Politique de confidentialité
Version du 4 novembre 2026.
L'essentiel
- Tes données sont stockées dans l'Union européenne (France et Irlande), chiffrées en transit et au repos.
- Nous ne vendons aucune donnée : pas de publicité, pas de pistage marketing.
- Tes données comptables t'appartiennent : nous les traitons pour ton compte et tu peux les exporter ou les supprimer.
- Contact : contact@trotme.fr, réponse sous un mois.
1. Qui traite tes données
TLM Solutions SAS, Bureau 3, 150 B avenue Charles de Gaulle, 92200 Neuilly-sur-Seine, éditrice de Defi Flow, est responsable des traitements du tableau ci-dessous : comptes, sécurité, facturation, support et radiographie de FEC.
Pour les données comptables qu'une organisation importe ou saisit (transactions, écritures, justificatifs, y compris ceux déposés par un tiers via un lien de dépôt), nous agissons pour le compte de cette organisation, en tant que sous-traitant, selon l'annexe des CGV. Si ton nom figure dans ces données (fournisseur, client, salarié d'une entreprise cliente), adresse tes demandes à l'organisation concernée ; nous l'aidons à y répondre.
Nous n'avons pas désigné de délégué à la protection des données, ce qui n'est pas obligatoire pour notre activité. Écris à contact@trotme.fr ou à l'adresse ci-dessus.
2. Quelles données, pourquoi, combien de temps
| Traitement | Données | Base légale (RGPD) | Durée |
|---|---|---|---|
| Compte utilisateur | Adresse e-mail, mot de passe haché (Argon2id), nom et prénom si tu les saisis, rôle, réglages de double authentification, date et version des CGU acceptées | Exécution du contrat (art. 6.1.b) ; pour un membre invité, intérêt légitime de son organisation à lui donner accès (art. 6.1.f) | Jusqu'à la suppression du compte : l'adresse e-mail est alors remplacée par un identifiant anonyme et les sessions sont révoquées |
| Invitations | Adresse e-mail de la personne invitée, organisation et rôle proposés | Intérêt légitime de l'organisation qui invite (art. 6.1.f) | Jusqu'à la suppression de l'organisation ; anonymisée si la personne invitée supprime son compte |
| Sécurité et preuve | Adresse IP, navigateur, sessions ouvertes, tentatives de connexion, journal d'audit des actions sensibles | Intérêt légitime : sécurité du service et preuve des opérations (art. 6.1.f) | 12 mois au plus pour les journaux techniques ; 10 ans pour le journal d'audit, qui reste après la suppression du compte |
| Radiographie de FEC, sans compte | Le fichier déposé ; ton adresse IP, pour limiter le nombre d'analyses | Exécution de ta demande (art. 6.1.b) ; intérêt légitime contre les abus (art. 6.1.f) | Fichier lu en mémoire, ni enregistré ni journalisé, effacé dès que le rapport est prêt ; seuls sa taille, son nombre de lignes, la durée et la note sont journalisés ; IP gardée 24 heures au plus pour le compteur |
| Analyse de wallet (KYT), dans l'application | L'adresse de wallet que tu saisis, qui peut être celle d'un tiers ; ton compte et ton espace, pour les quotas d'analyses | Exécution du contrat (art. 6.1.b) ; intérêt légitime à connaître le risque d'une contrepartie et à limiter les abus (art. 6.1.f) ; les personnes dont l'adresse est analysée ne sont pas informées individuellement, faute de pouvoir les identifier (art. 14.5.b) | Adresse transmise aux explorateurs de blocs pour lire son activité publique, ni enregistrée ni journalisée ; rapport gardé 10 minutes dans la mémoire du serveur pour être réaffiché, puis effacé ; chaque analyse lancée est comptée en base pour le quota quotidien de l'espace (espace, auteur et heure, jamais l'adresse ni le rapport), compte purgé au-delà de deux jours à l'analyse suivante de l'espace et effacé avec lui ; seuls la famille d'adresse, le nombre de réseaux actifs, le niveau de risque et la durée sont journalisés ; le rapport ne nomme jamais une personne physique, même inscrite sur une liste de sanctions |
| Facturation | Raison sociale, adresse, numéro de TVA, contact, factures et échanges liés à l'abonnement | Obligation légale (art. 6.1.c) : Code de commerce, art. L123-22 | 10 ans à compter de la clôture de l'exercice concerné |
| Support | Tes e-mails et les pièces que tu nous envoies | Intérêt légitime : répondre à ta demande et la suivre (art. 6.1.f) | 3 ans après notre dernier échange |
Nous ne traitons aucune donnée sensible au sens de l'article 9. Le classement automatique applique des règles explicites : aucun modèle d'intelligence artificielle ne traite tes données, et aucune décision produisant un effet juridique à ton égard n'est prise de façon automatisée (article 22). Le service s'adresse aux professionnels et n'est pas destiné aux mineurs.
