Politique de confidentialité et de protection des données personelles BIS

Le Parties s'engagent à respecter les dispositions relatives au Traitement des Données à Caractère Personnel édictées par le Règlement Général sur la Protection des Données (Règlement UE 2016/679 du 27 avril 2016) ainsi que toute réglementation française relative à la protection des Données à caractère personnel.
 

3.1. Traitement
 

Pour la réalisation des Prestations, le Prestataire est amené à réaliser des Traitements de Données à caractère personnel du Client. L’objet et la durée du(des) Traitement(s), la nature et la finalité du(des) Traitement(s) ainsi que le type de Données à caractère personnel et les catégories de personnes concernées sont décrits ci-après. 
 

Conformément à la Loi informatique et libertés et au RGPD, le Prestataire s'engage à n’agir sur les Données à caractère personnel du Client que sur instruction documentée du Client, seul Responsable de Traitement de ces données. Cependant, le Prestataire s’engage à informer le Client sans délai si, selon lui, une instruction du Client constitue une violation du RGPD ou de la Loi informatique et libertés ou de toute autre disposition du droit de l’Union Européenne ou du droit français concernant les Données à caractère personnel.
 

Le Prestataire s'engage à :
 

1. Traiter les Données à Caractère Personnel du Client uniquement pour la ou les seule(s) finalité(s) qui fait/font l’objet de la sous-traitance ;

2. Traiter les Données à Caractère Personnel du Client conformément aux instructions du Responsable de traitement. Si le sous-traitant considère qu’une instruction constitue une violation du règlement européen sur la protection des données ou de toute autre disposition du droit de l’Union Européenne ou du droit des Etats membres relative à la protection des données, il en informe immédiatement le Responsable de traitement ;

3. Garantir la confidentialité des Données à Caractère Personnel du Client ;

4. Veiller à ce que les personnes autorisées à traiter les Données à Caractère Personnel du Client en vertu du Contrat :

• S’engagent à respecter la confidentialité ou soient soumises à une obligation légale appropriée de confidentialité ;

• Reçoivent la formation nécessaire en matière de protection des données à caractère personnel ;

5. Prendre en compte, s’agissant de ses outils, produits, applications ou services, les principes de protection des données dès la conception et de protection des données par défaut.

6. Ne pas transférer ou permettre l’accès aux Données à caractère personnel du Client en dehors du territoire européen sans l’accord préalable écrit du Client tant sur le(s) pays vers lesquels les Données à caractère personnel doivent être transférés que sur les destinataires de ces données, y compris en cas de sous-traitance comme prévu ci-après.
 

3.2. Registre des catégories d’activité de traitement
 

Le Prestataire déclare tenir par écrit un registre de toutes les catégories d’activités de traitement effectuées pour le compte du responsable de traitement comprenant :

• Le nom et les coordonnées du Responsable de traitement pour le compte duquel il agit, des éventuels sous-traitants et, le cas échéant, du délégué à la protection des Données à Caractère Personnel du Client ;

• Les catégories de traitements effectués pour le compte du Responsable du traitement ;

• Le cas échéant, les transferts de Données à caractère personnel vers un pays tiers ou à une organisation internationale, y compris l'identification de ce pays tiers ou de cette organisation internationale et, dans le cas des transferts visés à l'article 49, paragraphe 1, deuxième alinéa du règlement européen sur la protection des données, les documents attestant de l'existence de garanties appropriées ;
 

• Dans la mesure du possible, une description générale des mesures de sécurité techniques et organisationnelles, y compris entre autres, selon les besoins :

- La pseudonymisation et le chiffrement des données à caractère personnel ;

- Des moyens permettant de garantir la confidentialité, l'intégrité, la disponibilité et la résilience constantes des systèmes et des services de traitement ;

- Des moyens permettant de rétablir la disponibilité des données à caractère personnel et l'accès à celles-ci dans des délais appropriés en cas d'incident physique ou technique ;

- Une procédure visant à tester, à analyser et à évaluer régulièrement l'efficacité des mesures techniques et organisationnelles pour assurer la sécurité du traitement.
 

