Déclaration de confidentialité

1 À propos de cette Déclaration de confidentialité

Cette Déclaration de confidentialité explique comment le Groupe Fourthline (tel que défini ci-dessous) collecte et traite vos données à caractère personnel. Elle décrit quelles données à caractère personnel nous traitons, à quelles fins, sur quelles bases juridiques, pendant combien de temps nous les conservons et quels sont vos droits.

Cette Déclaration de confidentialité s'applique lorsque vous :

• visitez ou utilisez nos sites web, portails ou applications (ensemble : les « Sites web ») ;

• utilisez nos Services (tels que définis ci-dessous) ;

• visitez nos bureaux ;

• êtes intégré en tant que client par l'intermédiaire de sociétés qui utilisent nos Services (les « Partenaires commerciaux ») et dont vous souhaitez utiliser les services financiers ; ou

• êtes le représentant de l'un de nos Partenaires commerciaux, prospects, fournisseurs ou prestataires.

Cette Déclaration de confidentialité aborde les sujets suivants :

1. À propos de cette Déclaration de confidentialité

2. Qui nous sommes

3. Droit applicable

4. Comment nous collectons vos données à caractère personnel

5. Finalités du traitement, catégories de données à caractère personnel et bases juridiques

6. Prise de décision automatisée

7. Utilisation de l'intelligence artificielle

8. Mineurs

9. Avec qui nous partageons vos données et pourquoi

10. Cookies

11. Vos droits

12. Votre obligation de fournir des données

13. Combien de temps nous conservons vos données à caractère personnel

14. Comment nous protégeons vos données à caractère personnel

15. Comment vous pouvez contribuer à la sécurité de vos données

16. Nous contacter

Nous pouvons mettre à jour cette Déclaration de confidentialité de temps à autre afin de refléter les évolutions du droit applicable ou de nos activités de traitement. La version la plus récente est toujours disponible sur notre Site web. Nous vous recommandons de consulter cette page régulièrement.

2 Qui nous sommes

2.1 Groupe Fourthline

Le Groupe Fourthline fournit des services de vérification d'identité, de prévention de la fraude et des services connexes (les « Services »), aidant les institutions financières à vérifier l'identité de leurs clients afin de respecter leurs obligations réglementaires en vertu de la législation anti-blanchiment applicable.

Aux fins de cette Déclaration de confidentialité, le « Groupe Fourthline » désigne uniquement les deux entités suivantes, chacune agissant en tant que responsable du traitement indépendant de vos données à caractère personnel, selon le contexte :

Fourthline Payments est un établissement de paiement réglementé, agréé par la Banque centrale des Pays-Bas (De Nederlandsche Bank N.V. (DNB)) pour fournir des Services de paiement. Elle permet également à d'autres institutions financières de s'appuyer sur les mesures de vigilance à l'égard de la clientèle effectuées par Fourthline Payments conformément à la législation néerlandaise anti-blanchiment.

Fourthline fournit également des Services de vérification d'identité, de prévention de la fraude et des services connexes en sous-traitance à ses Partenaires commerciaux. Dans ces cas, Fourthline agit généralement en tant que sous-traitant pour le compte du Partenaire commercial concerné, et le traitement des données à caractère personnel en cette qualité n'est pas couvert par cette Déclaration de confidentialité. Toutefois, lorsque Fourthline traite des données à caractère personnel en tant que responsable du traitement indépendant dans le but d'améliorer ses Services, ce traitement est couvert par cette Déclaration de confidentialité, comme détaillé à la section 2.1.2 ci-dessous.

Lorsque cette Déclaration de confidentialité fait référence à « nous », « notre » ou « nos », elle désigne l'une ou l'autre de ces entités, ou les deux, selon le contexte. Lorsqu'une section spécifique ne s'applique qu'à une seule entité, cela est expressément indiqué.

2.2 Quelle entité est responsable de vos données ?

• Fourthline Payments est le responsable du traitement pour l'ensemble des traitements de vos données à caractère personnel liés à votre intégration en tant que client de Fourthline Payments et/ou à la fourniture de Services de paiement (le « Client »).

• Fourthline et Fourthline Payments sont toutes deux responsables du traitement indépendantes pour le traitement de vos données à caractère personnel lié à l'amélioration de leurs Services respectifs.

3 Droit applicable

Le Groupe Fourthline traite avec le soin requis les données à caractère personnel qu'il reçoit via ses Sites web et par tout autre moyen. Nous traitons les données à caractère personnel conformément :

• au Règlement général sur la protection des données (Règlement (UE) 2016/679) (le « RGPD ») ; et

• à la loi néerlandaise d'application du RGPD (Uitvoeringswet Algemene verordening gegevensbescherming).

4 Comment nous collectons vos données à caractère personnel

Nous pouvons recevoir vos données à caractère personnel de la manière suivante :

• directement de votre part, lorsque vous utilisez nos Services ou communiquez avec nous par e-mail, téléphone ou d'autres moyens électroniques ;

• des Partenaires commerciaux, c'est-à-dire des sociétés dont vous souhaitez utiliser les services financiers et qui font appel à Fourthline pour vérifier votre identité ; et

• de fournisseurs de données tiers, tels que les fournisseurs de listes de sanctions, de listes relatives au financement du terrorisme et de listes de personnes politiquement exposées (PPE).

5 Finalités du traitement, catégories de données à caractère personnel et bases juridiques

Les données à caractère personnel désignent toute information vous concernant ou pouvant vous être rattachée. Nous décrivons ci-dessous, pour chaque finalité, les données à caractère personnel que nous traitons et la base juridique applicable.

5.1 Vérification d'identité et filtrage LCB (AML)

5.1.1 Finalité du traitement

En tant qu'établissement de paiement agréé, Fourthline Payments est légalement tenue de vérifier l'identité de ses Clients et de les contrôler au regard des listes de surveillance applicables avant et pendant une relation d'affaires. Cette obligation découle notamment de la loi néerlandaise sur la prévention du blanchiment de capitaux et du financement du terrorisme (Wet ter voorkoming van witwassen en financieren van terrorisme, la « Wwft ») et de la loi néerlandaise sur les sanctions (Sanctiewet 1977). Cela inclut l'utilisation de l'IA à cette fin ; veuillez consulter la section 8 pour plus d'informations.

