Politique de confidentialité

1. Responsable du traitement et champ d’application

TRINITY agit comme responsable de traitement lorsqu’il détermine les finalités et moyens du fonctionnement du site, des comptes, de la facturation, de la sécurité, de l’assistant ou de ses propres offres. Pour une mission où un client détermine seul la cible, les finalités et les données analysées, les rôles doivent être qualifiés dans le contrat : TRINITY peut alors intervenir comme sous-traitant au sens de l’article 28 du RGPD. La seule utilisation de la plateforme ne dispense ni le client ni TRINITY de cette qualification au cas par cas.

Délégué à la protection des données : aucun DPO distinct n’est désigné à la date de cette version. Le contact vie privée ci-dessus reçoit directement les demandes.

2. Principes, origine et caractère obligatoire

TRINITY applique les principes de licéité, loyauté, transparence, limitation des finalités, minimisation, exactitude, limitation de conservation, intégrité et confidentialité prévus par l’article 5 du RGPD. Les données proviennent soit directement de l’utilisateur ou du client, soit des systèmes utilisés, des prestataires nécessaires, de sources publiques ou d’observations techniques externes.

Les champs signalés comme obligatoires sont nécessaires à la création d’un compte, à la sécurité, à la commande, au paiement, à la facturation ou à la fourniture du service demandé. Leur absence peut empêcher l’opération. Les informations facultatives servent à personnaliser le profil ou la prestation. Aucun mot de passe en clair n’est destiné à être conservé : l’application stocke une empreinte cryptographique du mot de passe.

3. Traitements, données, finalités et bases légales

Paiement en cryptoactif

Lorsqu’un paiement Litecoin est choisi, TRINITY calcule un montant distinctif, communique son adresse de réception puis vérifie les confirmations sur la chaîne. La commande conserve notamment le réseau, l’adresse destinataire, le montant en LTC et satoshis, le taux utilisé, l’horodatage, le nombre de confirmations et le hash de transaction. Les services de cotation et d’exploration configurés sont, par défaut, Coinbase et BlockCypher.

Une transaction validée est inscrite sur le registre public Litecoin, exploité indépendamment de TRINITY. Son hash, ses montants, son heure et les adresses ou entrées associées peuvent être consultés publiquement et ne peuvent pas être effacés ou rectifiés par TRINITY. Une demande d’effacement ne peut donc porter que sur les copies et associations conservées dans les systèmes de TRINITY, sous réserve des obligations comptables, fiscales et de preuve.

Communications opérationnelles et prospection électronique

Le mini-ERP constitue actuellement un répertoire de tous les comptes non suspendus et une sous-liste d’adresses dont la maîtrise a été vérifiée. La mention email_verified confirme seulement que l’adresse a été validée pour le compte : elle ne vaut ni consentement à la prospection, ni absence d’opposition. Ces exports peuvent servir aux communications nécessaires au compte, à la commande, à la sécurité ou au support, sur la base correspondante décrite ci-dessus.

Pour une prospection commerciale électronique adressée à une personne physique, l’article L. 34-5 du Code des postes et des communications électroniques impose en principe un consentement préalable. L’exception « client existant » ne vaut que si l’adresse a été recueillie directement à l’occasion d’une vente ou prestation, si le message porte sur des produits ou services analogues fournis par TRINITY et si une opposition simple et gratuite était possible lors de la collecte et dans chaque message. La seule création d’un compte ne suffit pas. Pour un destinataire professionnel, l’intérêt légitime peut être retenu lorsque la sollicitation est en rapport avec sa profession, après information et avec une opposition simple et gratuite.

Avant tout envoi commercial, les destinataires doivent donc être qualifiés selon leur statut, la source de l’adresse, l’objet du message, le consentement lorsqu’il est requis et les oppositions déjà reçues. L’export administratif ne doit jamais être utilisé seul comme preuve. Chaque sollicitation doit identifier TRINITY et proposer un moyen de refus effectif. L’opposition à la prospection est absolue et doit être reportée dans une liste repoussoir réservée à cette seule finalité ; la CNIL recommande de conserver au minimum trois ans l’information minimale - si possible une empreinte robuste de l’adresse - nécessaire pour ne pas solliciter de nouveau la personne.

4. Assistant d’intelligence artificielle

L’assistant est une fonctionnalité optionnelle identifiée comme telle. Lorsque l’utilisateur l’active, le texte de sa demande, les éléments de contexte de conversation et des données techniques sont transmis en priorité à Groq ; une configuration de secours peut transmettre la requête à OpenRouter. Les réponses brutes et événements techniques peuvent apparaître dans les journaux applicatifs. L’utilisateur ne doit donc pas saisir de mot de passe, clé privée, secret d’affaires, donnée de santé, donnée révélant des opinions ou toute autre donnée sensible non indispensable.

