Confidentialité

Lire l'encyclopédie

Vous pouvez lire les vingt-deux chapitres, l’atlas, les tableaux de pierres et l’index A à Z sans rien nous donner. La lecture ne demande ni compte ni connexion, et il n’y a pas de lettre d’information.

Le site est servi par Cloudflare, qui traite nécessairement votre adresse IP et les en-têtes de votre requête pour livrer les pages et protéger le site des attaques. Ce traitement est ce qui rend le site accessible ; il ne peut être désactivé sans éteindre le site. Cloudflare agit comme notre sous-traitant et est lié par ses propres clauses de protection des données.

Publicité

Les pages portent de la publicité fournie par Google AdSense. Google utilise des cookies et des technologies semblables pour diffuser les annonces, les mesurer et, si vous l'autorisez, les personnaliser à partir des données qu'il détient sur vous sur d'autres sites. Google et les fournisseurs tiers avec lesquels il travaille peuvent placer et lire des cookies dans votre navigateur, utiliser des balises web et recueillir votre adresse IP du fait des annonces affichées ici.

Dans l'Espace économique européen, au Royaume-Uni et en Suisse, on vous le demande avant que quoi que ce soit se produise, au moyen d'un avis de consentement certifié par Google. Rien n'est enregistré et aucune publicité personnalisée n'est diffusée sans votre consentement. Vous pouvez rouvrir cet avis et changer de réponse à tout moment depuis le lien en pied de page.

Si vous refusez, vous voyez toujours de la publicité, mais elle n'est pas personnalisée et aucun cookie publicitaire n'est déposé.

Comment Google utilise les informations des sites qui utilisent ses services

Mesure d’audience

Nous utilisons Google Analytics pour savoir quels chapitres sont lus et comment les lecteurs arrivent. L'outil est configuré avec le mode consentement de Google : dans l'EEE, au Royaume-Uni et en Suisse, le stockage à des fins de mesure est refusé par défaut et n'est activé qu'avec votre consentement, donné par le même avis. Sans consentement, Google reçoit un signal anonyme sans identifiant ni cookie.

Les données de mesure sont conservées quatorze mois et ne servent pas à vous identifier. Nous n'envoyons dans Analytics ni nom, ni adresse électronique, ni aucun autre élément personnel, et aucune adresse de page de ce site n'en contient.

Nous pouvons aussi utiliser Cloudflare Web Analytics, qui ne dépose aucun cookie, n'enregistre rien dans votre navigateur et ne vous suit pas d'un site à l'autre. Ne collectant aucune donnée personnelle, il n'est pas soumis à l'avis de consentement.

Si nous travaillons ensemble

Acheter une pierre est autre chose que lire ce site, et cela passe par davantage qu'un formulaire. Selon la transaction, nous pouvons devoir demander une pièce d'identité, un justificatif de domicile et l'origine des fonds, les négociants en pierres précieuses étant soumis à des obligations de lutte contre le blanchiment en Suisse.

Ces documents ne sont conservés que le temps exigé par la loi. Ils ne servent jamais à des fins commerciales, ne sont jamais vendus et ne sont jamais communiqués à un annonceur. Ils ne sont pas collectés par ce site.

Votre compte sur le Marché

Votre compte, c’est votre adresse électronique, la langue que vous choisissez pour le site, la date de votre inscription et celle de votre dernière connexion. Pour vous connecter, vous demandez un courriel qui contient un code à six chiffres et un lien ; chacun ne sert qu’une fois, pendant quinze minutes. Nous ne conservons le code et le lien que sous forme d’empreintes SHA-256, avec l’adresse et la langue de l’envoi : une copie de notre base de données ne permet donc à personne de se connecter. Demander un code ne crée aucun compte ; l’utiliser en crée un.

Vous pouvez ajouter une clé d’accès (passkey), qui vous connecte par empreinte digitale, reconnaissance faciale ou code de l’appareil. Votre appareil garde la clé privée. Nous conservons la clé publique, le nom que vous donnez à la clé, si elle est synchronisée entre vos appareils, et quand elle a été ajoutée et utilisée pour la dernière fois.

Vous pouvez créer des jetons personnels qui permettent à un agent IA d’agir pour vous sur notre serveur MCP. De chaque jeton, nous gardons le nom que vous lui donnez, ses seize premiers caractères, une empreinte SHA-256 du jeton (jamais le jeton lui-même), ce que vous lui avez permis de faire, et quand il a été créé, quand il expire, quand il a servi pour la dernière fois et quand il a été révoqué. De chaque modification qu’un agent fait ou tente avec un jeton, comme une offre, une réponse à une offre, un message ou une offre permanente, nous gardons sa nature, ce qu’elle concernait, si elle a abouti, et quand ; ce que les agents lisent n’est pas enregistré. Pourquoi : pour faire ce que vous avez demandé à votre agent et vous montrer ce qu’il a fait (un contrat avec vous, et notre intérêt légitime à la sécurité). Combien de temps : les deux cents dernières modifications par compte, et un jeton quatre-vingt-dix jours après sa révocation ou son expiration, avec ce que ses agents ont fait ; le tout à la fermeture du compte.

