Politique de confidentialité

La présente Politique de confidentialité décrit comment Green Cloud and Blockchain SARL (Moywa) traite les données personnelles des utilisateurs des services Moywa, conformément au Règlement (UE) 2016/679 (RGPD) et à la loi Informatique et Libertés.

Préambule — Architecture des données

Moywa est une interface technique opérée par Green Cloud and Blockchain SARL. L'architecture de Moywa repose sur un principe de minimisation des données : Moywa ne collecte et ne stocke que le strict minimum nécessaire au fonctionnement du service, et délègue l'ensemble des vérifications d'identité (KYC/KYB) et la conservation des données d'identité à son partenaire agréé dans l'Union européenne, Bridge Building S.A. (Luxembourg).

Cette Politique de confidentialité décrit uniquement les traitements effectués par Moywa (Green Cloud and Blockchain SARL). Pour les traitements effectués par Bridge (données d'identité, documents KYC, etc.), l'Utilisateur est invité à consulter la politique de confidentialité de Bridge accessible sur leur site.

Article 1 — Responsable de traitement

Le responsable du traitement des données personnelles collectées via les services Moywa est :

Pour toute question relative à la protection des données personnelles, le Délégué à la Protection des Données (DPO) peut être contacté à : privacy@moywa.com.

Article 2 — Données collectées et stockées par Moywa

Moywa applique un principe strict de minimisation des données. Les seules données stockées par Moywa dans ses bases de données (hébergées par Supabase, Frankfurt, EEE) sont :

2.1 — Données d'authentification

• Adresse email de l'Utilisateur (utilisée comme identifiant de connexion) ;
• Mot de passe hashé (bcrypt) — Moywa ne stocke jamais le mot de passe en clair ;
• Si connexion via Google OAuth : nom d'affichage et photo de profil fournis automatiquement par Google (l'Utilisateur peut révoquer cette autorisation depuis son compte Google) ;
• Facteur d'authentification forte (TOTP) et codes de récupération hashés ;
• Identifiants de session (JWT) et logs de connexion.

2.2 — Références techniques vers Bridge

• bridge_customer_id — identifiant unique fourni par Bridge ;
• bridge_kyc_status — statut de la vérification d'identité (approuvé / en attente / refusé) ;
• bridge_payment_id, bridge_transfer_id — identifiants des opérations Bridge.

2.3 — Données transactionnelles

• Historique des dépôts, envois, conversions, retraits (montants, devises, statuts, dates) ;
• Soldes en stablecoins (EURC, USDC) sur la blockchain Solana ;
• Bénéficiaires que l'Utilisateur enregistre lui-même dans son carnet (nom, IBAN/wallet/email, pays, devise) ;
• Bénéficiaires d'envois vers un compte mobile money : nom, numéro mobile money, opérateur et pays du bénéficiaire, saisis par l'Utilisateur. Lorsque l'Utilisateur choisit le bénéficiaire dans les contacts de son téléphone, seuls le nom et le numéro du contact choisi sont lus ; le carnet d'adresses n'est ni copié, ni transmis, ni conservé ;
• Bénéficiaires d'envois vers un compte bancaire par l'intermédiaire d'un prestataire de transfert (notamment en Afrique) : nom du titulaire, banque, numéro de compte et pays du bénéficiaire, saisis par l'Utilisateur ;
• Statut des abonnements (forfait Free / EEA / PRO).

2.4 — Données techniques

• Adresse IP de connexion (logs courts pour sécurité) ;
• Logs applicatifs (date, heure, action, identifiant interne) ;
• Cookies de session essentiels (JWT en localStorage du navigateur).

2.5 — Communications support (email uniquement)

Les demandes envoyées via le formulaire de support sont transmises directement par email à support@moywa.com via notre serveur SMTP. Les pièces jointes (captures d'écran, photos) ne sont pas stockées dans nos bases de données : elles sont attachées en mémoire à l'email sortant et transmises immédiatement, sans persistance. Seules les métadonnées du ticket (sujet, date, statut d'envoi) sont conservées pour suivi.

