Politique de confidentialité

COT-Reports (« nous ») exploite COT-Reports.com, un site web gratuit qui publie les rapports Commitments of Traders de la U.S. Commodity Futures Trading Commission (CFTC) ainsi que des outils analytiques et un calendrier économique en direct. Le site est exploité par un particulier ; nous n'avons pas de bureau physique et nous ne collectons pas plus de données que nécessaire pour faire fonctionner le site.

Données techniques à chaque visite : adresse IP, user agent, page de référence, taille d'écran et préférence de langue. Avec votre consentement explicite, Google Analytics 4 enregistre des statistiques d'usage agrégées (pages consultées, durée de session, pays approximatif déduit d'une IP anonymisée). Avec le même consentement, Microsoft Clarity enregistre l'utilisation des pages — clics, défilement et relectures de session anonymisées — afin que nous puissions repérer et corriger les pages confuses ; tout ce qui est saisi dans les formulaires et toutes les pages de compte sont masqués dans le navigateur. Lorsque vous créez un compte, nous collectons votre adresse e-mail et un hachage salé de votre mot de passe (le mot de passe lui-même n'est jamais stocké ni transmis en clair — Supabase Auth gère l'authentification). Lorsque vous êtes connecté, nous enregistrons également le pays depuis lequel vous consultez le site, tel que notre hébergeur le déduit de votre adresse IP à ce moment-là ; nous ne conservons que le pays, jamais l'adresse IP. Lorsque vous souscrivez à COT-Reports Premium, notre prestataire de paiement Stripe traite les données de votre carte sur sa propre infrastructure et nous ne les voyons, ne les stockons ni ne les transmettons jamais ; nous recevons et stockons un identifiant client Stripe, un identifiant d'abonnement, la période de facturation, le statut et l'horodatage du prochain cycle de facturation. Pour un abonnement, nous conservons également, avec l'abonnement chez Stripe, les pays qui déterminent le droit de la consommation applicable : votre pays de facturation, le pays de votre carte ou de votre compte PayPal et le pays depuis lequel la commande a été passée (déduit de votre adresse IP à ce moment-là ; l'adresse elle-même n'est pas conservée). Nous les utilisons pour déterminer si le contrat comporte un droit légal de rétractation. Si votre formule inclut le guide « Comment lire le rapport COT simplifié » et que vous ouvrez le guide complet alors que vous pouvez encore vous rétracter de l'abonnement, nous enregistrons cette première ouverture : votre compte et votre adresse e-mail, l'abonnement, le moment, le prix qui vous a été affiché, la langue de la page, un hachage de votre adresse IP et le user agent de votre navigateur. Nous l'utilisons pour calculer, et pouvoir prouver, le remboursement en cas de rétractation, et nous la conservons aussi longtemps que les enregistrements de ce contrat. Lorsque vous ouvrez l'une de nos pages de paiement (Premium ou un produit de la boutique), nous notons également le forfait ou le produit concerné, le moment où vous l'avez ouverte et si le paiement a abouti, afin de repérer les paiements qui n'ont pas abouti et de vous aider en cas de problème. Lorsque vous vous abonnez à la newsletter, aux alertes de publication (notifications de parution CFTC) ou à la synthèse hebdomadaire des positions extrêmes, nous stockons votre adresse e-mail, votre langue, la source de l'inscription et un hachage SHA-256 salé de votre IP à des fins de limitation anti-spam. Si vous cochez la case optionnelle de promotion croisée, nous enregistrons également votre consentement pour que notre produit sœur TradeLog puisse vous envoyer des mises à jour produit — c'est uniquement en opt-in et vous pouvez vous désinscrire à tout moment via le lien présent dans chaque e-mail. Lorsque vous envoyez un formulaire de contact, nous stockons votre nom, votre e-mail, votre message, le hash de votre IP et votre user-agent afin de pouvoir répondre et détecter les abus. Lorsque vous soumettez une demande de bonus Ultima Markets, nous stockons votre nom, votre e-mail, votre pays et (optionnellement) votre identifiant de compte UM pour le traitement — voir §5.

