Version 1.0 · Date d’entrée en vigueur : 10 septembre 2026
1. Qui nous sommes
1.1 L’application Magic et le site web magiccard.me sont publiés et exploités par ATLAS PAY LIMITED, société constituée à Hong Kong sous le numéro d’immatriculation 79950367, dont le siège social est situé Unit 1603, 16/F, The L. Plaza, 367–375 Queen's Road Central, Sheung Wan, Hong Kong (« nous », « notre », « nos »).
1.2 Nous sommes le responsable du traitement des données personnelles décrites dans la présente Politique. C’est nous qui décidons quelles données sont collectées et pourquoi.
1.3 La présente Politique couvre l’application Magic et le site web magiccard.me. Elle ne couvre pas le service propre d’un tiers auquel vous accédez depuis le nôtre, ni un commerçant chez lequel vous utilisez votre Carte.
1.4 Pour toute question concernant la présente Politique ou vos données, écrivez à privacy@magiccard.me ou à l’adresse postale indiquée à l’article 15.
2. Résumé
| Ce que nous collectons | Les données d’identité et les coordonnées, les images de documents d’identité, un selfie en direct, le pays de résidence, les enregistrements de paiements et de transactions, les adresses de portefeuille et des données techniques de base sur votre appareil |
|---|---|
| Pourquoi | Pour ouvrir et gérer votre compte, émettre et gérer votre carte, vérifier votre identité comme la loi l’exige, assurer la sécurité du service et vous répondre lorsque vous nous contactez |
| Ce que nous ne collectons pas | La localisation, les contacts, le calendrier, les applications installées, les identifiants publicitaires, l’historique de navigation. Nous n’utilisons aucun outil d’analyse d’audience dans l’application |
| Où elles sont stockées | Sur des serveurs situés à Falkenstein, en Allemagne |
| Combien de temps | Pendant toute la durée de vie de votre compte et au moins six ans après sa clôture. Les enregistrements que nous devons conserver sont ensuite dépersonnalisés, et non effacés — l’article 9 explique pourquoi |
| Qui d’autre y a accès | Notre partenaire émetteur de cartes, notre prestataire de vérification d’identité et un petit nombre de prestataires techniques nommément désignés à l’article 7 |
| Nous ne vendons jamais vos données | Nous ne vendons pas de données personnelles et nous ne les partageons pas à des fins publicitaires |
3. Ce que nous collectons
3.1 Informations que vous nous fournissez
| Données | Quand |
|---|---|
| Adresse e-mail | Inscription et connexion |
| Prénom et nom | Inscription ; c’est aussi le nom imprimé sur la Carte |
| Numéro de téléphone mobile | Inscription et codes à usage unique |
| Photographie d’un document d’identité | Vérification d’identité |
| Selfie en direct avec contrôle de vivacité (données biométriques — voir l’article 5) | Vérification d’identité |
| Pays de résidence | Vérification d’identité et éligibilité |
| Code PIN | Sécurisation de l’accès à l’application. Stocké uniquement sous une forme à partir de laquelle le PIN lui-même ne peut pas être reconstitué |
| Adresses de portefeuille blockchain que vous saisissez pour vos retraits | Lorsque vous effectuez un retrait ou enregistrez une adresse de retrait |
| Photographie de profil | Facultative, uniquement si vous choisissez d’en ajouter une |
| Le contenu de vos messages au support | Lorsque vous nous contactez |
3.2 Informations collectées automatiquement
| Données | Pourquoi |
|---|---|
| Modèle de l’appareil et version d’Android | Compatibilité, diagnostic des pannes |
| Version de l’application | Support et mises à jour |
| Langue de l’appareil | Affichage de l’interface dans votre langue |
| Jeton de notification push Firebase | Vous envoyer des notifications concernant votre compte |
| Verdict Google Play Integrity | Confirmer que l’application est authentique et non modifiée, afin de prévenir la fraude |
| Un identifiant d’enregistrement d’appareil délivré par notre serveur | Reconnaître votre appareil d’une session à l’autre et détecter les accès non autorisés |
3.3 Informations générées par votre utilisation du service
Votre solde, votre historique de transactions, les dépôts et retraits de stablecoins et les adresses blockchain concernées, les virements internes, les transactions par carte que nous transmet l’Émetteur de la carte, et les enregistrements d’événements de sécurité tels que les connexions et les changements de PIN.