Les pages du Marché déposent trois cookies qui nous sont propres, chacun pour une seule tâche : __Host-erebaur_s vous garde connecté pendant trente jours ; __Host-erebaur_f, déposé sur les pages du Marché tant que vous n’êtes pas connecté, permet à nos formulaires de distinguer vos envois de faux envois, pendant un jour ; __Host-erebaur_p retient une connexion commencée, pendant quinze minutes. Ils ne fonctionnent que sur ce site, ne contiennent que des valeurs aléatoires et rien sur vous, et le Marché ne peut pas fonctionner sans eux ; ils ne sont donc pas soumis à l’avis de consentement. D’une session, nous conservons une empreinte SHA-256 de la valeur du cookie, la façon dont vous vous êtes connecté, et quand la session a commencé, a servi pour la dernière fois et prend fin.

Pourquoi : pour vous fournir le compte que vous avez demandé et le protéger (un contrat avec vous, et notre intérêt légitime à la sécurité). Qui le voit : notre personnel, ainsi que Cloudflare et Resend, comme décrit plus bas. Combien de temps : le compte jusqu’à ce que vous le fermiez, ou trois ans après votre dernière connexion, date à laquelle nous le supprimons après vous avoir prévenu par courriel un mois avant. Les demandes de connexion sont supprimées trente jours après leur création, les sessions terminées quatre-vingt-dix jours après leur fin, et une clé d’accès quand vous la retirez ou fermez le compte.

Adresses réseau

Notre base de données ne contient jamais votre adresse IP en clair. Deux choses s’en servent.

Les limites au nombre d’essais : courriels de connexion, saisies de code, connexions par clé d’accès, requêtes des agents IA et modifications qu’ils font, réponses de Price Check, requêtes à l’API ouverte des prix, prix envoyés par le panel de négociants, inscriptions aux alertes, envois de fichiers, messages, vérifications d’identité lancées, rapports de laboratoire lus et recherches par description. Chacune est comptée sous une clé faite d’une empreinte SHA-256 de son objet et de votre adresse (pour certaines limites, de votre adresse électronique ou de votre compte), pendant dix minutes à un jour. Une telle empreinte reste une donnée personnelle, car quiconque connaît votre adresse peut la recalculer ; les compteurs sont donc supprimés dans la journée qui suit la fin de leur période. Pourquoi : pour empêcher qu’on devine des codes ou qu’on inonde des formulaires (notre intérêt légitime à la sécurité).

Les signatures de contrats : quand vous signez un contrat, nous conservons une empreinte de votre adresse calculée avec une clé secrète et le contrat, à côté du nom que vous avez saisi, de l’heure, de votre session et de l’empreinte du document. Elle ne peut pas être inversée sans la clé et, si une signature est un jour contestée, elle montre de quelle session et de quel réseau elle provient. Elle est conservée avec le contrat (voir « Offres d’achat, contrats et transactions »).

Cloudflare, qui fait fonctionner le site, voit votre adresse à chaque requête (voir « Où sont conservées les données du Marché »).

Niveaux de confiance et noms vérifiés

Chaque compte commence au niveau T0. Certaines étapes du Marché demandent un niveau supérieur. Un niveau monte quand une vérification par notre prestataire aboutit, ou quand notre personnel le décide après avoir vérifié votre identité à la main ou examiné une vérification ; il baisse quand une vérification expire ou que le prestataire signale un problème. Chaque changement enregistre l’ancien et le nouveau niveau, qui ou quoi l’a fait, pourquoi et quand, et n’est plus jamais modifié.

Votre nom légal : quand votre vérification T1 réussit chez Didit, nous enregistrons le nom complet inscrit sur votre pièce d’identité, tel que Didit l’a lu ; quand notre personnel valide une vérification ou corrige un nom, il l’enregistre avec une note qui dit comment. Un contrat en a besoin, de même que le contrôle qu’un paiement sous séquestre vient bien de vous. L’autre partie d’une transaction ne le voit jamais : les contrats désignent les deux parties par une référence de compte.

Quand les vérifications d’identité sont disponibles, elles sont faites par Didit Identity Spain, S.L., Calle Nápoles 227, 08013 Barcelona, Espagne, notre sous-traitant, sur ses propres pages. Pour T1, Didit reçoit des photos de votre pièce d’identité, un selfie en direct et des données sur votre appareil et votre réseau, et contrôle votre nom au regard des listes de sanctions, de personnes politiquement exposées et d’informations négatives dans les médias. Pour vérifier que vous êtes la personne du document et que vous êtes bien présent, Didit traite des images de votre visage et les données biométriques qui en sont tirées. Pour T2, il reçoit le nom, le pays et le numéro d’enregistrement de votre société, contrôle la société dans son registre et fait passer la même vérification d’identité à chaque détenteur de 25 % ou plus. Pour T3, il reçoit un document indiquant votre adresse, vos réponses sur l’origine de vos fonds et un relevé bancaire, que notre personnel examine sur le système de Didit. Didit traite et stocke tout cela dans l’Union européenne, le conserve pendant la durée que nous fixons, dix ans à compter de la vérification, sauf si nous le supprimons plus tôt, et ne garde aucun modèle facial séparé une fois une vérification supprimée.

D’une vérification, nous ne gardons que son résultat, la référence de Didit, pour T1 le nom inscrit sur votre document (ci-dessus), le fait que le contrôle des sanctions a trouvé ou non une correspondance possible (pas ce qu’il a trouvé), la date d’expiration de votre pièce d’identité, le nom de la société donné par le registre et le nom que vous indiquez pour le compte bancaire de la société, jamais le numéro de compte. Une entreprise enregistrée là où nous demandons une licence de négociant la dépose dans notre stockage R2 privé, où seuls vous et notre personnel pouvez l’ouvrir. Une correspondance possible est tranchée par notre personnel, jamais par une machine seule.

