Politique de confidentialité (RGPD)

Dernière mise à jour : 7 octobre 2026

1. Responsable du traitement

Le responsable des traitements décrits ci-dessous (données de compte, de prospection et de navigation) est :

Société

VIGILAE, société par actions simplifiée à associé unique (SASU), 4 ZA Les Grands Prés, 01170 Chevry — R.C.S. Bourg-en-Bresse, SIREN 108 950 528

Contact protection des données

rgpd@vigilae.org — Alexandre PEREIRA, référent protection des données

2. Rôle particulier en matière de données LCB-FT (responsable / sous-traitant)

La distinction suivante est essentielle :

• Données des dossiers de vigilance (identité des clients du professionnel, bénéficiaires effectifs, pièces, résultats de criblage, éléments de déclaration de soupçon) : le professionnel assujetti utilisateur est le responsable de traitement ; Vigilae agit en qualité de sous-traitant au sens de l'article 28 du RGPD, sur instruction documentée de l'utilisateur et dans le cadre d'un accord de sous-traitance (DPA).
• Données de compte, de facturation, de prospection et de navigation : Vigilae est responsable de traitement.

Les traitements LCB-FT reposent sur une obligation légale incombant au professionnel (Code monétaire et financier, art. L.561-1 et suivants) ; certaines durées de conservation et limitations de droits en découlent directement.

3. Données traitées et finalités

Compte et utilisation du service

Identité professionnelle, e-mail, identifiants de connexion, journaux techniques — pour fournir, sécuriser et améliorer le service.

Journalisation des accès

Nos serveurs consignent chaque requête — adresse IP complète, date et heure, méthode, chemin demandé, code de réponse et navigateur (user-agent) — à des fins de sécurité et de diagnostic des erreurs : repérer les abus, enquêter après un incident. Ces journaux, conservés 6 mois, ne gardent ni les cookies, ni les en-têtes d'authentification, ni les paramètres de l'adresse, et les adresses électroniques présentes dans le chemin y sont masquées.

Données de vigilance (en tant que sous-traitant)

Données nécessaires aux diligences LCB-FT déposées par l'utilisateur — pour permettre l'extraction, l'identification des bénéficiaires effectifs, la cotation du risque, le criblage et la constitution du dossier de preuve, selon les instructions de l'utilisateur.

Audit de conformité gratuit

Réponses au questionnaire et e-mail de contact — pour fournir le score, les recommandations et, le cas échéant, vous recontacter.

Prospection et relation commerciale

Coordonnées professionnelles — pour la communication commerciale, sur la base de l'intérêt légitime et/ou du consentement, avec droit d'opposition à tout moment.

Cookies et mesure d'audience

Voir la section « Cookies » ci-dessous.

4. Bases légales

• Exécution du contrat (fourniture du service à l'utilisateur).
• Obligation légale de l'utilisateur (dispositif LCB-FT), pour les données de vigilance traitées en sous-traitance.
• Intérêt légitime (sécurité, amélioration du service, prospection B2B mesurée).
• Consentement (cookies non essentiels, certaines communications).

5. Destinataires et sous-traitants

Les données sont accessibles aux personnels habilités de l'éditeur et, le cas échéant, à des sous-traitants techniques encadrés contractuellement, notamment :

