Politique de confidentialité

Responsable du traitement

Le responsable du traitement est Alaric Trullemans, éditeur du site.

Pour toute demande relative à vos données, ou pour joindre notre point de contact vie privée : privacy@custoce.com.

Ce que nous traitons, pourquoi, et sur quel fondement

Nous traitons vos données pour les finalités suivantes, et pour aucune autre.

Tenir votre coffre et vous y donner accès. Votre adresse email, le nom que vous choisissez d'inscrire au registre, votre langue d'affichage et votre numéro de coffre. Base légale : l'exécution du service que vous demandez (art. 6.1.b du RGPD).

Établir, conserver et transmettre la preuve de propriété. Les informations relatives aux pièces sous votre garde : marque, modèle, numéro de série, référence, photographies, date de certification, maison émettrice, ainsi que l'historique des transferts, des entretiens et des documents émis. Base légale : l'exécution du service (art. 6.1.b) et notre intérêt légitime à tenir un registre de référence fiable (art. 6.1.f).

Sécuriser l'accès à votre coffre. Votre code personnel, dont nous ne conservons qu'une empreinte non réversible, les clés d'accès (passkeys) que vous enregistrez, dont nous ne détenons que la partie publique et jamais le secret de votre appareil, et le libellé de l'appareil enrôlé. Base légale : l'exécution du service (art. 6.1.b) et notre intérêt légitime à protéger les coffres (art. 6.1.f).

Vous rendre l'accès si vous le perdiez. Votre adresse email de secours, votre numéro de téléphone de secours, les empreintes de vos codes de secours et des codes reçus par SMS. Ces données ne servent qu'à cela. Base légale : l'exécution du service (art. 6.1.b).

Vous permettre d'écrire à la maison, et à la maison de vous répondre. Le contenu de vos messages et, si vous choisissez de la partager, l'adresse à laquelle la maison peut vous répondre directement. Sans ce choix, la maison ne connaît jamais votre adresse : nous relayons sa réponse. Base légale : l'exécution du service (art. 6.1.b) et, pour le partage de votre adresse, votre consentement (art. 6.1.a), retirable à tout moment.

Vous inviter à ouvrir votre coffre, puis vous rappeler un entretien, pour le compte de la maison qui a certifié votre pièce. Nous adressons ces messages sans jamais communiquer votre adresse à la maison. Ils sont plafonnés : au plus un rappel d'activation à J+1 et à J+7, au plus une relance d'entretien par pièce et par mois. Base légale : notre intérêt légitime et celui de la maison à ce qu'une pièce certifiée trouve son registre et reste entretenue (art. 6.1.f). Vous pouvez vous y opposer à tout moment, sans motif, par le lien figurant dans chaque message : l'opposition prend effet immédiatement (art. 21.2 du RGPD).

Signaler une pièce volée et geler sa cession. Le récit du signalement, la pièce concernée et l'auteur de la déclaration. Base légale : notre intérêt légitime et celui des victimes à empêcher la circulation d'une pièce volée (art. 6.1.f), et l'exécution du service (art. 6.1.b).

Assurer la sécurité de la plateforme et prévenir les abus. Votre adresse IP, utilisée le temps d'appliquer nos limites de débit et jamais conservée en base, ainsi qu'un journal des actes techniques : création de portefeuille, mouvements de sceau, envois d'emails et de SMS avec destinataire masqué. Base légale : notre intérêt légitime (art. 6.1.f) et l'obligation de sécurité de l'art. 32 du RGPD.

Mesurer l'audience du site. Des statistiques agrégées, sans cookie et sans profil individuel. Base légale : notre intérêt légitime (art. 6.1.f).

Nous ne vendons jamais vos données et ne les utilisons jamais à des fins de profilage publicitaire. Custoce ne conserve aucune clé privée.

D'où viennent vos données

Certaines de vos données ne nous viennent pas de vous. Lorsqu'une maison ou une boutique agréée vous remet une pièce, elle nous transmet votre adresse email, au moment de la remise ou depuis sa boutique en ligne, afin que nous puissions vous inviter à ouvrir votre coffre. Nous ne recevons alors que votre adresse email et la pièce concernée.

Le premier message que vous recevez de nous renvoie à la présente politique et porte un lien de retrait. Si vous ne souhaitez pas ouvrir de coffre, ne donnez pas suite : l'invitation cesse d'elle-même au bout de trente jours. Vous pouvez aussi demander l'effacement immédiat de votre adresse à privacy@custoce.com.

