Politique de confidentialité

1. Introduction

La présente politique explique comment vos données personnelles sont traitées lorsque vous visitez le site de QUANTYX Terminal ou utilisez le service QUANTYX Terminal (le « Service »). Elle est établie conformément au règlement général sur la protection des données de l'Union européenne (règlement (UE) 2016/679, « RGPD »), au RGPD tel que transposé en droit britannique (« UK GDPR ») et au Data Protection Act 2018, ainsi que, le cas échéant, à la loi française n° 78-17 du 6 janvier 1978 dite « Informatique et Libertés ».

Les termes « données personnelles », « traitement », « responsable du traitement » et « sous-traitant » ont le sens que leur donne le RGPD.

2. Responsable du traitement

Le responsable du traitement est AMBER AND JASMINE LTD, private limited company immatriculée en Angleterre et au Pays de Galles sous le numéro 15098970, dont le siège social est situé 20 Wenlock Road, London, England, N1 7GU, Royaume-Uni.

• Contact pour toute question relative à vos données : [À COMPLÉTER : adresse électronique dédiée, ex. privacy@…]
• Représentant dans l'Union européenne (article 27 du RGPD) : [À COMPLÉTER : nom et adresse du représentant désigné dans l'UE]
• Enregistrement auprès de l'ICO : [À COMPLÉTER : numéro d'enregistrement ICO]

Dans la formule Équipe, le Client (l'organisation abonnée) détermine quels membres sont invités et quels droits leur sont attribués. [À COMPLÉTER / À VALIDER : qualification de l'Éditeur comme responsable du traitement ou sous-traitant à l'égard des données des membres d'une Équipe, et accord de traitement des données (DPA) le cas échéant.]

3. Données que nous traitons

• Données d'identification et de compte : nom, adresse électronique, organisation (formule Équipe), rôle et droits au sein d'une Équipe, langue préférée.
• Données d'authentification et de sécurité : mot de passe (conservé uniquement sous forme d'empreinte chiffrée irréversible), secret d'authentification à deux facteurs, identifiant de compte Google ou Microsoft en cas de connexion par OAuth (nous ne recevons pas votre mot de passe Google ou Microsoft), historique de connexion, adresse IP, type de navigateur et d'appareil.
• Données d'abonnement et de facturation : formule souscrite, historique des paiements, factures, adresse de facturation, pays de résidence (pour la TVA), numéro de TVA des Professionnels. Les données complètes de carte bancaire sont collectées et traitées directement par notre prestataire de paiement ; nous n'y avons pas accès.
• Données d'utilisation du Service : listes de suivi, alertes et leurs paramètres, portefeuilles et positions que vous saisissez ou importez, scénarios, préférences d'affichage, journaux techniques.
• Données de compte de courtage (facultatif) : si vous connectez un compte de courtage en lecture seule, les positions, soldes et informations de compte que le courtier met à disposition par cette connexion.
• Données des assistants IA : les questions que vous posez, les réponses générées et, uniquement si vous activez cette option, vos positions de portefeuille transmises pour analyse.
• Données Telegram (facultatif) : si vous activez les alertes Telegram, l'identifiant de discussion Telegram nécessaire à l'envoi des alertes.
• Correspondance : le contenu de vos échanges avec notre service client.

Nous ne cherchons pas à traiter de catégories particulières de données (données de santé, opinions politiques, etc.). Ne les saisissez pas dans le Service, en particulier dans les assistants IA.

4. Finalités et bases juridiques

• Créer et gérer votre compte, fournir le Service, ses fonctionnalités et ses alertes : exécution du contrat (article 6.1.b du RGPD).
• Authentifier les Utilisateurs, sécuriser le Service, prévenir la fraude et les abus, détecter les incidents : intérêt légitime à assurer la sécurité du Service (article 6.1.f) et exécution du contrat.
• Gérer les abonnements, les paiements, la facturation et la comptabilité : exécution du contrat et respect de nos obligations légales, notamment fiscales et comptables (article 6.1.c).
• Produire les Analyses IA à votre demande : exécution du contrat ; pour la transmission de vos positions de portefeuille au fournisseur du modèle, votre activation explicite de cette option, que vous pouvez désactiver à tout moment.
• Connecter un compte de courtage en lecture seule : exécution du contrat, à votre demande.
• Envoyer des messages transactionnels (lien de connexion, sécurité, factures, informations sur l'abonnement) : exécution du contrat et obligations légales.
• Répondre à vos demandes et réclamations : exécution du contrat ou intérêt légitime.
• Améliorer et faire évoluer le Service à partir de statistiques techniques agrégées : intérêt légitime.
• Constater, exercer ou défendre nos droits en justice : intérêt légitime.
• Vous envoyer des communications commerciales : votre consentement lorsque la loi l'exige, ou notre intérêt légitime pour des services analogues à ceux que vous avez souscrits, avec possibilité de vous y opposer à tout moment. [À COMPLÉTER : supprimer si aucune prospection n'est prévue.]