Le Prestataire met à la disposition du Client la documentation nécessaire pour démontrer le respect de toutes ses obligations.

3.3. Sous-traitance ultérieure
 

Le Prestataire peut faire appel à un Sous-Traitant Ultérieur pour mener des activités de traitement spécifiques. Dans ce cas, il informe préalablement et par écrit le Client de tout changement envisagé concernant l’ajout ou le remplacement d’autres sous-traitants. Cette information doit indiquer clairement les activités de traitement sous-traitées, l’identité et les coordonnées du sous-traitant et les dates du contrat de sous-traitance. 

Le Client dispose d’un délai minium de sept (7) jours à compter de la date de réception de cette information pour présenter ses objections. Cette sous-traitance ne peut être effectuée que si le Client n'a pas émis d'objection pendant le délai convenu.

Le Sous-Traitant Ultérieur est tenu de respecter les obligations du Contrat pour le compte et selon les instructions du Prestataire. Il appartient au Prestataire de s’assurer que le Sous-Traitant Ultérieur présente les mêmes garanties suffisantes quant à la mise en œuvre de mesures techniques et organisationnelles appropriées, de manière à ce que le traitement réponde aux exigences du règlement européen sur la protection des données. Si le Sous-Traitant Ultérieur ne remplit pas ses obligations en matière de protection des données, le Prestataire demeure pleinement responsable devant le Client de l’exécution par l’autre sous-traitant de ses obligations.
 

Il appartient au Client, en sa qualité de Responsable de traitement, de fournir l’information aux personnes concernées par les opérations de traitement, au moment de la collecte des Données à Caractère Personnel du Client.
 

Dans la mesure du possible, le Prestataire doit aider le Client à s’acquitter de son obligation de donner suite aux demandes d’exercice des droits des personnes concernées : droit d’accès, de rectification, d’effacement et d’opposition, droit à la limitation du traitement, droit à la portabilité des données, droit de ne pas faire l’objet d’une décision individuelle automatisée (y compris le profilage).

 

Lorsque les personnes concernées exercent auprès du Prestataire des demandes d’exercice de leurs droits, le Prestataire doit adresser ces demandes, dès réception, par courrier électronique, à son contact chez le Client.
 

Le Prestataire notifie au Client toute violation de Données à Caractère Personnel du Client dans un délai maximum de quarante-huit (48) heures après en avoir pris connaissance. Cette notification est accompagnée de toute documentation utile afin de permettre au Client, si nécessaire, de notifier cette violation à l’autorité de contrôle compétente.
 

Le Prestataire aide le Client pour la réalisation d’analyses d’impact relative à la protection des Données à Caractère Personnel du Client.

Le Prestataire aide le Client pour la réalisation de la consultation préalable de l’autorité de contrôle.
 

Le Prestataire s’engage à mettre en œuvre les mesures de sécurité techniques et organisationnelles requises afin de se conformer aux spécifications édictées par le Règlement Général de Protection de la Donnée Personnelle.
 

Au terme de la prestation de services, relative au traitement de ces Données à Caractère Personnel du Client, le Prestataire s’engage, au choix du Client, à :

• Détruire toutes les Données à Caractère Personnel du Client ou

• À renvoyer toutes les Données à Caractère Personnel du Client au Client ou

• À renvoyer les Données à Caractère Personnel du Client au sous-traitant désigné par le Client.

Le renvoi doit s’accompagner de la destruction de toutes les copies existantes dans les systèmes d’information du Prestataire. Une fois détruites, le Prestataire doit justifier par écrit de la destruction.

Les coûts liés aux prestations mentionnées ci-dessus, sont compris dans le montant forfaitaire des Prestations de gestion, mentionné à l’Article CONDITIONS COMMERCIALES ET FINANCIERES du Contrat.

Les coûts liés à la réalisation d’opérations spécifiques à mettre en œuvre pour la restitution des Données (ex. : assistance spécifique, reformatage complexe, développements, traitement volumétrique ou non prévus) feront l’objet d’un devis spécifique établi selon les tarifs en vigueur au moment de la notification de la réversibilité des Données.
 

