Standard de confidentialité d'Uni Direct Limited

Standard de confidentialité d’Uni Direct Limited

1. L’interprétation

- Définitions :

Prise de décision automatisée (ADM) : lorsqu’une décision est prise sur la seule base d’un traitement automatisé (y compris le profilage) qui produit des effets juridiques ou affecte de manière significative une personne. Le GDPR interdit la prise de décision automatisée (sauf si certaines conditions sont remplies) mais pas le traitement automatisé.
Traitement automatisé : toute forme de traitement automatisé de données à caractère personnel consistant à utiliser ces données pour évaluer certains aspects de la personnalité d’une personne, notamment pour analyser ou prédire des aspects concernant ses performances professionnelles, sa situation économique, sa santé, ses préférences personnelles, ses intérêts, sa fiabilité, son comportement, sa localisation ou ses déplacements. Le profilage est un exemple de traitement automatisé.
Nom de l’entreprise : Uni Direct Limited
Personnel de l’entreprise : tous les employés, travailleurs [contractants, travailleurs intérimaires, consultants,] directeurs, membres et autres.
Consentement : accord qui doit être librement donné, spécifique, éclairé et constituer une indication non équivoque des souhaits de la personne concernée par lequel celle-ci, par une déclaration ou par une action positive claire, signifie son accord pour le traitement des données à caractère personnel la concernant.
Contrôleur de données : la personne ou l’organisation qui détermine quand, pourquoi et comment traiter les données à caractère personnel. Il est responsable de la mise en place de pratiques et de politiques conformes au GDPR. Nous sommes le responsable du traitement de toutes les données personnelles relatives au personnel de notre entreprise et des données personnelles utilisées dans le cadre de nos activités à des fins commerciales.
Personne concernée : une personne vivante, identifiée ou identifiable au sujet de laquelle nous détenons des données à caractère personnel. Les personnes concernées peuvent être des ressortissants ou des résidents de n’importe quel pays et peuvent avoir des droits légaux concernant leurs données à caractère personnel.
Évaluation de l’impact sur la vie privée (DPIA) : outils et évaluations utilisés pour identifier et réduire les risques d’une activité de traitement des données. L’évaluation de l’impact sur la vie privée peut être réalisée dans le cadre de l’approche « Privacy by Design » et doit être effectuée pour tous les grands programmes de changement de système ou d’activité impliquant le traitement de données à caractère personnel.
Délégué à la protection des données (DPD) : la personne qui doit être désignée dans des circonstances spécifiques en vertu du GDPR. Lorsqu’un DPD obligatoire n’a pas été désigné, ce terme désigne un responsable de la protection des données ou toute autre désignation volontaire d’un DPD, ou fait référence à l’équipe de protection des données de l’entreprise chargée de la conformité en matière de protection des données.
EEE : les 28 pays de l’UE, ainsi que l’Islande, le Liechtenstein et la Norvège.
Consentement explicite : consentement qui nécessite une déclaration très claire et spécifique (c’est-à-dire qui ne se limite pas à une action).
Règlement général sur la protection des données (RGPD) : le règlement général sur la protection des données ((UE) 2016/679). Les données à caractère personnel sont soumises aux garanties légales spécifiées dans le GDPR.
Données à caractère personnel : toute information identifiant une personne concernée ou toute information relative à une personne concernée que nous pouvons identifier (directement ou indirectement) à partir de ces données seules ou en combinaison avec d’autres identifiants que nous possédons ou auxquels nous pouvons raisonnablement accéder. Les données à caractère personnel comprennent les données à caractère personnel sensibles et les données à caractère personnel pseudonymisées, mais excluent les données anonymes ou les données dont l’identité d’une personne a été définitivement supprimée. Les données à caractère personnel peuvent être factuelles (par exemple, un nom, une adresse électronique, un lieu ou une date de naissance) ou constituer une opinion sur les actions ou le comportement d’une personne.
Violation de données à caractère personnel : tout acte ou omission qui compromet la sécurité, la confidentialité, l’intégrité ou la disponibilité des données à caractère personnel ou les garanties physiques, techniques, administratives ou organisationnelles que nous ou nos prestataires de services tiers avons mises en place pour les protéger. La perte, l’accès non autorisé, la divulgation ou l’acquisition de données à caractère personnel constitue une violation de données à caractère personnel.
Privacy by Design : mise en œuvre efficace de mesures techniques et organisationnelles appropriées pour garantir la conformité avec le GDPR.
Avis de confidentialité (également appelés avis de traitement équitable) ou politiques de confidentialité : avis distincts présentant les informations susceptibles d’être fournies aux personnes concernées lorsque l’entreprise recueille des informations à leur sujet. Ces avis peuvent prendre la forme de déclarations générales de confidentialité applicables à un groupe spécifique de personnes (par exemple, les avis de confidentialité des employés ou la politique de confidentialité du site web) ou il peut s’agir de déclarations de confidentialité autonomes et ponctuelles couvrant le traitement lié à une finalité spécifique.
Traitement : toute activité impliquant l’utilisation de données à caractère personnel. Il comprend l’obtention, l’enregistrement ou la conservation des données, ou la réalisation de toute opération ou ensemble d’opérations sur les données, y compris l’organisation, la modification, l’extraction, l’utilisation, la divulgation, l’effacement ou la destruction. Le traitement comprend également la transmission ou le transfert de données à caractère personnel à des tiers.
Pseudonymisation ou pseudonyme : remplacement d’informations permettant d’identifier directement ou indirectement une personne par un ou plusieurs identifiants artificiels ou pseudonymes, de sorte que la personne à laquelle les données se rapportent ne puisse être identifiée sans l’utilisation d’informations supplémentaires destinées à être conservées séparément et en toute sécurité.
Politiques connexes : les politiques, procédures opérationnelles ou processus de l’entreprise liés à la présente norme de protection de la vie privée et conçus pour protéger les données à caractère personnel, qui peuvent être en place de temps à autre et sont disponibles sur demande.
Données personnelles sensibles : informations révélant l’origine raciale ou ethnique, les opinions politiques, les croyances religieuses ou similaires, l’appartenance syndicale, les conditions de santé physique ou mentale, la vie sexuelle, l’orientation sexuelle, les données biométriques ou génétiques, et les données personnelles relatives aux infractions et condamnations pénales.

