La présente politique décrit, de manière explicite et complète, les traitements de données personnelles réalisés par le service Trace (tracemonaco.com). Elle est rédigée conformément à la Loi n° 1.565 du 3 décembre 2024 relative à la protection des données personnelles en Principauté de Monaco et, lorsqu'il trouve à s'appliquer, au Règlement général sur la protection des données (RGPD, UE 2016/679). Nous avons choisi de tout indiquer plutôt que de recourir à des formules générales, en désignant chaque prestataire ou, à défaut, sa catégorie : vous savez ainsi ce qu'il advient de chaque donnée.
1. Responsable du traitement et rôle de Trace
L'exploitant du service Trace est :
BSS — Ben-Sylvester Strautmann
Exploitation Directe — RCI n° 22P10095
41 Avenue Hector Otto, Le Patio Palace
C/° Monaco Check-In S.A.M. — 98000 Monaco
Contact : hello@tracemonaco.com
Trace intervient à deux titres juridiquement distincts :
- En tant que responsable du traitementpour les données du compte de l'utilisateur professionnel (l'« opérateur ») : adresse e-mail, identité, nom de la structure, logo, données de facturation et d'abonnement, données techniques et de mesure d'audience.
- En tant que sous-traitantpour les données que l'opérateur saisit au sujet des personnes qu'il crible (ses clients, leurs bénéficiaires effectifs, les navires, etc.). Pour ces données, c'est l'opérateur — assujetti aux obligations de vigilance de la Loi n° 1.362 — qui demeure le responsable du traitement. Trace les traite uniquement sur les instructions de l'opérateur, dans le cadre des Conditions d'utilisation et de l'accord de sous-traitance qui en fait partie intégrante.
2. Personnes concernées par cette politique
- Les opérateurs— les professionnels titulaires d'un compte Trace.
- Les personnes criblées— les tiers dont l'opérateur saisit les données pour exécuter ses obligations de lutte contre le blanchiment. Ces personnes exercent leurs droits en premier lieu auprès de l'opérateur qui les a criblées (leur responsable de traitement) ; Trace relaie toute demande reçue à l'opérateur concerné.
- Les visiteurs du site tracemonaco.com.
3. Données traitées
- Données de compte: adresse e-mail, nom, nom de la structure, logo, plan d'abonnement et historique de facturation.
- Données de criblage saisies par l'opérateur: nom, date de naissance, nationalité, numéro de document d'identité de la personne ou de l'entité criblée ; informations sur les bénéficiaires effectifs et les navires ; contexte de la transaction.
- Copies de documents d'identité: lorsque l'opérateur téléverse un passeport, une carte d'identité, un extrait Kbis/RCI ou un acte de pavillon, l'image est (a) transmise à un service d'extraction OCR pour en lire les champs (voir §7) et (b) conservée dans le dossier de criblage au sein du compte de l'opérateur. Cette conservation est requise : la Loi n° 1.362 (art. 4 et 21) impose de verser une copie du document d'identification au dossier de vigilance.
- Résultats de criblage: sources consultées, correspondances éventuelles, classifications, score de risque, décisions et notes de l'opérateur, rapports PDF générés.
- Données techniques: adresse IP, agent utilisateur, journaux serveur — pour la sécurité du service et la détection d'abus.
- Données de mesure d'audience: pages consultées et données de performance, sur les seules pages publiques du site. Aucune mesure d'audience n'est réalisée dans l'espace connecté du service (tableau de bord, criblage, administration), ni sur les pages de dépôt de documents ou de vérification d'une attestation. Les cookies de mesure d'audience ne sont déposés qu'après votre consentement ; sans ce consentement, seules des mesures sans cookie sont effectuées (voir §10).
4. Finalités du traitement
- Exécuter le criblage demandé contre les listes et sources consultées.
- Extraire automatiquement les champs des documents d'identité téléversés (OCR).
- Produire et conserver le rapport PDF documentant le criblage.
- Gérer le compte, l'abonnement, la facturation et la relation contractuelle.
- Assurer la sécurité du service et prévenir les abus.
- Mesurer l'audience des pages publiques du site afin d'en améliorer le fonctionnement (les cookies correspondants ne sont déposés qu'avec votre consentement).
