Politique de confidentialité

Les Destinataires des Données personnelles sont :

• SYGE ;
• Ses prestataires : hébergeurs, comptables, experts-comptables, commissaires aux comptes, avocats ;
• L’éditeur de la Solution de gestion et d’envoi de lettre d’information.

En tout état de cause, l’Utilisateur est informé qu’aucune Donnée personnelle le concernant ne fait l’objet de communication à des sociétés commerciales, régies publicitaires ou de manière générale toute société intervenant dans le domaine publicitaire. Aucune Donnée personnelle n’est partagée ou communiquée sans l’accord de l’Utilisateur en dehors des destinataires listés ci-dessus.

L’Utilisateur est informé que SYGE peut être amenée à communiquer des Données personnelles aux autorités judiciaires ou à l’autorité de contrôle qu’est la CNIL.

La Solution permet à l’Utilisateur de se connecter au moyen de son compte Google, en alternative à l’identifiant et au mot de passe. Ce mode de connexion est facultatif : l’Utilisateur qui ne souhaite pas y recourir conserve la possibilité de se connecter par identifiant et mot de passe.

Lorsque l’Utilisateur choisit ce mode de connexion, il est redirigé vers Google, qui procède à son authentification. Google communique alors à SYGE l’adresse électronique associée au compte utilisé ainsi que l’information selon laquelle cette adresse a été vérifiée. Aucune autre Donnée personnelle n’est demandée ni reçue.

Cette adresse est utilisée uniquement pour retrouver le compte préexistant de l’Utilisateur dans la Solution. Aucun compte n’est créé par ce moyen : si l’adresse ne correspond à aucun compte, la connexion est refusée.

SYGE ne conserve aucun jeton délivré par Google. Un cookie temporaire est déposé le temps de l’opération, afin de vérifier que la réponse reçue correspond bien à la demande émise ; il est supprimé dès le retour de l’Utilisateur sur la Solution.

L’authentification proprement dite est réalisée par Google, qui agit à ce titre pour son propre compte et selon sa propre politique de confidentialité.

Les Données personnelles sont hébergées auprès de la société Amazon Web Services (AWS), en Europe (Paris).

3.6.1. Droit d’accès (article 15 du RGPD)

L’Utilisateur a le droit d’obtenir la confirmation que des Données personnelles le concernant sont ou ne sont pas traitées. Dans l’hypothèse où les Données sont traitées, l’Utilisateur a un droit d’accès à ses Données personnelles et aux informations suivantes :

• Les finalités du Traitement ;
• Les catégories de Données personnelles concernées ;
• Les Destinataires ou catégories de Destinataires auxquels les Données ont été communiquées ou vont être communiquées ;
• Si cela est possible, la durée de conservation envisagée des Données ou, lorsque ce n’est pas possible, les critères utilisés pour déterminer cette durée ;
• L’existence du droit de demander la rectification ou l’effacement des données, ou une limitation du Traitement ou du droit de l’Utilisateur de s’opposer au Traitement ;
• Le droit d’introduire une réclamation auprès de la CNIL en tant qu’autorité de contrôle ;
• Lorsque les Données personnelles ne sont pas collectées auprès de l’Utilisateur directement, toute information disponible quant à la source ;
• L’existence d’une prise de décision automatisée, y compris le profilage et, au moins en pareils cas, des informations utiles concernant la logique sous-jacente, ainsi que l’importance et les conséquences prévues de ce traitement pour l’Utilisateur.

Une copie des Données personnelles faisant l’objet du Traitement sera fournie à l’Utilisateur.

Le paiement de frais raisonnables basés sur les coûts administratifs pour toute copie supplémentaire que demanderait l’Utilisateur pourra lui être demandé.

Si l’Utilisateur demande une copie des données par la voie numérique, celle-ci lui sera fournie sous une forme numérique d’usage courant à moins qu’il demande qu’il en soit autrement.

Enfin, le droit d’obtenir une copie des Données personnelles ne doit pas porter atteinte aux droits et libertés d’autrui.

