Politique de confidentialité
Quelles sont les notions-clés du Règlement Général sur la Protection des Données (RGPD) ?
Aux notions déjà définies dans les conditions générales, s’ajoutent les termes suivants dont le sens est défini par le “Règlement Général sur la Protection des Données” (RGPD), Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE :
Données Personnelles : toutes informations qui permettent, sous quelque forme que ce soit, l’identification des personnes physiques auxquelles elles s’appliquent. Est réputée identifiable une personne physique qui peut être identifiée notamment par référence à un nom, un numéro d’identification ou à un ou plusieurs éléments spécifiques, propres à son identité physique, physiologique, génétique, psychique, économique, culturelle ou sociale.
Personnes concernées : personnes qui peuvent être identifiées, directement ou indirectement dans le cadre des activités de la Société (activité commerciale, marketing, relation client, etc.), c’est-à-dire l’ensemble des Utilisateurs, Clients et Prospects d’Indy.
Responsable de traitement : organisme qui – seul ou conjointement avec d’autres – détermine le “pourquoi” et le “comment” de traitement de données, c’est-à-dire sa finalité (objectifs poursuivis) et ses moyens (conditions de mises en œuvre, notamment sur le plan technique, matériel et organisationnel).
Sous-traitant : organisme qui traite des données pour le compte et sur instruction d’un autre organisme, Responsable de traitement.
Traitement de Données Personnelles : toute opération appliquée à des données ou des ensembles de données à caractère personnel, telles que la collecte, l’enregistrement, l’organisation, la structuration, la conservation, l’adaptation ou la modification, l’extraction, la consultation, l’utilisation, la communication par transmission, la diffusion ou toute autre forme de mise à disposition, le rapprochement ou l’interconnexion, la limitation, l’effacement ou la destruction.
Qui est le Responsable de traitement de vos Données Personnelles ?
La Société Blendy by Cogesten détermine les finalités et les moyens de traitement de vos Données Personnelles.
Dans le cadre de l’édition du Site et de la gestion des Comptes, la Société intervient donc en qualité de Responsable de traitement au sens de l’article 4 du RGPD.
Quelles sont les catégories de Données Personnelles concernées ?
Données d’identification : nom et prénom ; adresse mail ; mot de passe ; numéro de téléphone ; profession ; entreprise (nom, raison sociale ou SIRET).
Données de connexion : pays de connexion ; adresse IP ; log ; User ID, etc.
Données web : cookies et données de navigation ; avis et commentaires laissés sur de multiples canaux, tels que nos sites web ou encore les réseaux sociaux.
Données financières : données relatives à la carte de crédit de la Personne concernée dans le cadre du paiement de l’abonnement effectué par l’intermédiaire d’un prestataire.
Données bancaires : données relatives au compte bancaire de la Personne concernée dans le cadre de la synchronisation bancaire effectuée par l’intermédiaire de nos prestataires.
Bien que présentant une sensibilité ou un enjeu fort, les données financières et bancaires ne font pas partie des données dites “sensibles” du point de vue des libertés et des droits fondamentaux (article 9 du RGPD). Si ces données doivent faire l’objet de garanties appropriées en raison de leur nature particulière ou de leur caractère confidentiel, leur traitement n’est néanmoins pas soumis à des règles spécifiques dans le cadre de la réglementation européenne sur la protection des données.
Qui sont les destinataires de vos Données Personnelles ?
L’accès aux Données personnelles est strictement encadré. La Société s’assure que les données ne soient accessibles qu’à des destinataires internes ou externes autorisés.
Destinataires internes :
Le personnel habilité des services marketing, commercial, relations client, administratif et technique ainsi que leurs responsables hiérarchiques. Le personnel habilité des services chargés du contrôle (commissaire aux comptes, service chargé des procédures internes du contrôle, etc.).
Destinataires externes :
Les partenaires et sous-traitants de la Société et, plus particulièrement, leur personnel habilité à accéder aux seules données nécessaires à la mise en œuvre de leurs services.
Les organismes, les auxiliaires de justice et les officiers ministériels, dans le cadre de leur mission de recouvrement de créances ;
Les destinataires de vos Données Personnelles au sein de la Société sont soumis à une obligation de confidentialité spécifique. La Société décide quel destinataire est habilité, en interne, à recevoir des données.
La politique d’habilitation est régulièrement mise à jour et tient compte des arrivées et des départs des salariés de la Société ayant accès aux données.
Si un salarié se rend compte qu’il dispose d’un accès à des données auxquelles il ne devrait pas avoir accès, il a pour obligation de prévenir sans délai le service compétent.
Tous les accès concernant des traitements relatifs aux Données Personnelles des Personnes concernées font l’objet d’une mesure de traçabilité.