Article 3 — Données NON collectées par Moywa

Conformément au principe de minimisation, Moywa ne collecte ni ne stocke jamais les catégories de données suivantes, qui sont gérées exclusivement par Bridge Building S.A. (Luxembourg, Union européenne) en sa qualité de prestataire de services réglementés :

• Nom légal complet, prénom(s), date et lieu de naissance ;
• Nationalité, pays de résidence, adresse postale ;
• Votre propre numéro de téléphone comme donnée d'identité (le numéro mobile money d'un bénéficiaire, lui, est collecté pour exécuter l'envoi : voir l'article 2.3) ;
• Pièces d'identité (passeport, carte nationale, titre de séjour) ;
• Photographies / selfies de vérification ;
• Documents KYC/KYB (justificatifs de domicile, K-bis pour les entreprises, etc.) ;
• Coordonnées bancaires personnelles complètes (au-delà de ce qui figure dans les instructions de virement Bridge).

Pour exercer vos droits relatifs à ces données, vous devez vous adresser directement à Bridge selon les modalités prévues par leur politique de confidentialité.

Article 4 — Finalités et bases légales du traitement

Note : les obligations de lutte contre le blanchiment et le financement du terrorisme (KYC, AML, déclarations aux cellules de renseignement financier compétentes) sont assumées par Bridge Building S.A. en sa qualité de prestataire de services réglementés, sous la supervision de la Commission de Surveillance du Secteur Financier (CSSF, Luxembourg). Moywa ne traite pas directement de données dans ce cadre.

Article 5 — Destinataires des données

Les données stockées par Moywa peuvent être communiquées aux destinataires suivants, dans la stricte mesure nécessaire à la finalité du traitement :

5.1 — Sous-traitants techniques de Moywa

• Supabase Inc. (région eu-central-1, Frankfurt, Allemagne, EEE) — Hébergement de la base de données et service d'authentification. Sous-traitant principal de Moywa.
• 1&1 IONOS SE (Allemagne, EEE) — Hébergement du serveur applicatif (VPS) et service SMTP pour l'envoi d'emails (notifications, support).
• Stripe Payments Europe Ltd. (Irlande, EEE) — Traitement des paiements par carte pour les abonnements (Stripe traite les données de carte selon sa propre politique).

5.2 — Partenaire réglementé (responsable de traitement séparé)

Bridge Building S.A. — 26 Boulevard Royal, L-2449 Luxembourg (Union européenne).

Bridge Building S.A. est un prestataire de services réglementé, agréé et supervisé par la Commission de Surveillance du Secteur Financier (CSSF, Luxembourg) au titre de :

• un agrément de prestataire de services sur crypto-actifs (CASP) délivré en application du Règlement (UE) 2023/1114 (MiCA), sous le numéro N00000012 ;
• un agrément d'établissement de monnaie électronique (EME) délivré en application de la loi luxembourgeoise du 10 novembre 2009 relative aux services de paiement, sous le numéro W00000024.

Ces agréments bénéficient du passeport européen et couvrent les 27 États membres de l'Union européenne.

Bridge agit en tant que responsable de traitement séparé pour les données d'identité, KYC, et les opérations financières réglementées. Moywa transmet à Bridge l'identifiant Utilisateur (email, bridge_customer_id) afin de déclencher les opérations demandées par l'Utilisateur. Les données d'identité (nom, adresse, documents) sont saisies directement par l'Utilisateur sur l'interface Bridge, et stockées chez Bridge.

5.3 — Prestataires de transfert vers un compte mobile money ou un compte bancaire

Pour exécuter un envoi vers un compte mobile money, ou vers un compte bancaire par l'intermédiaire d'un prestataire de transfert, Moywa transmet à un prestataire de paiement agréé dans le pays de destination — et, par son intermédiaire, à l'opérateur mobile money ou à la banque du bénéficiaire — les données nécessaires à cet envoi :

• le nom, le numéro mobile money, l'opérateur et le pays du bénéficiaire ;
• pour un compte bancaire : le nom du titulaire, la banque, le numéro de compte et le pays du bénéficiaire ;
• le montant, la devise et la référence de l'envoi ;
• lorsque le prestataire l'exige au titre de ses propres obligations réglementaires, l'identité de l'expéditeur telle qu'elle résulte de sa vérification d'identité (nom, pays et coordonnées).

Moywa choisit le prestataire au moment de l'envoi, selon la disponibilité de l'opérateur ou de la banque du bénéficiaire. Ces prestataires agissent en tant que responsables de traitement séparés pour leurs propres obligations. La liste des prestataires auxquels des données ont été transmises peut être obtenue sur simple demande à privacy@moywa.com.

