RGPD

1. Responsable du traitement

Le responsable des traitements décrits sur cette page est HERMITAGE CAPITAL, société par actions simplifiée immatriculée au registre du commerce et des sociétés de Nantes sous le numéro 109 856 716, dont le siège se trouve 72 rue Félibien, 44000 Nantes. Pour toute question sur vos données, écrivez à contact@hermitage-capital.fr ou à cette adresse postale.

2. Consultation du site

La consultation du site ne dépose aucun cookie et ne garde rien dans votre navigateur. Elle ne fait appel à aucun autre site : ni mesure d’audience, ni publicité, ni police de caractères ou carte servie d’ailleurs.

Comme tout serveur, celui du site inscrit dans son journal l’adresse IP, la page demandée, la date et le navigateur de chaque visite. Ce journal sert à la sécurité du service, sur le fondement de l’intérêt légitime d’Hermitage Capital (article 6, paragraphe 1, f du RGPD) ; il s’efface au bout de quatorze jours. Quand une page rencontre une erreur technique, le navigateur la signale au serveur avec l’adresse de la page, le message de l’erreur et le nom du navigateur, sans adresse IP.

L’assistant « Une question ? » répond dans votre navigateur, à partir des textes du site : aucune question tapée n’est transmise au serveur ni conservée.

3. Demandes de contact et opportunités

Le formulaire de contact recueille votre nom, votre prénom, votre adresse électronique, votre message et, si vous les donnez, votre téléphone et votre qualité. La plateforme y joint la page par laquelle vous êtes arrivé sur le site, avec la campagne qui vous y a conduit le cas échéant. Ces informations servent à traiter votre demande puis à vous recontacter, sur le fondement de votre consentement, donné en cochant la case prévue (article 6, paragraphe 1, a du RGPD) ; sa date et la version du texte accepté sont gardées avec la demande. Une seconde case, facultative, recueille votre accord pour recevoir des informations d’Hermitage Capital par courriel.

L’encadré « Recevoir nos opportunités » enregistre votre seule adresse électronique, avec la date et la version de votre accord, pour vous adresser par courriel les opportunités d’Hermitage Capital. Cet accord se retire à tout moment, par le lien inscrit dans chaque courriel ou par le formulaire de contact.

La réception d’une demande ne déclenche l’envoi d’aucun courriel ; elle ne transmet rien à un service extérieur. Seuls les dirigeants et le secrétariat d’Hermitage Capital la lisent, dans l’espace de gestion de la plateforme. La réponse que l’équipe vous adresse depuis la plateforme part par le service d’envoi décrit au point 5.

4. Investisseurs et associés

Pour ses associés-investisseurs comme pour les investisseurs qu’elle connaît ou qui lui sont présentés, Hermitage Capital tient sur la plateforme :

• l’identité, les coordonnées et le profil d’investisseur, avec les notes de suivi de la relation ;
• les pièces demandées avant une souscription (pièce d’identité, justificatif de domicile, origine des fonds), leur date, la qualité éventuelle de personne politiquement exposée ;
• les souscriptions, les versements, les mouvements bancaires reçus, les distributions et la quote-part de résultat de chacun ;
• le compte de l’espace investisseur, dont le mot de passe est conservé sous une forme hachée qui ne permet pas de le relire ;
• pour une signature électronique faite sur la plateforme, l’adresse IP et le navigateur du signataire.

Ces traitements reposent sur l’exécution des souscriptions et la gestion des parts (article 6, paragraphe 1, b du RGPD), sur les obligations légales, comptables et fiscales des sociétés concernées (c), enfin sur l’intérêt légitime d’Hermitage Capital à connaître ses associés et à leur présenter ses opérations (f). Chaque courriel qu’elle adresse à un investisseur depuis la plateforme contient un lien qui permet de ne plus en recevoir.

5. Courriels de la plateforme

Les invitations, les réinitialisations de mot de passe, les avis de suivi et les réponses aux demandes partent par Brevo, service d’envoi de courriels établi en France. Brevo reçoit l’adresse du destinataire, l’objet et le corps du message ; il indique à la plateforme la remise ou le refus de chaque courriel. Les réponses adressées à la plateforme lui parviennent par le même service.

Un dirigeant peut aussi relier à la plateforme sa propre messagerie : les courriels qu’il adresse aux investisseurs partent alors de sa boîte, dont le fournisseur garde une copie parmi les messages envoyés. Pour préparer la proposition d’une opération à un investisseur, la plateforme y lit, sans les conserver, la date et l’objet des derniers échanges avec lui, leur texte quand il en était le seul destinataire. Les adresses @hermitage-capital.fr sont hébergées par PlanetHoster.

