Politique de confidentialité

Cette politique décrit comment FOUNDY collecte, utilise et protège vos données personnelles conformément au Règlement Général sur la Protection des Données (RGPD UE 2016/679) et à la loi Informatique et Libertés du 6 janvier 1978 modifiée.

1. Responsable du traitement

Le responsable du traitement est Arthur DRUMAIN (entreprise individuelle exploitée sous la marque FOUNDY), courtier en opérations de banque immatriculé à l'ORIAS sous le n° 20004929, RCS Douai 850 274 135, 191 Rue Saint-Julien, 59500 Douai.

Contact DPO / délégué : dpo@foundy.fr

2. Données collectées

A Simulateur de financement

• Identité : prénom, nom, âge, situation familiale, nombre d'enfants
• Coordonnées : email, téléphone
• Situation professionnelle : statut (salarié, retraité, TNS…), employeur éventuel
• Situation financière : revenus nets mensuels, autres revenus, mensualités en cours
• Crédits en cours : type, capital restant dû, mensualité, organisme
• Incidents bancaires : fichage FICP / FCC, impayés
• Situation immobilière : statut (propriétaire, locataire…), valeur du bien, DPE
• Projet : montant souhaité, durée, trésorerie complémentaire

B Espace client

L'espace client (accessible sur foundy.fr/espace) permet à tout demandeur de suivre son dossier et de transmettre des pièces justificatives. Les données collectées via cet espace sont :

• Authentification : adresse email (lien magique sans mot de passe)
• Message conseiller : texte libre décrivant la situation, les questions et contraintes du demandeur
• Pièces justificatives uploadées (au choix selon le dossier) :
  • CNI française ou passeport (recto/verso)
  • RIB du compte de domiciliation
  • Relevés bancaires (3 derniers mois)
  • Justificatifs de virements exceptionnels
  • Factures de téléphone ou Internet, factures EDF
  • Taxe d'habitation et taxe foncière
  • Attestation MRH (assurance habitation)
  • Titre de propriété, estimation valeur vénale
  • Tableaux d'amortissement des crédits en cours
  • Décomptes de remboursement anticipé
  • Relevés de comptes revolving
• Métadonnées de dépôt : horodatage, nom de fichier sanitisé, chemin de stockage

Les documents transmis sont stockés dans un espace de stockage chiffré (Supabase Storage, hébergement EU) et ne sont accessibles qu'aux conseillers FOUNDY habilités.

C Espace partenaire (apporteurs d'affaires)

• Identité professionnelle : raison sociale, SIRET, nom du représentant
• Coordonnées professionnelles : email, téléphone
• Données des dossiers soumis : informations clients transmises par l'apporteur
• Données de commission : montants, statut des dossiers
• Produits autorisés : types de financement que l'apporteur est habilité à soumettre

D Données techniques

• Adresse IP, logs de connexion (durée limitée à 12 mois)
• Données de navigation agrégées via Google Analytics 4 et Microsoft Clarity (avec votre consentement)
• Cookies de session d'authentification pour les espaces client et partenaire (sb-* Supabase)
• Données du formulaire de simulation conservées localement dans le navigateur (localStorage) pendant la saisie

3. Finalités du traitement

Vos données sont utilisées pour :

• Calculer votre éligibilité aux offres de nos partenaires bancaires
• Vous adresser un récapitulatif personnalisé par email
• Vous mettre en relation avec un courtier FOUNDY pour finaliser votre dossier
• Vous permettre de suivre l'avancement de votre dossier via l'espace client
• Réceptionner et traiter les pièces justificatives que vous transmettez
• Permettre à votre conseiller de prendre en compte vos messages et contraintes particulières
• Gérer les accès à l'espace partenaire et suivre les dossiers soumis
• Mesurer l'audience du site de façon anonymisée (Google Analytics 4 et Microsoft Clarity, avec consentement)
• Détecter et corriger les erreurs techniques du service
• Respecter nos obligations légales et réglementaires (ACPR, LCB-FT)

4. Base légale

• Votre consentement (article 6.1.a RGPD) coché lors de la soumission du formulaire ou lors de l'acceptation des cookies analytics
• L'exécution de mesures précontractuelles à votre demande (article 6.1.b RGPD) notamment pour l'espace client et la transmission de pièces
• Le respect d'obligations légales applicables au courtage bancaire (article 6.1.c RGPD)
• L'intérêt légitime de FOUNDY à améliorer son service (article 6.1.f RGPD analytics anonymisés)

5. Destinataires des données

Vos données peuvent être transmises, avec votre accord préalable, à :

