Ce que Rempart traite, et ce qu'il ne fait pas

Qui fait quoi ?

Pour les documents, invitations, droits et journaux liés à une transaction, chaque boutique M&A qui administre l'espace détermine les finalités et agit comme responsable de traitement. Rempart, service édité et exploité par Prouesse, fournit l'infrastructure et agit comme sous-traitant sur les instructions documentées de la boutique. Le logo et les couleurs affichés dans l'interface identifient l'espace actif ; ils ne changent pas cette répartition juridique. Pour une demande de démonstration adressée directement à Rempart, Prouesse est en revanche responsable du traitement des coordonnées du prospect.

Données traitées

• Adresse email. Elle identifie la personne invitée et sert à lui envoyer son lien de connexion. C'est la seule donnée d'identité demandée : ni nom obligatoire, ni téléphone, ni adresse postale.
• Configuration d'espace. Après publication de l'application mobile, le code fourni par une boutique sera transmis au registre Rempart, qui renverra le nom, le logo, la couleur, le contact support et les deux origines techniques de l'espace autorisé. Cette configuration sera conservée dans le stockage sécurisé du téléphone. Les jetons de session seront isolés par espace. Aucun document ne transitera par ce registre.
• Documents et droits d'accès. Les fichiers déposés par la boutique, leur arborescence, leurs versions et les groupes autorisés sont traités pour fournir la dataroom. Après publication de l'application mobile, les documents y seront affichés sans être exportés vers le stockage partagé du téléphone.
• Journal d'accès. Date et heure, adresse IP, navigateur ou application utilisée, documents consultés et téléchargés. Ce journal est la raison d'être d'une dataroom : il conserve la trace des accès autorisés pendant une opération. Il enregistre les requêtes servies par le compte auquel l'accès a été confié, ce qui n'établit pas à lui seul qu'une personne déterminée a ouvert un document. Il est consultable par le responsable de l'opération.
• Mesure d'engagement. À partir de ce même journal, le responsable de l'opération voit, pour chaque personne invitée, le nombre de documents consultés, la date du dernier passage et un indicateur d'engagement qui en résume l'intensité. Cet indicateur est une aide au suivi commercial : il ne déclenche aucune décision automatique, ne restreint aucun accès, et n'est jamais communiqué aux autres personnes invitées. Aucune donnée n'est recoupée avec une source extérieure.
• Filigrane. Pour les formats pris en charge, les documents affichés ou téléchargés portent, incrustés, l'adresse email du lecteur, la date et un identifiant de traçage. Les autres formats restent soumis au contrôle d'accès et à la journalisation.
• Questions et réponses échangées dans l'espace, avec leur auteur.
• Demandes de démonstration. Le site produit traite l'adresse email, la société, la qualité professionnelle et le message saisis par le prospect, uniquement pour répondre à sa demande commerciale.

Finalités et bases juridiques

L'adresse email est indispensable pour accorder et sécuriser un accès nominatif. Les droits d'accès, consultations, téléchargements, questions et réponses sont traités pour exécuter le dispositif de dataroom décidé par la boutique responsable de l’espace. La journalisation, la prévention des abus et la conservation d'éléments de preuve répondent à ses intérêts légitimes de confidentialité et de sécurité, ainsi qu'aux obligations légales qui peuvent lui incomber. Le contrat et la documentation du responsable de traitement précisent la base applicable à chaque opération.

Les coordonnées d'une demande de démonstration sont traitées pour répondre à cette demande et assurer le suivi précontractuel. Elles ne sont pas ajoutées à une liste publicitaire tierce.

Les données générées automatiquement par la sécurité du service ne sont pas facultatives. En revanche, aucun numéro de téléphone, adresse postale ou donnée biométrique n'est demandé par Rempart pour créer un accès.

Ce que nous ne faisons pas

• Aucune publicité, aucun profilage publicitaire et aucune revente de données. Les prestataires techniques listés ci-dessous reçoivent uniquement les données nécessaires à leur mission, dans le cadre de contrats de sous-traitance. Aucune décision produisant un effet juridique n'est prise de façon automatisée.
• Aucun traceur ni outil de mesure d'audience tiers. Le site produit ne transmet aucun document. Après sa publication, l'application mobile contactera le registre dataroom.prouesse.vc pour résoudre un espace, puis uniquement les origines techniques et, le cas échéant, le logo de la boutique active.
• Aucune donnée biométrique. Après publication de l'application mobile, Face ID et l'empreinte digitale seront traités par le système d'exploitation du téléphone, qui nous répondra seulement « autorisé » ou « refusé ». Nous n'y aurons jamais accès.
• Aucun document ne sera stocké sur le téléphone par l'application mobile après sa publication.

Hébergement et sous-traitants

• Netlify (infrastructure Amazon Web Services) pour la diffusion de l'application.
• Supabase (région Irlande, Union européenne) pour la base de données, l'authentification et le stockage des documents.
• Brevo (France) pour l'envoi des emails transactionnels : invitations, liens de connexion, notifications.

Le rôle, les données concernées et la localisation de chaque prestataire sont détaillés dans le registre des sous-traitants. Aucun fournisseur d'IA ne reçoit les documents.

Les garanties applicables à un éventuel transfert hors de l'Espace économique européen sont précisées dans le DPA et les contrats des prestataires concernés. Cette politique ne prétend pas qu'aucun traitement technique ne puisse impliquer un prestataire établi hors de l'Union européenne.

Conservation

Le client fixe la durée d'ouverture de la dataroom et les durées applicables à son dossier de transaction, dans les limites de son contrat et de ses obligations légales. À la fin du service, la restitution et la suppression suivent le processus de réversibilité. Les journaux nécessaires à la sécurité ou à la défense d'un droit peuvent être conservés séparément pendant la durée justifiée par cette finalité. Une session inactive est fermée automatiquement au bout de deux heures.

Vos droits

Vous pouvez demander l'accès à vos données, leur rectification, leur effacement, la limitation ou l'opposition au traitement et, lorsqu'elle s'applique, leur portabilité. Adressez d'abord votre demande au responsable de traitement : la boutique qui administre l'espace concerné, au contact indiqué dans l'invitation et, après publication, dans l'application. L'opérateur peut l'assister via adrien@prouesse.vc. Une réponse est apportée dans le délai prévu par le RGPD, sous réserve des vérifications d'identité nécessaires.

Suppression de compte : la demande peut être faite depuis l'application mobile (Profil, « Supprimer mon compte ») ou par email aux adresses ci-dessus. Elle est traitée sous trente jours ; l'équipe vous confirme la suppression ou vous indique, le cas échéant, ce qui doit être conservé et pourquoi.

Une réserve à connaître : les journaux d'accès rattachés à une opération peuvent devoir être conservés malgré une demande de suppression, lorsqu'ils constituent une preuve nécessaire à l'établissement ou à la défense d'un droit. Dans ce cas nous vous indiquons précisément ce qui est conservé et pourquoi.

Si vous estimez que vos droits ne sont pas respectés, vous pouvez introduire une réclamation auprès de la CNIL ou de l'autorité de contrôle compétente dans votre pays de résidence.

Contact

Responsable de traitement : la boutique qui administre l’espace concerné (contact indiqué dans l’invitation et, après publication, dans l’application)
Opérateur technique : Prouesse · adrien@prouesse.vc
Détail des mesures techniques : page sécurité et connectivité.