Politique de confidentialité.

1. Objet et champ d'application

La présente politique de confidentialité (la « Politique ») a pour objet d'informer les personnes concernées (clients, prospects, visiteurs du site, candidats, partenaires) de la manière dont Hagnéré Patrimoine SAS (« Hagnéré Patrimoine », « nous », « le Cabinet ») collecte, utilise, conserve, partage et protège leurs données personnelles, et des droits dont elles disposent à ce titre.

Elle s'applique à l'ensemble des traitements de données personnelles mis en œuvre par Hagnéré Patrimoine dans le cadre de ses activités réglementées :

• conseiller en investissements financiers (CIF), enregistré sous le numéro ORIAS 23002291, adhérent de l'association professionnelle CNCEF Patrimoine ;
• courtier d'assurance ou de réassurance (COA, art. R. 511-2, I, 1° du Code des assurances), exerçant selon la modalité b du II, 1° de l'article L. 521-2 du même code ;
• courtier en opérations de banque et services de paiement (COBSP), catégorie 1 (art. R. 519-4 du Code monétaire et financier) ;
• édition et exploitation du site www.hagnere-patrimoine.fr (au sens de l'article 1-1 de la loi n° 2004-575 du 21 juin 2004 pour la confiance dans l'économie numérique — LCEN).

2. Identité du responsable de traitement

Le responsable du traitement, au sens de l'article 4-7 du RGPD, est :

• HAGNERE PATRIMOINE (nom d'usage : Hagnéré Patrimoine), société par actions simplifiée (SAS) au capital social de 100 euros ;
• siège social : 82 Impasse de Bellevue, 73000 Bassens, France ;
• immatriculée au Registre du commerce et des sociétés (RCS) de Chambéry sous le numéro 891 025 504 ;
• numéro de TVA intracommunautaire : FR91 891 025 504 ;
• immatriculations professionnelles : ORIAS n° 23002291 (CIF + COA + COBSP), vérifiables sur www.orias.fr ;
• autorité de contrôle pour l'activité CIF : Autorité des marchés financiers (AMF), 17 place de la Bourse, 75082 Paris Cedex 02 ;
• autorité de contrôle pour les activités COA et COBSP : Autorité de contrôle prudentiel et de résolution (ACPR), 4 place de Budapest, CS 92459, 75436 Paris Cedex 09 ;
• représentant légal : Monsieur Clément Chatelain, président ;
• contact général : contact@hagnere-patrimoine.fr — téléphone non surtaxé 03 74 47 20 18.

3. Contact pour vos données personnelles

Le responsable du traitement est HAGNERE PATRIMOINE, 82 Impasse de Bellevue, 73000 Bassens. Pour toute question sur vos données ou pour exercer vos droits :

• par courriel : contact@hagnere-patrimoine.fr ;
• par courrier : Hagnéré Patrimoine — à l'attention du Service RGPD — 82 Impasse de Bellevue, 73000 Bassens, France.

4. Catégories de données personnelles traitées

Conformément au principe de minimisation (art. 5-1-c RGPD), nous ne collectons que les données strictement nécessaires aux finalités poursuivies. Les catégories de données traitées sont les suivantes.

4.1. Données d'identification

• civilité, nom, nom d'usage, prénom(s), date et lieu de naissance, nationalité ;
• numéro et copie d'une pièce d'identité en cours de validité (carte nationale d'identité, passeport, titre de séjour) ;
• justificatif de domicile de moins de trois mois (facture d'énergie, quittance de loyer, avis de taxe d'habitation, etc.) ;
• informations relatives aux bénéficiaires effectifs et aux personnes politiquement exposées (PPE) au sens des articles L. 561-2-2 et R. 561-18 du Code monétaire et financier.

4.2. Coordonnées de contact

• adresse postale (résidence principale, secondaire, fiscale) ;
• adresses e-mail professionnelle et/ou personnelle ;
• numéros de téléphone fixe et mobile.

4.3. Situation familiale et professionnelle

• situation matrimoniale, régime matrimonial, contrat PACS, jugement de divorce, composition du foyer fiscal ;
• profession, employeur, secteur d'activité, ancienneté ;
• informations relatives au conjoint et aux enfants nécessaires à la mission (date de naissance, situation, héritiers présomptifs).

