Politique de confidentialité

Alchimie Capital LLC, Odesio

Date d'effet : 2026-09-12 Version : 1.7 Conforme au Règlement (UE) 2016/679 (RGPD), Art. 3.2 : application extraterritoriale aux personnes situées dans l'Union européenne.

1. Qui sommes-nous ?

Alchimie Capital LLC (ci-après « Alchimie Capital », « nous ») est une société à responsabilité limitée de droit de l'État du Nouveau-Mexique (New Mexico) (États-Unis d'Amérique), siège enregistré 4405 Jager Dr NE, Ste C4, Box 2043, Rio Rancho, NM 87144. Les références complètes d'identification figurent dans les Mentions légales.

Nous exploitons l'application « Odesio », service éducatif sur les crypto-actifs fourni par abonnement.

Responsable du traitement : Alchimie Capital LLC Contact Privacy : contact@alchimiecapital.com Représentant UE au sens de l'Art. 27 RGPD : en cours de désignation ; dans l'intervalle, les personnes concernées peuvent exercer leurs droits auprès de contact@alchimiecapital.com.

2. Qu'est-ce que le RGPD et pourquoi s'applique-t-il ?

Bien qu'Alchimie Capital soit établie aux États-Unis, le RGPD s'applique à notre traitement des données personnelles des utilisateurs situés dans l'Union européenne, en vertu de son Article 3, paragraphe 2, point a) (offre de biens ou services à des personnes dans l'UE).

3. Quelles données collectons-nous ?

3.1 Données d'identification et de compte

3.2 Données de facturation

Les paiements sont traités par Whop Inc. (États-Unis), plateforme d'abonnement qui gère le tunnel de paiement et l'encaissement. Nous recevons uniquement :

• Statut de l'abonnement (actif, annulé, expiré)
• Identifiants techniques de l'abonnement et du plan souscrit
• Date et montant de la transaction

Nous ne recevons ni ne stockons aucune donnée de carte bancaire. Le tunnel de paiement est hébergé par Whop : les coordonnées bancaires ne transitent jamais par nos systèmes.

Transfert hors UE : voir §5.1.

3.3 Données d'usage

• Progression dans le parcours pédagogique (modules complétés, scores d'exercices)
• Historique de navigation dans l'Application
• Interactions avec Odesio (transcripts de conversation)
• Feedback et évaluations
• Temps passé par section

3.4 Données du Quiz Avatar

Lors du quiz d'onboarding, nous collectons :

• Tranche de revenus (fourchette, jamais chiffre exact)
• Capital dédié au crypto (fourchette)
• Horizon de temps souhaité
• Niveau d'expérience crypto auto-déclaré
• Objectifs pédagogiques

Ces données servent exclusivement à déterminer un profil pédagogique (NOVICE, AMBITIEUX, PATRIMONIAL, CADRE_PRESSE) pour adapter le rythme et le vocabulaire des contenus pédagogiques. Elles ne constituent pas un profilage d'investisseur au sens MiFID II.

3.5 Journal émotionnel (optionnel)

Si l'Utilisateur active cette fonctionnalité, il peut saisir librement ses ressentis face au marché. Ces données peuvent, par déduction, révéler un état psychologique et sont traitées comme données sensibles au sens de l'Art. 9.1 RGPD. Leur traitement repose exclusivement sur le consentement explicite distinct (Art. 9.2.a RGPD) et peut être révoqué à tout moment.

3.6 Clés API exchanges (optionnel)

Si l'Utilisateur connecte un compte sur l'une des plateformes prises en charge (Binance, Bybit, Kraken, Bitget, Bitvavo, MEXC, Coinbase, OKX, KuCoin, Gate, Crypto.com, HTX, Bitstamp, BingX, WhiteBIT, Bitfinex, Gemini, eToro et leurs déclinaisons régionales) pour la synchronisation de portefeuille, il doit fournir des clés API en lecture seule, sans trading, transfert ni retrait. Les clés sont chiffrées (AES-256-GCM) avant stockage. À la connexion, Odesio vérifie les permissions sur Binance, Bybit/Bybit EU, Coinbase et OKX/OKX EEA et refuse une réponse de permissions absente ou inexploitable. Pour les autres connecteurs, la lecture des données ne constitue pas une vérification des permissions : l'Utilisateur doit les contrôler dans les réglages de sa plateforme. Cette vérification à la connexion ne certifie pas rétroactivement les clés déjà enregistrées.

