Confidentialité.
Sur la plateforme.

Cette traduction française est fournie uniquement à titre informatif. Seule la version allemande fait foi ; en cas de divergence, la version allemande prévaut. Lire la version allemande

1. Responsable du traitement

Le responsable du traitement des données sur la plateforme est :

Le prestataire et exploitant de la plateforme ainsi que le développeur du logiciel Finaure est JSLM Products & Services GmbH (ci-après « nous »). Vous trouverez de plus amples informations dans les mentions légales.

2. Champ d’application et rôles

La présente politique s’applique à l’utilisation de la plateforme Finaure (application après connexion) par nos clients et par tous les utilisateurs qu’ils ont invités, par exemple des membres de la famille, des assistants ou des conseillers, ainsi qu’aux tiers externes qui accèdent à certains contenus au moyen d’un lien de partage. La visite de notre site web est régie par la politique de confidentialité du site web.

Deux rôles : pour votre compte client, la facturation et la sécurité de la plateforme, nous sommes responsables du traitement. Si, en tant que client, vous saisissez des données de tiers (par exemple de locataires, de salariés, de cocontractants ou de membres de la famille), vous êtes responsable du traitement de ces données et nous les traitons en qualité de sous-traitant pour votre compte, conformément au contrat de sous-traitance (conditions générales, annexe 3).

3. Où sont stockées vos données

Toutes les données stockées de manière permanente, c’est-à-dire les données de base, les données patrimoniales et les données de transaction, les documents et les sessions, sont hébergées chez Supabase sur des serveurs situés dans l’Union européenne (Allemagne), chiffrées au repos et lors de la transmission. L’interface de l’application est diffusée via Netlify ; aucune donnée d’utilisateur n’y est stockée.

Certains destinataires sont établis hors de l’UE ou appartiennent à des entreprises américaines, par exemple Anthropic pour le traitement par l’IA (point 8), Cloudflare pour la protection contre les bots et Google pour la connexion facultative avec Google (point 5). Vous trouverez tous les destinataires et les garanties applicables aux transferts vers des pays tiers au point 15.

4. Données traitées

• Données de compte et données de base : nom, adresse e-mail, adresse de facturation, rôles, paramètres, niveau de licence choisi.
• Données patrimoniales et financières : entités et participations, actifs, comptes bancaires avec soldes et opérations, comptes-titres, contrats, justificatifs, données de planification.
• Documents et images : fichiers que vous avez téléversés (PDF, JPG, PNG) et contenus qui en sont extraits.
• Données de tiers que vous saisissez (voir point 2).
• Données techniques et journaux : événements de connexion, événements d’audit, journaux d’erreurs et de fonctionnement (point 17).
• Aucun identifiant bancaire : vos identifiants de banque en ligne ne nous parviennent à aucun moment (point 9).

5. Inscription et connexion

Lors de l’inscription, nous traitons votre adresse e-mail, votre nom, votre adresse de facturation et le niveau de licence choisi. Votre adresse e-mail est confirmée avant l’activation. Nous ne stockons les mots de passe que sous forme de hachage cryptographique.

Pour nous protéger contre les inscriptions automatisées, nous utilisons Cloudflare Turnstile (Cloudflare, Inc., États-Unis). Votre adresse IP et des signaux techniques du navigateur sont alors transmis à Cloudflare afin de distinguer les personnes des bots.

Vous pouvez aussi vous connecter avec votre compte Google. La page de connexion vous redirige alors vers Google ; après votre confirmation, Google Ireland Limited (Gordon House, Barrow Street, Dublin 4, Irlande) nous transmet votre adresse e-mail, votre nom, le cas échéant votre photo de profil et un identifiant Google. Nous ne recevons jamais votre mot de passe Google. La connexion avec Google est facultative ; vous pouvez tout aussi bien vous connecter avec votre adresse e-mail et votre mot de passe. Le traitement par Google est régi par la politique de confidentialité de Google.

