Politique de confidentialité

Le responsable du traitement est MBC LLC, Limited Liability Company (société à responsabilité limitée) de droit de l’État du Delaware, États-Unis, dont le siège social est situé 2915 Ogletown Road, Newark, DE 19713, États-Unis (siège statutaire) ; établissement principal : 1666 Kennedy Causeway, Suite 412, North Bay Village, FL 33141, États-Unis.

Pour toute question relative à vos données personnelles : MBC LLC, service juridique, ou par email à legal@onlineasset.com.

Nous ne traitons que les données nécessaires à la gestion de votre compte et de vos investissements et au respect de nos obligations légales. Elles proviennent de vous (inscription, dossier de vérification, paramètres, opérations) et, pour partie, de l’équipe Online Asset (historique de vos investissements antérieur à la Plateforme, coordonnées bancaires que vous lui avez transmises). Pour une personne morale, les données des dirigeants, mandataires et bénéficiaires effectifs sont fournies par son représentant, qui s’engage à les en informer.

• Identité et coordonnées : prénom, nom, adresse email, téléphone, date de naissance, nationalité, adresse postale ; pour une société : dénomination, numéro d’immatriculation, activité, et identité des dirigeants, mandataires et bénéficiaires effectifs (nom, fonction, nationalité, pourcentage de détention, coordonnées).
• Justificatifs de connaissance client (KYC) et d’origine des fonds : pièce d’identité, justificatif de domicile, extrait d’immatriculation, pouvoir ou mandat, statuts et tout document complémentaire demandé, ainsi que le statut de votre vérification et les motifs d’une éventuelle demande de correction.
• Coordonnées bancaires : titulaire, IBAN et BIC (ou numéro de compte et code ABA pour un compte américain), libellé, dates d’ajout et de vérification. L’IBAN est chiffré par le serveur dès sa saisie ; seuls ses quatre derniers caractères sont affichés. L’IBAN complet n’est consultable que par l’équipe, pour exécuter un versement, et chaque consultation est inscrite dans le journal d’audit.
• Opérations : souscriptions (opération, montant, devise, référence, statut, déclaration de virement), revenus acquis, versements programmés et effectués (montant, devise, taux de change appliqué, compte de destination masqué), demandes de retrait et leurs annulations, objectifs de revenus que vous saisissez, niveau d’engagement (grade), relevés annuels.
• Messages au support : conversations échangées avec l’équipe depuis la messagerie (catégorie, sujet, contenu, dates) et lecture des annonces.
• Notifications et préférences : notifications affichées dans votre espace, préférences d’envoi d’emails, devise d’affichage.
• Journaux techniques et d’audit : consultations et téléchargements de documents (document, date, adresse IP, navigateur) ; journal d’audit des actions réalisées sur votre dossier, par vous ou par l’équipe (nature, auteur, date) ; journaux techniques de nos hébergeurs (adresse IP, horodatage, pages appelées) ; compteur temporaire des tentatives de connexion par adresse IP et par compte.
• Données d’authentification : adresse email, mot de passe (jamais conservé en clair), facteur de double authentification (clé d’enrôlement de votre application d’authentification), sessions ouvertes.

Aucune donnée sensible au sens de l’article 9 du RGPD n’est demandée. Le niveau d’engagement (grade) qui conditionne l’accès à certaines opérations est calculé automatiquement à partir du montant de vos investissements financés ; la vérification de votre dossier et la validation de vos opérations sont, elles, effectuées par l’équipe.

Gestion de votre compte et de la relation

Création du compte sur invitation, authentification, paramètres, notifications, messagerie, relevés annuels, emails liés au compte. Base légale : exécution du contrat (les Conditions générales d’utilisation) ou mesures précontractuelles prises à votre demande.

Exécution de vos investissements

Enregistrement des souscriptions, suivi des revenus acquis, programmation et suivi des versements, demandes de retrait, enregistrement des coordonnées bancaires. Base légale : exécution du contrat de souscription.

