Politique de confidentialité

Politique de confidentialité

Introduction

prestahu.com s’engage à respecter la présente politique.

Nous fournissons les informations ci-après conformément au règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données).

La présente politique de confidentialité repose sur les exigences ci-dessus et s’applique au site suivant : prestahu.com

La présente politique est disponible à l’adresse suivante :

https://prestahu.com/fr/content/8-politique-de-confidentialite

Les modifications de la présente politique entrent en vigueur dès leur publication à l’adresse ci-dessus.

Dénomination : KORELVISION SRL

Siège social : Târgu Mureș, Str. Libertății nr. 2/A, 540031

e-mail : info@prestahu.com

Téléphone : +36 30 449 5588

Définitions :

1. « données à caractère personnel » : toute information se rapportant à une personne physique identifiée ou identifiable (ci-après dénommée « personne concernée ») ; est réputée être une « personne physique identifiable » une personne physique qui peut être identifiée, directement ou indirectement, notamment par référence à un identifiant, tel qu’un nom, un numéro d’identification, des données de localisation, un identifiant en ligne, ou à un ou plusieurs éléments spécifiques propres à son identité physique, physiologique, génétique, psychique, économique, culturelle ou sociale ;

2. « traitement » : toute opération ou tout ensemble d’opérations effectuées ou non à l’aide de procédés automatisés et appliquées à des données ou des ensembles de données à caractère personnel, telles que la collecte, l’enregistrement, l’organisation, la structuration, la conservation, l’adaptation ou la modification, l’extraction, la consultation, l’utilisation, la communication par transmission, la diffusion ou toute autre forme de mise à disposition, le rapprochement ou l’interconnexion, la limitation, l’effacement ou la destruction ;

3. « responsable du traitement » : la personne physique ou morale, l’autorité publique, le service ou un autre organisme qui, seul ou conjointement avec d’autres, détermine les finalités et les moyens du traitement ; lorsque les finalités et les moyens de ce traitement sont déterminés par le droit de l’Union ou le droit d’un État membre, le responsable du traitement peut être désigné ou les critères spécifiques applicables à sa désignation peuvent être prévus par le droit de l’Union ou par le droit d’un État membre ;

4. « sous-traitant » : la personne physique ou morale, l’autorité publique, le service ou un autre organisme qui traite des données à caractère personnel pour le compte du responsable du traitement ;

5. « destinataire » : la personne physique ou morale, l’autorité publique, le service ou tout autre organisme qui reçoit communication de données à caractère personnel, qu’il s’agisse ou non d’un tiers. Toutefois, les autorités publiques qui sont susceptibles de recevoir communication de données à caractère personnel dans le cadre d’une mission d’enquête particulière conformément au droit de l’Union ou au droit d’un État membre ne sont pas considérées comme des destinataires ; le traitement de ces données par les autorités publiques en question est conforme aux règles applicables en matière de protection des données en fonction des finalités du traitement ;

6. « consentement » de la personne concernée : toute manifestation de volonté, libre, spécifique, éclairée et univoque par laquelle la personne concernée accepte, par une déclaration ou par un acte positif clair, que des données à caractère personnel la concernant fassent l’objet d’un traitement ;

7. 7. « violation de données à caractère personnel » : une violation de la sécurité entraînant, de manière accidentelle ou illicite, la destruction, la perte, l’altération, la divulgation non autorisée de données à caractère personnel transmises, conservées ou traitées d’une autre manière, ou l’accès non autorisé à de telles données.

