Politique de confidentialité
Version provisoire du .
1. Responsable du traitement
Le responsable du traitement est l’éditeur du Site, HEDGEFLOW, entreprise individuelle (SIREN 130 080 070) dont les coordonnées figurent dans les Mentions légales, courriel contact@hedgeflow.app (voir les Mentions légales). Aucun délégué à la protection des données n’est désigné.
2. Données traitées, finalités, bases légales et durées
| Traitement | Données | Base légale | Durée de conservation |
|---|---|---|---|
| Compte et connexion au Service | Identifiant, mot de passe, droits du compte, heures de connexion et de dernière activité, adresse IP, nombre de connexions en temps réel ouvertes | Exécution des CGU (art. 6.1.b du RGPD) | Session : 12 heures au plus. Compte : durée de l’accès, puis suppression au plus tard trois ans après sa fin |
| Sécurité des connexions | Adresse IP, date et heure et résultat de chaque tentative ; identifiant saisi, affiché dans la console d’exécution sans être enregistré dans un fichier ; compteurs d’échecs et de tentatives | Intérêt légitime : sécurité du Service (art. 6.1.f) | Tentatives : même durée que le journal technique. Compteurs : en mémoire seulement (voir b) |
| Journal technique des requêtes | Date et heure, adresse IP, méthode, chemin demandé, statut, taille et durée de la réponse | Intérêt légitime : fonctionnement, sécurité, prévention des abus (art. 6.1.f) | 180 jours au plus, puis suppression automatique |
| Déclaration de statut d’utilisateur des données de marché | Nom, prénom, adresse, code postal, ville, pays de résidence, profession, employeur ; réponses au questionnaire et statut obtenu ; nom tapé pour signer, date et heure de la signature, adresse IP et navigateur ; empreinte du texte signé | Exécution des CGU (art. 6.1.b) ; intérêt légitime à justifier du respect des conditions d’accès aux données de marché (art. 6.1.f) | Durée de l’accès, puis 5 ans |
| Demande d’accès | Adresse e-mail, marché principal, message facultatif, date et heure de la demande | Mesures précontractuelles prises à votre demande (art. 6.1.b) | 365 jours, puis suppression automatique |
| Marquage anti-fuite, si activé sur votre compte | Identifiant et date affichés à l’écran | Intérêt légitime : protection des contenus et respect des licences de données (art. 6.1.f) | Aucune conservation supplémentaire |
| Contenus de tiers ouverts dans le terminal | Adresse IP et données techniques de connexion, transmises par votre navigateur au fournisseur de ces contenus | [À VALIDER : base légale et répartition des responsabilités avec ce fournisseur] | Aucune conservation par HEDGEFLOW ; chez le fournisseur : [À COMPLÉTER : durée, selon sa politique] |
| Questions posées sur le Discord HEDGEFLOW | Texte de la question, capture d’écran jointe, texte du message auquel elle répond ; pseudonyme et identifiant Discord, gardés avec le brouillon et jamais transmis au prestataire | Intérêt légitime : aider les membres (art. 6.1.f) | Brouillon : 30 jours. Réponse publiée : un an, sans la question ni son auteur |
a) Compte et connexion au Service
Si vous avez un compte, nous traitons votre identifiant, votre mot de passe, les droits attachés à votre compte, l’heure de votre connexion et de votre dernière activité, votre adresse IP et le nombre de connexions en temps réel que vous avez ouvertes. Ces données sont nécessaires : sans elles, nous ne pouvons pas vous donner accès au Service. Finalité : vous authentifier et vous donner accès au Service. Base légale : l’exécution des CGU que vous avez acceptées.
Votre session expire au plus tard 12 heures après la connexion ; elle prend fin aussi au redémarrage du Service. Les données de votre compte sont conservées pendant la durée de votre accès, puis supprimées au plus tard trois ans après la fin de cet accès.
b) Sécurité des connexions
Chaque tentative de connexion figure au journal technique (c) avec votre adresse IP, sa date et son heure, et son résultat. L’identifiant saisi et le résultat de la tentative s’affichent aussi dans la console d’exécution du Service, sans y être enregistrés dans un fichier.
Après plusieurs échecs sur un même identifiant, un verrouillage temporaire s’applique ; il est levé automatiquement. Le nombre de tentatives est aussi limité par adresse IP. Les compteurs nécessaires sont gardés en mémoire seulement : quelques minutes pour les tentatives par adresse IP ; jusqu’à la connexion réussie suivante, ou jusqu’au redémarrage du Service, pour les échecs par identifiant.
