POLITIQUE DE CONFIDENTIALITE ET DE TRAITEMENT DES DONNEES

HAPPY CAPITAL ACADEMY

Programme "PILOTE TON PATRIMOINE PRIVE"

Version 1.0 du 6 août 2026

---

ARTICLE 1. OBJET ET PORTEE

1.1. La présente politique décrit les traitements de données à caractère personnel mis en oeuvre dans le cadre de l'activité pédagogique exploitée sous la marque Happy Capital Academy, et notamment du programme "PILOTE TON PATRIMOINE PRIVE" (le "Programme").

1.2. Elle est établie conformément au règlement (UE) 2016/679 du 27 avril 2016 (le "RGPD") et à la loi n° 78-17 du 6 janvier 1978 modifiée.

1.3. Périmètre. La présente politique couvre exclusivement les traitements liés à l'activité pédagogique Happy Capital Academy. Elle ne couvre pas les traitements mis en oeuvre au titre des activités réglementées du groupe (conseil en investissements financiers, intermédiation en assurance, intermédiation en opérations de banque, financement participatif), lesquels font l'objet de politiques distinctes accessibles sur les sites concernés.

1.4. Elle fait partie intégrante des conditions générales de vente et d'utilisation de l'Académie.

---

ARTICLE 2. RESPONSABLE DU TRAITEMENT

Le responsable du traitement est :

Happy Capital Patrimoine SAS, société par actions simplifiée au capital de 1 000 euros Siège social : 3 cours Georges Clemenceau, 33000 Bordeaux RCS Bordeaux 994 429 322 Représentée par Philippe Gaborieau, président

Contact en matière de protection des données : patrimoine@happy-capital.fr Adresse postale : Happy Capital Academy, Protection des données, 3 cours Georges Clemenceau, 33000 Bordeaux

Aucun délégué à la protection des données n'est désigné à la date de publication. Un référent interne protection des données est désigné au sein de l'Organisme et peut être contacté à l'adresse indiquée ci-dessus.

---

ARTICLE 3. PRINCIPE STRUCTURANT. LES DONNEES PATRIMONIALES NE SONT PAS COLLECTEES

Ce principe conditionne l'ensemble de l'architecture technique du Programme.

3.1. Le Programme est conçu de telle sorte que les données patrimoniales, financières, fiscales, bancaires, familiales et successorales de l'élève ne soient jamais transmises au responsable du traitement.

3.2. En particulier :

a) les outils pédagogiques dits "Skills" s'exécutent exclusivement sur le matériel personnel de l'élève, à son initiative et sous son contrôle ;

b) les fichiers produits par ces outils (bilan de travail, audit de frais, plan de trésorerie, allocation générique, audit de protection, plan de transmission, revue trimestrielle) sont créés et demeurent en local, dans l'espace de stockage personnel de l'élève ;

c) aucun de ces fichiers, aucun extrait, aucune donnée agrégée ni aucune métadonnée issue de leur contenu ne remonte vers les serveurs du responsable du traitement, de son hébergeur ou de ses sous-traitants ;

d) le responsable du traitement ne dispose d'aucun accès, direct ou indirect, à l'espace de stockage de l'élève, à son système de fichiers ou au contenu de ses échanges avec le service d'intelligence artificielle qu'il utilise ;

e) il n'existe aucune synchronisation, aucune sauvegarde distante, aucune télémétrie de contenu et aucun mécanisme de collecte différée.

3.3. Il en résulte que le responsable du traitement ne traite, au titre du Programme, aucune donnée relative au patrimoine, aux revenus, aux comptes bancaires, aux contrats d'assurance, aux crédits, à la fiscalité, à la composition familiale ou aux projets successoraux de l'élève.

3.4. Rôle de l'élève sur ses propres données. Le traitement local des données patrimoniales de l'élève, réalisé sur son matériel et pour son usage strictement personnel, relève de son propre chef. Lorsque ce traitement porte sur les données de tiers (conjoint, enfants, associés), l'élève en est le responsable et lui seul. Il lui appartient d'informer ces personnes et de respecter leurs droits.

3.4 bis. Outils conservés par l'élève après la formation. L'élève dispose, sur les outils pédagogiques et le générateur de tableau de bord, d'une licence d'utilisation sans limitation de durée prévue par les conditions générales de vente. Ces outils s'exécutant exclusivement sur son matériel et n'émettant aucune requête vers le responsable du traitement, leur conservation et leur usage après la fin de l'accès à la plateforme ne donnent lieu à aucun traitement de données par le responsable du traitement.