2. Introduction

Cette norme de confidentialité définit la manière dont Uni Direct Limited (« nous », « notre », « nos », « l’Entreprise ») traite les données personnelles de ses clients, fournisseurs, employés, travailleurs et autres tiers.

La présente norme de protection de la vie privée s’applique à toutes les données à caractère personnel que nous traitons, quel que soit le support sur lequel ces données sont stockées ou qu’elles concernent des employés, des travailleurs, des clients, des contacts avec des fournisseurs, des actionnaires, des utilisateurs de sites web ou toute autre personne concernée, passés ou présents.

La présente norme de protection de la vie privée s’applique à l’ensemble du personnel de l’entreprise (« vous », « votre »). Vous devez lire, comprendre et respecter la présente norme de protection de la vie privée lorsque vous traitez des données à caractère personnel en notre nom et suivre une formation sur ses exigences. La présente norme de protection de la vie privée énonce ce que nous attendons de vous pour que la Société puisse se conformer à la législation applicable. Le respect de cette norme de confidentialité est obligatoire. Des politiques connexes sont disponibles pour vous aider à interpréter et à agir conformément à la présente norme de protection de la vie privée. Vous devez également vous conformer à toutes ces politiques connexes. Toute violation de la présente norme de protection de la vie privée peut donner lieu à des mesures disciplinaires.

La présente norme de protection de la vie privée (ainsi que les politiques connexes) est un document interne qui ne peut être communiqué à des tiers, à des clients ou à des autorités de réglementation sans l’autorisation préalable du délégué à la protection des données.

3. Champ d’application

Nous reconnaissons que le traitement correct et licite des données à caractère personnel maintiendra la confiance dans l’organisation et assurera la réussite des opérations commerciales. La protection de la confidentialité et de l’intégrité des données personnelles est une responsabilité essentielle que nous prenons au sérieux à tout moment. L’entreprise s’expose à des amendes potentielles pouvant aller jusqu’à 20 millions d’euros (environ 18 millions de livres sterling) ou 4 % du chiffre d’affaires annuel mondial total, le montant le plus élevé étant retenu et en fonction de la violation, en cas de non-respect des dispositions du GDPR.

Tous les directeurs et responsables sont chargés de veiller à ce que l’ensemble du personnel de l’entreprise respecte la présente norme relative à la protection de la vie privée et doivent mettre en œuvre des pratiques, des processus, des contrôles et des formations appropriés pour garantir ce respect.

Le DPD est chargé de superviser la présente norme de protection de la vie privée et, le cas échéant, d’élaborer des politiques connexes.

