# Politique de confidentialité de Femtos

Dernière mise à jour : 2026-10-22.

Cette politique explique quelles données personnelles Femtos traite, pourquoi, combien de temps, qui les reçoit et
comment exercer vos droits au titre du règlement général sur la protection des données (RGPD) et de la loi
Informatique et Libertés. Elle existe aussi en anglais sur https://femtos.xyz/privacy.

## 1. Responsable du traitement

**Femtos**. Contact données personnelles : contact@femtos.xyz. Femtos est en cours d'immatriculation en France sous
forme de société ; son identité légale complète (dénomination, numéro d'immatriculation, siège social) sera ajoutée
ici dès la fin de l'immatriculation. Aucun délégué à la protection des données n'est désigné (non obligatoire pour
l'activité de Femtos).

## 2. Personnes concernées

- **Visiteurs** de femtos.xyz et docs.femtos.xyz ;
- **Clients** et **utilisateurs de l'API** : titulaires d'un Compte (inscription par email), opérateurs d'Agents
  (inscription d'agent ou paiement x402), et les personnes à qui ils confient leur clé ;
- **Payeurs** : personnes qui paient en USDC vers une adresse de dépôt ou par x402 ;
- **Personnes nommées dans le registre des wallets** (article 9) ;
- **Personnes dont l'activité publique sur blockchain** figure dans les Données (article 10).

## 3. Données traitées, finalités et bases légales

| Données | Origine | Finalité | Base légale (art. 6 RGPD) |
|---|---|---|---|
| **Adresse email** (facultative : inscription humaine ; pour les agents, un `owner_email` facultatif, jamais vérifié et jamais utilisé pour écrire) | vous | Compte, liens de connexion, confirmations de changement de clé / suppression / dégel, messages de facturation | contrat (6.1.b) |
| **Nom d'agent** (`agent_name`, texte libre de votre choix) | vous | identifier le Compte dans votre tableau de bord | contrat |
| **Clé d'API** : conservée sous forme d'empreinte SHA-256 et d'une copie chiffrée (AES-256-GCM), 4 derniers caractères pour l'affichage. **Secret de gestion** : empreinte SHA-256 uniquement | générées par nous | authentification, fichiers de clés des serveurs d'API | contrat |
| **Adresse IP** | votre connexion, via Cloudflare | limitation de débit par adresse (en mémoire, de quelques minutes à une heure) ; plafond quotidien d'inscriptions gratuites (empreinte à clé, HMAC, de l'adresse, pas l'adresse elle-même) ; sécurité ; elle peut aussi figurer dans les journaux des serveurs | intérêt légitime à protéger les Services et prévenir les abus (6.1.f) |
| **Données de requête** : méthode, chemin (clés masquées), statut, durée, identifiant de requête, nom du Compte, horodatage | vos appels | exploitation, débogage, sécurité, support (vous pouvez citer un identifiant de requête) | intérêt légitime |
| **Relevés d'usage** : crédits par Compte, heure et classe d'appel ; totaux mensuels | vos appels | comptage, facturation, limites, historique d'usage | contrat ; obligation légale pour les pièces de facturation (6.1.c) |
| **Données de facturation** : grand livre des crédits et débits, soldes, abonnement et son statut, plafond de dépense, identifiants et montants des paiements, remboursements | vous, blockchains publiques | facturation, comptabilité, traitement de la fraude | contrat ; obligation légale (comptabilité) |
| **Adresses de wallet et transactions** : l'adresse de dépôt de votre Compte ; l'adresse d'envoi, le hash, le montant et le bloc des dépôts ; l'adresse du payeur x402, le réseau, la transaction et le montant | blockchains publiques, le paiement x402 | créditer les paiements, empêcher un double crédit, comptabilité, lier un wallet x402 à son Compte | contrat ; obligation légale |
| **Paramètres de webhooks** : URL du point de réception, votre description (« libellé », 200 caractères au plus), abonnements et leurs filtres (par exemple les adresses de wallet que vous suivez), le secret de signature (chiffré) | vous | livrer les évènements | contrat |
| **Journal des livraisons de webhooks** : identifiant de requête, tentative, statut HTTP, durée, les 4 premiers Kio de la réponse de votre point de réception | votre point de réception | livraison, réessais, rejeu, support | contrat |
| **Emails de support et de contact** | vous | vous répondre | intérêt légitime ; contrat |
| **Journal d'administration** : modifications d'un Compte par Femtos (palier, accès offert, gel…) | nous | traçabilité, sécurité | intérêt légitime |
| **Stockage du navigateur** (article 11) | votre navigateur | rester connecté, préférences | nécessaire au service demandé |

Les paiements se font aujourd'hui uniquement en USDC : nous ne traitons aucune donnée de carte. Le paiement par carte
viendra plus tard ; cette politique sera mise à jour avant son ouverture, avec le prestataire de paiement concerné.

