Transparence, confidentialité et sécurité juridique.
Politique de Confidentialité DealPiloot (Verne AI)
Version 4.3 • 1er septembre 2026 • Conforme au RGPD & à l'EU AI Act1. Identité et coordonnées du responsable du traitement
La présente Déclaration de Confidentialité s'applique à tous les traitements de données à caractère personnel effectués par Verne AI, établie à Utrecht, exploitant le produit et le nom commercial DealPiloot (immatriculation au registre du commerce sur demande) (ci-après : "DealPiloot", "Verne AI", "nous").
Pour toute question relative à la protection des données et à l'exercice de vos droits, vous pouvez contacter directement notre Délégué à la Protection des Données (DPO) à l'adresse privacy@dealpiloot.nl.
2. Portée & répartition des rôles juridiques (RGPD art. 4, paragraphes 7 et 8)
Conformément au Règlement Général sur la Protection des Données (RGPD), DealPiloot distingue deux situations de traitement distinctes :
a) DealPiloot en tant que Responsable du Traitement : Nous déterminons de manière indépendante les finalités et les moyens du traitement des données personnelles de nos visiteurs de site web, prospects, contacts professionnels au sein des cabinets de conseil partenaires, ainsi que pour la facturation et la gestion des comptes.
b) DealPiloot en tant que Sous-traitant : Concernant l'ensemble des données de dossiers, états financiers, transactions bancaires, données d'immatriculation et données personnelles de tiers (clients finaux / entrepreneurs) saisies dans l'application par ou pour le compte du cabinet de conseil, ce dernier agit en tant que Responsable du Traitement et DealPiloot uniquement en tant que Sous-traitant conformément à l'article 28 du RGPD. Notre Accord de Sous-traitance des Données (DPA) s'applique intégralement.
3. Catégories de données personnelles traitées
Nous traitons exclusivement les données strictement nécessaires au fonctionnement du service SaaS et à la constitution des dossiers administratifs :
• Données des conseillers et utilisateurs : Nom, adresse e-mail professionnelle, téléphone professionnel, nom du cabinet, numéro d'immatriculation, adresse IP, journaux de connexion et privilèges d'accès.
• Données des dossiers financiers (en sous-traitance) : Raison sociale de l'entreprise demandeuse, états financiers, bilans, comptes de résultat, flux de trésorerie anonymisés, montants indicatifs, garanties et notes d'entretiens.
• Données vocales (DealPiloot Light) : Enregistrements audio bruts des entretiens de cadrage et transcriptions textuelles préliminaires.
4. Finalités du traitement et bases légales (RGPD art. 6, paragraphe 1)
Tout traitement repose sur une base juridique statutaire explicite selon l'article 6, paragraphe 1 du RGPD :
• Exécution du contrat (lettre b) : Fourniture de l'accès au portail, transcription vocale (Light), génération de dossiers de crédit (CreditPack) et support technique.
• Obligation légale (lettre c) : Tenue d'une comptabilité rigoureuse et respect de l'obligation fiscale néerlandaise de conservation de 7 ans (art. 52 loi fiscale AWR).
• Intérêts légitimes (lettre f) : Sécurité des réseaux et systèmes, détection des intrusions, prévention des fraudes, isolation des locataires et supervision opérationnelle.
• Consentement (lettre a) : Exclusivement pour les cookies analytiques optionnels gérés via notre gestionnaire de consentement.
5. Données vocales & garantie stricte de zéro entraînement de modèles d'IA
Notre gestion des données vocales et financières repose sur le principe de privacy-by-design :
• Purge cryptographique audio : Les enregistrements vocaux sont utilisés exclusivement pour la transcription immédiate en texte. Au plus tard 24 heures après la transcription, le fichier audio brut est supprimé de manière permanente et irréversible de nos serveurs.
• Zéro entraînement de modèles : Aucun enregistrement vocal, transcription, document financier ou donnée client n'est jamais utilisé pour entraîner, affiner ou évaluer des modèles d'IA tiers, publics ou commerciaux. Nos contrats d'infrastructure garantissent contractuellement et techniquement une rétention de données nulle à des fins d'entraînement.
6. Interdiction stricte des numéros d'identification nationaux (BSN) & masquage automatique
En vertu de l'article 46 de la loi néerlandaise d'exécution du RGPD (UAVG), un numéro d'identification prescrit par la loi, tel que le numéro de service citoyen (BSN), ne peut être utilisé que pour l'exécution de la loi concernée ou à des fins déterminées par la loi. DealPiloot fournit des outils SaaS administratifs et ne dispose d'aucune habilitation légale pour traiter les BSN.