5. Bases légales
- Exécution du contrat— pour les données du compte, de l'abonnement et de la facturation, et pour la fourniture du service de criblage à l'opérateur.
- Obligation légale— le criblage des tiers et la conservation des dossiers de vigilance reposent sur les obligations de lutte contre le blanchiment qui incombent à l'opérateur (Loi n° 1.362). Trace les met en œuvre en qualité de sous-traitant.
- Intérêt légitime— pour la sécurité du service, la prévention des abus et la mesure d'audience sans cookie des pages publiques du site.
- Consentement— pour les cookies de mesure d'audience. Le consentement est recueilli via la bannière et peut être retiré à tout moment.
6. Durée de conservation
- Données de compte: conservées pendant toute la durée de la relation avec l'opérateur. Le compte n'est pas supprimé automatiquement : l'opérateur peut en demander la suppression à tout moment en écrivant à hello@tracemonaco.com. Les données sont alors effacées dans un délai d'un mois, à l'exception de celles que Trace doit conserver au titre d'une obligation légale (notamment comptable) et des dossiers de criblage décrits ci-dessous.
- Données et rapports de criblage, copies de documents d'identité: conservés dans le compte de l'opérateur. Ils constituent le dossier de vigilance de l'opérateur et sont soumis, à ce titre, à l'obligation de conservation de la Loi n° 1.362 (art. 23) — 5 ans après la fin de la relation d'affaires, durée pouvant être prorogée de 5 ans au plus. Trace conserve ces données pour le compte de l'opérateur pendant la durée que celui-ci détermine en application de cette obligation. Aucune suppression automatique n'intervient à l'issue d'un délai fixe : seul l'opérateur connaît la date de fin de la relation d'affaires, et la suppression a lieu sur son instruction.
- Fichiers déposés via une demande de documents: un fichier transmis par un client de l'opérateur qui est refusé est supprimé automatiquement 30 jours après son dépôt ; un fichier resté sans examen l'est 30 jours après son dépôt, une fois la demande clôturée. Lorsque le refus ou la clôture intervient après ce délai, la suppression a lieu dans les jours qui suivent.
- Journaux techniques : conservés pour une durée limitée à des fins de sécurité.
- Cookies de mesure d'audience : voir §10 — le cookie Google Analytics est conservé 14 mois au maximum.
7. Destinataires et sous-traitants
Trace ne vend aucune donnée et ne la partage avec aucun annonceur. Pour fournir le service, Trace recourt aux prestataires (sous-traitants) suivants :
- Vercel Inc.(États-Unis) — hébergement de l'application et mesure de performance des pages publiques du site (Vercel Analytics). Les fonctions serveur de l'application s'exécutent dans l'Union européenne.
- Supabase, Inc.— base de données, authentification et stockage des fichiers (dont les rapports PDF et les copies de documents téléversées). Les données sont hébergées dans l'Union européenne.
- Google LLC(États-Unis) — deux usages via l'API Gemini. Extraction OCR des documents d'identité : lorsque l'extraction locale échoue, l'image du document est transmise à ce service pour en lire les champs. Recherche d'exposition publique : le nom de la personne criblée et, le cas échéant, sa date de naissance, sa nationalité, sa profession et l'entité à laquelle elle est rattachée sont transmis au modèle, qui interroge la recherche Google afin d'établir un profil public sourcé (exposition politique, presse défavorable). Lorsque cette recherche n'est pas lancée ou n'aboutit pas, des extraits des pages publiques retrouvées par Linkup sont transmis au modèle, qui les analyse sans accès au web. Google fournit également Google Analytics (mesure d'audience des seules pages publiques du site ; cookies déposés uniquement après consentement).
- Resend, Inc. (États-Unis) — envoi des e-mails transactionnels (lien de connexion, notifications, reçus).
- CoreByCarlo— prestataire de paiement pour les abonnements. Les données de carte bancaire sont saisies directement auprès du prestataire ; Trace n'y a jamais accès.
- SerpAPI(États-Unis) — service de recherche d'actualités utilisé pour la recherche de presse défavorable. Le nom de la personne criblée est transmis afin d'interroger l'index d'articles de Google Actualités.