Nous ne vendons pas de données personnelles, ne les utilisons pas à des fins publicitaires et ne prenons pas, sur
leur base, de décision produisant des effets juridiques ou vous affectant de manière significative.

Fournir un email est facultatif (les Comptes d'agent et x402 n'en ont pas besoin). Sans email, la connexion par
email et la récupération du Compte ne sont pas possibles, et certains messages de facturation ne peuvent pas vous
parvenir.

## 4. Durées de conservation

Telles que mises en œuvre aujourd'hui :

| Données | Conservation |
|---|---|
| Données du Compte (email, nom d'agent, email du propriétaire, empreinte et copie chiffrée de la clé, empreinte du secret de gestion, wallet x402 lié, abonnement, accès offerts) | jusqu'à la suppression du Compte ; alors effacées immédiatement de la base active |
| Liens de connexion et de confirmation | valables 15 minutes, à usage unique ; leurs empreintes sont effacées 24 heures après expiration, ou avec le Compte |
| Empreintes d'IP d'inscription (plafond quotidien) | 48 heures |
| Sels de preuve de travail | jusqu'à expiration (10 minutes) |
| Compteurs de limitation en mémoire (IP, clé) | d'une minute à une heure ; perdus au redémarrage |
| Journaux des serveurs (peuvent contenir des adresses IP et des données de requête) | rotation par volume (5 fichiers de 100 Mo par service) : les entrées les plus anciennes sont écrasées au fil de l'eau. Une durée maximale fixe sera définie et publiée ici |
| Journal des livraisons de webhooks et messages sortants | 7 jours |
| Points de réception de webhooks (URL, description, abonnements, secret) | jusqu'à leur suppression par vous ; effacés automatiquement 30 jours après que la clé du Compte cesse d'être active (Compte supprimé ou clé non valide) |
| Relevés d'usage, grand livre de facturation, cycles mensuels, paiements x402, dépôts | conservés après suppression du Compte, rattachés seulement à un numéro interne, comme pièces comptables : jusqu'à 10 ans (article L123-22 du Code de commerce) |
| Adresses de dépôt | jamais effacées ni réutilisées (des fonds peuvent arriver après la clôture d'un Compte) |
| Journal d'administration (modifications d'un Compte par l'équipe de Femtos : ce qui a changé, quand, par quel membre de l'équipe, l'état avant et après, une note) | 36 mois après chaque modification, puis effacé. À la suppression du Compte, ses lignes subsistent avec seulement ce qui a été fait, quand et par qui, rattaché à un numéro interne : la note et les 4 derniers caractères de la clé sont effacés |
| Sauvegardes de la base (clés chiffrées, tout ce qui précède) | horaires, effacées après 30 jours : les données supprimées disparaissent des sauvegardes sous 30 jours |
| Factures et pièces comptables | 10 ans (obligation légale) |
| Emails de support | 3 ans après le dernier échange |

## 5. Destinataires et sous-traitants

Les données personnelles ne sont accessibles qu'à Femtos et aux prestataires suivants, dans la limite de leurs
besoins :

| Prestataire | Rôle | Données | Localisation |
|---|---|---|---|
| **Amazon Web Services** (AWS) | hébergement : serveurs, bases de données, sauvegardes (Amazon S3) | tout ce qui figure à l'article 3 | région de Tokyo (ap-northeast-1), Japon |
| **Amazon SES** (AWS) | envoi des emails (liens de connexion et de confirmation) | adresse email, contenu du message | région de Tokyo (ap-northeast-1), Japon |
| **Cloudflare** | DNS, diffusion et hébergement de femtos.xyz, tunnel sécurisé vers nos serveurs, protection contre les attaques, contrôle d'accès à nos pages d'administration, routage des emails envoyés à nos adresses | adresse IP, données de requête, contenu des requêtes et réponses en transit, emails qui nous sont adressés | réseau mondial ; Cloudflare, Inc. est établie aux États-Unis |
| **Google** (Gmail) | boîte recevant les emails adressés à contact@femtos.xyz | vos emails | États-Unis |
| **Coinbase** (facilitateur x402 de Coinbase Developer Platform), lorsqu'il est utilisé | règlement des paiements x402 sur Base et Arbitrum | adresse du payeur, autorisation de paiement signée, montant | États-Unis |
| **Hyperliquid** (api.hyperliquid.xyz) | données publiques de Hyperliquid : notre API compatible Hyperliquid lui transmet certaines requêtes `/info` ; la page compatible Hyperliquid de femtos.xyz lui envoie aussi la requête que vous y lancez, directement depuis votre navigateur, pour comparer les réponses | requêtes transmises : leur contenu (par exemple les adresses interrogées), sans votre adresse IP ni votre clé d'API ; appels de la page : votre adresse IP, les données de requête du navigateur et le contenu de la requête | non publiée par Hyperliquid |
| **Blockchains publiques** (HyperEVM, HyperCore, Base, Arbitrum, Elysium) | règlement des paiements en crypto-actifs | adresses, montants et transactions publics par nature, impossibles à effacer | décentralisé |

