Politique de confidentialité

Article 1 Responsable du traitement

Le responsable du traitement des données personnelles est :

Article 2 Données personnelles collectées

2.1. Données communiquées directement par l'Utilisateur

• Inscription à la newsletter : adresse email, prénom (facultatif) ;
• Création d'un espace lecteur : adresse email, empreinte hachée du mot de passe, nom affiché ou pseudonyme, prénom, nom, téléphone et langue préférée lorsqu'ils sont renseignés, état facultatif de la double authentification, date de création, date de dernière connexion et dates d'acceptation des CGU et du règlement de modération. Le mot de passe en clair n'est jamais conservé ;
• Participation sous les articles : articles aimés ou enregistrés, contenu des commentaires et réponses proposés, état, motifs et historique de modération, avertissements éventuels et date de publication. Le nom affiché choisi par l'Utilisateur accompagne publiquement les commentaires approuvés ; l'adresse email n'est jamais affichée ;
• Suivi personnel : préférences de notification, messages reçus dans l'espace, étapes et historique d'une demande, informations attendues, rendez-vous et prochaines actions. Aucun dépôt de document personnel n'est actuellement actif ;
• Préparation d'un projet (« Préparer mon projet ») : réponses déclarées au parcours de préparation — nature du projet, priorités, horizons et échéances, situation patrimoniale générale exprimée en fourchettes, contraintes, professionnels déjà consultés et informations restant à retrouver —, réponses volontairement différées, degré de précision indiqué par l'Utilisateur pour chaque réponse, et synthèse personnelle recalculée à partir de ces réponses. Ces informations sont exclusivement déclaratives : elles ne sont ni vérifiées, ni enrichies par une source externe. Lorsque l'Utilisateur prépare son projet sans compte, ces réponses ne sont pas communiquées à l'Éditeur et restent sur son appareil, dans les conditions décrites à l'article 2.5 ;
• Formulaire de contact : nom, adresse email, objet du message, contenu du message ;
• Demande de mise en relation : prénom, nom, adresse email, numéro de téléphone, situation professionnelle et patrimoniale, montant de patrimoine, nature du besoin, message libre, et toute information communiquée volontairement par l'Utilisateur ;
• Assistant conversationnel (« Demander à Léo ») : contenu des questions posées par l'Utilisateur. Ces questions sont transmises à un sous-traitant technique (Google, via l'API Gemini) pour générer la réponse, puis stockées dans la base de données de l'Éditeur à des fins d'amélioration du service.

2.2. Données collectées automatiquement

• Données de navigation : pages consultées, date et heure de la visite, URL de provenance, temps actif estimé, nombre de pages et nombre limité d'interactions ;
• Données techniques : type de navigateur, système d'exploitation, résolution d'écran ;
• Données de géolocalisation : pays d'origine de la connexion (niveau pays uniquement).

L'adresse IP de l'Utilisateur peut être temporairement traitée par l'hébergeur (Cloudflare) pour des raisons de sécurité et de performance technique. Elle n'est pas conservée par l'Éditeur au-delà de la durée strictement nécessaire à ces finalités techniques.

2.3. Données non collectées

L'Éditeur ne demande aucune donnée bancaire, numéro de sécurité sociale, donnée de santé, donnée révélant l'origine raciale ou ethnique, les opinions politiques, les convictions religieuses, ni donnée biométrique ou génétique dans les commentaires. Lorsqu'une telle donnée est saisie malgré cette interdiction, le commentaire est refusé et son contenu brut est remplacé avant stockage par une mention de masquage.

2.4. Fonctionnalités reposant sur des données publiques

Certaines fonctionnalités du Site reposent exclusivement sur des données publiques ne présentant aucun caractère personnel. C'est notamment le cas du calendrier économique, dont les résultats sont récupérés automatiquement, côté serveur, auprès d'organismes statistiques officiels (Eurostat, Banque centrale européenne, U.S. Bureau of Labor Statistics, Office for National Statistics). Ces requêtes sont effectuées par le serveur du Site selon une planification automatique, indépendamment de la navigation des Utilisateurs : elles n'impliquent aucune transmission de données personnelles de l'Utilisateur à ces organismes et ne donnent lieu à aucune collecte de données à caractère personnel.

