Politique de confidentialité

Préambule

La présente politique de confidentialité (ci-après la « Politique ») décrit la manière dont Axium collecte, utilise, conserve et protège les données à caractère personnel des personnes qui interagissent avec elle, dans le cadre de ses activités et notamment via son site internet https://axiumassurance.fr (ci-après le « Site ») et les sites associés exploités par Axium pour la génération de prospects, tels que axium-epargne.com (ci-après ensemble les « Sites »).

Axium attache une importance particulière au respect de la vie privée et à la protection des données à caractère personnel des personnes concernées. La Politique est établie conformément au Règlement (UE) 2016/679 du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel (ci-après le « RGPD ») et à la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés (ci-après la « Loi Informatique et Libertés »).

1. Identité du responsable de traitement

Axium, société par actions simplifiée au capital de 3 000 euros, immatriculée au Registre du Commerce et des Sociétés de Paris sous le numéro 992 576 587, dont le siège social est situé 19 rue des Grands Augustins, 75006 Paris, représentée par son Directeur Général en exercice.

Contacts

• Contact général : contact@axiumassurance.fr
• Référent protection des données : dpo@axiumassurance.fr

Axium a désigné en interne un référent protection des données chargé de veiller à la conformité des traitements mis en œuvre. Axium pourra, à sa discrétion et en fonction de l'évolution de son activité, désigner ultérieurement un Délégué à la Protection des Données au sens de l'article 37 du RGPD. La Politique sera alors mise à jour en conséquence.

2. Champ d'application — Publics concernés

La Politique s'applique à trois catégories de personnes :

2.1. Les Prospects— personnes physiques ayant rempli un formulaire sur l'un des Sites exploités par Axium pour la génération de prospects (typiquement : une demande de simulation de Plan Épargne Retraite), et dont les coordonnées sont susceptibles d'être qualifiées par Axium puis cédées à un courtier partenaire en assurance ou gestionnaire de patrimoine.

2.2. Les Visiteurs — personnes physiques consultant les Sites sans remplir de formulaire ni créer de compte utilisateur.

2.3. Les Utilisateurs professionnels— personnes physiques accédant à la plateforme Axium dans le cadre de leur activité professionnelle de courtage en assurance ou de gestion de patrimoine, en qualité de représentant légal, de salarié, de mandataire social ou de prestataire d'un cabinet ayant souscrit aux services d'Axium (ci-après un « Client »).

Les traitements applicables à chacune de ces catégories sont détaillés dans les sections suivantes.

3. Traitements applicables aux Prospects

3.1. Données collectées

Lors du remplissage d'un formulaire sur l'un des Sites de génération de prospects exploités par Axium, les données suivantes sont collectées :

• civilité, nom, prénom ;
• adresse électronique ;
• numéro de téléphone ;
• informations déclaratives sur la situation professionnelle et patrimoniale du Prospect (tranche de revenus, objectifs d'épargne, horizon de placement, etc.) ;
• données techniques liées au consentement : adresse IP, horodatage, empreinte du formulaire, identifiant du consentement donné ;
• données de navigation sur les Sites (cookies, voir section 7).

3.2. Finalités et bases légales

Axium traite les données des Prospects pour les finalités suivantes :

3.3. Caractère obligatoire du consentement à la cession

La cession des données du Prospect à un courtier partenaire est l'objet principal du service fourni par Axium sur les Sites de génération de prospects. Sans consentement explicite à cette cession, Axium est dans l'impossibilité de fournir le service de mise en relation sollicité par le Prospect.

Le consentement du Prospect à la cession est recueilli, préalablement au traitement, par une case à cocher non pré-cochée affichée sur le formulaire, accompagnée d'une information claire sur :

• l'identité du responsable de traitement (Axium) ;
• la finalité de la cession (mise en relation avec un courtier en assurance ou gestionnaire de patrimoine inscrit à l'ORIAS) ;
• la catégorie des destinataires (courtiers en assurance partenaires d'Axium exerçant en France) ;
• la possibilité de retirer ce consentement à tout moment.

