimé, année de naissance, langue, devise préférée.

Finalité : création et gestion du compte, personnalisation de l'expérience.

Base légale : exécution du contrat (Art. 6(1)(b) RGPD) pour les données obligatoires ; consentement (Art. 6(1)(a) RGPD) pour les données optionnelles.

Conservation : durée du compte. Un compte inactif depuis 3 ans (aucune connexion ni utilisation de la Plateforme) est supprimé ; l'Utilisateur en est prévenu par email une semaine avant et peut le conserver en se connectant avant cette date. Un abonnement payant en cours suspend cette règle.

Connexion avec Apple ou Google : Ad Viternam reçoit l'identifiant technique du compte Apple ou Google et l'adresse email associée (pour Apple, le cas échéant une adresse relais masquée). Le nom transmis lors de la première connexion n'est pas conservé. Base légale : exécution du contrat (Art. 6(1)(b) RGPD). Conservation : durée du compte.

14.2 Logs de connexion

Données : adresse IP, horodatage de connexion, identifiant de session.

Finalité : sécurité, détection de fraudes et d'accès non autorisés.

Base légale : intérêt légitime (Art. 6(1)(f) RGPD).

Conservation : 90 jours, puis purge automatique.

14.3 Données de portefeuille et de budget

Données : positions financières (actions, obligations, ETF, crypto-actifs, immobilier, devises), passifs, dettes, objectifs financiers, ratios, budgets et catégories de dépenses.

Finalité : fourniture du service de suivi patrimonial et budgétaire.

Base légale : exécution du contrat (Art. 6(1)(b) RGPD).

Conservation : durée du compte. Purge totale sous 72h après clôture.

14.4 Données bancaires et de courtage (Enable Banking / SnapTrade)

Données : informations de compte, soldes, historique de transactions, catégorisations, positions de courtage. Identifiant partiel du compte : 8 derniers chiffres de l'IBAN, conservés à des fins d'affichage et d'identification par l'Utilisateur.

Exclusions : aucun IBAN complet, identifiant de connexion, code d'accès ou numéro de contrat n'est stocké ou connu d'Ad Viternam.

Finalité : fourniture du service d'agrégation, amélioration de la catégorisation par machine learning.

Base légale : consentement explicite (Art. 6(1)(a) RGPD), recueilli de manière granulaire, renouvelé tous les 180 jours (DSP2). Un consentement distinct est recueilli pour l'utilisation des transactions à des fins d'amélioration de la catégorisation automatique (machine learning), révocable à tout moment.

Conservation : durée du compte. L'historique des transactions déjà importées est conservé tant que le compte existe, pour le suivi patrimonial et budgétaire ; le retrait du consentement arrête immédiatement toute nouvelle synchronisation. Purge totale sous 72 heures après clôture.

14.5 Données agrégées et anonymisées

Nature : données irréversiblement anonymisées, hors champ RGPD.

Usage : statistiques économiques, indices de consommation, tendances comportementales.

Ces données ne permettent en aucun cas de réidentifier un Utilisateur individuel.

14.6 Demandes Entreprise (formulaire de contact du site)

Données : nom, adresse email professionnelle, société, fonction, taille de l'entreprise, description du besoin.

Finalité : répondre à la demande et présenter l'offre Entreprise.

Base légale : mesures précontractuelles prises à la demande de la personne (Art. 6(1)(b) RGPD).

Conservation : 3 ans à compter du dernier échange.

Destinataires : la demande est transmise par email, via Resend, à la messagerie d'Ad Viternam ; elle n'est pas enregistrée dans la base de données de la Plateforme.

Les anciennes listes d'accès anticipé sont closes ; les données qui y avaient été recueillies sont supprimées au plus tard 24 mois après la dernière interaction.

14.7 Suppression du compte

À la demande de suppression du compte, ou à l'issue de la période d'inactivité prévue à l'Article 14.1, l'intégralité des données personnelles de l'Utilisateur est détruite dans un délai de 72 heures, à l'exception des données dont la conservation est imposée par une obligation légale. Une trace anonymisée de l'existence du compte est conservée à des fins statistiques internes.

Sauvegardes : la base de données est sauvegardée chaque nuit, chiffrée avant tout envoi. Les données supprimées subsistent uniquement dans ces sauvegardes chiffrées, inaccessibles à l'exploitation courante, jusqu'à leur effacement automatique au plus tard 100 jours après la sauvegarde. Elles ne servent qu'à rétablir le service après un incident.

14.8 Requêtes du module AEGIS

Données traitées : l'identifiant soumis par l'Utilisateur aux commandes concernées (nom pour OFAC, numéro de téléphone pour PHONE, pseudonyme ou adresse email pour GITHUB).