• l'hébergeur (OVH SAS : hébergement, France — Union européenne ; OVH SAS : sauvegardes, France — Union européenne ; Hetzner Online GmbH : sauvegardes, Allemagne — Union européenne) ;
• l'outil de gestion de la relation client (HubSpot Ireland Ltd — données hébergées dans l'Union européenne), pour l'enregistrement et le suivi des demandes envoyées via les formulaires publics du site (audit en ligne, démonstration) — jamais des données de dossiers clients ;
• le prestataire d'acheminement des courriels (Brevo — Sendinblue SAS, France — Union européenne), pour l'envoi des messages transactionnels : demande de pièces adressée au client d'un cabinet, rapport d'audit, digest et relances. Il reçoit l'adresse et le nom du destinataire, l'objet et le contenu du message, ainsi que les pièces jointes ;
• aucun fournisseur de criblage : les listes officielles (Union européenne, Nations unies, Direction générale du Trésor) sont téléchargées sur nos serveurs et la comparaison s'effectue localement. Aucun nom de client n'est transmis à un tiers pour être criblé ;
• le prestataire de paiement (Stripe Payments Europe, Ltd., Irlande — Union européenne), pour l'encaissement des abonnements et la gestion des moyens de paiement. Il reçoit l'adresse de facturation et les identifiants de paiement ; les données de carte sont traitées par lui seul et Vigilae n'en conserve aucun numéro ;
• le stockage des pièces justificatives (OVH SAS, France — Union européenne), où sont conservées, pendant la durée légale de cinq ans, les pièces déposées par le professionnel ou son client : identité, domicile, justificatifs d'origine des fonds. Elles y sont chiffrées avant leur dépôt et la clé de déchiffrement ne sort du serveur que de deux façons : chiffrée, dans les sauvegardes, et dans son séquestre, tenu hors de la machine ;
• l'assistance par IA (extraction des pièces, copilote) : elle est activée depuis le 5 septembre 2026. Le modèle est Claude, d'Anthropic, exécuté sur l'infrastructure Google Cloud (Vertex AI) en région europe-west1, au sein de l'Union européenne. Lui sont transmis le contenu des pièces soumises à l'extraction et le texte des questions posées au copilote. Ces données ne servent pas à entraîner de modèle ; les invites et les réponses sont conservées au plus soixante jours aux seules fins de détection d'abus, puis supprimées. Le criblage, la cotation et le registre continuent de fonctionner sans elle, sur des moteurs déterministes : l'IA perçoit, le moteur calcule, et la décision reste celle du professionnel ;
• la mesure d'audience des pages publiques (Google Ireland Ltd — Google Analytics 4), soumise à votre consentement préalable : rien n'est mesuré tant que la bannière n'a pas été acceptée, le refus étant l'état par défaut. Elle ne concerne que le site vitrine, jamais l'application ni aucune donnée de dossier.

Les données ne sont ni vendues ni cédées à des tiers à des fins commerciales.

6. Transferts hors Union européenne

Les données sont hébergées et traitées au sein de l'Union européenne. Aucun transfert hors UE n'est opéré dans la configuration retenue. Si un sous-traitant impliquant un transfert hors UE devait être introduit, celui-ci serait encadré par les garanties appropriées (clauses contractuelles types ou décision d'adéquation) et la présente politique serait mise à jour.

7. Durées de conservation

• Données de compte : pendant la durée de la relation contractuelle, puis archivage selon les obligations légales applicables.
• Données de vigilance : conservées sous le contrôle du professionnel responsable de traitement. La réglementation LCB-FT impose une conservation de 5 ans à compter de la fin de la relation d'affaires ou de l'exécution de l'opération (art. L.561-12 du Code monétaire et financier).
• Données de prospection : 3 ans à compter de votre demande, ou 30 jours si votre adresse n'a pas été confirmée ; sauf opposition.
• Cookies : durée précisée dans la section dédiée (au plus 13 mois pour les traceurs soumis à consentement).

8. Sécurité

Des mesures techniques et organisationnelles sont mises en œuvre pour protéger les données : chiffrement des données sensibles au repos (coffre AES-256-GCM), scellement et horodatage du registre (empreinte SHA-256), contrôle des accès, journalisation. La confidentialité de la déclaration de soupçon est respectée par conception (art. L.561-18 CMF) : son existence et son contenu ne sont pas exposés au client.

9. Vos droits

Conformément au RGPD, vous disposez des droits d'accès, de rectification, d'effacement, de limitation, d'opposition et de portabilité, ainsi que du droit de définir des directives relatives au sort de vos données après votre décès.

Pour les données de vigilance, l'exercice de certains droits (notamment l'effacement) peut être limité par les obligations légales de conservation et de confidentialité propres à la LCB-FT, et doit être adressé au professionnel responsable de traitement.

Pour exercer vos droits sur les traitements dont Vigilae est responsable : rgpd@vigilae.org. Vous pouvez introduire une réclamation auprès de la CNIL (www.cnil.fr).

10. Cookies

Le site dépose uniquement des éléments strictement nécessaires à son fonctionnement et à vos préférences d'affichage (thème clair/sombre, langue, mémorisation de votre choix de consentement), stockés localement dans votre navigateur. Il utilise une mesure d'audience sans cookie (Umami, auto-hébergée), exemptée de consentement. Il utilise en outre Google Analytics 4, traceur tiers soumis à consentement préalable : rien n'est mesuré via cet outil tant que vous n'avez pas accepté la bannière (refus par défaut, aucun cookie publicitaire). Vous pouvez retirer votre consentement à tout moment en refusant la bannière ou en effaçant les données du site dans votre navigateur.

11. Modifications

La présente politique peut être mise à jour. La version applicable est celle publiée sur cette page à la date de votre consultation.