4.4. Situation patrimoniale et financière

• revenus (salaires, BIC, BNC, BA, revenus fonciers, dividendes, plus-values), avis d'imposition, taux d'imposition marginal (TMI) ;
• patrimoine immobilier (résidence principale, secondaire, locatif, SCPI, SCI), valeurs estimées ;
• patrimoine financier (assurance-vie, PEA, PER, comptes-titres, livrets, épargne salariale, capital-investissement) ;
• passifs (encours crédits, mensualités, taux, durée résiduelle, taux d'endettement) ;
• flux d'épargne, capacité d'épargne mensuelle, projets patrimoniaux ;
• objectifs d'investissement, horizon de placement, profil de risque (test d'adéquation MIF II au sens des articles L. 533-13 et D. 533-15 du CMF), préférences en matière de durabilité (ESG/SFDR).

4.5. Données bancaires et de paiement

• relevés d'identité bancaire (RIB/IBAN) pour les opérations de souscription, de versement ou d'arbitrage ;
• historique des virements et des prélèvements liés aux missions souscrites ;
• données de paiement Stripe (token de paiement uniquement — aucune donnée carte n'est stockée par Hagnéré Patrimoine, le traitement est opéré par Stripe Payments Europe Ltd, certifié PCI DSS niveau 1).

4.6. Données KYC / LCB-FT

• informations recueillies au titre des obligations de connaissance du client (Know Your Customer) et de lutte contre le blanchiment de capitaux et le financement du terrorisme (LCB-FT), articles L. 561-1 et suivants du Code monétaire et financier ;
• origine des fonds, destination des fonds, profil de risque LCB-FT, déclarations de soupçon Tracfin (article L. 561-15 CMF) ;
• informations FATCA (Foreign Account Tax Compliance Act — accord intergouvernemental France/USA du 14 novembre 2013) et EAI/CRS (Échange Automatique d'Informations — Common Reporting Standard, article 1649 AC du Code général des impôts).

4.7. Données contractuelles et transactionnelles

• lettres de mission et conventions du cabinet (conseil en investissements financiers, courtage d'assurance, convention de réception-transmission d'ordres le cas échéant) ;
• historique des préconisations émises, des produits souscrits, des arbitrages réalisés ;
• comptes rendus d'entretiens, fiches d'information précontractuelles, documents d'information clé (DIC PRIIPs).

4.8. Données techniques et de navigation

• adresse IP, identifiants de session, type de navigateur, système d'exploitation, pages consultées, durée de visite, données de connexion à l'espace client (logs) ;
• identifiants de cookies et traceurs (cf. section dédiée et politique cookies) ;
• données de signature électronique (horodatage, preuve de votre consentement) lorsque vous signez un document avec l'outil de signature du cabinet.

4.9. Dictée vocale facultative

Lorsque la fonction est activée et que vous choisissez volontairement « Dicter à l'oral », le navigateur capte un extrait audio de deux minutes maximum. Cet audio est transmis au prestataire Groq pour produire une transcription, puis le texte est inséré dans le champ du formulaire afin que vous puissiez le relire avant l'envoi. Hagnéré Patrimoine ne stocke pas le fichier audio dans sa base de données.

5. Sources de collecte

Vos données sont collectées :

• directement auprès de vous, via les formulaires en ligne (prise de rendez-vous Calendly, formulaires de demande de rappel, dictée vocale facultative lorsqu'elle est activée, simulateurs crédit, espace client), les documents que vous nous transmettez (avis d'imposition, relevés de comptes, pièce d'identité, justificatif de domicile), les entretiens en visioconférence ou en face à face, les échanges téléphoniques et écrits ;
• auprès de tiers, dans le cadre strict de l'exécution de la mission : votre conjoint ou votre coassocié, les compagnies d'assurance, sociétés de gestion et établissements concernés par votre mission, les notaires (avec votre accord exprès) ;
• auprès de sources publiques officielles : registre ORIAS, registre des bénéficiaires effectifs (RBE), Infogreffe, base INSEE, base des sanctions internationales (gels d'avoirs) consultée au titre de la LCB-FT.

6. Finalités et bases légales du traitement

Conformément à l'article 6 du RGPD, chaque traitement repose sur une base légale identifiée. Le tableau suivant détaille, finalité par finalité, la base légale applicable.

6.1. Exécution du contrat (art. 6-1-b RGPD)

• conclusion et exécution des lettres de mission et conventions du cabinet (conseil en investissements financiers, courtage d'assurance, convention de réception-transmission d'ordres le cas échéant) ;
• réalisation du bilan patrimonial, élaboration des préconisations personnalisées, suivi de la relation client ;
• réalisation du test d'adéquation MIF II et du test du caractère approprié (art. L. 533-13 et D. 533-15 du CMF) ;
• gestion administrative et comptable des dossiers (souscriptions, arbitrages, rachats, sinistres) ;
• mesures précontractuelles à la demande de la personne concernée (devis, simulations crédit, étude de faisabilité, demande de rappel).