Nous ne prenons aucune décision fondée exclusivement sur un traitement automatisé produisant des effets juridiques à votre égard ou vous affectant de manière significative, au sens de l'article 22 du RGPD.

5. Traitements liés à l'intelligence artificielle

Les Analyses IA sont produites à l'aide de grands modèles de langage fournis par des tiers : DeepSeek et Anthropic (Claude). Lorsque vous utilisez un assistant IA, nous transmettons au fournisseur concerné :

• des données de marché nécessaires à l'analyse ;
• la question que vous avez posée ;
• uniquement si vous l'avez activé, vos positions de portefeuille.

Nous ne transmettons pas volontairement votre nom ni votre adresse électronique aux fournisseurs de modèles. Toutefois, toute information que vous incluez dans votre question leur est transmise ; évitez d'y insérer des données personnelles.

Nous n'utilisons pas vos données pour entraîner des modèles d'intelligence artificielle. Les données transmises aux fournisseurs de modèles sont traitées selon les conditions contractuelles applicables à notre utilisation de leurs interfaces de programmation (API) [À COMPLÉTER / À VÉRIFIER : confirmer, pour chaque fournisseur, que les données transmises via l'API ne sont pas utilisées pour l'entraînement de ses modèles et préciser leur durée de conservation].

Le traitement par DeepSeek peut impliquer un transfert de données hors de l'Espace économique européen et du Royaume-Uni (voir la section 7).

6. Destinataires et sous-traitants

Vos données sont accessibles aux seules personnes habilitées de l'Éditeur, dans la limite de leurs fonctions. Elles sont également traitées par les prestataires suivants, agissant pour notre compte ou, le cas échéant, en tant que responsables de traitement distincts :

• OVHcloud (OVH Hosting Inc.) — hébergement du Service sur un serveur situé au Canada (Beauharnois, Québec).
• Resend (États-Unis) — envoi des courriers électroniques transactionnels.
• Microsoft (OneDrive) — stockage de sauvegardes, chiffrées avant leur envoi ; Microsoft ne détient pas la clé de déchiffrement.
• DeepSeek et Anthropic — génération des Analyses IA (voir la section 5).
• Stripe (Stripe Payments UK, Ltd. et Stripe, Inc.) — traitement des paiements ; ce prestataire peut agir en tant que responsable de traitement distinct pour ses propres obligations (lutte contre la fraude et le blanchiment).
• Google et Microsoft — uniquement si vous choisissez de vous connecter avec votre compte Google ou Microsoft ; ces sociétés agissent alors selon leurs propres politiques de confidentialité.
• Telegram — uniquement si vous activez les alertes Telegram ; Telegram traite le contenu des alertes qui vous sont envoyées, selon sa propre politique de confidentialité.
• Votre courtier — uniquement si vous connectez un compte de courtage ; les données sont alors reçues de votre courtier.

Les fournisseurs de données de marché ne reçoivent pas vos données personnelles, sauf [À COMPLÉTER / À VÉRIFIER : obligations de déclaration d'utilisateurs éventuellement imposées par la licence de données].

Nous pouvons communiquer des données aux autorités administratives ou judiciaires lorsque la loi l'exige. Nous ne vendons pas vos données personnelles.

7. Transferts internationaux

L'Éditeur étant établi au Royaume-Uni, vos données sont traitées au Royaume-Uni, qui bénéficie d'une décision d'adéquation de la Commission européenne. Elles sont également transférées vers les pays suivants, avec les garanties indiquées :

• Canada (hébergement OVHcloud) : le Canada bénéficie d'une décision d'adéquation de la Commission européenne pour les organisations soumises à la loi canadienne sur la protection des renseignements personnels et les documents électroniques (LPRPDE / PIPEDA), reconnue également par le Royaume-Uni.
• États-Unis (Resend, Anthropic, Microsoft, Google, Stripe) : transferts encadrés par le cadre de protection des données UE–États-Unis (EU–US Data Privacy Framework) et son extension britannique lorsque le destinataire y est certifié, ou à défaut par les clauses contractuelles types de la Commission européenne et l'addendum britannique (UK International Data Transfer Addendum). [À COMPLÉTER : préciser le mécanisme retenu pour chaque prestataire.]
• [À COMPLÉTER : pays de traitement de DeepSeek, vraisemblablement la République populaire de Chine] : ce pays ne bénéficie pas d'une décision d'adéquation. [À COMPLÉTER / À VALIDER : garanties appropriées (clauses contractuelles types, évaluation d'impact du transfert) ou recours à un hébergement du modèle dans un pays adéquat.]
• Telegram : [À COMPLÉTER : localisation et garanties], transfert effectué à votre demande lorsque vous activez cette option.
• OneDrive (Microsoft) : [À COMPLÉTER : région de stockage]. Les sauvegardes y sont chiffrées avant leur envoi.