3.7 Données techniques

• Adresse IP (anonymisée sur 7 jours)
• Type de device, OS, navigateur
• Logs d'accès et d'erreur
• Cookies et technologies similaires (voir Politique de cookies)
• Origine de votre inscription : les paramètres du lien par lequel vous êtes arrivé·e sur le site (paramètres utm_*, identifiant de clic, code de la conversation ou de la personne qui vous a recommandé l'Application). Ils sont lus dans l'adresse de la page lors de votre arrivée et enregistrés sur votre compte au moment de sa création — sans dépôt de cookie, donc indépendamment de vos choix dans la bannière. Aucun tiers ne les reçoit ; ils servent uniquement à savoir quelle vidéo ou quelle personne vous a amené·e, et à rémunérer cette dernière le cas échéant (§4).

3.8 Données des interactions Odesio

• Prompts envoyés
• Réponses générées
• Feedback explicite (pouce haut / bas)
• Logs de modération

4. Pourquoi collectons-nous ces données ? (Finalités et bases légales)

Conformément à l'Article 6 du RGPD, chaque traitement repose sur une base légale spécifique :

4.1 Décisions automatisées et profilage (Art. 22 RGPD)

Quatre traitements automatisés vous concernent. Aucun ne produit d'effet juridique, mais nous préférons les décrire tous, y compris ceux qui influencent ce que vous voyez.

1. Quiz avatar. Aboutit à une classification dans l'un des 4 profils pédagogiques. Modifie uniquement le rythme et le vocabulaire des contenus.

2. Profil d'investisseur et profil de biais. Générés automatiquement à partir de vos réponses au test, de la composition de votre portefeuille et de vos échanges avec Odesio. Ils servent à personnaliser les explications et à vous signaler des angles morts de comportement (par exemple une position très concentrée, ou une thèse contredite par vos actes).

3. Notifications proactives. Odesio peut ouvrir une conversation de lui-même, avec un message rédigé automatiquement à partir de votre situation : mouvements de marché touchant vos positions, rappel de votre plan, état de discipline. C'est le mode d'interaction principal du produit : la majorité des conversations commencent ainsi. Vous pouvez désactiver ces notifications, par catégorie, dans vos préférences.

4. Paliers de prise de profit suggérés. Quand vous ouvrez l'Atelier TP, des paliers chiffrés sont calculés à partir de votre position réelle (quantité détenue, prix de revient, plus ou moins-value). Ce sont des scénarios d'illustration : vous les modifiez et les validez vous-même, rien n'est appliqué sans votre action explicite, et il ne s'agit pas d'une recommandation d'investissement personnalisée.

La logique sous-jacente, en clair

Ces traitements reposent sur vos réponses déclarées, sur les données de votre portefeuille (que vous nous confiez en connectant un wallet ou un exchange, ou en saisissant vos positions) et sur l'historique de vos échanges. Un modèle de langage rédige les textes ; il ne prend aucune décision à votre place et n'exécute aucune opération sur vos actifs. Les connexions d'exchange sont destinées à la lecture des données ; leur contrôle de permissions et ses limites sont précisés au §2.

Vos droits sur ces traitements

À tout moment, vous pouvez :

• Consulter votre profil attribué et les scores associés
• Obtenir une intervention humaine et une explication détaillée via contact@alchimiecapital.com
• Refuser la segmentation (vous serez alors assigné au profil par défaut)
• Désactiver les notifications proactives, en totalité ou par catégorie
• Contester une classification

Odesio ne prend aucune décision produisant des effets juridiques. Il s'agit d'un assistant pédagogique.

5. Avec qui partageons-nous vos données ? (Sous-traitants)

Nous recourons aux sous-traitants suivants. Chacun publie un accord de traitement des données (DPA) intégrant les clauses contractuelles types (SCC 2021/914) pour les transferts hors UE ; la formalisation de ces accords au nom d'Alchimie Capital LLC est en cours et la colonne « Encadrement » indique, pour chaque sous-traitant, où elle en est :

5.1 Transferts hors UE

Alchimie Capital LLC étant établie aux États-Unis d'Amérique (New Mexico), tout transfert des données personnelles de nos utilisateurs UE vers notre société elle-même ou vers ses sous-traitants US constitue un transfert hors EEE au sens du chapitre V du RGPD. Ces transferts nécessitent un encadrement adapté à chaque destinataire. La vérification documentaire est en cours ; nous ne présentons pas les garanties suivantes comme toutes finalisées :