6.2. Respect d'obligations légales (art. 6-1-c RGPD)

• obligations LCB-FT — identification du client et du bénéficiaire effectif, vigilance, conservation des justificatifs, déclaration de soupçon (art. L. 561-1 et suivants du CMF) ;
• obligations de conservation : pièces de vigilance LCB-FT (art. L. 561-12 du CMF) et documents comptables (art. L. 123-22 du Code de commerce), pendant les durées indiquées à l'article 9 ;
• obligations fiscales — déclarations FATCA (accord IGA France/USA), EAI/CRS (art. 1649 AC du CGI), DAC6 (Directive 2018/822/UE), prélèvement forfaitaire unique ;
• obligations de gel des avoirs et de conformité aux sanctions internationales (Direction générale du Trésor) ;
• réponse aux réquisitions des autorités judiciaires, fiscales, AMF, ACPR, Tracfin, CNIL.

6.3. Consentement (art. 6-1-a RGPD et art. 7)

• envoi de la newsletter et des communications commerciales par voie électronique (consentement opt-in préalable, libre, spécifique, éclairé et univoque, conformément à l'article L. 34-5 du Code des postes et communications électroniques) ;
• dépôt des cookies et traceurs non strictement nécessaires (mesure d'audience, marketing, personnalisation, prise de rendez-vous en ligne avec Calendly), conformément à l'article 82 de la loi Informatique et Libertés et à la délibération CNIL n° 2020-091 du 17 septembre 2020 ;
• transmission de vos coordonnées à FBS Consulting (BankKeys), société de courtage en crédit inscrite à l'ORIAS sous le n° 19 003 084, lorsque vous nous le demandez (case à cocher distincte sur les formulaires de simulation de crédit) ;
• transmission de votre demande et de vos coordonnées au partenaire adapté à votre situation (cabinet de courtage en crédit ou établissement bancaire), pour un crédit professionnel, un crédit Lombard ou un crédit de marchand de biens (case à cocher distincte sur ces formulaires) ;
• traitement des préférences en matière de durabilité (ESG/SFDR) au niveau le plus précis ;
• enregistrement éventuel d'un entretien à des fins de formation ou de conformité (information préalable et possibilité de refus).
• transcription d'une dictée vocale facultative, uniquement déclenchée par votre action et après l'autorisation du microphone par votre navigateur ; vous pouvez saisir votre message au clavier sans utiliser cette fonction.

6.4. Intérêt légitime (art. 6-1-f RGPD)

• sécurité du système d'information, prévention de la fraude, détection des intrusions, journalisation (logs) ;
• gestion des réclamations et du contentieux, défense en justice ;
• mesure d'audience et de la vitesse d'affichage du site par Vercel Web Analytics et Vercel Speed Insights : chargés seulement avec votre accord à la mesure d'audience, et recevant l'adresse des pages sans ses paramètres (voir la politique cookies) ;
• prospection commerciale par voie postale auprès de clients existants pour des produits ou services analogues, dans le respect du droit d'opposition ;
• appels de suivi auprès de clients ayant un contrat en cours avec le cabinet, lorsque l'appel intervient « dans le cadre de l'exécution d'un contrat en cours et a un rapport avec l'objet de ce contrat » (article L. 223-1 du Code de la consommation). Tout autre appel de prospection n'a lieu qu'avec votre accord préalable (même article, dans sa version en vigueur depuis le 11 août 2026). En clair : nous ne vous appelons que pour répondre à votre demande, ou si vous nous y avez autorisés.

Pour chaque traitement fondé sur l'intérêt légitime, Hagnéré Patrimoine procède à un test de mise en balance (LIA — Legitimate Interests Assessment) afin de vérifier que les droits et libertés des personnes concernées ne prévalent pas sur l'intérêt poursuivi. Ce document est tenu à disposition de la CNIL.

6.5. Sauvegarde des intérêts vitaux et mission d'intérêt public

Aucun traitement n'est mis en œuvre sur la base de l'article 6-1-d ou 6-1-e du RGPD.

7. Destinataires des données

Vos données sont accessibles uniquement aux personnes et entités habilitées dans le cadre des finalités décrites ci-dessus.

7.1. Destinataires internes

• collaborateurs habilités de Hagnéré Patrimoine (conseillers patrimoniaux, équipe conformité, équipe back-office, direction) — tous soumis à une obligation de confidentialité renforcée et à une charte informatique.

