Politique de confidentialité de Femtos

Dernière mise à jour : 2026-10-22.

Cette politique explique quelles données personnelles Femtos traite, pourquoi, combien de temps, qui les reçoit et comment exercer vos droits au titre du règlement général sur la protection des données (RGPD) et de la loi Informatique et Libertés. Elle existe aussi en anglais sur femtos.xyz/privacy.

1. Responsable du traitement

Femtos. Contact données personnelles : contact@femtos.xyz. Femtos est en cours d'immatriculation en France sous forme de société ; son identité légale complète (dénomination, numéro d'immatriculation, siège social) sera ajoutée ici dès la fin de l'immatriculation. Aucun délégué à la protection des données n'est désigné (non obligatoire pour l'activité de Femtos).

2. Personnes concernées

Visiteurs de femtos.xyz et docs.femtos.xyz ;
Clients et utilisateurs de l'API : titulaires d'un Compte (inscription par email), opérateurs d'Agents (inscription d'agent ou paiement x402), et les personnes à qui ils confient leur clé ;
Payeurs : personnes qui paient en USDC vers une adresse de dépôt ou par x402 ;
Personnes nommées dans le registre des wallets (article 9) ;
Personnes dont l'activité publique sur blockchain figure dans les Données (article 10).

3. Données traitées, finalités et bases légales

Données	Origine	Finalité	Base légale (art. 6 RGPD)
Adresse email (facultative : inscription humaine ; pour les agents, un `owner_email` facultatif, jamais vérifié et jamais utilisé pour écrire)	vous	Compte, liens de connexion, confirmations de changement de clé / suppression / dégel, messages de facturation	contrat (6.1.b)
Nom d'agent (`agent_name`, texte libre de votre choix)	vous	identifier le Compte dans votre tableau de bord	contrat
Clé d'API : conservée sous forme d'empreinte SHA-256 et d'une copie chiffrée (AES-256-GCM), 4 derniers caractères pour l'affichage. Secret de gestion : empreinte SHA-256 uniquement	générées par nous	authentification, fichiers de clés des serveurs d'API	contrat
Adresse IP	votre connexion, via Cloudflare	limitation de débit par adresse (en mémoire, de quelques minutes à une heure) ; plafond quotidien d'inscriptions gratuites (empreinte à clé, HMAC, de l'adresse, pas l'adresse elle-même) ; sécurité ; elle peut aussi figurer dans les journaux des serveurs	intérêt légitime à protéger les Services et prévenir les abus (6.1.f)
Données de requête : méthode, chemin (clés masquées), statut, durée, identifiant de requête, nom du Compte, horodatage	vos appels	exploitation, débogage, sécurité, support (vous pouvez citer un identifiant de requête)	intérêt légitime
Relevés d'usage : crédits par Compte, heure et classe d'appel ; totaux mensuels	vos appels	comptage, facturation, limites, historique d'usage	contrat ; obligation légale pour les pièces de facturation (6.1.c)
Données de facturation : grand livre des crédits et débits, soldes, abonnement et son statut, plafond de dépense, identifiants et montants des paiements, remboursements	vous, blockchains publiques	facturation, comptabilité, traitement de la fraude	contrat ; obligation légale (comptabilité)
Adresses de wallet et transactions : l'adresse de dépôt de votre Compte ; l'adresse d'envoi, le hash, le montant et le bloc des dépôts ; l'adresse du payeur x402, le réseau, la transaction et le montant	blockchains publiques, le paiement x402	créditer les paiements, empêcher un double crédit, comptabilité, lier un wallet x402 à son Compte	contrat ; obligation légale
Paramètres de webhooks : URL du point de réception, votre description (« libellé », 200 caractères au plus), abonnements et leurs filtres (par exemple les adresses de wallet que vous suivez), le secret de signature (chiffré)	vous	livrer les évènements	contrat
Journal des livraisons de webhooks : identifiant de requête, tentative, statut HTTP, durée, les 4 premiers Kio de la réponse de votre point de réception	votre point de réception	livraison, réessais, rejeu, support	contrat
Emails de support et de contact	vous	vous répondre	intérêt légitime ; contrat
Journal d'administration : modifications d'un Compte par Femtos (palier, accès offert, gel…)	nous	traçabilité, sécurité	intérêt légitime
Stockage du navigateur (article 11)	votre navigateur	rester connecté, préférences	nécessaire au service demandé