Les données techniques font fonctionner et sécurisent le site (limitation de débit, prévention des abus, diagnostic d'erreurs). Les statistiques agrégées nous indiquent quelles pages sont utiles et où les visiteurs se bloquent. Les données de compte vous permettent de vous connecter et de recevoir des e-mails transactionnels (bienvenue, réinitialisation du mot de passe, reçus d'abonnement, confirmation de suppression de compte). Elles nous permettent aussi de vous envoyer les quatre courts e-mails de conseils et d’offres de votre premier mois décrits à la section 12, sauf si vous les avez refusés à l’inscription ou vous êtes désabonné. Les données d'abonnement nous permettent d'accorder l'accès Premium au bon compte et de renouveler ou résilier la facturation via Stripe. Les données de newsletter, d'alertes de publication et de digest nous permettent de vous délivrer les e-mails auxquels vous avez consenti. Les données du formulaire de contact nous permettent de répondre à votre message. Nous ne vendons jamais de données personnelles, nous ne les utilisons jamais à des fins de profilage publicitaire et nous ne pratiquons aucun suivi comportemental inter-sites. Stripe applique son propre traitement antifraude et de conformité fiscale aux données de paiement — voir la politique de confidentialité de Stripe sur stripe.com/privacy pour plus de détails.

Lorsque la loi européenne sur la protection des données (RGPD) s'applique, nos bases légales au titre de l'article 6 sont : (a) Article 6(1)(f) intérêt légitime — pour la sécurité, la prévention des abus, la limitation du débit, le diagnostic d'erreurs, l'exploitation du site, et l'envoi à nos clients existants de notre récap COT hebdomadaire et de nos alertes de positionnement extrême dans le cadre du 'soft opt-in' autorisé par la législation e-privacy — la même base couvre les quatre e-mails de conseils et d’offres envoyés aux titulaires d’un compte gratuit pendant leur premier mois (section 12) ; (b) Article 6(1)(a) consentement explicite — pour les cookies analytiques optionnels, l'abonnement à la newsletter, les alertes de publication, le digest hebdomadaire des positionnements extrêmes et la case optionnelle de cross-promo ; (c) Article 6(1)(b) exécution d'un contrat — pour la création de compte, le traitement des abonnements Premium, les achats Marketplace et le service COT Data API ; (d) Article 6(1)(c) obligation légale — pour la conservation des registres TVA/fiscaux le cas échéant, et pour la conservation des relevés de paiement en vertu du droit comptable. Vous pouvez retirer votre consentement à tout moment via la bannière de cookies, vos paramètres de compte ou le lien de désabonnement dans chaque e-mail.

Nous partageons le minimum de données nécessaire avec les prestataires qui font tourner notre infrastructure, chacun agissant en tant que sous-traitant suivant nos instructions : Vercel (hébergement), Supabase (base de données, authentification, stockage de fichiers), Stripe (traitement des paiements pour les abonnements Premium et les achats du Marketplace — Stripe est responsable du traitement pour les données de carte et sous-traitant pour le reste, voir stripe.com/privacy), Resend (livraison des e-mails transactionnels et de digest) Google Analytics 4 et Microsoft Clarity (analytique anonymisée, uniquement après consentement). Nous utilisons aussi Sentry (rapports d’erreurs du site et de votre navigateur — données techniques uniquement), Cloudflare Turnstile (la vérification anti-robot de nos formulaires), Groq et Google Gemini (ils rédigent les réponses du chatbot d’assistance à partir de la question que vous saisissez) et Telegram (alertes privées à notre fondateur sur les commandes et les nouveaux comptes, pouvant inclure votre adresse e-mail). Nous récupérons également des données publiques auprès d'agences gouvernementales (CFTC, BLS, BEA, Federal Reserve, ECB, Eurostat, ONS, Bank of England) — ce sont des appels unidirectionnels qui ne partagent pas vos données. Lorsque vous soumettez une demande de bonus Ultima Markets via la section Brokers, les données du formulaire (nom, e-mail, pays, ID de compte UM le cas échéant) sont envoyées au Ultima Markets VIP Bonus Desk pour le traitement de votre upgrade — c'est l'unique finalité de ce formulaire, et Ultima Markets devient à partir de ce point un responsable de traitement distinct. Les événements de clic et d'impression sur les bannières broker et prop-firm sont stockés dans nos propres tables analytiques Supabase sous forme agrégée, hashés par IP, et ne sont jamais partagés avec des tiers. Nous ne vendons jamais vos données et ne les partageons jamais à des fins de publicité ou de profilage.

