Politique de confidentialité (RGPD)

La présente politique de confidentialité décrit la manière dont ORION traite les données à caractère personnel dans le cadre de l'utilisation de sa plateforme, conformément au Règlement (UE) 2016/679 du 27 avril 2016 (RGPD) et à la loi n° 78-17 du 6 janvier 1978 modifiée (« Informatique et Libertés »). ORION est une plateforme B2B destinée aux conseillers en gestion de patrimoine (CGP, family offices, experts-comptables patrimoniaux), qui y gèrent le patrimoine de leurs propres clients.

Point essentiel pour comprendre cette politique : ORION intervient sous deux qualités juridiques distinctes selon les données concernées. La distinction est détaillée à la section « Rôles : qui est responsable de quoi ? ».

1. Responsable de traitement et éditeur

La plateforme ORION est accessible depuis le domaine orion-finance.eu. L'identification complète de l'éditeur (raison sociale, forme juridique, immatriculation, siège social, représentant légal) figure dans les conditions générales d'utilisation et est communiquée sur simple demande écrite à contact@orion-finance.eu.

Pour les traitements dans lesquels la société éditrice agit en qualité de responsable de traitement (voir section 2), c'est cette société, ci-après « ORION », qui détermine les finalités et les moyens du traitement.

2. Rôles : qui est responsable de quoi ?

La qualification RGPD d'ORION dépend de la catégorie de données. Cette distinction conditionne l'exercice des droits (voir section 8) :

2.1. ORION, responsable de traitement (comptes conseillers)

Pour les données relatives aux conseillers utilisateurs (les personnes physiques qui créent et utilisent un compte au sein d'un cabinet abonné) et à la relation contractuelle avec le cabinet, ORION est responsable de traitement. ORION décide seul des finalités : fournir l'accès au service, gérer les comptes, facturer, assurer le support, sécuriser la plateforme.

2.2. ORION, sous-traitant (données patrimoniales des clients finaux)

Pour les données patrimoniales des clients finaux du conseiller — identité, composition du patrimoine (immobilier, titres financiers, comptes bancaires, private equity / non-coté, actifs de prestige), données bancaires agrégées, pièces de KYC, profil investisseur MIFID II, documents de la GED, données de transmission — ORION agit en qualité de sous-traitant au sens de l'article 28 du RGPD.

Dans ce cas, le conseiller (le cabinet) est le responsable de traitement : c'est lui qui détermine pourquoi et comment ces données sont traitées, qui a la relation directe avec la personne concernée et qui répond en première ligne de l'exercice de ses droits. ORION traite ces données uniquement sur instruction du conseiller et pour lui fournir le service. Les conditions de cette sous-traitance (sécurité, confidentialité, recours à des sous-traitants ultérieurs, assistance, sort des données en fin de contrat) sont encadrées par un accord de traitement des données (DPA) annexé au contrat d'abonnement.

En pratique : si vous êtes un client final et que vous souhaitez exercer vos droits sur vos données patrimoniales, adressez-vous d'abord à votre conseiller, qui en est le responsable de traitement. ORION relaiera toute demande à ce dernier.

3. Données collectées et finalités

3.1. Données des conseillers et des cabinets (ORION responsable)

• Données de compte et d'identification : nom, prénom, adresse e-mail professionnelle, fonction, identifiants de connexion, cabinet de rattachement.
• Données contractuelles et de facturation : raison sociale du cabinet, coordonnées, formule d'abonnement (Indépendant, Cabinet, Réseau), historique de facturation.
• Données d'usage et techniques : journaux de connexion, adresse IP, logs techniques et piste d'audit des opérations sensibles (à des fins de sécurité et de traçabilité).
• Données de support et de communication : échanges avec le support, demandes via contact@orion-finance.eu, consentement aux communications (newsletter, notifications).

Finalités correspondantes :

• fournir, administrer et maintenir l'accès à la plateforme ;
• gérer la relation contractuelle et la facturation ;
• assurer la sécurité, prévenir la fraude et tracer les accès (piste d'audit) ;
• fournir le support et répondre aux demandes ;
• envoyer, le cas échéant, des communications relatives au service ou, avec consentement, des communications marketing (newsletter).

3.2. Données patrimoniales des clients finaux (ORION sous-traitant)

Ces données sont saisies ou importées par le conseiller pour exercer sa mission de gestion de patrimoine. Elles peuvent comprendre :

• l'identité et les coordonnées des clients finaux et, le cas échéant, de leurs proches (transmission, organigramme capitalistique, bénéficiaires) ;
• la composition du patrimoine : immobilier, titres financiers, comptes bancaires, private equity / non-coté, actifs de prestige (véhicules, art, navires, aéronefs, montres et bijoux) ;
• les données bancaires agrégées automatiquement via le service Powens (soldes, opérations, comptes) ;
• les pièces et données de KYC et le profil investisseur (MIFID II) ;
• les documents déposés dans le coffre-fort documentaire (GED), traités le cas échéant par OCR ;
• les données de transmission (simulation des droits de succession, coffre-fort de transmission scellé).

