Protection de vos données

Aureus IA SRL, société de droit belge (BCE / TVA : BE 1028.230.781), dont le siège social est situé Square Eugène Plasky 92-94/11, 1030 Schaerbeek (Bruxelles), est responsable du traitement de vos données personnelles collectées via la plateforme Aureus Academy (aureusacademy.io). Contact : privacy@aureusacademy.io Mentions légales complètes : /mentions-legales

Nous collectons uniquement les données nécessaires au fonctionnement du service : • Données d'identification : adresse e-mail, nom d'affichage choisi par l'utilisateur • Données de trading : trades backtest saisis manuellement, annotations, notes, leçons • Données d'utilisation : progression (streak, badges, score), préférences d'interface • Conversations avec NOVA (coach IA) : tes messages et ses réponses, conservés pour que NOVA reprenne une conversation là où tu l'as laissée. Ils ne sont lisibles que par toi et par NOVA : ni l'équipe d'Aureus Academy ni un coach n'y ont accès • Données techniques : logs de connexion, adresse IP (conservation 30 jours maximum) Nous ne collectons PAS : données bancaires, informations financières réelles, numéros de compte de trading.

Vos données sont utilisées pour : • Fournir les services de journal de trading et d'analyse de performance • Personnaliser l'expérience via NOVA (coach IA). Les données transmises à l'API Anthropic ne sont PAS anonymes : elles comprennent ton prénom, tes trades, tes résultats, tes états émotionnels déclarés et tes engagements, car un coach qui ne connaît rien de toi ne coache rien. Elles ne sont pas utilisées pour entraîner de modèle • Calculer et afficher vos statistiques personnelles • Maintenir votre progression (streak, badges, score Aureus) • Assurer la sécurité du service Base légale : exécution du contrat (art. 6.1.b RGPD) pour les traitements liés au service, et intérêt légitime (art. 6.1.f RGPD) pour la sécurité.

Nous utilisons les sous-traitants suivants : • Supabase Inc. (États-Unis), hébergement base de données, authentification, données stockées en région Frankfurt (UE), couvert par DPA • Anthropic PBC (États-Unis), traitement IA via API Claude. Les données transmises comprennent ton prénom, ton historique de trades et tes déclarations de check-in : ce sont des données personnelles, pas des statistiques agrégées. Base légale : exécution du contrat (le coaching EST le service). Elles ne servent pas à l'entraînement de modèles • Vercel Inc. (États-Unis), hébergement de l'application, couvert par DPA, données servies depuis Frankfurt. Ce même prestataire assure la mesure d'audience du site : elle fonctionne SANS cookie et SANS identifiant persistant, et n'enregistre que la page consultée, la page d'où vous venez, le pays et le type d'appareil. Aucun profil n'est constitué, aucun suivi d'un site à l'autre n'a lieu. Base légale : intérêt légitime (art. 6.1.f RGPD), savoir quelles pages sont lues • Stripe Payments Europe Ltd. (Irlande), traitement des paiements et abonnements (PCI-DSS) • Resend (États-Unis), envoi des emails transactionnels et de sécurité (confirmation de compte, alertes de connexion) • Daily.co (États-Unis), diffusion audio et vidéo des sessions en direct : ton micro et ta caméra transitent par ce service pendant un direct, et uniquement pendant. Aucun enregistrement n'y est conservé par Aureus Academy en dehors des replays annoncés • Functional Software Inc. (Sentry, États-Unis), supervision technique et diagnostic d'erreurs ; l'enregistrement de session n'est déclenché qu'en cas d'erreur, avec masquage systématique du texte et des médias, et uniquement si vous avez accepté les cookies Tous nos sous-traitants disposent de garanties appropriées conformément au RGPD (clauses contractuelles types et/ou DPA).

• Données de compte : conservées pendant la durée de l'abonnement + 30 jours après résiliation • Données de trading (backtest) : conservées pendant la durée du compte, supprimables à tout moment • Conversations avec NOVA : 12 mois après le dernier échange, puis suppression automatique. Tu peux les exporter (Markdown, JSON, PDF) ou les supprimer toi-même à tout moment depuis l'onglet NOVA du Journal • Logs de connexion : 30 jours maximum • Sauvegardes chiffrées : 90 jours Après suppression du compte, tes données sont effacées immédiatement, à trois exceptions que la loi impose : • Factures et abonnements : 7 ans (obligation comptable belge) • Signatures de contrats : conservées comme preuve de l'engagement (art. 1366 du Code civil) • Journaux d'audit et de sécurité : conservés pour la défense d'un droit (art. 17.3 RGPD) Ces exceptions sont listées nommément dans le fichier que tu obtiens par l'export, et dans le compte rendu de suppression : tu sais donc exactement ce qui reste.

Conformément au RGPD, vous disposez des droits suivants : • Droit d'accès : obtenir une copie de vos données • Droit de rectification : corriger des données inexactes • Droit à l'effacement : supprimer votre compte et toutes vos données • Droit à la portabilité : exporter vos données en format JSON/CSV • Droit d'opposition : vous opposer à certains traitements • Droit à la limitation : limiter le traitement de vos données Vous pouvez exercer directement vos droits d'accès (export), de portabilité et d'effacement depuis votre espace : rubrique « Compte & confidentialité » (/compte). Pour les autres droits : privacy@aureusacademy.io, réponse sous 30 jours. Vous pouvez également introduire une réclamation auprès de l'Autorité de Protection des Données belge (APD) : www.autoriteprotectiondonnees.be

Trois rubriques, et une seule vous est demandée. ━━ Strictement nécessaires, sans consentement ━━ • Cookie de session Supabase : authentification (durée : session + 7 jours si "Rester connecté") • Préférences locales (thème, réglages d'affichage) : stockées en localStorage côté client uniquement, elles ne quittent pas votre appareil ━━ Mesure d'audience : aucun cookie, donc rien à accepter ━━ La fréquentation du site est mesurée par Vercel, sans déposer le moindre cookie et sans identifiant qui vous suive d'une visite à l'autre. Sont comptés : la page consultée, la page d'où vous venez, le pays et le type d'appareil. Ce n'est volontairement pas un outil à cookie : un tel outil ne verrait que les visiteurs ayant accepté le bandeau, et nous donnerait des chiffres faux tout en vous demandant davantage. ━━ Soumis à votre consentement ━━ • Enregistrement de session Sentry : déclenché UNIQUEMENT si une erreur survient, avec masquage systématique du texte et des médias. Il sert à comprendre un bug que vous venez de rencontrer, jamais à vous suivre. C'est cette troisième rubrique, et elle seule, que le bandeau vous demande d'accepter. Si vous refusez, ou tant que vous n'avez pas répondu, aucun enregistrement n'est déclenché, et le reste du service fonctionne à l'identique. Nous n'utilisons PAS de cookies publicitaires, PAS de régie publicitaire, PAS de traceur qui vous suive d'un site à l'autre, et PAS d'analytics comportementaux. La mesure d'audience décrite plus haut ne dépose aucun cookie et ne constitue aucun profil : elle compte des pages, pas des personnes.

Vos données sont protégées par : • Chiffrement TLS 1.3 en transit • Chiffrement AES-256 au repos (Supabase) • Row Level Security (RLS) : chaque utilisateur n'accède qu'à ses propres données • Authentification sécurisée via Supabase Auth • Sauvegardes chiffrées quotidiennes

Nous pouvons mettre à jour cette politique. En cas de modification substantielle, vous serez notifié par email au moins 30 jours avant l'entrée en vigueur.