Nous pouvons aussi communiquer des données aux autorités lorsque la loi l'exige, et à nos experts-comptables et
conseils pour les pièces de facturation et de comptabilité.

## 6. Transferts hors de l'Union européenne

Nos serveurs sont au **Japon** (région AWS de Tokyo). Le Japon bénéficie d'une décision d'adéquation de la Commission
européenne (décision (UE) 2019/419). Certains prestataires sont aux **États-Unis** (Cloudflare, Google, Coinbase, la
maison mère d'Amazon) : ces transferts reposent sur le cadre de protection des données UE-États-Unis (Data Privacy
Framework) lorsque le prestataire y est certifié, et à défaut sur les clauses contractuelles types de la Commission
européenne intégrées à leurs conditions de traitement. Vous pouvez nous demander une copie des garanties applicables.

## 7. Sécurité

Les clés d'API et secrets de gestion ne sont jamais conservés en clair dans la base (empreinte et copie chiffrée pour
les clés, empreinte seule pour les secrets) et ne sont jamais écrits dans les journaux ; les jetons de connexion et de
confirmation sont conservés sous forme d'empreinte ; les serveurs d'API n'écoutent que derrière Cloudflare ; les
sauvegardes sont chiffrées au repos ; les secrets de signature des webhooks sont chiffrés. Aucun système n'est
parfaitement sûr : protégez votre clé et votre secret de gestion, et gelez immédiatement votre clé si vous pensez
qu'elle a fuité.

## 8. Vos droits

Vous disposez d'un droit d'**accès**, de **rectification**, d'**effacement**, de **limitation**, d'**opposition** aux
traitements fondés sur l'intérêt légitime, de **portabilité**, et du droit de définir des directives relatives au sort
de vos données après votre décès. Vous pouvez introduire une réclamation auprès de la **CNIL** (www.cnil.fr, 3 place
de Fontenoy, TSA 80715, 75334 Paris Cedex 07) ou de l'autorité de votre pays de l'Union européenne.

**Comment les exercer**

- **Supprimer vous-même votre Compte.**
  - Compte avec email : tableau de bord (https://femtos.xyz/accounts/dashboard) ou `DELETE /accounts/me` avec votre
    clé d'API ; nous envoyons par email un lien de confirmation valable 15 minutes.
  - Compte sans email (Agents, x402) : `DELETE /accounts/me` avec `Authorization: Bearer <clé d'API>` **et**
    `X-Management-Secret: <secret de gestion>` ; la suppression est immédiate (HTTP 204).
  - La suppression est refusée tant qu'un abonnement est en cours (résiliez-le et attendez sa date de fin) ou qu'un
    dépassement reste impayé. Si votre solde est positif, la suppression n'a lieu qu'après que vous avez confirmé
    explicitement renoncer à ce solde (CGU/CGV, article 8.5).
  - La suppression efface immédiatement les données du Compte ; les relevés indiqués à l'article 4 comme conservés
    après suppression (pièces comptables, adresses de dépôt, journal d'administration sans ses notes ni les caractères
    de la clé) subsistent, sans email, clé ni lien de wallet ; les sauvegardes se renouvellent sous 30 jours.
- **Autres demandes** (accès, copie de vos données, rectification, opposition…) : écrivez à contact@femtos.xyz.
  Beaucoup de Comptes n'ayant pas d'email, nous pouvons vous demander de prouver que vous détenez le Compte, par exemple
  en appelant un point d'accès avec votre clé d'API, en donnant les 4 derniers caractères de la clé ou en signant un
  message avec le wallet payeur. Nous ne demandons jamais la clé complète ni le secret de gestion par email.
- **Changer ou geler** votre clé à tout moment (tableau de bord ou API).

Nous répondons dans un délai d'un mois (prolongeable de deux mois pour les demandes complexes). Certaines données ne
peuvent être effacées tant que nous devons les conserver (obligations comptables, contestation en cours) ou parce
qu'elles figurent sur une blockchain publique.