Les paiements se font aujourd'hui uniquement en USDC : nous ne traitons aucune donnée de carte. Le paiement par carte viendra plus tard ; cette politique sera mise à jour avant son ouverture, avec le prestataire de paiement concerné.

Nous ne vendons pas de données personnelles, ne les utilisons pas à des fins publicitaires et ne prenons pas, sur leur base, de décision produisant des effets juridiques ou vous affectant de manière significative.

Fournir un email est facultatif (les Comptes d'agent et x402 n'en ont pas besoin). Sans email, la connexion par email et la récupération du Compte ne sont pas possibles, et certains messages de facturation ne peuvent pas vous parvenir.

4. Durées de conservation

Telles que mises en œuvre aujourd'hui :

Données	Conservation
Données du Compte (email, nom d'agent, email du propriétaire, empreinte et copie chiffrée de la clé, empreinte du secret de gestion, wallet x402 lié, abonnement, accès offerts)	jusqu'à la suppression du Compte ; alors effacées immédiatement de la base active
Liens de connexion et de confirmation	valables 15 minutes, à usage unique ; leurs empreintes sont effacées 24 heures après expiration, ou avec le Compte
Empreintes d'IP d'inscription (plafond quotidien)	48 heures
Sels de preuve de travail	jusqu'à expiration (10 minutes)
Compteurs de limitation en mémoire (IP, clé)	d'une minute à une heure ; perdus au redémarrage
Journaux des serveurs (peuvent contenir des adresses IP et des données de requête)	rotation par volume (5 fichiers de 100 Mo par service) : les entrées les plus anciennes sont écrasées au fil de l'eau. Une durée maximale fixe sera définie et publiée ici
Journal des livraisons de webhooks et messages sortants	7 jours
Points de réception de webhooks (URL, description, abonnements, secret)	jusqu'à leur suppression par vous ; effacés automatiquement 30 jours après que la clé du Compte cesse d'être active (Compte supprimé ou clé non valide)
Relevés d'usage, grand livre de facturation, cycles mensuels, paiements x402, dépôts	conservés après suppression du Compte, rattachés seulement à un numéro interne, comme pièces comptables : jusqu'à 10 ans (article L123-22 du Code de commerce)
Adresses de dépôt	jamais effacées ni réutilisées (des fonds peuvent arriver après la clôture d'un Compte)
Sauvegardes de la base (clés chiffrées, tout ce qui précède)	horaires, effacées après 30 jours : les données supprimées disparaissent des sauvegardes sous 30 jours
Factures et pièces comptables	10 ans (obligation légale)
Emails de support	3 ans après le dernier échange

5. Destinataires et sous-traitants

Les données personnelles ne sont accessibles qu'à Femtos et aux prestataires suivants, dans la limite de leurs besoins :

Prestataire	Rôle	Données	Localisation
Amazon Web Services (AWS)	hébergement : serveurs, bases de données, sauvegardes (Amazon S3)	tout ce qui figure à l'article 3	région de Tokyo (ap-northeast-1), Japon
Amazon SES (AWS)	envoi des emails (liens de connexion et de confirmation)	adresse email, contenu du message	région de Tokyo (ap-northeast-1), Japon
Cloudflare	DNS, diffusion et hébergement de femtos.xyz, tunnel sécurisé vers nos serveurs, protection contre les attaques, contrôle d'accès à nos pages d'administration, routage des emails envoyés à nos adresses	adresse IP, données de requête, contenu des requêtes et réponses en transit, emails qui nous sont adressés	réseau mondial ; Cloudflare, Inc. est établie aux États-Unis
Google (Gmail)	boîte recevant les emails adressés à contact@femtos.xyz	vos emails	États-Unis
Coinbase (facilitateur x402 de Coinbase Developer Platform), lorsqu'il est utilisé	règlement des paiements x402 sur Base et Arbitrum	adresse du payeur, autorisation de paiement signée, montant	États-Unis
Blockchains publiques (HyperEVM, HyperCore, Base, Arbitrum, Elysium)	règlement des paiements en crypto-actifs	adresses, montants et transactions publics par nature, impossibles à effacer	décentralisé

