Politique de confidentialité

Responsable du traitement et contact

ClearFiat est un service de conversion de crypto-actifs vers monnaie fiat. Le responsable du traitement est l'exploitant identifié dans les mentions légales, page sur laquelle figurent sa dénomination, son adresse postale et son adresse de contact. Adressez à cette adresse de courrier électronique toute question relative à vos données personnelles. Aucun délégué à la protection des données n'est désigné : l'activité ne comporte ni suivi systématique à grande échelle des personnes, ni traitement de données sensibles au sens de l'article 9 du RGPD. Les demandes sont traitées directement par l'exploitant.

• Responsable du traitement : l'exploitant identifié dans les mentions légales
• Adresse de contact pour les questions relatives aux données : celle publiée sur la page des mentions légales
• Délégué à la protection des données : aucun n'est désigné

Données que nous traitons

Nous ne collectons que ce qui est nécessaire au fonctionnement du service. Une adresse de courrier électronique et un mot de passe sont indispensables pour ouvrir un compte. Les coordonnées du compte de réception sont indispensables pour exécuter le versement : sans elles, la conversion ne peut pas être payée. Les moyens de réception ouverts sont le virement SEPA, le virement SWIFT et PayPal, et nous n'enregistrons que les coordonnées correspondant au moyen que vous choisissez. Les éléments d'identité ne sont demandés qu'au-delà du seuil annuel décrit plus bas, et leur refus entraîne le refus de l'opération. Aucune donnée n'est collectée à des fins publicitaires ou statistiques.

• Compte : adresse de courrier électronique, empreinte scrypt du mot de passe, sessions, codes de récupération
• Journaux : événements de sécurité rattachés à votre compte
• Opérations : cotations, actif et réseau choisis, montants et devises, adresses de dépôt, dépôts constatés, références de paiement, historique d'état
• Versement : coordonnées du compte de réception que vous désignez, enregistrées chiffrées, à savoir l'IBAN et le BIC pour un virement SEPA, les coordonnées bancaires internationales pour un virement SWIFT, ou l'identifiant du compte pour PayPal
• Identité : éléments demandés au seul titre de la vérification renforcée, au-delà de l'équivalent de 12 000 EUR convertis par an

Finalités et bases légales

Chaque traitement répond à une finalité déterminée et à une base légale propre. L'ouverture du compte, la cotation, le suivi du dépôt et le versement des fonds reposent sur l'exécution du contrat que vous concluez avec l'exploitant. La sécurité du service, la prévention de la fraude et le contrôle des paramètres d'exécution reposent sur l'intérêt légitime de l'exploitant, dont vous trouverez le détail ci-dessous. La conservation des pièces justificatives comptables répond à une obligation légale. Aucun traitement ne repose sur votre consentement : ClearFiat n'envoie aucune prospection commerciale et ne dépose aucun traceur soumis à consentement. Vous pouvez obtenir sur demande le détail de la mise en balance effectuée pour les traitements fondés sur l'intérêt légitime.

• Création et gestion du compte, authentification, sessions et codes de récupération : exécution du contrat, article 6, paragraphe 1, point b, du RGPD
• Cotation, adresse de dépôt, détection du dépôt, calcul des frais et versement en monnaie fiat : exécution du contrat, article 6, paragraphe 1, point b
• Enregistrement chiffré des coordonnées du compte de réception et exécution du virement SEPA, du virement SWIFT ou du versement PayPal : exécution du contrat, article 6, paragraphe 1, point b
• Journalisation des événements de sécurité, protection contre les accès non autorisés et prévention de la fraude au versement : intérêt légitime, article 6, paragraphe 1, point f
• Contrôle des bornes de montant et de l'écart maximal de 150 points de base entre fournisseurs de cours : intérêt légitime, article 6, paragraphe 1, point f
• Vérification d'identité au-delà du seuil annuel : intérêt légitime tenant à la prévention de la fraude, article 6, paragraphe 1, point f
• Conservation des pièces comptables et justificatives : obligation légale, article 6, paragraphe 1, point c