Principes relatifs au traitement des données à caractère personnel :

Les données à caractère personnel doivent être :

1. traitées de manière licite, loyale et transparente au regard de la personne concernée (licéité, loyauté, transparence) ;

2. collectées pour des finalités déterminées, explicites et légitimes, et ne pas être traitées ultérieurement d’une manière incompatible avec ces finalités ; le traitement ultérieur à des fins archivistiques dans l’intérêt public, à des fins de recherche scientifique ou historique ou à des fins statistiques n’est pas considéré, conformément à l’article 89, paragraphe 1, comme incompatible avec les finalités initiales (limitation des finalités) ;

3. adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités pour lesquelles elles sont traitées (minimisation des données) ;

4. exactes et, si nécessaire, tenues à jour ; toutes les mesures raisonnables doivent être prises pour que les données à caractère personnel qui sont inexactes, eu égard aux finalités pour lesquelles elles sont traitées, soient effacées ou rectifiées sans tarder (exactitude) ;

5. conservées sous une forme permettant l’identification des personnes concernées pendant une durée n’excédant pas celle nécessaire au regard des finalités pour lesquelles elles sont traitées ; les données à caractère personnel peuvent être conservées pour des durées plus longues dans la mesure où elles seront traitées exclusivement à des fins archivistiques dans l’intérêt public, à des fins de recherche scientifique ou historique ou à des fins statistiques conformément à l’article 89, paragraphe 1, pour autant que soient mises en œuvre les mesures techniques et organisationnelles appropriées requises par le règlement afin de garantir les droits et libertés de la personne concernée (limitation de la conservation) ;

6. traitées de façon à garantir une sécurité appropriée des données à caractère personnel, y compris la protection contre le traitement non autorisé ou illicite et contre la perte, la destruction ou les dégâts d’origine accidentelle, à l’aide de mesures techniques ou organisationnelles appropriées (intégrité et confidentialité).

Le responsable du traitement est responsable du respect des principes ci-dessus et est en mesure de démontrer qu’ils sont respectés (responsabilité).

Traitements de données :

Traitement des données lié à l’exploitation de la boutique en ligne

1. Existence de la collecte, catégories de données traitées et finalité du traitement :

1. Donnée à caractère personnel : finalité du traitement

2. Nom d’utilisateur : identification ; nécessaire pour permettre l’inscription.

3. Mot de passe : connexion sécurisée au compte utilisateur.

4. Nom et prénom : nécessaires à la prise de contact, à l’achat et à l’émission d’une facture conforme

5. Adresse e-mail : nécessaire à la communication.

6. Numéro de téléphone : communication, pour une coordination plus efficace des questions relatives à la facturation ou à la livraison.

7. Nom et adresse de facturation : émission d’une facture conforme, ainsi que conclusion du contrat, définition et modification de son contenu, suivi de son exécution, facturation des sommes qui en découlent et recouvrement des créances y afférentes.

8. Adresse de livraison : livraison à domicile, lorsque le produit acheté n’est pas un logiciel.

9. Date et heure de l’achat / de l’inscription : réalisation d’une opération technique

10. Adresse IP lors de l’achat / de l’inscription : réalisation d’une opération technique

Ni le nom d’utilisateur ni l’adresse e-mail ne doivent nécessairement contenir de données à caractère personnel.

2. Personnes concernées : toutes les personnes inscrites sur le site de la boutique en ligne, y effectuant un achat ou le visitant en tant qu’invité.

3. Durée du traitement, délai d’effacement des données : immédiatement à la suppression du compte, à l’exception des pièces comptables, qui doivent être conservées en vertu de la loi.

Les pièces comptables justifiant directement ou indirectement les écritures comptables (y compris les comptes du grand livre et les livres auxiliaires ou registres détaillés) doivent être conservées pendant au moins 8 ans sous une forme lisible et pouvant être retrouvée à partir des références des écritures comptables.

4. Responsables du traitement susceptibles d’accéder aux données, destinataires des données à caractère personnel : les données à caractère personnel peuvent être traitées par le personnel commercial et marketing du responsable du traitement, dans le respect des principes énoncés ci-dessus.

5. Description des droits des personnes concernées en matière de traitement :

1. La personne concernée peut demander au responsable du traitement l’accès aux données à caractère personnel la concernant, leur rectification ou leur effacement, ou une limitation du traitement, et

2. peut s’opposer au traitement de ces données à caractère personnel, et

3. la personne concernée dispose du droit à la portabilité des données et du droit de retirer son consentement à tout moment.