Pourquoi : pour décider qui peut faire ou accepter une offre d’achat ou vendre en tant qu’entreprise, et pour se prémunir contre la fraude, le blanchiment et les violations de sanctions (nos obligations légales et notre intérêt légitime). Pour les données biométriques, votre consentement explicite, que vous donnez en cochant une case avant le début de la vérification : sans lui, il n’y a pas de vérification T1. Vous pouvez le retirer en nous écrivant ; nous faisons alors supprimer par Didit les images et les données qui en sont tirées, sauf si une loi nous oblige à les garder. Combien de temps : les changements de niveau, les résultats de vérification et les noms vérifiés tant que le compte existe, et ceux utilisés dans une transaction aussi longtemps que les pièces de cette transaction ; une licence de négociant tant que l’entreprise reste vérifiée, ou douze mois après le refus ou l’expiration de sa demande.

Politique de confidentialité de Didit

Vendre une pierre

Quand vous proposez une pierre, nous conservons ce que vous saisissez : la pierre dans les codes et les termes de son rapport de laboratoire, le laboratoire, le numéro et la date du rapport, votre prix demandé, la ville où se trouve la pierre et votre remarque. Les photographies et le fichier du rapport sont stockés dans un espace Cloudflare R2 privé et ne sont servis qu’après notre propre contrôle d’accès : à vous et à notre personnel pendant l’examen ; une fois la pierre publiée, les photographies à tous et le fichier du rapport aux visiteurs connectés. Un rapport peut porter le nom de la personne qui l’a commandé ; si c’est le cas du vôtre, masquez ce nom avant de l’envoyer. Ce que vous écrivez sur l’annonce et le fichier du rapport sont aussi lus par un modèle d’IA pour notre personnel (voir « Traduction, recherche par description et signalements »).

Notre examen est consigné étape par étape, chacune avec qui l’a faite et quand : si Erebaur a un intérêt dans la pierre, le contrôle de l’origine, et la décision de la publier, de la retenir ou de la refuser, avec sa raison. Ces enregistrements sont écrits une fois et jamais modifiés. Une annonce publiée montre la pierre, ses rapports de laboratoire et la ville où elle se trouve, jamais qui la vend.

Chaque annonce qui a porté un numéro de rapport reste visible pour notre personnel, avec la façon dont elle s’est terminée, pour qu’un rapport qui revient sur une autre pierre soit vu avec son historique.

Pourquoi : pour examiner et publier la pierre que vous nous avez demandé de proposer (un contrat avec vous), et pour tenir les pierres frauduleuses et sous sanctions hors du Marché (notre intérêt légitime et nos obligations légales). Combien de temps : tant que l’annonce est sur le Marché ; si la pierre est vendue, aussi longtemps que les pièces de la transaction ; si elle est refusée ou retirée, ses photographies et fichiers sont supprimés douze mois plus tard et le reste de son dossier cinq ans plus tard. Une pierre que vous avez commencé à proposer sans la soumettre est supprimée, avec ses fichiers, trente jours après votre dernière modification. Une pierre que vous avez enregistrée reste dans votre liste jusqu’à ce que vous la retiriez, fermiez votre compte ou que l’annonce soit supprimée.

Lire un rapport de laboratoire

Sur le formulaire de vente et dans Price Check, vous pouvez faire lire un rapport de laboratoire au lieu de le saisir. Quand vous appuyez sur le bouton, le fichier choisi, un PDF ou une photo du rapport, est envoyé avec nos instructions à Anthropic, PBC, dont le modèle d’IA Claude le lit et renvoie les données de la pierre et du rapport. Anthropic agit comme notre sous-traitant ; pour l’Espace économique européen, la Suisse et le Royaume-Uni, son cocontractant est Anthropic Ireland, Limited. Ce qui revient est un brouillon : vous comparez chaque champ au rapport, et rien n’est enregistré avant que vous envoyiez le formulaire.

Les rapports portent souvent le nom de la personne qui les a fait établir. Le modèle a pour consigne de ne jamais renvoyer le nom d’une personne, et notre serveur écarte tout ce qui sort des données que nous demandons ainsi que toute phrase qui semble nommer quelqu’un. Masquez le nom avant de téléverser le fichier si vous le pouvez.

Ce que nous conservons. Dans Price Check, rien du fichier ni de ce qui a été lu : le fichier est lu en mémoire, envoyé à Anthropic puis abandonné. Sur le formulaire de vente, le fichier n’est pas conservé non plus ; le rapport et ses données ne le sont que lorsque vous envoyez le formulaire, comme le décrit « Vendre une pierre ». Pour chaque lecture, nous enregistrons le modèle qui l’a faite, sa durée, la part du modèle utilisée, les champs qu’il a remplis et ceux qu’il n’a pas pu remplir, puis, une fois le formulaire envoyé, ceux que vous avez gardés et ceux que vous avez modifiés. Nous n’enregistrons jamais ce que disait un champ, ni qui a demandé la lecture.