3.5. Service d'intelligence artificielle. L'élève souscrit en son nom propre l'abonnement au service d'intelligence artificielle utilisé pour exécuter les Skills. La relation contractuelle et le traitement de données qui en découle sont régis par les conditions de ce fournisseur, auquel le responsable du traitement est étranger. Le responsable du traitement recommande un paramétrage sans conservation des données (mode dit "zero data retention") et documente ce paramétrage dans les supports du Programme. Il appartient à l'élève de vérifier et de maintenir cette configuration. Le responsable du traitement n'est ni responsable conjoint ni sous-traitant à ce titre.

3.6. Interdiction de transmission spontanée. L'élève s'interdit d'adresser au responsable du traitement, à ses formateurs ou aux autres participants des documents ou informations contenant ses données patrimoniales détaillées ou celles de tiers. Toute transmission opérée en violation de cette interdiction fait l'objet d'une suppression dans les meilleurs délais, sans exploitation ni conservation, sauf obligation légale contraire. Un registre des suppressions est tenu.

3.7. Absence de profilage patrimonial. Aucune décision individuelle automatisée au sens de l'article 22 du RGPD, aucun scoring, aucun profilage de risque, aucune segmentation fondée sur la situation patrimoniale n'est mis en oeuvre au titre du Programme.

---

ARTICLE 4. CATEGORIES DE DONNEES TRAITEES

Les seules données traitées par le responsable du traitement au titre du Programme sont les suivantes :

4.1. Données d'identification et de contact. Civilité, nom, prénom, adresse électronique, numéro de téléphone lorsqu'il est renseigné, adresse postale de facturation.

4.2. Données professionnelles déclaratives non patrimoniales. Profession ou secteur d'activité, uniquement lorsque l'élève les renseigne volontairement à des fins d'adaptation pédagogique. Ces champs sont facultatifs.

4.3. Données de compte et de connexion à la plateforme pédagogique. Identifiant, mot de passe sous forme chiffrée ou haché, dates et heures de connexion, adresse IP, type de navigateur et de terminal.

4.4. Données de suivi pédagogique. Progression dans les modules, leçons consultées, taux d'achèvement, participation aux sessions en direct, attestation de suivi le cas échéant. Ces données portent sur l'usage du parcours, non sur le contenu du travail patrimonial de l'élève.

4.5. Données de transaction. Montant, date, référence de commande, statut du paiement, moyen de paiement utilisé. Les données de carte bancaire sont collectées et traitées directement par le prestataire de paiement et ne sont ni collectées ni conservées par le responsable du traitement.

4.6. Données d'échange. Contenu des courriels, messages et demandes d'assistance adressés par l'élève, ainsi que les réclamations.

4.7. Enregistrements des sessions en direct. Image et voix de l'élève lorsqu'il active sa caméra ou son microphone, ainsi que les messages postés dans la conversation écrite de la session.

4.8. Données de navigation et de mesure d'audience. Dans les conditions prévues à l'article 10.

4.9. Données non collectées. Ne sont jamais collectés par le responsable du traitement au titre du Programme : le patrimoine, les revenus, les avoirs, les identifiants et soldes bancaires, les contrats d'assurance, les encours de crédit, les données fiscales, la composition familiale détaillée, les projets de transmission, ainsi que les fichiers de travail générés localement. Aucune catégorie particulière de données au sens de l'article 9 du RGPD (données de santé, opinions, convictions, données biométriques) n'est collectée. Aucun numéro d'identification fiscale ni numéro de sécurité sociale n'est collecté.

---

ARTICLE 5. FINALITES ET BASES LEGALES

Intérêts légitimes poursuivis. Les traitements fondés sur l'article 6.1.f RGPD poursuivent respectivement la sécurité du service, l'amélioration de la qualité pédagogique, le développement de l'activité de formation et la protection des droits du responsable du traitement. Une mise en balance a été réalisée pour chacun. L'élève dispose d'un droit d'opposition dans les conditions de l'article 9.