Finalité : protéger les comptes et le Service contre les accès non autorisés. Base légale : notre intérêt légitime à assurer la sécurité du Service. Durée : celle du journal technique (c).
c) Journal technique des requêtes
Chaque requête reçue par le Site est inscrite dans un journal technique : date et heure, adresse IP, méthode, chemin demandé (sans la valeur de ses paramètres), statut, taille et durée de la réponse ; pour les connexions en temps réel, leur fin, leur durée et le volume échangé, ou leur refus. Ce journal ne contient jamais vos cookies, vos mots de passe, votre adresse e-mail ni le texte de vos messages ; pour une demande d’accès, il note seulement le marché choisi et la longueur du message. Finalité : faire fonctionner le Site, diagnostiquer les incidents, limiter les abus. Pour limiter les abus, l’adresse IP est aussi gardée en mémoire, avec des compteurs de requêtes et de volume téléchargé, pendant une heure au plus. Base légale : notre intérêt légitime. Durée : le journal est conservé 180 jours au plus, puis supprimé automatiquement.
d) Demande d’accès
Le formulaire de demande recueille votre adresse e-mail et votre marché principal, qui sont obligatoires, ainsi qu’un message facultatif de 500 caractères au plus. Sans les champs obligatoires, nous ne pouvons pas étudier votre demande. Un champ invisible sert à écarter les envois automatisés ; aucun service anti-robot tiers n’est utilisé.
La fiche de demande est enregistrée avec sa date et son heure, mais sans votre adresse IP. Comme toute requête, son envoi figure au journal technique (c), avec votre adresse IP ; celle-ci est aussi gardée en mémoire pendant environ une heure, pour limiter le nombre de demandes envoyées depuis une même connexion.
Finalité : examiner votre demande et vous répondre. Votre adresse n’est utilisée que pour cela : elle n’est ni vendue, ni cédée, ni utilisée pour de la prospection. Base légale : les mesures précontractuelles prises à votre demande. Durée : 365 jours à compter de la demande, puis suppression automatique.
e) Marquage anti-fuite
Si ce marquage est activé sur votre compte, votre identifiant et la date sont affichés en filigrane sur l’écran, pour dissuader la rediffusion des contenus. Aucune donnée supplémentaire n’est conservée. Base légale : notre intérêt légitime à protéger le Service et à respecter les licences des données de marché.
f) Contenus de tiers ouverts dans le terminal
Le terminal comporte un panneau d’actualités et de calendrier économique fourni par un tiers. Ce panneau n’est chargé que si vous l’ouvrez. Il s’affiche alors dans des cadres intégrés à la page : votre navigateur se connecte directement aux serveurs du fournisseur, qui reçoit votre adresse IP et les données techniques de votre connexion, et les traite selon sa propre politique. HEDGEFLOW ne reçoit ni ne conserve rien de ces échanges. Fournisseur : [À COMPLÉTER : identité du fournisseur et lien vers sa politique de confidentialité]. [À VALIDER : base légale et répartition des responsabilités entre l’éditeur et ce fournisseur]
g) Déclaration de statut d’utilisateur des données de marché
Avant la souscription d’un accès (abonnement, réabonnement ou pass), nous vous demandons de déclarer votre statut (non-professionnel ou professionnel) et de signer vos engagements. Nous traitons votre nom, votre prénom, votre adresse, votre code postal, votre ville, votre pays de résidence, votre profession et votre employeur ; vos réponses aux neuf questions et le statut qui en résulte ; le nom que vous tapez pour signer, la date et l’heure de la signature, l’adresse IP et le navigateur utilisés ; l’empreinte du texte signé. Ces données sont nécessaires : sans elles, l’accès ne peut pas être souscrit.
Finalité : respecter les conditions d’accès aux données de marché fixées par les bourses qui les produisent et par notre fournisseur de données, qui distinguent les utilisateurs non-professionnels des professionnels, et pouvoir en justifier lors d’un contrôle. Base légale : l’exécution des CGU (article 7.2), et notre intérêt légitime à justifier du respect de ces conditions. Durée : toute la durée de votre accès, puis 5 ans (délai de prescription civile). Une fois signée, la déclaration se renouvelle chaque année et à chaque nouvelle version de son texte : chaque signature est conservée.