Selon ses conditions commerciales, Anthropic ne peut pas entraîner ses modèles sur ce que nous lui envoyons. Elle supprime le fichier et la réponse du modèle dans les 30 jours suivant leur réception, sauf si elle doit les garder plus longtemps pour faire respecter sa politique d’utilisation (jusqu’à deux ans pour un contenu que ses systèmes de sécurité signalent) ou si une loi l’exige. Elle stocke les données aux États-Unis et peut faire tourner le modèle dans d’autres pays ; le transfert est couvert par les clauses contractuelles types, avec leurs avenants suisse et britannique, de son avenant sur le traitement des données.

Pourquoi : parce que vous nous demandez de lire le rapport pour vous (notre intérêt légitime à proposer un formulaire plus simple, que vous choisissez d’utiliser). À quelle fréquence : quelques lectures par jour depuis chaque adresse réseau dans Price Check, et un nombre limité par heure depuis chaque compte sur le formulaire de vente (voir « Adresses réseau »).

Politique de confidentialité d’Anthropic (en anglais)

Conditions commerciales d’Anthropic (en anglais)

Contrôle des sanctions

Nous contrôlons l’origine de chaque pierre au regard des règles de sanctions des États-Unis, de l’Union européenne, du Royaume-Uni et de la Suisse que nous appliquons : quand la pierre est proposée, de nouveau quand elle est publiée, et encore quand une offre d’achat sur elle est acceptée. Nous conservons chaque résultat avec la version des règles utilisée, et toute levée consignée par un membre du personnel, avec ses raisons.

Ce contrôle porte sur la pierre. Les personnes ne sont contrôlées au regard des listes de sanctions que dans le cadre des vérifications d’identité décrites sous « Niveaux de confiance et noms vérifiés », par Didit.

Pourquoi : pour respecter le droit des sanctions et tenir les pierres sous sanctions hors du Marché (nos obligations légales et notre intérêt légitime). Combien de temps : avec le dossier de l’annonce, comme ci-dessus.

Offres permanentes, demandes et notifications

Une offre permanente conserve la pierre que vous achèteriez, le prix maximal que vous paieriez par carat dans la devise choisie, et sa durée. Quand une pierre qui correspond est publiée, nous enregistrons la correspondance et vous en informons dans l’application. Un plafond dans une autre devise que celle de la pierre est comparé au cours de référence de la Banque centrale européenne, que nous récupérons une fois par jour ; rien sur vous n’est envoyé à la banque. Les vendeurs ne voient que le nombre d’offres par segment et par tranche de poids, et seulement là où au moins trois acheteurs différents les ont faites ; jamais qui a fait une offre ni son prix.

Une demande conserve la pierre que vous décrivez, sa forme, votre budget, la date à laquelle il vous la faut et votre remarque. Notre personnel la vérifie avant que les vendeurs la voient, sans votre nom. La réponse d’un vendeur conserve son message et, s’il en a choisi une, une de ses pierres ; notre personnel la vérifie avant que vous la voyiez, sans le nom du vendeur. Si notre personnel refuse l’une ou l’autre, la note qu’il écrit est conservée et montrée à son auteur.

Les notifications sur vos offres permanentes, demandes, pierres, offres d’achat, transactions et messages sont conservées dans l’application.

Pourquoi : pour faire ce que vous avez demandé (un contrat avec vous). Combien de temps : les offres permanentes et leurs correspondances douze mois après leur expiration ou leur annulation ; les demandes et les réponses vingt-quatre mois après la clôture ou le refus de la demande ; les notifications douze mois.

Offres d’achat, contrats et transactions

Une offre d’achat conserve son montant, qui l’a faite et quand, sa durée, et comment elle a été tranchée. Une offre d’achat qui se termine sans transaction est conservée deux ans après sa clôture.

Quand une offre d’achat est acceptée, la transaction enregistre le prix convenu, notre commission, chaque étape et sa date, le transporteur et le numéro de suivi, le nom figurant sur le paiement tel qu’Escrow.com nous le montre (pour le comparer à votre nom vérifié), et un résumé de ce qu’Escrow.com signale, sans vos données personnelles. Le contrat est établi une fois et conservé avec son empreinte SHA-256, et n’est jamais modifié. Chaque signature enregistre le nom que vous avez saisi, l’heure, votre session, l’empreinte de l’adresse réseau décrite plus haut et l’empreinte du document, et n’est jamais modifiée ni supprimée. L’autre partie ne vous voit que sous une référence de compte ; le nom que vous avez saisi n’est montré qu’à vous et à notre personnel.

Pourquoi : pour exécuter la vente entre acheteur et vendeur et notre part dans celle-ci (un contrat avec vous), pour tenir les pièces qu’exigent le droit commercial, le droit fiscal et le droit de la lutte contre le blanchiment (nos obligations légales), et pour pouvoir montrer ce qui a été convenu (notre intérêt légitime). Combien de temps : dix ans après la clôture de la transaction, durée que le droit commercial suisse impose aux pièces d’affaires.

Paiement par Escrow.com

L’argent d’une transaction ne passe jamais par nous. L’acheteur paie sous séquestre chez Escrow.com, un prestataire de paiement indépendant aux États-Unis, qui paie le vendeur après l’inspection, déduction faite de notre commission. Pour ouvrir le séquestre, nous envoyons à Escrow.com les adresses électroniques de l’acheteur et du vendeur, la description de la pierre, le prix, notre commission et la référence de la transaction, puis le transporteur et le numéro de suivi de l’envoi et de tout retour. Vous acceptez la transaction sur les pages d’Escrow.com.