Finalité : vérification ponctuelle de l'exposition ou du statut d'un identifiant en sources ouvertes.

Base légale : intérêt légitime (Art. 6(1)(f) RGPD), fondé sur la vérification par l'Utilisateur de sa propre exposition ou sur l'exécution d'une obligation de vigilance qui lui est propre. L'analyse de balance des intérêts est versée au registre des traitements.

Conservation : aucune. Les identifiants soumis sont traités en mémoire le temps de la requête et ne font l'objet d'aucun enregistrement, journalisation ou conservation, sous quelque forme que ce soit.

Historique des recherches : pour les seules recherches portant sur des entités non nominatives (entreprises, organisations, noms de domaine, adresses de portefeuille, navires, aéronefs), un historique limité à un résumé (compteurs et indicateurs, jamais le résultat brut) est conservé 30 jours dans l'espace de l'Utilisateur. Aucune recherche portant sur une personne physique, une adresse email ou un numéro de téléphone n'y est enregistrée.

Liste de surveillance : les entités que l'Utilisateur choisit d'y ajouter, y compris une personne physique, sont conservées jusqu'à leur retrait par l'Utilisateur ou la suppression de son compte, afin de l'alerter d'un changement de statut au regard des listes de sanctions.

Destinataires : aucun pour les commandes OFAC et PHONE (traitement exclusivement local sur l'infrastructure d'Ad Viternam) ; GitHub, Inc. pour la seule commande GITHUB (voir Articles 16 et 17).

Données utilisateur Google — « Se connecter avec Google »

Cette section précise, pour la fonction « Se connecter avec Google », comment Ad Viternam accède aux données de votre compte Google, les utilise, les conserve et les partage.

Données reçues

Uniquement les informations d'identité de base auxquelles vous consentez sur l'écran de Google (autorisations openid, email et profile) : l'identifiant technique de votre compte Google et l'adresse email associée. Le nom transmis lors de la première connexion n'est pas conservé. Ad Viternam n'accède à aucune autre donnée de votre compte Google : ni e-mails, ni fichiers, ni contacts, ni agenda.

Utilisation

Ces données servent exclusivement à créer votre compte, à vous authentifier et à confirmer votre identité avant une action sensible (suppression du compte, changement d'adresse email, désactivation de la double authentification, sortie du mode lecture seule). Elles ne sont utilisées ni à des fins publicitaires, ni pour du profilage, ni pour entraîner un modèle d'apprentissage automatique.

Partage

Elles ne sont ni vendues, ni louées, ni transférées à des tiers. Seuls les sous-traitants techniques listés à l'article 16, notamment l'hébergeur, les traitent pour le compte d'Ad Viternam.

Conservation, sécurité et suppression

Elles sont conservées pendant la durée du compte, avec les mesures de sécurité décrites à l'article 15, et détruites sous 72 heures à la suppression du compte, sous réserve des sauvegardes chiffrées décrites à l'article 14.7. Vous pouvez à tout moment retirer l'accès d'Ad Viternam à votre compte Google depuis myaccount.google.com/connections.

L'utilisation par Ad Viternam des informations reçues des API Google respecte les Règles d'utilisation des données utilisateur des services d'API Google (Google API Services User Data Policy), y compris les exigences d'utilisation limitée (Limited Use).

Données Apple — « Se connecter avec Apple »

Cette section précise, pour la fonction « Se connecter avec Apple », quelles données Ad Viternam reçoit d'Apple et comment elles sont utilisées, conservées et partagées.

Données reçues

L'identifiant technique de votre compte Apple et l'adresse email associée. Si vous choisissez de masquer votre adresse, Ad Viternam ne reçoit qu'une adresse relais créée par Apple, qui vous transmet nos messages. Apple transmet aussi votre nom lors de la première connexion : il n'est pas conservé. Ad Viternam n'accède à aucune autre donnée de votre compte Apple.

Utilisation

Partage

Elles ne sont ni vendues, ni louées, ni transférées à des tiers. Seuls les sous-traitants techniques listés à l'article 16, notamment l'hébergeur, les traitent pour le compte d'Ad Viternam.

Notifications d'Apple

Apple informe Ad Viternam de certains changements sur votre compte Apple, par un message signé qu'Ad Viternam vérifie avant d'agir :

si vous supprimez définitivement votre compte Apple, la suppression de votre compte Ad Viternam est programmée sous 72 heures ;
si vous cessez d'utiliser « Se connecter avec Apple » pour Ad Viternam, votre compte Apple est délié et toutes vos sessions sont fermées ; votre compte Ad Viternam reste accessible par mot de passe s'il en possède un ;
si vous désactivez ou réactivez le transfert de votre adresse relais, l'événement est seulement journalisé. Tant que le transfert est désactivé, nos emails (sécurité, alertes) ne vous parviennent plus.