Nous pouvons aussi communiquer des données aux autorités lorsque la loi l'exige, et à nos experts-comptables et conseils pour les pièces de facturation et de comptabilité.

6. Transferts hors de l'Union européenne

Nos serveurs sont au Japon (région AWS de Tokyo). Le Japon bénéficie d'une décision d'adéquation de la Commission européenne (décision (UE) 2019/419). Certains prestataires sont aux États-Unis (Cloudflare, Google, Coinbase, la maison mère d'Amazon) : ces transferts reposent sur le cadre de protection des données UE-États-Unis (Data Privacy Framework) lorsque le prestataire y est certifié, et à défaut sur les clauses contractuelles types de la Commission européenne intégrées à leurs conditions de traitement. Vous pouvez nous demander une copie des garanties applicables.

7. Sécurité

Les clés d'API et secrets de gestion ne sont jamais conservés en clair dans la base (empreinte et copie chiffrée pour les clés, empreinte seule pour les secrets) et ne sont jamais écrits dans les journaux ; les jetons de connexion et de confirmation sont conservés sous forme d'empreinte ; les serveurs d'API n'écoutent que derrière Cloudflare ; les sauvegardes sont chiffrées au repos ; les secrets de signature des webhooks sont chiffrés. Aucun système n'est parfaitement sûr : protégez votre clé et votre secret de gestion, et gelez immédiatement votre clé si vous pensez qu'elle a fuité.

8. Vos droits

Vous disposez d'un droit d'accès, de rectification, d'effacement, de limitation, d'opposition aux traitements fondés sur l'intérêt légitime, de portabilité, et du droit de définir des directives relatives au sort de vos données après votre décès. Vous pouvez introduire une réclamation auprès de la CNIL (www.cnil.fr, 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07) ou de l'autorité de votre pays de l'Union européenne.

Comment les exercer

Supprimer vous-même votre Compte.
- Compte avec email : tableau de bord (femtos.xyz/accounts/dashboard) ou DELETE /accounts/me avec votre clé d'API ; nous envoyons par email un lien de confirmation valable 15 minutes.
- Compte sans email (Agents, x402) : DELETE /accounts/me avec Authorization: Bearer <clé d'API> et X-Management-Secret: <secret de gestion> ; la suppression est immédiate (HTTP 204).
- La suppression est refusée tant qu'un abonnement est en cours (résiliez-le et attendez sa date de fin) ou qu'un dépassement reste impayé. Si votre solde est positif, la suppression n'a lieu qu'après que vous avez confirmé explicitement renoncer à ce solde (CGU/CGV, article 8.5).
- La suppression efface immédiatement les données du Compte ; les relevés indiqués à l'article 4 comme conservés après suppression subsistent, sans email, clé ni lien de wallet ; les sauvegardes se renouvellent sous 30 jours.
Autres demandes (accès, copie de vos données, rectification, opposition…) : écrivez à contact@femtos.xyz. Beaucoup de Comptes n'ayant pas d'email, nous pouvons vous demander de prouver que vous détenez le Compte, par exemple en appelant un point d'accès avec votre clé d'API, en donnant les 4 derniers caractères de la clé ou en signant un message avec le wallet payeur. Nous ne demandons jamais la clé complète ni le secret de gestion par email.
Changer ou geler votre clé à tout moment (tableau de bord ou API).

Nous répondons dans un délai d'un mois (prolongeable de deux mois pour les demandes complexes). Certaines données ne peuvent être effacées tant que nous devons les conserver (obligations comptables, contestation en cours) ou parce qu'elles figurent sur une blockchain publique.

