Sélectionnez votre pays et votre langue
Sélectionnez votre pays et votre langue
Nous révisons régulièrement la présente Politique de confidentialité. Il se peut que nous devions y apporter des modifications ou des ajouts qui pourraient affecter le traitement de vos données. Nous indiquerons sur cette page toute modification apportée à la Politique de confidentialité ; veuillez donc la consulter régulièrement.
La présente politique de confidentialité a été révisée et mise à jour pour la dernière fois en mai 2023.
La présente norme de confidentialité décrit comment nous traitons les données personnelles de nos clients, clients potentiels, fournisseurs, employés, candidats à l'emploi, travailleurs et autres tiers.
La présente norme de confidentialité s'applique à toutes les données personnelles que nous traitons, quel que soit le support sur lequel ces données sont stockées ou qu'elles concernent d'anciens ou actuels employés, candidats, travailleurs, clients, fournisseurs, actionnaires, utilisateurs de site Web ou toute autre personne concernée.
La présente Politique de confidentialité s'applique à l'ensemble du personnel de notre entreprise. Tout membre du personnel est tenu de lire, de comprendre et de respecter cette Politique de confidentialité lorsqu'il traite des données personnelles pour notre compte et suivra une formation sur ses exigences. Cette Politique de confidentialité définit nos attentes afin que l'entreprise soit conforme à la législation applicable. Le respect de cette Politique de confidentialité est obligatoire. Des politiques et directives de confidentialité connexes peuvent être disponibles pour vous aider à interpréter et à appliquer cette Politique de confidentialité. Tout manquement à cette Politique de confidentialité pourra faire l'objet de mesures disciplinaires.
Cette norme de confidentialité ne peut être partagée avec des tiers, des clients ou des organismes de réglementation sans l'autorisation préalable du DPO.
Nous reconnaissons que le traitement correct et licite des données personnelles est essentiel au maintien de la confiance dans notre organisation et à la réussite de nos activités. La protection de la confidentialité et de l'intégrité des données personnelles est une responsabilité primordiale que nous prenons très au sérieux. En cas de non-respect des dispositions du RGPD, la société s'expose à des amendes pouvant atteindre 20 millions d'euros ou 41 030 milliards de dollars de son chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu et en fonction de la gravité de l'infraction.
Tous les PDG, directeurs, gestionnaires, chefs de département, superviseurs et cadres supérieurs sont responsables de veiller à ce que tout le personnel de l'entreprise respecte cette norme de confidentialité et doivent mettre en œuvre des pratiques, des processus, des contrôles et des formations appropriés pour garantir cette conformité.
Le délégué à la protection des données (DPO) est responsable de la supervision de la présente norme de confidentialité et, le cas échéant, de l'élaboration des politiques et lignes directrices connexes en matière de confidentialité. Vous pouvez contacter le DPO à l'adresse suivante : data@sonabusiness.com.
Veuillez contacter le Délégué à la protection des données (DPO) pour toute question relative à l'application de la présente norme de confidentialité ou du RGPD, ou si vous craignez que cette norme ne soit pas ou n'ait pas été respectée. En particulier, vous devez impérativement contacter le DPO dans les circonstances suivantes :
Nous adhérons aux principes relatifs au traitement des données personnelles énoncés dans le RGPD, qui exigent que les données personnelles soient :
Nous sommes responsables et devons être en mesure de démontrer notre conformité aux principes de protection des données énumérés ci-dessus (Responsabilité).
Les données personnelles doivent être traitées de manière licite, loyale et transparente à l’égard de la personne concernée.
Nous ne collecterons, ne traiterons et ne partagerons les données personnelles que de manière loyale et licite, et pour des finalités spécifiques. Le RGPD encadre strictement nos actions relatives aux données personnelles et les limite à des finalités légitimes. Ces restrictions n'ont pas pour but d'empêcher le traitement des données, mais de garantir un traitement loyal et sans préjudice pour la personne concernée.