3.4. Destinataires des données de Prospects

Les données du Prospect sont destinées :

• aux équipes internes d'Axium chargées de la qualification ;
• à un unique courtier partenaire inscrit à l'ORIAS, auquel le Prospect est cédé après qualification, dans le respect du consentement recueilli. Chaque Prospect est cédé à un seul courtier (principe d'exclusivité) ;
• aux sous-traitants d'Axium listés en section 9, dans la limite strictement nécessaire à leurs missions.

Axium ne vend, ne loue, ni ne met à disposition les données des Prospects à des tiers autres que les courtiers cessionnaires dans le cadre de la mise en relation commerciale consentie.

3.5. Transfert de responsabilité au courtier

À compter de la cession du Prospect au courtier partenaire, le courtier devient responsable de traitement indépendant des données qui lui sont transmises. Il lui revient, dès le premier contact avec le Prospect, de l'informer de son identité, des finalités poursuivies, des droits dont il dispose, conformément à l'article 14 du RGPD.

Axium tient à la disposition du Prospect, sur simple demande, l'identité du courtier auquel ses données ont été cédées.

3.6. Enregistrement des appels téléphoniques

Les appels de qualification effectués par l'équipe Axium auprès des Prospects sont enregistrés à des fins de traçabilité, de preuve du consentement et d'amélioration de la qualité du service.

Le Prospect est informé, dès le début de chaque appel, de cet enregistrement et de la possibilité de s'y opposer. En cas d'opposition du Prospect, l'enregistrement est immédiatement interrompu ou non effectué.

Les enregistrements sont conservés pendant six (6) mois à compter de l'appel, puis détruits, sauf nécessité particulière liée à la gestion d'une réclamation ou d'un contentieux.

3.7. Démarchage téléphonique par les courtiers cessionnaires

Le consentement à la cession recueilli par Axium inclut expressément l'autorisation pour le courtier cessionnaire de contacter le Prospect par téléphone aux fins de présentation d'une solution de Plan Épargne Retraite.

Conformément à la loi n° 2025-594 du 30 juin 2025, dont les dispositions applicables au démarchage téléphonique entreront en vigueur le 11 août 2026, tout démarchage téléphonique sans consentement préalable explicite du consommateur sera interdit. Axium assure, avant cette date comme après, le recueil et la traçabilité du consentement des Prospects au démarchage téléphonique par le courtier cessionnaire.

Le courtier demeure seul responsable du respect des périmètres du consentement recueilli, des horaires et fréquences d'appel, et plus généralement de l'ensemble de ses propres obligations au titre de la législation sur le démarchage commercial.

3.8. Durée de conservation

À l'expiration des durées indiquées, les données sont soit détruites, soit anonymisées de manière irréversible.

3.9. Retrait du consentement

Le Prospect peut retirer son consentement à tout moment, et notamment à ce que ses données soient cédées à un courtier partenaire ou à ce qu'il soit contacté à des fins commerciales. Le retrait du consentement peut être exercé :

• par courrier électronique à l'adresse dpo@axiumassurance.fr ;
• par courrier postal adressé à Axium – 19 rue des Grands Augustins, 75006 Paris.

Le retrait du consentement n'affecte pas la licéité des traitements effectués antérieurement sur la base du consentement donné. Axium informera, le cas échéant, le courtier cessionnaire du retrait du consentement afin que celui-ci adapte ses propres traitements en conséquence.

4. Traitements applicables aux Visiteurs du Site

4.1. Données collectées

Lors de la consultation du Site, les données suivantes sont susceptibles d'être collectées :

• adresse IP ;
• données de navigation (pages consultées, durée de visite, type de navigateur, résolution d'écran, système d'exploitation) ;
• données liées aux cookies et traceurs, dans les conditions décrites à la section 7.

4.2. Finalités et bases légales

À la date de publication de la Politique, le Site ne met pas en œuvre d'outil de mesure d'audience nécessitant un consentement au titre de l'article 82 de la Loi Informatique et Libertés. Cette situation est susceptible d'évoluer ; la Politique et la bannière cookies du Site seront alors mises à jour.

4.3. Durée de conservation

• Logs techniques et données de navigation : 12 mois maximum.
• Données liées aux cookies : durées spécifiques indiquées dans la section 7.

