Politique de confidentialité
Crypto Master rassemble vos comptes d’exchange et vos portefeuilles pour vous en donner une vue unique. Cela suppose de traiter des données qui vous appartiennent. Cette page dit lesquelles, pourquoi, avec qui elles sont partagées et combien de temps elles sont gardées. Elle décrit ce que le logiciel fait réellement, pas ce qu’il pourrait faire un jour.
Dernière mise à jour : 17 octobre 2026.
Qui traite vos données
Crypto Master est édité par MG INNOVATIONS, société immatriculée en France, responsable du traitement au sens du règlement (UE) 2016/679, dit RGPD. Son identité complète — forme juridique, capital, siège, immatriculation et numéro de TVA — figure dans les mentions légales, qui en sont la source unique.
Pour toute question sur cette page, ou pour exercer les droits décrits plus bas : écrivez-nous par le formulaire de contact. Notre adresse électronique n’est pas publiée ici — elle y serait ramassée par les robots — mais elle figure sur chacune de vos factures. Aucun délégué à la protection des données n’a été désigné ; les demandes sont traitées par ce canal.
Ce que nous traitons, et pourquoi
Onze traitements, pas un de plus. Chacun est donné avec ce qui l’autorise.
Votre compte
Votre adresse électronique, votre mot de passe — dont nous ne gardons qu’une empreinte, jamais le mot lui-même —, vos prénom et nom si vous les renseignez, la date de création du compte, celle de votre dernière connexion et votre langue d’affichage. S’y ajoutent, le temps de leur validité, les jetons à usage unique envoyés pour vérifier votre adresse ou réinitialiser votre mot de passe.
Base légale — exécution du contrat — sans compte, il n’y a pas de service.
Vos données de portefeuille
C’est le service lui-même : les transactions que vous importez ou que nous lisons pour vous — date, type, quantités, actifs, frais, cours rapporté par la plateforme —, les comptes d’exchange et les portefeuilles que vous déclarez, les adresses publiques que vous suivez, et les décisions que vous portez sur vos mouvements, comme qualifier un virement ou écarter un jeton reçu sans l’avoir demandé.
Base légale — exécution du contrat.
Les fichiers d’export que vous déposez
Quand vous importez un fichier d’export — un relevé d’exchange, un CSV de saisie — et que son import réussit, le fichier est conservé tel quel, avec son nom, sa taille, son empreinte, la date du dépôt et le compte qu’il a alimenté. Il sert à vous rendre la preuve de ce qui a été importé, et à le réimporter si besoin : vous le retrouvez, le téléchargez ou le supprimez dans « Mes fichiers déposés ». Il est stocké sur notre serveur, hors de toute page publique, n’est accessible, dans l’application, qu’à votre compte, et n’est transmis à personne. Un fichier dont l’import a échoué n’est pas conservé, et le compte de démonstration n’en conserve aucun.
Base légale — exécution du contrat — c’est vous qui déposez le fichier, et vous pouvez le supprimer à tout moment.
Vos clés d’API d’exchange
Si vous reliez un compte d’exchange par son API, la clé, le secret et, le cas échéant, la phrase secrète sont chiffrés avant d’être écrits, et ne vous sont jamais réaffichés. Ils ne servent qu’à lire votre historique : Crypto Master ne passe aucun ordre et n’effectue aucun retrait. Une clé en lecture seule suffit, et c’est la seule que vous devriez confier — à nous comme à quiconque.
Base légale — exécution du contrat, sur votre seule initiative.
Votre abonnement et vos factures
L’offre souscrite, sa période, les identifiants que Stripe nous renvoie, et ce qui doit figurer sur une facture : nom, adresse postale, pays, et numéro de TVA si vous en déclarez un. Ces mentions sont recopiées sur chaque facture au moment où elle est émise plutôt que relues à l’impression : un déménagement ne réécrit pas vos factures passées, parce qu’une pièce comptable est datée.
Base légale — exécution du contrat, puis obligation légale — une facture émise doit être conservée.
La sécurité de votre compte
Chaque tentative de connexion est journalisée : adresse IP, navigateur déclaré, adresse saisie, succès ou échec, horodatage. Des compteurs limitent les tentatives répétées. Les pages de connexion, d’inscription, de mot de passe oublié et de renvoi du courriel de vérification chargent le reCAPTCHA de Google, qui dépose ses propres cookies pour distinguer un visiteur d’un automate.
Base légale — intérêt légitime — protéger votre compte contre les tentatives automatisées.
Deux messages de suivi
Une semaine après votre inscription si aucun compte n’y est encore connecté, puis une semaine après vos premières transactions importées, nous vous écrivons au plus une fois chacun, pour vous demander ce qui vous a arrêté ou décidé. Ce sont des courriels en texte simple, sans image de suivi ni lien mesuré ; nous ne gardons que leur date d’envoi, tant que votre compte existe. Les réponses sont lues par une personne.
