Politique de confidentialité

Alchimie Capital LLC, Odesio

Date d'effet : 2026-10-20 Version : 1.13 Conforme au Règlement (UE) 2016/679 (RGPD), Art. 3.2 : application extraterritoriale aux personnes situées dans l'Union européenne.

1. Qui sommes-nous ?

Alchimie Capital LLC (ci-après « Alchimie Capital », « nous ») est une société à responsabilité limitée de droit de l'État du Nouveau-Mexique (New Mexico) (États-Unis d'Amérique), siège enregistré 4405 Jager Dr NE, Ste C4, Box 2043, Rio Rancho, NM 87144. Les références complètes d'identification figurent dans les Mentions légales.

Nous exploitons l'application « Odesio », service éducatif sur les crypto-actifs fourni par abonnement.

Responsable du traitement : Alchimie Capital LLC Contact Privacy : contact@alchimiecapital.com Représentant UE au sens de l'Art. 27 RGPD : en cours de désignation ; dans l'intervalle, les personnes concernées peuvent exercer leurs droits auprès de contact@alchimiecapital.com.

2. Qu'est-ce que le RGPD et pourquoi s'applique-t-il ?

Bien qu'Alchimie Capital soit établie aux États-Unis, le RGPD s'applique à notre traitement des données personnelles des utilisateurs situés dans l'Union européenne, en vertu de son Article 3, paragraphe 2, point a) (offre de biens ou services à des personnes dans l'UE).

3. Quelles données collectons-nous ?

3.1 Données d'identification et de compte

3.2 Données de facturation

Les paiements sont traités par Whop Inc. (États-Unis), plateforme d'abonnement qui gère le tunnel de paiement et l'encaissement. Nous recevons uniquement :

• Statut de l'abonnement (actif, annulé, expiré)
• Identifiants techniques de l'abonnement et du plan souscrit
• Date et montant de la transaction

Nous ne recevons ni ne stockons aucune donnée de carte bancaire. Le tunnel de paiement est hébergé par Whop : les coordonnées bancaires ne transitent jamais par nos systèmes.

Transfert hors UE : voir §5.1.

3.3 Données d'usage

• Progression dans le parcours pédagogique (modules complétés, scores d'exercices)
• Historique de navigation dans l'Application
• Interactions avec Odesio (transcripts de conversation)
• Feedback et évaluations
• Temps passé par section

3.4 Données du Quiz Avatar

Lors du quiz d'onboarding, nous collectons :

• Tranche de revenus (fourchette, jamais chiffre exact)
• Capital dédié au crypto (fourchette)
• Horizon de temps souhaité
• Niveau d'expérience crypto auto-déclaré
• Objectifs pédagogiques

Ces données servent exclusivement à déterminer un profil pédagogique (NOVICE, AMBITIEUX, PATRIMONIAL, CADRE_PRESSE) pour adapter le rythme et le vocabulaire des contenus pédagogiques. Elles ne constituent pas un profilage d'investisseur au sens MiFID II.

3.5 Journal émotionnel (optionnel)

Si l'Utilisateur active cette fonctionnalité, il peut saisir librement ses ressentis face au marché. Ces données peuvent, par déduction, révéler un état psychologique et sont traitées comme données sensibles au sens de l'Art. 9.1 RGPD. Leur traitement repose exclusivement sur le consentement explicite distinct (Art. 9.2.a RGPD) et peut être révoqué à tout moment.

3.6 Clés API exchanges (optionnel)

Si l'Utilisateur connecte un compte sur l'une des plateformes prises en charge (Binance, Bybit, Kraken, Bitget, Bitvavo, MEXC, Coinbase, OKX, KuCoin, Gate, Crypto.com, HTX, Bitstamp, BingX, WhiteBIT, Bitfinex, Gemini et leurs déclinaisons régionales) pour la synchronisation de portefeuille, il doit fournir des clés API en lecture seule, sans trading, transfert ni retrait. Les clés sont chiffrées (AES-256-GCM) avant stockage. À la connexion, Odesio interroge les permissions de la clé sur Binance, Bybit/Bybit EU, Coinbase et OKX/OKX EEA : une clé dont la plateforme indique qu'elle permet de retirer ou de transférer des fonds est refusée (sur OKX, le droit de trading, qui inclut des transferts internes, est également refusé). Si la plateforme indique un droit de trading, ou si sa réponse sur les permissions est absente, indisponible ou inexploitable, la clé est connectée et l'Utilisateur est averti que la lecture seule n'a pas pu être confirmée. Pour les autres connecteurs, la lecture des données ne constitue pas une vérification des permissions : la clé est connectée avec le même avertissement, et l'Utilisateur doit contrôler ses permissions dans les réglages de sa plateforme. Cette vérification à la connexion ne certifie pas rétroactivement les clés déjà enregistrées.