6. Destinataires et sous-traitants

Les données ne sont ni vendues ni louées. Les dirigeants et le secrétariat d’Hermitage Capital y accèdent selon leurs droits ; chaque associé-investisseur voit les siennes dans son espace. Elles sont traitées pour le compte d’Hermitage Capital par :

• MEDIANE, qui développe la plateforme, l’exploite et en assure le support ;
• OVH SAS (OVHcloud), qui héberge la plateforme, ses données et leurs sauvegardes chiffrées dans ses centres de données français ;
• Brevo, pour l’envoi et la réception des courriels de la plateforme ;
• le fournisseur de la messagerie que relie un dirigeant, PlanetHoster pour les adresses @hermitage-capital.fr ;
• Google, quand un dirigeant relie son Drive : la plateforme y lit les dossiers qu’il désigne et y range les pièces des opérations, sans y déposer aucune pièce nominative d’un investisseur ;
• FreeTSA, service d’horodatage, qui ne reçoit qu’une empreinte de chaque document signé.

La plateforme n’envoie aucune donnée à un modèle d’intelligence artificielle.

7. Lieux de traitement

La plateforme, ses données et leurs sauvegardes sont hébergées en France. La démonstration de la plateforme est servie depuis Londres, derrière un accès protégé ; le Royaume-Uni bénéficie d’une décision d’adéquation de la Commission européenne. Les pièces rangées dans un Drive Google peuvent être traitées aux États-Unis : la décision d’adéquation de la Commission européenne du 10 juillet 2023 couvre ces transferts vers les entreprises qui adhèrent au cadre de protection des données entre l’Union européenne et les États-Unis, dont Google.

8. Durées de conservation

• journal du serveur (adresse IP, page, navigateur) : quatorze jours ;
• signalements d’erreurs techniques : quatre-vingt-dix jours ;
• session de connexion : huit heures ;
• demande de contact : trois ans au plus après votre dernier échange avec Hermitage Capital, sauf si elle ouvre une relation d’investissement ;
• inscription aux opportunités : jusqu’au retrait de votre accord, trois ans au plus après votre dernier contact avec Hermitage Capital ;
• données d’un investisseur ou d’un associé : toute la durée de la relation, puis cinq ans après sa fin ;
• pièces comptables des souscriptions, des versements et des distributions : dix ans, comme l’exige le code de commerce ;
• preuves des consentements et des envois : la durée de la relation, puis celle de la prescription des actions qui pourraient les mettre en cause ;
• sauvegardes chiffrées : quatre-vingt-dix jours au plus.

9. Cookies

La plateforme pose des cookies dans le seul navigateur d’une personne qui se connecte à son compte. Strictement nécessaires au service demandé, ils sont exemptés de consentement (article 82 de la loi du 6 janvier 1978) :

• hermitage_session : la session de connexion, illisible par les scripts de la page, huit heures ;
• hermitage_temoin : signale à la page qu’une session est ouverte, huit heures ;
• hermitage_drive_etat : protège la liaison d’un Drive Google par un dirigeant, dix minutes.

Aucun cookie de mesure d’audience ni de publicité n’est employé.

10. Sécurité

Les échanges avec le site sont chiffrés (HTTPS). Les mots de passe sont conservés sous forme hachée ; les accès aux messageries et aux Drive reliés sont chiffrés en base ; les sauvegardes sont chiffrées, leur clé restant hors des serveurs qui les gardent. Chaque compte n’accède qu’aux données de son rôle.

11. Vos droits

Vous disposez des droits suivants sur vos données :

• y accéder, les faire rectifier ou effacer, en faire limiter le traitement ;
• vous opposer à un traitement fondé sur l’intérêt légitime, à tout moment quand il s’agit de prospection ;
• recevoir celles que vous avez fournies, dans un format lisible par une machine, quand leur traitement repose sur votre consentement ou sur un contrat ;
• retirer à tout moment un consentement donné, sans effet sur les traitements faits auparavant.

Pour les exercer, écrivez à contact@hermitage-capital.fr, à HERMITAGE CAPITAL, 72 rue Félibien, 44000 Nantes, ou passez par le formulaire de contact. Hermitage Capital vous répond dans un délai d’un mois.

Vous pouvez adresser une réclamation à la Commission nationale de l’informatique et des libertés (CNIL), 3 place de Fontenoy, 75007 Paris, ou sur www.cnil.fr.