Escrow.com effectue ses propres vérifications sur chaque partie et décide lui-même de ce qu’il collecte, de la durée et du lieu de conservation. Il en répond selon sa propre déclaration de confidentialité, pas selon la nôtre. Les instructions de virement qu’il fournit sont montrées à l’acheteur dans son compte, récupérées chez Escrow.com à chaque fois, et jamais conservées ni envoyées par courriel par nous.

Déclaration de confidentialité d’Escrow.com (en anglais)

Ventes conclues et Fair Range

Le Fair Range, la fourchette de prix montrée dans Price Check seulement, vient d’un modèle de prix qui apprend à partir de ventes. Il n’est jamais montré sur une pierre en vente ici ni à côté d’elle : nous touchons une commission quand elle se vend, cette commission est un intérêt dans la pierre, et nous n’estimons jamais une pierre dans laquelle nous avons un intérêt. Une transaction conclue sur le Marché devient l’une de ces ventes une fois qu’Escrow.com a payé le vendeur : son prix convenu, le jour où il a été convenu, et la pierre telle que la décrit son rapport de laboratoire. Aucun nom, aucune adresse électronique ni aucun compte n’entre dans le modèle. Avec une fourchette, nous pouvons montrer jusqu’à cinq ventes comparables ; une vente faite ici n’y apparaît que par son mois, le fait qu’il s’agit d’une vente sur Erebaur, son poids et son prix par carat, arrondi à trois chiffres significatifs.

Une vente entre des personnes qui ne sont pas indépendantes l’une de l’autre ne dit rien de vrai sur un prix ; elle est donc écartée. Pour repérer de telles ventes, nous vérifions pour chaque transaction conclue si un même compte est des deux côtés, si un nom légal enregistré par notre personnel pour l’acheteur correspond à un nom enregistré pour le vendeur, si les deux appartiennent à une même entreprise que nous avons enregistrée, si les deux se connectent avec des adresses du domaine de messagerie d’une même organisation (les grands services de messagerie publics sont ignorés), et si l’une des parties travaille pour Erebaur. Notre personnel peut aussi écarter une transaction, avec une raison écrite qui est conservée avec la transaction et n’est montrée à aucune des parties. Une transaction refusée, retournée ou contestée, et une transaction sur une pierre dans laquelle Erebaur avait un intérêt autre que notre commission, sont aussi écartées.

Le modèle est entraîné par une tâche planifiée qui tourne sur les serveurs de GitHub aux États-Unis ; GitHub respecte les Data Privacy Frameworks UE-États-Unis, Royaume-Uni et Suisse-États-Unis. Pour faire les vérifications ci-dessus, la tâche lit dans notre base de données les adresses électroniques des deux parties et les noms légaux enregistrés, les compare et n’en note aucun. Elle conserve pendant quatre-vingt-dix jours la liste des transactions écartées, par référence de transaction, avec les raisons. Pourquoi : pour que la fourchette repose sur de vraies ventes entre parties indépendantes et ne puisse pas être déplacée par une vente montée de toutes pièces (notre intérêt légitime, et celui de chacun qui s’appuie sur la fourchette). Combien de temps : une vente conclue compte aussi longtemps que les pièces de sa transaction sont conservées (voir « Offres d’achat, contrats et transactions »).

Prix du panel de négociants. Un négociant que nous invitons dans notre panel peut nous envoyer un prix qu’il a payé ou reçu pour une pierre accompagnée d’un rapport de laboratoire : s’il l’a achetée ou vendue, le jour, le prix et sa monnaie, si la pierre était sertie dans un bijou, la pierre telle que son rapport la décrit avec le laboratoire, le numéro et la date du rapport, et une note facultative. Nous le conservons avec son compte, et notre équipe l’examine. Un prix accepté entre dans le registre des prix comme prix du panel de négociants : le registre, les indices, Price Check et l’API ouverte des prix ne nomment jamais le négociant, et seule notre équipe peut remonter jusqu’au compte. Un prix refusé est conservé avec la raison, que le négociant lit. Pourquoi : pour que les indices et Price Check reposent sur davantage de ventes réelles (notre intérêt légitime, et celui de chacun qui s’y fie). Combien de temps : un prix qui n’est jamais entré dans le registre est supprimé à la fermeture du compte ; un prix accepté reste dans le registre comme une vente, sans sa note.

Courriels

Nous envoyons nos courriels par Resend, depuis notifications@erebaur.com ; les réponses vont à info@erebaur.com, où une personne les lit. Le code et le lien de connexion, ainsi que le code qui confirme une alerte Price Check, partent aussitôt, pendant que vous attendez. Tout autre courriel est d’abord écrit dans une file d’envoi de notre base de données, au même moment que le changement dont il parle, et part de là : les courriels sur vos offres d’achat et vos transactions, un résumé quotidien des nouvelles pierres qui correspondent à vos offres permanentes, un courriel qui vous dit qu’un nouveau message vous attend, et les alertes Price Check que vous avez demandées.