Veuillez contacter le DPD pour toute question concernant le fonctionnement de la présente norme de protection de la vie privée ou du GDPR, ou si vous avez des inquiétudes quant au fait que la présente norme de protection de la vie privée n’est pas ou n’a pas été respectée. En particulier, vous devez toujours contacter le DPD dans les circonstances suivantes :

si vous n’êtes pas sûr de la base légale sur laquelle vous vous appuyez pour traiter les données à caractère personnel (y compris les intérêts légitimes utilisés par la société) (voir la section 5.1 ci-dessous) ;
si vous devez vous appuyer sur le consentement et/ou si vous devez recueillir un consentement explicite (voir le point 5.2 ci-dessous) ;
si vous devez rédiger des avis de confidentialité ou des avis de traitement équitable (voir le point 5.3 ci-dessous) ;
si vous n’êtes pas sûr de la durée de conservation des données personnelles traitées (voir section 9 ci-dessous) ;
si vous n’êtes pas sûr des mesures de sécurité ou autres que vous devez mettre en œuvre pour protéger les données à caractère personnel (voir section 10.1 ci-dessous) ;
s’il y a eu une violation de données à caractère personnel(section 10.2 ci-dessous) ;
si vous ne savez pas sur quelle base transférer des données à caractère personnel en dehors de l’EEE (voir section 11 ci-dessous) ;
si vous avez besoin d’aide pour traiter les droits invoqués par une personne concernée (voir section 12);
lorsque vous vous engagez dans une activité de traitement nouvelle ou modifiée de manière significative, susceptible de nécessiter une DPIA (voir la section 13.4 ci-dessous), ou lorsque vous prévoyez d’utiliser des données à caractère personnel à des fins autres que celles pour lesquelles elles ont été collectées ;
Si vous prévoyez d’entreprendre des activités impliquant un traitement automatisé, y compris le profilage ou la prise de décision automatisée (voir la section 13.5 ci-dessous) ;
si vous avez besoin d’aide pour vous conformer à la législation applicable lors de la mise en œuvre d’activités de marketing direct (voir le point 13.6 ci-dessous) ; ou
si vous avez besoin d’aide concernant des contrats ou d’autres domaines liés au partage de données à caractère personnel avec des tiers (y compris nos fournisseurs) (voir la section 13.7 ci-dessous).

4. Principes de protection des données personnelles

Nous adhérons aux principes relatifs au traitement des données personnelles énoncés dans le GDPR, qui exigent que les données personnelles soient.. :

Traité de manière légale, équitable et transparente (légalité, équité et transparence).
Collecte uniquement à des fins spécifiques, explicites et légitimes (limitation de la finalité).
Adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités pour lesquelles elles sont traitées (minimisation des données).
Exactitude et, le cas échéant, mise à jour (Exactitude).
Elles ne sont pas conservées sous une forme permettant l’identification des personnes concernées pendant une durée excédant celle nécessaire à la réalisation des finalités pour lesquelles elles sont traitées (limitation du stockage).
Traité d’une manière qui garantisse sa sécurité en utilisant des mesures techniques et organisationnelles appropriées pour le protéger contre le traitement non autorisé ou illégal et contre la perte, la destruction ou les dommages accidentels (sécurité, intégrité et confidentialité).
Pas de transfert vers un autre pays sans la mise en place de garanties appropriées (limitation du transfert).
Mis à la disposition des personnes concernées et autorisées à exercer certains droits relatifs à leurs données à caractère personnel (droits et demandes de la personne concernée).

Nous sommes responsables du respect des principes de protection des données énumérés ci-dessus (responsabilité) et devons être en mesure de le démontrer.

5. Légalité, équité, transparence

- Légalité et équité

Les données à caractère personnel doivent être traitées de manière licite, loyale et transparente par rapport à la personne concernée.

Vous ne pouvez collecter, traiter et partager des données à caractère personnel que de manière loyale et licite et pour des finalités déterminées. Le GDPR limite nos actions concernant les données à caractère personnel à des fins licites spécifiées. Ces restrictions n’ont pas pour but d’empêcher le traitement, mais de garantir que nous traitons les données à caractère personnel de manière loyale et sans porter préjudice à la personne concernée.

Le GDPR autorise le traitement à des fins spécifiques, dont certaines sont décrites ci-dessous :

la personne concernée a donné son consentement ;
le traitement est nécessaire à l’exécution d’un contrat avec la personne concernée ;
pour répondre à nos obligations légales en matière de conformité.. ;
pour protéger les intérêts vitaux de la personne concernée ; ou
poursuivre nos intérêts légitimes à des fins qui ne sont pas supplantées par le fait que le traitement porte atteinte aux intérêts ou aux libertés et droits fondamentaux des personnes concernées. Les finalités pour lesquelles nous traitons les données à caractère personnel dans le cadre de nos intérêts légitimes doivent être énoncées dans les avis de confidentialité ou les avis de traitement équitable applicables.

