Responsable du traitement

Trinity Insights, [email protected]

Donnees collectees

• Email et identifiants de compte (via Clerk)
• Informations de paiement (via Paddle, nous ne stockons pas vos coordonnees bancaires)
• Donnees de navigation et preferences (analytics internes)
• Cookies de consentement

Finalites et bases legales

• Gestion de votre abonnement, contrat (art. 6.1.b RGPD)
• Analytics produit, interet legitime (art. 6.1.f RGPD)
• Conformite legale et audit, obligation legale (art. 6.1.c RGPD)

Duree de conservation

• Donnees de compte : duree de l'abonnement + 3 ans
• Analytics : 13 mois
• Logs d'audit : 5 ans (obligation LCEN)
• Donnees de facturation : 10 ans (obligation comptable)

Vos droits (RGPD)

Vous disposez d'un droit d'acces, de rectification, d'effacement, de portabilite, de limitation du traitement et d'opposition (art. 21 RGPD, notamment pour les traitements fondes sur l'interet legitime). Pour exercer vos droits, contactez-nous a [email protected]. Vous pouvez egalement supprimer votre compte directement depuis les parametres. Delai de reponse : 30 jours maximum.

Vous avez egalement le droit d'introduire une reclamation aupres de la CNIL (Commission Nationale de l'Informatique et des Libertes) , www.cnil.fr.

Sous-traitants (RGPD art. 28)

• Clerk (authentification), USA, certifie SOC2, Data Privacy Framework
• Paddle (paiements), UK/EU, certifie PCI DSS, Merchant of Record
• Hetzner (hebergement), Allemagne (UE), contrat DPA signe
• Sentry (monitoring applicatif), USA, Data Privacy Framework
• PostHog (analytics produit, consent-gated), UE (Francfort), RGPD natif, pas de donnees personnelles sans consentement
• Google BigQuery (stockage donnees publiques), USA/UE, contrat DPA signe
• Mistral AI (API LLM pour l'assistant conversationnel Trinity AI, modeles Mistral Small et Ministral 3B), France, RGPD natif, hebergement souverain UE, contrat zero-training (vos conversations ne sont pas utilisees pour entrainer le modele), voir Disclaimer Trinity AI
• Google Gemini (API LLM pour analyses non-PII), UE, Data Privacy Framework, contrat DPA signe

Tous les sous-traitants ont signe des Accords de Traitement des Donnees (DPA) ou operent sous le cadre Data Privacy Framework (Decision d'adequation UE-US 10/07/2023) valide par la Commission europeenne. Pour les transferts hors DPF, des Clauses Contractuelles Types (CCT 2021/914) sont signees. Une analyse d'impact sur les transferts (TIA, Transfer Impact Assessment) a ete menee conformement aux recommandations 01/2020 du Comite europeen de la protection des donnees (CEPD), conformement au RGPD art. 46.

Les sources de donnees de marche (US Treasury, Federal Reserve, CoinGecko, mempool.space) fournissent des donnees publiques et ne traitent aucune donnee personnelle de nos utilisateurs.

Cookies

Nous utilisons des cookies strictement necessaires au fonctionnement du service. Aucun cookie publicitaire ou de tracking tiers n'est utilise. Votre consentement est enregistre conformement aux recommandations de la CNIL.

Logs serveur

Conformement a la loi LCEN (art. 6 II, Decret 2011-219), nous conservons les journaux de connexion (adresse IP, horodatage, user agent) pendant 12 mois. Les logs de securite sont conserves 6 mois (recommandation CNIL). Les logs applicatifs sont conserves 3 mois (RGPD art. 5.1.e). Ces donnees sont communicables uniquement sur requisition judiciaire.

International compliance

Trinity Insights est une entreprise francaise soumise au RGPD (UE). Nous respectons egalement les cadres suivants pour nos utilisateurs internationaux :

• UK GDPR (Royaume-Uni), Les residents UK beneficient des memes droits que sous le RGPD UE. Autorite competente : ICO.
• nLPD/nFADP (Suisse), Conformite assuree via le cadre RGPD, decision d'adequation mutuelle UE-Suisse. Autorite : PFPDT.
• PIPEDA (Canada), Collecte fondee sur le consentement, droits d'acces et de rectification. Autorite : Commissariat a la protection de la vie privee.
• LGPD (Bresil), Bases legales et droits equivalents au RGPD. Autorite : ANPD.
• APPI (Japon), Decision d'adequation mutuelle UE-Japon. Autorite : PPC.
• PIPA (Coree du Sud), Consentement pour chaque finalite, transparence sur les transferts. Autorite : PIPC.
• Privacy Act 1988 (Australie), Conformite avec les Australian Privacy Principles. Autorite : OAIC.
• Privacy Act 2020 (Nouvelle-Zelande), 13 Information Privacy Principles. Autorite : OPC.
• DPDP Act 2023 (Inde), Notification breach 72h, verification d'age mineurs. Autorite : Data Protection Board of India.
• PDPA 2012 (Singapour), Notification breach obligatoire. Autorite : PDPC.
• PDPL Federal Decree-Law 45/2021 (Emirats Arabes Unis), Cross-border transfers via clauses contractuelles. Autorite : UAE Data Office.
• Privacy Protection Law 5741-1981 (Israel, Amendement 13/2024), Decision d'adequation UE-Israel. Autorite : PPA.
• POPIA (Afrique du Sud), Information Officer obligatoire. Autorite : Information Regulator.