En pratique, ces exigences consistent en deux contrôles distincts mais liés :

1. Vérification d'identité - confirmer que vous êtes bien la personne que vous prétendez être :

   • Qui êtes-vous ? Nous vérifions que vous êtes bien la personne que vous prétendez être. Pour cela, vous prenez une photo de votre document d'identité (passeport ou carte d'identité, par exemple) ainsi qu'un selfie et/ou une courte vidéo de votre visage. Nous les comparons pour nous assurer que le document vous appartient et que vous êtes physiquement présent lors du contrôle. Nous évaluons en outre si le document est entièrement visible et lisible, et vérifions s'il comporte les éléments (de sécurité) attendus.

   • Votre document est-il authentique ? Nous vérifions que votre document d'identité est authentique et qu'il n'a pas été altéré ou falsifié. Nous examinons également certaines caractéristiques du document, comme la mise en page et les mentions imprimées.

   • Quel est votre score de risque de vérification d'identité ? Sur la base des contrôles d'identité et de document décrits ci-dessus, nous calculons un score de risque global pour votre vérification. Ce score résulte de plusieurs contrôles portant sur des facteurs tels que votre identité, l'authenticité du document, des indicateurs géographiques et des signaux de conformité. Chaque contrôle contribue au score total par une valeur pondérée. Le score final détermine si vous êtes classé à risque faible, moyen, élevé ou inacceptable, et sur cette base nous déterminons si nous pouvons vous accepter en tant que Client.

2. Filtrage LCB - évaluer si vous présentez un risque de criminalité financière :

   • Figurez-vous sur une liste (de surveillance) ? Nous vérifions si votre nom et vos données personnelles correspondent à ceux d'une personne figurant sur les listes de sanctions applicables, les listes de surveillance des personnes politiquement exposées (PPE) ou dans des articles de presse défavorables. Si vos données correspondent à une personne figurant sur l'une de ces listes, nous poursuivons l'enquête pour déterminer si vous êtes effectivement la même personne.

   • Quel est votre score de risque de filtrage LCB ? Lorsque vos données personnelles semblent correspondre à celles d'une personne figurant sur une liste de surveillance, nous évaluons séparément la probabilité que vous soyez effectivement la même personne que cette personne listée. Pour cela, nous comparons vos données personnelles (nom, date de naissance, âge, localisation, nationalité, sexe et lieu de naissance, par exemple) à celles de la personne listée. Chaque donnée se voit attribuer un score pondéré selon son degré de correspondance, ce qui produit un score de risque global de concordance déterminant si nous pouvons vous accepter en tant que Client.

5.1.2 Données à caractère personnel utilisées

Selon le Partenaire commercial dont vous souhaitez utiliser les services financiers, nous pouvons traiter les données à caractère personnel suivantes :

• Données d'identité de base : nom complet, date de naissance, lieu de naissance, nationalité, sexe, photographies selfie et enregistrements vidéo, adresse, adresse e-mail et numéro de téléphone ;

• Données du document d'identité : type de document, photo du document (recto et verso), numéro du document, date de délivrance, date d'expiration, pays de délivrance, autorité de délivrance ;

• Données biométriques : géométrie faciale extraite des photographies selfie et des enregistrements vidéo, et score de similarité faciale qui en découle (données de catégorie particulière au sens de l'art. 9 du RGPD) ;

• Données de filtrage LCB : statut de PPE, toute présence sur une liste de sanctions, tout article de presse défavorable vous concernant. Les données vous concernant (nom, date de naissance, nationalité, sexe, localisation et lieu de naissance, par exemple) sont comparées aux bases de données de listes de surveillance, y compris les listes de sanctions, les listes de PPE et les articles de presse défavorables.

• Données dérivées et déduites : scores de risque KYC, résultats de vérification et autres résultats générés par les algorithmes ou les processus analytiques de Fourthline ;

• Données de communication : correspondance entre vous et Fourthline.

5.1.3 Base juridique et catégories particulières de données

La base juridique du traitement de vos données à caractère personnel aux fins de vérification d'identité et de filtrage LCB dépend du type de données traitées :

• Le traitement de vos données d'identité et de document, de vos données de filtrage LCB et de vos données dérivées et déduites repose sur une obligation légale, en particulier nos obligations au titre de la Wwft et de la Sanctiewet 1977 de mettre en œuvre des mesures de vigilance à l'égard de la clientèle et de contrôler les clients au regard des listes de surveillance applicables.

• Le traitement de vos données biométriques repose sur l'exécution d'un contrat. La vérification biométrique est nécessaire pour établir votre identité dans le cadre de l'établissement d'une relation avec vous en tant que Client. Si la Wwft nous impose de vérifier votre identité, elle ne prescrit pas la méthode à employer. Nous recourons à la vérification biométrique parce qu'elle constitue la méthode la plus fiable et la plus proportionnée pour vérifier l'identité dans un contexte d'intégration à distance.

Les données biométriques constituant une catégorie particulière de données à caractère personnel au sens de l'article 9 du RGPD, nous nous appuyons en outre sur l'exception tenant à un motif d'intérêt public important (art. 9, paragraphe 2, point g) du RGPD) pour le traitement de vos données biométriques, en particulier aux fins d'authentifier votre identité dans le cadre de nos obligations légales de vigilance à l'égard de la clientèle et à des fins de sécurité connexes.

5.2 Services de paiement

5.2.1 Finalité du traitement

Lorsque Fourthline Payments vous fournit des services de paiement en tant que Client, il est nécessaire de traiter certaines données à caractère personnel afin d'exécuter et de gérer les opérations de paiement. Cela inclut l'initiation, le traitement et l'enregistrement des opérations de paiement pour votre compte.