3.7 Données techniques

• Adresse IP (anonymisée sur 7 jours)
• Type de device, OS, navigateur
• Logs d'accès et d'erreur
• Cookies et technologies similaires (voir Politique de cookies)
• Origine de votre inscription : les paramètres du lien par lequel vous êtes arrivé·e sur le site (paramètres utm_*, identifiant de clic, code de la conversation ou de la personne qui vous a recommandé l'Application). Ils sont lus dans l'adresse de la page lors de votre arrivée et enregistrés sur votre compte au moment de sa création — sans dépôt de cookie, donc indépendamment de vos choix dans la bannière. Aucun tiers ne les reçoit ; ils servent uniquement à savoir quelle vidéo ou quelle personne vous a amené·e, et à rémunérer cette dernière le cas échéant (§4).

3.8 Données des interactions Odesio

• Prompts envoyés
• Réponses générées
• Feedback explicite (pouce haut / bas)
• Logs de modération

3.9 Classement de discipline

Vous figurez par défaut dans le classement de discipline de l'Application, sous un pseudo anonyme généré automatiquement (que vous pouvez remplacer) : seuls ce pseudo, votre rang et votre score de discipline sont visibles des autres membres, jamais votre nom, votre e-mail ni vos montants. Le score est calculé à partir de votre régularité de lecture du Brief, des leçons lues, des paliers de votre plan tenus, de vos plans DCA, de votre plan de sortie et de la mise à jour de votre portefeuille. Ce traitement repose sur notre intérêt légitime à animer le service (6.1.f) ; vous pouvez vous retirer du classement à tout moment, en un clic, depuis l'Application.

3.10 Aperçu du portefeuille sans compte

Une personne qui n'a pas encore de compte peut coller l'adresse publique d'un portefeuille (Ethereum et réseaux compatibles, Solana ou Bitcoin) sur la page « Ce que ton historique dit de toi » pour obtenir un aperçu de son profil d'investisseur, décrit à partir de son comportement passé. Aucune clé d'API, phrase de récupération ni signature n'est demandée ni acceptée sur cette page. Une adresse de portefeuille est pseudonyme ; nous la traitons comme une donnée personnelle, car elle peut être reliée à une personne.

• Finalité : produire l'aperçu que vous demandez, puis, si vous créez votre compte, le rattacher à ce compte.
• Ce qui est lu : l'historique public des mouvements de cette adresse, auprès de nos fournisseurs de données on-chain (§5). Le modèle d'IA (Anthropic, §5) reçoit les mouvements (jetons, quantités, dates) pour rédiger l'aperçu, jamais l'adresse.
• Ce qui est conservé, et où : l'aperçu calculé et l'adresse chiffrée (AES-256-GCM), dans un stockage temporaire (Upstash, §5), jamais en clair. Si vous êtes déjà connecté à votre compte, l'adresse n'est pas conservée. L'aperçu est aussi gardé en cache sous une empreinte à clé de l'adresse (et non sous l'adresse), pour qu'une même adresse ne soit analysée qu'une fois. Rien n'est enregistré dans notre base de données tant qu'aucun compte n'est créé, hormis des compteurs de fréquentation agrégés, sans identifiant ni adresse.
• Combien de temps : 7 jours à compter de l'aperçu, puis effacement automatique, par expiration du stockage. Si vous créez votre compte dans le même navigateur pendant ce délai, l'adresse devient une connexion de portefeuille de votre compte, régie dès lors par le reste de la présente politique, et l'aperçu initialise votre profil d'investisseur si vous n'en avez pas encore. L'adresse chiffrée est effacée du stockage temporaire dès ce rattachement.
• Base légale : mesures précontractuelles prises à votre demande (Art. 6.1.b RGPD). Pour prévenir les abus, l'adresse IP sert à limiter le nombre d'aperçus par jour (intérêt légitime, 6.1.f ; 24 heures au plus, chez Upstash).
• Cookie : un cookie strictement nécessaire, odesio_rsc, relie ce navigateur à votre aperçu pendant 7 jours (voir la Politique de cookies). Il n'est déposé qu'au clic sur le bouton d'analyse et ne contient qu'un identifiant aléatoire.
• Ce qui n'est jamais fait : l'adresse, la capture, la répartition, les montants et les jetons ne sont jamais transmis à nos outils d'e-mail (ActiveCampaign) ; seules les informations décrites plus bas (« Suivi par e-mail ») peuvent l'être, et uniquement si vous l'avez accepté. L'adresse et l'aperçu ne sont pas associés à vos réponses au test investisseur avant la création d'un compte et ne servent à aucune publicité. L'aperçu n'a pas de lien de partage.
• Vos droits : n'analysez qu'une adresse qui vous appartient. Pour faire effacer un aperçu avant la fin des 7 jours, écrivez à contact@alchimiecapital.com en indiquant l'adresse concernée. Supprimer le cookie odesio_rsc de votre navigateur rend aussi l'aperçu inaccessible depuis celui-ci.