2.5. Données conservées sur l'appareil de l'Utilisateur

Les parcours « Préparer mon projet » peuvent être utilisés sans compte. Sont concernés le cadrage en trois questions, le parcours patrimoine, ainsi que les parcours de préparation en droit immobilier, en fiscalité, en droit des affaires et en expertise comptable. Dans tous ces cas, les réponses sont enregistrées uniquement dans le navigateur de l'Utilisateur, au moyen du stockage local (localStorage), sous une clé distincte par parcours. Elles ne sont pas envoyées aux serveurs de l'Éditeur, ne lui sont pas accessibles, ne sont associées à aucune identité et ne sont transmises à aucun tiers.

Cet enregistrement est strictement nécessaire à la fourniture du service expressément demandé par l'Utilisateur : il lui permet d'interrompre puis de reprendre un questionnaire de plusieurs dizaines de questions sans tout ressaisir. À ce titre, il relève de l'exception prévue à l'article 82 de la loi Informatique et Libertés et ne requiert pas de consentement préalable.

Pour le parcours patrimoine et les quatre parcours de préparation par domaine, trois limites sont portées à la connaissance de l'Utilisateur sur un écran dédié, avant la première question :

• le stockage local d'un navigateur n'est pas chiffré et reste lisible par toute personne utilisant le même appareil et la même session ;
• les réponses sont automatiquement effacées 24 heures après la dernière action enregistrée ;
• une action d'effacement immédiat est accessible à chaque étape du parcours et sur l'écran de synthèse.

Le cadrage public en trois questions relève du même principe et de la même durée, mais ne comporte pas d'écran d'avertissement préalable : il ne présente aucun champ de saisie libre, aucune donnée personnelle ne peut donc y être écrite. La page qui l'accueille indique, avant les questions, que les réponses restent sur l'appareil, et une action pour recommencer et effacer le cadrage est disponible à l'issue des trois questions.

Les quatre parcours de préparation par domaine ne demandent aucun montant et comportent au plus deux champs de saisie libre, toujours facultatifs, dont le libellé invite à s'en tenir aux faits utiles au rendez-vous, sans information de santé ni donnée concernant un tiers identifiable. Contrairement au parcours patrimoine, ils ne peuvent pas être enregistrés dans un espace lecteur : ils demeurent sur l'appareil, et l'Utilisateur qui souhaite conserver sa synthèse la télécharge lui-même.

Transfert vers l'espace lecteur. Cette possibilité ne concerne que le parcours patrimoine. Une préparation patrimoine commencée sans compte ne devient une donnée traitée par l'Éditeur que si l'Utilisateur le décide. Après connexion, le Site lui propose d'enregistrer dans son compte la préparation présente sur son appareil, en indiquant le nombre de réponses concernées et ce que ce transfert change. Ce transfert n'a jamais lieu automatiquement, et l'Utilisateur peut le refuser sans perdre sa préparation locale. Une fois enregistrée, la préparation relève des durées de conservation et des droits applicables aux données du compte. La copie locale est alors effacée de l'appareil ; lorsque cet effacement échoue, l'Utilisateur en est informé.

Article 3 Finalités du traitement

Les données personnelles collectées sont traitées pour les finalités suivantes :

Article 4 Durée de conservation des données

À l'expiration de ces durées, les données sont supprimées ou anonymisées de manière irréversible. Un nettoyage automatisé supprime quotidiennement les jetons et défis expirés ou déjà utilisés, les sessions expirées, les comptes lecteurs jamais confirmés depuis 48 heures et les sessions anonymes de mesure d'audience âgées de plus de 90 jours.

Article 5 Destinataires des données

Les données personnelles collectées sont destinées exclusivement à L'Observateur Boursier. Elles peuvent être communiquées aux catégories de destinataires suivantes :

• Sous-traitants techniques : hébergeur (Cloudflare), prestataire d'envoi d'emails (Brevo), prestataire d'intelligence artificielle conversationnelle (Google, via l'API Gemini, pour le service « Demander à Léo »), dans la stricte limite nécessaire à l'exécution de leurs prestations ;
• Professionnels Partenaires : uniquement lorsqu'un profil est envisagé pour une demande expressément formulée. L'Utilisateur est informé de l'identité précise du destinataire avant toute transmission et doit donner son accord spécifique ;
• Autorités judiciaires ou administratives : en cas d'obligation légale ou de réquisition judiciaire.

