Charte de protection des données personnelles — Datapult (Data Broker B2B)

Version : 20/10/2025 — Document provisoire « minimum acceptable » en attendant la version validée par nos avocats.

Datapult (« Datapult », « nous ») est un data broker B2B. Nous constituons, maintenons et commercialisons des données professionnelles sur des entreprises et leurs collaborateurs dans un contexte B2B, et proposons des services d’enrichissement et de mise à jour de bases (ex. web‑to‑SIREN / SIREN‑to‑web, automatisation marketing). La présente charte décrit nos traitements, les droits des personnes et nos engagements de conformité RGPD/ePrivacy.

Résumé express : nous traitons des données professionnelles issues d’open data, de sources publiques du web et de data brokers partenaires pour la prospection et l’enrichissement B2B. La base légale principale est l’intérêt légitime (avec droit d’opposition). Nous n’utilisons des cookies non essentiels qu’avec consentement. Vous pouvez exercer vos droits à tout moment.

1) Qui est responsable ?

Siège social : 6 Avenue de Creil, 60300 Senlis, France
SAS au capital de 1000 €
RCS SENLIS 951889625
Responsable de l’édition : Matthieu Mennessier

2) À qui s’applique cette charte ?

Aux personnes physiques agissant à titre professionnel (contacts et représentants d’entreprises, indépendants).
Aux visiteurs de notre site/app et aux utilisateurs de nos services.
Hors périmètre : consommateurs agissant à titre strictement personnel (B2C) — nos offres sont exclusivement B2B.

3) Quelles données traitons‑nous ?

Données d’identité/professionnelles : nom, prénom, civilité, fonction, service, niveau hiérarchique, coordonnées pro (email/téléphone/adresse), liens/identifiants publics (ex. page corporate, profil pro), identifiant interne.
Données d’entreprise : raison sociale, SIREN/SIRET, adresses, secteur/NAF‑APE, effectifs, CA (le cas échéant), dirigeants mandataires, liens sociaux.
Données de relation : historique des contacts, intérêts déclarés, statut opt‑out/objections, logs de délivrabilité.
Données de navigation (site/app) : pages vues, identifiants techniques, cookies/traceurs (voir §13).
Pas de données « sensibles » (art. 9 RGPD) ni de mineurs ciblés ; si collectées par erreur, nous les supprimons.

4) D’où proviennent les données ? (nos 3 sources principales)

Open Data : registres et publications officiels (ex. INPI, BODACC/JOAFE, ITC et autres bases publiques ou réutilisables).
Web / sources publiques & professionnelles : sites corporate, annuaires pro, communiqués, profils et pages librement accessibles sur des réseaux/projets professionnels, autres sources publiques sans contournement de mesures d’accès.
Data brokers externes : partenaires commerciaux indépendants nous vendant de la data B2B ; nous réalisons un contrôle de conformité (origine licite, information des personnes, mécanisme d’opposition, contrats adaptés).

Lorsque les données ne proviennent pas de la personne concernée, nous fournissons l’information Art. 14 dans un délai raisonnable (au plus tard 1 mois) ou lors du premier contact, et mettons à disposition un opt‑out simple et gratuit (§12).

5) Pour quelles finalités ? (et bases légales)

Finalité	Exemples	Base légale
Constitution, mise à jour et commercialisation de notre base de données B2B (licences, abonnements)	agrégation de données open data/web/partenaires, normalisation, déduplication, qualité	Intérêt légitime de fournir de l’info B2B fiable et à jour
Prospection B2B pour Datapult et pour nos clients (si mandatés)	identification de prospects, segmentation, envoi de messages en lien avec les fonctions	Intérêt légitime + droit d’opposition
Enrichissement / mise à jour de bases clients (web‑to‑SIREN, SIREN‑to‑web)	ajout/actualisation de champs pro, mapping, détection de doublons	Contrat (Datapult agit alors en sous‑traitant)
Exploitation du site/app	fourniture des services, support, facturation	Contrat
Mesure d’audience & cookies marketing	statistiques, personnalisation, retargeting	Consentement (sauf audience strictement exemptée)
Sécurité, prévention de la fraude, amélioration produit	logs, détection d’abus, tests	Intérêt légitime
Obligations légales	comptabilité, réponse aux autorités	Obligation légale

6) Rôles et responsabilités (qui fait quoi ?)

Datapult responsable de traitement : pour sa base B2B, sa prospection et son site/app.
Datapult sous‑traitant (art. 28) : pour les données confiées par un client (enrichissement/mise à jour ; nous traitons sur instructions et signons un DPA).
Co‑responsabilité (art. 26) possible si Datapult et un client co‑déterminent les finalités/moyens (accord écrit documentant les rôles).
Data brokers externes : agissent en responsables de leurs propres collectes (sauf contrat spécifique de sous‑traitance) ; nous exigeons des garanties contractuelles (origine licite, information, opt‑out, conformité transferts).

7) À qui les données sont‑elles communiquées ?

Équipes Datapult dûment habilitées (principe du besoin d’en connaître).
Clients (licences/exports B2B) et partenaires lorsque nécessaire à l’exécution d’un service légitime.
Sous‑traitants (hébergement, emailing/SMS, CRM, analytics, sécurité, prospection) liés par contrat art. 28.
Autorités/juridictions, conseils (avocats/auditeurs) lorsque la loi l’impose ou pour la défense de nos droits.