9. Personnes nommées dans le registre des wallets

Cet article constitue l'information prévue par l'article 14 du RGPD pour les personnes dont les données n'ont pas été collectées auprès d'elles.

Femtos tient un registre qui associe certains wallets à une entité nommée : traders et commentateurs publics, fonds, sociétés, projets. Pour chaque entité, il peut contenir un nom ou pseudonyme, un identifiant de réseau social, des alias, des catégories (par exemple « trader », « fonds »), les adresses et chaînes qui lui sont attribuées, un niveau de confiance, la source publique de l'attribution et des notes de recherche.

Source : listes, jeux de données et publications publics (analyses on-chain publiées, tableurs publics, déclarations de la personne elle-même), et nos recherches sur les données publiques des blockchains. Ces données ne sont pas collectées auprès de la personne.
Finalité : permettre à nos Clients de voir à quel acteur public un wallet est attribué, dans les données de marché et les analyses.
Base légale : notre intérêt légitime et celui de nos Clients à disposer d'informations de marché sur les acteurs publics, mis en balance avec les droits des personnes concernées (art. 6.1.f RGPD).
Garanties : les adresses brutes des wallets nommés sont remplacées dans nos réponses par des identifiants pseudonymes stables ; un nom est présenté comme une attribution avec son niveau de confiance, pas comme une identité vérifiée ; nos CGU interdisent de s'en servir pour identifier, suivre ou harceler des particuliers.
Destinataires : nos Clients, par l'API.
Conservation : tant que l'attribution reste pertinente et sourcée ; les entrées sont revues et retirées lorsqu'elles ne le sont plus.
Vos droits : si vous y figurez, vous pouvez demander l'accès, la rectification (attribution erronée) ou l'effacement, et vous opposer à tout moment au traitement. Nous supprimons ou corrigeons l'entrée, sauf motif légitime et impérieux de la conserver.

Demander un retrait ou une correction. Écrivez à contact@femtos.xyz avec l'objet « Registre des wallets », en indiquant :

le nom, pseudonyme ou identifiant affiché, et les adresses de wallet concernées si vous les connaissez ;
ce que vous demandez : retrait de l'entrée, retrait d'une attribution, ou correction (et ce qui est erroné) ;
un élément qui nous permet de vérifier que la demande vient de la personne nommée, lorsqu'elle vous concerne : par exemple un message depuis le compte de réseau social indiqué, ou un message signé avec l'un des wallets. Aucune pièce d'identité n'est nécessaire.

Toute personne peut aussi signaler une attribution qu'elle estime erronée. Nous répondons dans un délai d'un mois et vous indiquons ce que nous avons modifié.

10. Données publiques des blockchains

Les Données que nous indexons proviennent de blockchains publiques : adresses et leurs transactions, soldes, ordres exécutés et positions. Une adresse est un pseudonyme, mais elle peut se rapporter à une personne si elle lui est reliée par ailleurs. Nous traitons ces données publiques sur le fondement de notre intérêt légitime à fournir des services de données blockchain. Nous ne pouvons ni modifier ni effacer ce qui est inscrit sur une blockchain. Vous pouvez vous opposer au traitement des données relatives à une adresse que vous contrôlez en écrivant à contact@femtos.xyz ; nous examinerons la demande au regard du caractère public des données et de l'intérêt de nos Clients.

11. Cookies et stockage du navigateur

Femtos n'utilise ni cookies publicitaires ni cookies de mesure d'audience et ne dépose aucun cookie propre sur femtos.xyz. Nos pages enregistrent dans le stockage local de votre navigateur : votre clé d'API une fois connecté (dataapi.key, effacée à la déconnexion), votre thème et votre langue, et la page où revenir après une connexion (30 minutes). Ces éléments sont strictement nécessaires au service demandé et ne requièrent pas de consentement. Cloudflare peut déposer des cookies techniques de sécurité et de protection contre les robots.