Une entrée de la file ne contient ni adresse électronique ni texte : seulement la nature du courriel, le compte ou l’alerte auquel il est destiné, la transaction, l’offre d’achat ou l’annonce dont il parle, sa langue, les quelques éléments dont il a besoin (comme l’étape atteinte par une transaction, les pierres d’un résumé ou la fourchette d’une alerte), s’il a été envoyé, en combien de tentatives, et la dernière erreur. L’adresse et le texte sont assemblés au moment de l’envoi. Les entrées sont supprimées quatre-vingt-dix jours après leur création. Resend reçoit l’adresse et le courriel pour le remettre, et conserve les deux, avec le suivi de remise, pendant trente jours.

Les courriels sont rédigés dans la langue de votre compte, que vous pouvez changer sur /account/email/. Les courriels sur les offres d’achat et les transactions ne peuvent pas être désactivés, car une transaction ne peut pas se dérouler sans risque sans eux ; ils ne contiennent ni prix, ni nom, ni coordonnées bancaires, qui restent dans votre compte. Le résumé quotidien est activé tant que vous ne le désactivez pas sur /account/email/, et ne part que les jours où une pierre a correspondu depuis le précédent. Le courriel de nouveau message ne contient jamais le message. Il n’y a ni lettre d’information ni courriel publicitaire. Pourquoi : pour faire fonctionner le compte, les transactions et les alertes que vous avez demandés (un contrat avec vous ; votre consentement pour les alertes). Combien de temps : votre langue et votre réglage du résumé tant que le compte existe.

Alertes Price Check

Si vous demandez à être averti quand la réponse de Price Check pour une pierre change, nous conservons votre adresse électronique, votre langue, la pierre telle que vous l’avez décrite, numéro de rapport compris, et la trace de votre consentement : la version des mots que vous avez cochés, leur langue, une empreinte SHA-256 de leur texte exact et l’heure. Rien n’est envoyé tant que vous n’avez pas saisi le code à six chiffres que nous vous envoyons ; le code n’est conservé que sous forme d’empreinte et vaut quinze minutes.

Pour savoir quand la réponse a changé, nous conservons la dernière réponse qui vous a été donnée (son chiffre médian et sa note, ou l’absence de données suffisantes), la table de prix publiée à laquelle elle a été comparée en dernier, et la date de notre dernier courriel. Chaque alerte contient un lien de désinscription, et nous ne conservons qu’une empreinte de chaque lien. La désinscription arrête l’alerte définitivement : une nouvelle alerte demande un nouveau consentement. Nous n’envoyons jamais de fourchette pour une pierre dans laquelle Erebaur a un intérêt.

Pourquoi : votre consentement, que vous pouvez retirer à tout moment avec le lien. Combien de temps : une alerte jamais confirmée est supprimée trente jours après la demande. Après votre désinscription, l’alerte et la trace de votre consentement sont conservées trois ans, pour montrer ce que vous avez accepté et quand vous l’avez retiré, puis supprimées.

Messages entre acheteurs et vendeurs

Dès qu’une offre d’achat est faite sur une pierre, son acheteur et son vendeur peuvent s’écrire sur cette offre, puis sur la transaction si elle en devient une, tant que l’offre est ouverte ou que la transaction est en cours ; une fois la transaction conclue, remboursée ou annulée, ils ne peuvent plus que lire. Avant que l’autre partie lise un message, chaque adresse électronique, numéro de téléphone, lien, nom ou identifiant de messagerie et coordonnée bancaire qu’il contient est remplacé par une mention indiquant que des coordonnées ont été retirées. Chaque partie ne voit l’autre que comme l’acheteur ou le vendeur, jamais par son nom ou son adresse électronique. Un message compte au plus 2 000 caractères, et un compte peut envoyer au plus vingt messages en dix minutes.

Nous conservons chaque message deux fois : tel que l’autre partie le lit, et tel qu’il a été écrit, ce que seul notre personnel peut voir. Nous conservons aussi les types de coordonnées retirées, pour que l’auteur en soit informé, et l’heure d’envoi. Personne ne peut modifier un message une fois envoyé. Notre personnel peut lire toute conversation et y écrire au nom d’Erebaur, et peut masquer un message qui enfreint nos règles : les deux parties voient alors une mention à sa place, et le message est conservé avec la raison, qui l’a masqué et quand, dans un journal des actions du personnel qui n’est jamais modifié. Notre personnel ne lit les messages que pour traiter une fraude, un litige, un signalement d’abus ou un signalement du contrôle ; un modèle d’IA les lit pour notre personnel, et les traduit pour le lecteur qui le demande, comme le décrit « Traduction, recherche par description et signalements ». L’autre partie est avertie dans l’application, et par courriel, qu’un nouveau message l’attend, jamais de ce qu’il dit.

Pourquoi : pour permettre aux deux parties de se parler tout en les protégeant de la fraude et des transactions conclues hors du Marché (notre intérêt légitime, et un contrat avec vous). Combien de temps : les messages liés à une transaction aussi longtemps que les pièces de celle-ci ; les autres deux ans après le dernier message de la conversation.

Traduction, recherche par description et signalements

La traduction des messages est désactivée tant que vous ne l’activez pas, avec le bouton affiché sur chaque conversation ; elle vaut ensuite pour toutes vos conversations jusqu’à ce que vous la désactiviez. Tant qu’elle est active, les messages que vous ouvrez et que vous n’avez pas écrits sont envoyés à Anthropic, PBC, dont le modèle d’IA Claude les traduit dans la langue dans laquelle vous lisez le site. Un message est envoyé tel que vous le lisez, coordonnées déjà retirées et sans rien qui dise qui l’a écrit, et l’original reste sous sa traduction. Le modèle a pour consigne de ne jamais écrire de coordonnées, et notre serveur retire malgré tout celles qui apparaîtraient dans une traduction. Chaque traduction est conservée avec son message : un message n’est donc envoyé qu’une fois par langue, et la traduction est supprimée avec le message. Si l’autre partie active la traduction, les messages que vous lui écrivez sont envoyés à Anthropic de la même façon, pour être traduits à son intention.

