Politique de Confidentialité

La présente Politique de Confidentialité s'applique également à l'application mobile MONOP'immobilier, distribuée sur l'App Store et éditée par MONOP CONSULTING - FZCO, ainsi qu'au site app.monopimmobilier.com. Les traitements de données décrits ci-dessous y sont identiques.

1. Préambule et engagement RGPD

La présente Politique de Confidentialité décrit la manière dont MONOP CONSULTING - FZCO, société de droit émirien immatriculée sous licence DIEZA n° 69593, exploitant la marque MyBulkDeal (en cours de dépôt), ci-après « MBD », collecte, utilise, conserve, protège et partage les données à caractère personnel des Utilisateurs de son site internet www.mybulkdeal.com (ci-après le « Site ») et, plus largement, des personnes avec lesquelles MBD entre en relation dans le cadre de son activité de conseil en structuration de véhicules d'acquisition immobilière et de mise en relation avec une agence partenaire RERA et de structuration de SPV à Dubaï.

MBD est immatriculée aux Émirats Arabes Unis ; néanmoins, son activité cible majoritairement des résidents de l'Union européenne. En conséquence, MBD se soumet volontairement au Règlement (UE) 2016/679 du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données (ci-après le « RGPD ») pour l'ensemble des traitements visant des résidents de l'Union européenne, ainsi qu'à la loi française n° 78-17 du 6 janvier 1978 modifiée dite « Informatique et Libertés ».

MBD applique en outre les bonnes pratiques publiées par la Commission Nationale de l'Informatique et des Libertés (CNIL) en matière de cookies, de durée de conservation et de droits des personnes.

2. Identité du Responsable de Traitement

Le responsable des traitements de données à caractère personnel mis en œuvre sur le Site et dans le cadre de l'activité de MBD est :

• Raison sociale : MONOP CONSULTING - FZCO (exploitant la marque MyBulkDeal, en cours de dépôt)
• Free zone : DIEZA — IFZA / Dubai Silicon Oasis
• Numéro de licence : 69593 (Registration 67866 — TRN 105196807900001)
• Siège social : IFZA Business Park, DDP, Building A1, Dubai Silicon Oasis, PO Box 342001, Dubai, Émirats Arabes Unis
• Représentant légal : Monsieur Philippe Olivier Christian Madelaine RODRIGUES, en sa qualité de Director et General Manager
• Délégué à la Protection des Données (DPO) :le point de contact RGPD désigné par MONOP CONSULTING - FZCO, joignable à l'adresse privacy@mybulkdeal.com

3. Représentant dans l'Union européenne (article 27 RGPD)

Conformément à l'article 27 du RGPD, MBD étant établie hors de l'Union européenne et offrant des services à des personnes situées dans l'Union européenne, MBD désigne un représentant dans l'Union :

• Représentant UE :Prighter Group, agissant sous la marque Prighter, désigné par MONOP CONSULTING - FZCO comme représentant dans l'Union européenne au sens de l'article 27 du RGPD
• Adresse : Kärntner Ring 5-7, 4. Stock, 1010 Vienna, Autriche
• Contact : monop-consulting@prighter.com

Le représentant UE peut être contacté pour toute question relative au traitement des données à caractère personnel des résidents de l'Union européenne, en sus du DPO de MBD.

3.bis. Hébergeur et sous-traitants techniques

Hébergeur du Site(au sens de l'article 6 de la LCEN) : Vercel Inc., société de droit du Delaware, dont le siège est situé 440 N Barranca Avenue #4133, Covina, California 91723, États-Unis d'Amérique, joignable à l'adresse privacy@vercel.com. Vercel agit comme sous-traitant au sens de l'article 28 RGPD pour la fourniture, le caching et la délivrance des pages du Site aux Utilisateurs.

Le code du Site est exécuté dans la région cdg1 (Paris, France) du réseau Vercel.

Base de données, authentification et stockage des fichiers : Supabase, Inc., joignable à l'adresse privacy@supabase.io. Supabase agit comme sous-traitant au sens de l'article 28 RGPD pour le stockage des données d'authentification, des données de profil, des données métier saisies dans la Plateforme et des documents qui y sont déposés. Les données sont hébergées sur l'infrastructure Amazon Web Services (AWS) dans la région eu-west-2 — Londres, Royaume-Uni. Le Royaume-Uni fait l'objet d'une décision d'adéquation de la Commission européenne au titre de l'article 45 du RGPD, renouvelée le 19 décembre 2025 et valable jusqu'au 27 décembre 2031.