• Clauses Contractuelles Types (SCC) 2021/914, Module 2 (responsable → sous-traitant). Elles sont intégrées aux accords de traitement de nos sous-traitants US ; leur formalisation au nom d'Alchimie Capital LLC est en cours (état par sous-traitant au §5).
• Data Privacy Framework (DPF) EU-US, adéquation UE/US du 10 juillet 2023. Les sous-traitants certifiés DPF bénéficient d'une décision d'adéquation ; la self-certification DPF d'Alchimie Capital LLC est en cours ; aucune certification de notre société n'est présentée comme acquise. Le statut vérifié peut être obtenu sur demande à contact@alchimiecapital.com.
• Transfer Impact Assessment (TIA) : l'analyse et sa documentation par transfert et par sous-traitant restent à finaliser. Les documents effectivement disponibles peuvent être demandés à contact@alchimiecapital.com.
• Mesures supplémentaires techniques : chiffrement TLS 1.3 en transit, AES-256-GCM au repos, minimisation, pseudonymisation, traçabilité des accès.
• Requêtes gouvernementales : les engagements de notification et de contestation doivent être vérifiés dans l'accord applicable à chaque sous-traitant ; aucune garantie générale n'est donnée ici.

Conservation chez Anthropic : la politique publiée pour l'API prévoit en principe une suppression des entrées et sorties sous 30 jours, avec des exceptions notamment contractuelles, légales et de sécurité. Un régime de rétention nulle dépend d'un accord et de l'éligibilité des fonctions et modèles utilisés ; il n'est pas confirmé pour notre compte.

5.2 Pas de vente de données

Nous ne vendons jamais vos données personnelles à des tiers à des fins commerciales, publicitaires ou de profilage tiers.

6. Combien de temps conservons-nous vos données ?

7. Quels sont vos droits ?

Conformément aux Articles 15 à 22 du RGPD, vous disposez des droits suivants :

7.1 Droit d'accès (Art. 15)

Obtenir la confirmation que vos données sont traitées et en recevoir une copie.

7.2 Droit de rectification (Art. 16)

Faire corriger des données inexactes ou incomplètes.

7.3 Droit à l'effacement / « droit à l'oubli » (Art. 17)

Demander la suppression de vos données, sauf obligation légale de conservation (ex : facturation 7 ans).

Depuis les réglages du compte, une demande de suppression bloque l'accès au compte et lance l'effacement des données applicatives. L'identité d'authentification et les captures dont nous pouvons vérifier la propriété sont supprimées avec reprise en cas de panne. Les anciennes captures, les copies de coaching et les données transmises à d'autres destinataires font l'objet d'un suivi distinct. La demande n'est pas présentée comme clôturée tant que ce suivi reste nécessaire. Un registre restreint conserve les identifiants techniques de la demande, ses dates et son état pour permettre sa reprise, empêcher une recréation involontaire et documenter son traitement ; il ne conserve pas les conversations ni les clés d'exchange effacées.

7.4 Droit à la limitation (Art. 18)

Demander la suspension du traitement dans certains cas (contestation d'exactitude, traitement illicite, etc.).

7.5 Droit à la portabilité (Art. 20)

Recevoir vos données dans un format structuré, couramment utilisé et lisible par machine (JSON).

7.6 Droit d'opposition (Art. 21)

Vous opposer au traitement fondé sur l'intérêt légitime (notamment marketing direct).

7.7 Droit de retirer votre consentement (Art. 7.3)

À tout moment, sans effet rétroactif sur les traitements déjà effectués.

7.8 Droit relatif aux décisions automatisées (Art. 22)

Demander une intervention humaine sur les décisions automatisées produisant des effets significatifs (voir Art. 4.1 ci-dessus).

7.9 Droit de recours auprès d'une autorité de contrôle (Art. 77)

Vous pouvez introduire une réclamation auprès de l'autorité compétente de votre État de résidence :

• France : CNIL, https://www.cnil.fr/fr/plaintes
• Belgique : APD (Autorité de protection des données), https://www.autoriteprotectiondonnees.be
• Luxembourg : CNPD, https://cnpd.public.lu
• Suisse : PFPDT, https://www.edoeb.admin.ch
• Autres États UE : autorité listée sur https://edpb.europa.eu/about-edpb/board/members_fr

7.10 Comment exercer vos droits

Envoyez votre demande à contact@alchimiecapital.com en précisant :

• Votre identité (adresse e-mail du compte)
• Le(s) droit(s) que vous souhaitez exercer
• Une copie d'une pièce d'identité (en cas de doute sur votre identité, elle sera supprimée après vérification)

Nous répondons sous 30 jours (éventuellement prolongeable de 60 jours pour les demandes complexes, avec information préalable).

Gratuit, sauf demande manifestement infondée ou excessive.