---

ARTICLE 6. LA PASSERELLE DE MISE EN RELATION. FINALITE DISTINCTE ET NON ACTIVE

6.1. Etat du dispositif. A la date d'entrée en vigueur de la présente politique, la finalité n° 13 du tableau ci-dessus n'est pas mise en oeuvre. Aucune donnée d'élève n'est transmise à l'activité de gestion privée exercée sous la marque Happy Capital Patrimoine, ni à aucune autre activité réglementée du groupe.

6.2. Cloisonnement effectif. Les données des élèves sont hébergées et traitées dans un environnement logique distinct de celui des clients et prospects des activités réglementées. Aucune interconnexion de fichiers, aucun rapprochement, aucun enrichissement croisé et aucune réconciliation d'identités n'est opéré. Les habilitations d'accès sont distinctes et documentées.

6.3. Conditions cumulatives d'activation future. Si cette finalité venait à être activée, elle le serait dans le strict respect des conditions suivantes :

a) Finalité distincte. La mise en relation constitue une finalité autonome, non compatible par nature avec la finalité de formation. Elle ne peut donc en aucun cas être fondée sur l'exécution du contrat de formation ni sur un intérêt légitime.

b) Consentement préalable, spécifique, éclairé et univoque. Le consentement est recueilli par un formulaire dédié, distinct des conditions générales et du bon de commande, postérieurement à la souscription, par une action positive. Aucune case n'est pré-cochée. Le consentement n'est jamais une condition d'accès au Programme, ni d'obtention d'un avantage tarifaire, conformément à l'article 7.4 du RGPD.

c) Initiative de l'élève. La demande émane de l'élève. Le responsable du traitement ne sollicite pas ce consentement par relance individuelle ni par pression commerciale.

d) Minimisation stricte. Seules sont transmises les données strictement nécessaires à une prise de contact : nom, prénom, adresse électronique et, le cas échéant, numéro de téléphone. Aucune donnée patrimoniale n'est transmise, le responsable du traitement n'en détenant aucune. Aucune donnée de progression pédagogique, aucun contenu d'échange et aucun fichier de travail n'est transmis.

e) Information sur la liberté de choix. L'élève est informé, au moment du recueil du consentement, qu'il demeure libre de s'adresser à tout autre professionnel de son choix et que cette mise en relation ne constitue pas une recommandation.

f) Traitement autonome en aval. Une fois la mise en relation opérée, le traitement des données par l'activité de gestion privée relève de sa propre politique de confidentialité et de son propre cadre réglementaire, avec ses documents d'entrée en relation et ses obligations de connaissance client. Le responsable du traitement en informe l'élève et lui communique le lien correspondant.

g) Retrait à tout moment. Le consentement peut être retiré à tout moment, aussi simplement qu'il a été donné, sans conséquence sur l'accès au Programme. Le retrait ne remet pas en cause la licéité du traitement effectué avant celui-ci.

h) Traçabilité. La preuve du consentement (date, heure, libellé exact soumis, version du formulaire) est conservée pendant la durée du traitement et cinq ans après son terme, à titre probatoire.

6.4. Information préalable en cas d'activation. L'activation de cette finalité donnera lieu à une mise à jour de la présente politique et à une information individuelle des élèves concernés avant toute mise en oeuvre.

---

ARTICLE 7. DESTINATAIRES ET SOUS-TRAITANTS

7.1. Destinataires internes. Les données sont accessibles aux seuls personnels et intervenants du responsable du traitement dont les fonctions le justifient, dans la limite de leurs habilitations : équipe pédagogique, administration des inscriptions, comptabilité, support technique. Ces personnes sont soumises à une obligation de confidentialité. Les personnels affectés aux activités réglementées n'ont pas accès aux données des élèves, sauf lorsqu'ils interviennent effectivement en qualité de formateurs, auquel cas ils agissent dans ce seul cadre.

7.2. Sous-traitants. Le responsable du traitement recourt aux sous-traitants ci-dessous, liés par un contrat conforme à l'article 28 du RGPD.

Cette liste est tenue à jour. La version en vigueur est disponible sur demande à patrimoine@happy-capital.fr.

7.3. Autres destinataires. Les données peuvent être communiquées aux autorités administratives ou judiciaires lorsque la loi l'impose, ainsi qu'aux conseils du responsable du traitement en cas de litige, et aux auditeurs dans le cadre d'un contrôle de l'activité de formation.

