Aevumex
Politique de confidentialité
Aevumex repose sur un principe : ce que vous possédez ne nous regarde pas. Votre portefeuille est chiffré sur votre appareil avec une clé que vous seul détenez. Cette politique explique quelles données nous traitons malgré tout, pourquoi, sur quelle base légale, pendant combien de temps, et quels droits vous donne le Règlement général sur la protection des données (RGPD).
1. Responsable du traitement
Aevumex est un nom commercial de Glennski, entreprise individuelle immatriculée auprès de la chambre de commerce néerlandaise (KVK) sous le numéro 42093846 (numéro d’établissement 000065978579), numéro de TVA NL050855827B02, Gravin Juliana van Stolberglaan 31, 2263 AB Leidschendam, Pays-Bas. Glennski est le responsable du traitement au sens de l’art. 4, 7) du RGPD. Contact confidentialité : privacy@aevumex.com ; autres questions : support@aevumex.com. Les mentions légales complètes figurent dans les conditions d’utilisation. Aucun délégué à la protection des données n’est désigné : les conditions de l’art. 37 du RGPD ne sont pas réunies. Il n’existe plus de déclaration ni d’enregistrement auprès de la CNIL depuis 2018 ; nous tenons un registre des traitements, comme le prévoit l’art. 30 du RGPD.
2. Ce que nous ne pouvons jamais lire : votre portefeuille
Toutes les données sur votre métal (type, quantité, poids, date d’achat, prix d’achat, lieu de stockage, notes, photos de justificatifs) sont chiffrées sur votre appareil en AES-256-GCM avant d’être stockées ou synchronisées. La clé est générée sur votre appareil, conservée dans le trousseau sécurisé d’iOS ou d’Android et dérivée de votre phrase de récupération de 12 mots. Nos serveurs ne reçoivent et ne conservent que des blocs chiffrés, sans la clé. Nous ne pouvons ni consulter, ni restaurer, ni communiquer ces données. Si vous perdez à la fois votre appareil et votre phrase de récupération, le portefeuille devient définitivement illisible, pour vous comme pour nous.
Ce que le serveur voit malgré tout : le nombre d’éléments chiffrés, les horodatages et la taille des blocs. Ces blocs restent des données à caractère personnel, car ils sont rattachés à votre identifiant d’utilisateur : c’est pourquoi ils figurent dans cette politique.
3. Les données que nous traitons
| Données | Finalité | Base légale | Conservation |
|---|---|---|---|
| Adresse e-mail | Connexion (e-mail et mot de passe), codes de confirmation et de réinitialisation, gestion du compte, changement d’adresse | Art. 6, 1, b) RGPD (exécution du contrat) | Tant que votre compte existe |
| Nom et date de naissance (facultatifs) | Votre profil ; le nom peut venir de Google si vous l’autorisez | Art. 6, 1, a) RGPD (consentement) ; vous pouvez les laisser vides ou les supprimer | Jusqu’à leur suppression ou la clôture du compte |
| Pseudonyme | Affiché sur la place de marché et dans les conversations à la place de votre nom | Art. 6, 1, b) RGPD | Tant que votre compte existe |
| Annonces, photos, messages, évaluations, signalements | Fonctionnement de la place de marché, modération, obligations légales (règlement sur les services numériques, DSA) | Art. 6, 1, b) RGPD ; art. 6, 1, f) RGPD (sécurité) ; art. 6, 1, c) RGPD pour les signalements | Annonces : 30 jours après expiration ; conversations et signalements : jusqu’à 12 mois après la clôture du compte, pour les enquêtes sur les abus |
| Alertes de prix (métal et seuil) | Notification lorsqu’un cours franchit votre seuil | Art. 6, 1, b) RGPD | Jusqu’à la suppression de l’alerte |
| Jeton de notification de votre appareil et langue choisie dans l’application | Envoi des notifications dans votre langue ; la notification elle-même ne contient jamais de montant ni de détail de vos avoirs | Art. 6, 1, a) RGPD (consentement aux notifications) | Jusqu’à la désactivation des notifications ou la déconnexion |
| Statut d’abonnement, identifiant applicatif, preuves d’achat | Activer et restaurer Aevumex Pro | Art. 6, 1, b) RGPD | Durée légale de conservation des données de transaction |
| Titre d’une annonce pour laquelle vous demandez une illustration générée par IA | Génération de l’image ; uniquement sur la place de marché, jamais pour un élément du coffre | Art. 6, 1, b) RGPD | Non conservé durablement ; l’image générée appartient à l’annonce |
| Journaux techniques (adresse IP, messages d’erreur) | Sécurité et stabilité | Art. 6, 1, f) RGPD (intérêt légitime) | 30 jours au maximum |
Nous ne traitons aucune donnée de localisation (la région d’une annonce est un texte libre que vous choisissez), nous n’affichons aucune publicité et nous ne vous suivons pas d’une application ou d’un site à l’autre. Aucun traceur : l’application ne contient ni SDK de mesure d’audience, ni SDK publicitaire, ni SDK de rapport de plantage, et ce site ne dépose ni cookie ni pixel de suivi. Les seuls stockages sur l’appareil sont ceux strictement nécessaires au service que vous demandez (session, cache chiffré, trousseau). Les photos jointes à une annonce sont envoyées sans métadonnées de localisation (EXIF).