La finalité de ces traitements est définie par le conseiller responsable. ORION les traite uniquement pour fournir les fonctionnalités de la plateforme, sur instruction, et ne les exploite à aucune autre fin.

4. Bases légales

Conformément à l'article 6 du RGPD, les traitements reposent sur les bases légales suivantes :

• Exécution du contrat (art. 6.1.b) : création et gestion des comptes conseillers, fourniture du service, facturation.
• Intérêt légitime (art. 6.1.f) : sécurité de la plateforme, prévention de la fraude, piste d'audit, amélioration du service. Cet intérêt est mis en balance avec les droits des personnes concernées.
• Obligation légale (art. 6.1.c) : conservation des documents comptables et de facturation, réponse aux réquisitions.
• Consentement (art. 6.1.a) : communications marketing (newsletter), retiré à tout moment.
• Pour les données des clients finaux traitées en sous-traitance : la base légale est déterminée par le conseiller responsable de traitement (le plus souvent l'exécution du contrat de conseil et le respect des obligations réglementaires qui lui incombent).

5. Destinataires et sous-traitants ultérieurs

Les données ne sont jamais vendues. Elles ne sont accessibles qu'aux personnes habilitées et aux sous-traitants techniques strictement nécessaires à la fourniture du service, chacun encadré par un contrat conforme à l'article 28 du RGPD. Les sous-traitants réels d'ORION sont :

• Supabase — hébergement de la base de données et du coffre-fort documentaire, sur une infrastructure située en Europe. Supabase héberge l'ensemble des données de la plateforme.
• Powens — agrégation bancaire automatique : connexion sécurisée aux comptes bancaires des clients finaux pour en récupérer les soldes et opérations, sur instruction du conseiller.
• Anthropic — fournisseur de l'intelligence artificielle utilisée par les fonctionnalités d'IA (copilote patrimonial, OCR / auto-remplissage de documents). Les contenus soumis au service d'IA sont traités pour produire la réponse attendue.

Peuvent également être destinataires, dans la stricte limite de leurs missions : le prestataire d'envoi d'e-mails transactionnels et de newsletter (Resend), les éventuels prestataires de paiement et de facturation lors de la souscription d'un abonnement, et, le cas échéant, les autorités administratives ou judiciaires sur réquisition légale.

6. Transferts hors Union européenne

ORION privilégie un hébergement en Europe : les données de la plateforme sont hébergées sur l'infrastructure européenne de Supabase et restent, par principe, dans l'Espace économique européen.

Certains sous-traitants peuvent toutefois être établis hors de l'Union européenne ou y opérer des traitements ponctuels. C'est notamment susceptible d'être le cas pour Anthropic (service d'IA), dont la maison mère est établie aux États-Unis. Lorsqu'un transfert hors UE a lieu, il est encadré par les garanties prévues au chapitre V du RGPD, en particulier les clauses contractuelles types (CCT) adoptées par la Commission européenne, complétées le cas échéant de mesures techniques et organisationnelles supplémentaires. Le détail à jour des sous-traitants, des pays concernés et des garanties applicables peut être obtenu sur demande à contact@orion-finance.eu.

7. Durées de conservation

Les données sont conservées pour la durée strictement nécessaire aux finalités, puis supprimées ou anonymisées :

• Comptes conseillers et données d'usage : pendant toute la durée de la relation contractuelle, puis archivées ou supprimées dans un délai maximal de douze (12) mois après la résiliation, hors obligations légales de conservation plus longues.
• Données patrimoniales des clients finaux : conservées tant que le conseiller maintient le périmètre client actif ; à la fin du contrat, restituées et/ou supprimées selon les instructions du conseiller, conformément au DPA.
• Documents comptables et de facturation : conservés 10 ans, conformément aux obligations légales (article L. 123-22 du code de commerce).
• Journaux techniques et piste d'audit : conservés pendant la durée de la relation contractuelle (la piste d'audit scellée est, par construction, infalsifiable et non modifiable), dans la limite de ce qui est nécessaire à la sécurité et à la traçabilité réglementaire.
• Données de prospection / newsletter : jusqu'au retrait du consentement ou, à défaut d'interaction, dans un délai conforme aux recommandations de la CNIL (3 ans à compter du dernier contact).
• Demandes envoyées par le formulaire de contact : trois ans dans notre base à compter de la dernière demande envoyée depuis la même adresse électronique (dernier contact émanant de la personne, conformément au référentiel de la CNIL), puis supprimées automatiquement. La copie de chaque demande envoyée par courriel à contact@orion-finance.eu n'est pas supprimée automatiquement : elle est effacée sur demande adressée à la même adresse.