Plusieurs de nos sous-traitants sont basés aux États-Unis — Vercel (hébergement), Stripe (paiements), Google (Analytics) et Resend (infrastructure e-mail). Lorsque des données personnelles quittent l'Espace Économique Européen, nous nous appuyons sur les mécanismes de transfert du Chapitre V du RGPD : les Clauses Contractuelles Types de la Commission européenne (CCT, Décision 2021/914/UE) et la décision d'adéquation du Cadre UE-États-Unis sur la Protection des Données (Décision 2023/1795). Stripe, Google et Resend sont certifiés sous le Cadre EU-U.S. DPF ; Vercel traite sous CCT et propose un hébergement en région UE que nous utilisons par défaut. Supabase traite nos données utilisateurs et de compte à l'intérieur de l'UE (région Francfort). Vous pouvez demander le mécanisme de transfert spécifique applicable à vos données pour l'un de nos sous-traitants en nous envoyant un e-mail. Sentry conserve les rapports d’erreurs dans l’UE (Allemagne). Groq, Google (Gemini), Cloudflare et Telegram peuvent traiter des données hors de l’EEE ; le cas échéant, le transfert repose sur les garanties qu’ils proposent au titre du chapitre V du RGPD (clauses contractuelles types ou cadre de protection des données UE-États-Unis).

Les journaux d'accès du serveur sont conservés jusqu'à 30 jours à des fins de sécurité, puis supprimés. Les données analytiques sont conservées jusqu'à 14 mois. Tout message que vous envoyez à contact@cot-reports.com est conservé uniquement le temps nécessaire pour traiter votre demande, puis archivé ou supprimé. Si vous vous rétractez d'un contrat (le droit de 14 jours) ou si un remboursement vous est dû après la résiliation d'un abonnement annuel, nous conservons cet enregistrement (votre nom, votre adresse e-mail, le contrat ainsi que la date et l'heure) le temps nécessaire à la constatation, à l'exercice ou à la défense de la créance juridique concernée, y compris après la suppression de votre compte (RGPD art. 17(3)(b) et (e)), puis nous le supprimons.

Vous avez le droit d'accéder, de corriger, de supprimer ou d'exporter vos données personnelles, et de vous opposer à leur traitement ou de le restreindre. Vous pouvez exercer ces droits à tout moment en envoyant un e-mail à contact@cot-reports.com. Nous répondrons dans les 30 jours. Si vous estimez que nous n'avons pas traité votre demande correctement, vous avez le droit de déposer une plainte auprès de votre autorité locale de protection des données.

Nous utilisons un ensemble minimal de cookies : un cookie de session pour mémoriser votre langue et votre thème, et des cookies Google Analytics et Microsoft Clarity facultatifs qui ne se déclenchent qu'après que vous avez cliqué sur Accepter dans notre bannière. Les détails complets figurent dans notre Politique de cookies.

