Politique de confidentialité

1. Préambule

La présente politique de confidentialité décrit la manière dont Hyvirtus collecte, traite et conserve les données personnelles de ses utilisateurs, en conformité avec le Règlement général sur la protection des données (RGPD, règlement UE 2016/679) et la loi française du 6 janvier 1978 modifiée dite « Informatique et Libertés ».

Le responsable du traitement est Murat ERTURK, entrepreneur individuel, dont les coordonnées complètes figurent dans les mentions légales. Pour toute question ou demande relative à vos données personnelles, vous pouvez écrire à contact@hyvirtus.com.

2. Données collectées

Hyvirtus collecte uniquement les données nécessaires au fonctionnement du service. Par catégorie :

2.1 Données de compte

• Adresse email
• Identifiant utilisateur unique (user_id), généré automatiquement à la première sauvegarde
• Date de création du compte

2.2 Profil trader

• Style de trading (scalping, day, swing)
• Marchés pratiqués (forex, crypto, indices, matières premières, autre)
• Sous-blocs par marché (paires, levier, volumes, type d'instruments)
• Capital, plan opérationnel, expérience déclarée

2.3 Données comportementales

Hyvirtus enregistre les événements liés à la pratique du trader :

• Rituels quotidiens (état intérieur, intention, pilier du jour, engagement)
• Entrées de Journal (réflexions, état émotionnel)
• Sessions Dojo Live (événements de trade, états intérieurs, portes franchies, lectures de Hyvirtus)
• Sessions Dojo entraînement (scénarios joués, verdicts piliers)
• Analyses (mode introspection ou import CSV)
• Timeline (recap des sessions, lectures de Hyvirtus)

2.4 Données de facturation

Pour le paiement par abonnement (via Stripe) : email de facturation, périodes de souscription, montants, identifiant client Stripe. Aucune donnée bancaire complète n'est jamais stockée par Hyvirtus.

2.5 Données techniques

• Adresse IP (utilisée uniquement pour la sécurité, non liée durablement à votre compte)
• User-agent du navigateur
• Horodatages de requêtes

2.6 Données de mesure d'audience

Hyvirtus exploite une mesure d'audience interne (first-party), sans cookie ni identifiant persistant, hébergée sur sa propre infrastructure. Aucun outil tiers (Google Analytics, Plausible, Fathom ou autre) n'est utilisé et aucune donnée de mesure d'audience n'est transmise à un tiers. Les seuls événements enregistrés sont l'affichage d'une page et quelques étapes du parcours d'inscription (clic sur un bouton d'appel à l'action, affichage de la page d'abonnement, demande de code de connexion).

Pour chaque événement, les données suivantes sont conservées :

• Le nom de l'événement, restreint à une liste fermée.
• Un identifiant de visiteur éphémère, calculé par hachage et renouvelé chaque jour. Les valeurs des jours précédents sont supprimées, ce qui rend tout recoupement d'un jour à l'autre impossible par construction.
• Le pays, déduit de l'adresse IP au niveau du pays uniquement (code à deux lettres), sans ville ni coordonnées.
• Le chemin de la page consultée, sans paramètre de requête ni fragment d'URL.
• Le nom de domaine du site référent (jamais le chemin complet) ; les références internes à Hyvirtus sont vidées.
• La langue du navigateur (deux lettres) et le type d'appareil (mobile, tablette, ordinateur), déduit de la largeur de la fenêtre du navigateur.
• L'horodatage de l'événement.

Ne sont jamais conservés à ce titre : votre adresse IP (utilisée en mémoire vive pour le hachage et la déduction du pays, puis aussitôt écartée), votre user-agent, la ville ou des coordonnées géographiques, les paramètres de requête d'URL (un jeton de lien de connexion ne peut donc pas y figurer), le chemin du site référent, ainsi que toute donnée comportementale ou relative à votre pratique de trading (pilier, pattern, texte de Hyvirtus, contenu de session), bloquée par la liste fermée d'événements.

La géolocalisation au niveau du pays s'appuie sur la base DB-IP Country Lite, lue localement (Géolocalisation par DB-IP, sous licence CC BY 4.0). Cette mesure ne dépose aucun cookie et n'écrit rien sur votre appareil. Vous pouvez vous y opposer à tout moment : voir la section 8 (Vos droits).