3.6.2. Droit de rectification (article 16 du RGPD)

L’Utilisateur dispose de la faculté de demander la rectification de ses Données personnelles qui seraient inexactes, dans les meilleurs délais. Il dispose aussi de la faculté d’obtenir que les Données personnelles incomplètes le concernant soient complétées y compris en fournissant une déclaration supplémentaire.

3.6.3. Droit à l’effacement (article 17 du RGPD)

L’Utilisateur dispose du droit à l’effacement de ses Données personnelles dans les meilleurs délais lorsque l’un des motifs suivants s’applique :

• Les Données personnelles ne sont plus nécessaires au regard des finalités pour lesquelles elles ont été collectées ou traitées d’une autre manière ;
• L’Utilisateur retire son consentement sur lequel est fondé le Traitement et il n’existe pas d’autre fondement juridique au Traitement concerné. Le retrait du consentement vaut pour l’avenir ;
• L’Utilisateur exerce son droit d’opposition et il n’existe pas de motif légitime impérieux pour le Traitement ;
• Les Données personnelles ont fait l’objet d’un Traitement illicite ;
• Les Données personnelles doivent être effacées pour respecter une obligation légale.

L’Utilisateur est informé que le droit à l’effacement peut ne pas s’appliquer si le Traitement est nécessaire pour respecter une obligation légale ou à la constatation, à l’exercice ou à la défense de droits en justice.

3.6.4. Droit à la limitation du Traitement (article 18 du RGPD)

L’Utilisateur dispose de la faculté de demander la limitation du Traitement de ses Données personnelles lorsque l’un des éléments suivants s’applique :

• Vérification de ses Données personnelles après une contestation de sa part sur l’exactitude de ses Données personnelles ;
• Le Traitement est illicite et l’Utilisateur s’oppose à l’effacement de ses Données personnelles et exige la limitation de leur utilisation ;
• SYGE n’a plus besoin des Données personnelles concernant l’Utilisateur pour le Traitement mais ces Données personnelles sont nécessaires pour l’Utilisateur, pour la constatation, l’exercice ou la défense de droits en justice ;
• L’Utilisateur s’est opposé au Traitement et SYGE vérifie le point de savoir si les motifs légitimes poursuivis par SYGE prévalent sur ses motifs légitimes.

3.6.5. Droit à la portabilité des Données personnelles (article 20 du RGPD)

L’Utilisateur a la faculté de recevoir ses Données personnelles dans un format structuré, couramment utilisé et lisible par machine lorsque :

• Le Traitement est fondé sur le consentement ou sur un contrat ;
• Et le Traitement est effectué à l’aide de procédés automatisés.

Les Données personnelles concernées sont celles fournies/saisies par l’Utilisateur.

Dans le cadre de l’exercice de ce droit, l’Utilisateur a le droit d’obtenir que ses Données personnelles soient transmises directement à un autre Responsable de Traitement lorsque cela est techniquement possible.

Le droit à la portabilité ne doit pas porter atteinte aux droits et libertés de tiers.

3.6.6. Droit d’opposition (article 21 du RGPD)

En application du droit d’opposition, l’Utilisateur dispose du droit de s’opposer à tout moment, pour des raisons tenant à sa situation particulière, à un traitement de Données personnelles fondé sur les intérêts légitimes de SYGE.

Les Données personnelles ne seront plus traitées sauf s’il est démontré que des motifs légitimes et impérieux pour le Traitement existent et prévalent sur les intérêts et les droits et libertés de l’Utilisateur ou pour la constatation, l’exercice ou la défense de droits en justice.

3.6.7. Sort des Données personnelles post-mortem

En application de la loi, l’Utilisateur dispose de la faculté de définir ses directives relatives à la conservation, à l’effacement et à la communication de ses Données personnelles en cas de décès.

L’Utilisateur peut communiquer à SYGE ses directives ou bien les enregistrer auprès d’un tiers de confiance numérique certifié. Il peut donc désigner la personne de son choix qui sera chargée d’exécuter ses directives. À défaut, il s’agira de ses héritiers.