Une copie vous est envoyée par courriel, et vous pouvez la relire à tout moment dans votre espace client. Pour signaler un changement de situation ou corriger une déclaration : contact@hedgeflow.app.
h) Questions posées sur le Discord HEDGEFLOW
Le texte d’une question posée sur le serveur Discord HEDGEFLOW ou en message privé à son robot, la capture d’écran jointe et, si la question répond à un autre message, le texte de ce message peuvent être transmis à un prestataire d’intelligence artificielle pour préparer une réponse. Votre pseudonyme et votre identifiant Discord ne lui sont pas transmis ; une clé personnelle collée dans un message est masquée avant l’envoi.
Finalité : répondre aux questions des membres. Base légale : notre intérêt légitime à aider les membres. Durée : les brouillons sont effacés après 30 jours ; une réponse publiée est conservée un an, sans la question ni son auteur.
3. Destinataires et hébergement
Vos données sont destinées à l’éditeur. Elles peuvent être traitées pour son compte, dans la stricte limite de leur mission, par ses prestataires techniques : OVH SAS (France), qui héberge le serveur du Site et achemine les courriels envoyés depuis contact@hedgeflow.app ; un prestataire d’intelligence artificielle établi aux États-Unis, pour les seules questions posées sur le Discord HEDGEFLOW (voir h). Elles peuvent être communiquées aux autorités habilitées sur réquisition. Elles ne sont ni vendues, ni louées.
Votre déclaration de statut (g) peut être communiquée, sur leur demande et dans le cadre d’un contrôle seulement, au fournisseur de données de marché de HEDGEFLOW et aux bourses concernées.
Reçoit aussi votre adresse IP, directement de votre navigateur : le fournisseur des contenus de tiers, si vous ouvrez son panneau dans le terminal (voir f).
Les données sont stockées sur les équipements informatiques loués par l’éditeur : un serveur dédié situé en France, dans un centre de données d’OVH SAS à Roubaix.
4. Transferts hors de l’Union européenne
L’éditeur ne transfère pas vos données hors de l’Union européenne : le Site et le Service sont hébergés en France, et aucun prestataire ne s’intercale entre votre navigateur et le serveur.
Exception : les questions posées sur le Discord HEDGEFLOW (section 2, h) sont traitées aux États-Unis par ce prestataire d’intelligence artificielle ; ce transfert est encadré par les clauses contractuelles types de la Commission européenne, intégrées à ses conditions. Vous pouvez en obtenir une copie à contact@hedgeflow.app.
En cas de contrôle (section 3), votre déclaration de statut peut être transmise à des destinataires établis hors de l’Union européenne, notamment aux États-Unis, où sont établies certaines des bourses concernées : [À VALIDER : garanties ou dérogation applicables à cette transmission].
Le fournisseur des contenus de tiers, si vous ouvrez son panneau (section 3), est lui aussi établi hors de l’Union européenne, au Royaume-Uni : [À COMPLÉTER : pays et garanties applicables, à vérifier].
5. Vos droits
Vous disposez d’un droit d’accès, de rectification, d’effacement et de limitation, d’un droit d’opposition aux traitements fondés sur l’intérêt légitime, et d’un droit à la portabilité des données que vous nous avez fournies sur la base du contrat. Vous pouvez aussi définir des directives relatives au sort de vos données après votre décès.
Pour exercer ces droits : contact@hedgeflow.app. Nous répondons dans un délai d’un mois, prolongeable dans les conditions prévues par le RGPD. Si vous estimez que vos droits ne sont pas respectés, vous pouvez introduire une réclamation auprès de la CNIL (www.cnil.fr).
6. Décision automatisée
Le statut issu de la déclaration (g) découle directement de vos réponses : un « oui » à l’une des questions 1 à 8 conduit au statut professionnel, pour lequel l’accès ne peut pas être ouvert pour le moment. Si vous contestez ce résultat, écrivez à contact@hedgeflow.app : votre situation est réexaminée par une personne, et vous pouvez présenter vos observations.
En dehors de ce cas, aucune décision produisant des effets juridiques ou vous affectant de manière significative n’est prise sur le seul fondement d’un traitement automatisé. Le verrouillage temporaire après des échecs de connexion répétés est une mesure de sécurité, levée automatiquement.
7. Sécurité
Connexion chiffrée (HTTPS) ; cookie de session signé, inaccessible aux scripts de la page et limité à 12 heures ; limitation des tentatives de connexion ; accès aux journaux réservé à l’éditeur. Les déclarations de statut sont conservées dans un fichier en ajout seul, dont chaque ligne porte l’empreinte de la précédente : une modification se verrait.
9. Modifications
Toute évolution de la présente politique est publiée sur cette page, avec sa date. En cas de changement substantiel, elle vous est notifiée.