Politique de confidentialité

Balestra Real Estate Debt, filiale de Balestra, accorde une grande importance à la protection de vos données personnelles et s’engage à respecter la réglementation en vigueur, notamment le Règlement Général sur la Protection des Données (RGPD) et la loi Informatique et Libertés.

Article 1 — Responsable du traitement

Le responsable du traitement des données collectées via la Plateforme est :

• Raison sociale : Spada Capital (nom commercial : Balestra Real Estate Debt)
• Forme juridique : Société par actions simplifiée (SAS)
• SIREN : 999 600 471 — RCS Paris
• Adresse : 39 avenue Pierre 1er de Serbie, 75008 Paris
• Email : contact@balestra-red.fr

Pour les traitements liés aux obligations réglementaires (LCB-FT, conformité AMF), Balestra, société mère et société de gestion agréée par l’AMF, peut agir en qualité de responsable conjoint conformément à l’article 26 du RGPD.

Article 2 — Données collectées

Dans le cadre de l’utilisation de la Plateforme Balestra Real Estate Debt, nous collectons les catégories de données suivantes :

Données d’identification

• Nom, prénom, genre
• Adresse email
• Numéro de téléphone
• Adresse postale

Données de votre projet

• Informations sur la société (SIREN, forme juridique, capital social)
• Description du projet immobilier
• Données financières (montants, ratios, prévisions, bilans)
• Adresse et caractéristiques du projet

Données KYC (connaissance client)

• Date et lieu de naissance, nationalité
• Type et numéro de pièce d’identité
• Pourcentage de détention dans la société
• Statut PEP (personne politiquement exposée)
• Résultats des vérifications de conformité (sanctions, PEP)

Documents

• Documents financiers, juridiques et administratifs uploadés (fichiers originaux)
• Données extraites automatiquement de ces documents par les systèmes d’IA

Données de conversation IA

• Messages échangés avec l’assistant intelligent
• Résumés et analyses générés par l’IA

Données bancaires

• Coordonnées bancaires (IBAN, BIC) dans le cadre de la gestion des prêts

Données techniques et de connexion

• Adresse IP, user agent
• Horodatage des connexions
• Journaux d’audit des actions effectuées sur la Plateforme

Données de géolocalisation

• Coordonnées géographiques des projets immobiliers (pour l’analyse de marché)

Article 3 — Finalités et bases légales

Vos données sont traitées pour les finalités suivantes :

Article 4 — Intelligence artificielle et traitements automatisés

• Vos documents et conversations sont traités par des systèmes d’intelligence artificielle pour en extraire des informations, les classifier et fournir des analyses.
• Ces traitements sont réalisés par des prestataires tiers (OpenAI, Anthropic) dans le cadre de la fourniture des Services.
• Aucune décision juridique ou financière n’est prise automatiquement sur la seule base de ces traitements. Toute décision relative au financement est prise par des analystes humains de Balestra Real Estate Debt.
• Vous pouvez demander une intervention humaine, exprimer votre point de vue ou contester une analyse en contactant contact@balestra-red.fr.
• Les données sont transmises de manière pseudonymisée lorsque cela est techniquement possible.

Article 5 — Destinataires et sous-traitants

Vos données peuvent être communiquées aux catégories de destinataires suivantes, dans la stricte mesure nécessaire à la fourniture des Services :

Sous-traitants techniques

• Upsun (Platform.sh SAS) — Hébergement de l’application — France/UE
• Amazon Web Services (AWS) — Stockage sécurisé des documents — UE (région eu-west-3, Paris)
• Google Cloud (Places API) — Géolocalisation et complétion d’adresses de projets immobiliers — États-Unis (siège), traitement UE
• Cloudflare, Inc. — Protection des formulaires publics contre les robots (Turnstile : inscription, mot de passe oublié, demande de dossier) — États-Unis ; traitement régi par le Turnstile Privacy Addendum de Cloudflare (https://www.cloudflare.com/turnstile-privacy-policy/)

Sous-traitants IA

• OpenAI, L.P. — Analyse de documents et assistance conversationnelle — États-Unis
• Anthropic, PBC — Provider IA alternatif — États-Unis

Sous-traitants conformité

• Refinitiv (LSEG) — Vérifications sanctions et PEP (WorldCheck) — Royaume-Uni
• INPI — Registre national des entreprises — France

Sous-traitants techniques additionnels

• Brevo (Sendinblue SAS) — Envoi d’emails transactionnels et codes MFA — France
• Sentry (Functional Software, Inc.) — Monitoring d’erreurs techniques — États-Unis (données techniques uniquement, sans données personnelles identifiantes)

Autorités

• AMF, TRACFIN — En cas d’obligation légale de déclaration

Article 6 — Transferts internationaux de données

Certains de nos sous-traitants sont situés en dehors de l’Espace Économique Européen (EEE), notamment aux États-Unis (OpenAI, Anthropic, Sentry, Google Cloud) et au Royaume-Uni (Refinitiv).

