Politique de confidentialitéPolitique de confidentialité

La présente politique explique comment BlackFries traite les données à caractère personnel dans le cadre du site blackfries.ventures (le « Site »), de ses formulaires publics, de sa communauté et de son espace investisseurs.

Elle s’applique notamment aux visiteurs, candidats, fondateurs, experts, partenaires, investisseurs et investisseurs potentiels, personnes introduisant une réclamation, abonnés aux communications et utilisateurs autorisés du Site.

1. Responsable du traitement

À la date de la présente politique, BlackFries est en cours de constitution. Jusqu’à la constitution de la société, le responsable du traitement doit être la personne ou les personnes qui exploitent effectivement le Site et déterminent les finalités et les moyens des traitements :

Passage à arbitrer avant publication : À CONFIRMER AVANT PUBLICATION : David Francotte, Eileen Cols, ou les deux en qualité de responsables conjoints
Opérant sous le nom « BlackFries »
Adresse professionnelle : Passage à arbitrer avant publication : À COMPLÉTER
Bruxelles, Belgique

Contact général : hello@blackfries.ventures
Protection des données : privacy@blackfries.ventures
Réclamations relatives aux services : complaints@blackfries.ventures

Dès la constitution de BlackFries, cette section sera remplacée par la dénomination sociale, la forme juridique, le siège social, le numéro d’entreprise et, le cas échéant, le numéro de TVA de la société.

2. Principes appliqués

BlackFries traite les données de manière licite, loyale et transparente. Nous limitons les données à ce qui est nécessaire, en contrôlons l’accès et ne les conservons pas plus longtemps que ne l’exigent les finalités décrites ci-dessous, nos obligations légales ou la défense de nos droits.

Nous ne vendons pas et ne louons pas les données personnelles. Nous n’utilisons pas de traceurs publicitaires et n’activons pas les fonctions publicitaires de Google Analytics.

3. Données, finalités et bases juridiques

3.1 Consultation, fonctionnement et sécurité du Site

Lors d’une visite ou d’une utilisation du Site, nous pouvons traiter l’adresse IP, ou une empreinte non réversible de celle-ci, la date et l’heure, la ressource demandée, le type d’appareil, le navigateur, le système d’exploitation, la langue, l’URL de provenance, l’identifiant de requête, les événements d’authentification et les informations nécessaires à la détection d’erreurs ou d’abus.

Ces données servent à fournir le Site, sécuriser les comptes et documents, diagnostiquer les incidents, prévenir les attaques, limiter les tentatives abusives et établir une piste d’audit. Le traitement repose sur notre intérêt légitime à exploiter un service fiable et sécurisé et, lorsque la sécurité d’un service contractuel est concernée, sur l’exécution du contrat.

Les données utilisées exclusivement pour la limitation des abus sont automatiquement supprimées après 24 heures. Les cookies de session expirent selon les durées indiquées à la section 9. Les journaux de sécurité et d’audit suivent les durées de la section 7.

3.2 Formulaire de contact et échanges professionnels

Nous traitons votre nom, adresse e-mail, organisation, sujet, message, langue, la date de votre demande, une empreinte de l’adresse IP et les échanges ultérieurs.

Le traitement sert à répondre, organiser un échange, assurer le suivi de la demande et gérer la relation professionnelle. Il repose, selon le contexte, sur les mesures précontractuelles prises à votre demande ou sur notre intérêt légitime à répondre aux demandes et développer nos activités.

Lorsque le service CRM est activé, les seules données transmises au CRM sont le nom, l’adresse e-mail, l’organisation, le sujet, le message, la langue, la date et la référence interne du contact. Aucune donnée KYC, information d’investissement ou information relative à une entreprise confidentielle n’est transmise au CRM.

3.3 Candidatures CEO et autres collaborations

Pour examiner une candidature, nous pouvons traiter :

• les prénom, nom, e-mail, téléphone, lieu de résidence et langues ;
• le profil LinkedIn et les autres liens professionnels fournis ;
• le parcours, les compétences, les secteurs et marchés connus ;
• les expériences entrepreneuriales, motivations, réponses aux questions, disponibilité et date de démarrage envisagée ;
• le CV et les autres documents transmis ;
• les notes d’entretien, évaluations et échanges relatifs à la candidature.