5. Traitements applicables aux Utilisateurs professionnels

5.1. Nature du rôle d'Axium

Axium intervient vis-à-vis des Utilisateurs professionnels selon deux qualifications distinctes :

• en qualité de responsable de traitement, pour les traitements liés à la gestion du compte utilisateur, à la facturation, à l'administration de la relation client et au suivi de l'usage de la plateforme ;
• en qualité de sous-traitant du Client, au sens de l'article 28 du RGPD, pour les traitements effectués sur le Contenu Utilisateur saisi dans le logiciel CRM (fiches contacts, opportunités commerciales, documents clients, historiques d'échanges, etc.).

Les traitements en qualité de sous-traitant font l'objet d'une Convention de Traitement des Données figurant en annexe des Conditions Générales de Vente d'Axium.

5.2. Données collectées en qualité de responsable de traitement

• identité professionnelle (nom, prénom, fonction) ;
• adresse électronique professionnelle, numéro de téléphone professionnel ;
• raison sociale, SIREN, numéro ORIAS, siège social et représentant légal du Client ;
• données de connexion (identifiants, logs, adresse IP, horodatage) ;
• données relatives à l'utilisation de la plateforme (fonctionnalités utilisées, actions effectuées, interactions avec le support) ;
• données de facturation et de paiement (par l'intermédiaire du prestataire de paiement Stripe) ;
• enregistrements d'appels effectués depuis le logiciel CRM via l'intégration Aircall, lorsque l'Utilisateur choisit de connecter cette fonctionnalité.

5.3. Finalités et bases légales

5.4. Enregistrement des appels des Utilisateurs professionnels via Aircall

Les Clients peuvent connecter leur propre service Aircall à la plateforme Axium afin d'enregistrer leurs appels commerciaux dans leur CRM Axium. Dans ce cas, le Client agit en qualité de responsable de traitement de ces enregistrements, et non Axium.

Il appartient au Client :

• de recueillir les bases légales nécessaires à l'enregistrement des appels, conformément au RGPD ;
• d'informer les personnes appelées (prospects, clients) de l'enregistrement, dès le début de l'appel, et de leur droit d'opposition ;
• de définir les durées de conservation et les modalités de suppression des enregistrements.

Axium met à disposition du Client les fonctionnalités techniques nécessaires, mais ne saurait être tenue responsable du respect de ces obligations par le Client.

5.5. Durée de conservation

5.6. Intégrations de services tiers Google (Gmail et Google Agenda)

Les Utilisateurs professionnels ont la possibilité, à leur seule initiative et dans le cadre des fonctionnalités du CRM souscrit, de connecter leur compte Google afin d'activer les intégrations suivantes :

• Intégration Gmail : consultation, envoi, classement et suppression d'e-mails directement depuis l'interface du CRM, afin de centraliser les échanges commerciaux avec les contacts et prospects du portefeuille client.
• Intégration Google Agenda : consultation des événements de calendrier, vérification des disponibilités et synchronisation bidirectionnelle des rendez-vous créés dans le CRM avec le calendrier Google de l'Utilisateur.

5.6.1. Données collectées via Gmail

Lorsqu'un Utilisateur connecte son compte Gmail, les données suivantes sont accessibles par la plateforme et stockées dans la base de données du CRM :

• le contenu des e-mails (objet, corps du message en texte et en HTML) ;
• les métadonnées des e-mails (expéditeur, destinataire(s), copie(s), date d'envoi et de réception, identifiants de fil de discussion) ;
• les métadonnées des pièces jointes (nom de fichier, type, taille) ; le contenu des pièces jointes n'est pas stocké et est récupéré à la demande auprès de l'API Gmail lors de la consultation par l'Utilisateur ;
• les libellés Gmail associés aux messages ;
• l'adresse e-mail du compte Google connecté.

Les e-mails synchronisés peuvent être associés à des fiches contacts (leads) au sein du CRM, soit manuellement par l'Utilisateur, soit par correspondance automatique d'adresse e-mail, afin de constituer un historique des échanges commerciaux.