Lorsque vous nous écrivez par le formulaire de contact ou demandez à être rappelé, votre demande est enregistrée sur ce site puis transmise à l'outil interne de suivi des demandes de Hagnéré Patrimoine, afin qu'un conseiller la traite et puisse vous répondre. Cette transmission est limitée à ce qui est nécessaire pour vous recontacter et comprendre votre besoin : vos nom et prénom, votre adresse électronique, votre numéro de téléphone s'il a été renseigné, l'objet et le texte de votre demande, ainsi que la page du site depuis laquelle vous l'avez envoyée. Aucune donnée relative à votre budget, à votre département ou à vos impôts n'est transmise par ce canal, et aucun identifiant publicitaire ne l'accompagne. L'outil de suivi est exploité par Hagnéré Patrimoine et hébergé sur la même infrastructure que ce site ; les sous-traitants techniques concernés sont ceux mentionnés à l'article 7.2, et les transferts hors de l'Union sont décrits à l'article 8. Cet outil ne constitue pas un destinataire distinct au sens du RGPD. Vous pouvez à tout moment demander l'effacement de votre demande dans cet outil, aux coordonnées indiquées à l'article 11.

7.2. Sous-traitants au sens de l'art. 28 RGPD

Hagnéré Patrimoine fait appel aux sous-traitants suivants, qui traitent vos données pour son compte et selon ses instructions (article 28 du RGPD) :

• Vercel, pour l'hébergement de nos services ;
• Neon, pour la base de données ;
• Resend, pour l'envoi des courriels ;
• Google, pour la messagerie et l'agenda (Google Workspace) ;
• Stripe, pour le paiement ;
• OpenAI et Anthropic, pour l'assistance à l'extraction des informations de vos documents, toujours contrôlée par un collaborateur.

Selon les fonctions du site que vous utilisez, d'autres prestataires peuvent intervenir. Leur liste est en cours de mise à jour : celle qui suit n'est pas exhaustive et sera précisée dans une prochaine version de la présente politique.

• Calendly, pour la prise de rendez-vous en ligne ;
• Google (Google Analytics, conversions améliorées Google Ads), comme sous-traitant, uniquement si vous y consentez (voir le rôle de Google ci-dessous) ;
• Amazon Web Services (Amazon S3), pour le stockage des fichiers transmis par le site ;
• Groq, pour la transcription de la dictée vocale facultative, lorsque cette fonction est activée ;
• Hagnéré Code, prestataire technique chargé du développement et de la maintenance du site et de l'espace client, avec un accès limité aux données techniques nécessaires.

Rôle de Google. Google Ireland Limited (Irlande), avec Google LLC (États-Unis). Pour Google Analytics et les conversions améliorées, Google agit comme sous-traitant, selon ses conditions de traitement des données. Pour le suivi des conversions et le reciblage publicitaire Google Ads, Google est responsable de ses propres traitements ; nous sommes responsables conjoints avec lui de la seule collecte et transmission de ces données depuis notre site (CJUE, 29 juillet 2019, Fashion ID, C-40/17), selon les conditions de protection des données de Google Ads entre responsables du traitement. Ces traitements n'ont lieu qu'avec votre accord. Les données de Google Analytics sont conservées par Google au plus 14 mois, durée maximale réglable dans cet outil.

7.3. Destinataires partenaires (responsables de traitement distincts ou conjoints)

• Compagnies d'assurance et sociétés de gestion partenaires — pour la souscription de contrats d'assurance-vie, capitalisation, PER, contrats de prévoyance, SCPI, FCPI, FCPR, OPCI, SCI ;
• FBS Consulting (BankKeys), société de courtage en crédit inscrite à l'ORIAS sous le n° 19 003 084, lorsque vous nous demandez de lui transmettre vos coordonnées : c'est BankKeys, et non le cabinet, qui consulte ses banques partenaires (transmission subordonnée à votre accord exprès, art. 6-1-a RGPD) ;
• Un cabinet de courtage en crédit ou un établissement bancaire, choisi selon votre situation, lorsque vous demandez un crédit professionnel, un crédit Lombard ou un crédit de marchand de biens et acceptez que le cabinet lui transmette votre demande et vos coordonnées (accord exprès, art. 6-1-a RGPD). Le nom de ce partenaire vous est communiqué avant toute transmission ;
• FORSIS SAS (Béziers), conseiller en investissements financiers, ORIAS 14003700, lorsque vous demandez une étude Girardin et donnez votre accord à cette transmission : c'est FORSIS, et non le cabinet, qui réalise l'étude et le conseil sur le Girardin ;
• Notaires, dans le cadre des opérations patrimoniales et successorales pour lesquelles ils sont saisis ;
• Avocats et experts-comptables intervenant sur le dossier client à votre demande ou avec votre accord exprès.