Le traitement sert à examiner la candidature, vérifier l’adéquation avec une opportunité, organiser les entretiens et envisager un partenariat. Il repose principalement sur les mesures précontractuelles prises à votre demande. La conservation limitée d’informations nécessaires à la traçabilité du processus repose sur notre intérêt légitime à gérer nos sélections et défendre nos droits.

Le fait de confirmer avoir lu cette politique ne constitue pas la base juridique du traitement. Un consentement distinct et facultatif sera demandé si BlackFries souhaite conserver une candidature plus longtemps afin de proposer de futures opportunités.

Nous vous demandons de ne pas inclure dans votre CV ou vos réponses des données sensibles qui ne sont pas nécessaires, telles que des informations relatives à la santé, aux convictions, à l’origine, à la vie sexuelle ou à l’orientation sexuelle.

3.4 Présentation d’un projet ou d’une entreprise

Nous pouvons traiter l’identité et les coordonnées du fondateur, son profil LinkedIn, le nom et le site de l’entreprise, la composition de l’équipe, le problème traité, le marché, le produit, les clients, le stade, les preuves commerciales, le chiffre d’affaires, les financements levés, les besoins exprimés, les réponses au formulaire, le pitch deck et les échanges ou analyses ultérieurs.

Le traitement sert à analyser le projet et envisager un partenariat, un accompagnement ou un investissement. Il repose sur les mesures précontractuelles prises à votre demande et sur notre intérêt légitime à sélectionner et développer des projets cohérents avec les activités de BlackFries.

Si vous communiquez des données concernant des cofondateurs, collaborateurs, clients ou autres personnes, vous devez vous assurer que cette communication est nécessaire et que vous êtes autorisé à la réaliser.

3.5 Newsletter et communications

Lorsque vous vous inscrivez au « Carnet de bord », nous traitons votre adresse e-mail, la langue, la date et la source de l’inscription, la preuve du consentement ainsi que les informations nécessaires à la gestion de la désinscription.

L’envoi repose sur votre consentement. Vous pouvez le retirer à tout moment au moyen du lien de désinscription présent dans chaque message ou en écrivant à privacy@blackfries.ventures. Le retrait n’affecte pas la licéité des envois antérieurs.

Après désinscription, une information minimale peut être conservée dans une liste d’exclusion afin de respecter durablement votre choix.

3.6 Création et gestion d’un compte investisseur

Lorsque vous créez ou utilisez un compte dans l’espace investisseurs, nous pouvons traiter :

• vos prénom, nom, e-mail, téléphone, pays, langue, société, fonction et type d’investisseur ;
• les dates de vérification de l’e-mail et du téléphone ;
• un mot de passe conservé uniquement sous forme d’empreinte cryptographique salée ;
• les jetons de vérification et de réinitialisation, également conservés sous forme d’empreinte ;
• les tentatives de connexion, verrouillages, sessions, dates de dernière connexion et de dernière activité ;
• une empreinte non réversible de l’adresse IP, le navigateur et les événements de sécurité ;
• le statut du compte, les notes de pré-examen et la décision humaine d’admission, suspension ou archivage ;
• les versions et empreintes des conditions, politiques et autres textes acceptés.

Ces traitements servent à créer et sécuriser le compte, vérifier les coordonnées, gérer les accès et évaluer l’admission à l’espace privé. Ils reposent sur l’exécution de mesures précontractuelles, l’exécution du contrat, notre intérêt légitime à protéger l’espace privé et, pour certaines preuves, le respect d’obligations légales applicables.

La vérification du téléphone est réalisée par l’envoi d’un code à usage unique. BlackFries conserve le numéro, une empreinte du code, son échéance, le nombre de tentatives et, lorsqu’il existe, un identifiant du prestataire. Le code en clair n’est pas enregistré.