6. La personne concernée peut demander l’accès aux données à caractère personnel, leur effacement, leur modification ou la limitation de leur traitement, la portabilité des données, ou s’opposer au traitement, par les moyens suivants :

7. par courrier : Str. Libertății nr. 2/A, 540031 Târgu Mureș, Roumanie.

8. par e-mail : info@prestahu.com

Aux fins de la fourniture du service, le prestataire peut traiter les données à caractère personnel techniquement indispensables à cette fourniture. À conditions égales par ailleurs, le prestataire doit choisir les outils utilisés pour fournir le service de la société de l’information, et les exploiter en toutes circonstances, de telle sorte que des données à caractère personnel ne soient traitées que si cela est strictement nécessaire à la fourniture du service et à la réalisation des autres finalités prévues par la loi, et uniquement dans la mesure et pendant la durée nécessaires.
Veuillez noter que :

1. le traitement des données repose sur votre consentement ;

2. vous êtes tenu de fournir les données à caractère personnel pour que nous puissions exécuter votre commande ;

3. à défaut de fourniture des données, nous ne pouvons pas traiter votre commande.

Utilisation des cookies :

1. Les cookies propres aux boutiques en ligne sont les « cookies utilisés pour les sessions protégées par mot de passe » et les « cookies nécessaires au panier », pour lesquels le consentement préalable des personnes concernées n’est pas requis.

2. Existence du traitement, catégories de données traitées : numéro d’identification unique, dates, heures

3. Personnes concernées : toutes les personnes qui visitent le site internet.

4. Finalité du traitement : identification des utilisateurs, gestion du « panier » et suivi des visiteurs.

5. Durée du traitement, délai d’effacement des données :

1. Type de cookie : cookies de session

2. Base juridique du traitement : la législation relative aux services de commerce électronique et à certains aspects des services de la société de l’information

3. Durée du traitement : jusqu’à la fin de la session de visite concernée

4. Données traitées : connect.sid

6. Responsables du traitement susceptibles d’accéder aux données : le responsable du traitement ne traite pas de données à caractère personnel au moyen des cookies.

7. Description des droits des personnes concernées en matière de traitement : les personnes concernées peuvent supprimer les cookies dans le menu Outils/Paramètres de leur navigateur, généralement dans les paramètres de confidentialité.

8. Base juridique du traitement : le consentement de la personne concernée n’est pas requis lorsque les cookies ont pour seule finalité de permettre la transmission d’une communication par la voie d’un réseau de communications électroniques, ou lorsqu’ils sont strictement nécessaires au prestataire pour fournir un service de la société de l’information expressément demandé par l’abonné ou l’utilisateur.

Utilisation du suivi des conversions Google AdWords

1. Le responsable du traitement utilise le programme de publicité en ligne « Google AdWords » et, dans ce cadre, le service de suivi des conversions de Google. Le suivi des conversions Google est un service d’analyse de Google Inc. (1600 Amphitheatre Parkway, Mountain View, CA 94043, USA ; « Google »).

2. Lorsque l’Utilisateur accède à un site internet par l’intermédiaire d’une annonce Google, un cookie nécessaire au suivi des conversions est déposé sur son ordinateur. Ces cookies ont une durée de validité limitée et ne contiennent aucune donnée à caractère personnel ; ils ne permettent donc pas d’identifier l’Utilisateur.

3. Lorsque l’Utilisateur consulte certaines pages du site et que le cookie n’a pas encore expiré, Google et le responsable du traitement peuvent voir que l’Utilisateur a cliqué sur l’annonce.

4. Chaque client Google AdWords reçoit un cookie différent ; les cookies ne peuvent donc pas être suivis d’un site de client AdWords à l’autre.

5. Les informations recueillies au moyen des cookies de suivi des conversions servent à établir des statistiques de conversion pour les clients AdWords qui ont opté pour le suivi des conversions. Les clients connaissent ainsi le nombre d’utilisateurs qui ont cliqué sur leur annonce et ont été redirigés vers une page comportant une balise de suivi des conversions. Ils ne reçoivent toutefois aucune information permettant d’identifier un utilisateur.