3.4 Ce que nous ne collectons pas
Nous ne collectons ni votre localisation, ni vos contacts, ni votre calendrier, ni la liste des applications installées sur votre appareil, ni aucun identifiant publicitaire, ni votre historique de navigation. L’application ne contient aucun logiciel d’analyse d’audience. L’application ne dispose d’aucune autorisation d’accès à l’appareil photo : un code QR est lu par le lecteur intégré du système d’exploitation, et une photographie de profil est prise via le sélecteur de photo unique du système d’exploitation.
4. Pourquoi nous utilisons vos données, et sur quelle base
| Finalité | Données | Base juridique |
|---|---|---|
| Créer et gérer votre compte | Données d’identité, coordonnées, données d’appareil | Exécution de notre contrat avec vous |
| Vérifier votre identité avant que vous puissiez utiliser les services impliquant des fonds | Image du document, selfie, pays, nom | Obligation légale, et notre intérêt légitime à prévenir la criminalité financière. L’élément biométrique repose sur votre consentement explicite — article 5 |
| Émettre et gérer la Carte | Nom, numéro de téléphone, données du document, transactions | Exécution de notre contrat avec vous |
| Exécuter les dépôts, retraits et virements | Adresses de portefeuille, montants, enregistrements de transactions | Exécution de notre contrat avec vous |
| Prévenir la fraude, le blanchiment de capitaux, le financement du terrorisme et les violations de sanctions | Toutes les données ci-dessus | Obligation légale, et notre intérêt légitime à protéger le service et les autres utilisateurs |
| Assurer la sécurité du service | Données d’appareil, verdict Play Integrity, événements de sécurité | Notre intérêt légitime en matière de sécurité |
| Répondre à vos questions et traiter les réclamations | Vos messages, les enregistrements de votre compte | Exécution de notre contrat avec vous, et notre intérêt légitime à assister les utilisateurs |
| Vous informer au sujet de votre compte | Jeton push, adresse e-mail | Exécution de notre contrat avec vous |
| Conserver des enregistrements après la clôture de votre compte | Enregistrements d’identité et de transactions | Obligation légale, et notre intérêt légitime à nous défendre contre des réclamations |
Nous n’utilisons pas vos données personnelles à des fins publicitaires, de profilage produisant des effets juridiques ou de prise de décision automatisée produisant un effet juridique à votre égard, à l’exception du filtrage automatisé en matière de fraude et de sanctions, dont les résultats sont examinés par une personne avant la clôture d’un compte.
5. Données biométriques
5.1 La vérification d’identité comprend un selfie en direct. Le prestataire analyse l’image pour confirmer qu’une personne vivante est présente et que le visage correspond au document d’identité. Cette analyse produit des données biométriques, qui sont traitées comme une catégorie particulière de données personnelles dans de nombreuses juridictions.
5.2 Nous vous demandons un consentement distinct et explicite à ce traitement sur un écran dédié, avant l’étape du selfie. Il n’est pas inclus dans l’acceptation de nos Conditions d’utilisation.
5.3 Si vous ne consentez pas, nous ne pouvons pas vérifier votre identité ni fournir les services impliquant des fonds. Vous pouvez toujours clôturer votre compte.
5.4 Vous pouvez retirer ce consentement à tout moment en écrivant à privacy@magiccard.me. Le retrait n’affecte pas les traitements déjà effectués. La vérification étant une condition des services impliquant des fonds, le retrait du consentement entraîne généralement la clôture de votre compte.
