Version 1.0

Politique de confidentialité

En vigueur depuis le 07 septembre 2026

Article 1Objet de la politique

La présente politique de confidentialité décrit les conditions dans lesquelles BAMBOO PRIME I (« BBP-1 ») collecte et traite les données personnelles dans le cadre du site https://bbp-1.carbonthink.io, de l’admission au Projet BBP-1, du processus de vérification d’identité (KYC), de la souscription aux Obligations Tokenisées Indexées (« OTI »), de leur suivi et, plus généralement, de la gestion de la relation avec les Souscripteurs et Porteurs.

Article 2Responsable de traitement

Pour les traitements réalisés dans le cadre du Site et de l’Émission, BAMBOO PRIME I – BBP-1, société par actions simplifiée au capital de 1 000 euros, immatriculée au Registre du commerce et des sociétés de Dijon sous le numéro 130 446 651, dont le siège social est situé 8 place des Platanes, 21250 Pagny-le-Château, France, agit en qualité de responsable de traitement.

BBP-1 est représentée par sa Présidente, la société LUJAPAO, elle-même représentée par M. Virgile Grandjean en sa qualité de Président.

CarbonThink peut intervenir en qualité de sous-traitant de BBP-1 pour certains traitements réalisés dans le cadre du parcours d’admission et de souscription, notamment pour la fourniture et la gestion des fonctionnalités techniques mises à disposition dans l’environnement CarbonThink. D’autres prestataires spécialisés peuvent également intervenir pour les opérations qui leur sont confiées.

Article 3Données susceptibles d’être collectées

Selon les étapes du parcours et les fonctionnalités utilisées, BBP-1 peut notamment traiter :

les données d’identification et de contact, notamment nom, prénom(s), date et lieu de naissance, nationalité, adresse de domicile ou de siège, code postal, ville, pays, adresse électronique et numéro de téléphone ;
les informations relatives à la capacité, à la représentation d’une personne morale et, le cas échéant, aux pouvoirs de son représentant ;
les données et résultats nécessaires à la vérification de l’identité dans le cadre du processus KYC ainsi que, le cas échéant, les justificatifs nécessaires à cette vérification ;
les informations relatives au Compte, à la demande d’accès au Projet, au statut d’admission et aux échanges intervenus au cours du parcours ;
les données relatives à la souscription, notamment les documents contractuels acceptés ou signés, les montants souscrits, les preuves d’acceptation, les horodatages et les informations nécessaires au suivi du paiement ;
les données relatives aux OTI, à leur attribution, à leur détention et aux opérations nécessaires à leur suivi ;
les données techniques relatives au Wallet associé au Compte, notamment son adresse publique, les informations nécessaires à son association avec le Compte ainsi que les références des opérations enregistrées sur l’infrastructure blockchain utilisée ;
les données techniques nécessaires au fonctionnement et à la sécurité du Site, notamment journaux techniques, adresse IP ou informations équivalentes, navigateur et appareil utilisé ;
les communications, demandes d’assistance, réclamations et autres échanges avec BBP-1 ou les prestataires intervenant pour son compte.

Les données personnelles directement identifiantes ne sont pas destinées à être inscrites sur l’infrastructure blockchain utilisée. Certaines données techniques ou références d’opérations peuvent en revanche y être enregistrées et, en raison des caractéristiques techniques de cette infrastructure, ne pas pouvoir être supprimées directement par BBP-1.

Le caractère obligatoire ou facultatif des informations demandées est indiqué lorsque nécessaire. À défaut de fourniture d’une donnée requise pour l’admission, le processus KYC, la souscription ou le suivi des OTI, BBP-1 peut ne pas être en mesure de poursuivre le parcours concerné.

