Politique de Confidentialité de FAST Search Luxembourg

1. Identité du responsable du traitement

La présente politique de confidentialité vous est fournie par FAST Search Luxembourg S.à r.l. (ci-après « FAST Search Luxembourg »), société à responsabilité limitée immatriculée au Registre de Commerce et des Sociétés de Luxembourg sous le numéro [n° RCS à compléter], dont le siège social est situé au 9, Rue de Laboratoire, L-1911 Luxembourg, en sa qualité de responsable du traitement des données personnelles collectées dans le cadre de ses activités de recherche généalogique, d'enquêtes sur avoirs en déshérence, de vérifications sur des individus ou des institutions, et de vérification des antécédents.

Délégué à la Protection des Données (DPO) : FAST Search Luxembourg a désigné un délégué externe à la protection des données, la société LuxGap Sàrl (2, Rue de l'École, L-8376 Kahler, Luxembourg), joignable à l'adresse email dpo@luxgap.com.

Le DPO est chargé de contrôler le respect de la réglementation applicable en matière de protection des données personnelles et fait office de point de contact pour toute question relative aux traitements décrits dans la présente politique.

2. Données personnelles collectées

FAST Search Luxembourg veille à ne collecter que les données personnelles strictement nécessaires aux finalités décrites ci-dessous. Ces données sont recueillies directement auprès des personnes concernées, auprès de son mandant (banque, compagnie d'assurance, étude notariale, entreprise, particulier), ou par le recours à des sources publiques ou privées (registres d'état civil, registres du commerce, bases généalogiques, bases de sanctions et de personnes politiquement exposées, presse et sources ouvertes). Selon la nature de la mission confiée, les catégories de données suivantes peuvent être traitées :

• Données d'identification : civilité, nom, prénom(s), date et lieu de naissance, nationalité, filiation et liens de parenté.
• Données de contact : adresse postale, numéro de téléphone, adresse email.
• Données de localisation : dernière adresse connue, lieu de résidence présumé, dans le cadre des recherches de personnes disparues ou d'ayants droit.
• Documents justificatifs : copie de pièce d'identité, actes d'état civil, actes notariés, certificats d'héritier, CV, diplômes et attestations professionnelles.
• Données économiques et financières : référence et nature d'un avoir (compte bancaire, coffre-fort, chèque), coordonnées bancaires, éléments de solvabilité, données patrimoniales ou successorales.
• Données professionnelles : fonction, mandats, participations, liens d'affaires, parcours professionnel, territoires d'opération.
• Catégories particulières et données à caractère hautement personnel : données de filiation pouvant révéler indirectement une origine, des liens familiaux sensibles ou un état de santé ; données relatives à des condamnations pénales, infractions ou procédures judiciaires ; statut de personne politiquement exposée (PPE) ou correspondance sur des listes de sanctions internationales. Ces catégories font l'objet d'une vigilance renforcée et d'un accès restreint.

Les données collectées par sources ouvertes (OSINT, réseaux sociaux, presse) peuvent, de manière incidente, révéler des catégories particulières de données (opinions, santé, origine) concernant la personne recherchée ou son entourage. FAST Search Luxembourg s'engage à ne conserver et exploiter que les éléments strictement pertinents pour la finalité poursuivie et à écarter toute donnée sensible non pertinente dès qu'elle est identifiée.

3. Finalités du traitement et bases légales

FAST Search Luxembourg traite les données personnelles pour des finalités déterminées, explicites et légitimes, dans le cadre des mandats qui lui sont confiés. Les principales finalités et bases légales applicables sont les suivantes :