7.4. Autorités publiques et tiers autorisés

• Autorité des marchés financiers (AMF), Autorité de contrôle prudentiel et de résolution (ACPR), Tracfin, Direction générale des finances publiques (DGFiP), Direction générale du Trésor, CNIL, autorités judiciaires — sur réquisition ou au titre des obligations légales déclaratives ;
• autorités fiscales étrangères dans le cadre de FATCA, EAI/CRS et DAC6.

Hagnéré Patrimoine ne procède à aucune cession ni location de données personnelles à des tiers à des fins commerciales.

8. Transferts de données hors de l'Union européenne

8.1. Autres prestataires du site établis aux États-Unis

Calendly (prise de rendez-vous) et Amazon Web Services (stockage des fichiers transmis par le site) appartiennent eux aussi à des groupes établis aux États-Unis. Les transferts qui les concernent relèvent du même encadrement : la décision d'adéquation du 10 juillet 2023 pour les prestataires certifiés et, à défaut, des clauses contractuelles types. La liste des entreprises certifiées est publiée par le département du Commerce des États-Unis.

Groq, Inc. (États-Unis) — données : extrait audio facultatif et transcription. Groq indique que les requêtes d'inférence ne sont pas conservées par défaut, mais que les entrées et sorties peuvent être journalisées jusqu'à 30 jours pour la fiabilité du service ou la prévention des abus. Les données éventuellement conservées sont hébergées aux États-Unis ; une configuration Zero Data Retention est proposée par le prestataire. La fonction reste désactivée tant que les garanties contractuelles et la configuration de confidentialité n'ont pas été validées.

8.2. Accès à distance depuis un pays tiers

Un collaborateur de Hagnéré Patrimoine, employé sous droit français, peut être amené à accéder à distance aux données clients depuis un pays tiers (Indonésie). Cet accès est strictement encadré :

• aucune donnée n'est exportée ni stockée localement sur le poste utilisé ;
• accès via VPN d'entreprise, authentification multifacteur (MFA), poste chiffré (FileVault) ;
• contrat de travail français comportant une clause de confidentialité renforcée et une clause de protection des données personnelles ;
• journalisation et audit régulier des accès distants par l'équipe conformité.

8.3. Copie des garanties

Vous pouvez obtenir copie des clauses contractuelles types et des informations sur la certification de nos sous-traitants en nous écrivant à contact@hagnere-patrimoine.fr.

9. Durées de conservation

Conformément à l'article 5-1-e du RGPD (limitation de la conservation), nous conservons vos données pendant la durée strictement nécessaire aux finalités poursuivies, dans le respect des obligations légales applicables.

• Relation et conseil : durée nécessaire à la mission et au suivi, puis archivage limité pour les obligations réglementaires et la défense des droits pendant les durées de prescription applicables.
• Vigilance LCB-FT : cinq ans après la fin de la relation ou la clôture du compte ; les pièces relatives aux opérations concernées : cinq ans après leur exécution, sous réserve de dispositions plus contraignantes (art. L. 561-12 du CMF).
• Pièces comptables : dix ans pour les documents comptables et leurs justificatifs (art. L. 123-22 du Code de commerce). Ce délai ne s'applique pas indistinctement à tout le dossier patrimonial.
• Réclamations et contentieux : pendant le traitement de la réclamation, puis pendant les délais de prescription applicables (en principe cinq ans, art. 2224 du Code civil) ou jusqu'à épuisement des voies de recours.
• Prospection : au maximum trois ans après la collecte ou votre dernier contact actif si vous êtes prospect, ou après la fin de la relation commerciale si vous êtes client.
• Newsletter et communications marketing : tant que le consentement est actif, et au maximum 3 ans à compter du dernier contact ou de la dernière interaction (ouverture, clic, réponse).
• Journaux de connexion et logs techniques : 12 mois à compter de leur enregistrement (recommandations CNIL et art. L. 34-1 du CPCE pour les données de connexion).
• Cookies et traceurs non strictement nécessaires : la CNIL recommande une durée de vie de 13 mois au plus à compter du dépôt (lignes directrices et recommandation de la CNIL du 17 septembre 2020) ; la durée des traceurs déposés par des services tiers est fixée par leur émetteur — cf. politique cookies.
• Preuve de consentement aux cookies : 5 ans à compter de la date du choix (prescription de l'action en responsabilité, art. 2224 du code civil), puis effacement automatique mensuel.
• Vidéosurveillance et enregistrements téléphoniques (le cas échéant) : 30 jours sauf incident.
• Dictée vocale facultative : le fichier audio n'est pas conservé dans la base Hagnéré Patrimoine. Groq peut journaliser temporairement l'entrée et la sortie jusqu'à 30 jours pour la fiabilité ou la prévention des abus, sauf activation de la configuration Zero Data Retention.