Vous devez identifier et documenter le motif juridique invoqué pour chaque activité de traitement.

Consentement

Un contrôleur de données ne doit traiter les données à caractère personnel que sur la base d’une ou plusieurs des bases légales énoncées dans le GDPR, dont le consentement.

Une personne concernée consent au traitement de ses données à caractère personnel si elle indique clairement son accord, soit par une déclaration, soit par une action positive. Le consentement nécessite une action positive, de sorte que le silence, les cases pré-cochées ou l’inactivité ne sont probablement pas suffisants. Si le consentement est donné dans un document qui traite d’autres questions, le consentement doit être séparé de ces autres questions.

Les personnes concernées doivent pouvoir facilement retirer leur consentement au traitement à tout moment et ce retrait doit être rapidement honoré. Le consentement peut devoir être réactualisé si vous avez l’intention de traiter des données à caractère personnel pour une finalité différente et incompatible qui n’a pas été divulguée lorsque la personne concernée a donné son consentement pour la première fois.

À moins que nous ne puissions nous appuyer sur une autre base juridique pour le traitement, le consentement explicite est généralement requis pour le traitement des données personnelles sensibles, pour la prise de décision automatisée et pour les transferts de données transfrontaliers. En général, nous nous appuyons sur une autre base juridique (et n’exigeons pas de consentement explicite) pour traiter la plupart des types de données sensibles. Lorsque le consentement explicite est requis, vous devez adresser un avis de traitement équitable à la personne concernée afin d’obtenir son consentement explicite.

Vous devrez prouver que vous avez obtenu le consentement et conserver les enregistrements de tous les consentements afin que l’entreprise puisse prouver qu’elle respecte les exigences en matière de consentement.

Transparence (notification aux personnes concernées)

Le GDPR exige des responsables du traitement qu’ils fournissent des informations détaillées et spécifiques aux personnes concernées, selon que les informations ont été collectées directement auprès des personnes concernées ou auprès d’autres sources. Ces informations doivent être fournies au moyen d’avis de confidentialité ou d’avis de traitement équitable appropriés, qui doivent être concis, transparents, intelligibles, facilement accessibles et rédigés dans un langage clair et simple, de sorte que la personne concernée puisse les comprendre aisément.

Chaque fois que nous collectons des données personnelles directement auprès des personnes concernées, y compris à des fins de ressources humaines ou d’emploi, nous devons fournir à la personne concernée toutes les informations requises par le GDPR, y compris l’identité du contrôleur des données et du DPD, comment et pourquoi nous utiliserons, traiterons, divulguerons, protégerons et conserverons ces données personnelles par le biais d’un avis de traitement équitable qui doit être présenté lorsque la personne concernée fournit les données personnelles pour la première fois.

Lorsque des données à caractère personnel sont collectées indirectement (par exemple, auprès d’un tiers ou d’une source accessible au public), vous devez fournir à la personne concernée toutes les informations requises par le GDPR dès que possible après la collecte/réception des données. Vous devez également vérifier que les données à caractère personnel ont été collectées par le tiers conformément au GDPR et sur une base qui envisage notre proposition de traitement de ces données à caractère personnel.

6. Limitation de l’objet

Les données à caractère personnel ne doivent être collectées que pour des finalités déterminées, explicites et légitimes. Elles ne doivent pas être traitées ultérieurement d’une manière incompatible avec ces finalités.

Vous ne pouvez pas utiliser les données à caractère personnel à des fins nouvelles, différentes ou incompatibles avec celles qui ont été divulguées lors de leur collecte initiale, à moins que vous n’ayez informé la personne concernée de ces nouvelles fins et qu’elle y ait consenti le cas échéant.

7. Minimisation des données

Les données à caractère personnel doivent être adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités pour lesquelles elles sont traitées.

Vous ne pouvez traiter les données à caractère personnel que lorsque l’exercice de vos fonctions l’exige. Vous ne pouvez pas traiter des données à caractère personnel pour des raisons qui ne sont pas liées à vos fonctions.

Vous ne pouvez collecter que les données à caractère personnel dont vous avez besoin dans le cadre de vos fonctions : ne collectez pas de données excessives. Veillez à ce que les données personnelles collectées soient adéquates et pertinentes au regard des finalités poursuivies.