La connexion à deux facteurs (TOTP) fonctionne avec toute application d’authentification courante et s’effectue entièrement via notre infrastructure de connexion chez Supabase, sans autre fournisseur tiers. Nous ne stockons les huit codes de récupération que sous forme de hachage. Les sessions ont une date d’expiration, peuvent être fermées par vous et prennent fin automatiquement après une durée d’inactivité que vous pouvez paramétrer.

6. Utilisation de la plateforme

Nous traitons les données que vous avez saisies, téléversées ou récupérées via la connexion bancaire afin de mettre à votre disposition les fonctionnalités de la plateforme : vues d’ensemble du patrimoine et de la structure, analyses, planifications, tâches, rapports et exports pour votre conseiller. Les documents téléversés sont stockés de manière séparée par espace client et ne sont accessibles qu’après connexion, au moyen de liens signés à courte durée de validité.

7. Rôles, journaux, support

Les clients invitent des utilisateurs et attribuent des rôles par entité (propriétaire, administrateur, gestionnaire, assistant, membre, conseiller). Les données visibles par un utilisateur sont déterminées côté serveur. Les actions pertinentes pour la sécurité sont consignées dans un journal d’audit que seuls les propriétaires et les administrateurs peuvent consulter.

Support : nos collaborateurs n’accèdent à un espace client que dans la mesure nécessaire à la résolution d’une demande ; ces accès sont journalisés et affichés au propriétaire dans la plateforme. Nous n’avons aucun accès aux paiements ni aux connexions bancaires. Nous traitons les demandes de service telles que la réinitialisation de la connexion à deux facteurs après une vérification d’identité par e-mail de confirmation, sans accéder aux contenus.

8. Fonctions d’IA

Pour les fonctions d’IA, nous faisons appel à l’Anthropic Claude API (Anthropic PBC, États-Unis) en qualité de sous-traitant, c’est-à-dire à l’interface commerciale et non au produit destiné aux consommateurs finaux. Conformément au contrat en vigueur avec Anthropic, les contenus ne sont pas stockés après le traitement et ne sont pas utilisés pour l’entraînement de modèles d’IA (actuellement : Zero Data Retention). Pour chaque fonction, nous n’envoyons que les données nécessaires :

Lors de l’analyse de documents, le document lui-même est l’objet du traitement : s’il contient des noms, par exemple sur une facture, ceux-ci sont analysés dans le document. Les plaques d’immatriculation ou numéros de châssis détectés sont enregistrés sur l’actif concerné et ne sont pas transmis à l’assistant de chat.

Transparence et contrôle : chaque interaction avec l’IA est signalée comme telle (article 50 du règlement sur l’intelligence artificielle). Les résultats de l’IA sont des propositions que vous confirmez ou modifiez. Vous n’utilisez SmartAssist qu’après avoir donné votre consentement exprès, que vous pouvez retirer à tout moment dans les paramètres ; pour les téléversements, il existe une voie manuelle sans IA. Chaque réponse de SmartAssist indique sur quelles données elle repose. Les indications de valeur pour les biens corporels sont des estimations fondées sur les connaissances du modèle, sans données de marché, et ne constituent pas une évaluation. Nous journalisons uniquement le fait qu’une analyse a eu lieu, et non son contenu ni son résultat.

9. Connexion bancaire (finAPI)

Vous connectez vos comptes bancaires via finAPI GmbH, Munich, un service d’information sur les comptes et d’initiation de paiement placé sous la surveillance de la BaFin. La connexion à votre banque, y compris l’authentification forte du client, s’effectue directement entre vous, finAPI et votre banque ; vos identifiants de banque en ligne ne nous parviennent jamais. Nous recevons et stockons dans l’UE des informations sur les comptes telles que les soldes, les opérations et les positions des comptes-titres. Les accès bancaires sont enregistrés par utilisateur. Vous donnez et gérez le consentement à l’accès aux comptes auprès de finAPI et de votre banque. Vous validez les ordres de paiement dans la plateforme selon la procédure de validation mise en place ; le paiement est initié via finAPI, puis autorisé et exécuté selon la procédure de votre banque. Les paiements passent exclusivement par finAPI ; Finaure n’a à aucun moment accès à votre argent. À la fin du contrat, les accès créés chez finAPI sont supprimés dans le cadre de la suppression des données.

