RegulatoryBridge Global Ltd. (77 Lower Camden Street, Saint Kevin's, D02 XE80 Dublin 2, Ireland; numéro d'enregistrement Pending - see CRO filing) ("RegulatoryBridge", "nous", "nous", "notre") est le responsable du traitement des données à caractère personnel traitées dans le cadre de ce site web (regulatorybridge.com) et des services que nous fournissons.

Délégué à la protection des données : Notre DPO peut être contacté à l'adresse dpo@regulatorybridge.com, ou par courrier au siège social indiqué ci-dessus (mentionnez « À l'attention du Délégué à la protection des données »).

Représentant dans l'UE (Article 27 du RGPD) : RegulatoryBridge EU Representative (to be appointed), Pending - to be designated under Article 27 GDPR — eu-rep@regulatorybridge.com.
Représentant au Royaume-Uni (Article 27 du UK GDPR) : RegulatoryBridge UK Representative (to be appointed), Pending - to be designated under Article 27 UK GDPR — uk-rep@regulatorybridge.com.

Consultez nos Mentions légales pour l'ensemble des informations relatives à l'entité.

La présente politique décrit la manière dont nous traitons les données à caractère personnel lorsque vous (i) consultez ce site web, (ii) demandez des informations, une démonstration ou un échange commercial, (iii) souscrivez à nos services, (iv) vous abonnez à nos communications, ou (v) interagissez avec nous en tant que partenaire commercial, fournisseur ou candidat à un emploi.

Lorsque nous fournissons des services de représentation en matière de confidentialité ou de délégué à la protection des données à nos clients, notre client est le responsable du traitement des données à caractère personnel de ses utilisateurs finaux et RegulatoryBridge agit en qualité de sous-traitant dans le cadre d'un accord de traitement des données distinct. Ce traitement est régi par le DPA conclu avec le client, et non par la présente politique.

• Données d'identification et de contact — nom, adresse e-mail professionnelle, téléphone professionnel, fonction, employeur, pays.
• Données de compte — nom d'utilisateur, mot de passe haché, préférences de compte, activation de la MFA.
• Données de service — demandes DSAR, détails de violations, évaluations de conformité, entrées ROPA et autres données que vous téléchargez pour gérer votre programme de conformité.
• Données de facturation — contact de facturation, numéro de TVA, adresse de facturation, historique des factures. Les données de carte de paiement sont traitées par notre prestataire de paiement conforme à la norme PCI-DSS et ne sont pas conservées par nos soins.
• Données d'utilisation et d'appareil — adresse IP (tronquée lorsque cela est possible), navigateur, type d'appareil, URL de provenance, pages consultées, horodatages, événements de session.
• Communications — e-mails, tickets d'assistance et notes issues des appels commerciaux ou d'intégration.
• Préférences marketing — statut d'abonnement, registres de consentement, horodatages de désinscription.
• Données de recrutement (uniquement si vous postulez à un poste) — CV, expérience professionnelle, références, indicateurs du droit de travailler.

Nous ne collectons pas intentionnellement de données relevant de catégories particulières (Article 9 du RGPD) ni d'informations personnelles sensibles (CPRA, DPDPA) concernant les prospects ou les visiteurs du site web. Si vous téléchargez de telles données dans nos services à des fins de conformité, nos obligations de sous-traitant au titre du DPA s'appliquent.

• Directement de votre part — formulaires, création de compte, demandes d'assistance, appels, e-mails.
• Automatiquement — via notre site web, l'analyse de notre produit et la journalisation de sécurité.
• Auprès de tiers — votre employeur (si vous êtes désigné comme son contact), des annuaires professionnels accessibles au public, des sponsors de conférences, des partenaires d'apport d'affaires.