Vous devez vous assurer que lorsque les données personnelles ne sont plus nécessaires aux fins spécifiées, elles sont supprimées ou rendues anonymes conformément aux directives de conservation des données de la société.

8. Précision

Les données à caractère personnel doivent être exactes et, si nécessaire, mises à jour. Elles doivent être corrigées ou supprimées sans délai lorsqu’elles sont inexactes.

Vous veillerez à ce que les données à caractère personnel que nous utilisons et détenons soient exactes, complètes, mises à jour et pertinentes par rapport à l’objectif pour lequel nous les avons collectées. Vous devez vérifier l’exactitude de toutes les données à caractère personnel au moment de leur collecte et à intervalles réguliers par la suite. Vous devez prendre toutes les mesures raisonnables pour détruire ou modifier les données à caractère personnel inexactes ou périmées.

9. Limitation du stockage

Les données à caractère personnel ne doivent pas être conservées sous une forme permettant l’identification pendant une durée excédant celle nécessaire à la réalisation des finalités pour lesquelles elles sont traitées.

Vous ne devez pas conserver les données à caractère personnel sous une forme permettant l’identification de la personne concernée pendant une durée excédant celle nécessaire à la réalisation de l’objectif ou des objectifs commerciaux légitimes pour lesquels nous les avons collectées à l’origine, y compris dans le but de satisfaire à des exigences légales, comptables ou d’établissement de rapports.

La société appliquera des politiques et des procédures de conservation afin de s’assurer que les données à caractère personnel sont supprimées après un délai raisonnable par rapport aux objectifs pour lesquels elles étaient détenues, sauf si une loi exige que ces données soient conservées pendant une durée minimale.

Vous prendrez toutes les mesures raisonnables pour détruire ou effacer de nos systèmes toutes les données à caractère personnel dont nous n’avons plus besoin, conformément à tous les calendriers et politiques de conservation des documents applicables de la société. Cela inclut le fait de demander à des tiers de supprimer ces données, le cas échéant.

Vous veillerez à ce que les personnes concernées soient informées de la période pendant laquelle les données sont stockées et de la manière dont cette période est déterminée dans tout avis de confidentialité ou avis de traitement équitable applicable.

10. Sécurité, intégrité et confidentialité

- Protection des données personnelles

Les données à caractère personnel doivent être protégées par des mesures techniques et organisationnelles appropriées contre le traitement non autorisé ou illégal, et contre la perte, la destruction ou les dommages accidentels.

Nous développerons, mettrons en œuvre et maintiendrons des garanties adaptées à notre taille, à notre portée et à nos activités, à nos ressources disponibles, à la quantité de données à caractère personnel que nous possédons ou conservons pour le compte de tiers et aux risques identifiés (y compris l’utilisation du cryptage et de la pseudonymisation, le cas échéant). Nous évaluerons et testerons régulièrement l’efficacité de ces garanties afin d’assurer la sécurité de notre traitement des données à caractère personnel. Vous êtes responsable de la protection des données à caractère personnel que nous détenons. Vous devez mettre en œuvre des mesures de sécurité raisonnables et appropriées contre le traitement illégal ou non autorisé des données à caractère personnel et contre la perte accidentelle ou l’endommagement des données à caractère personnel. Vous devez faire preuve d’une attention particulière pour protéger les données personnelles sensibles contre la perte et l’accès, l’utilisation ou la divulgation non autorisés.

Vous devez suivre toutes les procédures et technologies que nous avons mises en place pour maintenir la sécurité de toutes les données à caractère personnel, du point de collecte au point de destruction. Vous ne pouvez transférer des données à caractère personnel qu’à des prestataires de services tiers qui acceptent de se conformer aux politiques et procédures requises et qui acceptent de mettre en place des mesures adéquates, comme demandé.

Vous devez maintenir la sécurité des données en protégeant la confidentialité, l’intégrité et la disponibilité des données personnelles, définies comme suit :

La confidentialité signifie que seules les personnes qui ont besoin de savoir et qui sont autorisées à utiliser les données à caractère personnel peuvent y accéder.
L’intégrité signifie que les données à caractère personnel sont exactes et adaptées aux fins pour lesquelles elles sont traitées.
La disponibilité signifie que les utilisateurs autorisés sont en mesure d’accéder aux données à caractère personnel lorsqu’ils en ont besoin à des fins autorisées.

Vous devez vous conformer à tous les aspects applicables de notre politique de sécurité de l’information et de notre politique de conformité au GDPR en place de temps à autre et respecter et ne pas tenter de contourner les mesures de protection administratives, physiques et techniques que nous mettons en œuvre et maintenons conformément au GDPR et aux normes pertinentes pour protéger les données à caractère personnel.