5.5 Le selfie et l’analyse biométrique sont conservés conformément à l’article 9.
6. Votre PIN, les données de votre carte et vos identifiants
6.1 Votre PIN est stocké uniquement sous une forme à partir de laquelle le PIN lui-même ne peut pas être reconstitué. Nous ne pouvons pas vous communiquer votre PIN, et notre équipe de support ne le peut pas non plus.
6.2 Les données de la carte ne sont jamais écrites dans la mémoire de votre appareil. Le numéro de carte, la date d’expiration et le code de sécurité vous sont affichés dans l’application et ne sont pas mis en cache.
6.3 Si vous activez la connexion biométrique sur votre appareil, la clé concernée ne quitte jamais l’élément sécurisé de votre appareil. Nous ne recevons pas les données de votre empreinte digitale ni de votre visage depuis votre appareil.
7. Avec qui nous partageons les données
Nous ne partageons les données personnelles qu’avec les destinataires ci-dessous, uniquement dans la mesure où chacun en a besoin et uniquement aux fins indiquées.
| Destinataire | Ce qu’il reçoit | Rôle | Où |
|---|---|---|---|
| Notre partenaire émetteur de cartes agréé — un établissement de paiement agréé à Singapour, qui émet et gère la Carte | Nom, numéro de téléphone, données du document d’identité, données des transactions par carte | Responsable du traitement indépendant pour l’émission et la gestion des cartes, et notre destinataire aux fins de la fourniture de la Carte | Singapour |
| Sumsub (groupe Sum and Substance) — vérification d’identité | Image du document d’identité, selfie en direct et analyse biométrique, pays, nom | Sous-traitant agissant sur nos instructions | Union européenne / Royaume-Uni |
| Prelude — envoi des codes à usage unique | Numéro de téléphone mobile | Sous-traitant agissant sur nos instructions | Union européenne / États-Unis |
| Resend — envoi des e-mails transactionnels | Adresse e-mail, contenu des messages | Sous-traitant agissant sur nos instructions | États-Unis |
| Google LLC — Firebase Cloud Messaging et Google Play Integrity | Jeton de notification push, verdict d’intégrité de l’application | Sous-traitant pour la messagerie ; responsable du traitement indépendant pour le service d’intégrité | États-Unis / Union européenne |
| Telegram — uniquement si vous choisissez de lier un compte Telegram | Votre identifiant Telegram | Responsable du traitement indépendant | Hors de Hong Kong |
| SHKeeper — traitement des paiements blockchain | Adresses blockchain et montants | Sous-traitant agissant sur nos instructions | Hors de Hong Kong |
| Hetzner Online GmbH — hébergement | Toutes les données stockées par le service, en qualité d’hébergeur | Sous-traitant agissant sur nos instructions | Allemagne |
Nous divulguons également des données personnelles :
- à un tribunal, une autorité de régulation, un service chargé de l’application de la loi ou une administration fiscale lorsque la loi nous y oblige, ou lorsque cela est nécessaire à la constatation, à l’exercice ou à la défense d’un droit en justice ;
- à nos conseils professionnels, tenus à une obligation de confidentialité ; et
- à un acquéreur ou un successeur en cas de vente ou de réorganisation de l’entreprise, sous une protection équivalente.
Nous ne vendons pas de données personnelles et nous ne les transmettons à aucun tiers pour ses propres actions de marketing.
8. Où vos données sont stockées, et transferts transfrontaliers
8.1 Nos serveurs sont exploités par Hetzner Online GmbH à Falkenstein, en Allemagne. Vos données sont donc stockées dans l’Union européenne, bien que nous soyons une société de Hong Kong.
8.2 Les destinataires énumérés à l’article 7 sont situés dans plusieurs pays, dont Singapour, les États-Unis et des pays de l’Union européenne. La fourniture du service implique nécessairement le transfert de vos données vers ces destinataires.
8.3 Lorsque nous transférons des données personnelles à un destinataire situé en dehors du territoire où elles ont été collectées, nous le faisons sur la base d’un contrat écrit qui oblige le destinataire à les protéger selon un niveau comparable à celui décrit dans la présente Politique, à ne les utiliser que sur nos instructions lorsqu’il est notre sous-traitant, et à les restituer ou les supprimer à la fin du contrat. Lorsque le transfert porte sur des données provenant de l’Espace économique européen, nous utilisons les clauses contractuelles types de la Commission européenne.
