§ 3. Principes, finalités et bases juridiques du traitement des données personnelles

Le Responsable met en œuvre toutes les mesures nécessaires afin de protéger les intérêts des personnes concernées et veille notamment à ce que les données personnelles soient :

• traitées de manière licite, loyale et transparente à l'égard de la personne concernée ;
• collectées pour des finalités déterminées, explicites et légitimes, et ne soient pas traitées ultérieurement d'une manière incompatible avec ces finalités ;
• adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités pour lesquelles elles sont traitées ;
• exactes et, si nécessaire, tenues à jour. Le Responsable prend toutes les mesures raisonnables afin que les données inexactes soient rectifiées ou supprimées sans délai ;
• conservées sous une forme permettant l'identification des personnes concernées pendant une durée n'excédant pas celle nécessaire aux finalités du traitement ;
• traitées de manière à garantir une sécurité appropriée, notamment contre tout traitement non autorisé ou illicite ainsi que contre la perte, la destruction ou les dommages accidentels.

Le Responsable prend également toutes les mesures nécessaires afin de s'assurer que ses employés ainsi que tous les sous-traitants avec lesquels il collabore offrent des garanties suffisantes quant à la mise en œuvre de mesures techniques et organisationnelles appropriées lorsqu'ils traitent des données personnelles pour son compte.

Le Responsable veille à ce que toute personne autorisée à accéder aux données personnelles ne les traite que sur ses instructions, sauf obligation contraire résultant de la législation applicable.

Afin de satisfaire aux exigences légales, le Responsable a mis en place des procédures internes couvrant notamment :

• la protection des données dès la conception (« Privacy by Design ») et par défaut (« Privacy by Default ») ;
• les analyses d'impact relatives à la protection des données ;
• la notification des violations de données personnelles ;
• le registre des activités de traitement ;
• la politique de conservation des données ;
• l'exercice des droits des personnes concernées.

Le Responsable contrôle régulièrement et met à jour la documentation exigée par la réglementation afin de démontrer sa conformité au principe de responsabilité (« Accountability ») prévu par le RGPD.

Les données personnelles peuvent être traitées aux fins suivantes :

• la conclusion, l'exécution ou la résiliation d'un contrat, ou l'exécution de mesures précontractuelles demandées par la personne concernée, conformément à l'article 6, paragraphe 1, point b) du RGPD ;
• le respect des obligations légales incombant au Responsable, notamment celles découlant de la législation relative à la lutte contre le blanchiment de capitaux et le financement du terrorisme, de la législation comptable ainsi que de toute autre disposition légale applicable, conformément à l'article 6, paragraphe 1, point c) du RGPD ;

• les intérêts légitimes poursuivis par le Responsable ou par un tiers, notamment :

  • la constatation, l'exercice ou la défense de droits en justice ;
  • le traitement des réclamations ;
  • les besoins d'archivage ;
  • la sécurité des systèmes informatiques ;
  • la prévention des utilisations abusives des services ;
  • les analyses financières ;
  • le traitement des plaintes ou demandes ;
  • le respect du principe de responsabilité prévu à l'article 5, paragraphe 2 du RGPD,

  conformément à l'article 6, paragraphe 1, points c) et f) du RGPD ;

• lorsque la personne concernée a donné son consentement pour une ou plusieurs finalités déterminées, conformément à l'article 6, paragraphe 1, point a) du RGPD.

Le consentement peut être retiré à tout moment, sans que ce retrait n'affecte la licéité du traitement effectué avant celui-ci.

• les actions de marketing direct, lorsque l'utilisateur a expressément donné son consentement, conformément à l'article 6, paragraphe 1, point a) du RGPD.

§ 4. Durée de conservation des données personnelles

Les données personnelles sont conservées pendant la durée nécessaire à la réalisation de la finalité pour laquelle elles ont été collectées ou jusqu'au retrait du consentement lorsque le traitement repose sur celui-ci.

Les données personnelles sont exclusivement traitées pendant la durée, dans la mesure et aux fins autorisées par la législation applicable.

La durée de conservation est déterminée principalement en fonction :

• des obligations légales applicables (par exemple les délais de conservation des documents comptables) ;
• des intérêts légitimes du Responsable (notamment la défense contre d'éventuelles réclamations).

La politique de conservation s'applique aussi bien aux données sous format papier qu'aux données électroniques.

À l'expiration de la période de conservation applicable, les données personnelles sont soit anonymisées, soit supprimées.

Le Responsable veille à limiter la durée de conservation au strict minimum nécessaire.

Conformément à la législation en vigueur, certaines catégories de données personnelles peuvent être conservées pendant une durée maximale de 10 ans, calculée à compter de la fin de l'année civile au cours de laquelle le contrat de prestation de services électroniques a pris fin.