MetenaSécurité chez Metena
Metena lit vos comptes pour analyser votre stratégie. Elle ne peut ni passer d’ordre ni retirer de fonds. Cette page décrit ce qui protège vos accès et vos données, et ce qui ne dépend pas de nous.
Quatre engagements que vous pouvez vérifier
- Lecture seule
- Metena ne demande que des clés API en lecture seule. Vous le constatez sur votre plateforme, dans la liste des droits de la clé.
- Clés à droits étendus refusées
- Si la clé que vous collez autorise les ordres ou les retraits, Metena la refuse à l’enregistrement, sur les plateformes qui permettent ce contrôle.
- Aucune clé privée
- Vos wallets sont suivis par leur adresse publique. Metena ne demande jamais de phrase de récupération ni de clé privée.
- Suppression immédiate
- Quand vous déconnectez une plateforme, sa clé est effacée de nos serveurs aussitôt.
Ce que Metena peut faire de vos comptes, et ce qu’elle ne peut pas
Metena peut
- Lire vos soldes et vos positions
- Lire l’historique de vos transactions
- Calculer votre allocation, votre performance et vos écarts par rapport à votre stratégie
Metena ne peut pas
- Acheter ou vendre en votre nom
- Retirer ou transférer des fonds
- Modifier les réglages de votre compte
- Connaître votre mot de passe de plateforme
La connexion d’une plateforme est facultative.
Créer une clé API en lecture seule
Une clé API se crée dans les réglages de votre plateforme, à la rubrique API. N’activez que le droit de lecture et laissez les ordres et les retraits désactivés.
| Plateforme | Droit à activer | À savoir |
|---|---|---|
| Binance | Enable Reading | Activé par défaut. Laissez les autres cases décochées. |
| Coinbase | View | Aucun droit Trade ni Transfer. |
| Kraken | Les droits Query (consultation) | Aucun droit des rubriques Orders et Withdraw. |
| OKX | Read | Une phrase secrète (passphrase) est définie à la création. Metena en a besoin. |
| Bybit | Read-Only | Choisissez une clé en lecture seule dès la création. |
| KuCoin | General | Passphrase requise, comme sur OKX. |
| Crypto.com | Lecture uniquement | Metena ne peut pas contrôler les droits de cette clé. Vérifiez-les avant de la coller. |
Les libellés varient d’une plateforme à l’autre et évoluent. En cas de doute, n’activez que la lecture.
Chiffrement et accès
- Clés API chiffrées en AES-256-GCM avant tout enregistrement.
- La clé de chiffrement est conservée sur le serveur applicatif, séparément de la base de données, et n’est transmise à aucun tiers.
- Échanges entre l’application et le serveur en HTTPS (TLS 1.3).
- Connexion à votre compte par jeton signé (Supabase Auth).
- Administration du serveur par clé SSH uniquement, sans mot de passe.
- Aucun mot de passe en clair dans les journaux.
Si le pire arrivait
Aucun système n’est à l’abri d’une intrusion. Voici ce qu’un attaquant obtiendrait, et ce que vous pourriez faire.
- Si la base de données fuyait
- Les clés API y sont chiffrées. La clé qui permet de les déchiffrer n’est pas dans la base.
- Si une clé était malgré tout déchiffrée
- Elle est en lecture seule : elle donne accès à vos soldes et à votre historique, et ne permet ni ordre ni retrait.
- Ce que vous pouvez faire à tout moment
- Supprimer la clé depuis votre plateforme. Elle cesse de fonctionner immédiatement, sans passer par Metena.
- Ce que nous ferions
- Vous prévenir et notifier la CNIL dans les 72 heures, comme le RGPD l’exige en cas de violation de données personnelles.