6. Si vous ne souhaitez pas participer au suivi des conversions, vous pouvez le refuser en désactivant l’installation de cookies dans votre navigateur. Vous ne serez alors plus pris en compte dans les statistiques de suivi des conversions.

7. Pour plus d’informations et pour consulter la politique de confidentialité de Google, rendez-vous sur la page suivante :

www.google.de/policies/privacy/

Utilisation de Google Analytics

1. Ce site internet utilise Google Analytics, un service d’analyse d’audience web de Google Inc. (« Google »). Google Analytics utilise des « cookies », c’est-à-dire des fichiers texte enregistrés sur l’ordinateur, qui permettent d’analyser l’utilisation du site visité par l’Utilisateur.

2. Les informations générées par les cookies concernant l’utilisation du site par l’Utilisateur sont en règle générale transmises à un serveur de Google aux États-Unis et y sont stockées. Lorsque l’anonymisation des adresses IP est activée sur le site, Google tronque au préalable l’adresse IP de l’Utilisateur dans les États membres de l’Union européenne ou dans les autres États parties à l’accord sur l’Espace économique européen.

3. Ce n’est qu’à titre exceptionnel que l’adresse IP complète est transmise à un serveur de Google aux États-Unis et y est tronquée. Pour le compte de l’exploitant de ce site, Google utilise ces informations afin d’évaluer l’utilisation du site par l’Utilisateur, de compiler des rapports sur l’activité du site à l’intention de son exploitant et de fournir d’autres services liés à l’utilisation du site et d’Internet.

4. Dans le cadre de Google Analytics, l’adresse IP transmise par le navigateur de l’Utilisateur n’est pas recoupée avec d’autres données de Google. L’Utilisateur peut empêcher l’enregistrement des cookies en configurant son navigateur en conséquence ; veuillez toutefois noter que, dans ce cas, certaines fonctionnalités de ce site pourraient ne pas être pleinement utilisables. Vous pouvez également empêcher Google de collecter et de traiter les données générées par les cookies concernant l’utilisation du site par l’Utilisateur (y compris l’adresse IP) en téléchargeant et en installant le module complémentaire de navigateur disponible au lien suivant :

https://tools.google.com/dlpade/gaoptout?hl=fr

Facebook Pixel

Le pixel Facebook est un code qui permet au site internet de mesurer les conversions, de constituer des audiences cibles et de fournir au propriétaire du site des données d’analyse détaillées sur la manière dont les visiteurs utilisent le site. Grâce au code de suivi du pixel de remarketing Facebook, le site peut afficher à ses visiteurs des offres et des publicités personnalisées sur Facebook. La liste de remarketing Facebook ne permet pas d’identifier les personnes. Pour en savoir plus sur le pixel Facebook :

https://www.facebook.com/business/help/651294705016616

Audiences publicitaires (Google Ads, Meta)

Le responsable du traitement utilise les adresses e-mail des clients et des abonnés à la newsletter pour constituer des audiences publicitaires dans les régies publicitaires Google Ads (Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irlande) et Meta (Meta Platforms Ireland Limited, 4 Grand Canal Square, Dublin 2, Irlande) (Google Customer Match, Meta Custom Audience).

Avant l’envoi, nous convertissons les adresses e-mail au moyen d’un hachage à sens unique (SHA-256), de sorte que les plateformes ne les reçoivent pas sous une forme lisible. La plateforme compare les données hachées à ses propres utilisateurs, supprime les données sans correspondance, et le responsable du traitement ne reçoit en retour aucune information sur les personnes figurant dans l’audience. Dans le cadre de ce traitement, Google et Meta agissent en qualité de sous-traitants.

Données traitées : adresse e-mail, sous forme hachée. Finalité du traitement : présenter des offres pertinentes aux clients existants, exclure les clients existants des publicités destinées aux nouveaux clients et constituer des audiences similaires.