- Linkup Technologies(France ; requêtes susceptibles d'être traitées aux États-Unis, dans l'Union européenne ou dans d'autres pays) — service de recherche web complémentaire, utilisé dans quatrecas seulement : lorsque les sources citées par le modèle lors de la recherche d'exposition publique n'ont pu être corroborées (le nom de la personne criblée et son année de naissance sont alors transmis afin de retrouver des pages publiques la concernant), en repli de la recherche web par mots-clés de risque lorsque le service principal est indisponible (le nom de la personne criblée et des termes de risque génériques sont alors transmis), en secours de la recherche d'exposition publique d'une personne physique lorsque le modèle n'a lancé aucune recherche web ou n'a pas abouti (son nom et, selon les éléments déclarés, son année de naissance, sa profession ou sa nationalité sont alors transmis, avec des termes de risque génériques), et pour les criblages lancés par l'API, dont il réalise la vérification automatisée des informations publiques (il reçoit alors le nom recherché, avec la date de naissance lorsqu'elle est fournie, ou la dénomination de la société, avec son pays d'immatriculation).
- Wikidata— les requêtes de contexte transmettent uniquement des paramètres techniques (types de fonctions politiques) et aucune donnée fournie par l'utilisateur.
- Un prestataire de suivi des erreurs techniques (données hébergées dans l'Union européenne) — reçoit les rapports d'erreur du service et des mesures de performance échantillonnées, afin d'en assurer le bon fonctionnement. Il est configuré pour limiter la collecte de données personnelles : aucune adresse IP n'y est enregistrée, et les sessions de navigation ne font l'objet d'aucun enregistrement. Un rapport d'erreur peut néanmoins contenir des informations relatives à l'opération au cours de laquelle l'erreur est survenue.
Le criblage contre les listes de sanctions et de gel des fonds s'effectue contre des copies de ces listes publiques ; le nom criblé n'est pas transmis aux autorités émettrices.
Pour les recherches complémentaires, le nom criblé (accompagné, le cas échéant, de termes de recherche génériques et de paramètres de langue ou de pays de recherche) est en revanche transmis, sous forme de requête, à des services de recherche accessibles au public : bases de données publiques, encyclopédies en ligne et moteurs de recherche d'actualités. Ces services ne reçoivent que cette requête et ne sont pas des sous-traitants de Trace ; certains sont établis hors de l'Espace économique européen.
8. Transferts hors de Monaco et de l'Espace économique européen
Les fonctions serveur de l'application s'exécutent dans l'Union européenne, où sont également hébergés la base de données et les fichiers (rapports PDF, documents téléversés). En revanche, certains sous-traitants (notamment Vercel, Supabase, Google, Resend, SerpAPI et Linkup, ainsi que le prestataire de suivi des erreurs) sont établis aux États-Unis ou peuvent y traiter des données ; les données concernées peuvent alors faire l'objet d'un transfert hors de Monaco et de l'Espace économique européen. Il en va de même pour les requêtes adressées aux services de recherche accessibles au public mentionnés au §7 qui sont établis hors de cet espace. Ces transferts peuvent reposer sur les clauses contractuelles types adoptées par la Commission européenne, lorsqu'elles ont été conclues avec le sous-traitant concerné. En droit monégasque, ces clauses ne sont pas des clauses types approuvées par l'Autorité de Protection des Données Personnelles au sens de l'article 98 de la Loi n° 1.565 : les transferts qui reposent sur elles relèvent de l'autorisation de cette autorité prévue à l'article 100 de la même loi. Vous pouvez obtenir, pour chaque sous-traitant, des précisions sur le transfert et sur son encadrement en écrivant à hello@tracemonaco.com.
9. Vos droits
Conformément à la Loi n° 1.565 du 3 décembre 2024 et, le cas échéant, au RGPD, vous disposez des droits suivants sur les données qui vous concernent :
- droit d'accès ;
- droit de rectification des données inexactes ;
- droit d'effacement (« droit à l'oubli »), sous réserve des obligations légales de conservation rappelées au §6 ;
- droit à la limitation du traitement ;
- droit à la portabilité des données ;
- droit d'opposition au traitement, pour motifs légitimes ;
- droit de retirer votre consentement à tout moment, sans que cela remette en cause la licéité du traitement antérieur.