Le RGPD autorise le traitement des données à des fins spécifiques, dont certaines sont présentées ci-dessous :
Nous avons déterminé que les fondements juridiques sur lesquels nous nous appuyons pour traiter les données personnelles sont les suivants :
Nous traitons uniquement les données personnelles sensibles relatives au personnel de l'entreprise, aux candidats et aux personnes susceptibles de l'être. Le traitement de ces données est également soumis à une condition spécifique prévue à l'article 9 du RGPD. L'entreprise remplit la condition B, paragraphe 2, car le traitement est nécessaire à l'exécution des obligations et à l'exercice des droits spécifiques du responsable du traitement ou de la personne concernée en matière d'emploi. Nous pouvons également recueillir un consentement spécifique.
Un responsable du traitement des données ne peut traiter les données personnelles que sur la base d'une ou plusieurs des bases légales prévues par le RGPD, notamment le consentement.
Une personne concernée consent au traitement de ses données personnelles si elle manifeste clairement son accord, soit par une déclaration, soit par une action positive. Le consentement requiert une action positive ; le silence, les cases pré-cochées ou l’inaction ne sont donc pas suffisants. Si le consentement est donné dans un document traitant d’autres sujets, il doit être conservé séparément de ces autres sujets.
Les personnes concernées doivent pouvoir retirer facilement leur consentement au traitement de leurs données à tout moment, et ce retrait doit être effectif sans délai. Le consentement peut être renouvelé si nous envisageons de traiter des données personnelles à des fins différentes et incompatibles, qui n'avaient pas été divulguées lors du consentement initial.
Sauf si nous pouvons nous appuyer sur une autre base juridique pour le traitement, le consentement explicite peut être requis pour le traitement des données personnelles sensibles, la prise de décision automatisée et les transferts transfrontaliers de données. En règle générale, nous nous appuierons sur une autre base juridique, comme indiqué ci-dessus (et n'exigerons pas de consentement explicite), pour traiter la plupart des types de données sensibles. Lorsque le consentement explicite est requis, nous adresserons à la personne concernée une notice d'information relative au traitement équitable des données afin de recueillir son consentement.
Nous conserverons la preuve des consentements recueillis et tiendrons un registre de tous les consentements afin que la société puisse démontrer sa conformité aux exigences en matière de consentement.
Le RGPD impose aux responsables du traitement de fournir aux personnes concernées des informations détaillées et spécifiques, selon que les données ont été collectées directement auprès d'elles ou auprès d'autres sources. Ces informations doivent être fournies par le biais de mentions d'information appropriées, concises, transparentes, intelligibles, facilement accessibles et rédigées dans un langage clair et simple afin d'être aisément compréhensibles par les personnes concernées.
Lorsque nous collectons des données personnelles directement auprès des personnes concernées, notamment à des fins de ressources humaines ou d'emploi, nous leur fournissons toutes les informations requises par le RGPD, y compris l'identité du responsable du traitement et du délégué à la protection des données (DPO), ainsi que les modalités et les raisons pour lesquelles nous utilisons, traitons, divulguons, protégeons et conservons ces données personnelles, au moyen d'une notice d'information sur le traitement équitable qui doit être présentée lorsque la personne concernée fournit pour la première fois les données personnelles.
Lorsque des données personnelles sont collectées indirectement (par exemple, auprès d'un tiers ou d'une source publique), nous fournissons à la personne concernée toutes les informations requises par le RGPD dès que possible après la collecte ou la réception des données. Nous vérifions également que le tiers a collecté les données personnelles conformément au RGPD et sur une base qui prévoit le traitement que nous envisageons pour ces données.
Les données personnelles ne doivent être collectées que pour des finalités déterminées, explicites et légitimes. Elles ne doivent pas être traitées ultérieurement d'une manière incompatible avec ces finalités.
Nous n'utiliserons pas les données personnelles à des fins nouvelles, différentes ou incompatibles avec celles divulguées lors de leur collecte initiale, sauf si nous avons informé la personne concernée de ces nouvelles finalités et qu'elle a donné son consentement si nécessaire.
Les données personnelles doivent être adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités pour lesquelles elles sont traitées.