Un identifiant invité permet de retrouver la conversation. Les conversations sont enregistrées au format JSONL et indexées dans la base applicative. L’action d’archivage retire la conversation du menu principal, mais ne déclenche pas une purge immédiate de tous les enregistrements. Un score interne peut qualifier une demande commerciale et déclencher l’envoi à l’équipe TRINITY d’un courriel contenant notamment le message et l’adresse IP. Ce score sert au routage d’un contact : il ne produit pas, à lui seul, d’effet juridique ou d’effet similaire significatif au sens de l’article 22 du RGPD.

Le choix de l’utilisateur relatif aux traceurs de l’assistant relève de l’article 82 de la loi Informatique et Libertés. Ce choix n’est pas, à lui seul, la base juridique de tous les traitements de contenu : la réponse à une demande volontaire relève selon le contexte des mesures précontractuelles, du contrat ou de l’intérêt légitime à fournir et sécuriser le service. Le retrait du choix « assistant » efface le jeton invité du navigateur, mais ne vaut pas demande d’effacement des conversations déjà stockées ; cette demande peut être exercée séparément auprès de TRINITY.

Conformément à l’article 50 du règlement (UE) 2024/1689, l’interface informe l’utilisateur qu’il interagit avec une IA. Les réponses nécessitent une vérification humaine avant toute action ayant un impact technique, juridique, financier, médical ou assurantiel.

5. Données obtenues indirectement - scanner et OSINT

Une analyse peut concerner des personnes qui n’ont pas fourni elles-mêmes leurs données à TRINITY : représentants ou dirigeants inscrits dans un registre officiel, contacts professionnels publiés sur le site de l’organisation, auteurs de contenus publics, détenteurs techniques de ressources, ou titulaires apparents d’identifiants retrouvés dans une source de fuite. Ces traitements relèvent de l’information prévue par l’article 14 du RGPD.

Les catégories de sources comprennent les registres officiels d’entreprises et de TVA, DNS/RDAP/WHOIS, journaux de transparence des certificats, site et sous-domaines de la cible, archives du web, référentiels publics de vulnérabilités et de réputation, moteurs ou dépôts de code publics, bases et services OSINT, pages publiques d’équipes ou de mentions légales, et liens publics vers des profils professionnels. TRINITY ne prétend pas vérifier l’exactitude intrinsèque de chaque source et doit permettre la rectification d’une attribution erronée.

Les données sont utilisées pour documenter l’exposition de l’organisation et réduire un risque cyber, jamais pour reconstituer la vie privée d’une personne. Les secrets et identifiants ne doivent être affichés qu’en version masquée lorsque la finalité le permet. Les données manifestement sans rapport avec la sécurité de la cible doivent être écartées.

6. Publication et partage

Un rapport de scan peut être accessible au moyen d’une URL comportant un jeton de partage, pour une durée choisie comprise entre 1 et 90 jours. Toute personne disposant de ce lien peut potentiellement consulter les informations qu’il protège : le destinataire doit le traiter comme une information confidentielle et le révoquer dès qu’il n’est plus nécessaire.

Le service de vérification ALICE rend susceptibles d’être publics le nom du titulaire, le numéro et le niveau du certificat, ses dates de validité, le badge et le score, afin de permettre la vérification de l’authenticité du titre. Le titulaire peut demander l’examen du masquage ou du déréférencement des données qui ne sont plus nécessaires, sous réserve de la conservation d’une preuve interne du certificat et des droits des tiers qui doivent pouvoir en vérifier l’authenticité.

7. Destinataires, prestataires et sources externes

Dans la limite de leurs attributions, les données peuvent être accessibles à l’éditeur et aux personnes autorisées de TRINITY, au client à l’origine d’une mission, aux destinataires d’un lien de rapport ou d’un certificat public, ainsi qu’aux prestataires strictement nécessaires :

• infrastructure, stockage, sauvegarde, réseau et relais de messagerie ;
• prestataire de paiement choisi - Stripe, PayPal ou Mollie - ou intervenants nécessaires au virement ou au paiement en cryptoactif ;
• réseau public Litecoin et, lorsque le paiement crypto est utilisé, services de cotation et d’exploration configurés - Coinbase et BlockCypher par défaut ;
• Groq et, en secours si configuré, OpenRouter pour produire la réponse de l’assistant ;
• services publics de validation d’adresse, d’entreprise ou de TVA et sources OSINT interrogées pour la mission ;
• Google Fonts, jsDelivr, OpenInfraMap/OpenStreetMap et, sur les écrans concernés, bibliothèques de paiement ou ressources externes, qui reçoivent au minimum les données techniques nécessaires à la requête HTTP.