3.7 NDA, data room, opportunités et rapports

Lorsque vous accédez à une opportunité ou à une data room, nous pouvons enregistrer :

• l’invitation reçue, sa base, sa date, son ouverture, son acceptation, son expiration ou sa révocation ;
• la version exacte et l’empreinte de l’accord de confidentialité accepté, la date, l’empreinte de l’adresse IP et le navigateur ;
• les autorisations accordées ou révoquées pour les documents ;
• les téléchargements ou consultations nécessaires à la sécurité et à la preuve de l’accès ;
• les rapports mis à votre disposition et la date de leur première consultation.

Ces traitements servent à protéger les informations confidentielles, limiter les offres privées aux personnes autorisées, gérer les accès et démontrer ce qui a été présenté ou accepté. Ils reposent sur l’exécution du contrat, notre intérêt légitime à protéger les projets et, lorsque le cadre applicable l’exige, le respect d’obligations légales.

3.8 Manifestations d’intérêt et listes d’attente

Nous pouvons traiter le projet concerné, le montant indicatif, la devise, le message, la date, la version du texte d’avertissement accepté, l’historique des modifications, la décision interne, les motifs facultatifs de retrait ou de clôture et une inscription éventuelle sur une liste d’attente.

Ces informations servent à recueillir et gérer une manifestation d’intérêt non contraignante, vérifier la capacité indicative d’un tour et organiser les échanges. Le traitement repose sur les mesures précontractuelles, l’exécution du contrat, notre intérêt légitime à administrer les opportunités et, le cas échéant, le respect d’obligations légales.

Une manifestation d’intérêt ne constitue pas, à elle seule, une souscription, une réservation de titres ou un engagement d’investissement.

3.9 Questionnaire d’adéquation

Lorsque cette fonctionnalité est activée, nous traitons les réponses à un questionnaire versionné, le score, le score maximal, le résultat, l’avertissement présenté et son éventuelle confirmation, la date de complétion et la date d’expiration.

Ces données servent à apprécier les connaissances et la compréhension des risques, présenter les avertissements appropriés et respecter, le cas échéant, les obligations de protection des investisseurs. Le traitement repose sur le respect d’obligations légales lorsqu’elles s’appliquent et, à défaut, sur notre intérêt légitime à éviter de présenter une opportunité à une personne qui n’en comprend pas les caractéristiques et risques.

3.10 Vérification d’identité KYC/KYB

Cette fonctionnalité reste désactivée tant que les contrats, la base juridique, les durées de conservation et les validations nécessaires n’ont pas été formalisés.

Lorsqu’elle sera activée, la vérification sera réalisée au moyen de Sumsub ou d’un autre prestataire expressément identifié avant le début du contrôle. Selon que vous agissez à titre individuel ou pour une société, le prestataire pourra traiter :

• les nom, prénom, date et lieu de naissance, nationalité et adresse ;
• une pièce d’identité et un justificatif de domicile ;
• une photographie ou vidéo du visage et des données biométriques utilisées pour vérifier l’identité et le caractère vivant de la capture ;
• les documents de la société, représentants, pouvoirs et bénéficiaires effectifs ;
• les contrôles relatifs aux personnes politiquement exposées, sanctions et informations défavorables publiques ;
• les informations techniques nécessaires au contrôle.

BlackFries est conçue pour ne pas conserver les pièces d’identité, selfies, enregistrements de détection du vivant, modèles biométriques, données de paiement ni motifs détaillés d’un contrôle AML. Elle conserve uniquement les références du dossier, le prestataire, le workflow, les dates, le statut, l’échéance et une catégorie opérationnelle limitée du résultat.

Lorsque le contrôle est imposé par le droit applicable, le traitement repose sur le respect d’une obligation légale et, pour les catégories particulières de données, sur la base prévue par la législation applicable en matière de prévention du blanchiment et de protection de l’intérêt public. Le rôle exact du prestataire, ses propres bases juridiques et ses durées de conservation seront indiqués dans l’information présentée avant le contrôle.