Base juridique du traitement : pour les abonnés à la newsletter, le consentement de la personne concernée (article 6, paragraphe 1, point a), du RGPD) ; pour les clients, l’intérêt légitime du responsable du traitement à promouvoir ses propres services (article 6, paragraphe 1, point f), du RGPD).

Durée : jusqu’à la prochaine mise à jour de la liste d’audience, et au plus tard jusqu’au retrait du consentement ou à l’exercice du droit d’opposition. Les plateformes conservent l’appartenance à la liste pendant 540 jours au maximum.

Opposition et retrait du consentement : la personne concernée peut à tout moment demander que son adresse e-mail ne soit pas utilisée à cette fin, en écrivant à info@prestahu.com ou en se désabonnant de la newsletter. Son adresse est alors exclue de la mise à jour suivante de la liste.

Newsletter, prospection commerciale

1. Conformément à la loi relative aux conditions essentielles et à certaines restrictions de l’activité publicitaire commerciale, l’Utilisateur peut consentir, de manière préalable et expresse, à ce que le Prestataire lui adresse des offres publicitaires et d’autres envois aux coordonnées indiquées lors de son inscription.

2. Par ailleurs, dans le respect des dispositions de la présente politique, le Client peut consentir à ce que le Prestataire traite les données à caractère personnel nécessaires à l’envoi d’offres publicitaires.

3. Le Prestataire n’envoie pas de messages publicitaires non sollicités, et l’Utilisateur peut se désabonner de la réception des offres gratuitement, sans restriction et sans avoir à se justifier. Dans ce cas, le Prestataire supprime de ses registres toutes les données à caractère personnel nécessaires à l’envoi des messages publicitaires et ne lui adresse plus de messages publicitaires. L’Utilisateur peut se désabonner en cliquant sur le lien figurant dans le message.

4. Existence de la collecte, catégories de données traitées et finalité du traitement :

1. Nom, adresse e-mail : identification, inscription à la newsletter.

2. Date et heure de l’inscription : réalisation d’une opération technique.

3. Adresse IP lors de l’inscription : réalisation d’une opération technique.

5. Personnes concernées : toutes les personnes inscrites à la newsletter.

6. Finalité du traitement : envoi à la personne concernée de messages électroniques à caractère publicitaire (e-mail, SMS, notification push), information sur les actualités, produits, promotions, etc.

7. Durée du traitement, délai d’effacement des données : le traitement dure jusqu’au retrait du consentement, c’est-à-dire jusqu’au désabonnement.

8. Responsables du traitement susceptibles d’accéder aux données, destinataires des données à caractère personnel : les données à caractère personnel peuvent être traitées par le personnel commercial et marketing du responsable du traitement, dans le respect des principes énoncés ci-dessus.

9. Description des droits des personnes concernées en matière de traitement :

1. La personne concernée peut demander au responsable du traitement l’accès aux données à caractère personnel la concernant, leur rectification ou leur effacement, ou une limitation du traitement, et

2. peut s’opposer au traitement de ces données à caractère personnel, et

3. la personne concernée dispose du droit à la portabilité des données et du droit de retirer son consentement à tout moment.

10. La personne concernée peut demander l’accès aux données à caractère personnel, leur effacement, leur modification ou la limitation de leur traitement, la portabilité des données, ou s’opposer au traitement, par les moyens suivants :

1. par courrier : Str. Libertății nr. 2/A, 540031 Târgu Mureș, Roumanie.

2. par e-mail : à l’adresse info@prestahu.com ;

11. La personne concernée peut se désabonner de la newsletter à tout moment et gratuitement.

12. Base juridique du traitement : le consentement de la personne concernée et la loi relative aux conditions essentielles et à certaines restrictions de l’activité publicitaire commerciale.

13. Veuillez noter que :

1. le traitement des données repose sur votre consentement ;

2. vous êtes tenu de fournir les données à caractère personnel si vous souhaitez recevoir notre newsletter.

