Politique de confidentialité

1. Qui est responsable de vos données ?

Le responsable du traitement est YC STRATEGIC VENTURES, société par actions simplifiée immatriculée au RCS de Paris sous le numéro 103 274 072, dont le siège social est situé 229 rue Saint-Honoré, 75001 Paris, France (ci-après « Onefive », « nous »).

Cette politique couvre le site onefive.app et la plateforme Onefive (comptes, feed, messagerie, datarooms, profils). Pour toute question ou pour exercer vos droits, écrivez à privacy@onefive.app. Nous n'avons pas désigné de délégué à la protection des données (nous n'y sommes pas tenus) : votre demande est traitée directement par la société.

2. Les données que nous collectons

• Compte et profil : adresse email, mot de passe (stocké uniquement sous forme hachée avec bcrypt, jamais en clair), prénom et nom, photo de profil, numéro de téléphone (optionnel), parcours professionnel (optionnel, y compris via la synchronisation LinkedIn si vous la déclenchez).
• Connexion via Google, LinkedIn ou Apple : si vous utilisez l'un de ces services, nous recevons de sa part votre email, votre nom et, le cas échéant, votre photo. L'adresse email sert de clé d'identité : elle relie ces connexions à un compte Onefive unique.
• Données de startup : informations que vous renseignez sur votre société : description, répartition du capital (cap table, equity), levées de fonds.
• Contenus : publications sur le feed, messages privés, documents que vous déposez dans vos datarooms.
• Événements d'accès aux datarooms : lorsqu'une dataroom est consultée, nous enregistrons qui l'a consultée, quels documents ont été ouverts, quand et pendant combien de temps (voir la section 4).
• Données techniques et de sécurité : adresse IP et signature du navigateur (user-agent) associées à vos sessions de connexion, et un identifiant de navigateur calculé via la bibliothèque FingerprintJS lors de l'inscription, utilisé pour prévenir la fraude et les créations de comptes abusives.
• Données d'usage : statistiques de navigation et d'utilisation collectées via PostHog, dont l'instance que nous utilisons est hébergée dans l'Union européenne (eu.posthog.com).

3. Pourquoi, et sur quelle base légale ?

4. Datarooms : la consultation est visible du propriétaire

Les datarooms servent à partager des documents sensibles (deck, cap table, documents juridiques) de façon contrôlée. En contrepartie, lorsque vous consultez une dataroom qui a été partagée avec vous, son propriétaire peut voir que vous l'avez ouverte, quels documents vous avez consultés et quand. Si vous accédez à une dataroom via un lien anonyme, la consultation est enregistrée sans être rattachée à un compte. En consultant une dataroom, vous êtes informé de ce suivi.

5. Combien de temps conservons-nous vos données ?

• Compte, profil, contenus, données de startup : tant que votre compte est ouvert, puis suppression dans un délai de 30 jours après la suppression du compte.
• Messages privés : pendant la durée de vie de votre compte.
• Documents et événements d'accès des datarooms : pendant la durée de vie de la dataroom et du compte de son propriétaire.
• Sessions, adresse IP, user-agent, identifiant FingerprintJS : attachés à vos sessions de connexion, qui expirent au plus tard 90 jours après leur création.
• Données d'usage (PostHog) : conservées au maximum 12 mois.

Certaines données peuvent être conservées plus longtemps lorsque la loi l'exige (par exemple à des fins comptables ou en cas de contentieux), pour la durée strictement nécessaire.

6. Qui a accès à vos données ? (sous-traitants)

Nous ne vendons jamais vos données. Nous les partageons uniquement avec les prestataires qui nous permettent de faire fonctionner le service :

7. Transferts hors de l'Union européenne

Plusieurs de nos prestataires sont des sociétés américaines. Les transferts de données qui en résultent sont encadrés par les clauses contractuelles types de la Commission européenne et, le cas échéant, par la certification du prestataire au Data Privacy Framework UE–États-Unis. Vous pouvez nous demander une copie des garanties applicables à privacy@onefive.app.

8. Vos droits

Vous disposez des droits suivants sur vos données :

• droit d'accès et de copie ;
• droit de rectification ;
• droit à l'effacement ;
• droit à la limitation du traitement ;
• droit à la portabilité ;
• droit d'opposition, notamment aux traitements fondés sur notre intérêt légitime ;
• droit de retirer votre consentement à tout moment, pour les traitements qui en dépendent ;
• droit de définir des directives sur le sort de vos données après votre décès (loi Informatique et Libertés).

Pour les exercer, écrivez à privacy@onefive.app. Nous répondons dans un délai d'un mois. Si notre réponse ne vous satisfait pas, vous pouvez saisir la CNIL ou l'autorité de contrôle de votre pays de résidence.

9. Sécurité

Les échanges avec nos serveurs sont chiffrés (HTTPS). Les mots de passe sont hachés avec bcrypt et ne sont jamais stockés en clair. Les cookies de session sont protégés (httpOnly). L'accès aux données est restreint à ce qui est nécessaire au fonctionnement du service. Aucun système n'étant infaillible, nous vous notifierons conformément au RGPD en cas de violation de données présentant un risque pour vous.

10. Mineurs

Onefive s'adresse à un public professionnel et n'est pas destiné aux moins de 15 ans, âge de la majorité numérique en France. Nous ne collectons pas sciemment leurs données et les supprimerons si nous apprenons en détenir.

11. Évolution de cette politique

Nous pouvons mettre à jour cette politique. En cas de changement substantiel, nous vous en informerons par email ou via la plateforme avant son entrée en vigueur.