4. Sous-traitants et transferts
| Partie | Rôle | Localisation |
|---|---|---|
| Supabase (Supabase Pte. Ltd.) | Base de données, authentification, stockage des blocs chiffrés et des données de la place de marché | UE (Irlande) ; SOC 2 Type II, ISO 27001 |
| Resend | Envoi des codes de confirmation et de réinitialisation et des e-mails liés au compte | UE/États-Unis ; contrat de sous-traitance avec clauses contractuelles types |
| RevenueCat | Gestion des abonnements (uniquement un identifiant aléatoire et les preuves d’achat, jamais votre adresse e-mail) | États-Unis ; clauses contractuelles types |
| Expo (service de notification), Apple (APNs), Google (FCM) | Acheminement de notifications sans contenu | États-Unis ; clauses contractuelles types |
| Google (Gemini) | Génération d’une illustration à partir du titre d’une annonce ; aucun élément du coffre n’est transmis | États-Unis ; clauses contractuelles types |
| Google et Apple | Connexion avec Google ou Apple (seulement si vous la choisissez), paiements via les boutiques | Responsables indépendants pour leurs propres traitements |
| metals.dev, Banque centrale européenne | Cours et taux de change ; ne reçoivent aucune donnée vous concernant | — |
5. Vos droits
Vous pouvez consulter et modifier vos données dans l’application sous Réglages → Profil, supprimer votre compte et toutes les données associées sous Réglages → Supprimer le compte, et retirer votre consentement aux notifications dans les réglages de votre appareil. Vous disposez en outre des droits d’accès (art. 15), de rectification (art. 16), d’effacement (art. 17), de limitation (art. 18), de portabilité (art. 20) et d’opposition (art. 21), ainsi que du droit de retirer un consentement à tout moment. Écrivez à privacy@aevumex.com ; nous répondons dans un délai d’un mois.
Si notre réponse ne vous satisfait pas, vous pouvez introduire une réclamation auprès d’une autorité de contrôle (art. 77 RGPD) : l’autorité néerlandaise dont nous dépendons, l’Autoriteit Persoonsgegevens, ou l’autorité de votre pays de résidence — la CNIL en France, l’Autorité de protection des données en Belgique.
6. Sécurité
Au-delà du chiffrement sur votre appareil : connexions en TLS, accès à la base de données strictement cloisonné par compte (row level security), verrouillage par code et par biométrie dans l’application, et aucun mot de passe susceptible de fuiter de notre côté. Le fonctionnement des clés, ce que voit le serveur et les limites de la promesse « zero-knowledge » sont détaillés dans le modèle de sécurité.
7. Enfants
Aevumex ne s’adresse pas aux personnes de moins de 16 ans ; nous ne collectons pas sciemment de données concernant des enfants.
8. Modifications
En cas de modification de fond, nous vous en informons dans l’application et sur cette page, avec une nouvelle date de version en haut.