Mathieu Pouliquen

1. Mise en conformité RGPD (BUILD) : — Réalisation des registres des traitements : ● Interviews métier / IT / juridique, recueil et analyse documentaire ● Identification des traitements, finalités et sous-finalités, des données et SI concernés ● Détermination des bases légales, durées de conservation et responsabilités — Réalisation des AIPD après étude d’éligibilité, élaboration de plans de mitigation des risques — Revues Privacy des traitements, identification des écarts de conformité et actions de protection — Information des personnes : élaboration de mentions d’information et politiques de confidentialité — Mise à niveau de contrats : revue des contrats clients / sous-traitants / RH — Renforcement de la sécurité des données : ● Revues de sécurité des SI et de la protection des données (avec IT / RSSI) ● Pilotage des actions de renforcement de la protection SSI des données (avec IT / RSSI) — Élaboration des socles de politiques et procédures relatives à la conformité : ● Dispositifs d’exercice des droits des personnes ● Détection et gestion des violations de données personnelles ● Chartes informatiques et information des collaborateurs — Réalisation de sessions de sensibilisation à la protection des données et à la cybersécurité. 2. Maintien de la conformité (RUN) : — Audits et contrôles périodiques de la conformité RGPD — Conseil en matière de protection des données personnelles ● Revues privacy des projets, identification des écarts de conformité et actions de protection ● Enrichissement des registres des traitements ● Mise en conformité des relations avec les nouveaux sous-traitants — Traitement des demandes d’exercice des droits RGPD Formation sur différentes thématiques du droit français, dont le droit sur la protection des données : — Programme ADN (programme de formation au numérique de Amazon Web Services) — Formations pour le compte de Pôle Emploi : sessions de 40h auprès de personnes en reconversion pro

Global expansion of the OneTrust platform, ICT transformation migration project led under the directives of the Group Office by onboarding and supporting Business Units (LATAM, EMEA) to ensure successful adoption and utilization: • Supporting the automation of Data Subject Rights (DSRs) and Cookie Consent processes within a unified global tenant by configuring workflows to enhance intake, routing, and response management. • Expanding the platform’s scope to include AI Governance, Incident Management, and Project Governance. • Collaborating with IT teams to integrate OneTrust with regional systems via API connections, ensuring data consistency across global tenants. • Designing and optimizing automated flagging and reporting dashboards to monitor compliance KPIs and platform adoption. • Monitoring platform success, gathering stakeholder feedback, and identifying areas for improvement.

Acted as interim DPO lead during a maternity leave, overseeing privacy matters amid Ageras’ acquisition of Shine, a French neobank for SMEs previously owned by Société Générale: • Supporting and providing personalized counseling to business teams on privacy legal requirements in the context of significant company acquisition. • Defining a framework for AI usage within the new company context, aligned with the most up-to-date regulatory developments. • Managing data protection agreements with international partners and providers, while studying contractual implications due to the acquisition. • Conducting DPIA for eligible processing activites (KYC, KYB, AML). • Overseeing and managing data migration operations, ensuring contractual compliance in the context of the acquisition. • Establishing compliant processes with digital teams to collect and process personal data, aligning with the new corporate governance. • Adaptation of the Consent Management Platform regarding the most up to date legal requirements.

• Responsible for the optimization of the One Trust data protection management solution by: - Configuring and improving workflow-based assessments in OneTrust (privacy questionnaires, incident response forms) to automate risk scoring and follow-up actions; - Collaborating closely with ICT to align OneTrust data mapping with internal systems, supporting future integration and interoperability; - Implementing automated reminders and notifications within OneTrust to enhance compliance task management and stakeholder accountability; - Reviewing the data mapping with all departments (anti-doping, integrity, medical, HR, events, UEFA academy, legal, ICT, etc.), and setting up of the Record of Processing Activities (RoPA) in One Trust; • Negotiation and management of data protection agreements with Swiss and international partners/suppliers. • Providing data protection advice/training and support to numerous business teams related to anti-doping, integrity, HR, legal, ICT & events activities. • Collaboration within the team of data protection delegates on various topics related to the GDPR and the Swiss Federal Data Protection Act (FDAP). • Adaptation of the current data protection management systemto the needs of the GDPR and the new Swiss FADP. • Establishment of new policies, processes and procedures, review of the incident response procedure by developing forms and processes.

_ RoPA (Register of Processing Activities); management of a project to create and enhance RoPAs on behalf of the 30 ARVAL legal entities, based on BNP Paribas Data Office guidelines _ DPIA; identification and realization of new DPIAs, remediation actions on previously initiated DPIAs _ Legitimate Interest Assessment (LIA) / Balancing tests; identification, prioritization and realization of LIAs for various processing activities

Pilotage de la campagne de réalisation des AIPD de VW Bank France : — Gestion d’un portefeuille de 26 AIPD services financiers & fonctions support : ● Services Financiers : acceptation des dossiers de financement, scoring à l’octroi des crédits, recouvrement, … ● Marketing : enrichissement de la base clients / prospects, études et segmentation,… ● Commercial : Conversations téléphoniques, prospection, … ● Conformité : LCBFT, fraude, alertes professionnelles, politique cadeaux, infractions routières, … ● RH : contentieux RH, recrutement, embauches / departs, carrières et mobilité, … ● Outils : Sales Force, BI,… — Reporting d’avancement AIPD (COPIL – Livraisons – points de synchronisation réguliers, etc.) — Coordination des différentes parties prenantes (métiers, DSI, DPO, juridique/conformité) — Élaboration des plans d’action de remédiation, priorisation — Réponse à l’Audit Groupe Réalisation des AIPD / DPIA de VW Bank France : — Analyse des traitements de données personnelles concernés par les AIPD, selon les critères du CEPD notamment (scope de 26 AIPD) — Création de chaque AIPD selon le Framework proposé par la CNIL — Recueil et analyse de documentation métier, IT et juridique / conformité — Préparation et animation de groupes de travail pour chaque AIPD avec les interlocuteurs métiers, DSI, juridique / conformité concernés, ainsi que le DPO — Élaboration de chaque AIPD sur la base des informations recueillies — Identification des non-conformités RGPD — Élaboration des préconisations de protection des données personnelles — Présentation des AIPD finalisées au DPO et top management