SYGE respectera naturellement les directives et s’engage à détruire les Données personnelles après leur communication à la personne désignée, le cas échéant, sauf dans l’hypothèse où SYGE devrait conserver tout de même ces Données personnelles en raison d’une obligation légale ou à des fins probatoires.

3.7.1. Modalités d’exercice des droits

Pour toutes demandes concernant les Données personnelles traitées par SYGE, l’Utilisateur peut adresser ses demandes aux adresses suivantes :

• Par courrier : Société SYGE, 19 rue Saint-Antoine, 75004 Paris
• Par courrier électronique : support@syge.fr

SYGE pourra demander à l’Utilisateur la copie de sa pièce d’identité en cas de doute sur son identité.

3.7.2. Délai de réponse

SYGE dispose d’un délai d’un (1) mois pour répondre à l’Utilisateur à compter de la réception de sa demande. Ce délai peut être prolongé de deux (2) mois compte tenu de la complexité et du nombre de demandes. Dans ce cas, SYGE en informera l’Utilisateur dans le mois de sa demande.

Dans l’hypothèse de l’exercice par l’Utilisateur de son droit de suppression ou bien de son droit à l’effacement, l’Utilisateur est informé que SYGE pourra être amenée à conserver les Données personnelles le concernant sous la forme d’un archivage avant suppression des Données personnelles.

L’Utilisateur dispose en outre du droit d’introduire une réclamation auprès de la CNIL, autorité de contrôle (www.cnil.fr).

SYGE, en sa qualité de Sous-traitant, s’engage à :

• Traiter les Données personnelles uniquement pour les finalités qui font l’objet de la sous-traitance dans le cadre de l’Abonnement ;
• Traiter les Données personnelles conformément aux instructions documentées du Client ;
• Ne traiter en aucun cas les Données personnelles pour son propre compte ou pour le compte d’un tiers ;
• Prendre toutes les précautions et mettre en œuvre les mesures techniques et organisationnelles définies avec le Client pour assurer la confidentialité, l’intégrité et la sécurité des Données personnelles traitées pour le compte du Client dans le cadre de l’Abonnement ;
• Définir et mettre en œuvre une procédure visant à tester, à analyser et à évaluer régulièrement l’efficacité des mesures techniques et organisationnelles assurant la sécurité des Traitements de données ;
• S’assurer que ses collaborateurs reçoivent la formation nécessaire en matière de protection des Données personnelles. Cette formation doit être adaptée aux catégories de Données traitées, aux finalités des Traitements et aux spécificités techniques ou organisationnelles de ceux-ci.

SYGE se porte garant du respect de ses obligations par tous ses collaborateurs, assimilés et Sous-traitants ultérieurs.

• Veiller à ce que les personnes autorisées à traiter les Données personnelles s’engagent à respecter la confidentialité ou soient soumises à une obligation légale appropriée de confidentialité ;
• Prendre en compte, s’agissant de ses outils ou services, les principes de protection des données dès la conception et la limitation par défaut des Données personnelles traitées.

À cette fin, SYGE s’engage notamment à ce que ceux-ci soient nativement conçus ou paramétrables pour :

• Limiter les Données personnelles traitées conformément aux finalités poursuivies ;
• Permettre une différenciation des Utilisateurs en fonction de leur besoin d’accéder aux données ;
• Déterminer les durées de conservation des données et assurer leur mise en œuvre.

• Inscrire à son registre, conformément aux dispositions 2 à 4 de l’article 30 du RGPD, les Traitement de Données personnelles qu’il effectue pour le compte du Client ;
• Assister le Client, dans la mesure de ce qui est matériellement possible, pour garantir le respect de :

• Ses obligations de sécurité et de confidentialité ;
• Ses obligations au titre de la réalisation d’une analyse d’impact des opérations de traitements concernées par la sous-traitance, le cas échéant ;
• Son obligation de donner suite à toute demande reçue de la part d’un Utilisateur d’exercer ses droits ou de l’autorité de contrôle compétente, dans un délai raisonnable.

Il est précisé qu’il appartient au Client de fournir l’information aux Personnes concernées par les opérations de Traitement au moment de la collecte des Données personnelles.