8.4 Vous pouvez nous demander davantage d’informations sur un transfert particulier en écrivant à privacy@magiccard.me.
9. Combien de temps nous conservons vos données
| Données | Durée de conservation |
|---|---|
| Enregistrements de vérification d’identité — image du document, selfie, résultat de l’analyse biométrique, rapport de vérification | Au moins six ans à compter du jour de la clôture de votre compte, puis dépersonnalisés |
| Enregistrements de transactions — dépôts, retraits, virements, transactions par carte | Conservés comme écritures comptables et dépersonnalisés à la clôture de votre compte ; non effacés |
| Données de compte et coordonnées | Au moins six ans à compter du jour de la clôture de votre compte, puis dépersonnalisées |
| Correspondance avec le support | Dépersonnalisée avec l’enregistrement du compte ; conservée intégralement tant qu’une réclamation ou une transaction contestée est en cours |
| Journaux de sécurité et d’accès | Conservés tant qu’ils sont utiles à la sécurité et aux enquêtes sur les incidents ; dépersonnalisés avec l’enregistrement du compte |
| Photographie de profil | Supprimée lorsque vous la retirez ou à la clôture de votre compte |
Nous conservons les enregistrements d’identité et de transactions pendant au moins six ans, car il s’agit de la durée de conservation applicable aux enregistrements de vigilance à l’égard de la clientèle et de transactions en vertu de l’Ordonnance de Hong Kong sur la lutte contre le blanchiment de capitaux et le financement du terrorisme (chap. 615). Nous l’appliquons comme norme même lorsque nous ne sommes pas nous-mêmes un établissement financier au sens de cette Ordonnance, parce que c’est la durée la plus longue susceptible de nous être imposée et qu’elle couvre également le délai d’introduction de la plupart des actions civiles.
Nous préférons être francs avec vous plutôt que de lisser les choses. Six ans est un minimum, pas une date d’expiration. Notre registre financier est en ajout seul : une écriture, une fois passée, n’est jamais supprimée ni réécrite, car un enregistrement de mouvements d’argent qui peut être modifié n’est pas un enregistrement. Nous n’effaçons donc pas ces enregistrements à l’issue des six ans. Ce que nous faisons, c’est supprimer ou remplacer les identifiants qui relient une écriture à vous, de sorte que ce qui subsiste est une écriture comptable et non une information sur une personne. L’article 10.5 en explique les limites.
Si une décision de justice, une demande d’une autorité de régulation ou une enquête en cours exige l’enregistrement complet, nous le conservons intégralement jusqu’à la fin de cette exigence.
10. Suppression de votre compte et de vos données
10.1 Vous pouvez nous demander de supprimer votre compte depuis l’application : Profil → Paramètres → Supprimer le compte. Vous pouvez également écrire à privacy@magiccard.me. La procédure est décrite en détail dans la page Suppression du compte et des données.
10.2 Retirez votre solde avant de nous demander de supprimer le compte. La suppression ne vous transfère pas d’argent.
10.3 Ce qui est supprimé. Votre nom, votre adresse e-mail, votre numéro de téléphone, votre photographie de profil, votre lien avec Telegram, votre code de paiement, l’enregistrement de votre PIN, votre jeton de notification push, les enregistrements de vos appareils, vos sessions sur tous vos appareils et votre possibilité de vous connecter. Votre adresse e-mail est remplacée par un marqueur sur un domaine qui n’existe pas, car notre base de données n’accepte pas un compte dépourvu de tout moyen de connexion.