## 9. Personnes nommées dans le registre des wallets

Cet article constitue l'information prévue par l'article 14 du RGPD pour les personnes dont les données n'ont pas été
collectées auprès d'elles.

Femtos tient un registre qui associe certains wallets à une entité nommée : traders et commentateurs publics, fonds,
sociétés, projets. Pour chaque entité, il peut contenir un nom ou pseudonyme, un identifiant de réseau social, des
alias, des catégories (par exemple « trader », « fonds »), les adresses et chaînes qui lui sont attribuées, un niveau
de confiance, la source publique de l'attribution et des notes de recherche.

- **Source** : listes, jeux de données et publications publics (analyses on-chain publiées, tableurs publics,
  déclarations de la personne elle-même), et nos recherches sur les données publiques des blockchains. Ces données ne
  sont pas collectées auprès de la personne.
- **Finalité** : permettre à nos Clients de voir à quel acteur public un wallet est attribué, dans les données de
  marché et les analyses.
- **Base légale** : notre intérêt légitime et celui de nos Clients à disposer d'informations de marché sur les
  acteurs publics, mis en balance avec les droits des personnes concernées (art. 6.1.f RGPD).
- **Garanties** : les adresses brutes des wallets nommés sont remplacées par des identifiants pseudonymes stables
  dans les réponses de notre propre API (REST, WebSocket, MCP, webhooks) ; notre API compatible Hyperliquid (`/info`
  et son WebSocket) renvoie les adresses brutes, comme l'API de Hyperliquid elle-même ; un nom est présenté comme une
  attribution avec son niveau de confiance, pas comme une identité vérifiée ; nos CGU interdisent de s'en servir pour
  identifier, suivre ou harceler des particuliers.
- **Destinataires** : nos Clients, par l'API.
- **Conservation** : tant que l'attribution reste pertinente et sourcée ; les entrées sont revues et retirées
  lorsqu'elles ne le sont plus.
- **Vos droits** : si vous y figurez, vous pouvez demander l'accès, la rectification (attribution erronée) ou
  l'effacement, et vous **opposer** à tout moment au traitement. Nous supprimons ou corrigeons l'entrée, sauf motif
  légitime et impérieux de la conserver.

**Demander un retrait ou une correction.** Écrivez à **contact@femtos.xyz** avec l'objet « Registre des wallets », en
indiquant :
- le nom, pseudonyme ou identifiant affiché, et les adresses de wallet concernées si vous les connaissez ;
- ce que vous demandez : retrait de l'entrée, retrait d'une attribution, ou correction (et ce qui est erroné) ;
- un élément qui nous permet de vérifier que la demande vient de la personne nommée, lorsqu'elle vous concerne : par
  exemple un message depuis le compte de réseau social indiqué, ou un message signé avec l'un des wallets. Aucune pièce
  d'identité n'est nécessaire.

Toute personne peut aussi signaler une attribution qu'elle estime erronée. Nous répondons dans un délai d'un mois et
vous indiquons ce que nous avons modifié.

## 10. Données publiques des blockchains

Les Données que nous indexons proviennent de blockchains publiques : adresses et leurs transactions, soldes, ordres
exécutés et positions. Une adresse est un pseudonyme, mais elle peut se rapporter à une personne si elle lui est
reliée par ailleurs. Nous traitons ces données publiques sur le fondement de notre intérêt légitime à fournir des
services de données blockchain. Nous ne pouvons ni modifier ni effacer ce qui est inscrit sur une blockchain. Vous
pouvez vous opposer au traitement des données relatives à une adresse que vous contrôlez en écrivant à
contact@femtos.xyz ; nous examinerons la demande au regard du caractère public des données et de l'intérêt de nos
Clients.

## 11. Cookies et stockage du navigateur

Femtos n'utilise ni cookies publicitaires ni cookies de mesure d'audience et ne dépose aucun cookie propre sur
femtos.xyz. Nos pages enregistrent dans le stockage local de votre navigateur : votre clé d'API une fois connecté
(`dataapi.key`, effacée à la déconnexion), votre thème et votre langue, et la page où revenir après une connexion
(30 minutes). Ces éléments sont strictement nécessaires au service demandé et ne requièrent pas de consentement.
Cloudflare peut déposer des cookies techniques de sécurité et de protection contre les robots.

## 12. Mineurs

Les Services ne s'adressent pas aux enfants. Les services payants sont réservés aux majeurs (CGU/CGV, article 3.4).

## 13. Modifications

Toute modification de cette politique sera publiée ici avec sa date ; les Clients ayant une adresse email seront
prévenus des changements importants.

## 14. Contact

Femtos. Données personnelles : contact@femtos.xyz.