8. Comment protégeons-nous vos données ? (Sécurité, Art. 32 RGPD)

Nous mettons en œuvre des mesures techniques et organisationnelles appropriées :

8.1 Mesures techniques

• Chiffrement TLS 1.3 en transit
• Chiffrement AES-256-GCM au repos pour données sensibles (clés API, journal émotionnel)
• Clés de chiffrement gérées hors base de données (variables d'environnement) et versionnées, permettant leur rotation
• Authentification multifacteur (MFA) disponible pour tous les Utilisateurs
• MFA obligatoire pour les comptes administrateurs
• Pentest annuel par prestataire indépendant
• Scans de vulnérabilité hebdomadaires (Snyk, GitHub Security)
• Isolation réseau (pas de ports Docker exposés en 0.0.0.0)
• Backups chiffrés quotidiens avec rotation 30 jours

8.2 Mesures organisationnelles

• Principe du moindre privilège sur les accès aux données
• Journalisation des accès aux bases de données
• Formation régulière des équipes Noesia Labs (sous-traitant technique)
• Accords de traitement (DPA) en place ou en cours de formalisation avec l'ensemble des sous-traitants (état détaillé au §5)
• Clause de confidentialité dans tous les contrats
• Procédure de gestion des violations (breach protocol)

8.3 Violation de données (Art. 33-34)

En cas de violation de données présentant un risque pour vos droits et libertés, nous notifions :

• L'autorité de contrôle compétente sous 72 heures
• Vous-même si le risque est élevé, dans les meilleurs délais

9. Cookies et technologies similaires

Le dépôt et la lecture de cookies sur votre terminal font l'objet d'une politique dédiée : Politique de cookies.

En résumé :

• Cookies strictement nécessaires : déposés sans consentement (authentification, panier, sécurité)
• Cookies analytiques, de mesure d'audience, marketing : soumis à votre consentement préalable via la bannière cookie (opt-in)

10. Mineurs

Les Services sont strictement réservés aux personnes âgées de 18 ans révolus. Nous ne collectons pas sciemment de données de mineurs. Si vous constatez qu'un mineur a créé un compte, contactez-nous à contact@alchimiecapital.com pour suppression immédiate.

11. Spécificités juridictions hors UE

11.1 États-Unis (privacy acts fédéraux et d'État)

Alchimie Capital LLC étant de droit de l'État du Nouveau-Mexique, elle est soumise à la législation fédérale US et aux lois des États où elle exerce son activité. Les résidents US bénéficient notamment des droits suivants selon leur État de résidence :

Par conservatisme, nous appliquons par défaut le standard le plus protecteur (RGPD UE) à l'ensemble des utilisateurs, y compris US. Les demandes spécifiques mentionnant la loi applicable (« CCPA Request », « VCDPA Request », etc.) sont traitées à contact@alchimiecapital.com.

En tant que LLC US, Alchimie Capital respecte également ses obligations de transparence sous le Corporate Transparency Act (31 U.S.C. § 5336

• déclaration BOIR à FinCEN des bénéficiaires effectifs).

11.2 Royaume-Uni (UK GDPR)

Les résidents UK bénéficient de droits équivalents au RGPD UE. Autorité de contrôle : ICO (https://ico.org.uk).

11.3 Suisse (nLPD)

Les résidents suisses bénéficient de la nouvelle Loi fédérale sur la protection des données (entrée en vigueur 1er septembre 2023). Autorité : PFPDT.

11.4 Canada (LPRPDE / PIPEDA, Loi 25 Québec)

Les résidents canadiens bénéficient de la LPRPDE fédérale et, pour le Québec, de la Loi 25 modifiant la Loi sur la protection des renseignements personnels dans le secteur privé.

12. Modifications de la présente Politique

Nous pouvons faire évoluer cette Politique de confidentialité. Les modifications substantielles vous seront notifiées par e-mail ou via l'Application avec un préavis de 30 jours. La date de dernière mise à jour figure en haut du document.

13. Contact

Protection des données (exercice des droits) et contact général : contact@alchimiecapital.com Siège : Alchimie Capital LLC, 4405 Jager Dr NE, Ste C4, Box 2043, Rio Rancho, NM 87144, Nouveau-Mexique (New Mexico), États-Unis Représentant UE (Art. 27 RGPD) : en cours de désignation ; exercice des droits auprès de contact@alchimiecapital.com dans l'intervalle.

Dernière mise à jour : 2026-09-12, v1.7 (origine de l'inscription enregistrée sur le compte sans cookie, attribution à un apporteur)