Politique de confidentialité

Politique de protection des données personnelles 

Version 1.02 du 2018-06-29

 

1. Champ d'application et objectifs

Unipartner, en tant que société de services en systèmes et technologies de l'information établie au Portugal et destinée principalement aux marchés européens, assure la protection des données personnelles comme un aspect clé de son activité, présente et future, et l'identifie comme un différenciateur et un générateur d'affaires, non seulement en raison de l'importance que la confiance des employés, des partenaires et des clients a dans son activité, mais aussi parce que cette pratique constitue un domaine d'offre, faisant partie de son portefeuille de produits et de services. 

La présente politique de protection des données personnelles a été élaborée dans le but de sensibiliser les clients, les employés, les sous-traitants et les contacts d'Unipartner aux principes, aux droits et aux obligations à remplir en matière de protection des données personnelles et à la manière dont ils doivent être respectés dans le cadre de toute activité commerciale dans laquelle le traitement des données personnelles a lieu et quel que soit le rôle d'Unipartner (responsable, coresponsable ou sous-traitant) dans ce traitement. 

La politique se fonde sur les normes juridiques et techniques susmentionnées, parmi lesquelles se distingue le RGPD, en raison de sa spécificité en matière de protection des données personnelles et de la transversalité de son application, tant matérielle que territoriale. 

L'adoption des dispositions de ces normes tient compte de leur applicabilité aux activités menées par Unipartner, des évaluations des risques effectuées et des options stratégiques prises, en sauvegardant les droits de leurs titulaires, la durabilité d'Unipartner et de ses clients et sa différenciation dans un contexte de marché de plus en plus exigeant, global et technologique. En ce qui concerne les normes techniques identifiées, Unipartner continuera à formaliser la certification dans les cas où les marchés sur lesquels elle opère l'exigent ou lorsque ce facteur est perçu comme un facteur de différenciation, ne manquant naturellement pas d'adopter les bonnes pratiques qu'elle juge pertinentes et appropriées pour la protection des données personnelles. 

La politique résulte d'un diagnostic impliquant tous les secteurs internes, les partenaires externes les plus pertinents et les sous-traitants, ayant établi un ensemble de dispositions spécifiques, qui fait partie intégrante de cette politique et vise à normaliser l'opérationnalisation des dispositions générales contenues dans les diplômes juridiques et les normes techniques, et un plan de mise en œuvre des mesures identifiées, un instrument opérationnel à maintenir indépendamment de cette politique. La mise en œuvre progressive des mesures identifiées n'affecte pas l'accomplissement des obligations d'Unipartner, mais elle contribue à l'opérationnalisation des mesures et à l'évolution dans la maturité des pratiques à rendre plus efficaces. 

 

1.1 Qu'est-ce que la protection des données personnelles ?  

La protection des personnes physiques à l'égard du traitement des données à caractère personnel est un droit fondamental. L'article 8, paragraphe 1, de la Charte des droits fondamentaux de l'Union européenne (Charte) et l'article 16, paragraphe 1, du traité sur le fonctionnement de l'Union européenne (TFUE) établissent que toute personne a droit à la protection des données à caractère personnel qui la concernent. 

Les principes et règles en la matière visent à respecter les droits et libertés fondamentaux des personnes physiques, indépendamment de leur nationalité ou de leur lieu de résidence, et contribuent à la liberté, à la sécurité et à la justice, au progrès économique et social, à la consolidation et à la convergence des économies. au sein du marché intérieur européen et au bien-être des personnes physiques. 

Unipartner est responsable du respect de toutes les obligations légales concernant le traitement des données personnelles auquel elle participe, dans la mesure de cette participation (niveau de responsabilité établi individuellement pour chaque traitement de données personnelles). 

Unipartner sous-traite les activités de traitement des données personnelles à des entreprises partenaires. Ces entreprises peuvent également agir en tant que coresponsables, si elles interviennent dans la définition des finalités et/ou des moyens de traitement des données personnelles. 

Unipartner traite les données personnelles en tant que sous-traitant des entreprises clientes. Elle peut également agir en tant que coresponsable, si elle intervient dans la définition des finalités et/ou des moyens du traitement des données personnelles. Unipartner est responsable des violations des règles contraignantes applicables aux entreprises commises par des entités impliquées qui ne sont pas établies dans l'UE, sauf lorsque le fait qui a causé le dommage n'est pas imputable à Unipartner.

​

1.2.Caractérisation et traitement principal des données personnelles 

1.2.1. External Perspective

Unipartner, dans le cadre des services qu'elle fournit et des projets qu'elle développe avec ses partenaires et pour ses clients, peut traiter les données personnelles de toute catégorie de titulaires, de tout type (y compris les catégories spéciales et les condamnations/délits) et pour toute finalité, à condition que toutes les exigences légales soient respectées, en stricte conformité avec les contrats établis et avec le niveau de responsabilité assumé (généralement, en tant que sous-traitant). 

