BROUILLON — à faire valider par un juriste avant toute utilisation. Ce texte n'a été relu par aucun professionnel du droit. Les passages entre crochets sont à compléter.
Politique de confidentialité de Cinqtreize
Version : brouillon du 13 octobre 2026.
1. Qui est responsable de vos données
Deux situations coexistent :
- Les comptes des utilisateurs, la facturation et la liste d'attente : l'éditeur de Cinqtreize, Oscar Mischler, 15 rue Maréchal Lyautey, 57180 Terville, France, bonjour@cinqtreize.com, est responsable de traitement.
- Les données des entreprises suivies par un cabinet (adresses de wallets, historique de transactions, factures lues dans Pennylane, comptes des clients invités) : le cabinet est responsable de traitement et Cinqtreize agit comme sous-traitant, selon l'accord de sous-traitance (article 28 du RGPD). Pour exercer vos droits sur ces données, adressez-vous d'abord au cabinet ; Cinqtreize l'aidera à vous répondre.
2. Données traitées
| Catégorie | Exemples | Origine |
|---|---|---|
| Compte utilisateur | nom, e-mail professionnel, mot de passe (stocké sous forme d'empreinte scrypt, jamais en clair), rôle | l'utilisateur |
| Session et sécurité | jeton de session (cookie), tentatives de connexion (adresse IP, horodatage), journal des actions | le Service |
| Dossiers | nom de l'entreprise, SIREN, date de clôture | le cabinet |
| Wallets | adresses publiques, libellé choisi par l'utilisateur | le cabinet ou le client invité |
| Transactions | historique public de ces adresses : hash, montant, date, adresse de la contrepartie | blockchains publiques, via un explorateur de blocs |
| Valorisation | taux de change et cours (BCE, Kraken) | sources publiques |
| Pennylane | token d'accès (chiffré), identifiant de société, factures clients lues pour le rapprochement | le cabinet et Pennylane |
| Facturation | raison sociale, adresse de facturation, nombre de dossiers, identifiants du prestataire de paiement | le cabinet |
| Liste d'attente | e-mail, rôle, entreprise, offre choisie | la personne qui s'inscrit |
| Outil gratuit « flux stablecoins » | adresse publique analysée (rapport conservé 24 h), puis, seulement si vous demandez le détail : e-mail, texte et date du consentement, empreinte de l'adresse IP | la personne qui utilise l'outil |
| Mesure d'audience | page vue, jour, hôte du site référent, empreinte journalière non réversible du visiteur (voir la section « Mesure d'audience sans cookie ») | le Service |
Jamais collectés : clé privée, phrase de récupération, numéro de carte bancaire (traité par le prestataire de paiement, jamais par Cinqtreize), données sensibles au sens de l'article 9 du RGPD.
Une adresse de wallet est pseudonyme : rattachée à une entreprise ou à une personne, elle peut devenir une donnée personnelle. Cinqtreize la traite comme telle.
3. Finalités et bases légales
| Finalité | Base légale (art. 6 RGPD) |
|---|---|
| Fournir le Service : synchroniser, valoriser, exporter, envoyer vers Pennylane | exécution du contrat (6.1.b) |
| Sécuriser les comptes, prévenir les abus, tracer les actions | intérêt légitime (6.1.f) |
| Facturer et tenir la comptabilité de l'éditeur | obligation légale (6.1.c) |
| Recontacter une personne inscrite sur la liste d'attente | consentement (6.1.a), retirable à tout moment |
| Envoyer le détail d'une analyse de l'outil gratuit et, au plus trois messages, des informations sur le traitement comptable des stablecoins | consentement (6.1.a), retirable à tout moment |
| Mesurer l'audience du site (pages vues, référents), sans identifier personne | intérêt légitime (6.1.f) |
Aucune donnée n'est vendue, louée ni utilisée à des fins publicitaires. Aucun cookie publicitaire ni outil de suivi tiers n'est utilisé. Le seul cookie de l'application est le cookie de session, nécessaire au fonctionnement.
Mesure d'audience sans cookie
Cinqtreize compte les pages vues sur son propre serveur, sans cookie, sans script tiers et sans transmettre quoi que ce soit à un prestataire. Pour estimer le nombre de visiteurs, le serveur calcule une empreinte à partir d'un sel aléatoire régénéré chaque jour, de l'adresse IP et du navigateur (sha256(sel du jour + IP + navigateur)). Le sel n'est jamais enregistré : passé le jour, personne ne peut relier une empreinte à une adresse IP, et un même visiteur revenu le lendemain est compté comme un nouveau visiteur. Seuls sont conservés, par jour et par page : le nombre de vues, l'empreinte, et le nom de domaine du site d'où venait le visiteur (jamais l'URL complète). Les pages de l'application réservées au cabinet et les fichiers techniques ne sont pas comptés. Vous pouvez vous opposer à cette mesure en écrivant à bonjour@cinqtreize.com ; en pratique, l'empreinte étant anonyme au bout de 24 heures, aucune donnée vous concernant ne peut être retrouvée au-delà.