Verdict à partir d'une capture d'écran. Sur la même page, vous pouvez aussi envoyer une capture d'écran de votre portefeuille (application d'exchange ou de wallet) au lieu d'une adresse.

• Ce qui est lu : l'image est transmise au modèle d'IA (Anthropic, §5) uniquement pour en lire la répartition : quels actifs, et quelle part (en pourcentage) chacun représente. Il lui est demandé de ne relever aucun montant ni aucun identifiant visible (nom, adresse, e-mail, numéro de compte) ; ce qui serait relevé malgré tout est écarté avant tout enregistrement.
• Ce qui est conservé, et où : l'image n'est jamais conservée ni journalisée de notre côté ; elle n'existe qu'en mémoire, le temps de la lecture (sur la conservation chez Anthropic, voir §5.1). Seule la répartition calculée (des pourcentages, aucun montant) est gardée, dans le même stockage temporaire (Upstash, §5).
• Combien de temps : comme pour une adresse, 7 jours à compter du verdict, puis effacement automatique. Si vous créez votre compte dans le même navigateur pendant ce délai, la répartition est rattachée à ce compte.
• Base légale, cookie et droits : identiques à l'aperçu par adresse ci-dessus (mesures précontractuelles, Art. 6.1.b RGPD ; cookie odesio_rsc ; effacement sur demande à contact@alchimiecapital.com). N'envoyez que la capture de votre propre portefeuille.

Suivi par e-mail, si vous l'avez accepté. Si vous avez un compte et avez accepté de recevoir nos e-mails, nous transmettons à ActiveCampaign (§5), pour un verdict fait par adresse ou par capture, uniquement : le fait d'avoir fait un verdict, sa date, sa source (adresse ou capture) et le critère le plus faible (un code court, par exemple « concentration »). Ces informations servent à vous envoyer un e-mail de suivi adapté. Sans compte, ou sans votre accord pour nos e-mails, rien de ce verdict n'est transmis.

• Base légale : votre consentement (Art. 6.1.a RGPD), retirable à tout moment, par le lien de désinscription présent dans chaque e-mail ou dans vos réglages. Le retrait supprime ces informations du suivi.
• Combien de temps : tant que votre consentement court, comme les autres données de la newsletter (jusqu'à désinscription, §4).

4. Pourquoi collectons-nous ces données ? (Finalités et bases légales)

Conformément à l'Article 6 du RGPD, chaque traitement repose sur une base légale spécifique :

4.1 Décisions automatisées et profilage (Art. 22 RGPD)

Cinq traitements automatisés vous concernent. Aucun ne produit d'effet juridique, mais nous préférons les décrire tous, y compris ceux qui influencent ce que vous voyez.

1. Quiz avatar. Aboutit à une classification dans l'un des 4 profils pédagogiques. Modifie uniquement le rythme et le vocabulaire des contenus.