Liste des sous-traitants techniques.Outre l'hébergement, MBD recourt aux sous-traitants suivants pour l'exploitation de la Plateforme :

Les traitements confiés à ces sous-traitants sont encadrés par les clauses de sous-traitance (Data Processing Agreement) publiées par chacun d'eux, conformes aux exigences de l'article 28 du RGPD et incorporées aux conditions contractuelles acceptées par MBD. Les transferts de données vers des juridictions hors Espace économique européen ne bénéficiant pas d'une décision d'adéquation sont encadrés par les Clauses Contractuelles Types (CCT) publiées par la Commission européenne (Décision d'exécution (UE) 2021/914 du 4 juin 2021), complétées le cas échéant de mesures supplémentaires d'organisation et de sécurité.

Cette liste est tenue à jour. Toute demande de précision sur un sous-traitant, sur la localisation d'un traitement ou sur les garanties applicables peut être adressée au DPO à privacy@mybulkdeal.com.

4. Catégories de données collectées

Dans le cadre de l'accès au Site et de la mise en relation avec MBD, les catégories de données à caractère personnel suivantes sont susceptibles d'être collectées :

• Données d'identification :nom, prénom, date et lieu de naissance, nationalité, copie de la pièce d'identité
• Coordonnées : adresse postale, adresse électronique, numéro de téléphone fixe et mobile
• Données fiscales :numéro d'identification fiscale (NIF / TIN), pays de résidence fiscale, statut FATCA/CRS
• Données financières :justificatifs d'origine des fonds, relevés bancaires, IBAN, capacité d'investissement
• Données professionnelles :profession, secteur d'activité, expérience en matière d'investissement, qualification d'Investisseur Qualifié ou Non-Qualifié
• Données techniques :adresse IP, type et version du navigateur, système d'exploitation, identifiants de connexion, horodatage des connexions, logs techniques
• Données comportementales : pages consultées sur le Site, parcours de navigation, formulaires remplis, données déposées par les cookies
• Données de contact apporteur :pour les Apporteurs d'Affaires, raison sociale, numéro de carte T ou RERA, taux de commission convenu, historique des présentations

5. Finalités du traitement et bases légales

Chaque traitement de données à caractère personnel mis en œuvre par MBD repose sur une finalité déterminée, explicite et légitime, ainsi que sur une base légale précise au sens de l'article 6 du RGPD. Le tableau ci-dessous récapitule les principales finalités :

6. Destinataires des données

Les données à caractère personnel collectées par MBD sont destinées aux personnels habilités de MBD, dans la stricte mesure de leurs attributions. Elles peuvent également être communiquées, dans la limite de ce qui est strictement nécessaire à la finalité poursuivie, aux destinataires suivants :

• (i) l'équipe de MBD habilitée à traiter les dossiers Investisseurs (commercial, structuration, conformité, comptabilité) ;
• (ii) l'agent corporate émirien en charge de la constitution et de l'immatriculation des SPV ;
• (iii) l'établissement bancaire émirien en charge de l'ouverture du compte de la SPV et du compte séquestre ;
• (iv) le prestataire de gestion locative désigné par la SPV pour l'exploitation du Bien ;
• (v) les conseils externes de MBD (avocats, experts-comptables, commissaires aux comptes), tenus à une obligation de confidentialité ;
• (vi) les autorités fiscales émiriennes et, le cas échéant, les autorités fiscales du pays de résidence de l'Investisseur dans le cadre des échanges automatiques d'informations (CRS, FATCA) ;
• (vii) les autorités administratives et judiciaires, sur réquisition régulière ;
• (viii) les sous-traitants techniques de MBD (hébergement du Site, messagerie, signature électronique, outils de KYC), encadrés par un contrat conforme à l'article 28 du RGPD.

MBD ne procède à aucune vente, location ou cession des données à caractère personnel de l'Utilisateur à des tiers à des fins commerciales.

7. Transferts de données hors Union européenne

Compte tenu de l'implantation de MBD aux Émirats Arabes Unis et du fait que la prestation de structuration et de gestion des SPV est exécutée à Dubaï, les données à caractère personnel des Utilisateurs résidents de l'Union européenne font l'objet d'un transfert hors Union européenne, vers les Émirats Arabes Unis. Les Émirats Arabes Unis ne bénéficient pas, à ce jour, d'une décision d'adéquation de la Commission européenne au sens de l'article 45 du RGPD.

En conséquence, MBD encadre ces transferts par la mise en place :

• (i) des Clauses Contractuelles Types (CCT) adoptées par la Commission européenne par décision d'exécution (UE) 2021/914 du 4 juin 2021, signées entre MBD (en qualité d'importateur) et le représentant UE ou, le cas échéant, l'Utilisateur lui-même ;
• (ii) d'une analyse d'impact relative au transfert (Transfer Impact Assessment ou « TIA ») documentée et mise à jour ;
• (iii) de mesures supplémentaires techniques (chiffrement en transit et au repos) et organisationnelles (limitation des accès, journalisation, sensibilisation) destinées à compenser les éventuelles lacunes du cadre juridique du pays destinataire.