7.4. Absence de cession. Les données ne sont ni vendues, ni louées, ni échangées avec des tiers à des fins commerciales.

---

ARTICLE 8. DUREES DE CONSERVATION

A l'issue de ces durées, les données sont supprimées ou anonymisées de manière irréversible. Les données conservées en archivage intermédiaire font l'objet d'un accès restreint aux seules personnes habilitées à en connaître.

---

ARTICLE 9. DROITS DES PERSONNES

9.1. Conformément aux articles 15 à 22 du RGPD, l'élève dispose des droits suivants :

a) droit d'accès aux données le concernant et à une copie de celles-ci ; b) droit de rectification des données inexactes ou incomplètes ; c) droit à l'effacement, dans les limites des obligations légales de conservation ; d) droit à la limitation du traitement ; e) droit à la portabilité des données fournies par lui et traitées sur le fondement du contrat ou du consentement, dans un format structuré et lisible par machine ; f) droit d'opposition aux traitements fondés sur l'intérêt légitime, pour des raisons tenant à sa situation particulière, et à tout moment et sans motif s'agissant de la prospection commerciale ; g) droit de retirer son consentement à tout moment pour les traitements qui en dépendent, sans effet rétroactif ; h) droit de définir des directives relatives au sort de ses données après son décès, conformément à la loi Informatique et Libertés.

9.2. Modalités d'exercice. Les demandes sont adressées à patrimoine@happy-capital.fr ou par courrier à Happy Capital Academy, Protection des données, 3 cours Georges Clemenceau, 33000 Bordeaux.

Une pièce d'identité peut être demandée en cas de doute raisonnable sur l'identité du demandeur. Elle est détruite après vérification.

Une réponse est apportée dans un délai d'un mois à compter de la réception de la demande, prolongeable de deux mois en cas de complexité ou de nombre élevé de demandes, l'élève en étant informé.

9.3. Limite tenant à l'architecture du Programme. Le responsable du traitement ne détenant aucune donnée patrimoniale de l'élève, il ne peut ni communiquer, ni rectifier, ni effacer, ni porter les fichiers de travail générés localement. La maîtrise de ces fichiers appartient exclusivement à l'élève, sur son propre matériel.

9.4. Réclamation. L'élève a le droit d'introduire une réclamation auprès de la Commission nationale de l'informatique et des libertés, 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07, www.cnil.fr.

---

ARTICLE 10. COOKIES ET TRACEURS

10.1. Le site de l'Académie utilise des cookies et traceurs relevant des catégories suivantes :

a) traceurs strictement nécessaires au fonctionnement du site et à l'authentification, exemptés de consentement ; b) traceurs de mesure d'audience, exemptés de consentement lorsqu'ils répondent aux conditions posées par la CNIL, soumis à consentement dans le cas contraire ; c) traceurs de mesure de performance publicitaire ou de partage, soumis à consentement préalable, uniquement s'ils sont effectivement déployés sur le site.

10.2. Conformément à l'article 82 de la loi Informatique et Libertés, le consentement est recueilli, lorsqu'il est requis, avant tout dépôt, par un bandeau permettant d'accepter, de refuser et de paramétrer avec la même facilité. Le refus est aussi simple que l'acceptation.

10.3. Le consentement est conservé six mois et le choix exprimé est valable au maximum treize mois. Les traceurs ont une durée de vie maximale de treize mois.

10.4. Le détail des traceurs déposés est accessible dans le panneau de gestion des préférences, accessible à tout moment depuis le lien de gestion des cookies affiché sur le site, si des traceurs soumis à consentement sont effectivement déployés.

10.5. Liste nominative des traceurs déposés. A la date de publication, à la suite de l'audit du site, les seuls traceurs déposés sont strictement nécessaires au fonctionnement et à l'authentification. Ils sont donc exemptés de consentement. La mesure d'audience est assurée par un outil sans cookie (article 10.6). Aucun traceur publicitaire ou de partage social n'est déployé.

10.6. Mesure d'audience sans cookie. Le site utilise Cloudflare Web Analytics, solution de mesure d'audience qui ne dépose aucun cookie, n'inscrit et ne lit aucune information dans le terminal de l'utilisateur, n'utilise pas d'identifiant persistant et ne procède à aucun suivi entre sites ni à aucune prise d'empreinte du navigateur. Elle fournit des statistiques de fréquentation agrégées (pages vues, provenance, performances). N'opérant aucun accès au terminal au sens de l'article 82 de la loi Informatique et Libertés, elle est exemptée de consentement. Base légale : intérêt légitime du responsable du traitement à mesurer la fréquentation de son site, article 6.1.f du RGPD.