2. Profil d'investisseur et profil de biais. Générés automatiquement à partir de vos réponses au test, de la composition de votre portefeuille et de vos échanges avec Odesio. Ils servent à personnaliser les explications et à vous signaler des angles morts de comportement (par exemple une position très concentrée, ou une thèse contredite par vos actes).

3. Notifications proactives. Odesio peut ouvrir une conversation de lui-même, avec un message rédigé automatiquement à partir de votre situation : mouvements de marché touchant vos positions, rappel de votre plan, état de discipline. C'est le mode d'interaction principal du produit : la majorité des conversations commencent ainsi. Vous pouvez désactiver ces notifications, par catégorie, dans vos préférences.

4. Paliers de prise de profit suggérés. Quand vous ouvrez l'Atelier TP, des paliers chiffrés sont calculés à partir de votre position réelle (quantité détenue, prix de revient, plus ou moins-value). Ce sont des scénarios d'illustration : vous les modifiez et les validez vous-même, rien n'est appliqué sans votre action explicite, et il ne s'agit pas d'une recommandation d'investissement personnalisée.

5. E-mail de suivi du verdict. Uniquement si vous avez un compte et avez accepté nos e-mails : le contenu de l'e-mail de suivi envoyé après un verdict est choisi selon le critère le plus faible de ce verdict (par exemple « concentration »), seule information du verdict transmise à ActiveCampaign avec sa date et sa source (§3.10). Vous pouvez retirer votre accord à tout moment, par le lien de désinscription ou dans vos réglages.

La logique sous-jacente, en clair

Ces traitements reposent sur vos réponses déclarées, sur les données de votre portefeuille (que vous nous confiez en connectant un wallet ou un exchange, ou en saisissant vos positions) et sur l'historique de vos échanges. Un modèle de langage rédige les textes ; il ne prend aucune décision à votre place et n'exécute aucune opération sur vos actifs. Les connexions d'exchange sont destinées à la lecture des données ; leur contrôle de permissions et ses limites sont précisés au §3.6.

Vos droits sur ces traitements

À tout moment, vous pouvez :

• Consulter votre profil attribué et les scores associés
• Obtenir une intervention humaine et une explication détaillée via contact@alchimiecapital.com
• Refuser la segmentation (vous serez alors assigné au profil par défaut)
• Désactiver les notifications proactives, en totalité ou par catégorie
• Contester une classification

Odesio ne prend aucune décision produisant des effets juridiques. Il s'agit d'un assistant pédagogique.

5. Avec qui partageons-nous vos données ? (Sous-traitants)

Nous recourons aux sous-traitants suivants. Chacun publie un accord de traitement des données (DPA) intégrant les clauses contractuelles types (SCC 2021/914) pour les transferts hors UE ; la formalisation de ces accords au nom d'Alchimie Capital LLC est en cours et la colonne « Encadrement » indique, pour chaque sous-traitant, où elle en est :

5.1 Transferts hors UE

Alchimie Capital LLC étant établie aux États-Unis d'Amérique (New Mexico), tout transfert des données personnelles de nos utilisateurs UE vers notre société elle-même ou vers ses sous-traitants US constitue un transfert hors EEE au sens du chapitre V du RGPD. Ces transferts nécessitent un encadrement adapté à chaque destinataire. La vérification documentaire est en cours ; nous ne présentons pas les garanties suivantes comme toutes finalisées :

• Clauses Contractuelles Types (SCC) 2021/914, Module 2 (responsable → sous-traitant). Elles sont intégrées aux accords de traitement de nos sous-traitants US ; leur formalisation au nom d'Alchimie Capital LLC est en cours (état par sous-traitant au §5).
• Data Privacy Framework (DPF) EU-US, adéquation UE/US du 10 juillet 2023. Les sous-traitants certifiés DPF bénéficient d'une décision d'adéquation ; la self-certification DPF d'Alchimie Capital LLC est en cours ; aucune certification de notre société n'est présentée comme acquise. Le statut vérifié peut être obtenu sur demande à contact@alchimiecapital.com.
• Transfer Impact Assessment (TIA) : l'analyse et sa documentation par transfert et par sous-traitant restent à finaliser. Les documents effectivement disponibles peuvent être demandés à contact@alchimiecapital.com.
• Mesures supplémentaires techniques : chiffrement TLS 1.3 en transit, AES-256-GCM au repos, minimisation, pseudonymisation, traçabilité des accès.
• Requêtes gouvernementales : les engagements de notification et de contestation doivent être vérifiés dans l'accord applicable à chaque sous-traitant ; aucune garantie générale n'est donnée ici.

