Politique de protection des données

Article 1. Objet et champ d’application

La présente politique de protection des données (ci-après la « Politique ») a pour objet d’informer les utilisateurs et les personnes concernées des modalités de collecte, de traitement et de protection de leurs données à caractère personnel par Argentic SAS.

Elle s’applique :

au site internet accessible à l’adresse https://argentic.art (ci-après le « Site ») ;
à l’application de conformité Argentic exploitée en mode SaaS, dédiée aux métiers de l’Art et du Luxe, couvrant notamment la connaissance client (KYC), la lutte contre le blanchiment de capitaux et le financement du terrorisme (LCB-FT) ainsi que la traçabilité des œuvres (ci-après la « Solution » ou le « Service »).

Article 2. Responsable de traitement et rôles

2.1. Site et usages propres à Argentic

Pour les traitements liés au Site (visites, formulaires, téléchargements de ressources, prospection B2B), à la gestion des comptes utilisateurs de la Solution, à la sécurité et au monitoring de l’infrastructure, Argentic SAS agit en qualité de responsable de traitement.

2.2. Données KYC et conformité pour le compte de nos clients

Pour les données traitées dans la Solution pour le compte de nos clients (données KYC sur leurs clients finaux, données de transactions soumises à obligations de vigilance, données relatives aux œuvres et aux risques), Argentic agit en qualité de sous-traitant, sur instructions du client professionnel qui reste responsable de traitement.

Les personnes dont les données sont saisies par nos clients via la Solution doivent exercer leurs droits en priorité auprès de ces derniers, qui demeurent leurs interlocuteurs principaux en matière de protection des données.

Article 3. Données collectées

3.1. Utilisateurs professionnels de la Solution

Argentic collecte et traite notamment, pour les utilisateurs professionnels de la Solution :

des données d’identité : nom, prénom ;
des coordonnées professionnelles : adresse e-mail, éventuellement téléphone, société, fonction ;
des informations de compte et de rôle : identifiants, permissions, profil (administrateur, utilisateur, etc.) ;
des données de connexion et d’usage : dates et heures de connexion, adresses IP, actions réalisées dans l’outil, journaux d’événements liés à la sécurité.

3.2. Données KYC et de transaction (clients finaux de nos clients)

Dans le cadre des opérations de conformité KYC et LCB-FT, nos clients peuvent saisir et traiter via la Solution des données concernant leurs propres clients et contreparties, notamment :

des données d’identification et de contact ;
des documents et informations exigés par la réglementation KYC (pièces d’identité, justificatifs, informations économiques et liées à la transaction) ;
des données relatives aux œuvres et aux transactions (description, provenance, historique, documents associés) ;
des résultats d’analyses et de scoring de risque, des informations issues de listes de sanctions ou de personnes politiquement exposées (PPE), ainsi que des tentatives de rapprochement avec des listes de surveillance.

Nos clients peuvent également saisir des notes et commentaires dans des champs libres ; il leur appartient de veiller à ce que ces contenus respectent la réglementation applicable et les droits des personnes concernées.

3.3. Données collectées via le Site

Lors de l’utilisation du Site (formulaires de contact, demande de démonstration, téléchargement de guides, inscription à des communications), Argentic collecte notamment :

des données d’identité et de contact : nom, prénom, email, société, fonction, éventuellement téléphone et informations sur l’activité ;
le contenu des messages et informations relatives aux demandes (projet, besoins exprimés, etc.) ;
des données techniques : adresses IP, dates et heures de visite, pages consultées, user-agent, logs serveur.

Article 4. Finalités et bases légales

4.1. Utilisateurs de la Solution

Les données des utilisateurs professionnels sont traitées pour :

fournir la Solution et exécuter le Contrat (gestion des comptes, droits d’accès, paramétrage) ;
gérer la relation client (communication opérationnelle, support, facturation) ;
assurer la sécurité et l’intégrité de la Solution (journalisation, détection d’anomalies, prévention des usages abusifs) ;
améliorer la Solution et l’expérience utilisateur (statistiques d’utilisation agrégées, analyses de performance).

La base légale principale est l’exécution du Contrat conclu entre Argentic et le client professionnel, complétée par l’intérêt légitime d’Argentic à sécuriser et améliorer sa plateforme.

