Politique de protection des données personnelles
AVANT PROPOS
Vous trouverez ci-dessous l’ensemble de nos engagements en termes de confidentialité, sécurité et protection des informations personnelles que vous nous fournissez. Avec la mise en place du RGPD (Règlement Général sur la Protection des Données), vos données sont mieux protégées.
Pour toute question concernant notre politique de confidentialité, ainsi que le Règlement Général sur la Protection des Données (RGPD), n’hésitez pas à contacter notre Délégué à la protection des données : dpo@cicp2r.org
ASPECTS GENERAUX
La CICP2R accorde la plus grande importance et le plus grand soin à la protection de la vie privée et des données à caractère personnel ainsi qu’au respect des dispositions légales en vigueur en la matière.
Cette politique de protection de la vie privée a pour objectif de fournir une information simple, claire et complète aux personnes sur les traitements de données personnelles vous concernant et mis en œuvre par La CICP2R.
La CICP2R s’engage en tout état de cause à respecter les trois principes essentiels suivants :
- Nous collectons uniquement les données strictement nécessaires au regard de leur finalité.
- Vous restez maître de vos données à caractère personnel ;
- Vos données sont traitées de manière transparente, confidentielle et sécurisée.
Les traitements de données à caractère personnel sont régis :
- Par la loi n°78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés (ci-après « loi IEL ») ;
- Par le Règlement (UE) 2016/679 du parlement européen et du conseil du 27 avril 2016, entré en vigueur le 25 mai 2018 (ci-après « RGPD »).
ARTICLE 1 : DEFINITIONS
Les termes, mentionnés ci-dessous, ont dans la présente Politique de confidentialité, la signification suivante :
- RESPONSABLE DE TRAITEMENT : désigne l’entité qui détermine les moyens et finalités d’un traitement de données à caractère personnel
- SOUS-TRAITANT : désigne la personne traitant des données à caractère personnel pour le compte du RESPONSABLE DE TRAITEMENT, qui agit sous l’autorité du RESPONSABLE DE TRAITEMENT et sur
- CLIENT / ADHERENT : désigne l’entreprise, responsable de traitement et adhérente à la CICP2R en vue du traitement des congés payés de leur salariés.
- SALARIE : désigne la personne qui fait l’objet du traitement de ses données par la CICP2R pour le compte de ses ADHERANTS
- UTILISATEUR : désigne toute personne qui accède et navigue sur le site soit en tant que simple internaute, ADHERENT ou SALARIE.
ARTICLE 2 : IDENTITE DU RESPONSABLE DE TRAITEMENT
Le Client affilié à la Caisse Interprofessionnelle des Congés Payés est le responsable de traitement qui détermine les moyens et les finalités des traitements.
La CICP2R agit ainsi en qualité de sous-traitant conformément aux statuts et règlement et de l’accord sur la protection des données au sens de la réglementation applicable en matière de données personnelles et notamment du Règlement UE 2016/679 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données (ci-après « RGPD »).
ARTICLE 3 : BASE JURIDIQUE DU TRAITEMENT
La CICP2R dispose d’un intérêt légitime d’affiliation obligatoire des sociétés de transports (et autres nomenclatures d’activités listées) conféré par l’article L. 3141-32 et L. 3141-3 du Code du Travail.
ARTICLE 4 : FINALITES DU TRAITEMENT
Les finalités du traitement réalisées par la CICP2R sont légitimes, explicites et déterminées :
La Caisse Interprofessionnelle des Congés Payés de la Région Rhodanienne est une association déclarée conformément à la loi du 1er juillet 1901 qui a principalement pour objet :
- La gestion d’un service d’indemnités pour congés payés au personnel des entreprises affiliées.
- La répartition, entre les entreprises visées par l’article L 223-16 du Code du Travail des charges résultant du versement desdites indemnités et des frais accessoires.
En tant que gestionnaire externe de congés payés, nous assumons un rôle double de sous-traitant et de responsable de traitement.
A.Finalités du traitement en tant que sous-traitant
En tant que Client, vous confiez à la CICP2R la gestion des congés payés de votre entreprise pour votre compte. Afin de réaliser ce service, vous nous fournissez des données personnelles de vos salariés que vous avez préalablement récoltés avec leur consentement et que vous nous communiquez à travers notre interface de gestion. En ce sens, vous êtes responsable de traitement de données et nous sommes votre sous-traitant.
En tant que responsable de traitement, vous êtes le seul à décider de la nature des données personnelles que vous nous transmettez et vous vous engagez à prendre les mesures de conformité nécessaires d’information, de collecte et de conservation des données conformément aux dispositions du RGPD.