Sous-traitants et localisation des données
Chaque service a un hébergeur identifié.
| Service | Hébergeur | Localisation |
|---|---|---|
| Backend API | Hostinger VPS | Manchester, Royaume-Uni |
| Authentification + base de données PostgreSQL | Supabase | Union européenne |
| Site metena.app | Vercel | États-Unis |
| LLM (traitement des requêtes) | Anthropic ; en débordement : OpenAI, Google, Mistral AI | États-Unis ; France en dernier recours |
| Transcription des dictées vocales | Whisper, sur le serveur de Metena (Hostinger) | Manchester, Royaume-Uni |
| Mesure d’utilisation (avec votre accord) | PostHog | États-Unis |
| Rapports de plantage | Sentry | Union européenne |
| Notifications | Expo ; Apple ou Google | États-Unis |
| E-mails | Resend | États-Unis |
Votre compte, vos stratégies et vos clés sont hébergés au Royaume-Uni et dans l’Union européenne. Vos questions à la Chouette et le contexte de votre stratégie sont transmis à Anthropic (Claude), aux États-Unis, donc hors d’Europe. Quand Anthropic est saturé ou indisponible, la requête peut être traitée par OpenAI ou Google Gemini (États-Unis), et en dernier recours par Mistral AI (France). Vos clés API ne font pas partie de ce contexte.
Metena ne vend ni ne loue vos données.
Conservation et suppression
| Donnée | Durée |
|---|---|
| Compte, stratégies, journal et portefeuille | Jusqu’à la suppression du compte, puis effacement immédiat de nos bases |
| Stratégies publiées sur la marketplace | Retirées à la suppression du compte |
| Clés API des plateformes | Supprimées immédiatement à la déconnexion |
| Session ouverte sans création de compte | 7 jours, puis suppression du brouillon |
| Échanges avec l’IA (requêtes et réponses) | 30 jours |
| Notifications envoyées et alertes déclenchées | 90 jours |
| Historique d’analyse de vos décisions (score de discipline, écarts) | 15 mois |
| Journaux du serveur | 7 jours glissants |
| Événements d’usage (mesure d’utilisation) | 24 mois |
| Adresse de la liste d’attente | Jusqu’à l’e-mail de sortie de l’application, ou avant sur simple demande |
| Sauvegardes chiffrées de nos bases | 14 jours pour nos sauvegardes |
| Données techniques en base | 180 jours ; données d’exploitation : 120 à 760 jours selon la table |
| Diagnostics | Contenu détaillé allégé avec le temps ; lignes conservées jusqu’à la suppression du compte |
| Demandes de rétractation | 3 ans |
| Trace technique de suppression d’un compte (identifiant technique seul) | 30 jours |
Ce que Metena ne collecte pas
- Données biométriques
- Localisation géographique précise
- Contacts, photos ou fichiers de votre appareil
- Historique de navigation externe à l’application
- Données de paiement (carte bancaire) : le paiement est géré par Apple ou Google
Vous pouvez supprimer votre compte depuis les réglages de l’application. Pour obtenir une copie de vos données ou exercer vos autres droits, écrivez à privacy@metena.app. Le détail figure dans la politique de confidentialité.
Signaler une faille
Vous pensez avoir trouvé une vulnérabilité ? Écrivez à privacy@metena.app en décrivant les étapes pour la reproduire. Nous vous demandons de ne pas la rendre publique avant sa correction et de ne pas accéder aux données d’autres utilisateurs.
Les limites
- Sur Crypto.com, les droits d’une clé ne peuvent pas être contrôlés automatiquement. La vérification vous revient.
- Une clé en lecture seule reste sensible : elle révèle vos soldes et votre historique.
- La sécurité de votre compte dépend aussi de celle de votre téléphone et de votre messagerie.
- Metena n’a pas fait l’objet d’un audit de sécurité par un tiers.
- Metena est un outil d’aide à la décision et ne fournit pas de conseil en investissement. L’IA peut se tromper.
Une analyse qui ne touche pas à vos fonds.
Lecture seule, aucune commission sur vos transactions, résiliation libre.
Me prévenir du lancement