Par ailleurs, vos Données Personnelles peuvent être transmises à des fournisseurs de services tiers qui sont tenus de les utiliser dans le cadre des seules missions que la Société leur a confiées, notamment : Pour la mise en œuvre de la synchronisation bancaire, la Société est en relation avec des sociétés financières avec lesquelles elle a passé une convention de partenariat spécifique;
Lorsque la Société recourt à des Sous-traitants et contractants indépendants pour l’accompagner dans la fourniture d’un certain nombre de services : plateforme de messagerie client, publicité, statistiques, gestion et hébergement de données, services de paiement, etc. Ces prestataires disposent d’un accès limité aux données des Personnes concernées, dans le cadre de la stricte exécution de ces prestations. Lorsque la Personne concernée publie, dans les zones de commentaires libres (blog, page Facebook, etc.), des informations accessibles au public ;
Lorsque la Personne concernée autorise le site web d’un tiers à accéder à ses données. Dans ce contexte, la Société s’assure que la sécurité de vos Données est préservée via un contrôle strict :
Dans le cas où des informations personnelles sont transférées au sein de l’Union européenne, la Société s’assure de l’adhésion de ces fournisseurs de services tiers aux principes du “Règlement général de la protection des données” (RGPD);
Dans le cas où des informations personnelles sont transférées en dehors de l’Union européenne, la Société s’assure que le pays tiers concerné dispose d’un niveau de protection jugé adéquat par la réglementation européenne (par exemple en cas de transfert de données aux États-Unis, contrôle de l’adhésion du fournisseur de services tiers aux principes du “Privacy Shield”).
Vos Données Personnelles pourront aussi être communiquées à toute autorité légalement habilitée à en connaître. La Société peut notamment effectuer la transmission de données pour donner suite aux réclamations présentées contre elle et se conformer aux procédures administratives et judiciaires.
Dans ce cas, la Société n’est pas responsable des conditions dans lesquelles les personnels de ces autorités ont accès et exploitent vos données.
Quelle est la durée de conservation de vos Données Personnelles ?
La Société conserve vos données une certaine durée pour vous fournir ses services ou son assistance.
La Société peut également conserver certaines de vos informations si nécessaire, même après que vous ayez fermé votre compte ou qu’elle n’en ait plus besoin pour vous fournir ses services.
Vos Données Personnelles ne feront cependant pas l’objet de cessions, locations ou échanges au bénéfice de tiers.
La durée de conservation des données est définie par la Société au regard des contraintes légales et contractuelles qui pèsent sur elle et à défaut, en fonction de ses besoins :
Durées de conservation pour chaque catégorie de Données Personnelles
Données relatives aux Utilisateurs et Clients (données d’identification, données web, suivi de la relation client) :
Les données relatives aux Utilisateurs et Clients sont conservées toute la durée d’ouverture du Compte et jusqu’à 30 jours après, sur demande. Cette durée peut être augmentée de 3 ans à des fins d’animation et de prospection et de 5 ans en archive à compter de la suppression du Compte ou désabonnement.
Données relatives aux Prospects (données d’identification et données web) :
Les données relatives aux Prospects sont conservées pour une durée maximum de 3 ans à compter de leur collecte ou du dernier contact émanant du Prospect.
Données techniques (données de connexion et cookies) :
Les données de connexion (adresses IP et logs des Personnes concernées) sont conservées pour une durée d’un an à compter de la dernière connexion ou de la dernière utilisation d’Indy. Les cookies peuvent être conservés pour une durée de 13 mois à compter de la dernière manifestation du consentement.
Données financières (modalités de paiement) :
Les transactions financières relatives au paiement des frais d’abonnement via le site, sont confiées à un prestataire de services de paiement qui en assure l’hébergement, le bon déroulement et la sécurité. Destinataire de vos Données Personnelles relatives à vos numéros de cartes bancaires, il les recueille et conserve en notre nom et pour notre compte pendant le temps de l’exécution des opérations de paiement. Nous n’avons jamais accès à vos données de paiement.
Données bancaires (données de connexion, synchronisation des comptes et reprises d’historiques) :
La collecte des transactions bancaires est confiée à l’un de nos prestataires de synchronisation bancaire qui en assurent l’hébergement, le bon déroulement et la sécurité. Chacun recueille et conserve en notre nom et pour notre compte les données de connexion et les données relatives aux transactions bancaires pendant le temps de votre utilisation d’Indy. Nous n’avons jamais accès aux données d’identification à l’interface bancaire.
Les données permettant d’établir la preuve d’un droit ou d’un contrat (données clients, etc.) ou conservées au titre du respect d’une obligation légale (données de facturation, etc.), font l’objet d’une politique d’archivage intermédiaire pour une durée n’excédant pas la durée nécessaire aux finalités pour lesquelles elles sont conservées, conformément aux dispositions en vigueur.
Passé les délais fixés, les données sont soit supprimées, soit conservées après avoir été anonymisées, notamment pour des raisons d’usages statistiques. Il est rappelé aux Personnes concernées que la suppression ou l’anonymisation des données stockées dans ses systèmes sont des opérations irréversibles et que la Société n’est plus, par la suite, en mesure de les restaurer.