10.4 Ce qui est conservé, et pourquoi. Nous sommes tenus de conserver les enregistrements de vigilance à l’égard de la clientèle et de transactions pendant au moins six ans après la fin de la relation. En conséquence, après la suppression, nous conservons :
- l’enregistrement de vérification d’identité ;
- le registre des transactions — dépôts, retraits, virements et transactions par carte ;
- les adresses de retrait vers lesquelles vous avez envoyé des fonds, et les libellés que vous leur avez donnés, car un retrait sans sa destination n’est plus l’enregistrement de quoi que ce soit ;
- votre correspondance avec le support, qui fait partie de l’enregistrement du compte ; et
- l’enregistrement du compte auquel tout cela est rattaché.
Tout ce qui figure dans cette liste est dépersonnalisé comme décrit à l’article 10.5.
10.5 Nous dépersonnalisons ces enregistrements plutôt que de les effacer. Les identifiants directs sont supprimés ou remplacés, de sorte qu’une personne qui consulte ces enregistrements ne puisse plus y voir des informations vous concernant. Nous précisons clairement qu’il s’agit d’une dépersonnalisation et non d’une anonymisation irréversible : lorsque la loi nous oblige à reconstituer un enregistrement pour une autorité de régulation, un tribunal ou un auditeur, nous pouvons être en mesure de le faire. Les enregistrements qui restent réidentifiables demeurent des données personnelles, et l’ensemble de la présente Politique continue de s’y appliquer, y compris la sécurité et les droits prévus à l’article 11.
10.6 À l’expiration de la période de six ans, les enregistrements conservés ne sont pas effacés. Ils demeurent dans notre registre en ajout seul, sous la forme dépersonnalisée décrite à l’article 10.5. Nous supprimons ou masquons davantage les identifiants partout où nous pouvons le faire sans détruire l’écriture comptable elle-même.
10.7 La suppression depuis l’application prend effet immédiatement : le compte est clôturé et les données visées à l’article 10.3 sont supprimées en une seule opération lorsque vous confirmez avec votre PIN. Une demande qui nous est adressée par e-mail est traitée dans les 30 jours suivant la confirmation de votre identité, et nous vous informons lorsqu’elle est exécutée. L’application ne vous permet pas de supprimer un compte qui comporte encore une carte active ou un solde que vous pouvez encore retirer ; la page Suppression du compte et des données explique ce qu’il faut faire dans chaque cas.
11. Vos droits
11.1 Sous réserve de la loi qui vous est applicable, vous pouvez :
- demander quelles données nous détenons à votre sujet et en recevoir une copie ;
- faire rectifier des données inexactes ou incomplètes ;
- nous demander de supprimer des données, sous réserve des obligations de conservation prévues aux articles 9 et 10 ;
- vous opposer aux traitements que nous effectuons sur la base de nos intérêts légitimes ;
- nous demander de limiter le traitement pendant la résolution d’un litige sur l’exactitude ou la licéité ;
- recevoir certaines données sous une forme portable, lorsque la loi vous en donne le droit ;
- retirer un consentement que vous avez donné, y compris le consentement biométrique prévu à l’article 5 ; et
- introduire une réclamation auprès d’une autorité de protection des données.
11.2 Pour exercer un droit, écrivez à privacy@magiccard.me. Nous pouvons d’abord vous demander de confirmer votre identité — nous ne divulguerons pas les données d’un compte à une personne qui ne peut pas prouver qu’il lui appartient.
11.3 Nous répondons dans un délai de 30 jours. Si une demande est complexe, nous pouvons avoir besoin de plus de temps, et nous vous en indiquerons la raison avant l’expiration des 30 jours.
11.4 Aucuns frais ne sont facturés, sauf si une demande est manifestement infondée ou répétitive, auquel cas nous pouvons facturer des frais raisonnables ou refuser d’y donner suite, et nous vous en expliquerons la raison.
11.5 Si vous vous trouvez à Hong Kong, vous pouvez introduire une réclamation auprès du Bureau du Commissaire à la protection des données personnelles (PCPD). Si une autorité de protection des données d’un autre territoire est compétente à l’égard de vos données, vous pouvez vous adresser à cette autorité à la place.