Signaler une violation de données à caractère personnel

Le GDPR exige que les contrôleurs de données notifient toute violation de données personnelles à l’autorité de régulation compétente et, dans certains cas, à la personne concernée.

Nous avons mis en place des procédures pour traiter toute violation présumée de données à caractère personnel et nous informerons les personnes concernées ou tout régulateur applicable lorsque nous sommes légalement tenus de le faire.

Si vous savez ou soupçonnez qu’une violation de données à caractère personnel s’est produite, n’essayez pas d’enquêter vous-même. Contactez immédiatement la personne ou l’équipe désignée comme point de contact principal pour les violations de données à caractère personnel et suivez le plan d’intervention en cas de violation de la sécurité. Vous devez conserver toutes les preuves relatives à la violation potentielle de données à caractère personnel.

11.Limitation du transfert

Le GDPR limite les transferts de données vers des pays situés en dehors de l’EEE afin de garantir que le niveau de protection des données accordé aux individus par le GDPR n’est pas compromis. Vous transférez des données à caractère personnel provenant d’un pays au-delà des frontières lorsque vous transmettez, envoyez, consultez ou accédez à ces données dans ou vers un pays différent.

Vous ne pouvez transférer des données à caractère personnel en dehors de l’EEE que si l’une des conditions suivantes s’applique :

la Commission européenne a pris une décision confirmant que le pays vers lequel nous transférons les données à caractère personnel assure un niveau de protection adéquat des droits et libertés des personnes concernées ;
des garanties appropriées sont en place, telles que des règles d’entreprise contraignantes (BCR), des clauses contractuelles types approuvées par la Commission européenne, un code de conduite approuvé ou un mécanisme de certification, dont une copie peut être obtenue auprès du délégué à la protection des données ;
la personne concernée a donné son consentement explicite au transfert proposé après avoir été informée des risques potentiels ; ou
le transfert est nécessaire pour l’un des autres motifs énoncés dans le GDPR, y compris l’exécution d’un contrat entre nous et la personne concernée, des raisons d’intérêt public, la constatation, l’exercice ou la défense de droits en justice ou la protection des intérêts vitaux de la personne concernée lorsque celle-ci est physiquement ou légalement incapable de donner son consentement et, dans certains cas limités, pour notre intérêt légitime.

Vous devez vous conformer aux lignes directrices de la société concernant les transferts de données transfrontaliers.

12. Droits et demandes de la personne concernée

Les personnes concernées ont des droits en ce qui concerne la manière dont nous traitons leurs données personnelles. Il s’agit notamment des droits suivants

retirer son consentement au traitement à tout moment ;
recevoir certaines informations sur les activités de traitement du contrôleur des données ;
demander l’accès aux données personnelles que nous détenons à leur sujet ;
empêcher l’utilisation de leurs données personnelles à des fins de marketing direct ;
nous demander d’effacer les données à caractère personnel si elles ne sont plus nécessaires au regard des finalités pour lesquelles elles ont été collectées ou traitées, ou de rectifier des données inexactes ou de compléter des données incomplètes ;
restreindre le traitement dans des circonstances spécifiques ;
contestation Traitement justifié sur la base de nos intérêts légitimes ou dans l’intérêt public ;
demander une copie d’un accord en vertu duquel des données à caractère personnel sont transférées en dehors de l’EEE ;
s’opposer aux décisions fondées uniquement sur un traitement automatisé, y compris le profilage (ADM) ;
empêcher un traitement susceptible de causer un dommage ou une détresse à la personne concernée ou à toute autre personne ;
être informés d’une violation de données à caractère personnel susceptible d’engendrer un risque élevé pour leurs droits et libertés ;
déposer une plainte auprès de l’autorité de surveillance ; et
dans des circonstances limitées, recevoir ou demander que leurs données à caractère personnel soient transférées à un tiers dans un format structuré, couramment utilisé et lisible par machine.

Vous devez vérifier l’identité d’une personne qui demande des données en vertu de l’un des droits énumérés ci-dessus (ne permettez pas à des tiers de vous persuader de divulguer des données à caractère personnel sans autorisation appropriée).

Vous devez immédiatement transmettre à votre supérieur hiérarchique toute demande émanant d’une personne concernée et vous conformer à la procédure de réponse de l’entreprise à l’égard de cette personne.

13. Responsabilité

- Le responsable du traitement doit mettre en œuvre des mesures techniques et organisationnelles appropriées de manière efficace, afin de garantir le respect des principes de protection des données. Le responsable du traitement est responsable du respect des principes de protection des données et doit être en mesure de le démontrer.