Une copie des garanties applicables peut être obtenue sur demande adressée au DPO à l'adresse privacy@mybulkdeal.com.

8. Durées de conservation

Les données à caractère personnel sont conservées pendant une durée n'excédant pas celle nécessaire à la réalisation des finalités pour lesquelles elles ont été collectées, augmentée le cas échéant des délais légaux de prescription et d'obligation de conservation.

À l'expiration de ces durées, les données sont supprimées ou anonymisées de manière irréversible.

9. Droits des personnes concernées

Conformément aux articles 15 à 22 du RGPD, l'Utilisateur dispose, sous réserve des conditions et limitations prévues par le RGPD, des droits suivants sur ses données à caractère personnel :

• Droit d'accès (art. 15) : obtenir la confirmation que ses données sont traitées et en recevoir une copie
• Droit de rectification (art. 16) : faire corriger des données inexactes ou incomplètes
• Droit à l'effacement (art. 17) : faire supprimer ses données, dans la mesure où aucune obligation légale ne fait obstacle
• Droit à la limitation du traitement (art. 18)
• Droit à la portabilité (art. 20) : recevoir ses données dans un format structuré, couramment utilisé et lisible par machine
• Droit d'opposition (art. 21) :au traitement fondé sur l'intérêt légitime ou à la prospection commerciale
• Droit de retirer le consentement à tout moment, sans que ce retrait ne porte atteinte à la licéité des traitements fondés sur le consentement antérieurement au retrait
• Droit de définir des directives relatives au sort de ses données après son décès (article 85 de la loi Informatique et Libertés)
• Droit d'introduire une réclamationauprès de la Commission Nationale de l'Informatique et des Libertés (CNIL — www.cnil.fr) ou de toute autre autorité de contrôle compétente

10. Modalités d'exercice des droits

L'Utilisateur peut exercer l'ensemble de ses droits en adressant un courrier électronique à privacy@mybulkdeal.com, ou un courrier postal au siège de MBD à l'attention du DPO. Afin de permettre à MBD de répondre à sa demande, l'Utilisateur est invité à préciser l'objet de sa demande et à joindre la copie d'un document d'identité en cours de validité. Cette pièce est conservée le strict temps nécessaire au traitement de la demande, puis détruite.

MBD s'engage à apporter une réponse dans un délai d'un (1) mois à compter de la réception de la demande, prorogeable de deux (2) mois supplémentaires en cas de demande complexe ou de demandes multiples. En cas de refus de donner suite à la demande, MBD en informera l'Utilisateur de manière motivée et l'informera de son droit d'introduire une réclamation auprès de la CNIL.

11. Sécurité

MBD met en œuvre les mesures techniques et organisationnelles appropriées pour garantir un niveau de sécurité adapté au risque, conformément à l'article 32 du RGPD. À ce titre, MBD a notamment mis en place :

• le chiffrement des échanges entre le navigateur de l'Utilisateur et le Site au moyen du protocole TLS (HTTPS) ;
• le chiffrement au repos des bases de données contenant des données à caractère personnel ;
• le contrôle des accès logiques fondé sur le principe du moindre privilège, avec authentification renforcée pour les comptes administrateurs ;
• la journalisation et la conservation des logs d'accès pendant douze (12) mois à des fins de détection des intrusions ;
• la mise en place de sauvegardes régulières, chiffrées et stockées séparément des systèmes de production ;
• la sensibilisation et la formation régulières du personnel à la protection des données et à la sécurité de l'information ;
• l'encadrement contractuel des sous-traitants au moyen de clauses conformes à l'article 28 du RGPD ;
• une procédure documentée de notification des violations de données à caractère personnel à l'autorité de contrôle compétente dans le délai de soixante-douze (72) heures.

12. Cookies

Les conditions d'utilisation des cookies sur le Site, les finalités poursuivies, la liste des cookies déposés, leur durée et les modalités de recueil ou de retrait du consentement sont décrites dans la Politique Cookies, accessible depuis le pied de page du Site et à laquelle il est expressément renvoyé.

13. Évolution de la présente Politique

MBD se réserve le droit de modifier la présente Politique de Confidentialité à tout moment, afin de tenir compte de l'évolution de la réglementation, de la jurisprudence, de la doctrine des autorités de contrôle, ou des évolutions techniques et organisationnelles internes. Toute modification substantielle fera l'objet d'une information préalable des Utilisateurs disposant d'un compte sur le Site, par courrier électronique adressé à leur dernière adresse connue, et d'une mise en évidence sur la page d'accueil du Site.

Date d'entrée en vigueur de la présente Politique de Confidentialité : 1er juin 2026.