1. Préambule et engagement RGPD
La présente Politique de Confidentialité décrit la manière dont MONOP CONSULTING - FZCO, société de droit émirien immatriculée sous licence DIEZA n° 69593, exploitant la marque MyBulkDeal (en cours de dépôt), ci-après « MBD », collecte, utilise, conserve, protège et partage les données à caractère personnel des Utilisateurs de son site internet www.mybulkdeal.com (ci-après le « Site ») et, plus largement, des personnes avec lesquelles MBD entre en relation dans le cadre de son activité de conseil en structuration de véhicules d'acquisition immobilière et de mise en relation avec une agence partenaire RERA et de structuration de SPV à Dubaï.
MBD est immatriculée aux Émirats Arabes Unis ; néanmoins, son activité cible majoritairement des résidents de l'Union européenne. En conséquence, MBD se soumet volontairement au Règlement (UE) 2016/679 du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données (ci-après le « RGPD ») pour l'ensemble des traitements visant des résidents de l'Union européenne, ainsi qu'à la loi française n° 78-17 du 6 janvier 1978 modifiée dite « Informatique et Libertés ».
MBD applique en outre les bonnes pratiques publiées par la Commission Nationale de l'Informatique et des Libertés (CNIL) en matière de cookies, de durée de conservation et de droits des personnes.
2. Identité du Responsable de Traitement
Le responsable des traitements de données à caractère personnel mis en œuvre sur le Site et dans le cadre de l'activité de MBD est :
- Raison sociale : MONOP CONSULTING - FZCO (exploitant la marque MyBulkDeal, en cours de dépôt)
- Free zone : DIEZA — IFZA / Dubai Silicon Oasis
- Numéro de licence : 69593 (Registration 67866 — TRN 105196807900001)
- Siège social : IFZA Business Park, DDP, Building A1, Dubai Silicon Oasis, PO Box 342001, Dubai, Émirats Arabes Unis
- Représentant légal : Monsieur Philippe Olivier Christian Madelaine RODRIGUES, en sa qualité de Director et General Manager
- Délégué à la Protection des Données (DPO) :le point de contact RGPD désigné par MONOP CONSULTING - FZCO, joignable à l'adresse privacy@mybulkdeal.com
3. Représentant dans l'Union européenne (article 27 RGPD)
Conformément à l'article 27 du RGPD, MBD étant établie hors de l'Union européenne et offrant des services à des personnes situées dans l'Union européenne, MBD désigne un représentant dans l'Union :
- Représentant UE :Prighter Group, agissant sous la marque Prighter, désigné par MONOP CONSULTING - FZCO comme représentant dans l'Union européenne au sens de l'article 27 du RGPD
- Adresse : Kärntner Ring 5-7, 4. Stock, 1010 Vienna, Autriche
- Contact : monop-consulting@prighter.com
Le représentant UE peut être contacté pour toute question relative au traitement des données à caractère personnel des résidents de l'Union européenne, en sus du DPO de MBD.
3.bis. Hébergeur et sous-traitants techniques
Hébergeur du Site(au sens de l'article 6 de la LCEN) : Vercel Inc., société de droit du Delaware, dont le siège est situé 440 N Barranca Avenue #4133, Covina, California 91723, États-Unis d'Amérique, joignable à l'adresse privacy@vercel.com. Vercel agit comme sous-traitant au sens de l'article 28 RGPD pour la fourniture, le caching et la délivrance des pages du Site aux Utilisateurs.
Base de données et authentification du Back-Office Investisseur : Supabase Inc., société de droit de Singapour, dont le siège est situé 970 Toa Payoh North #07-04, Singapore 318992, joignable à l'adresse privacy@supabase.io. Supabase agit comme sous-traitant au sens de l'article 28 RGPD pour le stockage des données d'authentification, des données de profil Investisseur et des documents accessibles au sein du Back-Office.
