Politique de confidentialité

1. Qui est responsable du traitement

Le responsable du traitement des données à caractère personnel collectées et traitées dans le cadre du service SignalAi est :

Société

FC-Invest, société par actions simplifiée à associé unique au capital de 2 000,00 €

Siège social

28 rue des Folies Chaillou, 44000 Nantes, France

RCS

915 407 589 R.C.S. Nantes

Représentant légal

Cédric CHAUVIN, président

Contact données personnelles

contact@signalai.fr

Voie postale

FC-Invest SASU — Référent données personnelles
28 rue des Folies Chaillou, 44000 Nantes, France

FC-Invest SASU n'a pas désigné de délégué à la protection des données externe : son volume d'activité ne déclenche pas l'obligation prévue à l'article 37 du RGPD. Les questions relatives à la protection des données sont traitées directement par le président.

2. À qui s'adresse cette politique

Cette politique concerne deux publics distincts dont les droits et les modalités d'information sont différents.

2.1 Personnes physiques liées aux entreprises analysées par SignalAi

SignalAi analyse des signaux publics relatifs à des entreprises (départs de dirigeants, opérations de fusion-acquisition, restructurations, marchés publics, annonces légales). Dans ce cadre, le service peut traiter des informations relatives à des personnes physiques identifiables — typiquement des dirigeants ou cadres dirigeants publiquement associés à ces entreprises.

Ces personnes ne sont pas en relation directe avec SignalAi et leurs données sont collectées indirectement à partir de sources publiques. Elles sont donc informées au titre de l'article 14 du RGPD, qui s'applique lorsque les données ne sont pas collectées auprès de la personne concernée.

2.2 Utilisateurs et contacts professionnels des cabinets clients

SignalAi est utilisé par des cabinets de management de transition (les « clients »). Les personnes physiques agissant pour le compte de ces cabinets — collaborateurs, dirigeants, contacts commerciaux — voient leurs coordonnées professionnelles traitées par FC-Invest SASU dans le cadre de la relation contractuelle. Ces personnes sont informées au titre de l'article 13 du RGPD.

2.3 Visiteurs du site signalai.fr

Le site signalai.fr distingue deux types de visiteurs au regard du traitement de leurs données.

2.3.1 Visiteurs passifs — consultation informative du site

La consultation des pages publiques du site (présentation du service, mentions légales, cette politique) ne donne lieu à aucun traitement de données à caractère personnel. Le site ne dépose aucun cookie de mesure d'audience, de publicité ou de profilage (voir section 13).

2.3.2 Visiteurs actifs — auto-diagnostic et demande de démonstration

Le site signalai.fr propose à ses visiteurs un questionnaire d'auto-diagnostic permettant à un cabinet de management de transition de vérifier si SignalAi répond à ses besoins, ainsi qu'un formulaire de demande de démonstration. Lorsqu'un visiteur remplit volontairement l'un de ces formulaires, FC-Invest SASU collecte directement auprès de lui des données à caractère personnel relatives à son activité professionnelle (cf. section 3.3) afin de qualifier sa demande et d'y donner suite.

Ces personnes sont informées au titre de l'article 13 du RGPD, qui s'applique lorsque les données sont collectées directement auprès de la personne concernée. Les modalités d'exercice de leurs droits, en particulier le droit d'opposition simple et sans justification, sont décrites à la section 11.3.

3. Catégories de données traitées

3.1 Données relatives aux personnes liées aux entreprises analysées

• Données d'identification professionnelle : nom, prénom, fonction, entreprise d'appartenance.
• Identifiants professionnels publics : URL de profil LinkedIn lorsque celle-ci est publiquement associée à la personne.
• Données de contexte : éléments factuels publics relatifs à l'événement détecté (article de presse, annonce légale, communiqué officiel, publication LinkedIn publique).
• Données dérivées par traitement automatisé : résumés narratifs générés par modèle de langage, hypothèses de mission EMT, niveau d'urgence, recommandations d'approche commerciale.

3.2 Données relatives aux utilisateurs et contacts des cabinets clients

• Données d'identification professionnelle : nom, prénom, fonction, cabinet.
• Coordonnées professionnelles : email professionnel, et le cas échéant identifiant Slack ou Teams pour la livraison des alertes.
• Données de configuration : préférences de scoring, périmètre sectoriel et géographique, fréquence des livraisons.
• Données techniques : journaux d'accès au service, horodatages d'envoi, traces de delivery email.