5.2.2 Données à caractère personnel utilisées

• Prénom, nom et adresse ;

• Numéro de compte bancaire international (IBAN) ; et

• Indicateurs de transaction et informations connexes.

5.2.3 Base juridique

La base juridique du traitement de vos données à caractère personnel à cette fin est l'exécution d'un contrat : ces données sont nécessaires pour exécuter les services de paiement que vous avez demandés. Aucune catégorie particulière de données à caractère personnel n'est traitée à cette fin.

5.3 Détection et prévention de la fraude

5.3.1 Finalité du traitement

Les criminels qui souhaitent utiliser des comptes bancaires et d'autres systèmes financiers à des fins illégales tentent parfois d'accéder frauduleusement à un compte financier. Afin de protéger nos propres intérêts, ceux de nos Partenaires commerciaux et de leurs clients, ainsi que l'intégrité du système financier dans son ensemble, nous traitons des données à caractère personnel pour détecter et prévenir l'usurpation d'identité, ce qui inclut les sauvegardes de ces données. Nous utilisons l'IA à cette fin ; veuillez consulter la section 8.

En pratique, cela signifie que nous effectuons les contrôles suivants :

• Cette demande paraît-elle suspecte ? Nos systèmes analysent automatiquement chaque vérification pour détecter des schémas couramment associés aux tentatives de fraude. Ces schémas incluent par exemple des signes d'altération du document, des incohérences entre la photo du document et le selfie, ou des données relatives à l'appareil ou à la localisation.

• Cette personne ou ce document a-t-il déjà été vu ? Nous vérifions si un document d'identité ou une combinaison de données personnelles a déjà été signalé ou utilisé dans une tentative de fraude suspectée ou confirmée. Cela nous aide à détecter les cas où le même document frauduleux ou la même identité est utilisé à plusieurs reprises lors de différentes tentatives d'intégration.

• Un examen humain est-il nécessaire ? Si nos systèmes indiquent qu'une vérification pourrait être frauduleuse, des analystes formés de Fourthline examinent le dossier manuellement. L'analyste évalue si le dossier est réellement frauduleux ou s'il a été signalé à tort. Seul un être humain prend la décision finale.

• Que se passe-t-il si la fraude est confirmée ? Si notre analyste confirme qu'une fraude a eu lieu et que les données à caractère personnel concernées appartiennent à un auteur de fraude, nous enregistrons et conservons ces informations. Cela nous permet de nous protéger contre de futures tentatives de fraude utilisant la même identité et de soutenir toute procédure judiciaire ultérieure. Nous conservons ces données pendant une durée maximale de huit ans.

5.3.2 Données à caractère personnel utilisées

Cela peut concerner les données à caractère personnel suivantes :

• Caractéristiques du document ;

• Caractéristiques du selfie et de la vidéo ;

• Données de réseau et de connectivité ;

• Données de localisation ;

• Nationalité et géographie ;

• Caractéristiques de l'appareil ;

• Données des capteurs de mouvement de l'appareil ;

• Résultats de recoupements ;

• Signaux de risque et de conformité ;

• Scores de risque ; et

• Identifiants client et horodatages.

5.3.3 Base juridique et catégories particulières de données

La base juridique du traitement des données à cette fin est l'intérêt légitime, qui est triple :

• L'intérêt propre de Fourthline Payments : se protéger contre l'utilisation frauduleuse de sa plateforme et de ses Services, y compris les préjudices financiers et d'atteinte à la réputation ;

• L'intérêt des Partenaires commerciaux : protéger les institutions financières contre l'intégration de clients frauduleux, ce qui pourrait les exposer à des sanctions réglementaires et à la criminalité financière ; et

• L'intérêt public plus large : prévenir la criminalité financière et l'usurpation d'identité de manière générale, conformément aux objectifs de la législation LCB/KYC.

Notre justification pour traiter des données à caractère personnel relatives à une infraction pénale est de déterminer s'il convient ou non de vous fournir un Service en tant que Client (potentiel) et de protéger nos intérêts au regard des infractions pénales commises ou susceptibles d'être commises à l'encontre de Fourthline Payments.

L'exception applicable au traitement de vos données biométriques à cette fin est un motif d'intérêt public important, en particulier la protection de l'intérêt public plus large à prévenir la criminalité et l'usurpation d'identité de manière générale, conformément aux objectifs de la législation LCB/KYC.

Afin de garantir l'exactitude des données à caractère personnel relatives aux infractions, notre équipe d'assurance qualité effectue régulièrement des contrôles par sondage.

5.4 Coffre-fort KYC personnel (Personal KYC Vault)

5.4.1 Finalité du traitement

Dans le cadre de ses Services, Fourthline Payments propose un coffre-fort KYC personnel sécurisé (Personal KYC Vault). Il s'agit d'un espace de stockage sécurisé dans lequel vos données à caractère personnel vérifiées sont conservées pour votre compte, afin de pouvoir être réutilisées lors de futurs processus de vérification d'identité sans que vous ayez à refaire l'intégralité du processus de vérification.

5.4.2 Données à caractère personnel utilisées

À cette fin, nous traitons les données à caractère personnel suivantes :

• Données d'identité de base : nom complet, date de naissance, lieu de naissance, nationalité, sexe, photographies selfie et enregistrements vidéo, adresse, adresse e-mail et numéro de téléphone ;

• Données du document d'identité : type de document, photo du document (recto et verso), vidéo du document, numéro du document, date de délivrance, date d'expiration, pays de délivrance, autorité de délivrance ;

• Données biométriques : géométrie faciale extraite des photographies selfie et des enregistrements vidéo, et score de similarité faciale qui en découle (données de catégorie particulière au sens de l'art. 9 du RGPD) ; et

• Données dérivées et déduites : scores de risque KYC, résultats de vérification et autres résultats générés par les algorithmes ou les processus analytiques de Fourthline.