Traitement des réclamations

1. Existence de la collecte, catégories de données traitées et finalité du traitement :

1. Nom et prénom : identification, prise de contact

2. Adresse e-mail : communication

3. Numéro de téléphone : communication

4. Nom et adresse de facturation : identification et traitement des réclamations relatives à la qualité, des questions et des problèmes liés aux produits commandés.

2. Personnes concernées : toutes les personnes qui effectuent un achat sur le site de la boutique en ligne et formulent une réclamation relative à la qualité ou une autre réclamation.

3. Durée du traitement et délai d’effacement des données.

4. Responsables du traitement susceptibles d’accéder aux données, destinataires des données à caractère personnel : les données à caractère personnel peuvent être traitées par le personnel commercial et marketing du responsable du traitement, dans le respect des principes énoncés ci-dessus.

5. Description des droits des personnes concernées en matière de traitement :

1. La personne concernée peut demander au responsable du traitement l’accès aux données à caractère personnel la concernant, leur rectification ou leur effacement, ou une limitation du traitement, et

2. peut s’opposer au traitement de ces données à caractère personnel, et

3. la personne concernée dispose du droit à la portabilité des données et du droit de retirer son consentement à tout moment.

6. La personne concernée peut demander l’accès aux données à caractère personnel, leur effacement, leur modification ou la limitation de leur traitement, la portabilité des données, ou s’opposer au traitement, par les moyens suivants :

7. par courrier à l’adresse Str. Libertății nr. 2/A, 540031 Târgu Mureș, Roumanie ;

8. par e-mail à l’adresse info@prestahu.com.

9. Base juridique du traitement : le consentement de la personne concernée.

10. Veuillez noter que :

1. la fourniture des données à caractère personnel repose sur une obligation contractuelle ;

2. le traitement des données à caractère personnel est une condition préalable à la conclusion du contrat ;

3. vous êtes tenu de fournir vos données à caractère personnel pour que nous puissions traiter votre réclamation ;

4. à défaut de fourniture des données, nous ne serons pas en mesure de traiter la réclamation que vous nous avez adressée.

Réseaux sociaux

1. Existence de la collecte et catégories de données traitées :

Le nom enregistré sur des réseaux sociaux tels que Facebook/Google+/Twitter/Pinterest/Youtube/Instagram et la photo de profil publique de l’utilisateur.

2. Personnes concernées : toutes les personnes inscrites sur Facebook/Google+/Twitter/Pinterest/Youtube/Instagram ou sur des sites similaires qui ont « aimé » le site internet.

3. Finalité de la collecte : partager, « aimer » et promouvoir sur les réseaux sociaux certains contenus, produits et promotions du site,

ou le site lui-même.

4. Durée du traitement, délai d’effacement des données, responsables du traitement susceptibles d’accéder aux données et description des droits des personnes concernées en matière de traitement : la personne concernée peut s’informer sur le réseau social concerné de l’origine des données, de leur traitement ainsi que des modalités et de la base juridique de leur transmission. Le traitement des données a lieu sur les réseaux sociaux ; la durée et les modalités du traitement ainsi que les possibilités d’effacement et de modification des données sont donc régies par les règles du réseau social concerné.

5. Base juridique du traitement : le consentement libre de la personne concernée au traitement de ses données à caractère personnel sur les réseaux sociaux.

Relations avec la clientèle et autres dispositions

1. Si la personne concernée a des questions ou rencontre des difficultés lors de l’utilisation des services du responsable du traitement, elle peut contacter celui-ci par les moyens indiqués sur le site (téléphone, e-mail, réseaux sociaux, etc.).

2. Le responsable du traitement supprime les e-mails et messages reçus ainsi que les données communiquées par téléphone, sur Facebook, etc., avec le nom et l’adresse e-mail de l’auteur de la demande et toute autre donnée à caractère personnel fournie volontairement, au plus tard 2 ans après leur communication.

3. Les traitements de données non mentionnés dans la présente politique font l’objet d’une information au moment de la collecte des données.

