Cette politique explique comment nous traitons les données personnelles des visiteurs de www.relayalgo.com et des utilisateurs du service sur app.relayalgo.com, conformément au règlement général sur la protection des données (RGPD) et aux autres règles applicables.
1. Responsable du traitement
Le responsable du traitement est [COMPANY LEGAL NAME — TO BE COMPLETED] (siège social : [REGISTERED ADDRESS — TO BE COMPLETED] ; numéro de TVA ou d'identification fiscale : [VAT / TAX ID — TO BE COMPLETED]).
Pour toute demande relative à vos données personnelles, écrivez à support@relayalgo.com. Délégué à la protection des données (DPO) : [DPO — TO BE APPOINTED OR CONFIRMED NOT REQUIRED].
2. Quelles données nous traitons
- Compte : e-mail, mot de passe (uniquement sous forme de hachage non réversible), facteurs d'authentification à deux facteurs, adresse IP et navigateur de vos sessions.
- Profil : nom, pays, langue, fuseau horaire, canal de notification préféré, identifiant Telegram si vous connectez le bot, résultat de la vérification d'identité si elle est requise.
- Consentements : le document que vous avez accepté, sa version, l'empreinte du texte, la langue, l'adresse IP, le navigateur et la date.
- Compte d'exchange connecté : exchange, identifiant du compte (UID), libellé, clé API chiffrée dont seuls les 4 derniers caractères sont lisibles, permissions détectées.
- Données de trading : règles de copie, ordres, exécutions, positions, valeur du compte dans le temps, résultats, dépôts et retraits détectés pour calculer le pic de référence (high water mark).
- Facturation : factures, montants, statut des paiements. Les données de carte sont traitées par Stripe : nous ne voyons jamais le numéro complet. Pour les paiements en USDT, nous traitons l'adresse et la transaction.
- Communications : notifications envoyées, demandes d'assistance et nos réponses.
- Sécurité : journal des actions importantes (qui, quoi, quand, depuis quelle IP) et journaux techniques dans lesquels les données secrètes sont masquées.
- Visite du site : votre adresse IP, utilisée par l'hébergeur pour afficher les pages et par nous pour en déduire votre pays et choisir la langue. Le pays n'est pas enregistré sur nos serveurs et l'IP n'est pas conservée à cette fin.
- Réservation d'un appel : si vous réservez un appel depuis le site, votre nom, e-mail, la langue et le fuseau horaire de l'appel, le sujet, votre note facultative, l'horaire de l'appel et le lien vidéo. L'appel vidéo a lieu chez le fournisseur vidéo (par défaut Jitsi Meet) ; nous n'enregistrons pas les appels.
Nous ne traitons pas de catégories particulières de données (santé, opinions politiques, etc.) et nous ne vendons de données à personne.
3. Pourquoi nous les traitons et sur quelle base
| Finalité | Base juridique |
|---|---|
| Créer et gérer votre compte, connecter votre compte d'exchange, exécuter la copie, envoyer les notifications de service | Exécution du contrat |
| Calculer les commissions et les abonnements, émettre les factures, tenir la comptabilité | Contrat et obligations légales |
| Conserver la preuve des consentements | Obligation légale et intérêt légitime à défendre nos droits |
| Protéger les comptes et les systèmes, prévenir les abus et la fraude, tenir le journal de sécurité | Intérêt légitime et obligations légales |
| Appliquer les sanctions internationales, le blocage de certains pays et une éventuelle vérification d'identité | Obligation légale |
| Communications commerciales | Uniquement avec votre consentement, que vous pouvez retirer à tout moment |
4. Les clés API
La clé API est la donnée la plus sensible que vous nous confiez. C'est pourquoi :
- elle est chiffrée en AES-256-GCM, avec une clé différente pour chaque compte, elle-même protégée par une clé maîtresse conservée dans un service de gestion des clés (KMS) ;
- elle n'est déchiffrée qu'en mémoire, sur les serveurs qui envoient les ordres, et uniquement le temps nécessaire ;
- aucun membre de l'équipe, pas même l'administrateur, ne peut la voir en clair ;
- lorsque vous la révoquez ou clôturez votre compte, elle est détruite de manière irréversible.
5. Combien de temps nous les conservons
Les durées ci-dessous sont une proposition en cours de vérification juridique.
| Données | Conservation |
|---|---|
| Compte et profil | Pendant toute la durée du compte ; pseudonymisées 30 jours après la clôture |
| Clé API | Détruite lors de la révocation ou de la clôture |
| Vérifications techniques de la clé | 90 jours |
| Ordres, exécutions, positions, résultats, dépôts et retraits, factures | 10 ans, pour les obligations comptables et fiscales |
| Valeur du compte minute par minute | 90 jours, puis récapitulatif quotidien pendant 10 ans |
| Preuve des consentements | 10 ans à compter de la clôture du compte |
| Notifications | 12 mois |
| Incidents techniques | 24 mois |
| Journal de sécurité | 5 ans, l'auteur étant pseudonymisé en même temps que le compte |
| Journaux techniques | 30 jours |
| Réservations d'appels (nom, e-mail, note) | 12 mois après l'appel, puis anonymisées |
Lorsque vous clôturez votre compte, votre e-mail, votre nom, votre identifiant Telegram, vos UID et vos libellés sont remplacés ou supprimés au bout de 30 jours. Les données financières sont conservées jusqu'à l'expiration des délais légaux, rattachées à un identifiant interne qui ne permet plus de remonter jusqu'à vous.