10.7. Traceurs tiers. Lors du paiement, l'élève est redirigé vers le prestataire Stripe, qui dépose ses propres traceurs sur son domaine, régis par la politique de Stripe et étrangers au présent site. Aucun autre traceur tiers n'est déposé sur le site de l'Académie à la date de publication.

10.8. Absence de bandeau à ce jour. Aucun traceur soumis à consentement n'étant déployé, aucun bandeau de recueil du consentement n'est requis ni affiché. Un tel bandeau, conforme aux articles 10.2 à 10.4, serait mis en place préalablement à tout déploiement futur d'un traceur soumis à consentement.

---

ARTICLE 11. TRANSFERTS HORS UNION EUROPEENNE

11.1. Le responsable du traitement privilégie des prestataires hébergeant les données au sein de l'Union européenne.

11.2. Lorsqu'un transfert vers un pays tiers est nécessaire, il est encadré par l'un des instruments prévus au chapitre V du RGPD : décision d'adéquation de la Commission européenne ou clauses contractuelles types, complétées le cas échéant de mesures supplémentaires après analyse de la législation du pays destinataire.

11.3. Les transferts susceptibles d'intervenir via Cloudflare, Stripe, Resend, l'outil de visioconférence, l'outil d'hébergement vidéo ou l'outil d'analyse d'audience doivent être documentés avant publication, en indiquant pour chacun le pays de destination et l'instrument de transfert retenu. Une copie des garanties mises en place peut être obtenue sur demande à patrimoine@happy-capital.fr.

---

ARTICLE 12. SECURITE

12.1. Le responsable du traitement met en oeuvre des mesures techniques et organisationnelles appropriées au sens de l'article 32 du RGPD, notamment : chiffrement des flux en transit, hachage des mots de passe, gestion des habilitations selon le principe du moindre privilège, authentification renforcée des comptes d'administration, journalisation des accès, sauvegardes régulières, engagements de confidentialité des intervenants, sélection de sous-traitants présentant des garanties suffisantes.

12.2. Sécurité du poste de l'élève. Les fichiers de travail étant stockés localement, la sécurité du matériel de l'élève relève de sa seule responsabilité. Il lui est recommandé de chiffrer son disque, de protéger sa session par un mot de passe robuste, de maintenir son système à jour et de réaliser des sauvegardes. Le responsable du traitement ne détient aucune copie et ne peut restaurer aucune donnée.

12.3. Violation de données. En cas de violation de données à caractère personnel susceptible d'engendrer un risque pour les droits et libertés des personnes, le responsable du traitement notifie la CNIL dans les meilleurs délais et, si possible, dans les soixante-douze heures, et informe les personnes concernées lorsque le risque est élevé, conformément aux articles 33 et 34 du RGPD.

---

ARTICLE 13. MINEURS

Le Programme est réservé aux personnes majeures. Le responsable du traitement ne collecte pas sciemment de données relatives à des mineurs. Toute donnée collectée par erreur est supprimée dès qu'il en a connaissance.

---

ARTICLE 14. INTELLIGENCE ARTIFICIELLE ET ABSENCE D'ENTRAINEMENT SUR LES DONNEES DES ELEVES

14.1. Les données personnelles collectées au titre du Programme ne sont utilisées ni pour entraîner, ni pour affiner, ni pour évaluer un modèle d'intelligence artificielle, par le responsable du traitement comme par ses sous-traitants.

14.2. Les données patrimoniales de l'élève n'étant pas collectées par le responsable du traitement, elles ne peuvent en tout état de cause servir à un tel usage de son fait.

14.3. Les échanges de l'élève avec son propre fournisseur d'intelligence artificielle relèvent du contrat qui les lie. Le responsable du traitement recommande un paramétrage sans conservation des données et exclut, dans les supports du Programme, tout recours à un service autorisant l'exploitation des saisies à des fins d'entraînement.

---

ARTICLE 15. MODIFICATIONS

La présente politique peut être modifiée pour tenir compte d'évolutions légales, techniques ou organisationnelles. La version applicable est celle publiée sur le site à la date de consultation. Toute modification substantielle, notamment l'ajout d'une finalité, fait l'objet d'une information individuelle des élèves concernés et, lorsque la loi l'exige, d'un nouveau recueil de consentement.

---