• Prise en charge et exécution du mandat client : la réception de la demande, le cadrage du dossier, l'établissement du rapport final et sa transmission au mandant reposent sur l'exécution du contrat conclu avec le mandant ou sur les mesures précontractuelles prises à sa demande. Sans ces données, FAST Search Luxembourg ne pourrait ni ouvrir le dossier, ni restituer les résultats de ses recherches.
• Recherche généalogique et identification des ayants droit : la reconstitution d'un arbre généalogique et l'identification d'héritiers potentiels ou de bénéficiaires reposent sur l'intérêt légitime de FAST Search Luxembourg et de son mandant à retrouver les ayants droit légitimes d'un patrimoine. Une analyse de mise en balance des intérêts (LIA) est réalisée pour ce traitement. Dans ce cadre, FAST Search Luxembourg peut être amenée à prendre contact directement avec les proches et héritiers des personnes décédées afin de recueillir les informations er pièces justificatives nécessaires à l’identification des ayants droits et au bon aboutissement du mandat.
• Recherche par sources ouvertes (OSINT) et recours à des correspondants locaux : la localisation d'une personne dont l'adresse est inconnue, ainsi que le recours à des correspondants ou enquêteurs locaux à l'étranger pour des vérifications sur place, reposent également sur l'intérêt légitime de FAST Search Luxembourg, sous réserve d'une analyse de proportionnalité (LIA) documentée.
• Criblage sur listes de sanctions et de personnes politiquement exposées : la vérification du nom d'une personne ou d'une institution par rapport aux listes de sanctions internationales et aux bases de personnes politiquement exposées est réalisée pour répondre aux obligations de vigilance qui incombent au mandant de FAST Search Luxembourg (établissement financier, assurance, entreprise soumise à des obligations de lutte contre le blanchiment de capitaux). Cette base légale doit être confirmée au cas par cas selon le statut réglementaire du mandant.
• Analyse et évaluation du niveau de risque (profilage) : la synthèse et la pondération des éléments collectés pour établir un niveau de risque global constituent une opération de profilage au sens de l'article 4, point 4, du RGPD. Ce traitement repose sur l'intérêt légitime de FAST Search Luxembourg et de son mandant, fait l'objet d'une analyse de mise en balance des intérêts, et peut nécessiter une analyse d'impact relative à la protection des données (AIPD) lorsque des données sensibles ou judiciaires sont en cause.
• Vérification d'identité, de documents et de références : le contrôle de l'authenticité des pièces d'identité, diplômes, attestations et références professionnelles repose sur le consentement de la personne concernée (candidat, employé, partenaire contractuel) lorsque celle-ci transmet elle-même ses documents ou désigne ses référents.
• Vérification judiciaire et financière : le contrôle des antécédents judiciaires et de la situation financière d'une personne repose sur le consentement explicite de la personne concernée, dans les limites autorisées par le droit applicable et en lien direct avec le poste, le contrat ou la relation d'affaires visée.
• Archivage des dossiers de recherche et de vérification : la conservation du dossier complet (démarches, sources consultées, correspondances, rapport final) répond à une obligation légale de traçabilité et de preuve de diligence, ainsi qu'à l'intérêt légitime de FAST Search Luxembourg à pouvoir justifier des prestations réalisées en cas de contestation.
• Gestion administrative et facturation du mandat : l'émission de factures et la gestion comptable de la relation avec le mandant reposent sur l'exécution du contrat et sur les obligations légales de conservation des pièces comptables imposées par le Code de commerce luxembourgeois.

En tout état de cause, FAST Search Luxembourg s'engage à ne pas traiter ultérieurement les données d'une manière incompatible avec les finalités pour lesquelles elles ont été initialement collectées. Toute nouvelle finalité non prévue par la présente politique fera l'objet d'une information préalable des personnes concernées et, si nécessaire, du recueil de leur consentement.

• Information des personnes concernées en cas de collecte indirecte : lorsque les données sont collectées auprès du mandant, de sources ouvertes ou de tiers plutôt qu'auprès de la personne concernée elle-même, FAST Search Luxembourg s'efforce de respecter son obligation d'information au titre de l'article 14 du RGPD. Dans certains cas, cette information peut être différée, limitée ou omise lorsqu'elle se révèle impossible ou exigerait des efforts disproportionnés, ou lorsqu'elle risquerait de compromettre l'objectif de la recherche ou de la vérification en cours (par exemple, avant l'identification définitive d'un ayant droit ou la finalisation d'une vérification de réputation). FAST Search Luxembourg documente les motifs de toute dérogation à ce principe.

4. Durées de conservation des données

FAST Search Luxembourg conserve les données personnelles pendant la durée strictement nécessaire aux finalités pour lesquelles elles ont été collectées, sous réserve des obligations légales de conservation applicables. À titre indicatif, tel que résultant des registres de traitement internes :

• Dossiers d'enquête sur les héritiers et personnes disparues : conservés pendant la durée du mandat, puis archivés pour une durée en principe 10 ans à compter de la fin du mandat. L'action en pétition d'hérédité reste, en droit luxembourgeois, soumise à la prescription de droit commun de 30 ans de l'article 2262 du Code civil. Cette durée de 30 ans ne doit toutefois pas être retenue par défaut, conformément au principe de minimisation, elle ne se justifie qu'en cas de risque de contestation tardive spécifiquement documenté avec le mandant.
• Dossiers relatifs aux avoirs en déshérence (comptes, coffres-forts) : conservés les informations et documents relatifs au compte (identification du titulaire, dernière opération, solde avant consignation) pendant toute la durée de la consignation d’avoirs bancaires inactifs, puis 5 ans supplémentaires après la fin de celle-ci (annexe 3 de la loi). FAST Search Luxembourg aligne la conservation de son propre dossier sur cette même durée lorsque le mandat le prévoit.
• Dossiers de due diligence et de vérification des antécédents : conservés les documents de vigilance à l'égard de la clientèle pendant 5 ans après la fin de la relation d'affaires ou de la transaction concernée, prolongeables de 5 ans supplémentaires (10 ans au maximum) lorsque cela est nécessaire et documenté.
• Copies de pièces d'identité et documents justificatifs : supprimées dès que la vérification correspondante a été effectuée, sauf si leur conservation est requise au titre d'un des points ci-dessus.
• Pièces comptables et de facturation : conservées 10 ans à compter de la clôture de l'exercice comptable concerné.

