Juridique

Politique de confidentialité

En vigueur le 13 mai 2026

Dernière mise à jour : 10 octobre 2026

DueVestor est une plateforme autonome de due diligence opérée depuis Israël. Cette politique explique quelles informations nous collectons sur les utilisateurs de notre SaaS, pourquoi nous les collectons, combien de temps nous les conservons, et les droits dont vous disposez en vertu du RGPD (UE/Royaume-Uni), du CCPA (Californie) et de la loi israélienne sur la protection de la vie privée. Pour exercer l'un de ces droits, écrivez à [email protected] ou utilisez les fonctionnalités d'export de données et de suppression de compte disponibles dans l'application.

1. Ce que nous collectons

Compte : nom, adresse e-mail, identifiant OAuth, numéro de téléphone facultatif. Utilisation : pages consultées, fonctionnalités utilisées, identifiant de session anonyme via le cookie `dv_sid` (uniquement avec votre consentement). Facturation : identifiants de capture PayPal et montants des transactions (nous n'avons jamais accès à vos coordonnées bancaires). Données des sujets : les personnes ou entreprises que vous choisissez de rechercher — stockées dans votre compte et jamais partagées. Personnes recherchées dans un dossier d'un client : l'organisation propriétaire du dossier décide de ces données, et nous les traitons pour son compte. Si l'organisation applique un gel juridique à un dossier, elle conserve les données de ce dossier sur sa propre base juridique (par exemple l'art. 17(3)(e) du RGPD, droits en justice) jusqu'à ce que le gel soit levé à sa demande. Une demande d'effacement relative à ces données qui nous parvient est transmise à cette organisation, et nous l'assistons. Documents de dossier : les fichiers que les membres d'une organisation ajoutent à un dossier, et le texte que nous en lisons, qui est enregistré avec le document. L'organisation à laquelle appartient le dossier décide à leur sujet, et nous les traitons pour son compte. Journal d'audit : un journal côté serveur des actions sensibles du compte, conservé pendant deux ans. Si vous appartenez à une organisation où le journal d’activité est activé, ses administrateurs et propriétaires peuvent voir un journal des actions des membres sur les dossiers de l’organisation : qui a ouvert, exporté ou supprimé un dossier, ou placé un dossier sous gel juridique ou demandé sa levée, et quand. Le journal n’affiche ni adresses réseau ni appareils. E-mails de statut : si vous vous abonnez sur notre page de statut, nous conservons votre adresse e-mail et votre langue uniquement pour envoyer un lien de confirmation, puis des avis lorsque nous ouvrons ou résolvons un incident, ainsi que, pour la protection contre les abus, une trace pseudonymisée de l'adresse réseau de la demande pendant une heure au plus ; une adresse non confirmée sous 48 heures est supprimée, et la désinscription (un lien dans chaque e-mail) la supprime immédiatement.

2. Comment nous les utilisons

Pour faire fonctionner le service auquel vous avez souscrit, vous facturer, améliorer le produit (analyses agrégées uniquement) et respecter nos obligations légales. Nous ne vendons PAS vos données, nous n'utilisons PAS vos données de sujets pour entraîner un modèle, et nous ne faisons PAS de publicité comportementale intersites.

3. Avec qui nous les partageons

Sous-traitants ultérieurs uniquement : PayPal (paiements), Google Cloud (Vertex AI, EU Multi-Region) et Amazon Web Services (Bedrock, eu-central-1) pour l’inférence LLM lors de la rédaction des rapports, Anthropic (solution de repli uniquement et, pour les rapports, seulement avec votre consentement explicite — voir 3A ; les données du sujet sont envoyées dans le cadre de leur contrat de non-entraînement), Cloudflare (CDN, DNS, WAF et stockage de fichiers), RunPod (hébergement de l’application et de la base de données), Resend (e-mail), Twilio (vérification téléphonique) et GitHub (hébergement de code ; aucune donnée utilisateur n’y circule). La liste actuelle est disponible sur /sub-processors. Nous vous informerons 30 jours avant l’ajout d’un sous-traitant ultérieur traitant des données personnelles de l’UE.