Nous ne traiterons les données personnelles que lorsque l'exercice de nos fonctions l'exige. Nous ne pouvons traiter les données personnelles pour aucune raison sans lien avec nos fonctions.
Nous ne collecterons que les données personnelles nécessaires à l'exercice de nos fonctions et nous nous abstiendrons de toute collecte excessive. Nous veillerons à ce que toutes les données personnelles collectées soient adéquates et pertinentes au regard des finalités prévues.
Nous veillerons à ce que les données personnelles, lorsqu'elles ne sont plus nécessaires aux fins spécifiées, soient supprimées ou anonymisées.
Les données personnelles doivent être exactes et, si nécessaire, mises à jour. Elles doivent être corrigées ou supprimées sans délai lorsqu'elles sont inexactes.
Nous veillons à ce que les données personnelles que nous utilisons et conservons soient exactes, complètes, à jour et pertinentes au regard de la finalité pour laquelle elles ont été collectées. Nous vérifions l'exactitude des données personnelles au moment de leur collecte et à intervalles réguliers par la suite. Nous prenons toutes les mesures raisonnables pour supprimer ou rectifier les données personnelles inexactes ou obsolètes.
Les données personnelles ne doivent pas être conservées sous une forme identifiable pendant une durée supérieure à celle nécessaire aux fins pour lesquelles elles sont traitées.
Nous ne conserverons pas les données personnelles sous une forme permettant l'identification de la personne concernée pendant une durée supérieure à celle nécessaire aux fins légitimes pour lesquelles nous les avons initialement collectées, y compris pour satisfaire à toute obligation légale, comptable ou de déclaration.
La société maintiendra des politiques et des procédures de conservation afin de garantir que les données personnelles soient supprimées après un délai raisonnable au regard des finalités pour lesquelles elles étaient conservées, à moins qu'une loi n'exige que ces données soient conservées pendant une durée minimale.
Nous prendrons toutes les mesures raisonnables pour détruire ou effacer de nos systèmes toutes les données personnelles dont nous n'avons plus besoin, conformément aux politiques et aux calendriers de conservation des données applicables de l'entreprise. Cela inclut l'obligation, le cas échéant, pour les tiers de supprimer ces données.
Nous veillerons à ce que les personnes concernées soient informées de la durée de conservation des données et de la manière dont cette durée est déterminée dans toute notice de confidentialité ou notice d'information sur le traitement équitable applicable.
Les données personnelles doivent être protégées par des mesures techniques et organisationnelles appropriées contre tout traitement non autorisé ou illicite, ainsi que contre toute perte, destruction ou altération accidentelle.
Nous développerons, mettrons en œuvre et maintiendrons des mesures de protection adaptées à notre taille, notre champ d'activité, nos ressources disponibles, le volume de données personnelles que nous détenons ou conservons pour le compte de tiers et les risques identifiés (y compris le recours au chiffrement et à la pseudonymisation, le cas échéant). Nous évaluerons et testerons régulièrement l'efficacité de ces mesures afin de garantir la sécurité du traitement des données personnelles. Nous sommes responsables de la protection des données personnelles que nous détenons. Nous mettrons en œuvre des mesures de sécurité raisonnables et appropriées pour prévenir tout traitement illicite ou non autorisé des données personnelles et pour prévenir toute perte ou altération accidentelle de ces données. Nous veillerons particulièrement à protéger les données personnelles sensibles contre la perte, l'accès non autorisé, l'utilisation abusive ou la divulgation.
Nous mettrons en place des politiques visant à garantir la sécurité de toutes les données personnelles, de leur collecte à leur destruction. Nous ne transférerons les données personnelles qu'à des prestataires de services tiers qui s'engagent à respecter les politiques et procédures requises et à mettre en œuvre les mesures adéquates, conformément à nos demandes.
Nous assurerons la sécurité des données en protégeant la confidentialité, l'intégrité et la disponibilité des Données Personnelles, définies comme suit :
Nous maintiendrons et respecterons une politique en matière de technologies de l'information et ne tenterons pas de contourner les mesures de protection administratives, physiques et techniques que nous mettons en œuvre et maintenons conformément au RGPD et aux normes pertinentes pour protéger les données personnelles.