5.4.3 Base juridique et catégories particulières de données

La base juridique du traitement de vos données à caractère personnel à cette fin est l'exécution du contrat conclu avec vous : le stockage de vos données d'identité vérifiées est nécessaire pour fournir le service KYC Vault que vous avez demandé. Aucune catégorie particulière de données à caractère personnel n'est traitée exclusivement à cette fin au-delà de ce qui a déjà été collecté et vérifié dans le cadre du processus de vérification d'identité décrit à la section 5.1.3.

5.5 Entraînement et amélioration des systèmes d'IA

5.5.1 Finalité du traitement

Les criminels adoptant des techniques toujours plus sophistiquées pour abuser du système financier, le Groupe Fourthline travaille en permanence à améliorer l'exactitude, la sécurité et la fiabilité de ses Services. Un élément central de cette démarche est l'entraînement et l'amélioration des systèmes d'IA qui sous-tendent nos capacités de vérification d'identité et de détection de la fraude.

Fourthline et Fourthline Payments utilisent toutes deux des données à caractère personnel issues de vérifications réelles pour entraîner et améliorer leurs modèles d'IA, y compris des modèles pour :

• l'authentification des documents : détecter si un document d'identité est authentique ou frauduleux ;

• la reconnaissance des documents : identifier les types de documents et extraire les champs pertinents ;

• la détection du vivant (liveness) : vérifier que la personne présentant le document est physiquement présente ;

• la reconnaissance faciale : faire correspondre une photographie selfie à la photo figurant sur un document d'identité ;

• la détection de la fraude : identifier les schémas associés aux tentatives d'intégration frauduleuses.

Ce processus fait intervenir des analystes humains (annotateurs) qui examinent et étiquettent les données d'identité, par exemple en marquant des zones d'intérêt sur les photos de documents ou en évaluant si un document paraît authentique. Les jeux de données annotés qui en résultent sont ensuite utilisés pour entraîner et valider les modèles d'IA. L'accès aux données utilisées à des fins d'entraînement est strictement contrôlé et limité au seul personnel autorisé.

5.5.2 Données à caractère personnel utilisées

Nous utilisons les données à caractère personnel suivantes à ces fins :

• Vos prénom, nom, date de naissance, lieu de naissance et adresse ;

• Vos photographies (selfies) et enregistrements vidéo ;

• Votre document d'identité, y compris la photo et la vidéo du document, la zone de lecture automatique (MRZ), la zone d'inspection visuelle (VIZ), le numéro du document, la date de délivrance, la date d'expiration, ainsi que le pays et l'autorité de délivrance ;

• Les données de localisation ; et

• Les métadonnées techniques associées à votre session de vérification, telles que le système d'exploitation de l'appareil, les informations du navigateur et les capteurs de l'appareil.

5.5.3 Base juridique

La base juridique du traitement des données à cette fin est un intérêt légitime : notre intérêt à maintenir et à améliorer des Services de vérification d'identité sûrs, précis et résistants à la fraude. Cela s'applique à la fois à Fourthline et à Fourthline Payments.

5.6 Marketing et communication

5.6.1 Finalité du traitement

Nous pouvons utiliser les données à caractère personnel des représentants de Partenaires commerciaux, de clients professionnels potentiels et d'autres contacts professionnels pour envoyer des informations sur nos produits, nos Services et nos actualités, telles que des lettres d'information, des invitations à des événements et des communications similaires. Ce marketing ne s'adresse pas aux utilisateurs finaux individuels de nos Services.

5.6.2 Données à caractère personnel utilisées

Nous utilisons les données à caractère personnel suivantes à ces fins :

• Prénom, nom, adresse e-mail, intitulé de poste.

5.6.3 Base juridique

La base juridique du traitement des données à caractère personnel à cette fin est le consentement ou l'intérêt légitime, selon la nature de la communication et les règles applicables du droit néerlandais des télécommunications.

Vous pouvez vous opposer à tout moment à la réception de communications marketing en utilisant l'option de désabonnement dans nos messages ou en nous contactant à l'adresse dpo@fourthline.com.

5.7 Sauvegardes et continuité d'activité

5.7.1 Finalité du traitement

En tant qu'établissement de paiement agréé, Fourthline Payments est tenue, en vertu de l'article 12 du règlement sur la résilience opérationnelle numérique (Règlement (UE) 2022/2554, « DORA »), d'élaborer, de documenter et de maintenir des politiques et procédures de sauvegarde afin de garantir la restauration de ses systèmes et données TIC avec un minimum de temps d'arrêt, de perturbation et de perte en cas d'incident. Fourthline remplit cette obligation pour le compte des deux entités dans le cadre de son rôle de prestataire de services TIC au sein du Groupe Fourthline.

Les données de sauvegarde sont stockées dans des systèmes physiquement et logiquement séparés des systèmes principaux, soumis aux mêmes contrôles d'accès, normes de chiffrement et mesures de sécurité que les données d'origine, et ne sont utilisées à aucune autre fin que la restauration et la récupération. Les procédures de sauvegarde et les méthodes de restauration sont testées périodiquement conformément à nos obligations de continuité d'activité TIC au titre de DORA.

Les données de sauvegarde sont conservées pendant la même durée que les données d'origine auxquelles elles se rapportent, conformément à notre politique de conservation des informations, et sont supprimées lorsque les données sous-jacentes atteignent la fin de leur durée de conservation.

5.7.2 Données à caractère personnel utilisées

Afin de respecter nos obligations au titre de DORA, nous conservons des sauvegardes de toutes les données essentielles à la restauration de nos Services et au respect de nos obligations réglementaires. Cela inclut toutes les données à caractère personnel mentionnées au chapitre 5.1.

5.7.3 Base juridique et catégories particulières de données

La base juridique du traitement des données à caractère personnel mentionnées au point 5.1 à cette fin est une obligation légale au titre de DORA.

L'exception applicable au traitement des données biométriques à cette fin est un motif d'intérêt public important, en cohérence avec nos obligations en matière de lutte contre le blanchiment et de vérification d'identité.

