Politique de confidentialité

La présente politique de confidentialité explique comment Sakaax traite les données personnelles dans le cadre du service Scelo : quelles données, pour quelles raisons, combien de temps, avec qui elles sont partagées et comment exercer vos droits. Elle complète les conditions générales d’utilisation de Scelo.

Scelo aide une banque ou un autre prestataire de services de paiement à protéger ses clients contre la fraude par manipulation, notamment la fraude au faux conseiller, avec Scelo Liber, qui s’ajoute à l’authentification forte que la banque utilise déjà. Scelo permet aussi de faire valider un paiement au moyen du portefeuille européen d’identité numérique (EUDI Wallet), conformément à la spécification TS12. Scelo n’exécute aucun paiement et ne détient aucun fonds : il authentifie et transmet une décision à la banque, qui reste seule responsable de l’exécution.

1. Qui sommes-nous et quels sont nos rôles ?

Le service Scelo est édité par Sakaax, entreprise individuelle (micro-entreprise) de Bryan Ducrettet, entrepreneur individuel (EI), SIREN 988 418 737, dont l’adresse est 11 avenue Jules Ferry, 74200 Thonon-les-Bains, France (« Sakaax », « nous »). « Sakaax » est la marque personnelle de Bryan Ducrettet ; le service est édité sous le nom Scelo. La création de la société par actions simplifiée Scelo SAS est prévue en janvier 2027 : à compter de cette date, Scelo SAS prendra le relais de Sakaax, notamment pour les rôles et engagements décrits dans la présente politique, qui sera mise à jour à cette occasion.

Selon le traitement concerné, Sakaax n’a pas le même rôle au sens du règlement (UE) 2016/679 (« RGPD ») :

Vous payez avec votre banque via Scelo ? C’est votre banque qui décide pourquoi et comment vos données de paiement sont traitées. Sa propre politique de confidentialité s’applique à votre paiement. Scelo intervient uniquement pour son compte, comme prestataire technique.

Le service est actuellement en phase de démonstration et pré-commerciale. Les applications de démonstration Lumen (portefeuille EUDI) et Orée (Scelo Liber) mettent en scène des banques fictives et fonctionnent exclusivement avec des données fictives, tout comme l’outil conseiller de démonstration.

2. Quelles données traitons-nous, pourquoi, sur quelle base et combien de temps ?

Administration du service. L’administration et la sécurité du service (gestion des enrôlements, révocations, supervision) portent sur les données listées ci-dessus. Le journal technique du serveur ne contient ni contenu de transaction ni adresse IP.

Sur l’iPhone de l’utilisateur. La clé privée de l’appareil est générée et conservée dans la Secure Enclave de l’iPhone, d’où elle ne peut pas être extraite ; Scelo n’en reçoit que la clé publique. Il en va de même de la clé de détresse (Scelo Liber), protégée par le seul code de détresse. Le secret du code d’appel (Scelo Liber) est remis à l’application par une demande signée par la clé de l’appareil, puis rangé dans le trousseau de l’iPhone (propre à l’appareil, jamais synchronisé iCloud) ; le code d’appel est calculé sur le téléphone, sans connexion. L’état d’appel est lu par l’application de la banque au moyen d’iOS (un oui/non) au moment de la validation : l’application ne lit ni le numéro, ni le contact, ni l’historique des appels.

D’où viennent les données Scelo Liber. L’état d’appel et l’indicateur de détresse viennent de l’application de la banque (SDK SceloKit) ; l’attestation des comptes vient du portefeuille, où la banque l’a déposée. Le code d’appel passe uniquement par l’application de la banque et le serveur de la banque : il ne fait appel à aucune donnée du portefeuille.

Scelo Liber sans portefeuille. Lorsque la banque utilise Scelo Liber seul, avec son authentification forte habituelle, les mêmes règles s’appliquent : l’état d’appel, l’indicateur de détresse et les données de l’opération nécessaires à la décision sont traités en mémoire vive uniquement et effacés dans les délais indiqués ci-dessus ; le code d’appel et le reçu de preuve fonctionnent de la même façon. Aucune attestation des comptes n’est alors traitée.