5.6.2. Données collectées via Google Agenda

Lorsqu'un Utilisateur connecte son compte Google Agenda, les données suivantes sont consultées en temps réel via l'API Google Calendar, sans être stockées de manière persistante dans la base de données d'Axium :

• la liste des calendriers de l'Utilisateur ;
• les événements de calendrier (titre, date, heure, lieu, description, participants) ;
• les informations de disponibilité (créneaux libres/occupés).

Seules les informations de connexion (jetons d'authentification chiffrés, identifiant du calendrier sélectionné, état de synchronisation) sont stockées.

Les rendez-vous créés dans le CRM et synchronisés vers Google Agenda sont des données propres au CRM, transmises au calendrier Google de l'Utilisateur à sa demande.

5.6.3. Finalités et base légale

Les données Google sont traitées aux fins exclusives de :

• centraliser la gestion des échanges e-mail avec les contacts du portefeuille client au sein du CRM (Gmail) ;
• synchroniser les rendez-vous et vérifier les disponibilités pour la prise de rendez-vous (Google Agenda) ;
• permettre l'association d'e-mails à des fiches contacts pour constituer un historique des relations commerciales.

Base légale : exécution du contrat (article 6, paragraphe 1, point b du RGPD) — la connexion est un acte volontaire de l'Utilisateur professionnel dans le cadre du service CRM souscrit par son cabinet.

5.6.4. Sécurité des données Google

Les jetons d'authentification OAuth délivrés par Google sont chiffrés au repos par l'algorithme AES-256-GCM avant stockage en base de données. Toutes les communications avec les API Google sont effectuées via le protocole HTTPS/TLS.

L'accès aux données Google d'un Utilisateur est strictement limité à cet Utilisateur. Les e-mails synchronisés ne sont visibles par d'autres membres de l'organisation que lorsqu'ils sont explicitement associés à une fiche contact partagée.

Axium ne stocke jamais les mots de passe Google des Utilisateurs. L'authentification repose exclusivement sur le protocole OAuth 2.0, qui permet à l'Utilisateur d'accorder et de révoquer l'accès à tout moment sans communiquer ses identifiants.

5.6.5. Durée de conservation

En cas de déconnexion de l'intégration par l'Utilisateur, l'ensemble des données synchronisées (e-mails, associations aux contacts, jetons d'authentification, informations de connexion calendrier) sont supprimées de manière définitive et immédiate de la base de données d'Axium.

En cas de résiliation du contrat, les données sont traitées conformément aux dispositions de la section 5.5 (période de récupération de soixante jours, puis suppression).

5.6.6. Partage des données Google

Les données obtenues via les API Google ne sont en aucun cas :

• vendues, louées ou mises à disposition de tiers ;
• utilisées à des fins publicitaires, de ciblage, de reciblage ou de publicité personnalisée ;
• utilisées pour l'établissement de profils de solvabilité ou de notation de crédit ;
• transmises à des courtiers en données (data brokers) ou à des revendeurs d'informations ;
• utilisées pour l'entraînement de modèles d'intelligence artificielle généralisés ou dépersonnalisés.

Les données Google sont traitées exclusivement pour fournir et améliorer les fonctionnalités du CRM décrites ci-dessus, au bénéfice direct de l'Utilisateur.

5.6.7. Révocation de l'accès

L'Utilisateur peut, à tout moment, déconnecter son compte Google depuis les paramètres du CRM (section « Intégrations »). La déconnexion entraîne :

• la révocation immédiate des autorisations OAuth auprès de Google ;
• la suppression des jetons d'authentification chiffrés ;
• la suppression de l'ensemble des données synchronisées (e-mails, associations aux contacts, informations de connexion calendrier).

L'Utilisateur peut également révoquer l'accès directement depuis les paramètres de sécurité de son compte Google (myaccount.google.com/permissions). Dans ce cas, Axium détecte automatiquement la révocation et désactive l'intégration.

5.6.8. Conformité à la politique Google relative aux données utilisateur

L'utilisation des informations reçues des API Google par Axium est conforme à la Politique relative aux données utilisateur des services API Google (Google API Services User Data Policy), y compris aux exigences d'utilisation limitée (Limited Use requirements).