5.8 Vidéosurveillance

5.8.1 Finalité du traitement

Fourthline exploite des caméras de vidéosurveillance dans ses locaux afin de sécuriser ses installations, de protéger la sécurité des employés, des visiteurs et des biens, et de prévenir et détecter les accès non autorisés, les vols ou autres incidents de sécurité. Les images de vidéosurveillance ne sont consultées qu'en cas d'incident de sécurité ou sur demande légitime des autorités répressives.

5.8.2 Données à caractère personnel utilisées

• Images vidéo et photos des personnes présentes dans les locaux de Fourthline, y compris les visiteurs et les employés.

5.8.3 Base juridique

Notre base juridique pour ce traitement est l'intérêt légitime, à savoir notre intérêt à sécuriser nos locaux et à garantir la sécurité des personnes et des biens qui s'y trouvent.

5.9 Ventes et génération de prospects

5.9.1 Finalité du traitement

Fourthline traite les données à caractère personnel des représentants de Partenaires commerciaux potentiels dans le cadre de ses activités commerciales, notamment l'identification et la prise de contact avec des clients potentiels, la réponse aux demandes entrantes, la préparation de propositions commerciales et la gestion du pipeline commercial. L'objectif est d'établir de nouvelles relations commerciales avec des institutions financières et d'autres entités réglementées susceptibles de bénéficier des Services de Fourthline.

5.9.2 Données à caractère personnel utilisées

• Nom, intitulé de poste, employeur et coordonnées professionnelles (adresse e-mail, numéro de téléphone, profil LinkedIn, adresse professionnelle) des représentants de Partenaires commerciaux potentiels ;

• Enregistrements des interactions commerciales, réunions, appels et correspondance ; et

• Informations partagées par le Partenaire commercial potentiel dans le cadre de discussions exploratoires.

5.9.3 Base juridique

Notre base juridique pour ce traitement est l'intérêt légitime, à savoir notre intérêt à développer notre activité et à identifier les organisations susceptibles de bénéficier de nos Services.

5.10 Gestion et négociation des contrats

5.10.1 Finalité du traitement

Dans le cadre de la négociation, de la conclusion, de l'exécution et de la gestion de contrats avec des Partenaires commerciaux, fournisseurs et prestataires, Fourthline traite les données à caractère personnel des personnes physiques agissant en tant que personnes de contact ou représentants de ces organisations. Cela inclut la gestion de la correspondance, la tenue des dossiers contractuels et le suivi des obligations contractuelles.

5.10.2 Données à caractère personnel utilisées

• Nom, intitulé de poste et coordonnées professionnelles (adresse e-mail, numéro de téléphone, adresse professionnelle) des personnes de contact chez les Partenaires commerciaux, fournisseurs et prestataires ;

• Correspondance et enregistrements de communication liés à la négociation et à l'exécution des contrats ; et

• Signatures sur les contrats et documents connexes.

5.10.3 Base juridique

Lorsque la personne concernée agit en tant que représentant ou personne de contact d'une personne morale partie au contrat, notre base juridique est l'intérêt légitime, à savoir notre intérêt à pouvoir exécuter et gérer nos relations contractuelles.

5.11 Visiteurs du site web

5.11.1 Finalité du traitement

Lorsque vous visitez le site web de Fourthline, nous collectons certaines données techniques et comportementales afin d'assurer le bon fonctionnement du site, d'analyser la manière dont les visiteurs interagissent avec notre contenu et d'améliorer l'expérience utilisateur. Ce traitement est décrit plus en détail dans la politique en matière de cookies figurant à la section 8 de cette Déclaration de confidentialité.

5.11.2 Données à caractère personnel utilisées

• Adresse IP et localisation approximative qui en découle ;

• Type de navigateur, système d'exploitation et informations sur l'appareil ;

• Pages visitées, temps passé sur les pages, schémas de clics et source de référence ; et

• Identifiants de cookies et données de suivi similaires (soumis à consentement lorsque celui-ci est requis).

5.11.3 Base juridique

Notre base juridique pour le traitement strictement nécessaire est l'intérêt légitime, à savoir notre intérêt au bon fonctionnement et à la sécurité de notre site web. Pour les cookies analytiques et de suivi, notre base juridique est le consentement, obtenu via la bannière de cookies présentée lors de votre première visite.

6 Prise de décision automatisée

Le calcul de votre score de risque et la détermination initiale de la nécessité d'une enquête complémentaire peuvent être effectués de manière automatisée, y compris par l'utilisation de systèmes d'IA (voir le chapitre suivant).

Dans certains cas, votre vérification peut être conclue automatiquement sans examen humain complémentaire. C'est le cas lorsque :

• votre vérification aboutit à un renvoi (sendback), ce qui signifie que les photos ou données soumises ne répondent pas aux normes de qualité requises et que vous êtes invité à réessayer. Un renvoi ne constitue pas un refus et n'a aucune conséquence négative pour vous ;

• vous ne remplissez pas les conditions d'éligibilité obligatoires imposées par le droit applicable, par exemple lorsque vous vous trouvez dans un pays soumis à des sanctions ou à d'autres restrictions légales. Dans ces cas, Fourthline ne prend pas de décision : le résultat est une conséquence juridique directe du droit applicable, et Fourthline ne dispose d'aucun pouvoir d'appréciation pour en décider autrement ; et

• les services financiers que vous demandez ne sont pas disponibles dans votre pays, parce que le Partenaire commercial concerné ne les y a pas rendus disponibles. Dans ces cas, le résultat reflète le périmètre des services proposés par le Partenaire commercial et non une décision prise par Fourthline à votre égard.

Dans tous les autres cas où votre score de risque indique qu'un refus pourrait être justifié, la décision finale est toujours prise par un analyste humain. L'article 22 du RGPD, qui vous confère le droit de ne pas faire l'objet d'une décision fondée exclusivement sur un traitement automatisé, ne s'applique pas aux renvois ni aux résultats imposés par la loi, car ceux-ci soit n'ont aucun effet juridique négatif à votre égard, soit ne constituent pas une décision de Fourthline.