En tant que sous-traitant, nous respectons les obligations et engagements suivants :
- Tous les traitements réalisés par la CICP2R sont sécurisés et confidentiels. Seules les personnes habilitées ont accès aux données personnelles de vos salariés. En tout état de cause, et pour chaque finalité définie, La CICP2R mettra tous les moyens en sa possession pour assurer la sécurité et la confidentialité des données à caractère personnel qui lui sont confiées, dans le respect des lois et règlement en vigueur.
- Nous respectons les engagements définis dans l’accord de protection des données qui régit notre relation de sous-traitance.
- Nous sommes en mesure de vous accompagner dans l’implémentation et le suivi des consignes du RGPD en tant que responsable de traitement en sollicitant l’aide de notre DPO : dpo@cicp2r.org
- En cas de violation de données ou toute demande d’exercice de droits de la part d’un utilisateur, nous devons vous alerter afin de prendre les mesures nécessaires et suivre la procédure adaptée.
- Nous tenons à jour notre registre de traitements de sous-traitant. Pour plus d’informations sur la tenue de notre registre, vous pouvez vous adresse à notre DPO : dpo@cicp2r.org
- En acceptant nos conditions d’utilisation, vous acceptez la présente politique de protection des données ainsi que notre contrat de sous-traitance conforme au RGPD et disponible sur votre espace adhérent.
- Nous ne faisons appel à aucun autre sous-traitant pour le traitement des données à caractère personnel de vos salariés.
B.Finalités du traitement en tant que responsable de traitement
Dans le cadre de notre activité, nous sommes susceptibles de vous démarcher afin de vous informer de vos obligations ainsi que de collecter les informations de société nécessaires à votre affiliation.
Ces formalités s’effectuent à travers le remplissage de formulaire papiers puis à travers la création de votre espace adhérent.
Dans le cadre de votre navigation sur notre site en tant que visiteur, nous collectons des données de façon anonymes. En savoir plus sur notre politique de gestion des cookies.
Dans le cadre de l’exercice des droits des personnes, nous sommes susceptibles de collecter les données nécessaires à l’exécution de la demande.
ARTICLE 5 : COLLECTE DES DONNEES ET CONSENTEMENT
La CICP2R ne collecte pas de données directement auprès des salariés de ses clients. Les données traitées sont uniquement celle confiées par ses clients, responsables de traitement qui ont préalablement collecté ces données auprès de leurs salariés.
Les données collectées par la CICP2R en vue du traitement de gestion des congés payés sont les suivantes :
Quel que soit le mode de collecte, la CICP2R s’engage à vous informer des finalités du traitement, du caractère obligatoire ou facultatif des réponses à apporter, des conséquences éventuelles, à son égard, d’un défaut de réponse, des destinataires des données, de l’existence et des modalités d’exercice de ses droits d’accès, de rectification et d’opposition au traitement de ses données. Si la demande concerne le responsable de traitement qui a collecté les données, la CICP2R s’engage à lui remonter l’information afin qu’il puisse la traiter et répondre à la demande d’exercice de droits.
ARTICLE 6 : DESTINATAIRES DE DONNEES
Seules les personnes habilitées et déterminées mentionnées ci-dessous pourront avoir accès aux données des UTILISATEURS :
- Le personnel interne habilité des différents services de la CICP2R (le personnel habilité des services adhésion, production et informatique)
- Les tiers organismes de l’administration publique ou caisses de retraites pour effectuer des déclarations.
- Les tiers susceptibles de déposer des cookies sur vos terminaux (ordinateurs, tablettes, téléphones portables…) lorsque vous y consentez (Pour plus de détails, consultez notre charte de
Vos données ne sont communiquées, échangées, vendues ou louées à aucune autre personne que celles mentionnées ci-dessus.
ARTICLE 7 : DUREE DE CONSERVATION DES DONNEES
La CICP2R s’engage à ce que les données collectées soient conservées sous une forme permettant votre identification pendant une durée qui n’excède pas la durée nécessaire aux finalités pour lesquelles ces données sont collectées et traitées.
Cependant, le traitement des données est possible pour la preuve d’un droit ou d’un contrat. Ces données peuvent également être conservées dans l’objectif de respecter une obligation légale ou gardées dans des fichiers conformément aux règlements et lois applicables.
Par exception, les données d’identification de l’UTILISATEUR sont conservées par la CICP2R pendant une durée de trois (3) ans à compter du dernier contact avec l’UTILISATEUR.
Pour la gestion de notre relation commerciale avec vous et le suivi clientèle vos données sont conservées 3 ans à compter de la fin de la relation commerciale si vous êtes client.
Pour la gestion des demandes de droit sur vos données personnelles : vos données dont conservées 1 an.
S’agissant des cookies il est précisé que les informations stockées dans votre terminal (ex : cookies) ou tout autre élément utilisé pour vous identifier à des fins de statistiques d’audience ne sont pas conservées au-delà d’une période de 6 mois. Au-delà de ce délai, les données de fréquentation brutes associées à un identifiant sont soit supprimées soit anonymisées.