5. Destinataires des données

L'accès aux données personnelles est strictement limité aux personnes et entités qui en ont besoin dans le cadre de leurs missions. FAST Search Luxembourg ne vend ni ne loue les données personnelles à des tiers à des fins commerciales.

• Au sein de FAST Search Luxembourg : les collaborateurs affectés au dossier concerné, selon des règles d'habilitation limitant l'accès aux données nécessaires à leur fonction.
• Le mandant : banque, assurance, étude notariale, entreprise ou particulier à l'origine de la demande, destinataire du rapport final et, selon le cas, de certaines données intermédiaires.
• Correspondants et enquêteurs locaux à l'étranger : partenaires chargés de vérifications sur place lorsque la personne recherchée est localisée hors de Luxembourg ou de l'Union européenne. Ces prestataires n'accèdent qu'aux données strictement nécessaires à leur mission.
• Fournisseurs de bases de données de sanctions et de personnes politiquement exposées : destinataires techniques dans le cadre des opérations de criblage.
• Prestataires informatiques : sous-traitants assurant l'hébergement, la maintenance ou la sécurité des systèmes d'information de FAST Search Luxembourg, liés par des obligations contractuelles conformes à l'article 28 du RGPD.
• Prestataires RH externes : le cas échéant, prestataires de paie ou de gestion des candidatures intervenant pour la gestion administrative du personnel.
• Conseils externes : avocats, auditeurs ou réviseurs, en cas de nécessité pour la défense des droits de FAST Search Luxembourg ou le respect d'obligations d'audit.

En cas de réquisition légale émanant d'une autorité judiciaire ou administrative compétente, FAST Search Luxembourg peut être contrainte de divulguer certaines données, dans les limites imposées par la loi. En cas de violation de données susceptible d'engendrer un risque pour les droits et libertés des personnes concernées, la Commission Nationale pour la Protection des Données (CNPD) sera notifiée dans un délai de 72 heures conformément à l'article 33 du RGPD.

6. Transferts de données hors Union européenne

Certaines activités de FAST Search Luxembourg impliquent le recours à des correspondants ou enquêteurs situés hors de l'Union européenne, notamment lorsque la personne recherchée est localisée à l'étranger. Ces traitements peuvent donner lieu à un transfert de données hors UE/EEE.

Lorsqu'un tel transfert intervient vers un pays reconnu par la Commission européenne comme offrant un niveau de protection adéquat (décision d'adéquation), aucune garantie supplémentaire n'est requise. Dans les autres cas, FAST Search Luxembourg s'assure que le transfert est encadré par des garanties appropriées au sens du Chapitre V du RGPD, notamment les Clauses Contractuelles Types adoptées par la Commission européenne, complétées si nécessaire par des mesures supplémentaires.

7. Vos droits en tant que personne concernée

Conformément au RGPD, toute personne concernée dispose des droits suivants, exerçables dans les conditions décrites ci-dessous :

• Droit d'accès : obtenir la confirmation qu'un traitement de données la concernant est mis en œuvre et en recevoir une copie ainsi que les informations relatives à ce traitement.
• Droit de rectification : demander la correction de données inexactes ou incomplètes.
• Droit à l'effacement : demander la suppression de ses données lorsqu'elles ne sont plus nécessaires aux finalités poursuivies, sous réserve des obligations légales de conservation ou de la nécessité de conserver certaines données pour la constatation, l'exercice ou la défense de droits en justice.
• Droit d'opposition : s'opposer, pour des motifs tenant à sa situation particulière, à un traitement fondé sur l'intérêt légitime de FAST Search Luxembourg, notamment aux opérations de profilage ou de recherche par sources ouvertes. FAST Search Luxembourg peut refuser cette opposition si elle démontre l'existence de motifs légitimes et impérieux, notamment liés au mandat en cours.
• Droit à la limitation du traitement : demander le gel temporaire d'un traitement, par exemple le temps de vérifier l'exactitude de données contestées.
• Droit à la portabilité : pour les données fournies directement et traitées sur la base du consentement ou d'un contrat, en demander la restitution dans un format structuré et lisible par machine.

Ces droits peuvent être exercés en s'adressant au DPO de FAST Search Luxembourg aux coordonnées indiquées à la section 1. FAST Search Luxembourg pourra demander la justification de l'identité du demandeur avant de donner suite à sa demande. Une réponse sera apportée dans le délai d'un mois prévu par le RGPD, prolongeable de deux mois en cas de complexité particulière, avec information préalable du demandeur.