 

1.2.2. Activités non couvertes par le RGPD 

Unipartner n'exerce, d'un point de vue interne, aucune activité en dehors du champ d'application matériel du RGPD, à savoir des activités non soumises au droit de l'UE, à la politique étrangère et de sécurité commune ou à la recherche, la détection et la poursuite d'infractions et l'exécution de sanctions pénales. 

Toutefois, en raison de la nature des services qu'elle fournit, elle peut intervenir dans le traitement des données personnelles qui relèvent de ces exceptions, dans le cadre des activités commerciales de ses partenaires et clients. Les dispositions de la présente politique s'appliquent également dans ces cas, pour autant qu'elles ne contreviennent pas aux régimes spécifiques auxquels sont soumis ces traitements de données à caractère personnel. 

​

1.2.3. Finalités du traitement des données personnelles 

Compte tenu de l'importance de la définition des finalités du traitement pour l'efficacité de tous les systèmes à se conformer aux dispositions, et notamment de l'universalité de l'interprétation et de l'application dans les différents contextes d'activité et de vie des partenaires/clients et des propriétaires, Unipartner adopte une approche basée sur les principes suivants : 

• Fonctionnelle : les finalités du traitement des données personnelles correspondent aux finalités des processus métiers dans le cadre desquels ces traitements ont lieu ; à des fins d'analyse et de communication, ces finalités (spécifiques) peuvent être agrégées en finalités (génériques) correspondant aux fonctions métiers dans lesquelles s'inscrivent les processus (un processus s'inscrit dans une seule fonction) ; 

• supra organisationnel : les finalités sont perçues de la même manière quel que soit le type d'intervention de l'organisation dans les processus (ex : client ou fournisseur) ; la même organisation peut jouer différents rôles dans différentes instances/occurrences du même processus et, dans tous ces cas, définit les finalités de la même manière.

Étant donné qu'elle s'aligne sur tous ces principes, Unipartner adopte la liste consolidée des processus d'affaires (LC), intégrée dans la macrostructure fonctionnelle (MEF), définie par l'État portugais, comme référence pour définir les finalités du traitement des données personnelles. En ce sens, chacun des processus/finalités correspondra à un seul processus d'affaires dans la LC. 

​

1.2.4. Transfert et fourniture de données personnelles à des pays tiers et à des organisations internationales 

Unipartner respecte et applique les dispositions légales relatives à la protection des données personnelles lors de transferts de données vers des pays tiers et des organisations internationales, notamment en ce qui concerne la décision de la Commission européenne quant à l'adéquation de ce(s) pays en matière de protection des données ou, à défaut, quant à l'adéquation des garanties pour l'exercice de droits exécutoires et de mesures légales correctives efficaces de ce(s) pays. 

• Décision d'adéquation de la Commission (État de droit, autorités de surveillance indépendantes, engagements internationaux) ; 

• Garanties adéquates (sans autorisation : instrument juridiquement contraignant, règles contraignantes, clauses standard, code de conduite, certification ; avec autorisation : clauses contractuelles, dispositions dans les accords administratifs). 

 

1.2.5. Enregistrement du traitement des données à caractère personnel 

Unipartner dispose de registres des activités de traitement des données personnelles dans lesquelles elle intervient, contenant les éléments suivants : 

• Objectif du traitement des données personnelles (processus opérationnel) ; 

• Période de conservation, forme de comptage et destination finale des informations ; 

• Catégories de détenteurs, de données personnelles et de destinataires (le cas échéant) ; 

• Responsable/responsable conjoint et sous-traitants [sous-traitants] (le cas échéant) ; 

• Transferts de données personnelles et garanties adéquates (le cas échéant) ; 

• Évaluation préalable des risques et référence pour l'analyse d'impact et consultation préalable de l'autorité de contrôle (le cas échéant) ; 

• Mesures techniques et organisationnelles adaptées aux risques. 

 

1.2.6. Perspective interne

D'un point de vue interne, Unipartner maintient des données sur : 

• Travailleurs : Personnes ayant un contrat établi directement avec Unipartner ; 

• Sous-traitants : personnes individuelles sous-traitées aux partenaires d'Unipartner, principalement impliquées dans la réalisation de projets et de services, mais également capables de soutenir d'autres activités au sein de l'organisation ; 

• Partenaires : personnes qui exercent des fonctions dans des entreprises partenaires, ayant une relation directe avec Unipartner ; 

• Clients : personnes physiques qui exercent des fonctions dans des entreprises clientes, ayant une relation directe avec Unipartner ; 

• Contacts : personnes individuelles qui, n'entrant pas dans les catégories précédentes, pourraient à l'avenir entrer dans l'une de ces catégories (ex : candidat, client potentiel). 

Actuellement, Unipartner ne fournit pas de services directement aux clients individuels et, par conséquent, ne fournit pas de services de la société de l'information aux enfants (moins de 16 ans). 

Le traitement des données personnelles effectué dans cette perspective résulte principalement de : 

• Obligation légale : respect des dispositions légales avec les organismes et services publics ; 

• Exécution des contrats : formation et exécution des contrats avec les travailleurs, les sous-traitants, les partenaires et les clients ; 

• Intérêt légitime : communication institutionnelle, commercialisation de produits et services. 