Article 4Finalités des traitements

Finalité	Base juridique
Gestion du Compte et des accès au Site	Exécution du service demandé / mesures précontractuelles selon le cas
Traitement d’une demande d’accès et gestion de l’admission au Projet BBP-1	Mesures précontractuelles demandées par l’Utilisateur
Vérification de l’identité dans le cadre du processus KYC	Intérêt légitime de BBP-1 à sécuriser le parcours de souscription et à prévenir la fraude
Gestion de la souscription, signature des documents et suivi du paiement	Mesures précontractuelles puis exécution de la relation contractuelle
Émission, attribution, suivi et administration des OTI	Exécution de la relation contractuelle et, lorsque applicable, respect des obligations légales ou réglementaires
Association et utilisation technique du Wallet dans le cadre du Projet	Exécution de la relation contractuelle / du service demandé
Traçabilité des opérations liées aux OTI et à l’infrastructure blockchain utilisée	Exécution de la relation contractuelle et intérêt légitime de BBP-1 à assurer la traçabilité et la preuve des opérations
Sécurité, maintenance et prévention des utilisations frauduleuses	Intérêt légitime de BBP-1 à assurer la sécurité de ses services et à prévenir la fraude
Conservation des preuves, gestion des réclamations et défense des droits	Intérêt légitime de BBP-1 à établir la preuve de ses opérations et à défendre ses droits
Respect des obligations légales, réglementaires, comptables ou fiscales effectivement applicables	Obligation légale

Article 5Destinataires des données

Les données sont accessibles aux personnes habilitées au sein de BBP-1 ainsi qu’aux prestataires intervenant pour son compte, dans la limite nécessaire à l’exécution de leurs missions.

CarbonThink peut notamment traiter certaines données pour le compte de BBP-1 dans le cadre des fonctionnalités techniques mises à disposition pour le parcours d’admission et de souscription. Des prestataires spécialisés peuvent également intervenir pour la vérification d’identité, la signature électronique, le paiement, l’hébergement, la gestion technique du Wallet ou l’interaction avec l’infrastructure blockchain.

Les données peuvent également être communiquées aux conseils professionnels, établissements financiers et autorités administratives, judiciaires ou de contrôle lorsqu’une telle communication est nécessaire ou requise.

Article 6Prestataires et sous-traitants

BBP-1 peut recourir à CarbonThink ainsi qu’à des prestataires techniques spécialisés pour fournir les fonctionnalités nécessaires au Projet. Lorsque ces intervenants traitent des données pour le compte de BBP-1, ils interviennent dans le cadre des instructions et obligations qui leur sont applicables.

Dans le cadre du processus KYC, BBP-1 peut recourir à un prestataire spécialisé afin de procéder à la vérification de l’identité de l’Utilisateur et à la concordance des informations communiquées avec les justificatifs présentés. Un prestataire spécialisé peut également intervenir pour la signature électronique des documents de souscription.

Les modalités exactes de traitement et de conservation des justificatifs par les prestataires spécialisés dépendent du service effectivement mis en œuvre. La présente politique n’affirme donc pas que BBP-1, CarbonThink ou le prestataire KYC conserve systématiquement une copie de la pièce d’identité.

Des prestataires techniques peuvent également intervenir dans la gestion du Wallet ou l’interaction avec l’infrastructure blockchain utilisée. Les données personnelles directement identifiantes ne sont pas destinées à être inscrites sur cette infrastructure.

Article 7Transferts de données hors Espace économique européen

Certaines données personnelles peuvent être traitées par des prestataires techniques établis ou disposant de sous-traitants situés en dehors de l’Espace économique européen (EEE). Lorsque de tels transferts interviennent, BBP-1 veille à ce qu’ils soient encadrés conformément à la réglementation applicable, notamment, lorsque cela est nécessaire, par une décision d’adéquation, les clauses contractuelles types adoptées par la Commission européenne ou tout autre mécanisme reconnu.

Des informations complémentaires relatives aux transferts concernés et aux garanties mises en œuvre peuvent être demandées à BBP-1 à l’adresse : bambooprime1@gmail.com.

Article 8Durée de conservation

BBP-1 conserve les données personnelles pendant une durée n’excédant pas celle nécessaire aux finalités pour lesquelles elles ont été collectées et traitées, sous réserve des obligations légales, réglementaires, contractuelles ou probatoires applicables.

Catégorie de données	Durée de conservation
Données relatives au Compte et à l’accès au Site	Pendant la durée d’utilisation du Compte puis, lorsque nécessaire, pendant la durée d’archivage justifiée par les finalités probatoires ou les obligations applicables
Demandes d’accès, admission et échanges préalables sans souscription	3 ans à compter du dernier échange relatif au Projet, sauf nécessité d’une conservation plus longue pour la défense des droits
Données d’identification et données relatives au contrôle KYC	Pendant la durée de la relation avec le Souscripteur ou Porteur, puis selon la durée d’archivage nécessaire aux finalités probatoires et aux obligations applicables
Documents et données de souscription, signatures, paiements et preuves associées	Pendant la durée de la relation contractuelle puis pendant les durées légales, réglementaires ou probatoires applicables
Données relatives aux OTI, à leur attribution, leur détention et leur suivi	Pendant toute la durée nécessaire au suivi des OTI et des droits qui leur sont attachés, puis pendant les durées d’archivage applicables
Données techniques relatives au Wallet et aux opérations blockchain	Pendant la durée nécessaire au fonctionnement, à la traçabilité et à la preuve des opérations. Les données inscrites sur une blockchain peuvent ne pas pouvoir être supprimées directement par BBP-1
Journaux techniques nécessaires à la sécurité du Site	12 mois maximum, sauf nécessité particulière dûment justifiée
Réclamations et contentieux	Pendant la durée nécessaire au traitement de la réclamation ou du contentieux, puis pendant les délais de prescription applicables