Pour les residents des Etats-Unis :nous ne vendons ni ne partageons vos donnees personnelles a des fins de publicite ciblee, conformement aux lois d'Etat sur la vie privee : CCPA/CPRA (Californie), VCDPA (Virginie), CPA (Colorado), CTDPA (Connecticut), UCPA (Utah), TDPSA (Texas), OCPA (Oregon), MCDPA(Montana), et lois equivalentes de Delaware, Iowa, New Jersey, New Hampshire, Maryland, Minnesota, Tennessee (en vigueur 2025-2026). Vous disposez des droits d'acces, de suppression, de correction et d'opt-out.

Autorite chef de file (RGPD Art. 56, guichet unique) : la CNIL (France)est designee comme autorite chef de file pour les traitements transfrontaliers UE. Les residents UE peuvent neanmoins introduire une reclamation aupres de leur autorite locale (BfDI Allemagne, Garante Italie, AEPD Espagne, AP Pays-Bas, APD/GBA Belgique, etc.) conformement a l'Art. 77 RGPD.

Pour exercer vos droits quel que soit votre pays de residence, contactez [email protected]. Delai de reponse : 30 jours maximum.

Pays bloques

Conformement aux sanctions internationales (UE, OFAC, ONU), l'acces au service est bloque pour les pays suivants : Iran, Coree du Nord, Cuba, Syrie, Russie, Bielorussie, Myanmar, Soudan, Chine (PIPL). Ce blocage est applique au niveau de notre pare-feu applicatif (WAF).

Decisions automatisees (RGPD art. 22)

Les indicateurs Trinity (TCI, TCTI, TSMI, TSS, TRI, TAI et autres scorings statistiques) sont des resultats statistiques generaux portant sur le marche Bitcoin et l'ecosysteme crypto-actifs publics. Ils ne constituent pas des decisions individuelles automatisees produisant des effets juridiques ou affectant significativement la personne au sens de l'article 22 du RGPD. Aucun profilage individuel des utilisateurs n'est realise et aucune decision automatisee personnalisee n'est prise concernant nos utilisateurs sur la base de leurs donnees personnelles.

Mineurs

Trinity Insights est reserve aux personnes majeures (18 ans et plus). Aucune donnee n'est sciemment collectee aupres de mineurs. Si nous decouvrons que nous avons collecte des donnees concernant un mineur de moins de 18 ans, ces donnees seront supprimees sans delai. Si vous etes parent ou tuteur et que vous avez connaissance d'un mineur ayant fourni des donnees personnelles a Trinity Insights, contactez-nous a [email protected] pour demander la suppression.

Data Controller

Trinity Insights, [email protected]

Data Collected

• Email and account identifiers (via Clerk)
• Payment information (via Paddle, we do not store your bank details)
• Browsing data and preferences (internal analytics)
• Consent cookies

Purposes and Legal Basis

• Subscription management, contract (Art. 6.1.b GDPR)
• Product analytics, legitimate interest (Art. 6.1.f GDPR)
• Legal compliance and audit, legal obligation (Art. 6.1.c GDPR)

Retention Periods

• Account data: duration of subscription + 3 years
• Analytics: 13 months
• Audit logs: 5 years (French LCEN legal obligation)
• Billing data: 10 years (French accounting obligation)

Your Rights

You have the right to access, rectify, erase, port, restrict, and object to the processing of your personal data (GDPR Art. 15-22). To exercise your rights, contact us at [email protected]. You may also delete your account directly from your settings. Response time: 30 days maximum.

You also have the right to lodge a complaint with the CNIL (French data protection authority) , www.cnil.fr.