Pour exercer ces droits, écrivez à hello@tracemonaco.com. Une réponse vous est apportée dans un délai maximum d'un mois. Si votre demande porte sur des données saisies par un opérateur dans le cadre d'un criblage, elle est relayée à cet opérateur, qui en est le responsable du traitement.
Vous pouvez également introduire une réclamation auprès de l'Autorité de Protection des Données Personnelles (APDP) de Monaco, autorité de contrôle instituée par la Loi n° 1.565 du 3 décembre 2024.
10. Cookies et stockage local
Trace utilise un nombre limité de cookies et de jetons de stockage local. Aucun cookie de mesure d'audience n'est déposé avant votre consentement explicite : tant que vous n'avez pas accepté via la bannière, le mode consentement de Google est positionné sur « refusé » et aucun identifiant n'est stocké. La mesure d'audience ne porte que sur les pages publiques du site : elle n'est jamais chargée dans l'espace connecté du service.
- Préférence de langue (localStorage) — clé
trace-locale. Strictement nécessaire au fonctionnement du service ; aucun consentement requis. - Décision de consentement (localStorage) — clé
trace-cookie-consent. Mémorise votre choix d'accepter ou de refuser les cookies de mesure d'audience. Strictement nécessaire. - Authentification (cookie httpOnly) — émis par Supabase Auth après connexion ; maintient votre session. Ne concerne que les utilisateurs authentifiés.
- Google Analytics 4 (cookies
_ga, _ga_<ID>)— mesure d'audience anonymisée (anonymize_ip activé), sur les pages publiques du site. Déposé uniquement après votre consentement explicite. Sans ce consentement, Google Analytics ne reçoit que des signaux sans cookie. Vous pouvez retirer ce consentement à tout moment via le lien « Gérer les cookies » du pied de page. - Vercel Analytics— mesure de performance sans cookie tiers ; ne dépose qu'un identifiant éphémère destiné à dédupliquer les pages vues. Sans cookie, elle ne requiert pas de consentement et ne porte que sur les pages publiques du site.
Aucun cookie publicitaire n'est déposé et aucune donnée n'est partagée avec des annonceurs.
11. Sécurité
Les données sont chiffrées en transit (HTTPS / TLS). L'accès aux données est cloisonné par compte : un mécanisme de sécurité au niveau de la base de données (Row-Level Security) garantit que chaque opérateur ne peut accéder qu'à ses propres données. Les accès d'administration sont restreints. Aucune mesure de sécurité n'étant infaillible, Trace ne peut garantir une sécurité absolue, mais s'engage à mettre en œuvre des mesures conformes à l'état de l'art.
12. Acceptation de la politique et modifications
Les Conditions d'utilisationet la présente politique s'appliquent à tout compte Trace, quel que soit le parcours par lequel il a été ouvert, notamment le formulaire d'inscription, l'essai gratuit, la souscription d'une offre ou la demande d'un lien de connexion pour une adresse qui n'a pas encore de compte. L'ouverture ou l'utilisation d'un compte vaut acceptation des Conditions d'utilisation et prise de connaissance des traitements décrits dans le présent document. Ces deux textes sont publiés sur le site et peuvent être consultés à tout moment. Le formulaire d'inscription, le formulaire d'essai gratuit et le formulaire de souscription d'un abonnement ou d'une offre recueillent en outre cette acceptation au moyen d'une case à cocher non pré-cochée. Trace conserve une preuve de cette acceptation : l'adresse e-mail ou l'identifiant du compte, la date et l'heure, la version des Conditions d'utilisation acceptée, le formulaire utilisé et, le cas échéant, l'offre souscrite.
En cas de modification substantielle de la présente politique, les utilisateurs titulaires d'un compte en sont informés. La date de dernière mise à jour figure en bas de page.
13. Contact
Toute question relative à la protection des données peut être adressée à hello@tracemonaco.com.
Dernière mise à jour : 8 octobre 2026.