Outil gratuit « flux stablecoins »
L'outil lit l'historique public d'une adresse que vous collez et en garde le rapport 24 heures, indexé par une empreinte de l'adresse, pour éviter de relire la blockchain. Le résumé est affiché sans rien demander. Le détail ligne à ligne et le fichier CSV ne sont fournis qu'après saisie d'un e-mail et acceptation explicite d'une case de consentement dont le texte est conservé avec sa date. Une empreinte de l'adresse IP est conservée pour prévenir les abus. Vous pouvez retirer votre consentement à tout moment ; l'e-mail est alors supprimé.
4. Durées de conservation
| Donnée | Durée |
|---|---|
| Session | 14 jours au plus |
| Invitation non utilisée | 7 jours |
| Tentatives de connexion | quelques minutes (fenêtre anti-force brute) |
| Compte, dossiers, wallets, transactions, journal | durée de l'abonnement ; après résiliation, export toujours possible, puis suppression à la demande du Cabinet ou à la suppression de son espace (immédiate ; aucune purge automatique différée à ce jour) |
| Token Pennylane | jusqu'à sa suppression par l'utilisateur ou la résiliation |
| Sauvegardes | [À COMPLÉTER : durée de rotation des sauvegardes chiffrées] |
| Factures émises par l'éditeur | 10 ans (article L123-22 du Code de commerce) |
| Liste d'attente | 24 mois après le dernier échange au plus |
| E-mail laissé dans l'outil gratuit | 24 mois après le dernier échange au plus, ou jusqu'au retrait du consentement |
| Rapport de l'outil gratuit (par adresse) | 24 heures d'affichage, effacé sous 7 jours |
| Mesure d'audience | agrégats journaliers sans donnée personnelle (le sel du jour n'est jamais conservé) |
La conservation des pièces comptables de l'entreprise suivie (relevés, écritures) incombe à cette entreprise et à son cabinet, dans leur propre logiciel comptable.
5. Destinataires et sous-traitants
Les données sont accessibles aux seuls utilisateurs habilités du cabinet, selon leur rôle, et à l'éditeur pour le support et la maintenance.
| Sous-traitant | Rôle | Localisation |
|---|---|---|
| [À COMPLÉTER : hébergeur, par exemple Fly.io] | hébergement de l'application et de la base | région Paris (UE) ; [À VÉRIFIER : siège hors UE et garanties de transfert] |
| [À COMPLÉTER : Blockscout ou Etherscan] | lecture de l'historique public des adresses suivies | [À COMPLÉTER] |
| [À COMPLÉTER : prestataire de paiement, par exemple Stripe] | encaissement des abonnements | [À COMPLÉTER] |
| [À COMPLÉTER : envoi d'e-mails] | invitations, notifications | [À COMPLÉTER] |
Pennylane reçoit les transactions et écritures à la demande de l'utilisateur, dans le dossier Pennylane qu'il désigne. Les taux de change sont lus sur des sources publiques (BCE, Kraken) sans transmission de données personnelles.
6. Sécurité
Token Pennylane chiffré au repos et jamais réaffiché ; mots de passe hachés (scrypt) ; cookie de session HttpOnly ; protection CSRF ; isolation stricte entre cabinets et entre dossiers ; refus des clés privées dans le navigateur et sur le serveur ; journal des actions par dossier. [À COMPLÉTER : chiffrement des sauvegardes, procédure de notification d'une violation de données.]
7. Vos droits
Vous disposez des droits d'accès, de rectification, d'effacement, de limitation, d'opposition et de portabilité (articles 15 à 21 du RGPD), et du droit de retirer votre consentement. Écrivez à [À COMPLÉTER : e-mail]. Réponse sous un mois. Vous pouvez introduire une réclamation auprès de la CNIL.
Les données publiques d'une blockchain ne peuvent être ni modifiées ni effacées sur la blockchain elle-même ; Cinqtreize supprime en revanche la copie qu'il en détient.
8. Transferts hors de l'Union européenne
L'application est hébergée dans l'Union européenne. Si un sous-traitant situé hors de l'Union accède aux données, le transfert est encadré par [À COMPLÉTER : décision d'adéquation ou clauses contractuelles types].
9. Modifications
Toute modification substantielle de cette politique est annoncée dans l'application au moins 30 jours avant son entrée en vigueur.