3.3 Données relatives aux visiteurs ayant rempli un auto-diagnostic ou demandé une démonstration

Lorsqu'un visiteur remplit volontairement le questionnaire d'auto-diagnostic ou demande une démonstration via le site signalai.fr, FC-Invest SASU collecte directement auprès de lui les données suivantes :

• Données d'identification professionnelle : nom, prénom, fonction, cabinet ou structure d'appartenance.
• Coordonnées professionnelles : email professionnel, et le cas échéant numéro de téléphone professionnel.
• Réponses au questionnaire d'auto-diagnostic : informations qualifiantes sur l'activité du cabinet, ses besoins, son positionnement, ses pratiques de veille.
• Données dérivées par traitement automatisé : score de qualification du prospect, suggestions de prise de contact, niveau de pertinence présumé. Voir section 6.

Le traitement de ces données obéit à un cadre strict décrit en section 5 (base légale art. 6.1.f intérêt légitime), à des durées de conservation bornées en section 9 et à un droit d'opposition simple et sans justification décrit en section 11.3.

4. Sources des données

SignalAi collecte des données à partir des sources suivantes, toutes publiquement accessibles :

• Bases légales officielles : BODACC (Bulletin officiel des annonces civiles et commerciales), BOAMP (Bulletin officiel des annonces de marchés publics).
• Flux RSS de presse économique et flux d'agrégation de presse type Google News.
• Sites de référence sectoriels : annonces de fusion-acquisition (FUSACQ), publications de fonds d'investissement.
• Réseau professionnel LinkedIn : profils publics et publications publiques, collectés via l'opérateur tiers Apify.

SignalAi ne pratique pas le scraping de données privées, ne contourne pas de mécanismes d'authentification et ne collecte aucune donnée nécessitant un consentement individuel. Le service repose exclusivement sur des informations rendues publiques par leurs détenteurs ou par voie d'obligation légale.

5. Finalités et bases légales

Conformément à l'article 6 du RGPD, chaque traitement est rattaché à une base légale identifiée :

5.1 Justification de l'intérêt légitime — détection et analyse des signaux dirigeants

L'intérêt légitime de FC-Invest SASU à exploiter des signaux publics relatifs aux entreprises pour le compte de cabinets de management de transition repose sur l'analyse suivante :

• Intérêt poursuivi : permettre à des cabinets de transition d'identifier les contextes d'entreprise dans lesquels leur intervention apporte une valeur — soit pour l'entreprise concernée, soit pour ses parties prenantes.
• Nécessité : la qualification de ces opportunités requiert le rapprochement d'informations publiques dispersées (presse, annonces légales, profils publics). Aucune méthode moins intrusive ne permet d'atteindre la finalité.
• Proportionnalité : seules les données strictement nécessaires à la qualification professionnelle de l'opportunité sont traitées. Aucune donnée sensible n'est collectée. Aucune décision juridique défavorable n'est prise à l'encontre des personnes mentionnées.
• Mise en balance : l'attente raisonnable des dirigeants d'entreprise est que leur présence publique (presse, annonces légales, LinkedIn public) puisse être analysée par des tiers professionnels. Le traitement n'a pas de caractère intrusif, ne cible pas la vie privée et reste limité à la sphère professionnelle.

Un test de mise en balance documenté est tenu à disposition des autorités de contrôle. Les personnes concernées disposent par ailleurs d'un droit d'opposition qu'elles peuvent exercer à tout moment (voir section 11).

5.2 Justification de l'intérêt légitime — qualification de prospects ayant rempli un auto-diagnostic

Le traitement des données collectées via le questionnaire d'auto-diagnostic ou le formulaire de demande de démonstration repose sur une base légale distincte, fondée sur l'intérêt légitime de FC-Invest SASU à donner suite à la démarche initiée par le visiteur lui-même.