8. Droits des personnes concernées

Conformément aux articles 15 à 22 du RGPD, toute personne concernée dispose des droits suivants :

• Droit d'accès : obtenir la confirmation que des données la concernant sont traitées et en recevoir une copie.
• Droit de rectification : faire corriger des données inexactes ou incomplètes.
• Droit à l'effacement (« droit à l'oubli »), dans les conditions prévues par le RGPD.
• Droit à la limitation du traitement.
• Droit à la portabilité : recevoir ses données dans un format structuré, couramment utilisé et lisible par machine.
• Droit d'opposition, notamment au traitement fondé sur l'intérêt légitime et à la prospection commerciale.
• Droit de retirer son consentement à tout moment, sans que cela n'affecte la licéité du traitement antérieur.
• Droit de définir des directives relatives au sort de ses données après son décès.

Comment exercer ces droits ? Si vous êtes un conseiller (ORION responsable de traitement), adressez-vous directement à ORION à l'adresse ci-dessous. Si vous êtes un client final, vos données patrimoniales sont sous la responsabilité de votre conseiller : adressez votre demande à votre conseiller, responsable de traitement. ORION, comme sous-traitant, apporte son assistance au conseiller pour répondre à ces demandes. Une preuve d'identité pourra être demandée. Une réponse est apportée dans un délai d'un mois, prorogeable conformément au RGPD.

9. Délégué à la protection des données et contact

Pour toute question relative à la présente politique ou à l'exercice de vos droits, vous pouvez contacter ORION :

• Par e-mail : contact@orion-finance.eu
• Référent protection des données :ORION n'a pas désigné de délégué à la protection des données (DPO) à ce jour ; le référent RGPD est joignable à l'adresse e-mail ci-dessus, objet « Protection des données ».

10. Sécurité des données

ORION met en œuvre des mesures techniques et organisationnelles appropriées pour protéger les données : isolation multi-tenant stricte par Row Level Security (RLS) au niveau de la base de données, chiffrement en transit et au repos, hébergement en Europe, coffre-fort de transmission scellé avec preuve d'intégrité SHA-256 et piste d'audit des opérations sensibles. Ces dispositifs sont décrits sur la page Sécurité.

Pour assurer la fiabilité et la sécurité du service, ORION utilise un outil de supervision technique des erreurs (Sentry) configuré de façon minimale : il ne collecte pas de donnée personnelle identifiante de manière volontaire(option « PII » désactivée) et n'enregistre aucun rejeu de session. Ce traitement repose sur l'intérêt légitime d'ORION à garantir la sécurité et le bon fonctionnement de la plateforme (art. 6.1.f RGPD).

11. Réclamation auprès de la CNIL

Si vous estimez, après nous avoir contactés, que vos droits ne sont pas respectés, vous pouvez introduire une réclamation auprès de la Commission nationale de l'informatique et des libertés (CNIL) :

• CNIL — 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07
• Site web : www.cnil.fr

Si vos données patrimoniales sont concernées, votre interlocuteur de premier niveau reste votre conseiller, responsable de traitement.

12. Cookies, mesure d'audience et géolocalisation

L'utilisation de cookies et de traceurs sur le domaine orion-finance.eu est décrite dans notre politique de cookies dédiée. Les cookies strictement nécessaires (session, authentification, préférence de service, mémorisation du choix de consentement) sont déposés sans consentement car ils en sont exemptés.

Avec votre consentement préalable (recueilli via un bandeau granulaire conforme aux exigences de la CNIL), ORION peut également déposer des traceurs de mesure d'audience 1er-party (statistiques de fréquentation internes, sans cookie tiers ni publicité) et de géolocalisation au grain pays (déduction du pays de connexion, jamais une position précise). Votre adresse IP n'est dans ce cadre jamais conservée en entier (elle est tronquée). La base légale de ces traitements est le consentement (art. 6.1.a RGPD et art. 82 de la loi Informatique et Libertés) ; il est révocable à tout momentvia le lien « Gérer mes cookies » en pied de page. ORION conserve la preuve de votre consentement (choix, date, version de la politique) pendant 13 mois.

13. Modifications de la présente politique

ORION peut faire évoluer la présente politique pour tenir compte des évolutions légales, réglementaires ou techniques. La version applicable est celle publiée sur cette page. En cas de modification substantielle, les utilisateurs conseillers en sont informés par un moyen approprié.

Dernière mise à jour : 10 juin 2026.