10. Facturation

La facturation des abonnements s’effectue via le service de facturation Fynn (Fynn GmbH, Barthelstraße 4, 50823 Cologne, Allemagne). Les données de paiement telles que les données de carte ou de compte sont traitées exclusivement par ce service ou par le prestataire de services de paiement concerné ; nous ne stockons que le statut de l’abonnement et des numéros de référence. Pour certains contrats existants, nous utilisons encore Stripe (Stripe Payments Europe, Ltd., Irlande) ; cette connexion est en cours de remplacement. La fin de la période d’essai et le niveau de licence nous sont communiqués au moyen de notifications sécurisées, dont la signature est vérifiée, émises par le service de facturation.

11. E-mails

Nous envoyons les e-mails système (par exemple invitations, échéances, informations relatives au contrat, notifications de rapports) via Brevo (Sendinblue SAS, Paris). Nos e-mails ne contiennent aucun chiffre relatif au patrimoine ni aucune pièce jointe ; nous mettons les rapports à disposition sous forme de lien de téléchargement qui expire au bout de 14 jours. Dans nos journaux, nous ne conservons de l’adresse du destinataire qu’un hachage.

Lorsque vous nous écrivez par e-mail, votre message est reçu dans nos boîtes aux lettres chez Hostinger (Hostinger International Ltd., Chypre) et traité avec Microsoft 365 (Microsoft Ireland Operations Ltd.).

12. Liens pour les tiers externes

Vous pouvez partager certaines tâches, data rooms ou rapports au moyen de liens destinés à des tiers externes, par exemple votre conseiller ou votre notaire. Ces liens reposent sur des jetons aléatoires de 256 bits dont nous ne conservons qu’un hachage. Ils ne valent que pour une seule opération, sont limités dans le temps (tâches 14 jours, data rooms 30 jours, rapports 14 jours), révocables à tout moment et protégés contre les accès automatisés. Chaque accès est journalisé avec l’horodatage ainsi que l’adresse IP et l’identifiant du navigateur sous forme hachée, et vous pouvez le consulter. Le choix des destinataires vous appartient.

13. Détection des abus et des bots

Afin de détecter les accès automatisés effectués sans notre autorisation, nous analysons des signaux ne contenant aucune donnée de contenu : compteurs d’interactions, éléments leurres invisibles pour les personnes et un pseudonyme de session aléatoire par onglet de navigateur, qui prend fin avec l’onglet. Aucun suivi entre appareils n’a lieu ; aucun cookie n’est déposé à des fins publicitaires ou d’analyse. L’accès au stockage est strictement nécessaire à la sécurité du service (article 25, paragraphe 2, point 2, de la loi allemande sur la protection des données dans les télécommunications et les services numériques (TDDDG)). En cas de suspicion, nous informons l’exploitant et mettons fin, le cas échéant, à la session.

14. Données de marché sans caractère personnel

Nous récupérons les cours, les prix des métaux précieux, les taux de change et les flux d’actualités publics exclusivement depuis nos serveurs (notamment Twelve Data, Metals-API, Frankfurter API/BCE ainsi que des sources d’actualités publiques). Seuls des symboles de titres ou des requêtes de flux sont alors transmis, aucune donnée vous concernant ni votre adresse IP.

15. Destinataires et transfert vers des pays tiers

Nous ne vendons aucune donnée. Nous ne transmettons des données qu’aux prestataires suivants, que nous avons liés contractuellement en qualité de sous-traitants (art. 28 du RGPD), ou lorsque nous y sommes légalement tenus. Vous trouverez la liste complète dans les conditions générales, annexe 4.