Sub-processors (GDPR Art. 28)

• Clerk (authentication), USA, SOC2 certified, Data Privacy Framework
• Paddle (payments), UK/EU, PCI DSS certified, Merchant of Record
• Hetzner (hosting), Germany (EU), DPA signed
• Sentry (error tracking), USA, Data Privacy Framework
• PostHog (product analytics, consent-gated), EU (Frankfurt), GDPR-native
• Google BigQuery (public data storage), USA/EU, DPA signed
• Mistral AI (LLM API powering the Trinity AI conversational assistant, Mistral Small and Ministral 3B models), France, GDPR-native, sovereign EU hosting, zero-training contract (your conversations are not used to train the model), see Trinity AI Disclaimer
• Google Gemini (LLM API for non-PII analytics), EU, Data Privacy Framework, DPA signed

All sub-processors have signed Data Processing Agreements (DPA) or operate under the Data Privacy Framework (EU-US Adequacy Decision dated July 10, 2023) validated by the European Commission. For transfers outside DPF, Standard Contractual Clauses (SCC 2021/914) are signed. A Transfer Impact Assessment (TIA) has been conducted in accordance with EDPB Recommendations 01/2020, in compliance with GDPR Art. 46.

Server Logs

In accordance with French LCEN law (Art. 6 II, Decree 2011-219), we retain connection logs (IP address, timestamp, user agent) for 12 months. Security logs are retained for 6 months (CNIL recommendation). Application logs are retained for 3 months (GDPR Art. 5.1.e). This data is only disclosed upon judicial requisition.

International Compliance

Trinity Insights is a French company subject to the EU GDPR. We also respect the following frameworks for our international users:

• UK GDPR (United Kingdom), UK residents enjoy the same rights as under EU GDPR. Supervisory authority: ICO.
• nFADP (Switzerland), Compliance ensured via GDPR framework, EU-Switzerland mutual adequacy decision. Authority: FDPIC.
• PIPEDA (Canada), Consent-based collection, access and rectification rights. Authority: Office of the Privacy Commissioner.
• LGPD (Brazil), Legal bases and rights equivalent to GDPR. Authority: ANPD.
• APPI (Japan), EU-Japan mutual adequacy decision. Authority: PPC.
• PIPA (South Korea), Consent for each purpose, transparency on transfers. Authority: PIPC.
• Privacy Act 1988 (Australia), Compliance with Australian Privacy Principles. Authority: OAIC.
• Privacy Act 2020 (New Zealand), 13 Information Privacy Principles. Authority: OPC.
• DPDP Act 2023 (India), 72-hour breach notification, minor age verification. Authority: Data Protection Board of India.
• PDPA 2012 (Singapore), Mandatory breach notification. Authority: PDPC.
• PDPL Federal Decree-Law 45/2021 (United Arab Emirates), Cross-border transfers via standard contractual clauses. Authority: UAE Data Office.
• Privacy Protection Law 5741-1981 (Israel, Amendment 13/2024), EU-Israel adequacy decision. Authority: PPA.
• POPIA (South Africa), Information Officer required. Authority: Information Regulator.

For United States residents: we do not sell or share your personal data for targeted advertising purposes, in compliance with State privacy laws: CCPA/CPRA (California), VCDPA (Virginia), CPA (Colorado), CTDPA (Connecticut), UCPA (Utah), TDPSA (Texas), OCPA (Oregon), MCDPA (Montana), and equivalent laws of Delaware, Iowa, New Jersey, New Hampshire, Maryland, Minnesota, Tennessee (in force 2025-2026). You have rights of access, deletion, correction, and opt-out.

Lead Supervisory Authority (GDPR Art. 56, one-stop-shop): the CNIL (France) is designated as the lead supervisory authority for cross-border EU processing. EU residents may nevertheless lodge a complaint with their local data protection authority (BfDI Germany, Garante Italy, AEPD Spain, AP Netherlands, APD/GBA Belgium, etc.) under GDPR Art. 77.

To exercise your rights regardless of your country of residence, contact [email protected]. Response time: 30 days maximum.

Blocked Countries

In compliance with international sanctions (EU, OFAC, UN), access to the service is blocked for the following countries: Iran, North Korea, Cuba, Syria, Russia, Belarus, Myanmar, Sudan, China (PIPL). This blocking is enforced at our web application firewall (WAF) level.

Cookies

We only use cookies strictly necessary for the service to function. No advertising or third-party tracking cookies are used. Your consent is recorded in accordance with CNIL recommendations.

Automated Decisions (GDPR Art. 22)

Trinity indicators (TCI, TCTI, TSMI, TSS, TRI, TAI, and other statistical scorings) are general statistical outputs concerning the Bitcoin market and the public crypto-asset ecosystem. They do not constitute automated individual decisions producing legal effects or significantly affecting the data subject within the meaning of GDPR Article 22. No individual profiling of users is performed, and no automated personalized decision is made about our users based on their personal data.

Minors

Trinity Insights is reserved for adults (18 years and older). We do not knowingly collect data from minors. If we discover that we have collected data concerning a minor under 18 years of age, such data will be deleted without delay. If you are a parent or guardian and become aware of a minor having provided personal data to Trinity Insights, contact us at [email protected] to request deletion.