Légal · RGPD
Politique de Confidentialité
Conformément au Règlement Général sur la Protection des Données (RGPD — Règlement UE 2016/679) et à la loi Informatique et Libertés, nous vous informons de la manière dont vos données personnelles sont collectées, traitées et protégées sur certanza.fr.
Dernière mise à jour : août 2026
1. Responsable du traitement
Certanza n'a pas l'obligation légale de désigner un Délégué à la Protection des Données (DPO) mais traite vos demandes RGPD à l'adresse indiquée à l'article 8.
2. Données collectées et traitées
Nous collectons uniquement les données strictement nécessaires à la fourniture du service. Le tableau ci-dessous détaille chaque catégorie de données, sa finalité, sa base légale (art. 6 RGPD) et sa durée de conservation.
| Donnée | Finalité | Base légale | Durée |
|---|---|---|---|
| Adresse e-mail | Identification du compte, envoi de notifications transactionnelles | Exécution du contrat | Durée du compte + 3 ans |
| Mot de passe (hash bcrypt) | Authentification sécurisée — jamais stocké en clair | Exécution du contrat | Durée du compte |
| Prénom / nom | Personnalisation de l'interface | Exécution du contrat | Durée du compte |
| Niveau d'abonnement (tier) | Contrôle d'accès aux fonctionnalités payantes | Exécution du contrat | Durée de l'abonnement |
| Watchlist (tickers suivis) | Personnalisation — affichage de vos entreprises favorites | Exécution du contrat | Durée du compte |
| Historique des analyses | Affichage de vos recherches récentes, cache des scores | Intérêt légitime | 12 mois glissants |
| Adresse IP | Sécurité, prévention des abus, logs d'accès | Intérêt légitime | 90 jours |
| Données de paiement | Traitement des abonnements — délégué à Stripe Inc. | Exécution du contrat | Gérée par Stripe (5 ans légal) |
| Cookies de session | Maintien de la connexion (NextAuth.js) | Exécution du contrat | Durée de session / 30 jours |
| Cookies analytiques | Mesure d'audience anonymisée (si activés) | Consentement | 13 mois (CNIL) |
3. Sous-traitants et transferts hors UE
Nous faisons appel aux sous-traitants suivants pour opérer le service. Chacun est lié par un accord de traitement des données conforme au RGPD.
Hébergement de l'application
Data Processing Agreement disponible sur vercel.com/legal/dpa
Traitement des paiements
Certifié PCI-DSS niveau 1 — les données de carte ne transitent pas par nos serveurs
Données financières (API)
Données financières publiques uniquement — aucune donnée personnelle transmise
Traitement des requêtes envoyées aux fonctionnalités d'intelligence artificielle (analyses de score, verdicts de comparaison, suggestions de diversification, recherche en langage libre) — peut inclure les tickers détenus ou recherchés et le texte saisi par l'utilisateur
Encadré par le Data Processing Addendum d'OpenAI et les clauses contractuelles types (CCT) de la Commission européenne — OpenAI n'est pas certifié au titre du Data Privacy Framework UE-États-Unis à ce jour. Ces données ne sont pas utilisées pour entraîner les modèles d'OpenAI et sont conservées 30 jours maximum, à seule fin de détection d'abus.
Les transferts vers les États-Unis sont encadrés par les clauses contractuelles types (CCT) de la Commission européenne et/ou le Data Privacy Framework UE-États-Unis.
4. Vos droits
Conformément au RGPD (articles 15 à 22), vous disposez des droits suivants sur vos données personnelles. Pour les exercer, envoyez votre demande à contact.certanza@gmail.com depuis l'adresse associée à votre compte.
Obtenir une copie de toutes vos données personnelles traitées.
Corriger des données inexactes ou incomplètes.
Demander la suppression de votre compte et de vos données, sous réserve des obligations légales de conservation.
Recevoir vos données dans un format structuré et lisible par machine (JSON/CSV).
Suspendre le traitement de vos données pendant l'examen d'une contestation.
Vous opposer au traitement fondé sur l'intérêt légitime (ex. logs analytiques).
Nous nous engageons à répondre à toute demande dans un délai de 30 jours (art. 12 RGPD). En cas de demande complexe ou de volume important, ce délai peut être prorogé de deux mois supplémentaires avec notification motivée.
Vous avez également le droit d'introduire une réclamation auprès de l'autorité de contrôle compétente : Commission Nationale de l'Informatique et des Libertés (CNIL).
5. Durées de conservation
Les données sont conservées aussi longtemps que nécessaire à la finalité pour laquelle elles ont été collectées, dans les limites prévues par la loi :
- Données de compte — supprimées dans les 30 jours suivant la clôture du compte
- Données comptables/facturation — 10 ans (obligation légale art. L123-22 Code de commerce)
- Logs de sécurité (IP) — 90 jours maximum
- Données analytiques — 13 mois (recommandation CNIL)
- Sauvegardes chiffrées — purgées dans les 90 jours suivant la suppression du compte
6. Sécurité des données
Nous mettons en œuvre les mesures techniques et organisationnelles appropriées pour protéger vos données contre toute accès non autorisé, perte ou divulgation (art. 32 RGPD) :
- Chiffrement des mots de passe par hashage bcrypt (facteur de coût ≥ 10)
- Connexions HTTPS/TLS sur l'ensemble du site
- Base de données accessible uniquement en réseau privé (Vercel)
- Tokens de session à durée limitée (NextAuth.js)
- Séparation des secrets d'environnement (variables d'environnement chiffrées)
En cas de violation de données susceptible d'engendrer un risque pour vos droits et libertés, nous nous engageons à notifier la CNIL dans les 72 heures (art. 33 RGPD) et les personnes concernées sans délai indu si le risque est élevé (art. 34 RGPD).
7. Cookies et traceurs
8. Contact et réclamations
Pour toute question relative à la présente politique ou pour exercer vos droits RGPD :
Responsable du traitement — Baptiste Naux
Email : contact.certanza@gmail.com
Objet suggéré : [RGPD] Exercice de droit — <votre demande>
Si vous estimez que vos droits ne sont pas respectés, vous pouvez adresser une réclamation à la CNIL : cnil.fr/fr/plaintes
9. Modifications de la présente politique
Nous pouvons mettre à jour cette politique pour refléter les évolutions légales ou de nos pratiques. En cas de modification substantielle, vous serez informé par email ou par une notification visible lors de votre prochaine connexion, avec un délai de préavis de 30 jours.
Version en vigueur : août 2026