Un résultat favorable du prestataire n’entraîne pas automatiquement votre admission. Celle-ci fait l’objet d’une décision séparée prise par une personne autorisée de BlackFries.

3.11 Souscription ou investissement

Si un parcours de souscription est activé, BlackFries pourra traiter le projet et l’opportunité concernés, le montant et la devise, le statut de la souscription, les statuts KYC, signature et paiement, les dates pertinentes, ainsi que les références attribuées par le prestataire d’investissement.

Les documents d’identité, données bancaires, données de carte, signatures brutes et informations détaillées relatives au paiement restent auprès du prestataire réglementé ; BlackFries ne les conserve pas dans sa base.

Le traitement sert à exécuter la souscription, suivre son état, respecter un éventuel délai de réflexion, tenir les preuves et satisfaire aux obligations légales et réglementaires. Il repose sur l’exécution du contrat et le respect d’obligations légales. Le prestataire d’investissement et son rôle seront identifiés avant toute souscription réelle.

3.12 Réclamations

Lorsque vous introduisez une réclamation, nous traitons vos nom, e-mail, téléphone facultatif, langue, catégorie, objet, description, référence éventuelle, l’empreinte de l’adresse IP, les délais applicables, les échanges, les mesures prises, les notes internes, la réponse et l’issue.

Ces données servent à enregistrer, instruire et résoudre la réclamation, communiquer avec vous et conserver la preuve de son traitement. Le traitement repose sur le respect d’obligations légales lorsqu’elles s’appliquent et sur notre intérêt légitime à traiter les réclamations et défendre nos droits.

3.13 Utilisateurs administratifs

Pour les personnes autorisées à gérer le Site, nous traitons les coordonnées professionnelles, identifiants, rôle, mot de passe sous forme d’empreinte, adresse de récupération, événements d’accès, sessions, empreinte de l’adresse IP et données nécessaires à l’authentification à deux facteurs. Le secret TOTP est chiffré et les codes de récupération sont uniquement conservés sous forme d’empreinte.

Ce traitement repose sur l’exécution de la relation contractuelle et notre intérêt légitime à protéger le Site, assurer la traçabilité et répartir les responsabilités.

3.14 Google Analytics

Avec votre consentement préalable, le Site utilise Google Analytics 4, fourni par Google Ireland Limited, pour produire des statistiques de fréquentation et améliorer le contenu et les performances.

Les données peuvent comprendre les pages consultées, événements d’interaction, durée approximative des sessions, type d’appareil et de navigateur, langue, zone géographique approximative et URL de provenance. L’adresse IP est traitée lors de la connexion afin de fournir le service et d’en déduire des informations techniques ou géographiques. La configuration du Site demande l’anonymisation de l’adresse IP et maintient les signaux publicitaires désactivés.

Google Analytics n’est chargé qu’après votre accord. Vous pouvez refuser sans perdre l’accès au Site et retirer votre consentement à tout moment depuis le module « Mesure d’audience » de cette page. Le retrait arrête les transmissions futures mais n’affecte pas la licéité des traitements antérieurs.

La conservation des données d’événements et d’utilisateurs doit être réglée dans Google Analytics sur Passage à arbitrer avant publication : À CONFIRMER : 2 mois ou 14 mois. Les statistiques réellement anonymes peuvent être conservées plus longtemps.

4. Origine des données

Les données proviennent principalement de vous, de votre utilisation du Site et des documents que vous transmettez. Elles peuvent également provenir :

• de sources professionnelles que vous rendez publiques, notamment LinkedIn ou le site de votre organisation ;
• d’un administrateur autorisé qui vous invite ou documente une décision ;
• d’un prestataire de vérification d’identité ou d’investissement ;
• de partenaires professionnels, conseils, notaires, comptables, banques ou autorités, lorsque cela est nécessaire et licite.

Lorsque des informations substantielles sont obtenues auprès d’une autre source et que vous ne disposez pas déjà de l’information requise, nous vous informerons conformément au RGPD.