Conservation chez Anthropic : la politique publiée pour l'API prévoit en principe une suppression des entrées et sorties sous 30 jours, avec des exceptions notamment contractuelles, légales et de sécurité. Un régime de rétention nulle dépend d'un accord et de l'éligibilité des fonctions et modèles utilisés ; il n'est pas confirmé pour notre compte.

5.2 Pas de vente de données

Nous ne vendons jamais vos données personnelles à des tiers à des fins commerciales, publicitaires ou de profilage tiers.

6. Combien de temps conservons-nous vos données ?

7. Quels sont vos droits ?

Conformément aux Articles 15 à 22 du RGPD, vous disposez des droits suivants :

7.1 Droit d'accès (Art. 15)

Obtenir la confirmation que vos données sont traitées et en recevoir une copie.

7.2 Droit de rectification (Art. 16)

Faire corriger des données inexactes ou incomplètes.

7.3 Droit à l'effacement / « droit à l'oubli » (Art. 17)

Demander la suppression de vos données, sauf obligation légale de conservation (ex : facturation 7 ans).

Depuis les réglages du compte, une demande de suppression bloque l'accès au compte et lance l'effacement des données applicatives. L'identité d'authentification et les captures dont nous pouvons vérifier la propriété sont supprimées avec reprise en cas de panne. Les anciennes captures, les copies de coaching et les données transmises à d'autres destinataires font l'objet d'un suivi distinct. La demande n'est pas présentée comme clôturée tant que ce suivi reste nécessaire. Un registre restreint conserve les identifiants techniques de la demande, ses dates et son état pour permettre sa reprise, empêcher une recréation involontaire et documenter son traitement ; il ne conserve pas les conversations ni les clés d'exchange effacées.

7.4 Droit à la limitation (Art. 18)

Demander la suspension du traitement dans certains cas (contestation d'exactitude, traitement illicite, etc.).

7.5 Droit à la portabilité (Art. 20)

Recevoir vos données dans un format structuré, couramment utilisé et lisible par machine (JSON).

7.6 Droit d'opposition (Art. 21)

Vous opposer au traitement fondé sur l'intérêt légitime (notamment marketing direct).

7.7 Droit de retirer votre consentement (Art. 7.3)

À tout moment, sans effet rétroactif sur les traitements déjà effectués.

7.8 Droit relatif aux décisions automatisées (Art. 22)

Demander une intervention humaine sur les décisions automatisées produisant des effets significatifs (voir Art. 4.1 ci-dessus).

7.9 Droit de recours auprès d'une autorité de contrôle (Art. 77)

Vous pouvez introduire une réclamation auprès de l'autorité compétente de votre État de résidence :

• France : CNIL, https://www.cnil.fr/fr/plaintes
• Belgique : APD (Autorité de protection des données), https://www.autoriteprotectiondonnees.be
• Luxembourg : CNPD, https://cnpd.public.lu
• Suisse : PFPDT, https://www.edoeb.admin.ch
• Autres États UE : autorité listée sur https://edpb.europa.eu/about-edpb/board/members_fr

7.10 Comment exercer vos droits

Envoyez votre demande à contact@alchimiecapital.com en précisant :

• Votre identité (adresse e-mail du compte)
• Le(s) droit(s) que vous souhaitez exercer
• Une copie d'une pièce d'identité (en cas de doute sur votre identité, elle sera supprimée après vérification)

Nous répondons sous 30 jours (éventuellement prolongeable de 60 jours pour les demandes complexes, avec information préalable).

Gratuit, sauf demande manifestement infondée ou excessive.