L’entreprise doit disposer de ressources et de contrôles adéquats pour garantir et documenter la conformité au GDPR :

nommer un DPD dûment qualifié (si nécessaire) et un cadre responsable de la protection de la vie privée ;
mettre en œuvre le principe de Privacy by Design lors du traitement des données à caractère personnel et réaliser des DPIA lorsque le traitement présente un risque élevé pour les droits et libertés des personnes concernées ;
intégrer la protection des données dans les documents internes, y compris le présent standard de protection de la vie privée, les politiques connexes, les avis de protection de la vie privée ou les avis de traitement équitable ;
former régulièrement le personnel de l’entreprise sur le GDPR, le présent standard de protection de la vie privée et les politiques connexes, ainsi que sur les questions de protection des données, y compris, par exemple, les droits de la personne concernée, le consentement, la base juridique, l’analyse d’impact sur la vie privée et les violations de données à caractère personnel. L’entreprise doit tenir un registre des formations suivies par le personnel de l’entreprise ; et
en testant régulièrement les mesures de protection de la vie privée mises en œuvre et en procédant à des examens et audits périodiques pour évaluer la conformité, y compris en utilisant les résultats des tests pour démontrer l’effort d’amélioration de la conformité.

Tenue de registres

Le GDPR exige que nous conservions des enregistrements complets et précis de toutes nos activités de traitement des données.

Vous devez conserver et tenir à jour des registres d’entreprise précis reflétant notre traitement, y compris les registres des consentements des personnes concernées et les procédures d’obtention des consentements.

Ces dossiers doivent comprendre, au minimum, le nom et les coordonnées du responsable du traitement et du délégué à la protection des données, des descriptions claires des types de données à caractère personnel, des types de personnes concernées, des activités de traitement, des finalités du traitement, des destinataires tiers des données à caractère personnel, des lieux de stockage des données à caractère personnel, des transferts de données à caractère personnel, de la période de conservation des données à caractère personnel et une description des mesures de sécurité mises en place. Afin de créer ces enregistrements, il convient d’établir des cartes de données comprenant les détails susmentionnés ainsi que les flux de données appropriés.

Formation et audit

Nous sommes tenus de nous assurer que l’ensemble du personnel de la société a suivi une formation adéquate lui permettant de se conformer aux lois sur la protection de la vie privée. Nous devons également tester régulièrement nos systèmes et processus afin d’évaluer leur conformité.

Vous devez suivre toutes les formations obligatoires relatives à la protection de la vie privée et veiller à ce que votre équipe suive une formation obligatoire similaire.

Vous devez revoir régulièrement tous les systèmes et processus sous votre contrôle pour vous assurer qu’ils sont conformes à la présente norme de protection de la vie privée et vérifier que des contrôles de gouvernance et des ressources adéquats sont en place pour garantir une utilisation et une protection correctes des données à caractère personnel.

Le respect de la vie privée dès la conception et l’évaluation de l’impact sur la protection des données (DPIA)

Nous sommes tenus de mettre en œuvre des mesures de protection de la vie privée dès la conception lors du traitement des données à caractère personnel en mettant en œuvre des mesures techniques et organisationnelles appropriées (comme la pseudonymisation) de manière efficace, afin de garantir la conformité avec les principes de protection de la vie privée.

Vous devez évaluer les mesures de Privacy by Design qui peuvent être mises en œuvre dans tous les programmes/systèmes/processus qui traitent des données à caractère personnel en tenant compte des éléments suivants :

l’état de l’art ;
le coût de la mise en œuvre ;
la nature, la portée, le contexte et les finalités du traitement ; et
les risques de probabilité et de gravité variables pour les droits et libertés des personnes concernées que présente le traitement.

Les responsables du traitement doivent également effectuer des DPIA pour les traitements à haut risque.

Vous devez réaliser une DPIA (et discuter de vos conclusions avec le DPD) lorsque vous mettez en œuvre des programmes de changement majeur du système ou de l’entreprise impliquant le traitement de données à caractère personnel, y compris :

l’utilisation de nouvelles technologies (programmes, systèmes ou procédés) ou l’évolution des technologies (programmes, systèmes ou procédés) ;
Traitement automatisé, y compris le profilage et l’ADM ;
le traitement à grande échelle de données sensibles ; et
surveillance systématique à grande échelle d’une zone accessible au public.