12. Sécurité
Nous protégeons vos données, entre autres mesures, par :
- le chiffrement obligatoire des communications — le HTTP en clair est désactivé au niveau de la compilation, de sorte que l’application ne peut pas envoyer de données non chiffrées ;
- l’épinglage de certificat sur deux empreintes de clé publique, de sorte qu’un certificat substitué est rejeté ;
- le chiffrement des jetons et des données mises en cache sur votre appareil avec une clé conservée dans le magasin de clés d’Android adossé au matériel ;
- des clés de connexion biométrique qui ne quittent jamais l’élément sécurisé de l’appareil ;
- la désactivation de la sauvegarde de l’application, de sorte que vos données applicatives ne sont pas copiées dans une sauvegarde cloud ;
- l’absence de toute écriture des données de carte dans la mémoire de l’appareil ;
- un accès aux systèmes de production limité à des membres du personnel nommément désignés, avec des identifiants individuels ; et
- la journalisation des accès aux données personnelles.
Aucun système n’est parfaitement sûr. En cas de violation susceptible de vous causer un préjudice grave, nous vous en informerons, ainsi que l’autorité compétente, sans retard injustifié.
13. Mineurs
Le service est destiné aux adultes. Vous devez avoir 18 ans ou plus. Nous ne collectons pas sciemment de données personnelles auprès de personnes de moins de 18 ans, et l’application ne s’adresse pas aux enfants. Si nous découvrons que nous détenons des données sur une personne de moins de 18 ans, nous les supprimons et clôturons le compte. Si vous pensez qu’un enfant nous a communiqué des données, écrivez à privacy@magiccard.me.
14. Cookies et site web
Le site web magiccard.me est un site statique. Il ne dépose aucun cookie publicitaire ni pixel de suivi, et il n’établit pas de profil des visiteurs. Le stockage local du navigateur ne contient que des valeurs techniques : la langue sélectionnée, un indicateur signalant que la suggestion de langue a été fermée, et votre choix dans la bannière de cookies ; pendant la durée de la session, il conserve également les balises de parrainage provenant de l’adresse de la page (paramètres utm) afin de pouvoir les transmettre à l’application lorsque vous cliquez sur « Obtiens ta carte ». Notre hébergeur (Cloudflare) peut déposer des cookies strictement nécessaires pour se protéger contre les requêtes automatisées ; ils ne sont pas utilisés à des fins de profilage.
Pour mesurer le trafic, nous utilisons des outils sans cookies (Plausible Analytics et Cloudflare Web Analytics) qui ne déposent aucun cookie, ne créent aucun identifiant persistant et ne vous suivent pas sur d’autres sites web. Ils sont chargés à l’ouverture d’une page, sauf si vous avez choisi « Essentiels uniquement » dans la bannière de cookies ; après ce choix, ils ne sont plus chargés. Avec les visites, nous comptons les clics sur les boutons « Obtiens ta carte » et « Connexion / Inscription », les clics sur des liens vers d’autres sites web, les téléchargements de fichiers, les envois de formulaires et les visites de pages inexistantes, ainsi que les balises de parrainage (paramètres utm) si elles figurent dans l’adresse de la page. Pour modifier votre choix, effacez les données du site dans votre navigateur — la bannière réapparaîtra.
15. Modifications de la présente Politique, et comment nous contacter
15.1 Nous pouvons mettre à jour la présente Politique. La version en vigueur est toujours cette page sur magiccard.me, avec son numéro de version et ses dates en haut.
15.2 Lorsqu’une modification affecte de manière substantielle la façon dont nous utilisons vos données, nous vous en informerons par e-mail et dans l’application au moins 30 jours avant son entrée en vigueur.
15.3 Contact :
ATLAS PAY LIMITED, Unit 1603, 16/F, The L. Plaza, 367–375 Queen's Road Central, Sheung Wan, Hong Kong. Numéro d’immatriculation 79950367. Questions relatives à la confidentialité et demandes d’exercice des droits sur les données : privacy@magiccard.me. Autres questions juridiques : legal@magiccard.me.