Le RGPD exige que les responsables du traitement des données notifient toute violation de données à caractère personnel à l'autorité de contrôle compétente et, dans certains cas, à la personne concernée.
Nous avons mis en place la procédure suivante pour traiter toute suspicion de violation de données personnelles et nous informerons les personnes concernées ou toute autorité de réglementation compétente lorsque nous y sommes légalement tenus.
Si vous avez connaissance ou soupçonnez une violation de données personnelles, n'essayez pas d'enquêter vous-même. Contactez immédiatement le délégué à la protection des données (DPO), la personne ou l'équipe désignée comme interlocuteur privilégié en cas de violation de données personnelles. Conservez tous les éléments de preuve relatifs à cette potentielle violation.
Le RGPD restreint les transferts de données vers les pays situés en dehors de l'EEE afin de garantir que le niveau de protection des données personnelles assuré par le RGPD ne soit pas compromis. Vous transférez des données personnelles originaires d'un pays vers un autre lorsque vous transmettez, envoyez, consultez ou accédez à ces données dans ou vers un autre pays.
Vous ne pouvez transférer des données personnelles en dehors de l'EEE que si l'une des conditions suivantes est remplie :
Les personnes concernées disposent de droits quant à la manière dont nous traitons leurs données personnelles. Ces droits comprennent notamment le droit de :
Nous vérifierons l'identité de toute personne demandant l'accès à ses données en vertu de l'un des droits mentionnés ci-dessus. Nous ne permettrons à aucun tiers de nous contraindre à divulguer des données personnelles sans autorisation préalable.
Nous transmettrons immédiatement toute demande d'une personne concernée que nous recevrons au délégué à la protection des données (DPO) et nous nous conformerons à la procédure de réponse aux personnes concernées de l'entreprise.
Le responsable du traitement des données mettra en œuvre, de manière efficace, les mesures techniques et organisationnelles appropriées afin de garantir le respect des principes de protection des données. Il est responsable du respect de ces principes et doit être en mesure de le démontrer.
L’entreprise doit disposer des ressources et des contrôles adéquats pour garantir et documenter la conformité au RGPD, notamment :
Le RGPD nous oblige à tenir des registres complets et précis de toutes nos activités de traitement des données.
Nous conserverons et tiendrons à jour des registres d'entreprise précis reflétant nos traitements, y compris les enregistrements des consentements des personnes concernées et les procédures d'obtention de ces consentements.
Ces enregistrements comprendront au minimum le nom et les coordonnées du responsable du traitement et du délégué à la protection des données (DPO), une description claire des types de données à caractère personnel, des catégories de personnes concernées, des activités de traitement, des finalités du traitement, des destinataires tiers des données à caractère personnel, des lieux de stockage des données à caractère personnel, des transferts de données à caractère personnel, de la durée de conservation des données à caractère personnel et une description des mesures de sécurité mises en œuvre. Afin de créer ces enregistrements, des cartographies des données seront élaborées, reprenant les informations susmentionnées ainsi que les flux de données pertinents.
Nous sommes tenus de veiller à ce que tout le personnel de l'entreprise ait suivi une formation adéquate pour lui permettre de respecter la législation sur la protection des données. Nous devons également tester régulièrement nos systèmes et processus afin d'en évaluer la conformité.
Le personnel de l'entreprise suivra toutes les formations obligatoires relatives à la protection des données.
L'ensemble du personnel de l'entreprise examinera régulièrement tous les systèmes et processus sous son contrôle afin de s'assurer de leur conformité à la présente norme de confidentialité et de vérifier que des contrôles de gouvernance et des ressources adéquats sont en place pour garantir une utilisation et une protection appropriées des données personnelles.
Nous sommes tenus de mettre en œuvre des mesures de protection des données dès la conception lors du traitement des données personnelles en appliquant des mesures techniques et organisationnelles appropriées (comme la pseudonymisation) de manière efficace, afin de garantir le respect des principes de protection des données.