Une DPIA doit comprendre

une description du traitement, de ses finalités et des intérêts légitimes du responsable du traitement, le cas échéant ;
une évaluation de la nécessité et de la proportionnalité du traitement par rapport à sa finalité ;
une évaluation du risque pour les personnes ; et
les mesures d’atténuation des risques mises en place et la démonstration de leur respect.

Traitement automatisé (y compris le profilage) et prise de décision automatisée

En règle générale, l’ADM est interdite lorsqu’une décision a un effet juridique ou un effet similaire important sur un individu, sauf si.. :

une personne concernée a explicitement donné son consentement ;
le traitement est autorisé par la loi ; ou
le traitement est nécessaire à l’exécution ou à la conclusion d’un contrat.

Si certains types de données sensibles sont traités, les motifs (b) ou (c) ne seront pas autorisés, mais ces données sensibles peuvent être traitées si cela est nécessaire (à moins que des moyens moins intrusifs puissent être utilisés) pour un intérêt public important tel que la prévention de la fraude.

Si une décision doit être fondée uniquement sur un traitement automatisé (y compris le profilage), les personnes concernées doivent être informées de leur droit d’opposition lorsque vous communiquez avec elles pour la première fois. Ce droit doit être explicitement porté à leur attention et présenté clairement et séparément des autres informations. En outre, des mesures appropriées doivent être mises en place pour sauvegarder les droits et libertés et les intérêts légitimes de la personne concernée.

Nous devons également informer la personne concernée de la logique qui sous-tend la prise de décision ou le profilage, de l’importance et des conséquences envisagées, et lui donner le droit de demander une intervention humaine, d’exprimer son point de vue ou de contester la décision.

Une DPIA doit être réalisée avant tout traitement automatisé (y compris le profilage) ou toute activité d’ADM.

Marketing direct

Nous sommes soumis à certaines règles et lois sur la protection de la vie privée lorsque nous faisons du marketing auprès de nos clients.

Par exemple, le consentement préalable d’une personne concernée est requis pour la prospection directe par voie électronique (par exemple, par courrier électronique, SMS ou appels automatisés). L’exception limitée pour les clients existants, connue sous le nom de « soft opt in », permet aux organisations d’envoyer des textes ou des courriels de marketing si elles ont obtenu les coordonnées d’une personne dans le cadre d’une vente à cette personne, si elles commercialisent des produits ou des services similaires et si elles ont donné à la personne la possibilité de refuser le marketing lors de la collecte initiale des coordonnées et dans chaque message ultérieur.

Le droit de s’opposer au marketing direct doit être explicitement proposé à la personne concernée d’une manière intelligible afin qu’il soit clairement distingué des autres informations.

L’opposition d’une personne concernée à la prospection directe doit être honorée sans délai. Si un client s’y oppose à tout moment, ses données doivent être supprimées dès que possible. La suppression consiste à conserver juste assez d’informations pour s’assurer que les préférences en matière de marketing seront respectées à l’avenir.

Partage des données personnelles

En règle générale, nous ne sommes pas autorisés à partager des données à caractère personnel avec des tiers, à moins que certaines garanties et dispositions contractuelles n’aient été mises en place.

Vous ne pouvez partager les données personnelles que nous détenons avec un autre employé, agent ou représentant de notre groupe (qui comprend nos filiales et notre holding ultime ainsi que ses filiales) que si le destinataire a besoin, dans le cadre de son travail, de connaître ces informations et si le transfert est conforme aux restrictions applicables en matière de transfert transfrontalier.

Vous ne pouvez partager les données personnelles que nous détenons avec des tiers, tels que nos prestataires de services, que dans les cas suivants :

ils ont besoin de connaître les informations pour fournir les services contractuels ;
le partage des données personnelles est conforme à l’avis de confidentialité fourni à la personne concernée et, si nécessaire, le consentement de la personne concernée a été obtenu ;
le tiers a accepté de se conformer aux normes, politiques et procédures requises en matière de sécurité des données et de mettre en place des mesures de sécurité adéquates ;
le transfert est conforme à toutes les restrictions applicables aux transferts transfrontaliers ; et
un contrat écrit entièrement exécuté contenant des clauses de tiers approuvées par le GDPR a été obtenu.

Modifications de la présente norme de protection de la vie privée

Nous nous réservons le droit de modifier la présente norme de protection de la vie privée à tout moment et sans préavis ; nous vous invitons donc à la consulter régulièrement pour en obtenir la dernière version.

La présente norme de protection de la vie privée ne prévaut pas sur les lois et réglementations nationales applicables en matière de protection des données dans les pays où l’entreprise exerce ses activités.