Vérification humaine et seuil d'identité

Les versements en monnaie fiat sont déclenchés manuellement par l'exploitant, après vérification de l'opération, et aucun rapprochement automatique n'est opéré entre la transaction reçue et la commande. Au-delà de l'équivalent de 12 000 EUR convertis par an, une vérification d'identité renforcée est demandée avant de poursuivre. Cette vérification est une mesure de prévention de la fraude décidée par l'exploitant et fondée sur son intérêt légitime : elle ne constitue pas l'exécution d'une obligation légale, l'exploitant n'étant pas à ce jour titulaire d'un agrément de prestataire de services sur crypto-actifs. Si un tel agrément était obtenu, la base légale et la durée de conservation associées changeraient et cette page serait mise à jour. Aucune décision produisant des effets juridiques à votre égard n'est prise sur le seul fondement d'un traitement automatisé, et aucun profilage n'est réalisé. La cotation, valable 120 secondes, et le contrôle de l'écart entre fournisseurs de cours sont des calculs de prix, pas des décisions individuelles automatisées.

Durées de conservation

Nous distinguons les données conservées pour faire fonctionner votre compte de celles qui sont archivées pour des raisons comptables ou probatoires. Les données archivées ne servent plus au service courant et leur accès est restreint. La suppression de votre compte n'efface donc pas l'historique des opérations déjà réalisées. Les durées légales applicables sont celles du lieu d'établissement de l'exploitant identifié dans les mentions légales.

• Compte, adresse de courrier électronique et empreinte du mot de passe : pendant toute la durée de la relation, puis suppression après la clôture du compte
• Sessions et empreintes SHA-256 des jetons : jusqu'à l'expiration ou la révocation de la session
• Codes de récupération : jusqu'à leur utilisation ou leur remplacement, et au plus tard à la clôture du compte
• Cotations non suivies d'un dépôt : le temps nécessaire au suivi technique de l'opération, la cotation cessant d'être valable après 120 secondes et la fenêtre de dépôt après 30 minutes
• Journaux d'événements de sécurité : la seule durée nécessaire à la détection, à l'analyse et à la preuve d'un incident, puis suppression
• Coordonnées du compte de réception : pendant la durée de la relation, puis suppression de la base active, sous réserve des pièces justificatives de paiement archivées
• Opérations, références de paiement et historique d'état : archivage pendant la durée de conservation comptable applicable à l'exploitant, puis suppression
• Éléments conservés à titre de preuve en cas de contestation d'une opération : jusqu'à l'expiration du délai de prescription applicable à l'action correspondante, puis suppression
• Éléments d'identité collectés au-delà du seuil annuel : archivage limité à la durée nécessaire à la prévention de la fraude et à la preuve des opérations concernées

Destinataires et sous-traitants

Vos données ne sont ni vendues, ni louées, ni transmises à des fins commerciales. Elles sont accessibles aux personnes chargées de l'exploitation du service, dans la limite de leurs fonctions, et à un nombre restreint de prestataires techniques qui agissent sur instruction documentée de l'exploitant et sont liés par un accord de traitement des données. Aucune régie publicitaire, aucun prestataire marketing et aucun outil de mesure d'audience n'intervient sur ClearFiat. Des données peuvent être communiquées aux autorités judiciaires ou administratives sur réquisition régulière.

• Cloudflare, fournisseur du réseau placé devant le serveur d'origine et de la base de données D1 qui contient les comptes, les opérations et les coordonnées de réception chiffrées
• L'hébergeur du serveur d'origine, un serveur dédié situé en Europe
• Les établissements bancaires qui exécutent les virements SEPA et les virements SWIFT
• PayPal, lorsque vous choisissez ce moyen de réception
• Les autorités judiciaires ou administratives, sur réquisition régulière