3. Ce que nous ne collectons jamais

• Aucune donnée d’identité civile : ni date de naissance, ni numéro de pièce d’identité, ni donnée d’identité fournie par l’État. Scelo authentifie un paiement, il n’identifie pas une personne. Seule exception : le nom du titulaire figurant dans l’attestation des comptes déposée par la banque (Scelo Liber), traité en mémoire vive le temps du paiement et jamais conservé.
• Aucune donnée d’appel : ni numéro de téléphone, ni contact, ni durée, ni historique des appels. Scelo Liber ne reçoit qu’un oui/non (appel en cours ou non).
• Aucune donnée biométrique : Face ID est géré par iOS et vérifié localement sur l’iPhone ; Scelo n’accède à aucune donnée biométrique.
• Aucun code : le code de l’utilisateur et son code de détresse sont vérifiés localement par la Secure Enclave de l’iPhone et ne sont jamais transmis à Scelo.
• Aucun historique de codes d’appel : ni les codes d’appel, ni les secrets propres à chaque appareil ne sont conservés par Scelo (ils sont recalculés à la demande), et Scelo ne garde aucune trace des appels au cours desquels un code a été consulté.
• Aucune adresse IP conservée : les services Scelo ne tiennent pas de journal d’accès. Une adresse IP est techniquement nécessaire pour acheminer chaque connexion, mais elle n’est pas enregistrée par Sakaax.
• Aucun cookie ni traceur : les services Scelo n’utilisent ni cookie, ni traceur, ni outil de mesure d’audience ou de publicité.

4. Le principe de non-conservation (article 5b§10 eIDAS 2)

Le règlement européen eIDAS 2 (règlement (UE) 2024/1183, article 5 ter, paragraphe 10) prévoit qu’un intermédiaire, qui agit pour le compte d’une banque face au portefeuille d’identité numérique, ne doit pas conserver de données sur le contenu des transactions.

Concrètement, Scelo fonctionne comme un guichet de passage : les données d’un paiement transitent par la mémoire vive du serveur le temps strictement nécessaire pour vérifier la réponse du portefeuille et transmettre la décision à la banque. Elles ne sont jamais écrites sur disque et sont effacées automatiquement en quelques minutes (voir le tableau ci-dessus). Scelo ne conserve ensuite que des éléments techniques qui ne révèlent pas le contenu du paiement, comme l’empreinte du numéro à usage unique, nécessaire pour empêcher le rejeu.

C’est la banque, et non Scelo, qui conserve l’historique des paiements, conformément à ses propres obligations.

Scelo Liber ne change pas ce principe. L’état d’appel, l’indicateur de détresse et l’attestation des comptes sont traités comme les données de paiement : en mémoire vive, puis effacés. Le reçu de preuve est remis à la banque, qui l’archive ; Scelo ne le garde pas. Seule son empreinte est inscrite au journal public, qui ne révèle rien du contenu du paiement. Le code d’appel ne porte sur aucune transaction et n’est pas conservé : ni le code ni le secret de l’appareil ne sont stockés par Scelo.

5. Destinataires et sous-traitants ultérieurs

Les données sont accessibles aux seules personnes habilitées de Sakaax, dans la limite de leurs fonctions. La décision d’authentification est transmise à la banque concernée. Le code d’appel courant d’un appareil n’est transmis qu’au serveur de la banque concernée, authentifié par sa clé d’accès, qui le relaie à ses conseillers habilités. Les données peuvent également être communiquées aux autorités habilitées lorsque la loi l’exige.

Sakaax ne vend ni ne loue aucune donnée personnelle.

Lorsque Sakaax agit en qualité de sous-traitant, le recours à un sous-traitant ultérieur est encadré par l’accord de sous-traitance conclu avec la banque, conformément à l’article 28 du RGPD ; la banque est informée de tout changement envisagé.

6. Hébergement et transferts hors de l’Union européenne

Les services Scelo sont hébergés exclusivement dans l’Union européenne, chez OVHcloud, dans son centre de données de Varsovie (Pologne). Les données traitées par les services Scelo, et notamment les données de paiement, ne font l’objet d’aucun transfert hors de l’Union européenne.

Les courriers électroniques adressés à support@sakaax.com ou à privacy@sakaax.com sont traités au moyen du service iCloud Mail d’Apple. Apple est susceptible de traiter certaines de ces données en dehors de l’Union européenne ; le cas échéant, ces transferts sont encadrés par les garanties mises en place par Apple conformément au chapitre V du RGPD. Nous vous recommandons de ne jamais transmettre de données de paiement (IBAN, montant, référence) par courrier électronique.