Connaissance client et lutte contre le blanchiment et le financement du terrorisme

Vérification de l’identité, des justificatifs et de l’origine des fonds, conservation des dossiers, réponses aux demandes des autorités. Base légale : obligation légale, notamment au titre du Code monétaire et financier.

Obligations comptables et fiscales

Conservation des pièces relatives aux opérations. Base légale : obligation légale.

Sécurité de la Plateforme et prévention de la fraude

Double authentification, journal d’audit, enregistrement des consultations de documents, limitation des tentatives de connexion, alerte lors de l’ajout d’un compte bancaire, délai de sécurité avant un premier versement vers un compte nouvellement ajouté, preuve des opérations. Base légale : notre intérêt légitime à protéger vos avoirs, vos données et la Plateforme.

La Plateforme n’envoie aucun email de prospection commerciale et ne réalise aucun profilage à des fins publicitaires.

Vos données sont accessibles, dans la limite de leurs besoins respectifs :

• aux membres de l’équipe Online Asset habilités (gestion des dossiers, validation des opérations, support), chacun disposant d’un accès nominatif protégé par double authentification et dont les actions sont tracées ;
• aux sociétés (SPV) émettrices de vos investissements, pour l’exécution de vos souscriptions et de vos versements ;
• à nos sous-traitants techniques, qui n’agissent que sur nos instructions : Vercel Inc. (hébergement et exécution de l’application, région de Francfort), Supabase Inc. (base de données, authentification et stockage des documents, Francfort) et Brevo SAS (acheminement des emails, Paris) ;
• aux autorités administratives ou judiciaires, lorsque la loi nous y oblige ;
• le cas échéant, à nos conseils tenus au secret professionnel.

Vos données ne sont ni vendues ni cédées à des tiers.

Vos données sont stockées et traitées à Francfort (Allemagne). L’Éditeur, MBC LLC, est établi aux États-Unis : les membres de son équipe habilités y accèdent depuis ce pays pour gérer la Plateforme, vos souscriptions et vos versements. Il applique la présente politique et le règlement général sur la protection des données à l’ensemble des traitements décrits ici, quel que soit le lieu depuis lequel vos données sont consultées, et vous conservez l’ensemble des droits décrits ci-dessous.

Vercel Inc. et Supabase Inc. sont également des sociétés établies aux États-Unis : une opération d’assistance ou de maintenance peut impliquer un accès ponctuel depuis un pays tiers. Ces transferts sont encadrés par les clauses contractuelles types adoptées par la Commission européenne, intégrées aux accords de traitement des données de ces prestataires, et complétés par les mesures techniques décrites à la section « Sécurité » (chiffrement en transit, chiffrement des IBAN, cloisonnement des accès).

Brevo SAS traite les emails dans l’Union européenne.

• Dossier de connaissance client (identité, coordonnées, justificatifs, origine des fonds) : cinq ans après la fin de la relation d’affaires, conformément aux obligations légales de lutte contre le blanchiment et le financement du terrorisme.
• Données de compte et d’opérations (souscriptions, revenus, versements, coordonnées bancaires, messages) : pendant toute la durée de la relation, puis archivage pendant les durées de prescription et de conservation légales applicables, notamment comptables et fiscales. Un compte fermé n’est donc pas supprimé immédiatement : son accès est fermé et son dossier archivé avec un accès restreint.
• Journaux de sécurité et journaux techniques (consultations de documents avec adresse IP, journaux des hébergeurs) : douze mois, sauf obligation légale ou procédure en cours.
• Journal d’audit des actions : même durée que les données auxquelles il se rapporte, car il constitue la preuve des opérations.
• Compteur des tentatives de connexion : au plus une heure, en mémoire du serveur.
• Invitations non utilisées : trente jours.
• Cookies de session : jusqu’à votre déconnexion (voir la section « Cookies »).

Vous disposez des droits suivants sur vos données : accès, rectification, effacement, limitation du traitement, portabilité des données que vous nous avez fournies, opposition aux traitements fondés sur notre intérêt légitime, et définition de directives relatives au sort de vos données après votre décès.