Transferts hors de l'Union européenne

Le serveur d'origine de ClearFiat est situé en Europe, mais le site est placé derrière le réseau Cloudflare et la base de données est un service Cloudflare, groupe établi aux États-Unis et exploitant des points de présence dans le monde entier. Nous ne pouvons donc pas affirmer que vos données restent en permanence sur le territoire de l'Union européenne, et nous préférons vous le dire clairement. Ces transferts sont encadrés par les garanties que le RGPD prévoit pour les transferts internationaux : une décision d'adéquation de la Commission européenne lorsque l'entité destinataire en relève, ou les clauses contractuelles types adoptées par la Commission dans les autres cas. Lorsque vous demandez un versement par virement SWIFT, son exécution implique en outre des établissements situés hors de l'Union européenne, ce transfert étant nécessaire à l'exécution du contrat que vous avez conclu. Vous pouvez obtenir l'indication de l'entité destinataire, de la garantie retenue et une copie de celle-ci en écrivant à l'adresse de contact publiée dans les mentions légales.

Données qui ne proviennent pas directement de vous

2 catégories de données nous parviennent d'une autre source que vous. Les informations lues sur les réseaux publics de crypto-actifs, à savoir le réseau Bitcoin pour BTC, le réseau Ethereum pour ETH et le réseau que vous choisissez explicitement pour USDT et USDC sans qu'aucun réseau de repli ne soit appliqué, comprennent l'adresse d'origine des fonds, le montant et l'horodatage de la transaction. Ces adresses et identifiants de transaction sont traités comme des données personnelles dès lors qu'ils sont rattachés à votre compte, étant précisé que nous n'avons aucun moyen d'informer individuellement un expéditeur que nous ne pouvons pas identifier. Lorsque le compte de réception que vous désignez appartient à une autre personne que vous, nous traitons les coordonnées de ce tiers : vous devez l'informer avant de nous les communiquer, et nous l'informons nous-mêmes du traitement sous 1 mois lorsque nous disposons d'un moyen de la joindre. Cette personne dispose sur les données qui la concernent des mêmes droits que vous et peut les exercer à l'adresse de contact publiée dans les mentions légales. Nous pouvons effacer nos propres enregistrements, mais nous n'avons aucun pouvoir sur les inscriptions portées sur les réseaux Bitcoin et Ethereum, qui sont publiques et définitives.

Sécurité des données et violations

Nous appliquons des mesures techniques et organisationnelles proportionnées à la sensibilité des données traitées. Les accès internes sont restreints aux personnes qui en ont besoin pour exploiter le service. En cas de violation de données, l'exploitant notifie l'autorité de contrôle compétente dans les meilleurs délais et, si possible, dans les 72 heures. Lorsque la violation est susceptible d'engendrer un risque élevé pour vos droits, vous en êtes informé. Chaque incident, notifié ou non, est consigné dans un registre interne.

• Mot de passe conservé uniquement sous forme d'empreinte scrypt, jamais en clair
• Jeton de session conservé uniquement sous forme d'empreinte SHA-256
• Coordonnées du compte de réception chiffrées au moyen d'une clé applicative dédiée
• Transport des données chiffré entre votre navigateur et le service
• Journalisation des événements de sécurité et restriction des accès internes
• Serveur d'origine dédié, situé en Europe

Cookies et absence de bandeau

ClearFiat ne dépose que 2 cookies, l'un et l'autre nécessaires au fonctionnement du site et déposés par ClearFiat lui-même. L'un maintient votre session lorsque vous êtes connecté à votre compte ; il prend fin avec la session ou lorsque vous vous déconnectez. L'autre mémorise la langue d'affichage que vous avez choisie : il ne contient qu'une valeur de langue, aucun identifiant, et ne permet donc pas de vous reconnaître. Ces 2 traceurs relèvent des exceptions au consentement préalable réservées aux traceurs strictement nécessaires à la fourniture du service que vous demandez : l'absence de bandeau de consentement résulte de ce choix technique et non d'un oubli. Vous pouvez bloquer ou supprimer ces cookies depuis les réglages de votre navigateur, étant précisé que le blocage du cookie de session empêche la connexion à votre compte.