• Les partenaires bancaires dont vous souhaitez étudier les offres : CFCAL, SYGMA / Creditlift, My Money Bank, CGI Finance / Creatis, La Banque Postale Finance, Younited Credit, AXA Banque, Sofinco, Crédit Municipal de Toulouse, et autres partenaires agréés
• Nos prestataires techniques (sous-traitants au sens du RGPD) :
  • Supabase Inc. (base de données, authentification, stockage de fichiers hébergement EU)
  • Vercel Inc. (hébergement et déploiement du site USA, transfert encadré par clauses contractuelles types)
  • Resend Inc. (emails transactionnels USA, encadré par DPA)
  • Google LLC (Google Analytics 4 mesure d'audience anonymisée, avec votre consentement)
  • Microsoft Corporation (Microsoft Clarity heatmaps et enregistrements de session anonymisés, avec votre consentement)
• Les autorités compétentes si la loi l'exige (ACPR, autorités judiciaires)

Vos données ne sont jamais vendues, louées ni cédées à des fins commerciales à des tiers. Les documents transmis via l'espace client ne sont communiqués à aucun partenaire bancaire sans votre accord explicite, matérialisé par la signature d'un mandat de recherche.

6. Durée de conservation

• Prospects (simulation non aboutie) : 3 ans à compter du dernier contact
• Clients (dossier instruit) : 5 ans après la fin de la relation commerciale
• Pièces justificatives transmises via l'espace client : durée de traitement du dossier + 5 ans (obligations LCB-FT)
• Messages envoyés au conseiller : durée de traitement du dossier + 5 ans
• Partenaires apporteurs : durée de la convention + 5 ans
• Obligations LCB-FT : 5 ans (documents d'identité, justificatifs)
• Obligations comptables : 10 ans
• Logs techniques : 12 mois
• Données analytics (Google Analytics) : 14 mois (paramétrage FOUNDY)
• Données de session localStorage (simulateur) : 7 jours ou suppression manuelle par l'utilisateur

7. Vos droits

Conformément au RGPD, vous disposez à tout moment des droits suivants :

• Droit d'accès à vos données (article 15 RGPD)
• Droit de rectification en cas d'inexactitude (article 16)
• Droit à l'effacement « droit à l'oubli » (article 17)
• Droit d'opposition au traitement (article 21)
• Droit à la limitation du traitement (article 18)
• Droit à la portabilité de vos données (article 20)
• Droit de retirer votre consentement à tout moment, sans affecter la licéité du traitement antérieur
• Droit de définir des directives post-mortem

Pour exercer ces droits, contactez-nous à dpo@foundy.fr en joignant un justificatif d'identité. Nous répondons sous 1 mois maximum (délai pouvant être prolongé à 3 mois en cas de demande complexe, avec notification).

En cas de réponse insatisfaisante, vous pouvez introduire une réclamation auprès de la CNIL : www.cnil.fr ou par courrier : CNIL, 3 Place de Fontenoy TSA 80715 75334 Paris Cedex 07.

8. Sécurité

FOUNDY met en œuvre des mesures techniques et organisationnelles appropriées :

• Chiffrement HTTPS / TLS en transit
• Chiffrement des données au repos (Supabase)
• Chiffrement des fichiers stockés dans Supabase Storage
• Hébergement en Europe (Supabase EU)
• Accès restreint et authentification forte (magic link sans mot de passe) pour les espaces client et partenaire
• URLs de téléchargement de documents signées et à durée limitée (1 heure)
• Contrôle d'appartenance des dossiers à chaque requête d'upload ou de modification
• Journaux d'accès et alertes de sécurité
• Sauvegardes chiffrées régulières

9. Transfert hors UE

Certains prestataires (Vercel, Resend, Google Analytics) sont établis hors de l'Union européenne. Ces transferts sont encadrés par des clauses contractuelles types approuvées par la Commission européenne et/ou par l'adhésion au Data Privacy Framework UE–États-Unis. Supabase (base de données et stockage de fichiers) est hébergé en Europe (région EU).

10. Décision automatisée

Le simulateur FOUNDY effectue un traitement automatisé pour évaluer votre éligibilité aux différentes offres de financement. Ce traitement est fondé sur les critères objectifs des partenaires bancaires (taux d'endettement, revenus, fichage…). Il ne constitue pas une décision individuelle automatisée au sens de l'article 22 du RGPD, dans la mesure où une intervention humaine (courtier FOUNDY) valide et finalise toute proposition commerciale.

11. Modifications

FOUNDY se réserve le droit de modifier la présente politique à tout moment. La version en vigueur est celle publiée sur le site à la date de votre consultation. En cas de modifications substantielles, les utilisateurs disposant d'un compte (espace client ou partenaire) seront informés par email.