Protection de vos données

Version en projet, à valider par l’avocat. L’inscription des particuliers n’est pas ouverte au public tant que ce texte n’est pas validé.

Lorsque vous ouvrez vous-même un espace ORION, la société éditrice est responsable du traitement de vos données au sens du règlement général sur la protection des données (RGPD). La présente politique fait partie des conditions générales d’utilisation des particuliers.

1. Responsable du traitement

L’éditeur identifié dans les mentions légales. Pour toute question relative à vos données : dpo@harlington.eu (délégué à la protection des données).

2. Les données traitées

• Identité et contact : sexe, nom, prénom, date de naissance, nationalité, adresse postale, adresse électronique, téléphone.
• Patrimoine : ce que vous saisissez ou importez — comptes, placements, biens, prêts, sociétés, revenus, charges, situation familiale, fiscale et successorale.
• Données bancaires, si vous connectez vos comptes : soldes, opérations, libellés et identifiants masqués. Vos identifiants de banque ne sont jamais connus d’ORION.
• Documents que vous déposez, et les informations que le service en extrait.
• Données de santé, uniquement si vous remplissez le questionnaire de prévoyance, avec votre consentement exprès.
• Données techniques et de sécurité : journaux de connexion, appareil, adresse IP, actions dans l’espace.
• Preuve d’acceptation des présents textes : version acceptée, date, adresse IP tronquée, type de navigateur.
• Empreintes anti-abus : empreintes chiffrées (HMAC) de votre adresse électronique, de votre identité, de votre téléphone et, pour une offre payante, de votre carte ; et l’antécédent d’abonnement payant (voir 3.3).

3. Pourquoi, et sur quel fondement

3.1 Ouvrir votre espace et fournir le service — exécution du contrat

Tout ce que le service fait pour vous repose sur le contrat que vous concluez en vous inscrivant (RGPD, art. 6-1-b) : tenir votre espace et consolider votre patrimoine ; récupérer vos données bancaires sur votre instruction ; lire, classer et analyser vos documents ; calculer vos simulations, analyses et alertes, qui constituent un profilage ; répondre dans l’assistant ; gérer votre abonnement et sa facturation ; vous adresser les messages de service, dont la confirmation de votre contrat.

Pourquoi chaque information de l’inscription est demandée : le sexe sert aux simulations de retraite et de prévoyance, qui en dépendent ; la nationalité, à la fiscalité et au droit de la succession applicables ; la date de naissance, à la majorité et aux simulations ; l’adresse postale, au pays de résidence (fiscalité, facturation, médiation) ; le téléphone, à la sécurité de votre compte et à son rétablissement. (à valider par l’avocat)

Votre adresse électronique est vérifiée par un code à 6 chiffres, valable 10 minutes, envoyé par courriel ; seule une empreinte du code est conservée, jamais le code lui-même.

Aucune décision produisant des effets juridiques à votre égard n’est prise sur le seul fondement d’un traitement automatisé.

3.2 Protéger le service — intérêt légitime

Sécuriser les accès, prévenir la fraude et les inscriptions automatisées (vérification anti-robot, limitation du nombre de tentatives), tenir une piste d’audit, diagnostiquer les incidents (RGPD, art. 6-1-f). Votre mot de passe est comparé aux fuites de données publiques connues sans jamais être transmis : seul un fragment de son empreinte est envoyé au service Have I Been Pwned. Vous pouvez vous opposer à ces traitements pour des raisons tenant à votre situation particulière, sauf lorsqu’ils sont nécessaires à la sécurité du service.

3.3 Réserver les avantages à qui y a droit — intérêt légitime

Une période gratuite par personne, des codes promotionnels réservés à qui n’a jamais payé d’abonnement, un parrainage qui ne rémunère pas le retour d’un ancien abonné : ces règles exigent de reconnaître une personne déjà venue. ORION conserve à cette fin des empreintes chiffrées (HMAC, avec une clé secrète) de votre adresse électronique, de votre identité, de votre téléphone et de votre carte, et l’antécédent d’un abonnement payant, mis à jour à chaque paiement. Elles sont conservées 36 mois (3 ans) après la fin de votre dernier contrat, puis supprimées ; tant qu’un compte existe, offre Découverte comprise, elles sont conservées (RGPD, art. 6-1-f). (à valider par l’avocat)

Parrainage : si vous êtes parrainé, votre parrain est informé de votre inscription et de votre passage à une offre payante, sans accès à vos données ; un compteur de places est tenu côté parrain. Copilote : le nombre de questions posées dans le mois est compté pour appliquer la limite de votre offre ; le contenu des questions n’est pas conservé à ce titre.

3.4 Vous informer de nos offres — intérêt légitime, opposition à tout moment

Nous pouvons vous adresser des informations sur les offres ORION analogues à celles que vous utilisez (article L34-5 du code des postes et des communications électroniques). Chaque message comporte un lien pour vous y opposer, sans frais.

3.5 Ce qui n’a lieu qu’avec votre consentement

• Vos réponses au questionnaire de santé (RGPD, art. 9-2-a).
• La transmission de votre dossier au cabinet partenaire (Harlington), si vous acceptez sa prise en charge.
• Les communications de partenaires, si vous les demandez.