Obligation stricte des conseillers : Il est formellement interdit aux utilisateurs de saisir ou télécharger des BSN non masqués dans DealPiloot. À titre de protection défensive, DealPiloot applique une détection heuristique automatique pour biffer immédiatement tout numéro d'identification national soumis par erreur. DealPiloot décline toute responsabilité en cas de violation de cette interdiction par l'utilisateur.
7. Durées de conservation & politique d'effacement
Nous ne conservons jamais les données personnelles plus longtemps que nécessaire pour les finalités prévues :
• Audio vocal brut : 24 heures maximum après transcription (suppression automatisée).
• Dossiers de crédit et calculs : Pendant la durée du contrat de souscription actif avec le cabinet, augmentée d'un délai d'exportation de 30 jours suite à la résiliation.
• Données de facturation : 7 ans conformément aux obligations fiscales légales.
• Journaux de sécurité et sessions : 90 jours à 12 mois maximum, suivis d'une rotation automatisée.
8. Sous-traitants ultérieurs & résidence stricte des données dans l'EEE
Tous nos serveurs applicatifs, bases de données de production et sauvegardes sont physiquement situés au sein de l'Espace Économique Européen (EEE), spécifiquement dans des centres de données de niveau Tier-3 à Amsterdam (Pays-Bas) et Francfort (Allemagne). Ces infrastructures disposent de certifications ISO 27001, ISO 27017, ISO 27018 et SOC 2 Type II.
Aucun transfert n'a lieu vers des pays tiers hors EEE sans garanties appropriées au titre du Chapitre V du RGPD (telles que les Clauses Contractuelles Types de l'UE et le cadre de protection des données UE-États-Unis).
9. Absence de décision automatisée & profilage (RGPD art. 22 & EU AI Act)
DealPiloot n'utilise aucun processus de décision automatisée ni de profilage produisant des effets juridiques au sens de l'article 22 du RGPD. Le logiciel n'octroie ni ne refuse de crédit de manière autonome.
DealPiloot opère selon une architecture Human-in-the-Loop conforme à l'EU AI Act : le logiciel génère uniquement des modèles de calcul indicatifs (tels que DSCR, normalisations d'EBITDA) et des synthèses textuelles pour assister les professionnels. Le conseiller humain et l'analyste crédit du financeur demeurent à 100% responsables de la vérification et de la décision finale d'octroi.
10. Droits des personnes concernées (RGPD Chapitre III)
En tant que personne concernée, vous bénéficiez des droits statutaires suivants :
• Droit d'accès (art. 15) : Obtenir confirmation du traitement de vos données.
• Droit de rectification (art. 16) : Corriger des données inexactes ou incomplètes.
• Droit à l'effacement (art. 17) : Demander la suppression de vos données.
• Droit à la limitation du traitement (art. 18) : Bloquer temporairement le traitement.
• Droit à la portabilité (art. 20) : Recevoir vos données dans un format structuré et lisible par machine.
• Droit d'opposition (art. 21) : Vous opposer à un traitement fondé sur un intérêt légitime.
Les demandes peuvent être introduites via le guichet DSR ci-dessous ou par e-mail à privacy@dealpiloot.nl. Nous accusons réception sous 48 heures et répondons dans le délai légal d'un mois.
11. Mesures de sécurité techniques et organisationnelles (RGPD art. 32)
DealPiloot applique des normes de sécurité bancaire pour prévenir toute violation de données :
• Chiffrement en transit via TLS 1.3 avec Perfect Forward Secrecy ;
• Chiffrement au repos (at-rest) selon la norme AES-256 sur l'ensemble des bases et supports ;
• Isolation logique des locataires avec cloisonnement cryptographique par cabinet ;
• Authentification multifacteur (MFA / TOTP) obligatoire pour tout accès administrateur ;
• Analyse continue des vulnérabilités et traçabilité immuable des journaux d'audit.
12. Droit de réclamation auprès de l'autorité de contrôle & droit applicable
Si vous estimez que DealPiloot traite vos données de manière non conforme, vous avez le droit d'introduire une réclamation auprès de l'autorité compétente : Autoriteit Persoonsgegevens (AP), Postbus 93374, 2509 AJ La Haye, Pays-Bas (autoriteitpersoonsgegevens.nl).
La présente Déclaration de Confidentialité est exclusivement régie par le droit néerlandais. Tout litige relève de la compétence exclusive du tribunal d'arrondissement de Midden-Nederland (siège à Utrecht).
Guichet DSR RGPD : Exercice des droits des personnes concernées
Vous êtes conseiller ou personne concernée et vos données ont été traitées dans DealPiloot ? Soumettez votre demande directement à notre DPO :
⚖️ Le droit néerlandais prévaut en tout temps. En cas de divergence d'interprétation entre les versions linguistiques, le texte source néerlandais est juridiquement contraignant.