Les données peuvent aussi être communiquées à une autorité, un auxiliaire de justice, un assureur ou un conseil lorsqu’une règle l’impose ou lorsque cela est nécessaire à la constatation, à l’exercice ou à la défense d’un droit. Aucun courtier de données ni destinataire publicitaire n’a été identifié dans le code audité.

8. Transferts hors Espace économique européen

Des fournisseurs techniques ou leurs sous-traitants, en particulier les services de génération IA et certaines ressources web, sont susceptibles de traiter des données depuis un pays extérieur à l’Espace économique européen. Tout transfert doit reposer sur une décision d’adéquation ou sur des garanties appropriées prévues aux articles 44 à 49 du RGPD, telles que les clauses contractuelles types, complétées si nécessaire par des mesures techniques et une analyse du pays de destination.

Les fournisseurs concernés, notamment Groq, OpenRouter et le prestataire de paiement sélectionné, publient leurs propres informations sur les lieux et modalités de traitement. TRINITY tient compte du fournisseur effectivement activé et communique, sur demande, les informations disponibles concernant la garantie applicable, sans divulguer de secret de sécurité ou d’affaires.

9. Durées de conservation

TRINITY distingue la base active, l’archivage intermédiaire justifié par une obligation ou un litige et les sauvegardes. Les durées suivantes correspondent soit à un réglage technique vérifié, soit à une obligation identifiée :

10. Sécurité et violation de données

TRINITY met en œuvre des mesures proportionnées au risque : hachage des mots de passe, contrôle des accès et des rôles, protection du cookie d’authentification, journalisation, filtrage réseau, sauvegardes et limitation des informations exposées. Les rapports, jetons de partage, clés API, consoles et contenus d’assistant doivent néanmoins être traités comme confidentiels. Malgré ces mesures, un risque résiduel d’incident subsiste.

Une violation de données est analysée, documentée et, lorsque les conditions des articles 33 et 34 du RGPD sont réunies, notifiée à la CNIL dans le délai applicable et communiquée aux personnes concernées. Un incident peut être signalé à support@trinity-net.com sans inclure de secret exploitable dans le premier message.

11. Vos droits et leur exercice

Selon le traitement et sa base juridique, toute personne concernée dispose des droits d’accès, de rectification, d’effacement, de limitation, d’opposition, de portabilité, de retrait du consentement à tout moment et du droit de ne pas faire l’objet d’une décision exclusivement automatisée produisant un effet juridique ou similaire significatif. Le retrait n’affecte pas la licéité du traitement antérieur. Une opposition fondée sur la situation particulière est examinée au regard des motifs légitimes impérieux éventuellement applicables. L’opposition à la prospection commerciale est absolue, simple et gratuite et peut être exercée via le lien prévu dans chaque message ou directement auprès du contact vie privée.

La demande peut être adressée :

• par courriel à support@trinity-net.com ;
• par courrier à : Tony BONNIN - TRINITY Edge Networks, 6 rue Alfred Dreyfus, 78210 Saint-Cyr-l’École, France.

Indiquez le service et les données concernés. Une pièce d’identité n’est demandée qu’en cas de doute raisonnable sur l’identité et seuls les éléments nécessaires doivent alors être fournis. TRINITY répond en principe dans un délai d’un mois, prorogeable de deux mois lorsque la demande est complexe ou nombreuse, avec information de la personne dans le premier mois.

Si la réponse ne vous satisfait pas, vous pouvez adresser une réclamation à la CNIL. Vous pouvez aussi gérer les traceurs optionnels via le bouton Cookies, sans que cela remplace une demande portant sur les données déjà enregistrées.

12. Évolution de la politique

Cette politique est mise à jour lorsque les finalités, données, prestataires, durées ou textes applicables évoluent. Une modification substantielle est portée à la connaissance des personnes par un moyen adapté ; un nouveau consentement est demandé lorsque la loi l’exige. La date affichée en tête permet d’identifier la version applicable.

13. Sources officielles

• Règlement (UE) 2016/679 (RGPD) - notamment articles 5, 6, 12 à 22, 28, 32 à 34 et 44 à 49.
• CNIL - les droits des personnes sur leurs données.
• CNIL - définir les durées de conservation.
• CNIL - recommandations aux réutilisateurs de données publiées sur Internet.
• Article L. 34-5 du Code des postes et des communications électroniques - prospection électronique.
• CNIL - prospection commerciale par voie électronique et liste repoussoir.
• Article L. 123-22 du Code de commerce - conservation des documents comptables.
• Articles D. 213-1 et D. 213-2 du Code de la consommation - conservation des contrats électroniques à partir de 120 €.
• Article 82 de la loi Informatique et Libertés - accès et inscription d’informations dans le terminal.
• Règlement (UE) 2024/1689, article 50 - transparence lors de l’interaction avec une IA.