Politique de Confidentialité

1. Responsable du traitement

Le responsable est Foundster Corporate Services FZCO, IFZA Business Park – DDP, Building A1, Dubai Silicon Oasis, Émirats Arabes Unis. Licence n° 41494 délivrée par la Dubai Integrated Economic Zones Authority (DIEZ). Contact : support@foundster.com.

2. Catégories de données traitées

• Identification et contact : nom, e-mail, téléphone, nationalité, pays de résidence.
• Onboarding et KYC : passeport, Emirates ID, justificatif de domicile, échantillons de signature, bénéficiaires effectifs — obligatoire selon les règles AML/KYC des EAU.
• Compte et usage : identifiants (hachés), métadonnées de l'appareil/navigateur, IP, pages visitées, actions dans le CompanyCockpit.
• Données de paiement : traitées par Stripe ; Foundster ne stocke pas les numéros complets de carte.
• Données affiliés/tracking : identifiants de clic, cookies d'attribution, événements de conversion.
• Contenu volontaire : échanges avec Foundster AI, e-mails support, formulaires de contact.

3. Finalités et bases juridiques

• Fournir les Services — exécution du contrat.
• Respect des obligations légales (AML/CFT EAU, fiscal, registre) — obligation légale.
• Améliorer la plateforme, prévenir la fraude, maintenir la sécurité — intérêt légitime.
• Communications transactionnelles et (avec consentement) marketing — consentement.
• Programme d'affiliation — exécution du contrat et intérêt légitime à une attribution équitable.

3a. Outil Tax Check (foundster.com/tax-check)

Le Tax Check est un outil gratuit et anonyme qui produit une pré-analyse personnalisée de relocalisation fiscale aux EAU. Le flux de données diffère du reste des Services :

• Réponses du formulaire et notes de contexte facultatives : nettoyées, traitées côté serveur par notre moteur déterministe et envoyées à l'API OpenAI pour rédiger l'explication localisée. Foundster ne conserve pas les champs bruts du formulaire. L'appel désactive le stockage applicatif ; OpenAI n'entraîne pas ses modèles avec les données API par défaut et peut conserver les journaux de contrôle des abus jusqu'à 30 jours. Base juridique : art. 6(1)(b) RGPD / PDPL art. 5(2).
• Rapport généré : stocké dans notre base sous un jeton signé HMAC jusqu'à 30 minutes avant le déverrouillage. Ensuite, il reste disponible au maximum 60 minutes pour une nouvelle tentative d'envoi par e-mail, puis il est supprimé.
• Stockage de session du navigateur : le teaser et le rapport déverrouillé peuvent être mis en cache sur votre appareil pour survivre à un rechargement. Le nom et l'e-mail n'y figurent pas et l'entrée disparaît à la fin de la session de l'onglet.
• E-mail et nom (uniquement après soumission explicite du formulaire) : stockés pour livrer le rapport et — si vous avez coché l'option marketing — pour des mises à jour occasionnelles. Base juridique : consentement.
• Clé IP pseudonymisée : une valeur HMAC-SHA-256 dérivée de l'IP avec une clé secrète est conservée au maximum 24 heures pour appliquer la limite quotidienne (3 vérifications maximum par IP). L'IP brute n'est pas stockée dans cette table.
• Suivi marketing : uniquement avec consentement. Maximum trois e-mails de suivi. Désinscription en un clic.
• Droit à l'effacement : écrivez à support@foundster.com — nous supprimons votre Tax Check Lead sous 30 jours.

4. Cookies, stockage local et tracking

Nous utilisons des cookies strictement nécessaires pour l'authentification, la langue, l'attribution partenaire et la session de l'assistant de commande. Ils sont exemptés du consentement (considérant 30 RGPD / art. 5(3) seconde phrase Directive ePrivacy) car le site ne peut fonctionner sans eux.

Avec votre consentement explicite, nous chargeons également Google Analytics 4 (exploité par Google Ireland Ltd. comme co-responsable / Google LLC) pour comprendre l'utilisation agrégée de foundster.com. Nous exploitons Analytics en Google Consent Mode v2 avec l'état par défaut `denied` — aucune requête Analytics ne quitte votre navigateur tant que vous ne cliquez pas sur « Accepter » dans la bannière. L'IP est anonymisée (`anonymize_ip`), Google Signals et la personnalisation publicitaire sont désactivés. Base légale : votre consentement (art. 6(1)(a) RGPD / art. 4(1) PDPL). Vous pouvez retirer votre consentement à tout moment via Paramètres des cookies dans le pied de page ou en effaçant les cookies de votre navigateur.

• `foundster_consent_v2` (essentiel, défini par nous) — mémorise votre choix (`granted` / `denied`) ; 12 mois.
• `_ga` (analytique, uniquement après consentement) — distingue les utilisateurs pour Google Analytics ; 24 mois.
• `_ga_<container-id>` (analytique, uniquement après consentement) — état de session Google Analytics ; 24 mois.
• Stockage local — langue, attribution partenaire (365 jours), brouillon de commande. Aucun tiers ne lit ce stockage.

5. Destinataires et sous-traitants

• Stripe — traitement des paiements (Irlande/États-Unis).
• OpenAI Ireland Ltd. / sociétés affiliées OpenAI (API) — raisonnement textuel et narrateur du Tax Check ; les données API ne servent pas à l'entraînement par défaut.
• Google AI / Google Cloud (Gemini API) — OCR des passeports et analyse de qualité des images de documents, pas le narrateur du Tax Check.
• Google Ireland Ltd. / Google LLC — Google Analytics 4 (Irlande/États-Unis), uniquement après votre consentement à l'analytique.
• Mailgun (Sinch) — livraison d'e-mails transactionnels (Irlande/États-Unis) pour les rapports Tax Check et confirmations de commande.
• Railway Corporation — hébergement et déploiement (États-Unis).
• Outils de support sous contrats de sous-traitance.
• Nous ne vendons pas vos données personnelles.

6. Transferts internationaux de données

Les données peuvent être traitées hors des EAU (notamment UE/États-Unis). Pour les transferts, nous nous appuyons sur les Clauses Contractuelles Types, les décisions d'adéquation ou — selon l'article 22 PDPL — des garanties équivalentes. Copie disponible sur demande.

7. Conservation

Les données sont conservées uniquement le temps nécessaire aux finalités indiquées et au respect des durées légales EAU (généralement jusqu'à 5 ans après la fin de la relation commerciale).

8. Vos droits

Selon le PDPL et (si applicable) le RGPD, vous disposez des droits d'accès, de rectification, d'effacement, de limitation, d'opposition, de retrait du consentement et de portabilité. Vous pouvez introduire une réclamation auprès de l'UAE Data Office ou de votre autorité locale. Écrivez à support@foundster.com.

9. Sécurité

Nous appliquons des mesures techniques et organisationnelles adaptées : TLS 1.3 en transit, AES-256 au repos, accès par rôle, journalisation d'audit, principe du moindre privilège.

10. Modifications de cette politique

Nous mettons à jour cette politique en cas de changement de pratique. Les modifications substantielles sont communiquées par e-mail ou notification in-app.