5. Données obligatoires

Les champs signalés comme obligatoires sont nécessaires pour traiter la demande concernée. Leur absence peut empêcher BlackFries de répondre, examiner une candidature ou un projet, créer un compte, accorder un accès ou exécuter une démarche d’investissement.

L’inscription à la newsletter et l’acceptation de Google Analytics sont facultatives. Elles ne conditionnent ni l’accès au Site public ni l’examen d’une demande.

6. Destinataires et prestataires

Dans la limite de leurs missions et de leur besoin d’en connaître, les données peuvent être accessibles :

• à David Francotte, Eileen Cols et aux membres autorisés de l’équipe BlackFries ;
• aux personnes autorisées à examiner une candidature, un projet, une demande, une réclamation ou une opportunité, sous une obligation appropriée de confidentialité ;
• à Vercel, pour l’hébergement et la diffusion du Site ;
• à Neon ou au fournisseur PostgreSQL effectivement configuré, pour la base de données et le stockage privé des fichiers ;
• à Resend, lorsque ce service est activé, pour les e-mails transactionnels et de vérification ;
• à Twilio, lorsque ce service est activé, pour les codes de vérification par SMS ;
• à HubSpot, uniquement si la connexion CRM est activée, pour les données limitées du formulaire de contact ;
• à Sumsub, uniquement si la vérification KYC/KYB est légalement validée et activée ;
• à Google Ireland Limited, uniquement après consentement, pour Google Analytics ;
• au prestataire d’investissement identifié avant toute souscription réelle ;
• aux prestataires de stockage externe, sauvegarde, sécurité ou supervision qui seraient ultérieurement validés ;
• aux avocats, comptables, auditeurs, notaires, banques, prestataires d’investissement et autres conseils nécessaires ;
• aux autorités, juridictions ou organismes de contrôle lorsque la loi l’exige ou lorsque cela est nécessaire à la défense de droits.

Lorsque ces destinataires agissent pour notre compte, ils sont encadrés par un contrat de sous-traitance. Certains prestataires peuvent également agir comme responsables indépendants pour leurs propres obligations légales ; ils doivent alors vous fournir leur propre information.

7. Durées de conservation

Les durées suivantes s’appliquent sous réserve d’une obligation légale plus longue, d’un litige ou de la nécessité d’établir, exercer ou défendre un droit :

À l’expiration d’une durée, les données sont supprimées ou anonymisées. Lorsqu’une personne demande l’effacement de son compte investisseur, BlackFries neutralise les données directement identifiantes, supprime les identifiants de connexion, jetons et sessions, et révoque les accès. Les preuves qui doivent être conservées — par exemple l’acceptation d’un NDA, une invitation, une manifestation d’intérêt ou un avertissement — peuvent subsister sous un identifiant devenu non attribuable.

Les sauvegardes ne sont pas réécrites à chaque suppression. La suppression est répercutée lorsque la sauvegarde concernée arrive à expiration ; une sauvegarde restaurée doit faire l’objet d’une nouvelle application des demandes d’effacement intervenues depuis sa création.

8. Transferts hors de l’Espace économique européen

BlackFries privilégie les régions d’hébergement situées dans l’Espace économique européen (« EEE »). Le déploiement prévoit notamment une base PostgreSQL hébergée dans une région européenne et, si Sumsub est activé, un hébergement européen lorsque cette option est disponible.

Certains prestataires internationaux, notamment Google, Vercel, Resend, Twilio, HubSpot ou Sumsub, peuvent néanmoins rendre des données accessibles depuis des pays hors de l’EEE. Dans ce cas, le transfert doit reposer sur une décision d’adéquation de la Commission européenne — y compris, lorsque les conditions sont remplies, le cadre UE–États-Unis de protection des données — ou sur les clauses contractuelles types de la Commission européenne, complétées si nécessaire par des mesures supplémentaires.

Vous pouvez demander des informations sur les garanties applicables à privacy@blackfries.ventures.

9. Cookies et technologies similaires

Refuser Google Analytics n’empêche pas l’utilisation du Site. Les cookies de compte sont indispensables à la connexion ; leur blocage empêche l’utilisation de l’espace concerné.