Ces transferts sont encadrés par les garanties suivantes :

• Les clauses contractuelles types (CCT) adoptées par la Commission européenne.
• La décision d’adéquation de la Commission européenne pour le Royaume-Uni.
• Le cadre EU-US Data Privacy Framework lorsque le sous-traitant y est certifié.

Balestra Real Estate Debt s’engage à mettre en place des accords de traitement des données (DPA — Data Processing Agreements) avec l’ensemble de ses sous-traitants.

Vous pouvez obtenir une copie des garanties encadrant ces transferts en contactant contact@balestra-red.fr.

Article 7 — Durées de conservation

Vos données sont conservées pendant la durée strictement nécessaire aux finalités pour lesquelles elles ont été collectées :

Article 8 — Sécurité des données

Nous mettons en place les mesures techniques et organisationnelles suivantes pour garantir la sécurité de vos données :

• Authentification multi-facteurs (MFA) obligatoire pour l’accès au compte
• Chiffrement des communications (HTTPS/TLS) entre votre navigateur et nos serveurs
• Sessions sécurisées (cookies HttpOnly, SameSite=Strict, durée limitée à 1 heure)
• Contrôle d’accès basé sur les rôles (RBAC) — chaque utilisateur n’accède qu’aux données correspondant à son profil
• Piste d’audit avec intégrité cryptographique — chaîne de hash garantissant la non-altération des logs
• Verrouillage de compte après tentatives de connexion échouées
• En-têtes de sécurité HTTP (HSTS, CSP, X-Frame-Options)
• Hébergement sur infrastructure sécurisée au sein de l’Union européenne

Article 9 — Vos droits

Conformément au RGPD, vous disposez des droits suivants :

• Droit d’accès : obtenir la confirmation du traitement de vos données et en recevoir une copie
• Droit de rectification : demander la correction de données inexactes ou incomplètes
• Droit à l’effacement : demander la suppression de vos données (sous réserve des obligations légales de conservation)
• Droit d’opposition : vous opposer au traitement de vos données fondé sur l’intérêt légitime
• Droit à la limitation : demander la limitation du traitement dans les cas prévus par le RGPD
• Droit à la portabilité : recevoir vos données dans un format structuré, couramment utilisé et lisible par machine
• Droit de ne pas faire l’objet d’une décision automatisée : demander une intervention humaine pour toute analyse IA vous concernant
• Droit de réclamation : introduire une réclamation auprès de la CNIL (Commission Nationale de l’Informatique et des Libertés), 3 Place de Fontenoy, TSA 80715, 75334 Paris Cedex 07

Pour exercer vos droits, contactez-nous à : contact@balestra-red.fr. Nous nous engageons à répondre dans un délai d’un mois à compter de la réception de votre demande.

Article 10 — Cookies

La Plateforme Balestra Real Estate Debt utilise uniquement des cookies essentiels (cookies de session) strictement nécessaires au fonctionnement du service.

Ces cookies permettent de :

• Maintenir votre session de connexion
• Assurer la sécurité de votre navigation (protection CSRF)

Durée : ces cookies sont des cookies de session, supprimés automatiquement à la fermeture de votre navigateur.

Aucun cookie analytique, publicitaire ou de tracking n’est utilisé sur la Plateforme. Ces cookies étant strictement nécessaires au fonctionnement du service, ils ne requièrent pas votre consentement conformément aux recommandations de la CNIL.

Article 11 — Modification de la politique

Cette politique de confidentialité peut être modifiée à tout moment pour s’adapter aux évolutions réglementaires ou à nos pratiques. En cas de modification substantielle, les Utilisateurs seront informés par email ou notification sur la Plateforme. Nous vous invitons à la consulter régulièrement.