4.2. Données KYC et conformité

Les données KYC et de conformité (clients finaux, transactions, œuvres) sont traitées par Argentic pour le compte de ses clients dans le cadre de leurs propres obligations légales et de leur intérêt légitime à gérer leurs risques (devoir de vigilance, documentation, lutte contre le blanchiment, obligations proches de celles applicables au secteur bancaire).

Les bases légales de ces traitements (obligation légale, intérêt légitime, exécution d’un contrat entre nos clients et leurs propres clients) relèvent de la responsabilité de ces clients, en tant que responsables de traitement. Les personnes concernées doivent se référer à la politique de confidentialité du responsable de traitement qui les a intégrées dans la Solution.

4.3. Prospection B2B et gestion des leads

Les données collectées via le Site sont utilisées pour répondre aux demandes (démonstration, information commerciale), gérer et suivre la relation commerciale (qualification, relances, rendez-vous) et adresser des communications B2B pertinentes sur la Solution et ses évolutions.

La base légale est l’intérêt légitime d’Argentic à développer son activité auprès de professionnels, dans le respect des règles applicables à la prospection électronique B2B. Lorsque cela est requis ou prévu (par exemple pour une newsletter spécifique), un mécanisme de consentement avec double opt-in est mis en place.

4.4. Obligations légales et contentieux

Certaines données peuvent être conservées et utilisées pour respecter des obligations légales ou réglementaires (comptabilité, lutte contre la fraude, coopération avec les autorités) et pour gérer d’éventuels litiges ou contentieux. La base légale est alors l’obligation légale et l’intérêt légitime d’Argentic à assurer sa défense.

Article 5. Durées de conservation

Les données sont conservées pour des durées n’excédant pas celles nécessaires aux finalités poursuivies et aux obligations légales applicables. À titre indicatif :

comptes utilisateurs de la Solution : pendant la durée du Contrat, puis pour une durée limitée après sa fin, dans la limite nécessaire à la preuve et à la gestion de la relation contractuelle ;
leads et données de prospection : jusqu’à deux (2) ans après le dernier contact actif ou interaction significative, sauf opposition ;
logs techniques et de sécurité : en principe jusqu’à douze (12) mois, sauf nécessité de conservation plus longue en cas d’incident ou de procédure ;
données KYC, risques et œuvres : selon les exigences convenues avec les clients (à titre indicatif, cinq (5) ans, puis anonymisation et suppression définitive au plus tard au bout de sept (7) ans, sauf obligation légale plus longue ou litige en cours).

Article 6. Destinataires des données

L’accès aux données est strictement limité :

au personnel habilité d’Argentic, dans le cadre de ses fonctions (support, exploitation, sécurité, gestion client) ;
aux prestataires techniques intervenant en qualité de sous-traitants (hébergement, sécurité, protection anti-DDoS, captcha, etc.) ;
le cas échéant, aux autorités administratives ou judiciaires, lorsque la loi l’exige ou qu’une atteinte grave à la sécurité ou aux droits de tiers le justifie.

Argentic ne revend ni ne loue les données personnelles qu’elle traite.

Article 7. Hébergement, transferts et sous-traitance

Les données sont hébergées sur des serveurs dédiés et des solutions cloud situés en France et au sein de l’Union européenne.

Pour la protection contre certaines menaces (notamment attaques par déni de service, captchas, filtrage), Argentic peut recourir à des services de sécurité tiers opérant des infrastructures pouvant être situées hors de l’UE. Dans ce cas, des mesures appropriées sont mises en place pour encadrer ces flux et limiter les données concernées.

La liste des principaux prestataires techniques peut être communiquée sur demande raisonnable adressée à Argentic.

Article 8. Sécurité des données

Argentic met en œuvre des mesures techniques et organisationnelles appropriées pour protéger les données contre la destruction, la perte, l’altération, la divulgation ou l’accès non autorisé, notamment :

chiffrement des communications entre les clients et l’infrastructure ;
chiffrement des fichiers stockés sur des infrastructures de type S3 ;
hébergement sur serveurs bare-metal situés en Europe ;
gestion fine des permissions et des rôles au sein de la Solution ;
journalisation et analyse des événements pertinents (SIEM, logs) ;
mise en œuvre de protections anti-DDoS, captchas et filtrages adaptés ;
sensibilisation et engagement de confidentialité du personnel habilité.