Le Prestataire communique au Client le nom et les coordonnées de son délégué à la protection des Données à Caractère Personnel, s’il en a désigné un conformément à l’article 37 du règlement européen sur la protection des données.
 

Dans le cadre d’un contrôle du Client par une autorité de supervision, de régulation ou de contrôle sur les Traitements réalisés par le Prestataire, selon les modalités définies par cette autorité, les Parties se réuniront afin de définir les conditions de leur collaboration dans le cadre dudit contrôle.

Dans le cadre d’un audit, le Prestataire s’engage à permettre l’accès au Client et à toute personne mandatée par lui, à ses locaux et à ceux de ses Sous-traitants, ainsi qu’à tous lieux et tous systèmes d’informations où seraient traitées des Données à caractère personnel du Client afin de vérifier le respect par le Prestataire des dispositions du présent contrat relatives à la protection des Données à caractère personnel du Client. Le Prestataire sera informé du contrôle au moins 15 jours ouvrés avant l’audit. 

Les Parties conviennent que l’audit réalisé par le Client ou par toute personne mandatée par lui, dans le cadre d’un contrôle de conformité des Traitements réalisés par le Prestataire pour le compte du Client aux dispositions de la Loi informatique et libertés et du RGPD, respecte les conditions suivantes :

- Les frais d’audit sont exclusivement à la charge du Client ;

- Les éventuels frais complémentaires devant être engagés par le Prestataire, inhérents, notamment, à la mise à disposition, par celui-ci, de ressources du Prestataire, dont l’intervention s’avèrerait nécessairement requise dans le cadre de cette démarche d’audit, seront supportés entièrement par le Client, sur la base d’un devis spécifique, dûment validé par ce dernier.

- Le Client informe le Prestataire de toute personne qu’il mandate à des fins de réalisation de l’audit. Le Prestataire peut refuser ledit mandataire s’il justifie auprès du Client d’un motif avéré et légitime ;

Le Client s’engage auprès du Prestataire à ce que l’audit réalisé par lui-même ou par toute personne mandatée par lui, ne perturbe pas l’exécution des Prestations et/ou Traitements des Données à caractère personnel du Client réalisés par le Prestataire.

A l’issue de l’audit, un rapport reprenant les conclusions de l’audit sera rédigé par l’équipe d’audit du Client. Il sera communiqué exclusivement à une liste de diffusion prédéfinie lors de la phase de conclusion au sein de chaque Partie, et ce dans un délai maximum de 2 mois après la réalisation de l’audit. 

Le Prestataire communique par écrit, dans les trente (30) jours ouvrés suivant la réception du rapport, ses réponses ainsi que les dispositions prises pour tenir compte des observations ou instructions formulées. 

 

En qualité de Sous-traitant, le Prestataire est autorisé par le Client, pour le compte de ce dernier, à réaliser les Traitements des Données à caractère personnel du Client suivants :

 

1/ Traitements autorisés : 

 

 Enregistrement

 Organisation

 Conservation

 Consultation

 Utilisation

 Limitation

 Effacement

 Destruction

 

2/ Finalités de Traitement des Données à caractère personnel du Client :

 

- Hébergement des Données à caractère personnel des Bénéficiaires

- Gestion des commandes de cadeaux et envoi

- Gestion des demandes

3/ Données à caractère personnel du Client soumises aux Traitements :

 

 Dans le cas d’une plateforme standard :

 

- Civilité, nom, prénom

- Adresse de livraison

- Téléphone

- email

 

 Dans le cas d’une plateforme intégrant le module URSSAF :

• Sexe

• Nom

• Prénom

• Numéro de sécurité sociale

• Email personnel

• Date de naissance

• Commune de naissance

• Département de naissance

• Pays de naissance 

• Nationalité

• Situation de famille

• Emploi

• Employeur

• Statut

• Horaire

 

 

5/ Personnes concernées par les Traitements :

 

 Les Bénéficiaires du Client

 

6/ Durées de conservation

 

- Durée de la relation contractuelle. 