À l'issue des durées de conservation, les données font l'objet soit d'une suppression définitive, soit d'une anonymisation irréversible (au sens de l'avis 05/2014 du G29 sur les techniques d'anonymisation), soit d'un archivage intermédiaire à accès restreint pour les seuls besoins probatoires et légaux (art. 6-1-c RGPD).

10. Droits des personnes concernées

10.1. Droit d'accès (art. 15 RGPD)

Vous pouvez obtenir confirmation que vos données font ou non l'objet d'un traitement, et obtenir une copie des données traitées ainsi que des informations relatives au traitement (finalités, catégories de données, destinataires, durée de conservation, droits, sources, existence d'une décision automatisée).

10.2. Droit de rectification (art. 16 RGPD)

Vous pouvez demander la correction ou la complétion de toute donnée inexacte, incomplète ou périmée vous concernant.

10.3. Droit à l'effacement / droit à l'oubli (art. 17 RGPD)

Vous pouvez demander l'effacement de vos données dans les cas prévus à l'article 17 du RGPD (données qui ne sont plus nécessaires, retrait du consentement, opposition au traitement, etc.). Ce droit est limité par les obligations légales de conservation (lutte contre le blanchiment, comptabilité) et par la défense de nos droits, qui prévalent au titre de l'article 17-3-b et 17-3-e du RGPD : tant que ces obligations s'appliquent, l'effacement intégral n'est pas possible, mais un accès restreint peut être mis en place.

10.4. Droit à la limitation du traitement (art. 18 RGPD)

Vous pouvez demander la suspension temporaire d'un traitement en cas de contestation de l'exactitude des données, de traitement illicite, de besoin des données pour la constatation, l'exercice ou la défense de droits en justice, ou d'exercice du droit d'opposition.

10.5. Droit à la portabilité (art. 20 RGPD)

Pour les traitements fondés sur le consentement ou sur l'exécution d'un contrat et mis en œuvre par des moyens automatisés, vous pouvez demander à recevoir les données que vous nous avez fournies dans un format structuré, couramment utilisé et lisible par machine, et les transmettre à un autre responsable de traitement.

10.6. Droit d'opposition (art. 21 RGPD)

Vous pouvez vous opposer à tout moment, pour des raisons tenant à votre situation particulière, à un traitement fondé sur l'intérêt légitime ou sur l'exécution d'une mission d'intérêt public. Vous pouvez également vous opposer, à tout moment et sans motif, à la prospection commerciale (art. 21-2 RGPD).

10.7. Droit de retrait du consentement (art. 7-3 RGPD)

Lorsque le traitement est fondé sur le consentement, vous pouvez le retirer à tout moment, sans motif et sans frais, par les mêmes modalités que celles ayant permis de l'exprimer (lien de désabonnement, module de gestion des cookies, courriel à contact@hagnere-patrimoine.fr). Le retrait du consentement ne compromet pas la licéité du traitement effectué auparavant.

10.8. Droit relatif aux décisions automatisées (art. 22 RGPD)

Voir section dédiée « Décisions automatisées et profilage » ci-dessous.

10.9. Directives post-mortem (art. 85 loi Informatique et Libertés)

Vous pouvez définir des directives générales (auprès d'un tiers de confiance certifié par la CNIL) ou particulières (auprès de Hagnéré Patrimoine) relatives à la conservation, à l'effacement et à la communication de vos données personnelles après votre décès. À défaut de directives, vos héritiers pourront exercer certains droits (clôture de compte, opposition au traitement, communication nécessaire au règlement de la succession).

11. Modalités d'exercice de vos droits

Pour exercer vos droits, vous pouvez :

• nous écrire à contact@hagnere-patrimoine.fr ;
• envoyer un courrier postal à : Hagnéré Patrimoine — à l'attention du Service RGPD — 82 Impasse de Bellevue, 73000 Bassens, France ;
• utiliser le formulaire de demande d'exercice des droits disponible sur le site de la CNIL à l'adresse www.cnil.fr/fr/modeles/courrier.

Pour des raisons de sécurité et afin d'éviter toute usurpation d'identité, nous pourrons vous demander de joindre une copie de votre pièce d'identité en cours de validité (article 12-6 RGPD). Cette copie sera conservée uniquement le temps nécessaire au traitement de votre demande, puis détruite.

Une réponse vous sera apportée dans un délai d'un mois à compter de la réception de votre demande. Ce délai peut être prolongé de deux mois supplémentaires compte tenu de la complexité ou du nombre de demandes (art. 12-3 RGPD), auquel cas vous en serez informé dans le délai initial. Vos droits s'exercent gratuitement, sauf demande manifestement infondée ou excessive (art. 12-5 RGPD).