2.7 Données de newsletter

Si vous vous inscrivez à la newsletter Hyvirtus, votre adresse email est enregistrée, ainsi que l'horodatage et l'adresse IP attestant de votre consentement, à titre de preuve. Le consentement est recueilli selon le point d'inscription : depuis le site public, en double opt-in (aucun envoi tant que vous n'avez pas confirmé via le lien reçu par email) ; depuis votre espace connecté, où votre adresse a déjà été vérifiée lors de votre connexion, par opt-in explicite (un clic), sans email de confirmation. La liste est hébergée sur l'infrastructure de Hyvirtus ; l'acheminement des emails est assuré par notre prestataire d'envoi (Resend). Chaque message comporte un lien de désinscription, et vous pouvez vous désinscrire à tout moment, ce qui met fin au traitement. Base légale : votre consentement (article 6.1.a RGPD). Conservation : jusqu'à votre désinscription.

2.8 Données du test de psychologie du trading

Lorsque vous utilisez le test gratuit de psychologie du trading et choisissez de laisser votre adresse email, Hyvirtus conserve votre adresse email et le piège comportemental que le test a repéré dans vos réponses (un des cinq pièges, plus le pilier le plus exposé), ainsi que l'horodatage et l'adresse IP attestant de votre consentement, à titre de preuve. Ces éléments forment un profil déduit de vos réponses déclarées, utilisé pour vous adresser du contenu Hyvirtus adapté à votre résultat, en commençant par un email de lecture détaillée du piège repéré, envoyé après confirmation de votre inscription. Le consentement est recueilli par un formulaire sans case à cocher : la mention affichée à côté du bouton nomme la finalité, l'adresse email et le résultat conservés, et le droit de retrait, et le clic sur Recevoir ma lecture vaut acceptation ; il est ensuite confirmé par un email de validation (double opt-in) ; la liste est hébergée sur l'infrastructure de Hyvirtus et l'acheminement des emails est assuré par notre prestataire d'envoi (Resend). Il s'agit d'un profilage au sens de l'article 4.4 du RGPD ; il ne donne lieu à aucune décision automatisée produisant un effet juridique ou significatif (article 22 non applicable). Base légale : votre consentement (article 6.1.a RGPD). Vous pouvez retirer votre consentement et vous y opposer à tout moment (articles 7.3 et 21 RGPD) via le lien de désinscription de chaque email : votre adresse email et ce profil sont alors effacés de la liste. Ne sont jamais conservés à ce titre : vos réponses au test ni les scores calculés, seulement l'email, le piège, le pilier et la preuve de consentement. Conservation : trois ans à compter de votre dernier contact, ou jusqu'à votre désinscription.

3. Finalités du traitement

Chaque catégorie de données correspond à une finalité claire :

• Compte : permettre l'accès au service et l'identification de l'utilisateur.
• Profil trader : adapter le contexte transmis à Hyvirtus afin de produire des lectures pertinentes. Important : le profil ne dicte jamais l'état d'un pilier ni le pattern d'un comportement. Hyvirtus observe les comportements et ne déduit jamais d'état à partir du profil déclaré.
• Données comportementales : produire les lectures de session, de clôture, de timeline et les statistiques agrégées de progression.
• Facturation : exécuter le contrat d'abonnement et satisfaire aux obligations comptables.
• Données techniques : assurer la sécurité du service, prévenir la fraude, diagnostiquer les incidents.
• Mesure d'audience : mesurer la fréquentation du site de manière agrégée, sans identifiant persistant ni profilage individuel (visiteurs, pages vues, sources de trafic, langues, pays, types d'appareil), suivre les étapes du parcours d'inscription, et piloter le site. Aucune publicité.
• Statistiques internes d'amélioration produit : à partir des données comportementales déjà stockées, l'éditeur produit des relevés mensuels agrégés et anonymes (compteurs uniquement, sans identifiant, sans ligne par utilisateur) sur les comportements de la base (patterns dominants, portes les plus utilisées, scores et intensité de pratique), à seule fin d'améliorer le produit. Ces relevés ne permettent pas de remonter à un utilisateur.
• Newsletter : vous adresser la newsletter Hyvirtus, uniquement si vous y avez consenti (double opt-in depuis le site, ou opt-in explicite depuis votre espace connecté).
• Test de psychologie du trading : vous adresser du contenu Hyvirtus adapté au piège comportemental repéré par le test, uniquement si vous y avez consenti.