8) Transferts hors UE/EEE

Nous privilégions des prestataires situés dans l’UE/EEE. Si un transfert est nécessaire, nous l’encadrons par les Clauses Contractuelles Types 2021/914 et, le cas échéant, des mesures complémentaires (évaluation du pays de destination, chiffrement, minimisation). Nous pouvons fournir les informations de transfert sur demande.

9) Combien de temps conservons‑nous les données ?

Prospection B2B : 3 ans après le dernier contact émanant de la personne (ex. clic, réponse, demande d’info).
Clients/contrats/facturation : pendant la relation puis archives légales.
Données techniques / sécurité : durées proportionnées (généralement quelques mois).
Cookies/mesure d’audience : voir §13 (ex. ≤ 13 mois pour les cookies exemptés ; statistiques associées ≤ 25 mois).À l’échéance, suppression, anonymisation ou archivage intermédiaire sécurisé.

10) Vos droits

Vous disposez des droits d’accès, rectification, effacement, limitation, portabilité, opposition (en particulier à la prospection, y compris le profilage lié à celle‑ci) et du droit de retirer votre consentement à tout moment pour les traitements fondés sur le consentement.

Exercer vos droits : [email protected]
Délai de réponse : 1 mois (prolongeable de 2 mois en cas de complexité).
Réclamation : CNIL (www.cnil.fr) si vous estimez que vos droits ne sont pas respectés.

11) Prospection B2B : principes que nous appliquons

Messages en lien avec la fonction professionnelle du destinataire ; information claire et opt‑out immédiat dans chaque message ; limitation des relances ; respect des listes d’opposition internes.
B2C : hors périmètre — consentement requis.
Pas de décision produisant des effets juridiques fondée exclusivement sur des traitements automatisés (§16).

12) Information Art. 14 & mécanisme d’opposition

Pour les données collectées indirectement (open data, web public, data brokers partenaires), nous informerons la personne au plus tard sous 1 mois après l’obtention, ou lors du premier contact, avec :

l’identité de Datapult, les finalités, les bases légales, les destinataires, la durée de conservation, les transferts éventuels,
les droits et la facilité d’opposition à la prospection (lien de désinscription ou email dédié),
la source ou la catégorie de source (ex. registre public, site corporate, data broker).

Opt‑out universel : toute opposition est propagée à l’ensemble de nos systèmes et aux campagnes en cours sans délai injustifié.

13) Cookies & traceurs

Nous utilisons des cookies essentiels (sécurité, fonctionnement). Les cookies de mesure d’audience et marketing ne sont utilisés qu’avec votre consentement, sauf cas de mesure d’audience strictement limitée pouvant bénéficier d’une exemption (statistiques anonymisées, pas de recoupements, durée limitée, possibilité d’opposition).

Un bandeau permet d’accepter, refuser ou paramétrer les traceurs, avec un bouton « Refuser tout » au même niveau que « Accepter tout ». Vous pouvez retirer votre consentement à tout moment via « Gérer mes cookies ».

14) Sécurité

Mesures techniques et organisationnelles proportionnées : contrôle d’accès, authentification renforcée, chiffrement des données en transit et au repos (selon les cas), journalisation, sauvegardes, revue périodique des droits, cloisonnement environnement, sensibilisation du personnel, audit des prestataires critiques.

15) Violations de données

En cas d’incident susceptible d’engendrer un risque pour les personnes, nous notifierons l’autorité compétente (CNIL) dans les 72 heures et, en cas de risque élevé, informerons directement les personnes concernées, en précisant les mesures prises et les contacts utiles.

16) Décisions automatisées & profilage

Nous ne réalisons aucune décision produisant des effets juridiques fondée exclusivement sur un traitement automatisé. Nous effectuons des segmentations/scorings B2B (ex. appétence, secteur, taille) afin d’améliorer la pertinence des messages ; vous pouvez vous y opposer à tout moment (§10).

17) Sous‑traitants et documentation

Nous concluons des contrats de sous‑traitance (art. 28) avec nos prestataires (confidentialité, sécurité, assistance, notification d’incident, sous‑traitance ultérieure, transferts, fin de contrat). Nous tenons un registre des traitements et réalisons des analyses d’impact (AIPD/DPIA) lorsque nécessaire.

18) Mise à jour de la charte

Nous pouvons modifier cette charte pour tenir compte des évolutions légales, techniques ou de nos services. La date de version figure en tête ; en cas de changement substantiel, nous informerons les utilisateurs par tout moyen approprié (bandeau, email, notification in‑app).

Annexes (à publier ou tenir à disposition)

Exemples de sources d’open data : INPI (marques/brevets), BODACC/JOAFE (annonces légales), registres de commerce, répertoires d’entreprises, autorités statistiques, autres bases publiques réutilisables.
Exemples de sources web publiques : sites corporate (mentions légales/contact), communiqués de presse, annuaires professionnels, profils/projets ouverts au public.
Data brokers partenaires : [À compléter — liste/catégories, pays, mécanisme d’opposition].
Sous‑traitants : [À compléter — hébergeur, email/SMS, CRM, analytics, sécurité, prospection ; localisation ; transferts].
Contact : [email protected] — CNIL : www.cnil.fr