4. En cas de demande exceptionnelle d’une autorité ou de demande d’autres organismes habilités par la loi, le Prestataire est tenu de fournir des informations, de communiquer et de transmettre des données ou de mettre des documents à disposition.

5. Dans ce cas, le Prestataire ne communique au demandeur – à condition que celui-ci ait précisé la finalité exacte et les catégories de données concernées – que les données à caractère personnel strictement nécessaires à la réalisation de la finalité de la demande, et uniquement dans cette mesure.

Droits des personnes concernées :

1. Droit d’accès

Vous avez le droit d’obtenir du responsable du traitement la confirmation que des données à caractère personnel vous concernant sont ou ne sont pas traitées et, lorsqu’elles le sont, le droit d’accéder à ces données ainsi qu’aux informations énumérées dans le règlement.

2. Droit de rectification

Vous avez le droit d’obtenir du responsable du traitement, à votre demande et dans les meilleurs délais, la rectification des données inexactes vous concernant. Compte tenu des finalités du traitement, vous avez le droit d’obtenir que les données incomplètes soient complétées, y compris en fournissant une déclaration complémentaire.

3. Droit à l’effacement

Vous avez le droit d’obtenir du responsable du traitement, à votre demande et dans les meilleurs délais, l’effacement des données à caractère personnel vous concernant, et le responsable du traitement a l’obligation d’effacer ces données dans les meilleurs délais lorsque certaines conditions sont réunies.

4. Droit à l’oubli

Lorsque le responsable du traitement a rendu publiques les données à caractère personnel et qu’il est tenu de les effacer, il prend des mesures raisonnables, y compris d’ordre technique, compte tenu des technologies disponibles et des coûts de mise en œuvre, pour informer les responsables du traitement qui traitent ces données que vous avez demandé l’effacement de toute copie ou reproduction de ces données.

5. Droit à la limitation du traitement

Vous avez le droit d’obtenir du responsable du traitement, à votre demande, la limitation du traitement lorsque l’un des éléments suivants s’applique :

1. vous contestez l’exactitude des données à caractère personnel ; la limitation s’applique alors pendant une durée permettant au responsable du traitement de vérifier l’exactitude de ces données ;

2. le traitement est illicite et vous vous opposez à l’effacement des données et exigez à la place la limitation de leur utilisation ;

3. le responsable du traitement n’a plus besoin des données à caractère personnel aux fins du traitement, mais celles-ci vous sont encore nécessaires pour la constatation, l’exercice ou la défense de droits en justice ;

4. vous vous êtes opposé au traitement ; la limitation s’applique alors pendant la vérification portant sur le point de savoir si les motifs légitimes poursuivis par le responsable du traitement prévalent sur les vôtres.

6. Droit à la portabilité des données

Vous avez le droit de recevoir les données à caractère personnel vous concernant que vous avez fournies à un responsable du traitement, dans un format structuré, couramment utilisé et lisible par machine, et vous avez le droit de transmettre ces données à un autre responsable du traitement sans que le responsable du traitement auquel les données à caractère personnel ont été communiquées y fasse obstacle (…)

7. Droit d’opposition

Vous avez le droit de vous opposer à tout moment, pour des raisons tenant à votre situation particulière, au traitement des données à caractère personnel vous concernant (…), y compris au profilage fondé sur ces dispositions.

8. Opposition à la prospection

Lorsque les données à caractère personnel sont traitées à des fins de prospection, vous avez le droit de vous opposer à tout moment au traitement des données à caractère personnel vous concernant à de telles fins de prospection, y compris au profilage dans la mesure où il est lié à une telle prospection. Si vous vous opposez au traitement à des fins de prospection, les données à caractère personnel ne sont plus traitées à ces fins.

9. Décision individuelle automatisée, y compris le profilage

Vous avez le droit de ne pas faire l’objet d’une décision fondée exclusivement sur un traitement automatisé, y compris le profilage, produisant des effets juridiques vous concernant ou vous affectant de manière significative de façon similaire.