Base légale — intérêt légitime — comprendre ce qui freine ou aide nos utilisateurs. Vous pouvez vous y opposer à tout moment, par le lien présent au bas de chaque message.
Les courriels de la saison fiscale
Si vous l’avez accepté — par la case facultative et décochée de l’inscription, ou dans « Mon compte » —, nous pouvons vous écrire pour vous rappeler les dates de la déclaration et vous donner nos conseils pour préparer vos chiffres. Nous gardons la date de votre accord et la version du texte que vous avez accepté : c’est la preuve de votre consentement. Sans lui, vous ne recevez aucun de ces courriels. Les messages liés à votre compte — sécurité, facturation — ne dépendent pas de cet accord.
Base légale — votre consentement, que vous pouvez retirer à tout moment depuis « Mon compte » : ces courriels s’arrêtent aussitôt, et nous gardons la date de votre accord, sa version et celle du retrait, comme preuve.
La mesure d’audience
Sur ce site public uniquement, et seulement si vous l’avez accepté, Google Analytics mesure la fréquentation des pages. Tant que vous n’avez pas répondu, aucun script tiers n’est chargé et rien n’est envoyé : il n’y a pas de requête, donc pas d’adresse IP transmise. Google Analytics n’est jamais chargé dans l’application.
Base légale — votre consentement, que vous pouvez retirer à tout moment.
Ce qui vous a mené à l’inscription
Les liens de ce site qui mènent à l’application — la démonstration, l’inscription, les tarifs — portent ce qui vous y a mené : la page qui les sert — un article, la page d’accueil —, ou le lien d’une vidéo, d’un partenaire ou d’une annonce par lequel vous êtes arrivé sur ce site, et qui porte ce nom dans son adresse. D’une page de ce site à l’autre, ce nom est repris de l’adresse de la page précédente, que votre navigateur transmet de lui-même : nous n’en lisons que le nom d’une page de notre propre site, et ne l’enregistrons pas. L’application garde ce nom dans votre session — le cookie de session décrit plus bas, aucun cookie de plus et aucun service tiers —, puis l’enregistre sur votre compte si vous vous inscrivez, avec le fait d’avoir ouvert ou non la démonstration. Ni adresse IP, ni identifiant de navigateur, ni rien de ce que vous faites ailleurs. Il est conservé avec votre compte et supprimé avec lui. Les ouvertures de la démonstration sont aussi comptées dans un journal qui ne porte qu’une date, ce nom et la page de ce site d’où vous l’avez ouverte.
Base légale — intérêt légitime — savoir quels contenus de notre site aident à découvrir le service.
Les lectures du blog et de trois pages du site
Pour savoir quels contenus sont lus, chaque affichage d’un article du blog, de la page d’accueil, de la méthode de calcul et de la page sur la déclaration crypto est compté, sans cookie et sans service tiers — que vous ayez accepté la mesure d’audience ou non. Nous ne gardons pas votre adresse IP : seulement une empreinte, calculée avec une clé tirée au hasard chaque jour et détruite le lendemain, qui permet de compter une seule fois un visiteur qui revient sur la même page dans la journée. Sans cette clé, l’empreinte ne se rattache plus à aucune adresse. Le journal porte l’heure, la page et cette empreinte, rien d’autre.
Base légale — intérêt légitime — savoir quels contenus de notre site sont lus.
Ce que nous ne faisons pas
- Nous ne vendons ni ne louons vos données à personne.
- Nous ne faisons pas de publicité et ne cédons rien à un annonceur ni à un courtier en données.
- Aucune décision automatisée ne produit d’effet juridique à votre égard : il n’y a ni notation, ni profilage, ni score.
- Nous ne détenons aucune de vos cryptomonnaies et n’avons aucun moyen d’en déplacer. Crypto Master lit une chaîne et un historique, il ne signe rien.
Qui d’autre y a accès
Faire fonctionner ce service demande des prestataires. Voici lesquels, et ce que chacun reçoit — ni plus, ni moins.
- OVH (France) héberge le serveur et achemine nos courriels. Toutes les données décrites ci-dessus reposent donc sur ses machines, en France.
- Stripe encaisse les paiements. Vos coordonnées bancaires ne passent jamais par nos serveurs et n’y sont jamais écrites : elles sont saisies chez Stripe. Nous recevons en retour votre nom, votre adresse de facturation, votre pays et un identifiant de paiement.
- Google fournit le reCAPTCHA des pages d’accès et, si vous l’avez accepté, la mesure d’audience de ce site.
- YouTube (Google) diffuse les vidéos intégrées à certains articles du blog — seulement quand vous cliquez sur l’une d’elles : avant ce clic, la page ne montre qu’une image hébergée chez nous, et rien n’est transmis à Google.