12. Réclamation auprès de la CNIL

Si, après avoir contacté Hagnéré Patrimoine, vous estimez que vos droits ne sont pas respectés, vous disposez du droit d'introduire une réclamation auprès de l'autorité de contrôle compétente, conformément à l'article 77 du RGPD.

En France, l'autorité de contrôle est la Commission nationale de l'informatique et des libertés (CNIL) :

• adresse postale : CNIL — 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07 ;
• téléphone : 01 53 73 22 22 ;
• plainte en ligne : www.cnil.fr/plaintes ;
• site institutionnel : www.cnil.fr.

Vous pouvez également saisir l'autorité de contrôle de l'État membre dans lequel vous résidez habituellement, exercez votre activité professionnelle ou dans lequel la violation aurait été commise.

13. Sécurité des données

Conformément à l'article 32 du RGPD, Hagnéré Patrimoine met en œuvre des mesures techniques et organisationnelles appropriées au regard des risques identifiés.

• chiffrement des données en transit (TLS 1.2 minimum, HSTS) et au repos (AES-256 sur Google Workspace, AWS S3, Neon) ;
• authentification multifacteur (MFA) sur l'ensemble des outils sensibles, politique de mots de passe robuste ;
• chiffrement intégral des postes de travail (FileVault sur macOS, BitLocker sur Windows) et des supports amovibles ;
• accès aux données sur principe du moindre privilège (need-to-know) et journalisation des accès (audit logs conservés 12 mois) ;
• sauvegardes chiffrées régulières, plan de continuité et de reprise d'activité (PCA/PRA) ;
• sensibilisation et formation continue des collaborateurs aux enjeux de la protection des données ;
• revues de sécurité périodiques, tests d'intrusion et audit interne annuel.

14. Notification de violation de données (art. 33 et 34 RGPD)

En cas de violation de données à caractère personnel susceptible d'engendrer un risque pour les droits et libertés des personnes concernées, Hagnéré Patrimoine s'engage :

• à notifier la CNIL dans un délai de 72 heures à compter de la connaissance de la violation (art. 33 RGPD) ;
• à informer les personnes concernées dans les meilleurs délais lorsque la violation est susceptible d'engendrer un risque élevé pour leurs droits et libertés (art. 34 RGPD), sauf exceptions prévues par le RGPD ;
• à documenter la violation dans le registre interne des violations de données (art. 33-5 RGPD).

15. Décisions automatisées et profilage (art. 22 RGPD)

Conformément à l'article 22 du RGPD, vous avez le droit de ne pas faire l'objet d'une décision fondée exclusivement sur un traitement automatisé, y compris le profilage, produisant des effets juridiques vous concernant ou vous affectant de manière significative de façon similaire.

Hagnéré Patrimoine ne réalise pas de scoring crédit interne ni de décision d'octroi automatisée. Les seuls traitements automatisés mis en œuvre côté Hagnéré Patrimoine sont :

• Calcul du test d'adéquation MIF II (art. L. 533-13 et D. 533-15 du CMF) — outil d'aide au conseil ; la préconisation finale est validée par un conseiller humain ;
• Calcul d'un badge éligibilité indicatif dans les 10 simulateurs crédit (« Dossier solide », « Finançable », « Vigilance usure », « Refus probable »...) — ce badge est purement informatif, n'a aucune valeur contractuelle, ne déclenche aucune action vis-à-vis du prospect (pas de refus de service, pas de fichage), et ne constitue donc pas une décision automatisée au sens de l'art. 22 RGPD au sens des lignes directrices EDPB WP251rev.01 ;
• Assistance automatisée à la lecture de vos documents (OpenAI, Anthropic) — elle aide à extraire les informations de vos documents, toujours sous le contrôle d'un collaborateur, et ne remplace pas l'analyse du conseiller ;
• Décision finale d'octroi de crédit — appartient exclusivement à l'établissement prêteur (le cas échéant, l'une des banques partenaires consultées par BankKeys), après instruction complète par un analyste humain ; si l'établissement met en œuvre un scoring automatisé, il est tenu de respecter l'article 22 RGPD au titre de ses propres traitements.

Vos droits (art. 22-3 RGPD) : vous pouvez à tout moment exiger une intervention humaine, exprimer votre point de vue et contester une décision automatisée en nous écrivant à contact@hagnere-patrimoine.fr.