10. Décisions automatisées et profilage

BlackFries n’utilise pas de décision exclusivement automatisée produisant des effets juridiques ou affectant une personne de manière similaire et significative.

Un questionnaire d’adéquation peut calculer automatiquement un score et un prestataire KYC peut produire un statut. Ces résultats servent à informer ou assister l’examen. L’admission d’un investisseur et les décisions importantes sont prises séparément par une personne autorisée. Si une décision exclusivement automatisée devait être introduite, une information spécifique serait fournie avant son utilisation.

11. Sécurité

BlackFries met en œuvre des mesures adaptées aux risques, notamment :

• connexions chiffrées ;
• contrôle d’accès par rôle et principe du besoin d’en connaître ;
• sessions séparées pour investisseurs et administrateurs ;
• mots de passe, jetons et codes conservés uniquement sous forme d’empreinte cryptographique ;
• authentification à deux facteurs pour les fonctions administratives sensibles ;
• limitation des tentatives et détection des abus ;
• stockage privé des CV, decks et documents de data room, sans URL publique ;
• journalisation des opérations sensibles et double validation pour certaines actions ;
• minimisation des données reçues des prestataires KYC et d’investissement ;
• sauvegardes et procédures de restauration.

Aucun système n’offre une sécurité absolue. En cas de violation susceptible d’engendrer un risque pour vos droits et libertés, nous respecterons les obligations de notification applicables et vous informerons lorsque la loi l’exige.

12. Vos droits

Dans les conditions prévues par le RGPD, vous pouvez :

• accéder à vos données et en obtenir une copie ;
• faire rectifier les données inexactes ou incomplètes ;
• demander leur effacement ;
• demander la limitation du traitement ;
• vous opposer, pour des raisons tenant à votre situation, à un traitement fondé sur notre intérêt légitime ;
• recevoir les données que vous avez fournies dans un format structuré, couramment utilisé et lisible par machine, ou demander leur transmission à un autre responsable lorsque la portabilité s’applique ;
• retirer un consentement à tout moment, sans effet rétroactif ;
• demander une intervention humaine lorsqu’une décision automatisée relevant de l’article 22 du RGPD serait utilisée.

Certains droits ne sont pas absolus. Une demande d’effacement ne peut, par exemple, imposer la suppression d’une preuve que BlackFries doit légalement conserver. Dans ce cas, les données non nécessaires sont supprimées ou anonymisées et le reliquat est limité à la finalité de conservation obligatoire.

Adressez votre demande à privacy@blackfries.ventures. Nous pouvons demander les informations raisonnablement nécessaires pour vérifier votre identité. Nous répondons en principe dans un délai d’un mois, prolongeable de deux mois lorsque la demande est complexe ou nombreuse ; nous vous informerons de cette prolongation dans le premier mois.

Vous pouvez introduire une réclamation auprès de :

Autorité de protection des données
Rue de la Presse 35
1000 Bruxelles — Belgique
www.autoriteprotectiondonnees.be

Vous pouvez également saisir l’autorité de contrôle de votre résidence habituelle, de votre lieu de travail ou du lieu de la violation alléguée.

13. Liens vers des tiers

Le Site peut contenir des liens vers des services tiers, notamment LinkedIn. Lorsque vous les suivez, ces tiers traitent vos données selon leurs propres politiques. BlackFries n’est pas responsable des traitements réalisés de manière indépendante par ces services.

14. Mineurs

Le Site et l’espace investisseurs s’adressent à des professionnels majeurs. Ils ne sont pas destinés aux enfants et BlackFries ne collecte pas sciemment leurs données.

15. Modifications

Cette politique peut être modifiée pour refléter une évolution des activités, du Site, des prestataires ou du droit applicable. La date de mise à jour figure en tête. En cas de changement important, une information appropriée sera publiée sur le Site ou envoyée aux personnes concernées. Lorsqu’un texte accepté dans l’espace investisseurs change de manière substantielle, une nouvelle acceptation peut être demandée.