Ces droits s’exercent auprès de MBC LLC, service juridique ou par email à legal@onlineasset.com, en précisant votre identité ; un justificatif pourra vous être demandé en cas de doute. Nous répondons dans un délai d’un mois, prolongeable de deux mois pour les demandes complexes.

Certaines données ne peuvent pas être effacées avant l’expiration des durées légales de conservation (dossier de connaissance client, historique des opérations) : dans ce cas, nous fermons votre accès et archivons votre dossier avec un accès restreint.

Vous pouvez aussi consulter et corriger à tout moment, dans les paramètres de votre espace, votre téléphone, vos préférences de notification, vos comptes bancaires, votre mot de passe et vos appareils connectés.

Si vous estimez que vos droits ne sont pas respectés, vous pouvez introduire une réclamation auprès de la Commission nationale de l’informatique et des libertés (CNIL), 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07, www.cnil.fr.

• accès sur invitation uniquement : aucune inscription libre ;
• double authentification obligatoire pour chaque compte, investisseurs comme membres de l’équipe, au moyen d’une application d’authentification ; mot de passe d’au moins douze caractères ;
• chiffrement des échanges (HTTPS) et chiffrement des IBAN par le serveur, avec une clé conservée hors de la base de données ;
• règles d’accès appliquées par la base de données elle-même : chaque investisseur ne peut lire que ses propres données, même en cas de défaillance de l’application ;
• journal d’audit en ajout seul et chaîné : toute action sur un dossier est horodatée et attribuée à son auteur, et une altération du journal serait détectable ;
• documents servis par des liens signés de courte durée, consultations enregistrées ;
• limitation des tentatives de connexion, alerte lors de l’ajout d’un compte bancaire et délai de vingt-quatre heures avant tout versement vers un compte nouvellement ajouté et non vérifié par l’équipe ;
• hébergement dans l’Union européenne (Francfort).

Nous ne vous demanderons jamais votre mot de passe ni vos codes de double authentification, par email ou autrement. Signalez-nous sans délai toute activité suspecte sur votre compte.

La Plateforme ne dépose que des cookies strictement nécessaires à son fonctionnement, exemptés de consentement (article 82 de la loi Informatique et Libertés et lignes directrices de la CNIL). Aucun cookie publicitaire, aucun outil de mesure d’audience, aucun traceur tiers : c’est pourquoi aucun bandeau de consentement ne vous est présenté.

Cookie de session (nom commençant par « sb- » et finissant par « -auth-token »)

Maintient votre session authentifiée ; il peut être découpé en plusieurs cookies numérotés. Posé par notre prestataire d’authentification lors de la connexion, avec les attributs Secure et SameSite. Supprimé à la déconnexion et, au plus tard, à l’expiration de la durée maximale autorisée par votre navigateur (400 jours). Le jeton qu’il contient expire au bout d’une heure et n’est renouvelé que tant que la session reste valide.

Cookie de confirmation (nom finissant par « -code-verifier »)

Cookie technique posé lors de l’inscription, le temps de sécuriser la confirmation de votre adresse email.

Stockage local du navigateur (clés commençant par « oa-etape- »)

Mémorise qu’un bandeau d’information (étape franchie) a été fermé. Ne contient aucune donnée personnelle et reste jusqu’à l’effacement des données de votre navigateur.

Les polices de caractères et les scripts sont servis par la Plateforme elle-même. Votre navigateur ne communique qu’avec la Plateforme et avec notre prestataire d’authentification et de stockage (Supabase), pour la double authentification et l’affichage des documents. Vous pouvez supprimer ces cookies depuis votre navigateur ; vous serez alors déconnecté.

Nous pouvons faire évoluer cette politique, notamment en cas de changement de prestataire ou d’évolution de la réglementation. La date de la version en vigueur figure en haut de cette page ; toute modification substantielle vous sera signalée dans votre espace ou par email.

Protection des données : MBC LLC, service juridique. Questions générales : legal@onlineasset.com.

Les investisseurs connectés peuvent également écrire à l’équipe depuis la messagerie de leur espace. Voir aussi les Mentions légales et les Conditions générales d’utilisation.