4.2.1. Information des Utilisateurs

Il appartient au Client, en sa qualité de Responsable de Traitement, de fournir les informations prévues à l’article 13 du RGPD aux Personnes concernées par les opérations de Traitement au moment de la collecte des Données personnelles.

Il lui appartient de s’assurer de l’obtention du consentement des Personnes concernées au partage de leurs Données personnelles, le cas échéant, dans le cadre de l’utilisation de la Solution.

4.2.2. Exercice des droits par les Utilisateurs

SYGE s’engage à coopérer avec diligence avec le Client pour permettre à l’Utilisateur l’exercice de ses droits (droits d’accès, de rectification, d’effacement et d’opposition, à la limitation du traitement, à la portabilité des données, de ne pas faire l’objet d’une décision individuelle automatisée).

Dans l’hypothèse d’une demande d’accès aux Données personnelles hébergées dans la Solution, SYGE s’engage à être réactive dans l’assistance qu’elle pourrait apporter au Client pour répondre à cette demande.

Si l’Utilisateur exerce directement auprès de SYGE des demandes d’exercice de ses droits, SYGE adressera ces demandes au Client, dès réception, par courrier électronique à l’adresse renseignée par le Client dans le contrat d’Abonnement.

SYGE s’engage à héberger et, de manière générale, à traiter les données uniquement dans un ou des pays de l’Union Européenne, de l’Espace Economique Européen (EEE) ou un pays reconnu comme adéquat par l’Union Européenne en matière de protection des Données personnelles.

Par ailleurs, SYGE ne devra pas transférer de Données personnelles vers un pays tiers ou une organisation internationale, sauf si elle est tenue de procéder à un tel transfert en vertu du droit de l’Union ou du droit de l’Etat membre auquel elle est soumise. SYGE devra alors informer le Client de cette obligation juridique avant le Traitement, sauf si le droit concerné interdit une telle information pour des motifs importants d’intérêt public.

Il est ensuite de la responsabilité du Client d’en informer les Utilisateurs. Ces derniers seront également informés via la mise à jour de la Politique de confidentialité de SYGE, qu’ils sont invités à consulter régulièrement.

SYGE s’engage à ne conserver de Données personnelles que pour les stricts besoins des services fournis au titre du contrat d’Abonnement conclu avec le Client. En dehors des cas dans lesquels il existe une obligation d’archivage, SYGE s’engage à supprimer sans délai les Données personnelles qui ne sont plus nécessaires. Les Données personnelles archivées devront être supprimées sans délai lorsque le motif justifiant leur archivage n’a plus raison d’être.

Lorsqu’il existe une obligation d’archivage, que celle-ci découle d’une obligation légale ou règlementaire, d’un engagement contractuel spécifique ou d’une mesure destinée à répondre des obligations de résilience du système d’information de SYGE, les Données personnelles sont archivées dans une base d’archive spécifique, distincte de la base active, avec des accès restreints aux seules personnes ayant un intérêt à en connaitre en raison de leurs fonctions ou dans la base active, à condition de procéder à un isolement des données archivées au moyen d’une séparation logique pour les rendre inaccessibles aux personnes n’ayant plus d’intérêt à les traiter.

Dans l’hypothèse d’une Violation de Données personnelles, SYGE s’engage à en informer le Client dans un délai maximal de quarante-huit (48) heures à compter de la connaissance de la violation par SYGE.

Cette information sera formalisée par un courrier électronique adressé au Client contenant :

• La description de la nature de la Violation de Données personnelles ;
• Dans la mesure du possible, les catégories et le nombre approximatif de Personnes concernées par la Violation et les catégories et le nombre approximatif d’enregistrements de Données personnelles concernés ;
• La description des conséquences probables de la Violation de Données personnelles ;
• La description des mesures prises ou que SYGE, sous-traitant, propose de prendre pour remédier à la Violation de Données personnelles, y compris, le cas échéant, les mesures pour en atténuer les éventuelles conséquences négatives.