Les bases légales ci-dessous font référence à l'Article 6 du RGPD (et aux finalités commerciales du CCPA/CPRA le cas échéant) :

Nous ne partageons les données à caractère personnel qu'avec des parties ayant un besoin légitime de les recevoir :

• Infrastructure cloud — AWS, Vercel, Cloudflare (CDN, edge computing, protection DDoS, WAF).
• E-mail et communications — prestataires d'e-mails transactionnels et marketing.
• Analyse et télémétrie produit — prestataire d'analyse (uniquement avec votre consentement).
• CRM et automatisation commerciale — pour gérer les relations commerciales.
• Traitement des paiements — prestataire certifié PCI-DSS.
• Conseillers professionnels — auditeurs, comptables, avocats, assureurs soumis à des obligations de confidentialité.
• Régulateurs ou tribunaux — uniquement lorsque la loi l'exige ou avec votre consentement.

Une liste à jour des sous-traitants ultérieurs est disponible sur demande à l'adresse dpo@regulatorybridge.com. Nous informons les clients de toute modification substantielle des sous-traitants ultérieurs conformément au DPA applicable.

Nous pouvons transférer des données à caractère personnel en dehors de votre pays de résidence. Lorsque la destination n'est pas couverte par une décision d'adéquation de l'UE/du Royaume-Uni/de la Suisse, nous nous appuyons sur des garanties appropriées au titre de l'Art. 46 du RGPD :

• Clauses contractuelles types (SCCs) approuvées par la Commission européenne, complétées par l'addendum britannique ou l'IDTA pour les transferts vers le Royaume-Uni.
• Règles d'entreprise contraignantes avec les destinataires intra-groupe lorsqu'elles sont en place.
• Évaluations d'impact des transferts au titre de l'arrêt Schrems II pour les destinations sensibles.

Pour les personnes concernées en Inde au titre du DPDPA, les transferts transfrontaliers ne sont effectués que vers des juridictions non restreintes par le gouvernement central. Pour le Brésil (LGPD), les transferts s'appuient sur des mécanismes approuvés par l'ANPD (Résolution 19/2024). Pour le Japon (APPI), les transferts ont lieu avec consentement ou dans le cadre de dispositifs de protection équivalente. Une copie du mécanisme de transfert applicable à vos données est disponible sur demande.

• Données de compte — durée du contrat plus 90 jours pour l'exportation.
• Registres de facturation — durée de conservation légale minimale (généralement 6 à 10 ans à des fins fiscales/comptables dans la plupart des juridictions).
• Tickets d'assistance — 3 ans après leur résolution.
• Données de listes marketing — jusqu'au retrait de votre consentement, puis 30 jours pour la propagation système.
• Journaux de sécurité et d'audit — 12 mois par défaut (plus longtemps lorsque la loi l'exige).
• Données de recrutement — 12 mois après le pourvoi du poste (plus longtemps avec votre consentement).

Nous mettons en œuvre des mesures techniques et organisationnelles adaptées au risque, notamment :

• Chiffrement en transit (TLS 1.2+) et au repos (AES-256 ou équivalent).
• Accès basé sur les rôles selon le principe du moindre privilège, MFA sur les accès administratifs, exigence de clé matérielle pour l'accès à la production.
• Journalisation continue, détection des anomalies et réponse aux incidents 24h/24 et 7j/7.
• Tests d'intrusion annuels et analyses de vulnérabilités trimestrielles.
• Cartographie des contrôles SOC 2 Type II et ISO 27001 (certifications en cours le cas échéant).
• Évaluations des risques fournisseurs avant l'engagement de tout sous-traitant ultérieur.

Malgré tous ces contrôles, aucun système n'est parfaitement sécurisé. Si une violation affecte vos données à caractère personnel, nous vous en informerons et/ou en informerons l'autorité de contrôle compétente conformément à la loi applicable.

• Accès — confirmation du traitement et copie de vos données.
• Rectification — correction des données inexactes ou incomplètes.
• Effacement — suppression dans des circonstances définies.
• Limitation — suspension du traitement pendant la résolution d'un litige.
• Portabilité — réception de vos données dans un format structuré et couramment utilisé.
• Opposition — au traitement fondé sur des intérêts légitimes ou au démarchage direct.
• Retrait du consentement — à tout moment, aussi facilement que vous l'avez donné.
• Ne pas faire l'objet d'une décision exclusivement automatisée produisant des effets juridiques ou vous affectant de manière significative.

Pour exercer l'un de ces droits, contactez dpo@regulatorybridge.com. Nous répondons dans un délai d'un mois (prolongeable de deux mois pour les demandes complexes). Lorsque nous ne pouvons pas vérifier votre identité, nous vous demanderons des informations complémentaires.