6. Sécurité des données

Axium met en œuvre les mesures techniques et organisationnelles appropriées, conformes à l'état de l'art, pour assurer la sécurité, l'intégrité et la confidentialité des données à caractère personnel qu'elle traite, notamment :

• chiffrement des communications en transit (HTTPS/TLS) ;
• hébergement sur des serveurs localisés au sein de l'Union européenne, chez un hébergeur professionnel (OVH) ;
• gestion des accès par identifiants nominatifs, mots de passe robustes et authentification renforcée pour les accès sensibles ;
• sauvegardes quotidiennes des données avec rétention minimale de 30 jours ;
• traçabilité des accès aux données sensibles ;
• politique interne de sensibilisation et de formation des collaborateurs à la protection des données.

Ces mesures sont régulièrement revues et mises à jour en fonction de l'évolution des menaces, des technologies et des standards du marché.

En cas de violation de données à caractère personnel susceptible d'engendrer un risque pour les droits et libertés des personnes concernées, Axium notifie cette violation à la CNIL dans un délai de soixante-douze (72) heures, conformément à l'article 33 du RGPD, et informe les personnes concernées lorsque la violation est susceptible d'engendrer un risque élevé pour leurs droits et libertés, conformément à l'article 34 du RGPD.

Tout incident de sécurité peut être signalé à l'adresse securite@axiumassurance.fr.

7. Cookies

7.1. Définition

Les cookies sont de petits fichiers texte déposés sur l'équipement de l'Utilisateur par le site web qu'il consulte. Ils permettent, selon leur finalité, d'assurer le bon fonctionnement du site, de mémoriser des préférences, de mesurer la fréquentation ou d'afficher de la publicité.

7.2. Finalités des cookies susceptibles d'être utilisés

7.3. Gestion du consentement

À la date de publication de la Politique, Axium est en phase de déploiement d'une bannière de gestion des consentements cookies conforme aux recommandations de la CNIL. Cette bannière permettra à chaque Utilisateur, dès sa première visite, d'accepter, de refuser ou de paramétrer finement les cookies non essentiels déposés sur son équipement.

Dans l'attente, le Site limite le dépôt de cookies à ceux strictement nécessaires à son fonctionnement.

L'Utilisateur peut également, à tout moment, configurer son navigateur pour bloquer ou supprimer les cookies. Toutefois, certains cookies étant nécessaires au fonctionnement du Site, leur blocage peut altérer son usage.

7.4. Durée de conservation des cookies

La durée de conservation des cookies est limitée à treize (13) mois à compter de leur dépôt, conformément aux recommandations de la CNIL. Au-delà, le consentement est à nouveau recueilli.

8. Destinataires des données

Les données à caractère personnel traitées par Axium peuvent être communiquées, dans les limites strictement nécessaires :

• aux équipes internes d'Axium habilitées, soumises à une obligation de confidentialité ;
• aux sous-traitants d'Axium, listés à la section 9, pour l'exécution des missions qui leur sont confiées ;
• aux courtiers partenaires cessionnaires des Prospects, dans les conditions décrites à la section 3 ;
• aux autorités administratives ou judiciaires, lorsque la loi l'exige ou lorsqu'une réquisition régulière est adressée à Axium.

Axium ne transmet aucune donnée personnelle à des tiers à des fins commerciales autres que celles exposées dans la Politique.

9. Sous-traitants

Axium recourt, pour l'exécution de ses activités, aux sous-traitants suivants. Chaque sous-traitant est tenu contractuellement à des obligations strictes en matière de sécurité et de confidentialité, conformes aux exigences du RGPD.

Cette liste est susceptible d'évolution. La version à jour est disponible sur demande auprès de dpo@axiumassurance.fr.

10. Transferts de données hors Union européenne

Certains sous-traitants d'Axium (notamment Stripe, Calendly, Twilio, Google) sont susceptibles de traiter des données depuis des pays situés en dehors de l'Union européenne, en particulier les États-Unis.

Dans ce cas, Axium encadre ces transferts par la signature de Clauses Contractuelles Types approuvées par la Commission européenne (décision d'exécution 2021/914 du 4 juin 2021), qui offrent un niveau de protection adéquat conforme aux exigences du RGPD. S'agissant de Google LLC, le transfert est également couvert par le EU-U.S. Data Privacy Framework, au titre de la décision d'adéquation de la Commission européenne du 10 juillet 2023.