4. Qui y a accès

Vos données ne sont jamais vendues. Elles sont accessibles aux personnes habilitées d’ORION et aux prestataires qui nous permettent de rendre le service, liés par un contrat conforme à l’article 28 du RGPD :

• Supabase — base de données et stockage des documents (Irlande, Union européenne) ;
• Vercel — hébergement de l’application (région de Francfort) ;
• Powens — agrégation bancaire, prestataire agréé de services d’information sur les comptes ;
• Anthropic — intelligence artificielle (lecture de documents, assistant) ;
• Resend — envoi des courriels, dont le code de vérification ;
• Stripe — paiement des offres payantes ;
• Cloudflare (Turnstile) — vérification anti-robot du formulaire d’inscription : adresse IP et signaux techniques du navigateur ;
• IGN (Géoplateforme), swisstopo et Komoot (Photon) — suggestions d’adresse pendant la saisie : le texte saisi dans le champ adresse ;
• Have I Been Pwned — contrôle des mots de passe compromis : un fragment d’empreinte, jamais le mot de passe ;
• Sentry et Upstash — suivi des erreurs et protection contre les abus.

Le cabinet partenaire connaît votre nom, votre adresse électronique, votre téléphone, votre offre et l’état de votre abonnement ; il n’accède à votre patrimoine que si vous acceptez sa prise en charge. ORION n’entraîne aucun modèle d’intelligence artificielle sur vos données.

5. Transferts hors de l’Union européenne

Vos données sont hébergées dans l’Union européenne. Certains prestataires (notamment Anthropic, Vercel, Resend, Stripe, Cloudflare, Sentry et Upstash) sont établis aux États-Unis et peuvent y traiter des données. Ces transferts sont encadrés par les garanties du chapitre V du RGPD : décision d’adéquation lorsque le prestataire y adhère, à défaut clauses contractuelles types de la Commission européenne — pour Cloudflare, les clauses contractuelles types de son contrat de traitement. (à valider par l’avocat)

6. Combien de temps

• Inscriptions commencées et non abouties (code non saisi, demande expirée) : supprimées 7 jours après leur fin.
• Espace créé dont le compte de connexion n’a jamais pu être ouvert : supprimé 24 heures après sa création.
• Données de votre espace : tant que votre compte est ouvert, puis supprimées dans les trois mois suivant sa fermeture, sauf ce qui est archivé ci-dessous.
• Empreintes anti-abus et antécédent d’abonnement payant : 36 mois après la fin de votre dernier contrat. (à valider par l’avocat)
• Preuves de commande et d’acceptation des conditions : 10 ans après la fin du contrat (contrat conclu par voie électronique, article L213-1 du code de la consommation). (à valider par l’avocat)
• Preuves de résiliation (avec le justificatif d’un motif légitime, le cas échéant), de rétractation et de fermeture, accusés de réception et courriels liés au contrat : 5 ans après la fin du contrat (prescription). (à valider par l’avocat)
• Souscriptions, documents de conformité et documents établis dans votre espace, avec leurs fichiers : archivés 5 ans après la fermeture de votre compte. (à valider par l’avocat)
• Facturation : dix ans (article L123-22 du code de commerce).
• Journaux de sécurité : douze mois.
• Journal des opérations effectuées dans votre espace : archivé 5 ans après la fermeture de votre compte. (à valider par l’avocat)
• Réponses au questionnaire de santé : jusqu’au retrait de votre consentement ou à la fermeture de votre compte.

7. Fermeture du compte et vos droits

Vous pouvez fermer votre compte en ligne, depuis votre espace : les données de votre espace sont alors supprimées ; les preuves contractuelles, le justificatif éventuel d’un motif légitime, les documents archivés, le journal des opérations et les empreintes anti-abus sont conservés pour les durées ci-dessus, et rien d’autre. Lorsque vous résiliez ou renoncez à un contrat, l’adresse électronique que vous indiquez pour l’accusé de réception est conservée avec la preuve, pour la même durée ; une résiliation ou une rétractation reçue par écrit est enregistrée par notre équipe avec la date et l’heure de sa réception.

Si vous invoquez un motif légitime pour quitter votre engagement annuel avant son terme, le justificatif que vous déposez ou nous adressez sert uniquement à examiner ce motif (exécution du contrat et obligations du code de la consommation, RGPD, art. 6-1-b et 6-1-c). Il peut contenir des informations sensibles (décès, santé, situation financière) : déposez seulement la pièce demandée. Il n’est lisible que par vous et par le support d’ORION, n’est jamais transmis au cabinet partenaire, et il est conservé avec la preuve de résiliation pour la durée ci-dessus, puis supprimé. (à valider par l’avocat)

Vous disposez des droits d’accès, de rectification, d’effacement, de limitation, de portabilité et d’opposition, du droit de retirer vos consentements, et du droit de définir des directives sur le sort de vos données après votre décès. Pour les exercer : dpo@harlington.eu. Nous répondons dans un délai d’un mois, prolongeable de deux mois pour une demande complexe. Vous pouvez saisir la CNIL (www.cnil.fr) ou l’autorité de contrôle de votre pays de résidence.

8. Sécurité

Chiffrement des échanges et du stockage, cloisonnement strict de chaque espace, double authentification, journalisation des accès, coffre-fort chiffré dans votre navigateur dont ORION ne détient pas la clé.

9. Cookies

L’usage des cookies et traceurs est décrit dans la politique cookies. Un cookie technique d’inscription, nécessaire au service, relie l’étape de saisie à celle du code ; il expire au plus tard après 24 heures.

Dernière mise à jour de la présente politique : 6 octobre 2026.