Conservation, sécurité et suppression

Elles sont conservées pendant la durée du compte, avec les mesures de sécurité décrites à l'article 15, et détruites sous 72 heures à la suppression du compte, sous réserve des sauvegardes chiffrées décrites à l'article 14.7. Vous pouvez à tout moment cesser d'utiliser « Se connecter avec Apple » pour Ad Viternam depuis les réglages de votre compte Apple, rubrique « Se connecter avec Apple ».

Art. 15Sécurité des données

Chiffrement en transit : TLS 1.3 via Cloudflare sur l'ensemble des communications, puis tunnel chiffré entre Cloudflare et les serveurs d'Ad Viternam.

Chiffrement au repos : AES-256-GCM avec vecteur d'initialisation aléatoire pour les données sensibles.

Authentification : JWT (JSON Web Token) sur l'ensemble des endpoints de l'API.

Isolation des données : Isolation logique par utilisateur en base de données.

Journalisation : Traçabilité complète des accès et événements de sécurité, rétention 90 jours puis purge automatique. Exclusion expresse : les identifiants soumis aux commandes du Module AEGIS ne font l'objet d'aucune journalisation ni conservation, y compris dans les journaux techniques de sécurité (voir Article 14.8). La journalisation des connexions (Article 14.2) porte sur la session de l'Utilisateur, non sur le contenu de ses requêtes.

Sauvegardes et journaux hors serveur : la base de données est sauvegardée chaque nuit et les journaux techniques toutes les 15 minutes, chiffrés avant envoi vers un stockage situé dans l'Union européenne, protégé contre l'effacement ; sauvegardes conservées au plus 100 jours, journaux au plus 35 jours.

Protection anti-intrusion : Détection et blocage des tentatives de connexion répétées, accès SSH par clé uniquement, pare-feu applicatif Cloudflare (WAF), alerte immédiate sur toute connexion d'administration et contrôle d'intégrité des fichiers du serveur.

Hébergement : Serveurs Infomaniak Network SA, Genève, Suisse — infrastructure certifiée ISO 27001.

En cas de violation de données à caractère personnel, Ad Viternam notifiera la CNIL dans un délai de 72 heures conformément à l'article 33 du RGPD, et les Utilisateurs concernés sans délai injustifié si la violation est susceptible d'engendrer un risque élevé pour leurs droits et libertés.

Art. 16Sous-traitants

Conformément à l'article 28 du RGPD, Ad Viternam a conclu ou s'engage à conclure un accord de traitement des données (DPA) avec chacun des sous-traitants suivants :

Infomaniak Network SA — Hébergement & stockage des données — Genève, Suisse 🇨🇭 — DPA signé

Stripe, Inc. — Traitement des paiements web/desktop — États-Unis 🇺🇸 — DPA disponible sur stripe.com/fr/legal/dpa

Apple Inc. — In-App Purchase (iOS), connexion « Se connecter avec Apple », notifications push (APNs), email (Apple Mail) — États-Unis 🇺🇸 — DPA disponible sur apple.com/legal/privacy

Google LLC — In-App Purchase (Android), connexion « Se connecter avec Google », notifications push (FCM) — États-Unis 🇺🇸 — DPA disponible sur cloud.google.com/terms/data-processing-addendum

Microsoft Corporation — Email (Outlook) — États-Unis 🇺🇸 — DPA disponible sur microsoft.com/licensing/docs/view/Microsoft-Products-and-Services-Data-Protection-Addendum-DPA

Cloudflare, Inc. — CDN, WAF, TLS, Analytics d'audience agrégée, stockage objet (R2) des journaux techniques et des sauvegardes, chiffrés avant envoi et localisés dans l'Union européenne — États-Unis 🇺🇸 — DPA disponible sur cloudflare.com/gdpr/introduction

Resend, Inc. — Envoi des emails transactionnels (confirmation de compte, sécurité, alertes) — États-Unis 🇺🇸 — DPA disponible sur resend.com/legal/dpa

RevenueCat, Inc. — Gestion technique des abonnements in-app — États-Unis 🇺🇸 — DPA disponible sur revenuecat.com/dpa

650 Industries, Inc. (Expo) — Acheminement des notifications push vers les applications mobiles et distribution des mises à jour de l'application — États-Unis 🇺🇸 — Informations légales disponibles sur expo.dev

Enable Banking — Agrégation bancaire (AISP, DSP2) — Union Européenne 🇪🇺 — Informations légales disponibles sur enablebanking.com

SnapTrade — Connexions de courtage (lecture seule) — Informations légales disponibles sur snaptrade.com