16. Analyse d'impact (AIPD — art. 35 RGPD)

Compte tenu du volume et de la nature des données patrimoniales et financières que nous traitons, Hagnéré Patrimoine identifie les traitements susceptibles d'engendrer un risque élevé pour les droits et libertés des personnes concernées et, le cas échéant, réalise une analyse d'impact relative à la protection des données (AIPD), conformément à l'article 35 du RGPD et à la délibération CNIL n° 2018-327 du 11 octobre 2018 portant adoption de la liste des types d'opérations de traitement pour lesquelles une AIPD est requise.

Les AIPD formalisées sont tenues à la disposition de la CNIL en cas de contrôle. Pour toute question, écrivez-nous à contact@hagnere-patrimoine.fr.

17. Cookies et traceurs

Le site www.hagnere-patrimoine.fr utilise des cookies et traceurs régis par l'article 82 de la loi n° 78-17 du 6 janvier 1978 modifiée (transposition de la directive 2002/58/CE ePrivacy) et par la délibération CNIL n° 2020-091 du 17 septembre 2020 portant adoption de lignes directrices relatives à l'application de l'article 82.

Un bandeau de gestion du consentement, développé et hébergé par Hagnéré Patrimoine, vous permet, lors de votre première visite, d'accepter, de refuser ou de paramétrer chaque finalité. Le refus est aussi simple que l'acceptation. Le choix peut être modifié à tout moment via le lien « Gérer mes cookies » du pied de page.

Catégories de cookies déposés :

• cookies strictement nécessaires (exemptés de consentement) : session, sécurité CSRF, mémorisation des préférences de consentement, équilibrage de charge ;
• cookies et traceurs de mesure d'audience (consentement requis) : Google Analytics 4, Vercel Web Analytics et Vercel Speed Insights, chargés seulement après votre accord ;
• cookies marketing et publicitaires (consentement requis, finalité par finalité) : suivi des conversions Google Ads et, séparément, publicité personnalisée (reciblage).

Pour le détail (cookies et traceurs recensés, finalité, durée de vie, éditeur, transferts hors UE), consultez notre politique cookies dédiée.

17.1. Preuve de votre choix sur les cookies

Conformément à la délibération CNIL n° 2020-091 et à l'article 7-1 du RGPD, nous conservons la preuve de votre consentement (ou de votre refus) au dépôt des cookies non essentiels. Les données enregistrées sont :

• identifiant aléatoire du choix (généré dans votre navigateur, non rattaché à votre identité civile, repris dans le cookie « hp_consentement ») ;
• finalités acceptées ou refusées (mesure d'audience, mesure de nos publicités, publicité personnalisée) ;
• version du bandeau présenté et version du code du site au moment du choix ;
• User-Agent du navigateur ;
• horodatage du choix exprimé.

Votre adresse IP n'est pas conservée dans ce journal : elle n'ajoute rien à la preuve (minimisation, art. 5-1-c RGPD).

Base légale : obligation légale (art. 6-1-c RGPD) — la CNIL exige que le responsable de traitement soit en mesure de prouver le recueil d'un consentement libre, spécifique, éclairé et univoque (art. 4-11 et art. 7 RGPD). Durée de conservation : 5 ans à compter de la date du choix, puis effacement automatique mensuel.

18. Mineurs

Les services de Hagnéré Patrimoine sont destinés aux personnes majeures. Nous ne collectons pas sciemment de données concernant des mineurs de moins de 15 ans (seuil fixé par l'article 45 de la loi Informatique et Libertés modifiée). Si vous constatez la collecte involontaire de données concernant un mineur, merci de nous écrire immédiatement à contact@hagnere-patrimoine.fr afin que ces données soient supprimées.

Pour les opérations patrimoniales concernant un mineur (donation, ouverture d'un PEA-Jeunes, contrat d'assurance-vie), l'ensemble des données est collecté auprès du représentant légal et traité au titre de l'exécution du contrat (art. 6-1-b RGPD).

19. Modifications de la présente politique

Hagnéré Patrimoine se réserve le droit de modifier la présente politique à tout moment, notamment pour tenir compte des évolutions légales, réglementaires, jurisprudentielles ou techniques. La date de dernière mise à jour et le numéro de version figurent en pied de page.

En cas de modification substantielle affectant un traitement de vos données ou l'exercice de vos droits, nous vous en informerons préalablement par tout moyen approprié (email, notification sur l'espace client, bandeau sur le site).

20. Contact

Pour toute question relative à la présente politique ou au traitement de vos données personnelles :

• Données personnelles (Service RGPD) — contact@hagnere-patrimoine.fr ;
• Contact général : Hagnéré Patrimoine, 82 Impasse de Bellevue, 73000 Bassens — contact@hagnere-patrimoine.fr — téléphone non surtaxé 03 74 47 20 18 ;
• Réclamation CNIL : 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07 — www.cnil.fr/plaintes.