MBD a conclu, avec chacun de ces sous-traitants, un Data Processing Agreement (DPA) conforme aux exigences de l'article 28 RGPD. Les transferts de données vers des juridictions hors Espace économique européen sont encadrés par les Clauses Contractuelles Types (CCT) publiées par la Commission européenne (Décision d'exécution (UE) 2021/914 du 4 juin 2021), complétées le cas échéant de mesures supplémentaires d'organisation et de sécurité.
4. Catégories de données collectées
Dans le cadre de l'accès au Site et de la mise en relation avec MBD, les catégories de données à caractère personnel suivantes sont susceptibles d'être collectées :
- Données d'identification :nom, prénom, date et lieu de naissance, nationalité, copie de la pièce d'identité
- Coordonnées : adresse postale, adresse électronique, numéro de téléphone fixe et mobile
- Données fiscales :numéro d'identification fiscale (NIF / TIN), pays de résidence fiscale, statut FATCA/CRS
- Données financières :justificatifs d'origine des fonds, relevés bancaires, IBAN, capacité d'investissement
- Données professionnelles :profession, secteur d'activité, expérience en matière d'investissement, qualification d'Investisseur Qualifié ou Non-Qualifié
- Données techniques :adresse IP, type et version du navigateur, système d'exploitation, identifiants de connexion, horodatage des connexions, logs techniques
- Données comportementales : pages consultées sur le Site, parcours de navigation, formulaires remplis, données déposées par les cookies
- Données de contact apporteur :pour les Apporteurs d'Affaires, raison sociale, numéro de carte T ou RERA, taux de commission convenu, historique des présentations
5. Finalités du traitement et bases légales
Chaque traitement de données à caractère personnel mis en œuvre par MBD repose sur une finalité déterminée, explicite et légitime, ainsi que sur une base légale précise au sens de l'article 6 du RGPD. Le tableau ci-dessous récapitule les principales finalités :
| Finalité | Base légale (article 6 RGPD) | Durée principale |
|---|---|---|
| Gestion de la relation prospect et création de compte sur le Site | Mesures précontractuelles (art. 6.1.b) et intérêt légitime (art. 6.1.f) | 3 ans à compter du dernier contact |
| Exécution du Mandat d'Intermédiation et relation contractuelle Investisseur | Exécution du contrat (art. 6.1.b) | Durée du contrat + 5 ans |
| Conformité KYC et LCB-FT | Obligation légale (art. 6.1.c) | 5 ans après la fin de la relation |
| Conformité fiscale internationale (CRS, FATCA) | Obligation légale (art. 6.1.c) | Conformément aux délais légaux |
| Reporting Périodique aux actionnaires de SPV | Exécution du contrat (art. 6.1.b) | Durée du contrat + 5 ans |
| Envoi de communications marketing et newsletter | Consentement préalable et exprès (art. 6.1.a) | Jusqu'au retrait ou 3 ans d'inactivité |
| Mesure d'audience non exemptée et cookies analytiques tiers | Consentement préalable et exprès (art. 6.1.a) | Voir Politique Cookies (max 13 mois) |
| Sécurité du Site, prévention de la fraude, gestion des incidents | Intérêt légitime de MBD (art. 6.1.f) | 12 mois pour les logs techniques |
| Gestion des demandes d'exercice des droits RGPD | Obligation légale (art. 6.1.c) | 3 ans après clôture de la demande |
| Tenue de la comptabilité et conservation des pièces justificatives | Obligation légale (art. 6.1.c) | 10 ans (obligation comptable) |
6. Destinataires des données
Les données à caractère personnel collectées par MBD sont destinées aux personnels habilités de MBD, dans la stricte mesure de leurs attributions. Elles peuvent également être communiquées, dans la limite de ce qui est strictement nécessaire à la finalité poursuivie, aux destinataires suivants :
- (i) l'équipe de MBD habilitée à traiter les dossiers Investisseurs (commercial, structuration, conformité, comptabilité) ;
- (ii) l'agent corporate émirien en charge de la constitution et de l'immatriculation des SPV ;
- (iii) l'établissement bancaire émirien en charge de l'ouverture du compte de la SPV et du compte séquestre ;
- (iv) le prestataire de gestion locative désigné par la SPV pour l'exploitation du Bien ;
- (v) les conseils externes de MBD (avocats, experts-comptables, commissaires aux comptes), tenus à une obligation de confidentialité ;
- (vi) les autorités fiscales émiriennes et, le cas échéant, les autorités fiscales du pays de résidence de l'Investisseur dans le cadre des échanges automatiques d'informations (CRS, FATCA) ;
- (vii) les autorités administratives et judiciaires, sur réquisition régulière ;
- (viii) les sous-traitants techniques de MBD (hébergement du Site, messagerie, signature électronique, outils de KYC), encadrés par un contrat conforme à l'article 28 du RGPD.