Dans la mesure où un prestataire est certifié au titre de l’EU-US Data Privacy Framework, le transfert repose sur la décision d’adéquation de la Commission européenne (art. 45 du RGPD) et, à défaut, sur les clauses contractuelles types de l’UE (art. 46, paragraphe 2, point c) du RGPD). Une copie des garanties vous est remise sur demande.

16. Bases juridiques

La fourniture des données de compte et des données contractuelles est nécessaire à la conclusion du contrat ; sans elles, nous ne pouvons pas mettre la plateforme à votre disposition. Vous décidez vous-même de toutes les autres informations.

17. Durée de conservation et suppression

Après la fin du contrat, vous disposez pendant 90 jours d’un accès en lecture et pouvez récupérer un paquet d’export complet (tous les documents ainsi que les données essentielles au format CSV). Nous vous le rappelons au début de cette période ainsi que 30 et 7 jours avant son expiration. Nous supprimons ensuite définitivement toutes les données de votre espace client, y compris les documents et les accès chez finAPI. Sur demande, nous procédons à la suppression plus tôt. Ne sont pas journalisés les contenus des documents, les réponses de l’IA, les identifiants bancaires et les mots de passe.

18. Vos droits

En vertu du RGPD, vous disposez des droits suivants :

• accès (art. 15) et portabilité des données (art. 20), dans la plateforme au moyen du paquet d’export
• rectification (art. 16), directement dans la plateforme
• effacement (art. 17) avec suppression définitive journalisée
• limitation du traitement (art. 18)
• opposition aux traitements fondés sur l’art. 6, paragraphe 1, point f) pour des raisons tenant à votre situation particulière (art. 21)
• retrait des consentements donnés avec effet pour l’avenir (art. 7, paragraphe 3), par exemple pour SmartAssist dans les paramètres

Un e-mail à info@finaure.eu suffit. Si votre demande concerne des données qu’un client a saisies en qualité de responsable du traitement (point 2), nous la lui transmettons.

Vous avez en outre le droit d’introduire une réclamation auprès d’une autorité de contrôle de la protection des données (art. 77 du RGPD), en particulier dans l’État de votre résidence habituelle. L’autorité compétente à notre égard est le Hessischer Beauftragter für Datenschutz und Informationsfreiheit (HBDI, commissaire à la protection des données et à la liberté d’information du Land de Hesse), Gustav-Stresemann-Ring 1, 65189 Wiesbaden. Autres autorités de contrôle : Autriche – Datenschutzbehörde (DSB) ; Italie – Garante per la protezione dei dati personali ; France – CNIL ; Espagne – AEPD ; Croatie – AZOP.

19. Sécurité des données

Hébergement dans l’UE sur une infrastructure certifiée SOC 2 Type 2, chiffrement au repos (AES-256) et lors de la transmission (TLS 1.2 ou supérieur), séparation des espaces clients imposée côté serveur (Row Level Security), modèle de rôles et de visibilité, connexion à deux facteurs, principe des quatre yeux pour les paiements, en-têtes de sécurité, expiration des sessions et sauvegardes quotidiennes. Vous trouverez la description complète dans les mesures techniques et organisationnelles (conditions générales, annexe 3, partie B).

20. Autres informations

Aucune décision automatisée : aucune décision au sens de l’art. 22 du RGPD n’est prise. L’indication d’un niveau de licence supérieur en cas d’augmentation du patrimoine brut constitue une offre ; le prix ne change qu’après votre confirmation.

Modifications : nous adaptons la présente politique lorsque les traitements évoluent, par exemple en cas de nouvelles fonctionnalités ou de nouveaux prestataires. La version publiée ici à la date considérée fait foi.

Dernière mise à jour : octobre 2026