• Intérêt poursuivi : qualifier la demande d'un visiteur professionnel ayant volontairement initié une démarche auprès de FC-Invest SASU, afin de lui apporter une réponse pertinente et calibrée à ses besoins. Cette finalité s'inscrit dans un cadre strictement inbound B2B où la personne effectue elle-même la démarche initiale.
• Nécessité : la qualification d'une demande professionnelle requiert le traitement des informations transmises par le visiteur. Aucune méthode moins intrusive ne permet de répondre à la demande initiée.
• Proportionnalité : seules les données nécessaires à la qualification professionnelle de la demande sont traitées. Aucune donnée sensible n'est collectée. Les bornes de relance sont strictement encadrées (3 relances maximum sur 6 mois) et la durée de conservation est bornée à 12 mois glissants à compter de la dernière interaction.
• Mise en balance : l'attente raisonnable d'un visiteur ayant volontairement rempli un auto-diagnostic professionnel ou demandé une démonstration est de recevoir une réponse de FC-Invest SASU. La balance penche très clairement en faveur de l'intérêt légitime, tempérée par un droit d'opposition simple et immédiat (voir section 11.3).

Le choix de l'intérêt légitime plutôt que du consentement (art. 6.1.a) est motivé par la disproportion qu'il y aurait à exiger un opt-in formel pour la suite logique d'une démarche que la personne a elle-même initiée. Le test de mise en balance correspondant est documenté en interne et tenu à disposition des autorités de contrôle.

6. Profilage et décision automatisée

SignalAi met en œuvre des traitements automatisés, notamment via des modèles de langage, pour générer des résumés narratifs et des évaluations d'urgence relatifs aux signaux détectés, et pour qualifier les demandes des prospects ayant rempli un auto-diagnostic. Au sens de l'article 22 du RGPD :

• Ces traitements constituent un profilage en ce qu'ils évaluent certains aspects professionnels d'une personne (rôle, contexte d'évolution professionnelle, pertinence d'une demande).
• Ces traitements ne produisent aucun effet juridique à l'égard des personnes concernées et ne les affectent pas de manière significative. Aucune décision contractuelle, financière, judiciaire ou administrative n'est prise sur la base de ces traitements automatisés.
• Toute décision opérationnelle ultérieure est prise sous responsabilité humaine. Pour les signaux détectés, la décision de prise de contact appartient au cabinet client. Pour les prospects ayant rempli un auto-diagnostic, la qualification automatisée est systématiquement validée par une intervention humaine avant toute relance commerciale (étape de validation manuelle interne dite Human Gate).
• Les personnes concernées ont la possibilité de demander une intervention humaine, d'exprimer leur point de vue et de contester la décision automatisée les concernant (voir section 11).

FC-Invest SASU s'engage à produire une analyse d'impact relative à la protection des données (AIPD) formelle conformément à l'article 35 du RGPD, dans un délai de 90 jours suivant la signature du premier pilote commercial. Cette AIPD couvrira spécifiquement le profilage par modèle de langage, à la fois pour les signaux dirigeants et pour la qualification de prospects.

Les personnes concernées peuvent demander à connaître la logique générale du traitement automatisé les concernant et exercer les droits décrits à la section 11.

7. Destinataires et sous-traitants

Les données traitées par SignalAi sont accessibles à :

• FC-Invest SASU : personnel autorisé pour l'administration du service.
• Le cabinet client : utilisateurs autorisés pour la consultation des alertes et digests qui leur sont destinés. Chaque cabinet n'a accès qu'aux données traitées dans son propre périmètre contractuel.
• Les sous-traitants techniques décrits ci-dessous : intervenant pour le compte de FC-Invest SASU sous accord de traitement (DPA) conforme à l'article 28 du RGPD.

7.1 Sous-traitants techniques structurels du service

Les sous-traitants suivants interviennent dans le fonctionnement du service SignalAi indépendamment du cabinet client. Ils sont communs à l'ensemble des traitements opérés par FC-Invest SASU.

7.2 Sous-traitants opérationnels variant selon la configuration du cabinet client

La livraison opérationnelle des alertes, la gestion de la relation contractuelle avec chaque cabinet client et la supervision technique du service nécessitent des outils dont l'identité varie en fonction des choix de chaque cabinet. FC-Invest SASU recourt aux catégories de sous-traitants suivantes :

• Outils de gestion de la relation client (CRM) — pour la gestion des contacts cabinets clients et le suivi des prospects ayant initié une démarche via signalai.fr. Sous-traitants typiquement utilisés : HubSpot, Salesforce, Pipedrive ou équivalent.
• Outils de messagerie professionnelle — pour l'envoi des alertes, des digests et des communications opérationnelles. Sous-traitants typiquement utilisés : Google Workspace (Gmail), Microsoft 365 (Outlook) ou équivalent.
• Outils de collaboration et de notification d'équipe — pour la livraison d'alertes en canal d'équipe lorsque le cabinet a configuré ce mode de réception, ainsi que pour la supervision technique interne de FC-Invest SASU. Sous-traitants typiquement utilisés : Slack, Microsoft Teams ou équivalent.