7. Sécurité

Sakaax met en œuvre des mesures techniques et organisationnelles adaptées aux risques, notamment :

• une clé d’appareil générée dans la Secure Enclave de l’iPhone et protégée par Face ID ou par un code ;
• la signature de chaque demande par cette clé ;
• la vérification de l’authenticité de l’application au moyen d’App Attest ;
• le chiffrement de la réponse du portefeuille (ECDH-ES et AES-GCM), lisible uniquement par l’appareil destinataire ;
• le chiffrement des communications (TLS) ;
• des contrôles systématiques côté serveur (chaîne de confiance, révocation, preuve de possession, destinataire, délai, numéro à usage unique, montant et bénéficiaire) ;
• un accès d’administration protégé et réservé aux personnes habilitées ;
• la minimisation : aucune conservation du contenu des transactions ;
• Scelo Liber : signal d’appel limité à un oui/non et signé par l’appareil ; code de détresse protégé par une clé Secure Enclave dédiée ; reçu de preuve signé ne contenant que des empreintes et des verdicts ; journal public d’empreintes en ajout seul, vérifiable par tous ; code d’appel calculé à partir d’un secret propre à chaque appareil, remis par une demande signée par l’appareil, conservé dans le trousseau de l’iPhone et accessible côté serveur au seul serveur de la banque, authentifié par sa clé d’accès ; clé maître du code d’appel protégée sur le serveur comme les autres clés du service.

Aucun système n’étant exempt de risque, Sakaax ne peut garantir une sécurité absolue. En cas de violation de données, Sakaax informe la banque concernée dans les meilleurs délais lorsqu’elle agit en tant que sous-traitant et, lorsqu’elle est responsable de traitement, procède aux notifications prévues par les articles 33 et 34 du RGPD.

8. Vos droits et comment les exercer

Conformément au RGPD et à la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, vous disposez, dans les conditions prévues par ces textes, des droits suivants :

• droit d’accès à vos données ;
• droit de rectification des données inexactes ou incomplètes ;
• droit à l’effacement ;
• droit à la limitation du traitement ;
• droit d’opposition, pour des raisons tenant à votre situation particulière, aux traitements fondés sur l’intérêt légitime ;
• droit à la portabilité des données que vous avez fournies, lorsque le traitement est fondé sur le contrat ou le consentement et effectué par des moyens automatisés ;
• droit de définir des directives relatives au sort de vos données après votre décès.

Pour vos paiements, adressez-vous d’abord à votre banque, responsable de traitement : c’est elle qui détient l’historique de vos opérations et qui traite votre demande. Scelo l’assiste pour y répondre, conformément à l’article 28 du RGPD. Si vous nous écrivez directement, nous transmettrons votre demande à votre banque. À noter : les données de paiement étant effacées en quelques minutes, Scelo ne les détient en général plus au moment de votre demande.

Pour les autres traitements (clients professionnels, support), écrivez à privacy@sakaax.com. Nous pourrons vous demander un justificatif d’identité en cas de doute raisonnable sur votre identité.

Délai de réponse : un mois à compter de la réception de votre demande. Ce délai peut être prolongé de deux mois compte tenu de la complexité ou du nombre de demandes ; vous en serez alors informé dans le premier mois.

Réclamation : si vous estimez que vos droits ne sont pas respectés, vous pouvez introduire une réclamation auprès de la Commission nationale de l’informatique et des libertés (CNIL) : www.cnil.fr.

9. Délégué à la protection des données

Sakaax n’a pas, à ce jour, désigné de délégué à la protection des données (DPO). Pour toute question relative à vos données personnelles, contactez privacy@sakaax.com.

10. Mineurs

Les services Scelo s’adressent à des clients professionnels. Pour les utilisateurs finaux, l’accès au parcours de paiement relève de la banque, qui détermine les conditions applicables, y compris pour les mineurs. Scelo ne collecte aucune donnée permettant de connaître l’âge des utilisateurs.

11. Modification de la politique

Cette politique peut être modifiée pour tenir compte de l’évolution du service ou de la réglementation. La version en vigueur et sa date figurent en tête du document. En cas de modification importante, les clients professionnels en sont informés par courrier électronique avant son entrée en vigueur.

12. Nous contacter