Enfin, afin d’assurer le bon fonctionnement et l’amélioration permanente du SITE et de ses fonctionnalités, les données de fréquentation brutes associées à un identifiant sont conservées pendant une durée de treize (13) mois. Au-delà de ce délai, elles sont supprimées ou anonymisées. (Pour plus de détails, consultez notre charte de gestion des cookies.)
Pour en savoir plus sur les cookies (comment les gérer, les supprimer, les identifier), vous pouvez consulter le site de la CNIL : http://www.cnil.fr/vos-droits/vos-traces/les-cookies/#c5554
ARTICLE 8 : L’EXERCICE DE VOS DROITS
Conformément à la Loi Informatique et Libertés et au RGPD, vous disposez des droits suivants :
- Droit d’accès (article 15 RGPD), de rectification (article 16 RGPD), de mise à jour, de complétude de vos données (en savoir plus)
- Droit de verrouillage ou d’effacement de vos données à caractère personnel (article 17 RGPD), lorsqu’elles sont inexactes, incomplètes, équivoques, périmées, ou dont la collecte, l’utilisation, la communication ou la conservation est interdite (en savoir plus)
- Droit de retirer à tout moment votre consentement (article 13-2c RGPD)
- Droit à la limitation du traitement de vos données (article 18 RGPD)
- Droit d’opposition au traitement de vos données (article 21 RGPD) (en savoir plus)
- Droit à la portabilité des données que vous nous avez fournies, lorsque vos données font l’objet de traitements automatisés fondés sur votre consentement ou sur un contrat (article 20 RGPD)
- Droit d’introduire une réclamation auprès de la CNIL (article 77 RGPD)
- Droit de définir le sort de vos données après votre mort et de choisir que nous communiquions (ou non) vos données à un tiers que vous aurez préalablement désigné (en savoir plus). En cas de décès et à défaut d’instructions de votre part, nous nous engageons à détruire vos données, sauf leur conservation s’avère nécessaire à des fins probatoires ou pour répondre à une obligation légale.
Ces droits peuvent être exercés, par simple demande par courrier électronique à l’adresse dpo@cicp2r.org, ou par courrier à La CICP2R, 3 chemin du jubin, 69574 Dardilly, en indiquant ses coordonnées (nom, prénom, adresse et d’une copie d’un titre d’identité signé) et un motif légitime lorsque celui-ci est exigé par la loi (notamment en cas d’opposition au traitement). Les demandes sont traitées dans un délai maximal de un mois.
En cas de communication de copie de pièce d’identité pour justifier de votre identité, nous la conserverons un (1) an ou trois (3) ans lorsque cette communication est effectuée dans le cadre de l’exercice d’un droit d’opposition.
ARTICLE 9 : COORDONNEES DU DELEGUE A LA PROTECTION DES DONNEES
Pour toutes demandes d’information concernant la politique de protection des données à caractère personnel de la CICP2R vous pouvez vous adresser à notre Délégué à la Protection des Données qui est là pour répondre à toutes vos demandes, y compris d’exercice de droits, relatifs à vos données à caractère personnel.
Vous pouvez le joindre à l’adresse dpo@cicp2r.org, ou par courrier à DPO-CICP2R, 3 chemin du Jubin, 69574 Dardilly.
ARTICLE 10 : SECURITE ET PROTECTION DES DONNEES
La CICP2R s’engage à mettre en œuvre toutes les mesures techniques et organisationnelles afin d’assurer la sécurité de nos traitements de données à caractère personnelle et la confidentialité de vos données, en application de la Loi informatique et Libertés et du Règlement européen sur la protection des données (RGPD) et de la loi n°2018-133 du 26 février 2018 « portant diverses dispositions d’adaptation au droit de l’Union européenne dans le domaine de la sécurité ».
A ce titre, la caisse prend les précautions utiles, au regard de la nature de vos données et des risques présentés par notre traitement, pour préserver la sécurité des données et, notamment, empêcher qu’elles soient déformées, endommagées, ou que des tiers non autorisés y aient accès (protection physique des locaux, procédé d’authentification de nos clients avec accès personnel et sécurisé via des identifiants et mots de passe confidentiels, journalisation des connexions, chiffrement de certaines données…).
ARTICLE 11 : TRANSFERTS HORS UE
La CICP2R s’engage à ne pas transférer les données des UTILISATEURS en dehors de l’Union Européenne.
Dans l’hypothèse où la CICP2R devrait le faire, il en informerait les UTILISATEURS en indiquant les mesures prises afin de contrôler ce transfert et s’assurer du respect de la confidentialité de leurs données.