MBD ne procède à aucune vente, location ou cession des données à caractère personnel de l'Utilisateur à des tiers à des fins commerciales.
7. Transferts de données hors Union européenne
Compte tenu de l'implantation de MBD aux Émirats Arabes Unis et du fait que la prestation de structuration et de gestion des SPV est exécutée à Dubaï, les données à caractère personnel des Utilisateurs résidents de l'Union européenne font l'objet d'un transfert hors Union européenne, vers les Émirats Arabes Unis. Les Émirats Arabes Unis ne bénéficient pas, à ce jour, d'une décision d'adéquation de la Commission européenne au sens de l'article 45 du RGPD.
En conséquence, MBD encadre ces transferts par la mise en place :
- (i) des Clauses Contractuelles Types (CCT) adoptées par la Commission européenne par décision d'exécution (UE) 2021/914 du 4 juin 2021, signées entre MBD (en qualité d'importateur) et le représentant UE ou, le cas échéant, l'Utilisateur lui-même ;
- (ii) d'une analyse d'impact relative au transfert (Transfer Impact Assessment ou « TIA ») documentée et mise à jour ;
- (iii) de mesures supplémentaires techniques (chiffrement en transit et au repos) et organisationnelles (limitation des accès, journalisation, sensibilisation) destinées à compenser les éventuelles lacunes du cadre juridique du pays destinataire.
Une copie des garanties applicables peut être obtenue sur demande adressée au DPO à l'adresse privacy@mybulkdeal.com.
8. Durées de conservation
Les données à caractère personnel sont conservées pendant une durée n'excédant pas celle nécessaire à la réalisation des finalités pour lesquelles elles ont été collectées, augmentée le cas échéant des délais légaux de prescription et d'obligation de conservation.
| Catégorie de données | Durée de conservation |
|---|---|
| Données de prospects sans suite | 3 ans à compter du dernier contact à l'initiative du prospect |
| Données de clients (Investisseurs sous contrat) | Durée de la relation contractuelle + 5 ans |
| Documents KYC et pièces justificatives LCB-FT | 5 ans après la fin de la relation d'affaires |
| Pièces comptables et factures | 10 ans à compter de la clôture de l'exercice (obligation comptable) |
| Cookies déposés sur le terminal de l'Utilisateur | 13 mois maximum (recommandation CNIL) |
| Données collectées via cookies (statistiques d'usage) | 25 mois maximum |
| Logs techniques de connexion au Site | 12 mois |
| Données relatives aux demandes d'exercice des droits | 3 ans après la clôture de la demande |
| Sauvegardes techniques chiffrées | Recyclage glissant sur 90 jours |
À l'expiration de ces durées, les données sont supprimées ou anonymisées de manière irréversible.