Le paragraphe précédent ne s’applique pas lorsque la décision :

1. est nécessaire à la conclusion ou à l’exécution d’un contrat entre vous et le responsable du traitement ;

2. est autorisée par le droit de l’Union ou le droit de l’État membre auquel le responsable du traitement est soumis et qui prévoit également des mesures appropriées pour la sauvegarde de vos droits et libertés et de vos intérêts légitimes ; ou

3. est fondée sur votre consentement explicite.

Délai de réponse

Le responsable du traitement vous informe des mesures prises à la suite des demandes ci-dessus dans les meilleurs délais et en tout état de cause dans un délai d’un mois à compter de la réception de la demande.

Au besoin, ce délai peut être prolongé de deux mois supplémentaires. Le responsable du traitement vous informe de cette prolongation et des motifs du report dans un délai d’un mois à compter de la réception de la demande.

Si le responsable du traitement ne donne pas suite à votre demande, il vous informe sans tarder, et au plus tard dans un délai d’un mois à compter de la réception de la demande, des motifs de son inaction et de la possibilité d’introduire une réclamation auprès d’une autorité de contrôle et de former un recours juridictionnel.

Sécurité du traitement

Compte tenu de l’état des connaissances, des coûts de mise en œuvre et de la nature, de la portée, du contexte et des finalités du traitement ainsi que des risques, dont le degré de probabilité et de gravité varie, pour les droits et libertés des personnes physiques, le responsable du traitement et le sous-traitant mettent en œuvre les mesures techniques et organisationnelles appropriées afin de garantir un niveau de sécurité adapté au risque, y compris, entre autres, selon les besoins :

1. la pseudonymisation et le chiffrement des données à caractère personnel ;

2. des moyens permettant de garantir la confidentialité, l’intégrité, la disponibilité et la résilience constantes des systèmes et des services de traitement ;

3. des moyens permettant de rétablir la disponibilité des données à caractère personnel et l’accès à celles-ci dans des délais appropriés en cas d’incident physique ou technique ;

4. une procédure visant à tester, à analyser et à évaluer régulièrement l’efficacité des mesures techniques et organisationnelles pour assurer la sécurité du traitement.

Communication à la personne concernée d’une violation de données à caractère personnel

Lorsqu’une violation de données à caractère personnel est susceptible d’engendrer un risque élevé pour les droits et libertés des personnes physiques, le responsable du traitement communique la violation de données à caractère personnel à la personne concernée dans les meilleurs délais.

La communication à la personne concernée décrit, en des termes clairs et simples, la nature de la violation de données à caractère personnel et indique le nom et les coordonnées du délégué à la protection des données ou d’un autre point de contact auprès duquel des informations supplémentaires peuvent être obtenues ; elle décrit les conséquences probables de la violation de données à caractère personnel ainsi que les mesures prises ou que le responsable du traitement propose de prendre pour remédier à la violation, y compris, le cas échéant, les mesures pour en atténuer les éventuelles conséquences négatives.

La communication à la personne concernée n’est pas nécessaire si l’une des conditions suivantes est remplie :

1. le responsable du traitement a mis en œuvre les mesures de protection techniques et organisationnelles appropriées et ces mesures ont été appliquées aux données à caractère personnel affectées par la violation, en particulier les mesures – telles que le chiffrement – qui rendent les données incompréhensibles pour toute personne qui n’est pas autorisée à y avoir accès ;

2. le responsable du traitement a pris, à la suite de la violation, des mesures ultérieures qui garantissent que le risque élevé pour les droits et libertés de la personne concernée n’est plus susceptible de se matérialiser ;

3. la communication exigerait des efforts disproportionnés. Dans ce cas, il est plutôt procédé à une communication publique ou à une mesure similaire permettant aux personnes concernées d’être informées de manière tout aussi efficace.

Si le responsable du traitement n’a pas déjà communiqué à la personne concernée la violation de données à caractère personnel la concernant, l’autorité de contrôle peut, après avoir examiné si cette violation est susceptible d’engendrer un risque élevé, exiger qu’il procède à cette communication.