• Cookie de session d'authentification : maintient votre connexion, prend fin avec la session ou lors de sa révocation
• Cookie de préférence de langue : mémorise la langue d'affichage du site, sans identifiant
• Aucun cookie de mesure d'audience, de publicité, de réseau social ou de partenaire tiers

Vos droits sur vos données

Vous disposez sur vos données des droits prévus par le RGPD, rappelés ci-dessous. Certains connaissent des limites tenant à la nature du service : votre mot de passe n'est détenu que sous forme d'empreinte et n'est pas restituable, et l'effacement ne s'étend ni aux pièces comptables archivées, ni aux éléments conservés pour la constatation ou la défense d'un droit en justice, ni aux inscriptions publiques portées sur les réseaux de crypto-actifs. Le droit d'opposition ne vise que les traitements fondés sur l'intérêt légitime, c'est-à-dire la sécurité du service et la prévention de la fraude, et il peut être écarté lorsqu'il existe des motifs légitimes impérieux tenant à la protection du service et des autres clients. Le droit à la portabilité ne porte que sur les données que vous avez fournies et qui sont traitées sur le fondement du contrat, ce qui exclut notamment les journaux d'événements de sécurité.

• Droit d'accès et droit d'obtenir une copie de vos données
• Droit de rectification des données inexactes
• Droit à l'effacement, dans les limites indiquées ci-dessus
• Droit à la limitation du traitement
• Droit à la portabilité des données que vous avez fournies et qui sont traitées sur le fondement du contrat
• Droit d'opposition aux traitements fondés sur l'intérêt légitime
• Droit d'introduire une réclamation auprès d'une autorité de contrôle

Exercer vos droits et saisir une autorité de contrôle

Les demandes sont adressées, sans frais, par courrier électronique à l'adresse de contact publiée dans les mentions légales, qui est le seul canal de réception de ces demandes. L'exploitant répond sous 1 mois à compter de la réception de la demande. Ce délai est prorogeable de 2 mois pour une demande complexe, auquel cas vous en êtes informé dans le premier délai. Une demande envoyée depuis l'adresse de courrier électronique enregistrée sur le compte suffit en principe ; des éléments complémentaires proportionnés ne sont demandés qu'en cas de doute sérieux sur l'identité du demandeur. Un refus, total ou partiel, vous est motivé dans le même délai. Vous pouvez introduire une réclamation auprès de l'autorité de contrôle de l'État où vous résidez habituellement, de votre lieu de travail ou du lieu de la violation présumée, comme auprès de l'autorité compétente pour l'exploitant identifié dans les mentions légales. Vous disposez également d'un recours juridictionnel contre l'exploitant.

Comptes ouverts par des mineurs

L'ouverture d'un compte suppose la capacité de conclure le contrat de conversion, et l'âge minimum requis figure dans les conditions générales du service. Aucun traitement de ClearFiat ne reposant sur le consentement, les règles propres au consentement des enfants ne trouvent pas à s'appliquer ici. Si nous apprenons qu'un compte a été ouvert par une personne n'ayant pas l'âge requis, ce compte est clôturé et les données associées sont supprimées, sous réserve des pièces devant être conservées au titre des opérations déjà exécutées.

Sort de vos données après votre décès

Vous pouvez définir des directives, générales ou particulières, relatives à la conservation, à l'effacement et à la communication de vos données après votre décès. Les directives particulières portant sur les données traitées par ClearFiat nous sont adressées à l'adresse de contact publiée dans les mentions légales ; vous pouvez y désigner la personne chargée de leur exécution, et vous pouvez les modifier ou les révoquer à tout moment. À défaut de directives, vos héritiers peuvent nous demander la prise en compte du décès, l'accès aux données nécessaires au règlement de la succession et la clôture du compte. Les opérations déjà exécutées restent conservées pendant les durées d'archivage indiquées plus haut.

Versions linguistiques et évolutions de cette politique

Cette politique est rédigée en français et traduite dans les 14 autres langues du site, les traductions étant mises à jour en même temps que la version française. En cas de divergence entre les versions, la version française fait foi. La présente version est en vigueur depuis le 7 septembre 2026. Toute modification substantielle est publiée sur cette page avant son entrée en vigueur, avec la date à compter de laquelle elle s'applique. Si une finalité nouvelle devait être ajoutée, vous en seriez informé avant sa mise en œuvre.