Vous pouvez obtenir une copie des garanties applicables en nous contactant à l'adresse indiquée à la section 2.

8. Durées de conservation

• Données de compte et données saisies dans le Service : pendant toute la durée de l'abonnement, puis supprimées dans un délai de 90 jours après la fin du contrat, sauf conservation nécessaire à la gestion d'un litige.
• Comptes inactifs sans abonnement : supprimés après 24 mois d'inactivité, après information préalable de l'Utilisateur.
• Historique des échanges avec les assistants IA : conservé tant que le compte est actif, l'Utilisateur pouvant le supprimer à tout moment [À COMPLÉTER / À VALIDER : ou durée maximale, ex. 12 mois].
• Données de connexion et journaux de sécurité : 12 mois.
• Factures et pièces comptables : 6 ans à compter de la fin de l'exercice concerné (obligations comptables britanniques), ou toute durée supérieure imposée par la loi applicable.
• Données de preuve du contrat (acceptation des Conditions, demande d'exécution immédiate, rétractation) : durée du contrat augmentée du délai de prescription applicable (6 ans en droit anglais).
• Correspondance avec le service client : 3 ans après le dernier échange.
• Sauvegardes : les données supprimées disparaissent des sauvegardes chiffrées au terme de leur cycle de rotation, soit [À COMPLÉTER : durée de rétention des sauvegardes, ex. 90 jours].

9. Vos droits

Dans les conditions prévues par le RGPD et l'UK GDPR, vous disposez des droits suivants :

• droit d'accès à vos données et d'en obtenir une copie ;
• droit de rectification des données inexactes ou incomplètes ;
• droit à l'effacement ;
• droit à la limitation du traitement ;
• droit à la portabilité des données que vous nous avez fournies, lorsque le traitement est fondé sur le contrat ou le consentement ;
• droit d'opposition au traitement fondé sur notre intérêt légitime, et droit d'opposition à tout moment à la prospection commerciale ;
• droit de retirer votre consentement à tout moment, sans remettre en cause la licéité du traitement antérieur ;
• pour les résidents français, droit de définir des directives relatives au sort de vos données après votre décès.

Pour exercer ces droits, écrivez-nous à [À COMPLÉTER : adresse électronique dédiée] depuis l'adresse associée à votre compte. Nous pourrons vous demander de justifier de votre identité en cas de doute raisonnable. Nous répondons dans un délai d'un mois, pouvant être prolongé de deux mois en cas de demande complexe ; vous en serez alors informé.

Vous pouvez également modifier certaines données et désactiver certaines options (transmission du portefeuille aux assistants IA, alertes Telegram, connexion du compte de courtage) directement depuis les paramètres de votre compte.

10. Réclamation auprès d'une autorité de contrôle

Si vous estimez que le traitement de vos données n'est pas conforme, vous pouvez introduire une réclamation auprès d'une autorité de contrôle, notamment :

• au Royaume-Uni : l'Information Commissioner's Office (ICO) — ico.org.uk ;
• en France : la Commission nationale de l'informatique et des libertés (CNIL) — cnil.fr ;
• ou l'autorité de contrôle de l'État membre de l'Union européenne de votre résidence habituelle ou de votre lieu de travail.

Nous vous invitons à nous contacter au préalable afin que nous puissions tenter de répondre à votre préoccupation.

11. Sécurité

Nous mettons en œuvre des mesures techniques et organisationnelles adaptées au risque, notamment :

• chiffrement des communications entre votre navigateur et le Service (HTTPS) ;
• stockage des mots de passe sous forme d'empreintes irréversibles ;
• obligation de modifier le mot de passe temporaire lors de la première connexion ;
• authentification à deux facteurs disponible (application TOTP, ou via les comptes Google ou Microsoft) ;
• connexion aux comptes de courtage limitée à la lecture seule ;
• sauvegardes chiffrées (outil restic) conservées sur le serveur et sur OneDrive ;
• gestion des droits d'accès, notamment par le Titulaire du compte dans la formule Équipe ;
• journalisation des accès et des événements de sécurité.

Aucun système n'étant totalement sécurisé, nous ne pouvons garantir une sécurité absolue. En cas de violation de données présentant un risque pour vos droits et libertés, nous en informons l'autorité de contrôle compétente et, lorsque la loi l'exige, les personnes concernées.

12. Mineurs

Le Service est réservé aux personnes majeures. Nous ne collectons pas sciemment de données concernant des mineurs.

13. Cookies

Le Service utilise uniquement des cookies strictement nécessaires. Pour en savoir plus, consultez notre Politique cookies.

14. Modifications

Nous pouvons modifier la présente politique, notamment en cas d'ajout d'un prestataire ou d'une nouvelle fonctionnalité. La date de dernière mise à jour figure en haut de la page. En cas de modification substantielle, nous vous en informons par courrier électronique ou dans le Service avant son entrée en vigueur.