5.4 — Autorités légalement habilitées

Sur réquisition légale (autorité judiciaire, ACPR, CNIL, administrations fiscales), Moywa peut être amenée à transmettre les données qu'elle détient. Les obligations LCB-FT (déclarations aux cellules de renseignement financier, etc.) sont en revanche assumées par Bridge, sous la supervision de la CSSF.

Aucune donnée n'est vendue, louée ou cédée à des fins commerciales à des tiers.

Article 6 — Transferts hors Union européenne

L'ensemble des sous-traitants principaux de Moywa et de son partenaire Bridge (Supabase, IONOS, Stripe, Bridge Building S.A.) est situé dans l'Union européenne ou l'Espace Économique Européen (EEE). Aucun transfert systématique de données vers un pays tiers (hors UE/EEE) n'est réalisé dans le cadre normal du fonctionnement des services Moywa, sous la seule réserve des envois de l'article 5.3 décrits ci-dessous.

Envois vers un compte mobile money ou vers un compte bancaire par un prestataire de transfert. Les prestataires de transfert de l'article 5.3, les opérateurs mobile money et les banques des bénéficiaires sont établis hors de l'Union européenne, notamment en Afrique. La transmission des données de l'article 5.3 vers ces pays est nécessaire à l'exécution de l'envoi demandé par l'Utilisateur, au sens de l'article 49.1.b et de l'article 49.1.c du RGPD. Elle n'a lieu qu'au moment d'un envoi, et seulement pour cet envoi.

Si l'Utilisateur se connecte via Google OAuth, les données échangées avec Google (email, nom d'affichage) peuvent transiter par les infrastructures Google ; ce traitement est régi par la politique de confidentialité de Google et soumis aux clauses contractuelles types de la Commission européenne.

Article 7 — Durées de conservation

À la clôture du compte, les données de Moywa sont supprimées sauf celles soumises à obligation légale de conservation (transactions et données comptables). Les données détenues par Bridge sont régies par leur propre politique de conservation.

Article 8 — Vos droits sur vos données personnelles

Conformément aux articles 15 à 22 du RGPD, vous disposez des droits suivants concernant les données stockées par Moywa :

• Droit d'accès (art. 15) — Obtenir copie des données vous concernant ;
• Droit de rectification (art. 16) — Corriger des données inexactes (ex. email) ;
• Droit à l'effacement (art. 17) — Demander la suppression du compte (sous réserve des obligations légales de conservation des transactions) ;
• Droit à la limitation du traitement (art. 18) ;
• Droit à la portabilité (art. 20) — Recevoir vos données dans un format structuré ;
• Droit d'opposition (art. 21) ;
• Droit de retirer votre consentement à tout moment ;
• Droit de définir des directives post-mortem (art. 40-1 loi Informatique et Libertés).

Comment exercer vos droits auprès de Moywa : envoyez votre demande à privacy@moywa.com. Une vérification d'identité simple peut vous être demandée (confirmation depuis l'email du compte). Moywa répond sous 1 mois (prorogeable de 2 mois si la demande est complexe).

Recours : en cas de désaccord, vous pouvez introduire une réclamation auprès de la CNIL (3 Place de Fontenoy — TSA 80715 — 75334 Paris Cedex 07, ou en ligne sur www.cnil.fr).

Article 9 — Sécurité des données

Moywa met en œuvre des mesures techniques et organisationnelles appropriées pour garantir la sécurité des données stockées :

• Chiffrement des données en transit (TLS 1.3) et au repos (AES-256, géré par Supabase) ;
• Authentification forte à deux facteurs (2FA / SCA) obligatoire pour accéder au compte ;
• Hashage des mots de passe avec bcrypt (Supabase Auth) ;
• Cloisonnement des environnements (production isolée) ;
• Notification des violations de données à la CNIL sous 72h (art. 33 RGPD).

Article 10 — Cookies et traceurs

10.1 — Dans l'application Moywa

L'application Moywa utilise uniquement des cookies techniques essentiels au fonctionnement du service (session JWT en localStorage, authentification, sécurité). Aucun cookie publicitaire, analytics tiers ou de profilage n'y est déposé, que vous utilisiez l'application mobile ou la partie connectée du site.