9. Droits des personnes concernées
Conformément aux articles 15 à 22 du RGPD, l'Utilisateur dispose, sous réserve des conditions et limitations prévues par le RGPD, des droits suivants sur ses données à caractère personnel :
- Droit d'accès (art. 15) : obtenir la confirmation que ses données sont traitées et en recevoir une copie
- Droit de rectification (art. 16) : faire corriger des données inexactes ou incomplètes
- Droit à l'effacement (art. 17) : faire supprimer ses données, dans la mesure où aucune obligation légale ne fait obstacle
- Droit à la limitation du traitement (art. 18)
- Droit à la portabilité (art. 20) : recevoir ses données dans un format structuré, couramment utilisé et lisible par machine
- Droit d'opposition (art. 21) :au traitement fondé sur l'intérêt légitime ou à la prospection commerciale
- Droit de retirer le consentement à tout moment, sans que ce retrait ne porte atteinte à la licéité des traitements fondés sur le consentement antérieurement au retrait
- Droit de définir des directives relatives au sort de ses données après son décès (article 85 de la loi Informatique et Libertés)
- Droit d'introduire une réclamationauprès de la Commission Nationale de l'Informatique et des Libertés (CNIL — www.cnil.fr) ou de toute autre autorité de contrôle compétente
10. Modalités d'exercice des droits
L'Utilisateur peut exercer l'ensemble de ses droits en adressant un courrier électronique à privacy@mybulkdeal.com, ou un courrier postal au siège de MBD à l'attention du DPO. Afin de permettre à MBD de répondre à sa demande, l'Utilisateur est invité à préciser l'objet de sa demande et à joindre la copie d'un document d'identité en cours de validité. Cette pièce est conservée le strict temps nécessaire au traitement de la demande, puis détruite.
MBD s'engage à apporter une réponse dans un délai d'un (1) mois à compter de la réception de la demande, prorogeable de deux (2) mois supplémentaires en cas de demande complexe ou de demandes multiples. En cas de refus de donner suite à la demande, MBD en informera l'Utilisateur de manière motivée et l'informera de son droit d'introduire une réclamation auprès de la CNIL.
11. Sécurité
MBD met en œuvre les mesures techniques et organisationnelles appropriées pour garantir un niveau de sécurité adapté au risque, conformément à l'article 32 du RGPD. À ce titre, MBD a notamment mis en place :
- le chiffrement des échanges entre le navigateur de l'Utilisateur et le Site au moyen du protocole TLS (HTTPS) ;
- le chiffrement au repos des bases de données contenant des données à caractère personnel ;
- le contrôle des accès logiques fondé sur le principe du moindre privilège, avec authentification renforcée pour les comptes administrateurs ;
- la journalisation et la conservation des logs d'accès pendant douze (12) mois à des fins de détection des intrusions ;
- la mise en place de sauvegardes régulières, chiffrées et stockées séparément des systèmes de production ;
- la sensibilisation et la formation régulières du personnel à la protection des données et à la sécurité de l'information ;
- l'encadrement contractuel des sous-traitants au moyen de clauses conformes à l'article 28 du RGPD ;
- une procédure documentée de notification des violations de données à caractère personnel à l'autorité de contrôle compétente dans le délai de soixante-douze (72) heures.
12. Cookies
Les conditions d'utilisation des cookies sur le Site, les finalités poursuivies, la liste des cookies déposés, leur durée et les modalités de recueil ou de retrait du consentement sont décrites dans la Politique Cookies, accessible depuis le pied de page du Site et à laquelle il est expressément renvoyé.
13. Évolution de la présente Politique
MBD se réserve le droit de modifier la présente Politique de Confidentialité à tout moment, afin de tenir compte de l'évolution de la réglementation, de la jurisprudence, de la doctrine des autorités de contrôle, ou des évolutions techniques et organisationnelles internes. Toute modification substantielle fera l'objet d'une information préalable des Utilisateurs disposant d'un compte sur le Site, par courrier électronique adressé à leur dernière adresse connue, et d'une mise en évidence sur la page d'accueil du Site.
Date d'entrée en vigueur de la présente Politique de Confidentialité : 1er juin 2026.