3. Nos prestataires
Seuls ces prestataires reçoivent des données, et seulement ce qui est indiqué :
| Prestataire | Rôle | Données reçues | Lieu et garanties |
|---|---|---|---|
| Hostinger International Limited (Chypre) | Hébergement du site et de l'application | Toutes les données, le temps de leur traitement | Serveurs en France (Union européenne) |
| Supabase Pte. Ltd. (Singapour) | Base de données et fichiers (pièces justificatives, FEC) | Toutes les données stockées | Stockage en Irlande (Union européenne) ; accès éventuels depuis Singapour ou les États-Unis encadrés par les clauses contractuelles types intégrées à l'accord de traitement de Supabase |
| Resend (États-Unis) | Envoi des e-mails du service (inscription, mot de passe, codes de connexion, invitations) | Adresse du destinataire et contenu de l'e-mail | États-Unis : société certifiée Data Privacy Framework (décision d'adéquation de la Commission européenne du 10 juillet 2023), clauses contractuelles types en complément |
| Explorateurs de blocs : Blockscout, Etherscan, Routescan ; mempool.space et Blockstream (Bitcoin) ; RPC public de la Solana Foundation (Solana) | Lire l'historique des wallets que tu ajoutes ou que tu analyses | Adresses publiques de ces wallets ; pour une xpub, les adresses qui en dérivent, la clé restant sur nos serveurs | Certains hors de l'Union : transmission d'une donnée publique de la blockchain, faite à ta demande pour synchroniser ou analyser le wallet |
| Sources de cours : CryptoCompare, CoinMarketCap, DefiLlama, Frankfurter | Cours des actifs et taux de change | Symboles d'actifs et dates, aucune donnée personnelle | Sans objet |
| API de jetons de Jupiter | Symbole et nom des jetons Solana | Identifiants des jetons, aucune donnée personnelle | Sans objet |
| Liste SDN de l'OFAC (Trésor américain) | Téléchargement hebdomadaire de la liste publique des sanctions par nos serveurs, pour l'analyse de wallet | Aucune donnée personnelle | Sans objet |
| Annuaire des entreprises (recherche-entreprises.api.gouv.fr) | Préremplir l'identité de ta société | Le numéro SIREN saisi | France |
Services que tu connectes toi-même : Kraken, Binance, Coinbase, Bitpanda, Bitstamp et Bitvavo (lecture de l'historique de ton compte avec ta clé d'API en lecture seule), Pennylane (envoi de l'historique catégorisé de tes transactions vers ta société Pennylane, avec le jeton d'API que tu y crées, quand tu le demandes) et, lorsqu'elle est proposée, la connexion avec Google. Ce ne sont pas nos sous-traitants : chacun applique ses propres conditions, et l'échange n'a lieu qu'à ta demande.
Nous annonçons tout nouveau prestataire par e-mail aux organisations clientes au moins 30 jours avant de lui confier des données.
4. Sécurité
Chiffrement TLS en transit, chiffrement au repos chez l'hébergeur de la base, clés d'API des plateformes chiffrées, mots de passe hachés en Argon2id, double authentification, cloisonnement des organisations dans le code et journal d'audit chaîné. Détail et feuille de route sur la page Sécurité.
5. Tes droits
Tu peux demander l'accès à tes données, leur rectification, leur effacement, la limitation d'un traitement, t'opposer à un traitement fondé sur l'intérêt légitime, et récupérer tes données dans un format structuré (le FEC, les exports CSV et Excel sont disponibles à tout moment dans l'application). Tu peux aussi donner des directives sur le sort de tes données après ton décès (loi Informatique et Libertés, article 85).
Écris à contact@trotme.fr. Nous répondons sous un mois, délai qui peut être prolongé de deux mois pour une demande complexe (article 12). Tu peux à tout moment saisir la CNIL : cnil.fr/fr/plaintes.
6. Cookies
Uniquement des cookies nécessaires au fonctionnement du service, sans bandeau à accepter : détail dans la politique cookies.
7. Violation de données
En cas de violation, nous la notifions à la CNIL dans les 72 heures si elle présente un risque (article 33), aux personnes concernées si le risque est élevé (article 34), et aux organisations clientes pour les données que nous traitons pour leur compte.
8. Modifications
Nous te prévenons par e-mail de toute modification importante au moins 30 jours à l'avance. Chaque version est datée en tête de cette page.