7 Utilisation de l'intelligence artificielle

Nous utilisons l'intelligence artificielle (l'« IA ») dans le cadre de nos Services de vérification d'identité et de prévention de la fraude, comme décrit aux sections 5.1, 5.2 et 5.3. Nous souhaitons être transparents sur la manière dont cela fonctionne en pratique.

Nous n'utilisons pas de grands modèles de langage (« LLM ») ni d'IA générative, tels que ChatGPT, Gemini ou des outils similaires, dans quelque partie que ce soit de notre processus de vérification d'identité. Vos données à caractère personnel ne sont ni traitées par, ni utilisées pour entraîner, un quelconque modèle d'IA accessible au public ou exploité commercialement. Cela signifie que vos données à caractère personnel ne sont ni ingérées ni conservées dans un grand modèle d'IA à usage général.

Nous exploitons au contraire des modèles d'IA propriétaires à périmètre étroit, chacun développé en interne pour une tâche spécifique et bien définie. En voici quelques exemples :

• déterminer si un document d'identité est authentique ;

• vérifier qu'un selfie correspond à la photo figurant sur un document d'identité ; ou

• détecter si une vidéo a été enregistrée en direct.

Chaque modèle ne reçoit que les données strictement nécessaires à sa tâche spécifique et produit un résultat fixe et déterministe, tel qu'un résultat réussite/échec ou un score borné. Aucun modèle n'est capable d'exécuter des tâches en dehors de son périmètre défini.

Vos données sont traitées dans cet environnement fermé et contrôlé. Nos systèmes d'IA sont entièrement auto-hébergés et ne sont jamais mis à la disposition de tiers en tant que modèles autonomes. L'accès aux données à caractère personnel est restreint, journalisé et régi par des contrôles stricts fondés sur les rôles.

Les résultats de l'IA servent de signaux au sein d'un système de vérification plus large. Selon le résultat du processus de vérification, votre vérification peut être finalisée automatiquement ou transmise pour examen à un analyste humain formé, conformément à nos procédures contrôlées. Toute conclusion d'altération de document d'identité, d'usurpation (spoofing), de deepfake ou d'autre usurpation d'identité est confirmée par un tel analyste humain formé.

8 Mineurs

Nos Services ne s'adressent pas directement aux mineurs (personnes de moins de 18 ans). Toutefois, selon la nature des services financiers proposés par un Partenaire commercial, nous pouvons traiter des données à caractère personnel de mineurs, par exemple lorsqu'un Partenaire commercial propose des produits ou services financiers accessibles aux mineurs et nous demande d'effectuer la vérification d'identité en conséquence. Dans ces cas, le traitement des données à caractère personnel du mineur s'effectue sur les mêmes bases juridiques et selon les mêmes normes que celles décrites dans cette Déclaration de confidentialité.

9 Avec qui nous partageons vos données et pourquoi

Nous ne partageons vos données à caractère personnel que lorsque cela est nécessaire et veillons toujours à ce que des garanties appropriées soient en place. Lorsque nous partageons des données avec des parties situées en dehors de l'EEE, nous nous appuyons sur des décisions d'adéquation, le cadre de protection des données UE-États-Unis (EU-US Data Privacy Framework) ou les clauses contractuelles types de l'UE.

9.1 Au sein du Groupe Fourthline

Aux fins de cette Déclaration de confidentialité, le Groupe Fourthline comprend deux entités qui partagent des données à caractère personnel entre elles à des fins opérationnelles, réglementaires et de reporting. La base juridique et la nature de ce partage dépendent du contexte.

9.1.1 Fins de vérification d'identité

Fourthline Payments agit en tant que responsable du traitement pour la vérification d'identité et le filtrage LCB. Les données à caractère personnel collectées dans ce cadre sont traitées par Fourthline Payments et partagées avec Fourthline dans la mesure nécessaire à la fourniture des services d'identité et de vérification, y compris la fourniture de l'infrastructure technique et des services d'assistance requis à cette fin. Dans ce cadre, Fourthline agit en tant que sous-traitant pour le compte de Fourthline Payments, en vertu d'un accord de services intragroupe.

9.1.2 Fins d'entraînement des modèles d'IA

Fourthline est responsable du développement et de l'entraînement des systèmes d'IA qui sous-tendent les Services du Groupe Fourthline (voir 5.2 pour plus d'informations). À cette fin, les données à caractère personnel collectées par Fourthline Payments dans le cadre de la vérification d'identité sont transférées à Fourthline pour être utilisées comme données d'entraînement. Dès réception de ces données, Fourthline agit en tant que responsable du traitement indépendant aux fins de l'entraînement des modèles d'IA, car elle détermine de manière indépendante les finalités et les moyens de ce traitement.

Ce transfert intragroupe est formalisé par un accord intragroupe de partage de données et s'effectue sur la base de l'intérêt légitime de Fourthline à maintenir et à améliorer des Services de vérification d'identité sûrs, précis et résistants à la fraude. Le transfert n'a pas pour effet d'utiliser vos données à caractère personnel à d'autres fins que celles décrites à la section 5.2 de cette Déclaration de confidentialité.

9.1.3 Garanties

Tous les transferts intragroupe de données à caractère personnel sont régis par un accord intragroupe comportant des garanties appropriées en matière de protection des données. Les données à caractère personnel partagées au sein du Groupe Fourthline sont soumises aux mêmes mesures de sécurité techniques et organisationnelles que celles décrites à la section 14 de cette Déclaration de confidentialité et ne sont utilisées à aucune fin autre que celles décrites dans le présent document.

9.2 Partenaires commerciaux

Nous partageons vos données à caractère personnel avec le Partenaire commercial par l'intermédiaire duquel vous êtes intégré, dans la mesure nécessaire à la fourniture de nos Services et au respect des propres obligations réglementaires du Partenaire commercial.