Tous ces sous-traitants opérationnels sont établis soit dans l'Union européenne, soit aux États-Unis sous Data Privacy Framework, soit dans un pays bénéficiant d'une décision d'adéquation. Aucun transfert vers un pays sans cadre légal RGPD n'est effectué.

Légende : UE traitement réalisé dans l'Union européenne — DPF sous-traitant certifié au Data Privacy Framework UE-États-Unis — CCT transfert encadré par les Clauses Contractuelles Types adoptées par la Commission européenne (décision 2021/914).

7.3 Information du cabinet client et droit d'opposition

Conformément à l'article 28.2 du RGPD, FC-Invest SASU s'engage à informer ses cabinets clients de toute évolution substantielle de la liste des sous-traitants intervenant dans le traitement de leurs données. La liste nominative scopée à chaque cabinet fait partie intégrante de l'accord de traitement (DPA) signé bilatéralement, et tout ajout d'un nouveau sous-traitant fait l'objet d'un avenant ou d'une notification préalable selon les modalités prévues au contrat.

8. Transferts hors Union européenne

Plusieurs sous-traitants techniques de SignalAi sont établis aux États-Unis. Conformément aux articles 44 à 49 du RGPD, ces transferts sont encadrés par l'un des deux mécanismes suivants :

• Décision d'adéquation Data Privacy Framework (DPF) : pour les sous-traitants certifiés au DPF UE-États-Unis (décision d'exécution de la Commission européenne du 10 juillet 2023). Le DPF garantit un niveau de protection des données substantiellement équivalent à celui assuré dans l'Union européenne.
• Clauses Contractuelles Types (CCT) : pour les sous-traitants non certifiés DPF, contrats fondés sur les clauses adoptées par la Commission européenne le 4 juin 2021 (décision 2021/914), incluant les mesures techniques et organisationnelles complémentaires recommandées par le Comité européen de la protection des données.

FC-Invest SASU s'engage à exiger contractuellement de chacun de ses sous-traitants LLM la non-utilisation des données transmises pour l'entraînement de modèles. Cette clause est vérifiée à la signature et auditée à chaque renouvellement contractuel.

9. Durées de conservation

Conformément au principe de minimisation (art. 5.1.c et 5.1.e du RGPD), FC-Invest SASU applique des durées de conservation opérationnelles plus courtes que les durées maximales engagées contractuellement. La durée maximale constitue un plafond opposable au-delà duquel les données ne peuvent en aucun cas être conservées ; la durée opérationnelle correspond à la durée effectivement appliquée dans les systèmes de production.

Note technique : en cas de restauration depuis une sauvegarde contenant des données précédemment effacées au titre du droit à l'oubli (art. 17 RGPD), FC-Invest SASU s'engage à ré-exécuter la procédure d'effacement dans un délai de 7 jours suivant la restauration.

10. Mesures de sécurité

FC-Invest SASU met en œuvre les mesures techniques et organisationnelles suivantes pour assurer un niveau de sécurité adapté au risque (art. 32 RGPD) :

10.1 Mesures techniques

• Chiffrement HTTPS systématique (certificat TLS Let's Encrypt) sur l'ensemble du site signalai.fr.
• Authentification forte par clé cryptographique pour l'accès au serveur de pipeline (clé SSH ed25519, authentification par mot de passe désactivée).
• Chiffrement TLS 1.2+ de toutes les communications avec les sous-traitants.
• Cloisonnement strict des données par cabinet client dans la base de données (isolation logique par périmètre contractuel, avec engagement de migration vers une architecture de bases dédiées par client dans un délai de 60 jours suivant la signature du premier pilote commercial).
• Sauvegardes quotidiennes chiffrées en AES-256 externalisées chez un prestataire situé en Union européenne (Hetzner Online GmbH, Falkenstein, Allemagne), avec rétention 30 jours quotidiennes / 12 hebdomadaires / 12 mensuelles, et test de restauration automatisé exécuté mensuellement.
• Purge automatisée des données opérationnelles conformément aux durées documentées en section 9 (cron mensuel), et purge automatique des journaux d'exécution du pipeline d'orchestration à 14 jours.
• Journalisation des accès et des opérations sensibles, avec procédure de gestion des incidents documentée.