Lorsque certaines données sont conservées uniquement à des fins probatoires ou pour respecter une obligation applicable, elles sont archivées avec un accès limité aux seules personnes habilitées.

Article 9Sécurité

BBP-1 met en œuvre, directement ou par l’intermédiaire de ses prestataires, des mesures techniques et organisationnelles raisonnables destinées à protéger les données personnelles contre l’accès non autorisé, la perte, l’altération, la divulgation ou la destruction. Les accès aux données sont limités aux personnes et prestataires qui en ont besoin pour l’exercice de leurs missions.

Article 10Droits des personnes

Sous réserve des conditions prévues par la réglementation applicable, toute personne concernée peut demander l’accès à ses données, leur rectification, leur effacement, la limitation de leur traitement, s’opposer à certains traitements ou exercer son droit à la portabilité lorsque celui-ci est applicable.

Lorsque le traitement repose sur l’intérêt légitime, la personne concernée dispose notamment d’un droit d’opposition dans les conditions prévues par la réglementation. Lorsque le traitement repose sur le consentement, celui-ci peut être retiré à tout moment, sans remettre en cause la licéité du traitement effectué avant son retrait.

Certains droits peuvent être limités lorsqu’une obligation légale ou la nécessité de constater, exercer ou défendre un droit en justice impose la conservation ou le traitement de certaines données.

Article 11Exercice des droits

Les demandes relatives aux données personnelles peuvent être adressées à BBP-1 par e-mail à bambooprime1@gmail.com ou par courrier à BAMBOO PRIME I – BBP-1, 8 place des Platanes, 21250 Pagny-le-Château, France.

BBP-1 peut demander les informations raisonnablement nécessaires pour vérifier l’identité du demandeur lorsque cela est nécessaire.

Article 12Réclamation auprès de la CNIL

Toute personne concernée dispose du droit d’introduire une réclamation auprès de la Commission nationale de l’informatique et des libertés (CNIL), 3 place de Fontenoy – TSA 80715 – 75334 Paris Cedex 07, ou depuis son site internet, sans préjudice de tout autre recours administratif ou juridictionnel.

Article 13Cookies et traceurs

Le Site peut utiliser des cookies ou autres traceurs nécessaires à son fonctionnement. Des outils de mesure d’audience ou services tiers peuvent également être utilisés lorsque cela est autorisé et, lorsque requis, après recueil du consentement de l’Utilisateur.

Article 14Données liées au Wallet et à la blockchain

Les OTI sont représentées numériquement et suivies dans les conditions prévues par la Documentation de l’Émission. La présente politique décrit uniquement les traitements de données personnelles associés à ces fonctionnalités et ne modifie pas la qualification juridique des OTI ni les règles de preuve ou de tenue applicables à l’Émission.

Certaines informations techniques, telles qu’une adresse publique de Wallet, un identifiant de transaction ou une référence d’opération, peuvent être associées au Compte et aux OTI afin d’assurer leur attribution, leur suivi, la traçabilité et la preuve des opérations. En raison des caractéristiques techniques d’une blockchain, les informations qui y sont enregistrées peuvent ne pas pouvoir être modifiées ou supprimées directement par BBP-1.

Article 15Modification de la politique

BBP-1 peut modifier la présente politique de confidentialité afin de tenir compte notamment d’une évolution légale, réglementaire, technique ou fonctionnelle, ou d’une modification des traitements de données personnelles mis en œuvre.

La version en vigueur est celle publiée sur le Site. Sa date d’entrée en vigueur est indiquée en tête du présent document.

En cas de modification substantielle, BBP-1 pourra en informer les Utilisateurs par tout moyen approprié. Lorsque la réglementation l’exige, un nouveau consentement sera recueilli.