6. À qui nous les communiquons
Nous faisons appel à des prestataires qui traitent des données pour notre compte (sous-traitants), dans le cadre de contrats de traitement des données :
| Prestataire | Service | Localisation |
|---|---|---|
| Supabase | Base de données, authentification | Singapour |
| Vercel | Hébergement du site et des applications | Réseau mondial |
| Railway | Serveurs de développement | Singapour |
| Fournisseur de serveurs dédiés (à définir) | Serveurs qui envoient les ordres | Singapour |
| Amazon Web Services (KMS) | Conservation de la clé maîtresse de chiffrement | Singapour |
| Stripe | Paiements par carte | UE et États-Unis |
| Resend | Envoi des e-mails | États-Unis |
| Telegram | Notifications, si vous les activez | Monde |
| Better Stack | Journaux et surveillance | UE ou États-Unis |
| Cloudflare (Turnstile) | Protection anti-bots lors de l'inscription et de la récupération du mot de passe | Monde |
En outre :
- Votre exchange reçoit les ordres que nous envoyons avec votre clé. L'exchange traite vos données en tant que responsable du traitement distinct, conformément à sa propre politique de confidentialité.
- Google Fonts : le site charge les polices de caractères depuis les serveurs de Google, qui voient votre adresse IP.
- Bybit et Binance : le site affiche les prix du marché en les récupérant directement depuis votre navigateur sur leurs serveurs publics, qui voient votre adresse IP. Nous ne leur transmettons aucune donnée personnelle.
- Les autorités publiques, lorsque la loi nous y oblige.
7. Transferts hors de l'Union européenne
Les données de l'application sont traitées à Singapour, qui ne bénéficie pas d'une décision d'adéquation de la Commission européenne : le transfert repose sur les clauses contractuelles types adoptées par la Commission et sur une évaluation de l'impact du transfert. Pour les prestataires situés aux États-Unis, nous nous appuyons sur le Data Privacy Framework lorsque le prestataire y adhère, ou à défaut sur les clauses contractuelles types. Vous pouvez nous demander une copie des garanties mises en place.
8. Vos droits
Vous pouvez à tout moment :
- accéder à vos données et en recevoir une copie : depuis votre profil, « Exporter mes données » vous fournit un fichier contenant votre profil, vos consentements, vos comptes (sans les clés), vos règles, vos opérations et vos factures ;
- demander leur rectification ;
- demander leur effacement, en clôturant votre compte, sous réserve de la conservation imposée par la loi ;
- demander la limitation de leur traitement ou vous y opposer, en particulier lorsqu'il est fondé sur l'intérêt légitime ;
- les recevoir dans un format structuré pour les transmettre à un autre service ;
- retirer votre consentement aux communications commerciales, sans conséquence sur le service.
Nous répondons dans un délai de 30 jours. Vous avez également le droit d'introduire une réclamation auprès d'une autorité de contrôle de la protection des données, notamment celle du pays où vous vivez ou travaillez.
9. Cookies et stockage du navigateur
Le site n'utilise ni cookies publicitaires, ni outils d'analyse ou de profilage. Il enregistre dans le stockage de votre navigateur (localStorage) seulement trois préférences techniques, qui ne nous sont jamais transmises :
relay_theme: thème clair ou sombre ;relay_lang: la langue que vous avez choisie ;relay_geo: le pays déduit de votre IP, pendant 24 heures, pour éviter de répéter la requête à chaque page.
L'application utilise le stockage du navigateur pour maintenir votre session de connexion. Il s'agit d'éléments strictement nécessaires ou demandés par vous : aucun consentement n'est donc requis. Vous pouvez les effacer dans les paramètres de votre navigateur.
10. Sécurité
Nous utilisons des connexions chiffrées, l'authentification à deux facteurs, des accès séparés et limités au strict nécessaire pour chaque composant, un contrôle d'accès ligne par ligne sur la base de données et un journal des actions non modifiable. En cas de violation de données présentant un risque pour vous, nous la notifions à l'autorité de contrôle dans les 72 heures et nous vous en informons sans délai. Si des clés API sont concernées, nous vous demandons toujours de les révoquer depuis votre exchange.
11. Mineurs
Relay ne s'adresse pas aux personnes de moins de 18 ans et nous ne collectons pas sciemment leurs données.
12. Décisions automatisées
La copie exécute automatiquement les règles que vous avez définies. Le refus automatique de l'inscription pour les pays exclus repose sur le pays que vous déclarez. Vous pouvez toujours demander l'intervention d'une personne en écrivant à support@relayalgo.com.
13. Modifications
Si nous modifions cette politique, nous publions la nouvelle version avec un numéro et une date. Si les modifications sont importantes, nous vous en informons avant leur entrée en vigueur.