9.3 Autorités gouvernementales et régulateurs

En tant qu'établissement de paiement agréé, Fourthline Payments est soumise à la supervision de la Banque centrale des Pays-Bas (De Nederlandsche Bank, DNB) et d'autres autorités compétentes. Fourthline et Fourthline Payments peuvent toutes deux être tenues ou autorisées à partager vos données à caractère personnel avec les parties suivantes :

• Autorités de supervision et de régulation, y compris la DNB en tant qu'autorité de supervision prudentielle de Fourthline Payments, l'Autorité néerlandaise des marchés financiers (Autoriteit Financiële Markten, AFM), d'autres organismes de supervision nationaux au sein de l'EEE lorsque le droit applicable l'exige, et les autorités de protection des données, y compris l'Autorité néerlandaise de protection des données (Autoriteit Persoonsgegevens) ;

• Autorités judiciaires et d'enquête, y compris les tribunaux, les organes d'arbitrage et de médiation, les procureurs et les autorités répressives, sur leur demande légale ou dans le cadre de procédures judiciaires ;

• Autorités de renseignement financier, y compris la cellule de renseignement financier néerlandaise (FIU-Nederland), dans la mesure où nous sommes tenus de déclarer des transactions inhabituelles au titre de la Wwft ;

• Professionnels du droit et de la finance, tels que les avocats, les administrateurs judiciaires ou les auditeurs, lorsque la divulgation est exigée par la loi ou nécessaire dans le cadre de ce qui précède.

Nous ne divulguerons vos données à caractère personnel aux parties ci-dessus que dans la mesure requise ou autorisée par le droit applicable, et uniquement aux fins pour lesquelles cette divulgation est juridiquement justifiée.

9.4 Prestataires de services tiers (sous-traitants)

Nous travaillons avec des prestataires de services tiers qui traitent des données à caractère personnel pour notre compte. Nous ne partageons que les données à caractère personnel nécessaires au service spécifique qu'ils fournissent.

9.5 Transferts d'entreprise

En cas de fusion, d'acquisition ou de vente de (tout ou partie de) l'activité du Groupe Fourthline, les données à caractère personnel peuvent être transférées dans le cadre de cette opération. Dans ce cas, nous mettrons à jour notre Déclaration de confidentialité en conséquence.

10 Cookies

Nos Sites web utilisent des cookies et des technologies similaires (ensemble : les « cookies ») pour améliorer votre expérience, analyser l'utilisation et prendre en charge les intégrations de tiers. Lors de votre première visite sur nos Sites web, une bannière de cookies vous est présentée, vous permettant d'accepter, de refuser ou de gérer les cookies non essentiels. Les cookies strictement nécessaires sont déposés sans consentement car ils sont indispensables au fonctionnement du Site web.

Veuillez consulter notre Politique en matière de cookies (www.fourthline.com/cookie-policy) pour plus d'informations sur les cookies que nous utilisons.

11 Vos droits

Le RGPD vous confère un certain nombre de droits concernant vos données à caractère personnel. Nous expliquons ci-dessous chaque droit, quand il s'applique et quand il peut être limité. Pour exercer l'un de ces droits, veuillez nous contacter à l'adresse dpo@fourthline.com et nous indiquer le Partenaire commercial par l'intermédiaire duquel vous avez été intégré à l'aide de nos services de vérification d'identité. Nous nous efforçons de répondre dans un délai d'un mois. Dans certains cas, nous pouvons refuser votre demande ; nous vous en indiquerons alors la raison dans un délai raisonnable, lorsque la loi le permet. Veuillez ne pas nous envoyer de copie non caviardée de votre document d'identité par e-mail ordinaire.

11.1 Droit d'opposition

Vous avez le droit de vous opposer au traitement de vos données à caractère personnel fondé sur notre intérêt légitime. Nous évaluerons si nos intérêts légitimes prévalent sur vos intérêts ou vos libertés et droits fondamentaux.

Vous avez également le droit de vous opposer à tout moment à l'utilisation de vos données à caractère personnel à des fins de prospection directe. Nous cesserons immédiatement de traiter vos données à cette fin dès réception de votre opposition.

Vous ne pouvez pas vous opposer à un traitement fondé sur une obligation légale. Si la loi nous impose de traiter vos données, votre opposition n'aura pas pour effet de nous faire cesser ce traitement.

11.2 Droit d'accès

Vous avez le droit de demander un aperçu des données à caractère personnel que nous détenons à votre sujet et de la manière dont nous les traitons.

Nous pouvons restreindre l'accès lorsque celui-ci porterait atteinte aux droits et libertés d'autrui, ou lorsque la loi nous interdit de divulguer certaines informations, par exemple dans le cadre d'une enquête pour fraude en cours ou d'une obligation de déclaration LCB.

11.3 Droit de rectification

Si vos données à caractère personnel sont inexactes ou incomplètes, vous avez le droit de demander que nous les corrigions ou les complétions. Lorsque nous avons partagé des données inexactes avec des tiers, nous les informerons de la correction.

Les données à caractère personnel contenues dans des enregistrements en lecture seule, tels que les journaux d'audit et les traces d'actions, ne peuvent pas être modifiées à la suite d'une demande de rectification.

11.4 Droit à l'effacement

Vous avez le droit de demander l'effacement de vos données à caractère personnel lorsque :

• nous n'en avons plus besoin pour la finalité pour laquelle elles ont été collectées ;

• vous retirez votre consentement et il n'existe aucune autre base juridique pour le traitement ;

• vous vous opposez à un traitement fondé sur l'intérêt légitime et il n'existe aucun motif impérieux ;

• le traitement est illicite ; ou

• l'effacement est exigé par le droit de l'UE ou le droit national.

Ce droit ne s'applique pas lorsque le traitement est nécessaire au respect d'une obligation légale. En particulier, Fourthline Payments est légalement tenue de conserver vos données à caractère personnel pendant cinq ans après la fin de notre relation d'affaires ou cinq ans après l'exécution d'une transaction, conformément à la Wwft. En cas de fraude, nous pouvons conserver les données à caractère personnel relatives à une infraction pendant une durée maximale de huit ans. Dans ces cas, nous vous informerons que nous ne pouvons pas donner suite à votre demande d'effacement et vous en expliquerons la raison. Les données à caractère personnel contenues dans des enregistrements en lecture seule, tels que les journaux d'audit, ne peuvent pas être supprimées à la suite d'une demande d'effacement.