Compte tenu de la nature des activités de FAST Search Luxembourg (enquêtes en cours, dossiers non finalisés), l'exercice de certains droits peut être différé ou partiellement limité tant que la divulgation d'informations serait susceptible de compromettre l'objectif du mandat en cours ou porterait atteinte aux droits d'un tiers. Les motifs d'un refus, total ou partiel, seront communiqués au demandeur.

8. Sécurité des données

FAST Search Luxembourg met en œuvre des mesures de sécurité techniques et organisationnelles appropriées au regard des risques présentés par ses traitements, conformément à l'article 32 du RGPD, notamment :

• un contrôle d'accès individualisé et cloisonné, limitant l'accès aux données au strict besoin de chaque collaborateur ;
• le chiffrement et la sécurisation des canaux de transmission utilisés pour l'échange de documents avec les mandants et les correspondants ;
• des clauses de confidentialité applicables au personnel et aux correspondants externes ayant accès à des données personnelles ;
• une conservation sécurisée et un accès restreint aux pièces d'identité et documents sensibles ;
• des procédures de sauvegarde et de restauration des données ;
• une procédure interne de gestion des violations de données, prévoyant la notification de la CNPD dans un délai de 72 heures et, le cas échéant, l'information des personnes concernées lorsque le risque est élevé, conformément aux articles 33 et 34 du RGPD.

9. Sous-traitance et responsabilité partagée

Lorsque FAST Search Luxembourg fait appel à des sous-traitants pour traiter des données personnelles en son nom (prestataires informatiques, correspondants locaux agissant en tant que sous-traitants, prestataires RH), des contrats conformes à l'article 28 du RGPD sont conclus. Ces contrats imposent aux sous-traitants :

• de traiter les données uniquement sur instruction documentée de FAST Search Luxembourg ;
• de garantir la confidentialité des données ;
• de mettre en œuvre des mesures de sécurité appropriées ;
• de ne pas recourir à d'autres sous-traitants sans autorisation préalable ;
• d'assister FAST Search Luxembourg dans le respect des droits des personnes concernées ;
• de supprimer ou restituer les données à la fin du contrat.

10. Données relatives aux salariés et aux candidats (résumé)

Dans le cadre de la gestion de son personnel et de ses recrutements, FAST Search Luxembourg traite également des données personnelles concernant ses salariés et les candidats à l'embauche. Ces traitements font l'objet d'une notice de protection des données dédiée, remise directement aux salariés et aux candidats. Le présent résumé en rappelle les grandes lignes :

• Gestion administrative et paie : identité, coordonnées, données bancaires, numéro d'identification fiscale et de sécurité sociale, fonction occupée. Base légale : exécution du contrat de travail et obligations légales de l'employeur. Conservation : généralement 10 ans.
• Suivi médical, absences et accidents de travail : identité, mention d'aptitude, justification d'absence, circonstances d'un accident. Base légale : obligation légale de l'employeur. Conservation : durée de la relation contractuelle ou 10 ans selon les cas.
• Évaluations professionnelles, formation et sanctions disciplinaires : identité, résultats d'évaluation, éléments relatifs à un contentieux disciplinaire. Base légale : intérêt légitime de l'employeur. Conservation : durée de la relation contractuelle, ou 3 ans pour les sanctions disciplinaires.
• Vérification du casier judiciaire des salariés : identité, fonction occupée. Base légale : obligation légale liée à l'aptitude à occuper le poste. Ces données ne sont pas conservées au-delà de la vérification.
• Candidatures : identité, coordonnées, parcours professionnel, CV. Base légale : démarches précontractuelles. Conservation : suppression immédiate en cas de candidature non retenue, ou jusqu'à 2 ans en cas de consentement du candidat à une conservation prolongée.
• Droit à l'image des salariés : traitement fondé exclusivement sur le consentement du salarié, retirable à tout moment.

Les destinataires de ces données incluent le département des ressources humaines, la direction, ainsi que les prestataires RH externes de FAST Search Luxembourg (notamment pour la paie et la gestion des candidatures), liés par des obligations contractuelles de confidentialité. Les salariés et candidats disposent des mêmes droits que ceux décrits à la section 7 de la présente politique, à exercer auprès du DPO de FAST Search Luxembourg.

11. Modifications de la politique de confidentialité

La présente politique de confidentialité pourra évoluer afin de refléter les modifications des pratiques de traitement de FAST Search Luxembourg ou des changements légaux et réglementaires. En cas de mise à jour substantielle, FAST Search Luxembourg en informera les personnes concernées par les canaux appropriés. Il est recommandé de consulter régulièrement ce document pour prendre connaissance de sa dernière version en vigueur.