Destinataires et sous-traitants

Les maisons et boutiques agréées. La maison qui a certifié votre pièce et, le cas échéant, le détaillant qui vous l'a remise voient la pièce et un numéro de coffre masqué. Jamais votre nom, jamais votre adresse, jamais votre historique de propriétaire. Une seule exception, à votre main : vous pouvez autoriser, pièce par pièce, le détaillant rattaché à cette pièce à voir le nom inscrit au registre. Cette autorisation n'est jamais pré-cochée ni déduite, elle se révoque à tout instant depuis votre espace, et sa révocation prend effet immédiatement (art. 7.3 du RGPD). La maison émettrice, elle, ne voit jamais ce nom.

Nos sous-traitants (art. 28 du RGPD), liés par un accord de traitement et agissant sur nos seules instructions : hébergement de la plateforme (Vercel Inc., États-Unis) ; base de données et authentification (Supabase Inc., États-Unis) ; infrastructure de signature et de garde des portefeuilles (Turnkey, États-Unis) ; envoi des emails de service (Resend, États-Unis) ; envoi des SMS de sécurité (Twilio Inc., États-Unis).

Nous ne communiquons vos données à aucun tiers à des fins commerciales. Nous pouvons être tenus de répondre à une autorité judiciaire ou administrative habilitée ; le cas échéant, nous vous en informons, sauf lorsque la loi nous l'interdit.

Les photographies

La photographie de la pièce est visible sur sa fiche publique : c'est le principe même de la vérification par QR, et c'est la raison d'être du registre. Ne photographiez donc pas d'élément que vous ne souhaitez pas rendre public, par exemple un document posé à côté de la montre.

La photographie du certificat papier remis par la maison, qui porte souvent le nom de l'acquéreur, n'est jamais publique. Elle est conservée dans un espace fermé et n'est consultable que par un membre habilité de Custoce, pour instruire un litige, par un accès de courte durée et journalisé.

Transferts hors Union européenne

Nos sous-traitants Vercel, Supabase, Turnkey et Resend sont établis aux États-Unis. Ces transferts sont encadrés par les garanties appropriées prévues par le RGPD : clauses contractuelles types de la Commission européenne (art. 46) ou décision d'adéquation applicable (art. 45). Vous pouvez en obtenir une copie en écrivant à privacy@custoce.com.

Les inscriptions au registre public décrites ci-dessous relèvent d'un cas différent, et nous préférons le dire franchement : elles sont diffusées à un réseau d'ordinateurs indépendants répartis dans le monde entier, que personne ne peut identifier ni contractualiser. Aucune garantie de l'art. 46 ne peut couvrir une telle diffusion. Nous en tirons la seule conséquence possible : n'inscrire à ce registre que des éléments techniques, aussi réduits que le service le permet, et vous en informer avant que vous n'ouvriez votre coffre.

Inscriptions permanentes au registre public

Pour garantir la permanence et l'infalsifiabilité de la preuve de propriété, certains éléments techniques attestant l'existence d'un scellement et de ses transferts sont inscrits dans un registre public mondial (le réseau Polygon) : un numéro de sceau, des empreintes numériques (des calculs à sens unique, non réversibles) et des adresses techniques propres à votre coffre.

Ces inscriptions ne contiennent ni votre nom, ni votre email, ni aucune donnée vous identifiant directement. Elles restent toutefois rattachables à vous par recoupement : votre coffre utilise une seule adresse technique, sur laquelle toutes vos pièces sont inscrites. Qui connaît cette adresse, par exemple à partir d'un certificat que vous lui auriez montré, peut donc voir combien de pièces y sont rattachées et à quelles dates elles ont bougé, sans jamais savoir qui vous êtes.

Une fois inscrites, ces données sont permanentes : personne, pas même nous, ne peut les modifier ni les effacer. Cette permanence est ce qui fait la valeur du registre, et c'est aussi une limite réelle à votre droit à l'effacement (art. 17.3.b du RGPD). Nous vous le disons avant, pas après.

Durée de conservation

Les données de compte, votre adresse email et vos préférences, sont conservées tant que votre coffre est ouvert. Les données de sécurité (empreintes de code, clés d'accès, facteurs de secours) sont supprimées dès que vous les retirez.

Les preuves de propriété et le journal des actes du registre sont conservés durablement : c'est l'objet même d'un registre de référence.

Le journal technique de sécurité est conservé 24 mois, puis purgé. Les invitations non suivies d'effet expirent au bout de trente jours. La liste des personnes qui se sont opposées à nos messages est conservée aussi longtemps que nécessaire pour ne plus leur écrire : l'effacer reviendrait à les recontacter.

Pour fermer votre coffre : écrivez à privacy@custoce.com. Nous supprimons alors vos données de compte, vos données de sécurité et vos messages. Restent, parce que nous ne pouvons pas faire autrement : les actes déjà inscrits au registre public, décrits ci-dessus, et les documents que nous avons émis et qui font foi pour un tiers, par exemple une attestation remise à un acquéreur. Nous vous indiquons précisément, au cas par cas, ce qui a été supprimé et ce qui subsiste.