Argentic applique des principes de minimisation (collecte des données strictement nécessaires) et recourt, lorsque cela est pertinent, à des techniques d’anonymisation ou de pseudonymisation pour ses analyses internes et statistiques.

Article 9. Cookies, traceurs et mesure d’audience

Argentic n’utilise pas de cookies publicitaires ni de traceurs de type Google Analytics ou pixels publicitaires. La mesure d’audience et la supervision du Site reposent principalement sur l’exploitation de logs serveur et d’outils de sécurité internes.

Si Argentic devait à l’avenir recourir à des cookies ou traceurs nécessitant le consentement, un bandeau d’information et un mécanisme de gestion du consentement conformes à la réglementation seraient mis en place, et la présente Politique serait mise à jour.

Article 10. Droits des personnes

Conformément à la réglementation applicable, les personnes concernées disposent, dans les limites prévues par celle-ci, des droits suivants : accès, rectification, effacement, limitation, opposition, portabilité, ainsi que du droit d’introduire une réclamation auprès d’une autorité de contrôle compétente.

Pour les données traitées par Argentic en qualité de responsable de traitement (Site, comptes utilisateurs, logs, prospection), ces droits peuvent être exercés en écrivant à : [email protected].

Argentic répondra aux demandes dans un délai d’un mois à compter de leur réception, prorogeable si nécessaire conformément au RGPD.

Pour les données traitées par Argentic en qualité de sous-traitant (notamment les données KYC et de conformité intégrées par nos clients), les personnes concernées doivent en priorité s’adresser au responsable de traitement (maison de vente, galerie, acteur du luxe, etc.), Argentic intervenant en appui de ce dernier dans le cadre de ses obligations contractuelles.

Article 11. Spécificités marché de l’art et conformité

Argentic opère dans un contexte fortement réglementé (KYC, LCB-FT, marché de l’art et du luxe). Les données traitées via la Solution peuvent être nécessaires à la satisfaction d’obligations légales de ses clients (devoir de vigilance, documentation des transactions, coopération avec les autorités).

Argentic fournit des outils d’aide à la décision (analyses, scoring, rapprochement avec des listes de sanctions ou PPE), mais ne se substitue pas aux obligations propres de ses clients, qui demeurent seuls responsables de leurs décisions et de leurs déclarations auprès des autorités compétentes.

Article 12. KYC & AML

Pour permettre à nos clients de remplir leurs obligations de conformité en matière de lutte contre le blanchiment d’argent et le financement du terrorisme (AML/CFT), nous mettons à leur disposition une solution intégrée de vérification d’identité (KYC) et de due diligence. Dans ce cadre, la collecte, la vérification et le stockage des données d’identité des clients finaux sont réalisés via notre prestataire technique spécialisé Didit (didit.me), qui fournit une solution de conformité KYC/AML conforme aux standards européens.

Les données d’identité transmises par le client final sont traitées par nos services, puis relayées de manière sécurisée à Didit, uniquement aux fins de vérification d’identité et de conformité AML. Ces traitements s’effectuent exclusivement sur les serveurs de Didit situés dans l’Union européenne, dans le respect du Règlement Général sur la Protection des Données (RGPD). Nous n’utilisons ces données que dans le cadre strict de la prestation de services de conformité, et nous veillons à ce que Didit agisse en tant que sous-traitant conforme aux exigences réglementaires en vigueur.

Les données d’identité et de conformité collectées dans le cadre de l’entrée en relation sont traitées sur la base de nos obligations légales et réglementaires (et celles de nos clients) en matière de lutte contre le blanchiment d’argent et le financement du terrorisme. En conséquence, le client final ne peut s’opposer à ce traitement, dans la mesure où celui-ci est nécessaire pour se conformer aux exigences réglementaires applicables à la relation commerciale. Ces données sont conservées pendant une durée de cinq (5) ans à compter de la fin de la relation, tant dans nos systèmes que chez notre prestataire technique Didit, conformément aux durées de conservation prévues par la réglementation AML.

Article 13. Mise à jour de la Politique

La présente Politique peut être amenée à évoluer pour refléter les modifications des services d’Argentic, les évolutions législatives ou réglementaires, ou les recommandations des autorités de contrôle.

La date de dernière mise à jour figure en en-tête de la présente page. En cas de modification substantielle, une information spécifique pourra être apportée, notamment via le Site ou la Solution.