3A. Traitement par IA, serveurs européens et votre consentement

La rédaction des rapports s’exécute sur de grands modèles de langage hébergés dans l’Union européenne : d’abord Google Cloud Vertex AI (EU Multi-Region), puis Amazon Web Services Bedrock (eu-central-1, Francfort). Dans de rares cas, les deux sont indisponibles en même temps. Nous ne basculons jamais un rapport vers des serveurs américains de notre propre initiative. À la place, le rapport est mis en pause, nous vous envoyons un e-mail, et la page du rapport vous demande de choisir : réessayer plus tard sur les serveurs européens, ou consentir explicitement à ce que ce rapport soit traité via Anthropic sur des serveurs situés aux États-Unis, où le fournisseur conserve vos données pendant 30 jours. Votre consentement est enregistré, avec l’heure et votre compte, avant l’envoi de toute donnée vers ces serveurs. Si vous ne décidez pas dans un délai de 7 jours, le rapport est conservé dans votre compte comme « en attente des serveurs européens » — il n’est pas marqué comme échoué et vous n’êtes pas débité à nouveau. Ce consentement s’applique au traitement des rapports. Le chat du rapport, les états financiers téléversés et les assistants d’aide et de vente demandent tous leur propre consentement de la même manière. Les documents de dossier et le texte que nous en lisons ne sont envoyés à aucun fournisseur d'IA.

4. Durée de conservation

Données du compte : jusqu'à la suppression de votre compte. Rapports : indéfiniment tant que le projet est actif, supprimés en même temps que celui-ci. Journal d'audit : 2 ans (conservation légale). Sauvegardes : les sauvegardes quotidiennes sont conservées 14 jours et les sauvegardes hebdomadaires 8 semaines. Lorsque vous exercez votre droit à l'effacement, nous procédons immédiatement à une suppression logicielle et à une suppression définitive après une période de grâce de 30 jours, vous permettant d'annuler la décision en écrivant à [email protected]. Documents de dossier : jusqu'à ce que le membre qui a ajouté un document, ou un administrateur de l'organisation, le supprime tant que le dossier est ouvert et ne fait pas l'objet d'un gel juridique, ou jusqu'à la suppression du dossier ou de l'organisation. Lorsqu'un document est supprimé, nous envoyons immédiatement la suppression du fichier à notre stockage de fichiers ; nos sauvegardes de base de données ne contiennent pas le fichier. Le texte que nous en avons lu est supprimé de notre base de données active au même moment, mais il reste dans nos sauvegardes chiffrées de la base de données jusqu'à leur expiration (sauvegardes quotidiennes 14 jours, sauvegardes hebdomadaires jusqu'à 8 semaines). Un dossier sous gel juridique conserve ses documents jusqu'à la levée du gel.

5. Vos droits

RGPD/Royaume-Uni : accès, rectification, effacement, limitation, portabilité, opposition. CCPA : droit de savoir, de supprimer, de refuser la vente (nous ne vendons pas). Loi israélienne PPL : accès et correction. Deux de ces droits sont en libre-service : GET /api/v1/me/export renvoie un instantané JSON de vos données ; DELETE /api/v1/me/erase démarre la procédure d'effacement. Pour toute autre demande, écrivez à [email protected] — nous répondons dans un délai de 30 jours.

6. Cookies

Essentiels : `authjs.session-token` (session connectée), `dv_ref` (attribution d'affiliation, le cas échéant). Analytiques (opt-in) : `dv_sid` identifiant de session anonyme — uniquement défini lorsque vous acceptez via la bannière. Nous respectons Do-Not-Track et Sec-GPC ; si l'un ou l'autre de ces en-têtes est présent, nous désactivons les analytiques quelle que soit l'état de la bannière.

7. Contact

Demandes relatives à la vie privée/DPO : [email protected]. Signalements de failles de sécurité : [email protected]. Support général : [email protected].