Sur le Marché, vous pouvez décrire en une phrase, dans n’importe quelle langue, la pierre que vous cherchez au lieu de choisir vous-même les filtres. La phrase est envoyée à Anthropic, dont le modèle renvoie les filtres qu’elle demande ; vous les voyez et pouvez les modifier, et la recherche elle-même n’utilise pas l’IA. Nous ne conservons rien de la phrase : n’y mettez donc ni votre nom ni vos coordonnées. Turnstile contrôle le formulaire, et chaque adresse réseau peut envoyer un nombre limité de phrases par jour (voir « Adresses réseau »).

Pour notre personnel, le même modèle lit une fois chaque message qu’écrit un acheteur ou un vendeur, tel que l’autre partie le lit, avec au plus vingt messages précédents de la conversation pour le contexte. Dans ces messages, il relève une tentative de déplacer le contact ou le paiement hors d’Erebaur, ou une pierre dite d’une origine que nous refusons. Il lit aussi une fois chaque pierre proposée à la vente, après qu’elle a été proposée : ce que le vendeur a écrit sur l’annonce (la remarque, la couleur, le traitement et l’origine dans ses propres mots, la ville), le pays d’origine qu’il a choisi et le fichier du rapport de laboratoire qu’il a envoyé. Il y relève une origine que nous refusons, indiquée dans les mots du vendeur ou sur le rapport, et le nom de la personne qui a fait établir le rapport, laissé sur le fichier du rapport. Nos propres règles signalent aussi, aussitôt, un message dont elles ont retiré des coordonnées. Un signalement n’est qu’une indication : il ne bloque rien et ne décide de rien, notre personnel lit ce qu’il désigne et décide, et aucun acheteur ni vendeur ne le voit.

D’un signalement, nous conservons sa nature, le message ou la pierre qu’il concerne, la partie lue (le message, les mots du vendeur ou le fichier du rapport), si nos règles ou le modèle l’ont émis, les quelques mots qui le montrent, copiés du message ou des mots du vendeur et jamais du fichier du rapport, et sa date. Quand notre personnel l’examine, nous conservons qui l’a fait, quand, et sa note. Nous enregistrons aussi quand chaque message et chaque pierre ont été lus. Les signalements et ces enregistrements sont conservés aussi longtemps que le message ou la pierre qu’ils concernent, et supprimés avec eux.

Pour ces trois usages, Anthropic est notre sous-traitant aux mêmes conditions que pour la lecture d’un rapport (voir « Lire un rapport de laboratoire ») : elle ne peut pas entraîner ses modèles sur ce que nous lui envoyons, et le supprime dans les 30 jours, sauf si elle doit le garder plus longtemps. Pour chaque appel, nous enregistrons son usage, le modèle qui a répondu, la durée, la part du modèle utilisée, l’issue et le nombre d’éléments renvoyés ; jamais ce qui a été envoyé ou renvoyé, ni de qui il s’agissait. Votre réglage de traduction est conservé avec votre compte. Pourquoi : la traduction et la recherche par description parce que vous les demandez (un contrat avec vous, et notre intérêt légitime à ce que les deux parties d’une transaction se comprennent) ; le contrôle pour garder les transactions là où le séquestre protège les deux parties, pour tenir hors du Marché les pierres d’origines refusées et pour protéger les deux parties de la fraude (notre intérêt légitime).

Où sont conservées les données du Marché

Le Marché fonctionne sur Cloudflare, notre sous-traitant. Ses Workers exécutent le code du site et voient chaque requête, votre adresse IP comprise ; sa base de données D1 contient tout ce qui est décrit plus haut ; son stockage R2 contient les photographies, les rapports de laboratoire et les licences de négociant ; Turnstile contrôle les formulaires de connexion, d’alerte et de recherche par description ; il ne dépose aucun cookie, et Cloudflare n’utilise votre adresse IP, l’agent utilisateur de votre navigateur et une empreinte de la connexion que pour distinguer une personne d’un robot. Cloudflare conserve un journal de chaque requête aux pages du Marché, qui peut contenir votre adresse IP, pendant sept jours au plus, pour que nous puissions trouver erreurs et attaques. Cloudflare peut traiter ces données dans tout pays où il opère.

Resend remet nos courriels, Escrow.com gère le paiement des transactions, GitHub fait tourner la tâche du Fair Range, Didit effectue les vérifications d’identité et Anthropic lit les rapports de laboratoire et les recherches par description, traduit les messages et contrôle messages et pierres, comme décrit plus haut. Nous ne vendons pas les données du Marché et ne les donnons à personne d’autre, sauf si une loi ou un tribunal l’exige.