Cette notification permettra au Client de notifier cette Violation à la CNIL, autorité de contrôle et, le cas échéant, à la ou les Personne(s) concernée(s).

Par ailleurs, si l’Utilisateur a connaissance ou constate une Violation de Données personnelles, il devra en informer le Client dans les plus brefs délais, afin que ce dernier puisse en informer SYGE.

SYGE met en œuvre les mesures de sécurité suivantes :

• SYGE soumet ses collaborateurs à une obligation de confidentialité adaptée à la nature et à la confidentialité des données traitées ;
• SYGE assure le contrôle d’accès des Utilisateurs à la Solution, puisqu’ils ne peuvent y accéder que grâce à un identifiant et un mot de passe nominatifs ;
• Les données d’authentification, dont les mots de passe des Utilisateurs, sont cryptées ;
• Les données auxquelles ont accès les Utilisateurs sont cloisonnées en fonction de leur besoin d’accéder auxdites données ;
• Les données sont stockées sur des serveurs sécurisés ;
• SYGE satisfait aux exigences de traçabilité ;
• La Solution se déconnecte automatiquement au terme de douze (12) heures d’inactivité ;
• Les sauvegardes des serveurs sont quotidiennement avec une rétention configurée, et une architecture de redondance peut être mise en place.

SYGE s’engage à prendre les mesures nécessaires pour garantir la confidentialité, l’intégrité, la disponibilité et la résilience constante des systèmes informatiques.

SYGE fera ses meilleurs efforts, conformément aux règles de l’art, pour sécuriser les données se rapportant aux Utilisateurs, au regard du risque encouru et de la nature des données traitées, notamment en ce qui concerne les données sensibles traitées dans le cadre de l’utilisation de la Solution.

SYGE met en œuvre les moyens nécessaires pour rétablir la disponibilité des Données personnelles et l’accès à ces dernières dans des délais appropriés en cas d’incident technique ou physique et pour évaluer de manière régulière l’efficacité desdites mesures.

SYGE s’engage à mettre en œuvre les mesures organisationnelles et techniques appropriées pour protéger les Données personnelles contre toute destruction accidentelle ou illicite, perte accidentelle, altération, accès non autorisé et/ou diffusion.

Le Client s’engage à :

• Documenter par écrit toute instruction concernant le Traitement des Données personnelles par SYGE ;
• Veiller, au préalable et pendant toute la durée du Traitement, au respect des obligations prévues par le RGPD de la part de SYGE ;
• Superviser le Traitement réalisé par SYGE.

À la demande du Client, SYGE fournira l’ensemble des documents, données et informations concernant les Traitements faisant l’objet de la sous-traitance et sa conformité à la législation sur les Données personnelles.

L’Utilisateur est informé que SYGE fait appel à la société Amazon Web Services EMEA SARL pour archiver la Solution, et à la société Youtrust SAS pour la signature électronique des documents générés sur la Solution.

SYGE pourra faire appel à un autre Sous-traitant pour mener des activités de Traitement spécifiques. Dans ce cas, SYGE informera préalablement et par écrit le Client de tout changement envisagé concernant l’ajout ou le remplacement d’autres Sous-traitants. Cette information devra indiquer clairement les activités de Traitement sous-traitées, l’identité et les coordonnées du Sous-traitant et les dates du contrat de sous-traitance. Le Client disposera d’un délai de quinze (15) jours à compter de la date de réception de cette information pour présenter ses objections. Cette sous-traitance ne peut être effectuée que si le Client n’a pas émis d’objection pendant le délai convenu.

L’Utilisateur sera informé d’un tel changement via la mise à jour de la Politique de confidentialité.

Il appartient à SYGE de s’assurer que le Sous-traitant ultérieur présente les mêmes garanties suffisantes quant à la mise en œuvre de mesures techniques et organisationnelles appropriées, pour que le Traitement réponde aux exigences du RGPD. Si le Sous-traitant ultérieur ne remplit pas ses obligations en matière de protection des Données personnelles, SYGE demeure pleinement responsable de l’exécution par l’autre Sous-traitant de ses obligations.