Brouillon à faire relire par un juriste. Ce texte n'a pas encore été validé. Les passages entre crochets sont à compléter avant l'ouverture au public.
Dernière mise à jour : [date].
Responsable du traitement
[Nom ou raison sociale, adresse.] Contact pour les questions de données personnelles : [email protected].
Hébergeur : [nom, adresse, pays de l'hébergeur et de ses centres de données]. Sauvegardes : [prestataire de stockage et pays, si les sauvegardes Litestream sont activées].
Données collectées
Le service collecte uniquement :
- Compte : adresse e-mail, empreinte du mot de passe (scrypt salé, jamais le mot de passe lui-même), offre, dates de création et de dernière connexion. Finalité : fournir le service. Base légale : exécution du contrat.
- Sessions et jetons : empreintes (sha256) des cookies de session, des jetons d'API et des jetons OAuth, navigateur utilisé (en-tête User-Agent, tronqué), dates d'usage. Finalité : te garder connecté(e), sécuriser l'accès. Base légale : exécution du contrat.
- Contenus : tes scripts Pine, stratégies sauvegardées, rapports de test, données que tu importes. Finalité : fournir le service. Base légale : exécution du contrat.
- Usage : nombre d'opérations par jour, volume de données traité. Finalité : appliquer les quotas de ton offre. Base légale : exécution du contrat.
- Journal de sécurité : connexions (réussies ou non), créations et révocations de jetons, autorisations d'applications, changements d'offre, avec l'adresse IP et la date. Finalité : détecter les abus et les accès frauduleux. Base légale : intérêt légitime (sécurité du service).
- Paiement (si une offre payante est souscrite) : identifiants client et abonnement Stripe. Les données de carte sont saisies chez Stripe et ne transitent jamais par le service. Base légale : exécution du contrat ; obligations légales comptables.
Le service n'utilise aucun cookie publicitaire ni de mesure d'audience. Les seuls cookies sont strictement nécessaires (session de connexion, protection des formulaires contre la falsification de requêtes) et ne demandent donc pas de consentement.
Il n'y a pas d'e-mail de vérification : l'adresse n'est pas contrôlée à l'inscription et le service n'envoie pas d'e-mails.
Durées de conservation
- Compte, contenus et usage : tant que le compte existe ; effacés dans les 30 jours suivant une demande de suppression (puis des sauvegardes au fil de leur rotation, [durée de rétention des sauvegardes]).
- Sessions : 30 jours au plus. Jetons OAuth : 1 heure (accès) et 30 jours (rafraîchissement). Jetons d'API : jusqu'à leur révocation.
- Journal de sécurité : 12 mois.
- Pièces comptables liées aux paiements : 10 ans (obligation légale), conservées par [l'éditeur / Stripe].
Destinataires
Tes données ne sont ni vendues ni louées. Elles ne sont accessibles qu'à l'éditeur et à ses sous-traitants techniques, dans la limite de leur mission :
- l'hébergeur : [nom] ;
- le cas échéant, le service de tunnel ou de protection réseau : [Cloudflare, Inc.] ;
- le cas échéant, le stockage des sauvegardes : [nom] ;
- le cas échéant, le prestataire de paiement : Stripe.
Les applications que tu connectes toi-même (Claude, ChatGPT…) reçoivent les données auxquelles tu leur donnes accès ; leur traitement relève de leurs propres politiques.
Transferts hors de l'Union européenne : [à compléter selon les prestataires retenus, par ex. Stripe et Cloudflare (États-Unis) : cadre de protection des données UE–États-Unis ou clauses contractuelles types].
Tes droits
Tu disposes des droits d'accès, de rectification, d'effacement, de limitation, de portabilité et d'opposition (articles 15 à 21 du RGPD). Pour les exercer : [email protected]. Une réponse t'est apportée dans un délai d'un mois.
Tu peux à tout moment révoquer tes jetons d'API et les applications connectées depuis la page « Mon compte », et télécharger tes rapports.
Si tu estimes que tes droits ne sont pas respectés, tu peux saisir la CNIL (cnil.fr).
Sécurité
Mots de passe et jetons stockés uniquement sous forme d'empreintes, secrets techniques chiffrés, connexions en HTTPS, cloisonnement strict des données entre comptes, exécution isolée des scripts, limitation des tentatives de connexion, journal de sécurité. Aucun système n'étant infaillible, l'éditeur te préviendra et préviendra la CNIL en cas de violation de données, comme le prévoit la loi.