Nous évaluerons quelles mesures de protection des données dès la conception peuvent être mises en œuvre sur tous les programmes/systèmes/processus qui traitent des données personnelles en tenant compte des éléments suivants :
Les responsables du traitement des données doivent également réaliser des analyses d'impact relatives à la protection des données (AIPD) concernant les traitements à haut risque.
Nous procéderons systématiquement à une analyse d'impact relative à la protection des données (AIPD) (et discuterons des conclusions avec le délégué à la protection des données) lors de la mise en œuvre de programmes majeurs de changement de système ou d'activité impliquant le traitement de données personnelles, notamment :
Une analyse d'impact relative à la protection des données (AIPD) doit inclure :
En règle générale, l'ADM est interdite lorsqu'une décision a un effet juridique ou similaire significatif sur une personne, sauf si :
Si certains types de données sensibles sont traités, les motifs (b) ou (c) ne seront pas autorisés, mais ces données sensibles peuvent être traitées lorsqu'il est nécessaire (à moins que des moyens moins intrusifs puissent être utilisés) pour un intérêt public important comme la prévention de la fraude.
Si une décision doit être fondée exclusivement sur un traitement automatisé (y compris le profilage), les personnes concernées seront informées, dès notre premier contact, de leur droit d'opposition. Ce droit leur sera explicitement porté à leur attention et présenté clairement et séparément de toute autre information. Par ailleurs, des mesures appropriées devront être mises en œuvre afin de garantir les droits, les libertés et les intérêts légitimes des personnes concernées.
Nous informerons également la personne concernée de la logique sous-jacente à la prise de décision ou au profilage, de son importance et des conséquences envisagées, et nous lui donnerons le droit de demander une intervention humaine, d'exprimer son point de vue ou de contester la décision.
Une analyse d'impact relative à la protection des données (AIPD) doit être réalisée avant toute activité de traitement automatisé (y compris le profilage) ou d'ADM.
Nous sommes soumis à certaines règles et lois sur la protection de la vie privée lorsque nous faisons du marketing auprès de nos clients.
Par exemple, le consentement préalable d'une personne concernée peut être requis pour le marketing direct électronique (par exemple, par courriel, SMS ou appels automatisés). L'exception limitée relative aux clients et contacts existants, appelée “ opt-in souple ”, permet aux organisations d'envoyer des SMS ou des courriels marketing si elles ont obtenu les coordonnées de la personne dans le cadre de leurs relations commerciales avec elle, si elles commercialisent des produits ou services similaires et si elles lui ont offert la possibilité de se désinscrire du marketing lors de la collecte initiale de ses coordonnées et dans chaque message ultérieur.
Le droit de s'opposer au marketing direct sera explicitement offert à la personne concernée de manière intelligible, afin qu'il soit clairement distinguable des autres informations.
Toute objection d'une personne concernée au démarchage marketing direct sera prise en compte sans délai. Si un client se désinscrit, ses données seront supprimées dans les meilleurs délais. La suppression consiste à conserver uniquement les informations nécessaires pour garantir le respect des préférences marketing futures.
En règle générale, nous ne sommes pas autorisés à partager des données personnelles avec des tiers, sauf si certaines garanties et dispositions contractuelles ont été mises en place.
Nous ne partagerons les données personnelles que nous détenons avec un autre employé, agent ou représentant de notre groupe (y compris nos filiales et notre société mère ainsi que ses filiales) que si le destinataire a besoin de connaître ces informations dans le cadre de son travail et si le transfert est conforme aux restrictions applicables en matière de transfert transfrontalier.
Nous ne partagerons les données personnelles que nous détenons avec des tiers, tels que nos prestataires de services, que si :
Nous nous réservons le droit de modifier la présente politique de confidentialité à tout moment et sans préavis.
La présente norme de confidentialité ne remplace aucune loi ni réglementation nationale applicable en matière de protection des données dans les pays où la société exerce ses activités.