- Destruction des données à l’issue du contrat ou à la demande du Client, sauf si la règlementation fiscale et sociale impose de les conserver en archivage pendant un délai plus long. 

 

7/ Les cookies du Site

 

 Les cookies de navigation :

 

Il s'agit des cookies, indispensables à la navigation sur le Site et qui permettent à l’Utilisateur d'utiliser les principales fonctionnalités du Site et de sécuriser sa connexion. Ces cookies étant nécessaires au bon fonctionnement du Site, leur dépôt n’est pas soumis au consentement préalable de l’Utilisateur. 

L’Utilisateur peut s’opposer au dépôt de ces cookies en utilisant les paramètres de son navigateur. Cependant, sans ces cookies l’Utilisateur ne pourra pas utiliser normalement le Site et son expérience risque d’être dégradée.

Typologie de cookies :

Nom du cookie Finalité Durée de vie EMETTEUR

PHPSESSID Module : PHP - Gestion de la session PHP Durée de la session (tant que le navigateur n’a pas été fermé) Site https://www.ppgrecompenses.com.

cryptcookietest Module : Pulse - Mécanisme de captcha Durée de la session (tant que le navigateur n’a pas été fermé) Site https://www.ppgrecompenses.com.

 

 Les cookies d’analyse

Il s’agit des cookies utilisés sur le Site pour permettre d’établir des statistiques relatives à la fréquentation de notre Site en déterminant par exemple le nombre de visites et quelles sont les pages les plus ou moins visitées, en évaluant la navigation des Utilisateurs et en repérant d’éventuels dysfonctionnements techniques. Ces cookies sont limités à la seule mesure de l’audience du Site pour notre compte et ne produisent que des données statistiques anonymes. Leur utilisation n’est donc pas soumise, en application de la règlementation applicable, à l’obtention d’un consentement préalable de la part de l’Utilisateur. 

Typologie de cookies :

Nom du cookie Finalité Durée de vie EMETEUR

_pk_id.*.* Module : Piwik - Tracking utilisateur pour mesurer l’audience 13 mois MATOMO

https://piwikpro.fr/privacy-policy/

_pk_ses.*.* Module : Piwik - Tracking utilisateur pour mesurer l’audience 6 mois MATOMO

https://fr.matomo.org/privacy-policy/

visit Module : Pulse - Tracking des utilisateurs sur la plateforme Up-Pronostic 1 an Site  https://www.ppgrecompenses.com.

 

 

 Modalité de gestion de l’enregistrement des cookies :

 

L’Utilisateur à la possibilité de gérer et modifier l’enregistrement des cookies, par le biais des paramètres de configuration du logiciel de navigation de l’ordinateur à partir duquel la connexion au Site est réalisée, de façon à ce qu’ils soient systématiquement enregistrés ou rejetés, soit en globalité, soit selon leur émetteur. 

 

 La suppression des cookies enregistrés est susceptible de priver du bénéfice d’accès à un certain nombre de fonctionnalités qui sont néanmoins nécessaires pour naviguer dans certains espaces du Site, tels que :

 

- L’accès aux contenus ou services, proposés sur le Site, qui implique un protocole d’identification, 

- La reconnaissance du type de navigateur, ainsi que des paramètres de langues et d’affichage, employés par l’ordinateur utilisé pour la connexion au Site, 

 

Le cas échéant, nous déclinons toute responsabilité s’agissant des conséquences liées au refus ou à la suppression des cookies du Site.

 

 

Mesures de sécurité

 

Le Prestataire s’engage à mettre en œuvre toutes les mesures de sécurité : MESURES DE SECURITE TECHNIQUES ET OPERATIONNELLES du Contrat.

 

Pour toute question relative à la protection des Données à caractère personnel du Client, les points de contact sont les suivants :

 

 Pour le Prestataire : GROUPE UP DPO 9-11 Avenue Louise Michel, 92230 Gennevilliers France pour l’éditeur. Email : rgpd.pulse@up.coop

 Pour le Client : M. Cedric MAHE, Contrôleur de Gestion

Email : privacy@ppg.com