8. Comment protégeons-nous vos données ? (Sécurité, Art. 32 RGPD)

Nous mettons en œuvre des mesures techniques et organisationnelles appropriées :

8.1 Mesures techniques

• Chiffrement TLS 1.3 en transit
• Chiffrement AES-256-GCM au repos pour données sensibles (clés API, journal émotionnel)
• Clés de chiffrement gérées hors base de données (variables d'environnement) et versionnées, permettant leur rotation
• Authentification multifacteur (MFA) disponible pour tous les Utilisateurs
• MFA obligatoire pour les comptes administrateurs
• Pentest annuel par prestataire indépendant
• Scans de vulnérabilité hebdomadaires (Snyk, GitHub Security)
• Isolation réseau (pas de ports Docker exposés en 0.0.0.0)
• Backups chiffrés quotidiens avec rotation 30 jours

8.2 Mesures organisationnelles

• Principe du moindre privilège sur les accès aux données
• Journalisation des accès aux bases de données
• Formation régulière des équipes Noesia Labs (sous-traitant technique)
• Accords de traitement (DPA) en place ou en cours de formalisation avec l'ensemble des sous-traitants (état détaillé au §5)
• Clause de confidentialité dans tous les contrats
• Procédure de gestion des violations (breach protocol)

8.3 Violation de données (Art. 33-34)

En cas de violation de données présentant un risque pour vos droits et libertés, nous notifions :

• L'autorité de contrôle compétente sous 72 heures
• Vous-même si le risque est élevé, dans les meilleurs délais

9. Cookies et technologies similaires

Le dépôt et la lecture de cookies sur votre terminal font l'objet d'une politique dédiée : Politique de cookies.

En résumé :

• Cookies strictement nécessaires : déposés sans consentement (authentification, panier, sécurité)
• Cookies analytiques, de mesure d'audience, marketing : soumis à votre consentement préalable via la bannière cookie (opt-in)

10. Mineurs

Les Services sont strictement réservés aux personnes âgées de 18 ans révolus. Nous ne collectons pas sciemment de données de mineurs. Si vous constatez qu'un mineur a créé un compte, contactez-nous à contact@alchimiecapital.com pour suppression immédiate.

11. Spécificités juridictions hors UE

11.1 États-Unis (privacy acts fédéraux et d'État)

Alchimie Capital LLC étant de droit de l'État du Nouveau-Mexique, elle est soumise à la législation fédérale US et aux lois des États où elle exerce son activité. Les résidents US bénéficient notamment des droits suivants selon leur État de résidence :

Par conservatisme, nous appliquons par défaut le standard le plus protecteur (RGPD UE) à l'ensemble des utilisateurs, y compris US. Les demandes spécifiques mentionnant la loi applicable (« CCPA Request », « VCDPA Request », etc.) sont traitées à contact@alchimiecapital.com.

En tant que LLC US, Alchimie Capital respecte également ses obligations de transparence sous le Corporate Transparency Act (31 U.S.C. § 5336

• déclaration BOIR à FinCEN des bénéficiaires effectifs).

11.2 Royaume-Uni (UK GDPR)

Les résidents UK bénéficient de droits équivalents au RGPD UE. Autorité de contrôle : ICO (https://ico.org.uk).

11.3 Suisse (nLPD)

Les résidents suisses bénéficient de la nouvelle Loi fédérale sur la protection des données (entrée en vigueur 1er septembre 2023). Autorité : PFPDT.

11.4 Canada (LPRPDE / PIPEDA, Loi 25 Québec)

Les résidents canadiens bénéficient de la LPRPDE fédérale et, pour le Québec, de la Loi 25 modifiant la Loi sur la protection des renseignements personnels dans le secteur privé.

12. Modifications de la présente Politique

Nous pouvons faire évoluer cette Politique de confidentialité. Les modifications substantielles vous seront notifiées par e-mail ou via l'Application avec un préavis de 30 jours. La date de dernière mise à jour figure en haut du document.

13. Contact

Protection des données (exercice des droits) et contact général : contact@alchimiecapital.com Siège : Alchimie Capital LLC, 4405 Jager Dr NE, Ste C4, Box 2043, Rio Rancho, NM 87144, Nouveau-Mexique (New Mexico), États-Unis Représentant UE (Art. 27 RGPD) : en cours de désignation ; exercice des droits auprès de contact@alchimiecapital.com dans l'intervalle.

Dernière mise à jour : 2026-10-20, v1.13 (adresse non conservée quand l'aperçu est demandé depuis un compte déjà connecté, §3.10, §4, §5 et §6)