4. Base légale du traitement

Conformément à l'article 6 du RGPD, les bases légales mobilisées par Hyvirtus sont les suivantes :

• Compte, profil trader, données comportementales, personnalisation Hyvirtus : exécution du contrat (article 6.1.b RGPD) auquel l'utilisateur est partie.
• Facturation : exécution du contrat et obligation légale (articles 6.1.b et 6.1.c RGPD), notamment les obligations comptables et fiscales.
• Données techniques de sécurité : intérêt légitime (article 6.1.f RGPD) de l'éditeur à protéger son service contre les usages abusifs.
• Mesure d'audience : intérêt légitime (article 6.1.f RGPD) de l'éditeur à connaître la fréquentation de son site. La mesure étant sans cookie, sans identifiant persistant, sans recoupement d'un jour à l'autre et sans profilage individuel, son incidence sur la vie privée est minimale.
• Statistiques internes d'amélioration produit : intérêt légitime (article 6.1.f RGPD) de l'éditeur à améliorer son service. Les relevés étant agrégés et anonymes (compteurs seuls, sans identifiant ni profilage individuel), leur incidence sur la vie privée est minimale.
• Newsletter : consentement (article 6.1.a RGPD), retirable à tout moment par désinscription.
• Test de psychologie du trading : consentement (article 6.1.a RGPD), retirable à tout moment par désinscription ; le profil déduit est alors effacé. Profilage au sens de l'article 4.4, sans décision automatisée (article 22 non applicable).

5. Durées de conservation

• Compte actif : tant que le compte existe.
• Après suppression du compte : les données personnelles directement identifiantes (email, user_id, profil trader) sont effacées sous trente jours. Les données comportementales peuvent être conservées au-delà uniquement après anonymisation irréversible au sens de l'avis G29/WP29 5/2014, à des fins exclusives de statistiques agrégées sur l'usage du service. Toute information permettant de remonter à un utilisateur identifié ou identifiable est supprimée à ce stade.
• Données de facturation : dix ans à compter de la clôture de l'exercice, en application de l'article L123-22 du Code de commerce.
• Logs techniques : douze mois maximum, conformément aux recommandations de la CNIL en matière de logs de sécurité et de connexion.
• Données de mesure d'audience : quatre cents jours maximum, après quoi les journaux d'événements sont supprimés.
• Données de newsletter : jusqu'à votre désinscription ; l'email et la preuve de consentement sont alors supprimés.
• Données du test de psychologie du trading : trois ans à compter de votre dernier contact, ou jusqu'à votre désinscription ; l'adresse email, le profil déduit et la preuve de consentement sont alors supprimés.

6. Destinataires des données

Hyvirtus ne vend pas, ne loue pas et ne partage pas ses données utilisateurs à des fins publicitaires. Les seuls destinataires des données sont :

• L'éditeur lui-même, en sa qualité de responsable du traitement.
• Les sous-traitants techniques strictement nécessaires au fonctionnement du service :
  • L'hébergeur du site et de l'infrastructure (voir mentions légales).
  • Stripe Payments, à l'ouverture de l'abonnement, pour le traitement des paiements (sous-traitant certifié PCI-DSS).

Chaque sous-traitant est lié par un contrat conforme à l'article 28 du RGPD.

7. Transferts de données hors Union européenne

L'hébergement technique du site est assuré par un prestataire dont les serveurs et l'établissement principal peuvent se trouver aux États-Unis. Un transfert des données depuis l'Union européenne vers les États-Unis intervient donc à ce niveau.

Ces transferts sont encadrés selon l'un des mécanismes prévus par le chapitre V du RGPD :

• Adhésion du sous-traitant au cadre Data Privacy Framework entre l'Union européenne et les États-Unis (décision d'adéquation de la Commission européenne du 10 juillet 2023), le cas échéant.
• À défaut, mise en place de clauses contractuelles types (« Standard Contractual Clauses ») adoptées par la Commission européenne.