Axium évalue régulièrement les conditions de ces transferts et met en œuvre, lorsque nécessaire, des mesures supplémentaires (chiffrement, pseudonymisation, limitation des données transférées) pour assurer un niveau de protection équivalent à celui garanti au sein de l'Union européenne.

Des informations complémentaires sur les transferts hors UE peuvent être obtenues sur simple demande à dpo@axiumassurance.fr.

11. Droits des personnes concernées

Conformément au RGPD et à la Loi Informatique et Libertés, toute personne concernée dispose des droits suivants sur ses données à caractère personnel :

11.1. Liste des droits

• Droit d'accès (art. 15 RGPD) : obtenir la confirmation que des données vous concernant sont traitées et en obtenir une copie.
• Droit de rectification (art. 16 RGPD) : faire rectifier des données inexactes ou incomplètes.
• Droit à l'effacement (art. 17 RGPD) : demander la suppression de vos données, sous réserve des motifs de conservation prévus par la loi.
• Droit à la limitation du traitement (art. 18 RGPD) : demander la suspension temporaire du traitement dans certains cas.
• Droit d'opposition (art. 21 RGPD) : vous opposer, pour des raisons tenant à votre situation particulière, à un traitement fondé sur l'intérêt légitime ; vous opposer sans motif au traitement à des fins de prospection commerciale.
• Droit à la portabilité (art. 20 RGPD) : recevoir vos données dans un format structuré, couramment utilisé et lisible par machine, et les transmettre à un autre responsable de traitement.
• Droit de retirer votre consentement (art. 7.3 RGPD) : lorsque le traitement est fondé sur le consentement, retirer celui-ci à tout moment, sans que cela n'affecte la licéité des traitements antérieurs.
• Droit de définir des directives post-mortem (art. 85 Loi Informatique et Libertés) : définir des directives relatives au sort de vos données après votre décès.

11.2. Modalités d'exercice des droits

Les droits peuvent être exercés :

• par courrier électronique à l'adresse dpo@axiumassurance.fr ;
• par courrier postal à l'adresse Axium – 19 rue des Grands Augustins, 75006 Paris.

La demande doit être accompagnée d'un élément permettant de vérifier l'identité du demandeur, dans la limite de ce qui est nécessaire.

Axium répond à la demande dans un délai d'un (1) mois à compter de sa réception. Ce délai peut être prolongé de deux (2) mois supplémentaires en raison de la complexité de la demande ou du nombre de demandes reçues, auquel cas Axium informe le demandeur des motifs du report.

11.3. Droit d'introduire une réclamation auprès de la CNIL

Toute personne concernée qui estime que le traitement de ses données à caractère personnel n'est pas conforme à la réglementation applicable dispose du droit d'introduire une réclamation auprès de la Commission Nationale de l'Informatique et des Libertés (CNIL) :

• CNIL — 3 Place de Fontenoy, TSA 80715, 75334 Paris Cedex 07
• Téléphone : 01 53 73 22 22
• Site web : www.cnil.fr

12. Modifications de la Politique

Axium se réserve le droit de modifier à tout moment la Politique, notamment pour tenir compte d'évolutions légales, réglementaires, techniques ou de l'évolution de ses services.

Toute modification substantielle fait l'objet d'une information préalable :

• pour les Utilisateurs professionnels disposant d'un compte : par courrier électronique et affichage sur la plateforme, avec un préavis minimum de trente (30) jours ;
• pour les Prospects et Visiteurs : par publication d'une version mise à jour sur le Site, avec une date de mise à jour actualisée.

La version applicable est celle en vigueur à la date de la consultation du Site ou du traitement concerné.

13. Contact

Pour toute question relative à la Politique ou au traitement de vos données à caractère personnel :

• Contact général : contact@axiumassurance.fr
• Référent protection des données : dpo@axiumassurance.fr
• Signalement d'incident de sécurité : securite@axiumassurance.fr
• Adresse postale : Axium – 19 rue des Grands Augustins, 75006 Paris