Les cookies techniques essentiels ne nécessitent pas de consentement préalable (art. 82 loi Informatique et Libertés, considérant 30 directive ePrivacy).

10.2 — Sur le site public moywa.com

Les pages publiques du site (accueil, pays, tarifs, aide, création de compte) peuvent déposer un traceur publicitaire Meta (pixel Facebook), dont la finalité est de mesurer l'efficacité de nos campagnes publicitaires — notamment le nombre de créations de compte qui en découlent.

• Base légale : votre consentement (art. 6.1.a RGPD et art. 82 loi Informatique et Libertés).
• Dépôt : uniquement après votre acceptation explicite via le bandeau affiché à votre première visite. Tant que vous n'avez pas répondu, aucun traceur n'est déposé — l'absence de réponse ne vaut pas acceptation.
• Refus : vous pouvez refuser d'un clic sur le même bandeau. Le refus est conservé et le site reste pleinement utilisable.
• Destinataire : Meta Platforms Ireland Limited, responsable conjoint du traitement pour la mesure d'audience publicitaire.
• Durée de conservation : 13 mois maximum pour le traceur, conformément à la recommandation de la CNIL.
• Retrait du consentement : à tout moment, en effaçant les données de site de votre navigateur pour moywa.com, ou en écrivant à privacy@moywa.com.

Nous conservons par ailleurs, le temps de votre visite et sans cookie, les paramètres de campagne présents dans l'adresse (utm_source, utm_medium, utm_campaign, utm_content, utm_term), afin de rattacher une création de compte à la campagne qui l'a suscitée. Ces paramètres sont stockés dans la mémoire de session de votre navigateur et disparaissent à sa fermeture.

Article 11 — Modifications de la Politique

La présente Politique de confidentialité est susceptible d'être modifiée pour refléter des évolutions légales, techniques ou organisationnelles. Toute modification substantielle fait l'objet d'une notification à l'Utilisateur par email. La version en vigueur est toujours accessible depuis l'application Moywa et le site moywa.com.

La version 1.2 met à jour les références au partenaire réglementé : les services précédemment fournis par Bridge Building Sp. z o.o. (Pologne) sont désormais fournis par Bridge Building S.A. (Luxembourg), agréée CASP MiCA et établissement de monnaie électronique par la CSSF.

Version 1.3 — 25 juillet 2026 : mise à jour des mentions d'identification de l'éditeur.

Version 1.4 — 16 septembre 2026 : l'article 10 distingue désormais l'application, où aucun traceur publicitaire n'est déposé, et le site public, où un pixel Meta peut l'être après consentement explicite. La rédaction précédente affirmait qu'aucun cookie publicitaire n'était déposé et fondait sur cette phrase l'absence de bandeau de consentement ; elle est corrigée en même temps que la mise en ligne du bandeau.

Version 1.5 — 18 octobre 2026 : envois vers un compte mobile money. L'article 2.3 décrit les données du bénéficiaire et la lecture d'un seul contact du téléphone, l'article 4 ajoute la finalité correspondante, le nouvel article 5.3 décrit les prestataires de transfert qui reçoivent ces données, et l'article 6 la transmission hors de l'Union européenne qu'impose l'envoi. L'article 3 est précisé : le numéro mobile money d'un bénéficiaire est collecté, ce que la rédaction précédente semblait exclure.

Version 1.6 — 20 octobre 2026 : envois vers un compte bancaire par l'intermédiaire d'un prestataire de transfert (notamment en Afrique). L'article 2.3 décrit les données du bénéficiaire d'un compte bancaire (nom du titulaire, banque, numéro de compte, pays), l'article 4 ajoute la finalité correspondante, l'article 5.3 couvre désormais ces envois et leurs destinataires, l'article 6 la transmission hors de l'Union européenne qu'ils imposent, et l'article 7 la conservation de ces bénéficiaires lorsque l'Utilisateur les enregistre.

Article 12 — Contact

• Pour toute question relative au traitement de vos données par Moywa : privacy@moywa.com (Délégué à la Protection des Données)
• Pour toute question relative aux données détenues par Bridge (identité, KYC) : voir la politique de confidentialité Bridge sur leur site officiel.
• Pour toute autre question : support@moywa.com