11.5 Droit à la limitation du traitement

Vous avez le droit de demander que nous limitions le traitement de vos données à caractère personnel lorsque :

• vous contestez l'exactitude de vos données (pendant la période nécessaire à leur vérification) ;

• le traitement est illicite mais vous préférez la limitation à l'effacement ;

• nous n'avons plus besoin des données mais vous en avez besoin pour des actions en justice ; ou

• vous vous êtes opposé au traitement et nous évaluons si nos intérêts légitimes prévalent sur les vôtres.

11.6 Droit à la portabilité des données

Vous avez le droit de recevoir vos données à caractère personnel dans un format structuré, couramment utilisé et lisible par machine, et de les faire transmettre à un autre responsable du traitement, lorsque :

• le traitement est fondé sur le consentement ou sur l'exécution d'un contrat ; et

• le traitement est effectué à l'aide de procédés automatisés.

Ce droit ne s'applique pas au traitement fondé sur une obligation légale ou un intérêt légitime. La majeure partie de nos traitements de données de Clients reposant sur une obligation légale, ce droit trouvera en pratique une application limitée dans le cadre de nos Services.

11.7 Droits liés à la prise de décision automatisée

Lorsque des systèmes automatisés sont utilisés pour prendre des décisions qui vous affectent de manière significative, vous avez le droit d'obtenir un examen humain de la décision, d'exprimer votre point de vue et de contester la décision. Voir la section 8 pour plus d'informations sur l'existence d'une prise de décision automatisée.

11.8 Droit de retirer son consentement

Lorsque nous traitons vos données à caractère personnel sur la base de votre consentement, vous avez le droit de retirer ce consentement à tout moment. Le retrait ne compromet pas la licéité du traitement effectué avant le retrait.

11.9 Droit d'introduire une réclamation

Si vous n'êtes pas satisfait de la manière dont nous traitons vos données à caractère personnel, vous pouvez :

• contacter notre Délégué à la protection des données à l'adresse dpo@fourthline.com ; ou

• introduire une réclamation auprès de l'Autorité néerlandaise de protection des données (Autoriteit Persoonsgegevens) sur www.autoriteitpersoonsgegevens.nl, qui est notre autorité de contrôle chef de file, ou auprès de l'autorité de protection des données de votre pays de résidence.

12 Votre obligation de fournir des données

Certaines informations doivent légalement être collectées par Fourthline Payments à votre sujet avant que nous puissions établir une relation avec vous en tant que Client, afin de respecter nos obligations au titre de la Wwft. Sans ces données, nous pourrions ne pas être en mesure de vous fournir nos Services ou de conclure un contrat avec vous.

13 Combien de temps nous conservons vos données à caractère personnel

Le Groupe Fourthline conserve et traite vos données à caractère personnel uniquement aussi longtemps que nécessaire pour exécuter nos obligations au titre du contrat conclu avec vous, ou aussi longtemps que la loi nous impose de conserver ces données. Fourthline Payments est légalement tenue de conserver vos données à caractère personnel relatives à votre intégration en tant que Client pendant cinq ans après la fin de notre relation d'affaires avec vous, ou cinq ans après l'exécution d'une transaction, conformément à la loi néerlandaise sur la prévention du blanchiment de capitaux et du financement du terrorisme (Wet ter voorkoming van witwassen en financieren van terrorisme). Dans certaines circonstances (fraude, exigences en matière de lutte contre le blanchiment, enquête des autorités répressives ou exercice d'actions en justice, par exemple), nous pouvons être tenus de conserver vos données à caractère personnel plus longtemps encore. En cas de fraude, nous pouvons conserver vos données à caractère personnel relatives à une infraction pendant une durée maximale de huit ans.

14 Comment nous protégeons vos données à caractère personnel

Le Groupe Fourthline applique un cadre de politiques et procédures internes ainsi que de mesures techniques et organisationnelles pour assurer la sécurité de vos données. Cela inclut :

• des politiques de salle blanche et des contrôles d'accès stricts ;

• le chiffrement et la pseudonymisation lorsque cela est approprié ;

• des tests et évaluations réguliers des mesures de sécurité, y compris des tests de sauvegarde et de restauration ;

• des accords de confidentialité pour tous les employés ayant accès aux données à caractère personnel ;

• la séparation des installations de sauvegarde du stockage principal des données.

Malgré tous nos efforts, aucune transmission de données sur Internet ne peut être garantie comme totalement sécurisée. Toute transmission vers nos Sites web se fait à vos propres risques. Une fois vos données reçues, nous appliquons des contrôles stricts pour empêcher tout accès non autorisé.

15 Comment vous pouvez contribuer à la sécurité de vos données

Vous pouvez contribuer à protéger vos données à caractère personnel en :

• utilisant des logiciels de protection des terminaux à jour (antivirus, par exemple) et une protection réseau (pare-feu, par exemple) ;

• choisissant des mots de passe robustes et l'authentification multifacteur lorsqu'elle est disponible, et en les gardant confidentiels ;

• protégeant vos documents d'identité physiques, vos appareils et vos instruments de paiement ;

• restant vigilant lors de l'utilisation de services en ligne où des activités inhabituelles ou frauduleuses ou des tentatives visant vos données peuvent survenir.

16 Nous contacter

Pour toute question concernant cette Déclaration de confidentialité ou la manière dont nous traitons vos données à caractère personnel, ou pour demander une copie de nos garanties relatives aux transferts internationaux, veuillez contacter notre Délégué à la protection des données :

dpo@fourthline.com

Veuillez noter que cette adresse e-mail est exclusivement réservée aux demandes relatives à la protection des données. Tout autre message ne sera pas traité.

Ceci est une traduction de la Déclaration de confidentialité en anglais. Pour la terminologie juridique, veuillez vous référer à la version anglaise, qui prévaut en cas de divergence. Version : octobre 2026.