L'Utilisateur peut obtenir des informations sur les garanties applicables à un transfert et, lorsque la réglementation le permet, une copie des clauses pertinentes en écrivant à lobservateurboursier@gmail.com.

Une préparation de projet n'est jamais transmise à un Professionnel Partenaire du seul fait de son enregistrement. Une transmission supposerait une demande distincte et explicite de l'Utilisateur, portant sur un contenu qu'il choisit et après information sur le destinataire précis. Cette fonctionnalité n'est pas active à ce jour.

L'Éditeur s'engage à ne jamais vendre, louer, céder ou échanger les données personnelles de ses Utilisateurs à des tiers à des fins commerciales ou publicitaires.

Article 6 Transferts de données hors de l'Union européenne

Certains sous-traitants techniques (notamment Cloudflare) peuvent être amenés à traiter des données en dehors de l'Union européenne. Dans ce cas, l'Éditeur s'assure que ces transferts sont encadrés par des garanties appropriées conformément au RGPD, notamment :

• les clauses contractuelles types adoptées par la Commission européenne (art. 46.2.c RGPD) ;
• une décision d'adéquation de la Commission européenne pour le pays destinataire (art. 45 RGPD) ;
• le cadre de protection des données UE-États-Unis (EU-U.S. Data Privacy Framework), le cas échéant.

Article 7 Sécurité des données

L'Éditeur met en œuvre toutes les mesures techniques et organisationnelles appropriées pour garantir la sécurité et la confidentialité des données personnelles collectées, notamment :

• le chiffrement des communications via le protocole HTTPS/TLS ;
• le stockage sécurisé des données sur des serveurs protégés ;
• le hachage PBKDF2-SHA256 des mots de passe avec un sel aléatoire propre à chaque compte ;
• le stockage sous forme hachée des jetons d'activation, de récupération, de double authentification et de session, ainsi que leur expiration automatique ;
• l'utilisation d'un cookie de session sécurisé, inaccessible aux scripts de la page et révocable côté serveur ;
• la limitation de l'accès aux données aux seules personnes habilitées ;
• la mise en place de procédures de sauvegarde régulières.

En cas de violation de données personnelles au sens de l'article 33 du RGPD, l'Éditeur notifiera la CNIL dans les 72 heures suivant la prise de connaissance de la violation. Si la violation est susceptible d'engendrer un risque élevé pour les droits et libertés des personnes concernées, celles-ci en seront également informées conformément à l'article 34 du RGPD.

Article 8 Droits des Utilisateurs

Conformément aux articles 15 à 22 du RGPD et aux articles 38 à 43 de la loi Informatique et Libertés, tout Utilisateur dispose des droits suivants :

• Droit d'accès (art. 15 RGPD) : obtenir la confirmation que des données le concernant sont ou ne sont pas traitées, et obtenir une copie de ces données ;
• Droit de rectification (art. 16 RGPD) : obtenir la rectification de données inexactes ou incomplètes ;
• Droit à l'effacement (art. 17 RGPD) : obtenir la suppression de ses données dans les cas prévus par le RGPD ;
• Droit à la limitation du traitement (art. 18 RGPD) : obtenir la limitation du traitement dans certains cas ;
• Droit à la portabilité (art. 20 RGPD) : recevoir les données fournies dans un format structuré, couramment utilisé et lisible par machine ;
• Droit d'opposition (art. 21 RGPD) : s'opposer à tout moment au traitement de ses données ;
• Droit de retrait du consentement : retirer son consentement à tout moment, sans que cela ne remette en cause la licéité du traitement fondé sur le consentement avant son retrait ;
• Droit de définir des directives post-mortem : conformément à l'article 85 de la loi Informatique et Libertés.

Pour une préparation de projet enregistrée dans l'espace lecteur, ces droits s'exercent directement depuis le Site : la préparation peut être supprimée à tout moment, elle est incluse dans l'export des données du compte et elle disparaît avec la suppression du compte.