Vos droits

Vous disposez d'un droit d'accès, de rectification, d'effacement, de limitation, d'opposition et de portabilité (art. 15 à 22 du RGPD). Lorsqu'un traitement repose sur votre consentement, vous pouvez le retirer à tout moment, sans que cela remette en cause la licéité des traitements antérieurs.

Pour exercer ces droits : privacy@custoce.com. Nous répondons dans un délai d'un mois, porté à trois mois si la demande est complexe ; nous vous en informons alors dans le premier mois (art. 12.3 du RGPD). Nous pouvons vous demander de nous écrire depuis l'adresse rattachée à votre coffre, afin de ne pas remettre vos données à quelqu'un d'autre.

Opposition aux messages envoyés pour le compte des maisons : le lien figure au bas de chacun de ces messages, et son effet est immédiat. Aucun motif ne vous sera demandé (art. 21.2 du RGPD).

Certaines demandes d'effacement peuvent être limitées lorsque la conservation est nécessaire à la mission du registre, à une obligation légale, ou lorsque l'élément est inscrit sur un registre public non modifiable. Nous vous l'expliquons alors précisément, sans nous retrancher derrière une formule générale.

Vous avez également le droit d'introduire une réclamation auprès de l'autorité de contrôle compétente : l'Autorité de protection des données (APD), rue de la Presse 35, 1000 Bruxelles.

Ce qui est automatique, et ce qui ne l'est pas

Custoce ne prend aucune décision entièrement automatisée produisant des effets juridiques ou vous affectant de manière significative au sens de l'art. 22 du RGPD.

Plusieurs mécanismes sont toutefois automatiques, et nous préférons les nommer : après plusieurs codes personnels erronés, l'accès à certaines opérations se verrouille temporairement, jusqu'à 24 heures ; une pièce déclarée volée est gelée sans délai, ce qui empêche toute cession jusqu'à l'instruction du signalement ; une demande de récupération d'accès s'exécute après un délai d'attente si vous ne l'annulez pas.

Au-delà d'un seuil de valeur, une récupération d'accès est examinée par une personne, et une décision sensible de la console d'administration exige la validation de deux personnes distinctes. Dans tous les cas, vous pouvez nous écrire pour obtenir un réexamen humain.

Sécurité

Les accès à votre coffre sont cloisonnés au niveau de la base de données : une requête ne peut atteindre que vos propres lignes. Les secrets ne sont jamais conservés en clair : le code personnel et les codes de secours sont réduits à une empreinte non réversible, les liens envoyés par email sont conservés hachés. Custoce ne détient aucune clé privée de portefeuille.

La console maison ne reçoit jamais votre identité : ce n'est pas un masquage à l'écran, c'est ce que le serveur répond. Les décisions sensibles de la console d'administration exigent deux personnes.

Aucun système n'est invulnérable. En cas de violation de données susceptible d'engendrer un risque élevé pour vous, nous vous en informons dans les meilleurs délais (art. 34 du RGPD).

Mineurs

Le service s'adresse à des personnes majeures. Nous ne vérifions pas l'âge à l'ouverture d'un coffre, et nous ne le prétendons pas : le coffre s'ouvre par un lien envoyé à une adresse email.

Si vous constatez qu'un coffre a été ouvert par un mineur, écrivez-nous : nous procédons à sa fermeture. Une pièce transmise à un héritier mineur est à traiter avec nous au cas par cas, avec son représentant légal.

Cookies et stockage local

Le site n'utilise aucun cookie publicitaire, aucun traceur tiers, aucun profilage. La mesure d'audience est agrégée et se fait sans cookie.

Trois cookies sont posés, tous nécessaires au fonctionnement : votre choix de langue (un an), l'accès à l'aperçu privé du site le cas échéant (le temps de la session) et l'état de la page d'ouverture (le temps de la session).

Votre navigateur conserve par ailleurs, dans son stockage local, votre session de connexion, le mode discret, le repli du menu et l'état du verrou d'inactivité. Ces éléments ne quittent jamais votre appareil.

Aucun de ces éléments n'exige votre consentement préalable, parce qu'aucun ne sert à vous suivre. Cela ne nous dispense pas de vous le dire, et c'est l'objet de cette section.

Modification de cette politique

Nous pouvons faire évoluer cette politique. En cas de changement substantiel touchant vos droits ou les finalités des traitements, nous vous en informons par email avant son entrée en vigueur. La date de dernière mise à jour figure en tête de page.