Lorsque vous achetez le COT Data Dump ou souscrivez au COT Data Spreadsheet, nous stockons votre enregistrement de commande (Stripe customer ID, ID d’abonnement le cas échéant, slug du produit, montant, statut, timestamp de fin et nombre de re-téléchargements). Nous ne stockons pas l’archive elle-même associée à votre compte ; le fichier dans notre bucket Storage privé est livré via des URLs signées de courte durée et n’est pas personnalisé. Lorsque vous souscrivez au COT Data API, nous générons un token bearer, stockons son hash SHA-256, les quatre derniers caractères pour l’identification UI, un label optionnel, l’ID d’abonnement Stripe lié et des compteurs d’usage par requête ; le token brut lui-même vous est affiché exactement une fois et n’est jamais écrit sur nos serveurs. Chaque requête API est loggée avec un hash SHA-256 salé de l’IP source, l’user-agent, le referer, l’endpoint et le statut de réponse ; les adresses IP brutes ne sont jamais persistées. Les logs API sont conservés 7 jours puis supprimés par un job automatique. Vous pouvez révoquer n’importe quel token à tout moment depuis /account/api ; la révocation prend effet à la requête suivante, sans période de grâce.

COT-Reports.com est destiné aux utilisateurs âgés de 18 ans ou plus. Nous ne collectons pas sciemment d'informations auprès de personnes de moins de 18 ans. Si vous pensez qu'un mineur nous a fourni des données, veuillez nous contacter pour que nous puissions les supprimer.

Nous envoyons deux communications par e-mail facultatives : un récap COT hebdomadaire et des alertes de positionnement extrême. Si vous créez un compte gratuit, vous ne les recevez que si vous y consentez, via une case à cocher décochée présentée lors de l'inscription. Si vous achetez un produit ou un abonnement, nous pouvons vous envoyer ces mêmes communications en tant que client, comme le permet le 'soft opt-in' prévu par la législation e-privacy applicable — nous vous en informons au moment de l'achat. Lorsque vous créez un compte gratuit, nous vous envoyons aussi quatre courts e-mails pendant votre premier mois (jours 3, 7, 14 et 30), avec des conseils d’utilisation du site et sur notre propre offre Premium, également au titre du 'soft opt-in' : vous pouvez les refuser via une case à cocher lors de l’inscription. Dans tous les cas, chaque e-mail marketing contient un lien de désabonnement en un clic, et vous pouvez activer ou désactiver ces e-mails à tout moment dans Alertes e-mail dans les paramètres de votre compte. Nous ne vendons ni ne partageons jamais votre adresse e-mail.

Lorsque vous utilisez le chatbot d'assistance du site, nous enregistrons la conversation — les messages que vous envoyez et les réponses de l'assistant — afin que notre équipe puisse la consulter et améliorer l'assistance que nous proposons. Si vous êtes connecté à un compte, l'adresse e-mail de votre compte est enregistrée avec la conversation ; si vous n'êtes pas connecté, aucune adresse e-mail n'est enregistrée. Si vous choisissez de laisser vous-même votre adresse e-mail dans le chat, nous l'utilisons uniquement pour répondre à cette conversation, et elle est supprimée en même temps que la conversation (au plus tard 12 mois après le dernier message). Nous n'enregistrons jamais votre adresse IP brute, uniquement un hachage salé et irréversible de celle-ci. La base légale de ce traitement est notre intérêt légitime à exploiter et améliorer le support client. Les conversations sont automatiquement supprimées 12 mois après le dernier message, et elles sont supprimées immédiatement si vous supprimez votre compte. Vous pouvez également nous demander de supprimer une conversation plus tôt en écrivant à contact@cot-reports.com. Par ailleurs, chaque requête au chatbot laisse un court enregistrement technique — l'adresse IP hachée, la langue, la longueur du message (pas son texte), le nombre de tokens et le fournisseur d'IA qui a répondu — conservé 90 jours pour appliquer les limites d'utilisation, prévenir les abus et surveiller le service. Pour répondre plus vite aux questions répétées, une réponse peut aussi être mise en cache avec le texte de la question (sans aucun lien avec un compte, une adresse e-mail ou une adresse IP) pendant 24 heures au maximum ; elle est supprimée sous 48 heures.