Pour une préparation réalisée sans compte, l'Éditeur ne détient aucune donnée : il ne peut donc ni en fournir une copie, ni la rectifier, ni l'effacer à la place de l'Utilisateur. Celui-ci garde la maîtrise complète de ces réponses, qu'il peut télécharger ou effacer depuis le parcours lui-même, ou en vidant les données de site de son navigateur.

Pour exercer ces droits : lobservateurboursier@gmail.com. Délai de réponse : 1 mois (prolongeable de 2 mois en cas de complexité).

Article 9 Réclamation auprès de la CNIL

Si l'Utilisateur estime que le traitement de ses données personnelles constitue une violation du RGPD, il dispose du droit d'introduire une réclamation auprès de la CNIL :

Article 10 Cookies et technologies de suivi

10.1. Définition

Un cookie est un petit fichier texte déposé sur le terminal de l'Utilisateur lors de la consultation d'un site web.

10.2. Cookies utilisés par le Site

La mesure détaillée de qualité du trafic public est réalisée sans cookie de mesure d'audience : elle repose sur un identifiant aléatoire temporaire stocké dans sessionStorage et effacé à la fermeture de l'onglet. Lorsqu'une session de connexion valide est présente, le Site enregistre uniquement la catégorie « compte connecté » ou « non connecté » afin de comparer ces deux audiences. Cette catégorie n'est reliée ni à l'identifiant du compte, ni à son adresse e-mail. Le Site mesure le temps pendant lequel la page reste visible, le nombre de pages consultées et un nombre limité d'interactions afin d'estimer la qualité du trafic. Cette mesure n'enregistre ni adresse IP, ni adresse e-mail, ni identifiant de compte, ni User-Agent brut. Une classification indicative distingue les sessions humaines probables, les automatisations probables et les sessions indéterminées. Elle ne constitue pas une identification certaine de la personne ou du logiciel à l'origine de la visite.

Le parcours « Préparer mon projet » utilise également le stockage local du navigateur pour conserver les réponses d'un Utilisateur non connecté, dans les conditions décrites à l'article 2.5. Il ne s'agit pas d'un traceur : aucune information n'y est lue par l'Éditeur ni transmise à un tiers, et son contenu est effacé automatiquement après 24 heures ou immédiatement à la demande de l'Utilisateur.

10.3. Cookies non utilisés

Le Site n'utilise aucun cookie à des fins publicitaires, de profilage comportemental, de traçage cross-site, de remarketing ou provenant de réseaux sociaux.

10.4. Paramétrage des cookies

L'Utilisateur peut à tout moment configurer son navigateur pour accepter ou refuser les cookies. Informations : www.cnil.fr/fr/cookies-et-autres-traceurs.

Article 11 Sous-traitants

L'Éditeur s'assure que chaque sous-traitant présente des garanties suffisantes quant à la mise en œuvre de mesures techniques et organisationnelles appropriées conformément au RGPD.

Article 12 Protection des mineurs

Le Site n'est pas destiné aux personnes mineures. L'Éditeur ne collecte pas sciemment de données personnelles de mineurs de moins de 15 ans (âge du consentement numérique en France, au sens de l'article 7-1 de la loi Informatique et Libertés). Si l'Éditeur venait à prendre connaissance que des données d'un mineur ont été collectées sans consentement parental, il procéderait à leur suppression dans les meilleurs délais.

Article 13 Registre des activités de traitement

Conformément à l'article 30 du RGPD, l'Éditeur tient un registre des activités de traitement des données personnelles effectuées sous sa responsabilité. Ce registre est tenu à la disposition de la CNIL et peut être consulté sur demande.

Article 14 Modification de la Politique de confidentialité

L'Éditeur se réserve le droit de modifier la présente Politique à tout moment. Toute modification sera publiée sur cette page avec une mise à jour de la date. En cas de modification substantielle, les Abonnés à la newsletter en seront informés par email. La poursuite de l'utilisation du Site vaut acceptation des nouvelles dispositions.

Article 15 Contact

Pour toute question relative à la présente Politique de confidentialité ou pour exercer ses droits :