GitHub, Inc. — Destinataire de la commande GITHUB du Module AEGIS (consultation d'API publique) — États-Unis 🇺🇸 — certifiée EU-US Data Privacy Framework

Meta Platforms Ireland Limited — Mesure d'audience publicitaire via l'API Conversions (CAPI) du site vitrine, UNIQUEMENT sous réserve du consentement du visiteur — Irlande 🇮🇪 (transferts USA encadrés) — certifiée EU-US Data Privacy Framework — responsable conjoint pour cette mesure

GitHub, Inc. n'agit pas en qualité de sous-traitant au sens de l'article 28 du RGPD mais de simple destinataire : Ad Viternam ne lui confie aucun traitement pour son compte, elle consulte un service d'API publique. Les autres sources du Module AEGIS (résolveurs DNS, registres RDAP, journaux de transparence des certificats, données de routage BGP, référentiels CVE, registre OUI) ne reçoivent que des données techniques ne se rapportant à aucune personne identifiée.

Les données personnelles des Utilisateurs ne sont pas vendues, échangées ou cédées à des tiers.

Art. 17Transferts internationaux de données

Plusieurs sous-traitants d'Ad Viternam sont établis aux États-Unis. Les transferts de données vers ces entités sont encadrés par les Clauses Contractuelles Types (CCT) de la Commission Européenne (Décision 2021/914), le cadre EU-US Data Privacy Framework (DPF) pour les entités certifiées, et une analyse d'impact sur les transferts (TIA) pour chaque sous-traitant concerné.

La transmission d'identifiants à GitHub, Inc. dans le cadre de la commande GITHUB du Module AEGIS relève du même dispositif : GitHub, Inc. est certifiée au titre du EU-US Data Privacy Framework, et aucun instrument de transfert supplémentaire n'est requis.

Les données sont hébergées en Suisse chez Infomaniak. La Suisse bénéficie d'une décision d'adéquation de la Commission Européenne. La Loi fédérale suisse sur la Protection des Données (nLPD), en vigueur depuis le 1er septembre 2023, est alignée avec le RGPD. Les sauvegardes et journaux techniques, chiffrés avant envoi, sont stockés dans l'Union européenne.

Pour les utilisateurs résidant en dehors de l'Union Européenne, du Royaume-Uni, de la Suisse et de l'Amérique du Nord, l'utilisation de la Plateforme s'effectue sous leur seule responsabilité. Ces utilisateurs s'assurent de la conformité avec le droit local applicable.

Art. 18Cookies et traceurs

La Plateforme n'utilise pas de cookies de suivi ou de traçage. L'analyse d'audience est réalisée via Cloudflare Analytics, un outil d'analyse agrégée côté serveur qui ne recourt à aucun cookie, ne suit pas les utilisateurs individuellement et ne crée pas d'empreinte numérique ; cette mesure d'audience ne requiert pas de consentement. En revanche, la mesure de l'efficacité publicitaire via l'API Conversions de Meta (Meta Platforms Ireland Limited) est soumise à votre consentement préalable, recueilli via une bannière dédiée sur le site vitrine, et peut être refusée ou retirée à tout moment (voir Article 16 et les mentions légales).

L'application web dépose un unique cookie strictement nécessaire, inaccessible aux scripts (httpOnly), qui maintient la session de l'Utilisateur connecté. Il n'est pas soumis à consentement et disparaît à la déconnexion.

Art. 19Droits des personnes concernées

Droit d'accès (Art. 15) : Obtenir une copie de ses données personnelles traitées.

Droit de rectification (Art. 16) : Faire corriger des données inexactes ou incomplètes.

Droit à l'effacement (Art. 17) : Obtenir la suppression de ses données (purge sous 72h — Article 14.7).

Droit à la limitation (Art. 18) : Obtenir la limitation du traitement dans les cas prévus.

Droit à la portabilité (Art. 20) : Recevoir ses données dans un format structuré et lisible par machine.

Droit d'opposition (Art. 21) : S'opposer au traitement fondé sur l'intérêt légitime.

Droit de retrait du consentement : Retirer son consentement à tout moment, notamment pour les connexions bancaires et l'utilisation des transactions à des fins de machine learning.

Droit de définir des directives post-mortem : Conformément à la Loi Informatique et Libertés.

La rectification des données de profil, le retrait des consentements et la suppression du compte s'effectuent directement depuis l'espace personnel de l'Utilisateur. Les droits d'accès et de portabilité, ainsi que les autres droits, s'exercent par email à [email protected] ; la copie des données est alors adressée dans un format structuré et lisible par machine. Ad Viternam s'engage à répondre dans un délai d'un mois. En cas de réponse insatisfaisante, l'Utilisateur peut saisir la CNIL (www.cnil.fr) ou l'autorité compétente de son pays de résidence.