1. Responsable du traitement
Le responsable du traitement de vos données personnelles est l'éditeur du service Earnnest (EI MARQUIS BUREAU David, entreprise individuelle, SIREN 109 426 387), dont l'adresse est 5 rue Augustin Fresnel, 85600 Montaigu-Vendée. Le service est accessible à l'adresse goearnnest.com.
Référent à la protection des données : David MARQUIS BUREAU. Contact (RGPD) : support@goearnnest.com
2. Données collectées
Earnnest collecte uniquement les données nécessaires à la fourniture du service :
| Catégorie | Données | Base légale |
|---|---|---|
| Identification | Adresse e-mail, nom, photo de profil, identifiant Google (connexion Google OAuth) | Exécution du contrat |
| Âge | Date de naissance déclarée, pour contrôler la majorité (18 ans). Aucune pièce d'identité ni aucun selfie n'est demandé. | Exécution du contrat (âge minimal du service) |
| Abonnement | Formule, identifiants client et abonnement Stripe, date de fin de période. Aucun numéro de carte n'est stocké chez nous. | Exécution du contrat |
| Portefeuille et activité | Transactions du portefeuille (saisies, importées d'un relevé ou lues chez un courtier connecté), favoris, filtres du screener, objectifs, plans | Exécution du contrat |
| Connexion à un courtier | Clés d'accès en lecture seule à votre courtier, chiffrées. Earnnest ne peut passer aucun ordre. | Consentement (vous les saisissez) |
| Assistant conversationnel | Les messages que vous écrivez à l'assistant | Exécution du contrat |
| Assistance | Adresse e-mail et texte de votre demande | Exécution du contrat, intérêt légitime |
| Notifications | Jeton de notification push, identifiant Telegram (facultatif) | Consentement |
| Profil investisseur (historique) | Collecte arrêtée le 20 juillet 2026. Les réponses données auparavant sont conservées sans être lues ni utilisées. | Consentement (collecte cessée) |
Earnnest ne collecte aucune donnée de géolocalisation ni aucune donnée sensible au sens de l'article 9 du RGPD, et aucun numéro de carte bancaire : les paiements sont traités exclusivement par Stripe (PCI-DSS niveau 1).
3. Finalités du traitement
- Création et gestion de votre compte utilisateur
- Fourniture des fonctionnalités de la plateforme (analyses, screener, portefeuille…)
- Gestion de l'abonnement et de la facturation : les paiements sont traités par Stripe, notre prestataire de paiement
- Envoi de notifications push et Telegram si vous y avez consenti
- Assistance aux utilisateurs
- Amélioration du service et détection des abus
- Respect des obligations légales
4. Destinataires des données
Vos données sont transmises aux sous-traitants suivants, dans la stricte mesure du nécessaire :
| Sous-traitant | Rôle | Région | Garantie de transfert |
|---|---|---|---|
| Supabase | Base de données PostgreSQL | UE : Paris | Hébergement dans l'UE : pas de transfert |
| Upstash | Cache Redis | UE : Francfort | Hébergement dans l'UE : pas de transfert |
| Google Cloud | Serveurs de l'application (Cloud Run) | UE : Belgique | Hébergement dans l'UE : accord de traitement Google Cloud |
| Connexion (OAuth) | Mondial | Conditions Google ; seuls votre e-mail, nom et photo sont reçus | |
| Stripe | Paiements et factures (PCI-DSS niveau 1) | États-Unis | Clauses contractuelles types et cadre de protection des données UE-États-Unis : accord de traitement Stripe |
| Resend | E-mails transactionnels | États-Unis | Clauses contractuelles types : e-mail uniquement |
| Anthropic / Groq | Intelligence artificielle (analyses, assistant) | États-Unis | Analyses : tickers et données de marché uniquement. Assistant : les messages que vous écrivez sont transmis à Groq ; n'y saisissez aucune donnée personnelle. |
| Telegram | Notifications (facultatif) | Pays-Bas / mondial | Clauses contractuelles types, uniquement si vous activez Telegram |
Clauses contractuelles types : modèle adopté par la Commission européenne (décision 2021/914). Aucune donnée n'est vendue à des tiers. Aucun transfert à des fins de publicité ciblée.
5. Durée de conservation
| Catégorie | Durée | Fondement |
|---|---|---|
| Données de compte (e-mail, nom, profil) | Durée du compte, puis suppression sous 30 jours | Art. 5(1)(e) RGPD |
| Données d'activité (portefeuille, favoris, filtres, plans) | Durée du compte, puis suppression sous 30 jours | Art. 5(1)(e) RGPD |
| Demandes d'assistance | Vidées de leur contenu identifiant à la suppression du compte | Art. 5(1)(e) RGPD |
| Données contractuelles (CGV acceptées, historique d'abonnement) | 5 ans après la fin du contrat | Art. L.110-4 du Code de commerce |
| Preuves de consentement (acceptation des CGU et CGV) | 5 ans | Art. 2224 du Code civil |
| Données de facturation (factures, transactions) | 10 ans à compter de la transaction | Art. L.123-22 du Code de commerce |
| Journaux techniques (serveurs) | 90 jours maximum | Recommandation de la CNIL |
À l'expiration de chaque durée, les données sont supprimées ou anonymisées de manière irréversible. La suppression du compte depuis les paramètres entraîne la suppression immédiate des données actives ; les données soumises à une obligation légale de conservation restent archivées jusqu'à l'expiration de leur délai.
6. Sécurité des données
- Transport chiffré TLS entre le navigateur et les serveurs
- Authentification par jeton signé, à durée de vie limitée
- Clés d'accès aux courtiers chiffrées (Fernet, AES-128-CBC)
- Accès à la base de données réservé aux serveurs de l'application
- Aucun mot de passe stocké (authentification déléguée à Google)
7. Vos droits
Conformément aux articles 15 à 22 du RGPD, vous disposez des droits suivants :
- Accès (art. 15) et portabilité (art. 20) : export de vos données depuis Paramètres → Compte & données
- Rectification (art. 16) : depuis les paramètres de votre compte Google
- Effacement (art. 17) : suppression immédiate depuis Paramètres → Compte & données
- Limitation (art. 18) et opposition (art. 21) : écrivez-nous
- Retrait du consentement (art. 7) : à tout moment, sans effet sur les traitements antérieurs
Pour exercer vos droits, écrivez à support@goearnnest.com. Nous répondons dans un délai d'un mois (délai maximal du RGPD).
En cas de réclamation non résolue, vous pouvez saisir la CNIL (nouvelle fenêtre) ou l'autorité de protection des données de votre pays de résidence.
8. Cookies et traceurs
Earnnest utilise uniquement des cookies fonctionnels strictement nécessaires au service. Ces cookies sont exemptés de consentement préalable (lignes directrices de la CNIL, délibération 2020-091, et article 82 de la loi Informatique et Libertés).
| Cookie | Finalité | Durée | Nécessaire |
|---|---|---|---|
| next-auth.session-token | Session d'authentification | 30 jours | Oui : exempté |
| theme | Préférence de thème | 1 an | Oui : exempté |
Aucun cookie publicitaire, de mesure d'audience (Google Analytics, Matomo…) ni traceur tiers (pixel Facebook, LinkedIn Insight Tag…) n'est déposé. Aucun bandeau de consentement aux cookies n'est donc requis.
9. Modifications de cette politique
En cas de modification substantielle, vous serez informé par e-mail ou par notification dans l'application au moins 30 jours avant l'entrée en vigueur des changements.