10.2 Mesures organisationnelles

• Inventaire des credentials et rotation périodique.
• Procédure documentée de gestion des incidents et notification dans les délais légaux (72h vis-à-vis de la CNIL en cas de violation présentant un risque pour les droits des personnes — art. 33 RGPD).
• Engagement de confidentialité de toute personne accédant aux données.
• Audit RGPD interne réalisé en avril 2026, audit isolation client formel réalisé le 29 avril 2026, audit externe envisagé après l'entrée en phase commerciale.
• Engagement contractuel envers les sous-traitants LLM de non-utilisation des données transmises pour l'entraînement de modèles (cf. section 8).

11. Vos droits et leur exercice

Conformément aux articles 15 à 22 du RGPD, vous disposez des droits suivants :

11.1 Comment exercer vos droits

Vous pouvez exercer ces droits en adressant votre demande à :

Pour des raisons de sécurité, FC-Invest SASU peut être amenée à vous demander un justificatif d'identité avant de répondre à votre demande, notamment en cas de doute raisonnable sur l'identité du demandeur (art. 12.6 RGPD).

Délai de réponse : un mois à compter de la réception de la demande, prorogeable de deux mois supplémentaires en cas de complexité particulière, avec information préalable du demandeur.

11.2 Droit d'opposition spécifique aux personnes liées aux entreprises analysées

Si vous êtes identifié dans un signal SignalAi au titre de votre fonction professionnelle et que vous souhaitez ne plus apparaître dans les analyses futures, il vous suffit de nous écrire. Votre demande sera traitée sous 30 jours et un identifiant minimal anonymisé sera conservé pour empêcher toute ré-collecte ultérieure.

11.3 Droit d'opposition spécifique aux prospects ayant rempli un auto-diagnostic ou demandé une démonstration

Si vous avez rempli un questionnaire d'auto-diagnostic ou demandé une démonstration via le site signalai.fr, vous pouvez vous opposer à toute communication de FC-Invest SASU à tout moment, sans avoir à justifier votre demande et selon des modalités simplifiées :

• Répondre STOP ou NE PLUS ME CONTACTER à n'importe quel email reçu de la part de SignalAi ou FC-Invest SASU.
• Ou écrire à contact@signalai.fr en mentionnant votre souhait de ne plus être contacté.

L'opposition est traitée immédiatement par enregistrement d'un statut technique opt-out horodaté en CRM, qui empêche toute relance ultérieure. Toute communication adressée à un prospect comporte par ailleurs un lien d'opposition simple.

FC-Invest SASU s'engage à ne pas adresser plus de 3 relances sur une fenêtre glissante de 6 mois à compter de la démarche initiale du prospect, et à archiver ou anonymiser les données de tout prospect n'ayant eu aucune interaction depuis 12 mois.

12. Réclamation auprès de la CNIL

Si vous estimez que vos droits ne sont pas respectés, vous disposez du droit d'introduire une réclamation auprès de l'autorité de contrôle française, la Commission Nationale de l'Informatique et des Libertés (CNIL) :

Adresse

3 place de Fontenoy, TSA 80715, 75334 Paris CEDEX 07

Site web

www.cnil.fr

Avant toute réclamation, nous vous encourageons à nous contacter directement pour rechercher une solution amiable.

13. Cookies et traceurs

Le site signalai.fr n'utilise aucun cookie de mesure d'audience, de publicité, de réseau social ou de profilage.

Seuls des cookies techniques strictement nécessaires au bon fonctionnement du site (session, sécurité) peuvent être déposés sur votre terminal. Conformément à l'article 82 de la loi Informatique et Libertés, ces cookies ne nécessitent pas le recueil préalable de votre consentement.

Vous conservez la possibilité de configurer votre navigateur pour bloquer ou supprimer ces cookies, sans impact significatif sur votre navigation.

14. Évolutions de cette politique

Cette politique de confidentialité peut être mise à jour pour tenir compte d'évolutions légales, techniques ou organisationnelles. La date de dernière mise à jour figure en haut du document. Toute modification substantielle fait l'objet d'une notification proactive auprès des cabinets clients liés par contrat.

14.1 Historique des versions publiques

L'historique complet des versions est tenu en interne et peut être communiqué sur demande.