COT-Reports exploite un serveur Model Context Protocol (MCP), afin qu'un assistant IA comme Claude (Anthropic), ChatGPT (OpenAI) ou Gemini (Google) puisse récupérer des données COT pour vous. Ce que nous enregistrons : une requête faite sans être connecté ne laisse rien qui vous identifie — chaque appel ajoute une ligne à un seul compteur commun à toutes les requêtes sans compte (sans adresse IP ni identifiant ; supprimée après 7 jours), qui en limite le total, et des compteurs éphémères en mémoire, liés à un hachage de l'adresse IP, ne font que surveiller le volume ; si une même adresse envoie un volume anormal de requêtes, notre fondateur reçoit une alerte privée avec le nombre de requêtes et un court fragment du hachage de l'adresse. Une requête faite avec votre compte ou une clé Data API laisse un enregistrement technique par requête — l'identifiant du compte ou de la clé, un hachage salé et irréversible de votre adresse IP, le service appelé et si la requête a été acceptée — utilisé uniquement pour appliquer les limites de votre formule et prévenir les abus, et supprimé au bout de 7 jours. Nous ne conservons ni les questions que vous posez, ni le contenu de la requête, ni les réponses. Connecter une application IA à votre compte (OAuth) : lorsque vous cliquez sur Allow, nous conservons le nom de l'application et ses adresses de retour, ainsi qu'un enregistrement de la connexion — votre compte, l'application, sa date de création, sa dernière utilisation (mise à jour au plus toutes les 5 minutes) et, le cas échéant, sa date de déconnexion. Les codes d'autorisation et les jetons d'accès et d'actualisation ne sont conservés que sous forme de hachages SHA-256, jamais en clair ; un code est valable 5 minutes, un jeton d'accès 1 heure et un jeton d'actualisation 30 jours (il est remplacé à chaque utilisation). Les codes et jetons expirés sont supprimés 24 heures après leur expiration, et une application qui n'a jamais finalisé de connexion est supprimée au bout de 30 jours. Vous pouvez déconnecter une application à tout moment depuis la page de votre compte ; la connexion est alors marquée comme déconnectée, reste dans l'historique de votre compte (elle figure dans l'export de vos données) et est supprimée avec votre compte. Qui reçoit quoi : les réponses que vous demandez sont transmises à l'application IA que vous avez connectée — par exemple Anthropic, OpenAI ou Google — qui les traite selon sa propre politique de confidentialité, en tant que responsable de traitement distinct ; nous ne lui transmettons pas les données de votre compte. Les liens des réponses mènent vers des pages de cot-reports.com ; ils ne comportent que les paramètres de campagne utm_source=mcp et utm_medium=ai_assistant, qui indiquent à nos statistiques qu'une visite vient d'un assistant IA — rien qui vous identifie, vous ou votre compte. La base légale est l'exécution de notre contrat avec vous (la fourniture du service auquel vous vous connectez) et notre intérêt légitime à prévenir les abus.

Nous pouvons mettre à jour cette politique de confidentialité de temps à autre, par exemple lorsque nous ajoutons un nouvel outil ou changeons de fournisseur. Les changements importants sont annoncés sur cette page et, lorsqu'un changement concerne la manière dont nous utilisons les données d'un abonnement payant en cours, par e-mail à son titulaire. La date « Dernière mise à jour » en haut de cette page reflète toujours la version actuelle.

COT-Reports.com est exploité par Valentin Dima, Romania. Contact : contact@cot-reports.com. L'exploitant est le professionnel pour chaque achat effectué sur ce site et le responsable du traitement de vos données personnelles au sens du RGPD.