Californie (CCPA / CPRA). Les consommateurs californiens disposent également des droits de savoir, de supprimer, de corriger, de refuser la vente ou le partage de leurs informations personnelles, de limiter l'utilisation de leurs informations personnelles sensibles et de ne pas faire l'objet de discrimination pour l'exercice de leurs droits. Nous respectons les signaux Global Privacy Control. Nous n'avons pas vendu d'informations personnelles au cours des 12 derniers mois. Pour exercer vos droits CCPA, écrivez à privacy@regulatorybridge.com.

Inde (DPDPA). Les personnes concernées disposent des droits d'accès, de correction/complément/mise à jour, d'effacement, de recours en cas de réclamation et de désignation, et peuvent retirer leur consentement à tout moment. Contact : dpo-india@regulatorybridge.com.

Royaume-Uni (UK GDPR). Vous pouvez déposer une réclamation auprès de l'Information Commissioner's Office (ico.org.uk).

Brésil (LGPD). Vous pouvez exercer les droits prévus à l'Article 18 de la LGPD en écrivant à notre Encarregado à l'adresse encarregado@regulatorybridge.com ; vous pouvez également saisir l'ANPD.

Singapour (PDPA). Notre DPO est le contact pour l'accès, la correction et le retrait du consentement au titre de la PDPA.

Japon (APPI). Vous pouvez demander la divulgation, la correction, la cessation ou la suppression au titre des Articles 28 à 35 de l'APPI en contactant notre Responsable des informations personnelles à l'adresse appi@regulatorybridge.com.

Suisse (nLPD). Des droits équivalents s'appliquent ; les réclamations peuvent être déposées auprès du PFPDT.

Nos services ne s'adressent pas aux enfants de moins de 16 ans, et nous ne collectons pas sciemment de données à caractère personnel auprès de toute personne que nous estimons être âgée de moins de 16 ans. Si vous pensez qu'un enfant nous a fourni des données à caractère personnel, veuillez contacter dpo@regulatorybridge.com et nous les supprimerons rapidement. Lorsque les clients traitent des données d'enfants à l'aide de nos services, il appartient au client d'obtenir le consentement parental requis.

Nous n'utilisons pas de prise de décision exclusivement automatisée produisant des effets juridiques ou vous affectant de manière significative. Certains systèmes opérationnels (p. ex. filtrage anti-spam, détection d'anomalies) appliquent une logique automatisée sous supervision humaine. En cas d'évolution, nous mettrons à jour la présente politique et obtiendrons le consentement ou une autre base légale appropriée.

Nous utilisons des cookies pour : (i) des fonctions nécessaires telles que le routage, la sécurité et la continuité de session ; (ii) l'analyse facultative — uniquement avec votre consentement ; (iii) le marketing facultatif — uniquement avec votre consentement. Vous gérez votre choix via la bannière de cookies affichée lors de votre première visite et à tout moment via « Paramètres des cookies » dans notre pied de page (lien à venir). Pour plus de détails sur les cookies spécifiques, leurs durées et leurs fournisseurs, consultez notre prochaine Notice relative aux cookies.

Nous aimerions avoir la possibilité de résoudre votre préoccupation en premier lieu — veuillez écrire à dpo@regulatorybridge.com. Vous avez également le droit de déposer une réclamation auprès de votre autorité de contrôle locale. L'autorité de protection des données de notre établissement principal est la Data Protection Commission (Ireland).

Nous pouvons mettre à jour la présente politique de temps à autre. Les modifications substantielles seront annoncées sur cette page et, le cas échéant, par e-mail ou par notification au sein du produit au moins 14 jours avant leur entrée en vigueur. La version et la date figurant en haut de cette page indiquent l'itération en vigueur.

E-mail : privacy@regulatorybridge.com
Délégué à la protection des données : dpo@regulatorybridge.com
Courrier : RegulatoryBridge Global Ltd., À l'attention du Délégué à la protection des données, 77 Lower Camden Street, Saint Kevin's, D02 XE80 Dublin 2, Ireland.