- Les fournisseurs de données de chaîne — Alchemy, Ankr, Helius, Blockstream, Hiro — reçoivent les adresses publiques des portefeuilles que vous suivez. C’est inévitable : lire une chaîne demande de dire quelle adresse on lit.
- Les exchanges que vous reliez par leur API sont interrogés avec les clés que vous nous avez confiées, en lecture seule.
- Les sources de cours — CoinGecko, DefiLlama, Frankfurter, Coinbase et quelques autres — ne reçoivent aucune donnée vous concernant : on leur demande le prix d’un actif à une date, jamais qui le détient.
Il n’y a pas d’autre destinataire. Nous ne communiquons vos données à une autorité que si la loi nous y oblige.
Transferts hors de l’Union européenne
Vos données sont hébergées en France. Certains des prestataires ci-dessus sont établis aux États-Unis ou y exploitent des serveurs — c’est le cas de Google, de Stripe et de plusieurs fournisseurs de données de chaîne. Ces transferts s’appuient sur les garanties que ces sociétés publient : les clauses contractuelles types de la Commission européenne, et pour celles qui y sont inscrites, le cadre de protection des données UE–États-Unis.
Combien de temps
Une donnée qu’on ne sait plus pourquoi on garde est une donnée qu’il faut effacer. Les durées ci-dessous sont celles que le logiciel applique réellement.
- Votre compte et vos données de portefeuille — tant que votre compte existe. Vous pouvez en demander la suppression à tout moment.
- Le journal des connexions, adresses IP comprises — douze mois, puis effacement automatique chaque nuit.
- Les jetons de vérification d’adresse et de réinitialisation de mot de passe — quelques heures, jusqu’à leur expiration ; ils sont supprimés dans la nuit qui suit.
- Les compteurs qui limitent les tentatives répétées — quatorze jours.
- Les événements de paiement reçus de Stripe — trente jours ; ils ne servent qu’à ne pas traiter deux fois le même règlement.
- Vos factures — dix ans, comme l’exige la loi comptable. Elles survivent à la suppression du compte : une pièce comptable ne s’efface pas.
- Le journal des lectures (blog et trois pages du site) et ses empreintes — jusqu’à la nuit qui suit : chaque jour révolu est alors réduit à un nombre de vues et de visiteurs par page, et la clé des empreintes est détruite dès le lendemain.
- Les fichiers d’export que vous avez déposés — tant que votre compte existe, ou jusqu’à ce que vous les supprimiez vous-même. Un compte supprimé emporte ses fichiers : ils sont effacés de l’archive dans la nuit qui suit.
- Votre accord pour les courriels de la saison fiscale, sa version et, s’il y a lieu, la date de son retrait — tant que votre compte existe : ils prouvent ce à quoi vous avez consenti, et quand.
Vos droits
Le RGPD vous donne sur vos données des droits que nous sommes tenus d’honorer.
- Accès — savoir ce que nous détenons, et en obtenir une copie.
- Rectification — faire corriger ce qui est inexact.
- Effacement — faire supprimer votre compte et ce qui s’y rattache, sous la réserve de ce que la loi nous oblige à garder, c’est-à-dire vos factures.
- Limitation et opposition — demander que nous cessions certains traitements, en particulier ceux qui reposent sur notre intérêt légitime.
- Portabilité — récupérer vos données dans un format lisible par une machine. Vos transactions s’exportent d’ailleurs en CSV depuis l’application, sans avoir à demander quoi que ce soit à personne.
- Retrait du consentement — pour la mesure d’audience, par le lien « Cookies » en bas de page. Ce retrait ne remet pas en cause ce qui a été mesuré avant.
Passez par le formulaire de contact, de préférence en indiquant l’adresse de votre compte. Nous répondons dans le mois. Il n’existe pas aujourd’hui de bouton qui supprime un compte dans l’application : la demande se fait par ce canal, et elle est traitée à la main.
Si notre réponse ne vous satisfait pas, vous pouvez saisir la Commission nationale de l’informatique et des libertés — CNIL, 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07 — ou déposer une réclamation sur cnil.fr.
Comment vos données sont protégées
Le site n’est servi qu’en HTTPS. Les mots de passe ne sont pas conservés, seulement leur empreinte. Les clés d’API d’exchange sont chiffrées avant d’être écrites. Le cookie de session est inaccessible au JavaScript, et un changement de mot de passe invalide les sessions ouvertes ailleurs. Aucun dispositif n’est infaillible : si une violation venait à présenter un risque pour vos droits, nous vous en informerions, comme le RGPD l’impose.
Modifications de cette page
Cette politique peut évoluer si le service change. La date de dernière mise à jour figure en haut de page. Un changement qui vous demanderait un nouveau consentement vous serait signalé, et non glissé dans une mise à jour silencieuse.