L'utilisateur peut obtenir, sur simple demande à contact@hyvirtus.com, la copie des garanties applicables au transfert.

8. Vos droits

Conformément aux articles 15 à 22 du RGPD, vous disposez à tout moment des droits suivants sur vos données personnelles :

• Droit d'accès : obtenir la confirmation que vos données sont traitées et en recevoir une copie.
• Droit de rectification : corriger toute donnée inexacte ou incomplète.
• Droit à l'effacement (« droit à l'oubli ») : demander la suppression de vos données dans les cas prévus par le RGPD.
• Droit d'opposition : vous opposer pour des motifs tenant à votre situation particulière au traitement fondé sur l'intérêt légitime. Pour la mesure d'audience, vous pouvez vous y opposer immédiatement en activant l'option de retrait dans votre navigateur (clé hvts_analytics_optout dans le stockage local) ; tant qu'elle est active, plus aucun événement n'est envoyé.
• Droit à la portabilité : recevoir vos données dans un format structuré, couramment utilisé et lisible par machine, et les transmettre à un autre responsable de traitement.
• Droit à la limitation : demander la limitation du traitement dans les cas prévus par le RGPD.
• Droit de retirer votre consentement à tout moment lorsque le traitement repose sur celui-ci, sans que ce retrait n'affecte la licéité du traitement antérieur.
• Droit d'introduire une réclamation auprès de la Commission Nationale de l'Informatique et des Libertés (CNIL, www.cnil.fr) si vous estimez que le traitement de vos données n'est pas conforme à la réglementation.

Pour exercer vos droits, écrivez à contact@hyvirtus.com. Une réponse vous sera apportée dans un délai d'un mois à compter de la réception de votre demande, conformément à l'article 12 du RGPD. Ce délai peut être prolongé de deux mois en cas de demande complexe, auquel cas vous serez informé du motif de prolongation.

Une preuve d'identité pourra vous être demandée en cas de doute raisonnable sur votre identité.

9. Sécurité

Hyvirtus met en œuvre les mesures techniques et organisationnelles appropriées pour assurer un niveau de sécurité adapté au risque, notamment :

• Chiffrement des échanges en transit via le protocole HTTPS / TLS.
• Isolation des données utilisateur par identifiant unique côté serveur.
• Restriction des accès aux données au seul responsable du traitement.
• Sauvegarde régulière des données et tests de restauration.

En cas de violation de données personnelles susceptible d'engendrer un risque pour vos droits et libertés, vous serez informé conformément aux articles 33 et 34 du RGPD.

10. Décisions automatisées et profilage

Le service Hyvirtus repose sur des traitements automatisés de vos données comportementales par Hyvirtus, afin de produire les lectures de session, de clôture et de timeline. Ces traitements analysent vos saisies (Rituel, Journal, sessions Dojo Live, événements de trade) pour restituer une lecture structurée autour des six piliers et des patterns autorisés.

Conformément à l'article 22 du RGPD, il est précisé que ces traitements automatisés ne produisent à votre égard aucune décision juridique ni effet vous affectant de manière similaire significative. Hyvirtus observe, lit, structure et révèle des éléments comportementaux. Il ne prend aucune décision à votre place, ne déclenche aucune action sur les marchés, et n'a aucune incidence sur l'accès à un droit, un service ou un avantage extérieur à Hyvirtus.

Vous restez à tout moment seul décideur de votre pratique et de vos opérations de trading.

11. Cookies et traceurs

Le site Hyvirtus n'utilise aucun cookie de mesure d'audience, aucun pixel publicitaire et aucun cookie tiers. La mesure d'audience décrite à la section 2.6 fonctionne sans cookie. L'usage des cookies strictement nécessaires et des éventuels traceurs fait l'objet d'une politique dédiée. Voir la politique cookies.

12. Mises à jour de la politique

La présente politique peut évoluer pour refléter les changements de fonctionnement du service, de la législation, ou des prestataires impliqués. Toute modification substantielle sera notifiée par email aux utilisateurs disposant d'un compte actif, au moins trente jours avant son entrée en vigueur.

La date de dernière mise à jour figure en tête du document.