Une fois par jour, nous inscrivons sur Bitcoin, par les calendriers publics OpenTimestamps, une empreinte des enregistrements du Marché écrits ce jour-là : le dossier d’examen de chaque annonce, les contrats et leurs signatures, et chaque étape d’une transaction. Chaque enregistrement est d’abord haché avec une valeur aléatoire qui lui est propre, son sel : l’empreinte ne révèle donc rien et ne permet de remonter à personne ; les calendriers ne reçoivent que cette empreinte de 32 octets, et ce qui est inscrit sur Bitcoin ne peut pas être effacé. Nous conservons le hash de chaque enregistrement et son sel. Les sels ne vont qu’à notre personnel et, pour le contrat et les étapes d’une transaction, à ses deux parties. Quand un enregistrement est supprimé au terme de sa durée de conservation, son sel est supprimé avec lui, et le hash qui reste ne peut plus être rattaché à rien. Pourquoi : pour que chacun puisse vérifier que nos enregistrements n’ont pas été modifiés après coup (notre intérêt légitime, et celui de tous ceux qui s’y fient).

Proposer une pierre par le registre

Le formulaire de la page du registre par lequel vous proposez une pierre demande votre nom, votre adresse électronique, la pierre, une note et jusqu'à six photographies. Cloudflare Turnstile vérifie qu'une personne l'envoie, et chaque adresse réseau peut envoyer dix propositions par heure.

Les photographies sont conservées dans un espace de stockage Cloudflare R2 privé, sans ce que l'appareil y a inscrit, comme une position ou le modèle de l'appareil. Votre nom, votre adresse électronique, la pierre et votre note n'y sont pas conservés : ils nous parviennent dans un seul courriel, envoyé par Resend à info@erebaur.com, avec des liens qui ouvrent les photographies.

Pourquoi : pour examiner la pierre que vous proposez et vous répondre, comme vous l'avez demandé. Combien de temps : les photographies sont supprimées douze mois après leur envoi, ou plus tôt une fois notre décision prise sur votre pierre, et leurs liens cessent de fonctionner avec elles. Nous supprimons le courriel de notre messagerie dans les mêmes douze mois. Resend conserve sa copie du courriel, avec la trace de remise, trente jours. Si votre pierre est inscrite au registre, l'annonce reste publiée aussi longtemps qu'elle y figure.

Où vont vos données

Google et Cloudflare sont des sociétés américaines et Resend s'appuie sur une infrastructure américaine : une partie de ces données est donc traitée hors de Suisse et de l'Espace économique européen. Chacun s'appuie sur les décisions d'adéquation européenne et suisse relatives au cadre de protection des données UE-États-Unis et Suisse-États-Unis, ou sur les clauses contractuelles types lorsque celles-ci ne s'appliquent pas.

GitHub, qui fait tourner la tâche tenant le Fair Range à jour, est aussi une entreprise américaine et respecte les mêmes Data Privacy Frameworks. Escrow.com, également aux États-Unis, n’est pas notre sous-traitant mais un prestataire de paiement indépendant, et sa déclaration de confidentialité ne cite aucun cadre de transfert. Pour une transaction, nous lui transmettons ce dont il a besoin, parce que le paiement que vous avez demandé ne peut pas se faire autrement. Didit, qui effectue pour nous les vérifications d’identité, est en Espagne et conserve ce qu’il recueille dans l’Union européenne. Anthropic, dont le modèle d’IA lit les rapports de laboratoire et les recherches par description, traduit les messages et contrôle messages et pierres pour notre personnel, est aussi une entreprise américaine ; elle stocke les données aux États-Unis, et le transfert est couvert par les clauses contractuelles types de ses conditions de traitement des données.

Nous ne vendons pas vos données. Nous ne les avons jamais vendues. Aucun accord ne prévoit que quiconque nous paie pour elles.

Vos droits

En vertu de la loi fédérale suisse sur la protection des données, et du RGPD si vous êtes dans l'EEE ou au Royaume-Uni, vous pouvez demander ce que nous détenons sur vous, en obtenir une copie, le faire corriger, le faire effacer, vous opposer à son usage et retirer un consentement donné. Le retrait ne remet pas en cause ce qui était licite avant lui.

Vous pouvez fermer votre compte sur le Marché en nous écrivant. Nous supprimons alors ce que cette page dit que nous supprimons, et ne gardons que ce qu’une loi ou une transaction en cours exige, pendant les durées indiquées plus haut, sans l’utiliser à rien d’autre.

Écrivez à info@erebaur.com et nous répondrons dans les trente jours. C'est gratuit et nous ne vous demanderons pas de justifier votre demande.

Si notre réponse ne vous satisfait pas, vous pouvez saisir le Préposé fédéral suisse à la protection des données et à la transparence, ou l'autorité de contrôle de votre pays si celui-ci est dans l'EEE ou au Royaume-Uni.

Enfants

Ce site ne s’adresse pas aux enfants et nous ne collectons sciemment rien auprès d’eux. L’encyclopédie est ouverte à qui veut la lire ; le Marché s’adresse à des adultes.

Droit applicable et for

La présente politique est régie par le droit suisse, en particulier la loi fédérale sur la protection des données. Le for est à Fribourg, en Suisse. Si vous vous trouvez dans l’EEE ou au Royaume-Uni, cela ne vous prive pas de la protection des règles impératives de votre pays de résidence, ni de votre droit de saisir votre autorité de contrôle.

Modifications

Cette politique a été revue le 4 November 2026. En cas de changement important, nous l’indiquerons ici et modifierons la date. Nous ne la réécrivons pas en silence.