Il existe également des traitements fondés sur les intérêts vitaux et le consentement. 

Unipartner maintient et traite uniquement des données personnelles adéquates, pertinentes et limitées à ce qui est nécessaire pour les objectifs. Unipartner ne traite pas de données provenant de catégories spéciales ou de condamnations/d'infractions, sauf dans les cas suivants : 

• Origine raciale ou ethnique, dans la mesure où celle-ci peut être identifiée par l'image (ex : photographie) du titulaire ; 

• Données biométriques (identification), utilisées exclusivement pour contrôler l'accès aux installations et pour contrôler la présence (le cas échéant) d'Unipartner et/ou de ses partenaires/clients ; 

• Données relatives à la santé, lorsqu'elles sont requises par une obligation légale, par l'intérêt vital du propriétaire ou de tiers ou traitées sous consentement ; 

• Condamnations/délits, lorsque cela est requis par une obligation légale ou traité avec le consentement de l'intéressé. 

Unipartner développe des activités avec des partenaires et des clients établis en dehors de l'UE, en respectant et en appliquant les dispositions applicables à chaque cas particulier. 

 

1.3. Droits des titulaires

Les droits des titulaires à sauvegarder dans le cadre de la protection des données personnelles sont les suivants : 

• Information : informer le titulaire sur les responsables, les finalités, les catégories, les destinataires, les garanties, les délais, les droits, les décisions automatisées et les sources, s'il n'en a pas encore pris connaissance et lui éviter un effort disproportionné ; 

• Accès : indiquer s'il y a des données à traiter ; dans l'affirmative, donner accès aux données traitées et informer sur les finalités, les catégories, les destinataires, les garanties, les délais, les droits, les décisions automatisées ; sur demande, délivrer d'autres copies (éventuellement contre paiement) ; 

• Rectification : rectifier les données inexactes ou incomplètes en cours de traitement, sans retard excessif ; 

• Effacement : effacer les données, sans retard indu, lorsqu'elles ne sont pas nécessaires, sans consentement, opposition, délit, obligation légale et services de la société de l'information, à l'exception de la liberté d'expression et d'information, de l'obligation légale, de la santé publique, du dossier d'intérêt public, de l'enquête scientifique/historique, statistique ou de la déclaration, de l'exercice ou de la défense des droits dans le cadre d'une procédure judiciaire ; informer les responsables si les données sont transmises ou rendues publiques, en prenant des mesures raisonnables, à l'exception d'un effort disproportionné ; 

• Portabilité : livrer au titulaire ou à un autre responsable les données fournies par le titulaire dans un format structuré, d'usage courant et lu automatiquement, si le traitement est automatisé et consenti ; ne s'applique pas au traitement d'intérêt public ou d'autorité ; 

• Consentement : traiter ou arrêter le traitement ; le consentement doit être libre, éclairé, spécifique et exprès ; si un enfant et un service de la société de l'information, il faut le consentement ou l'autorisation du titulaire des droits parentaux, compte tenu de la technologie disponible ; 

• Limitation : limiter les traitements à la conservation, au consentement, à la déclaration, à l'exercice ou à la défense des droits dans le cadre d'une procédure judiciaire ou de l'intérêt public en cas d'inexactitude, d'illicéité, d'inutilité ou d'opposition ; informer les destinataires si les données sont transmises, éviter un effort disproportionné ; 

• Opposition : arrêt des traitements en raison de la situation particulière du titulaire lorsque cela est justifié par l'intérêt ou l'autorité publique, l'intérêt légitime ou la compatibilité, y compris le marketing direct, sauf pour des raisons impérieuses ou la déclaration, l'exercice ou la défense dans le cadre d'une procédure judiciaire ; si enquête scientifique/historique ou statistique, l'intérêt public reste réservé ; 

• Soumission non exclusive : assurer l'intervention humaine dans une décision automatisée ayant des effets dans la sphère juridique ou similaire du titulaire, sauf pour l'exécution d'un contrat, autorisée par le droit de l'État membre ou de l'Union ou avec consentement ; si catégories spéciales, sauf consentement et intérêt public ; 

• Plainte : réclamer l'autorité de contrôle du responsable/sous-traitant ; 

• Action en justice : engager une action en justice auprès de l'autorité de surveillance ou du responsable/sous-traitant. 

​

1.4. Conservation des données et traitements complémentaires

La conservation des données à caractère personnel et les traitements supplémentaires auxquels ces données peuvent être soumises résultent d'aspects spécifiques du contexte commercial dans lequel elles ont été principalement traitées. La protection des données à caractère personnel à ces stades nécessite une approche systématique, qui peut être appliquée de manière cohérente par toutes les entités qui ont participé à ces principaux processus ou qui y ont eu accès en tant que destinataires. 

​

1.4.1. Approche de la gestion de l'information 

Les informations saisies/produites dans le cadre des activités commerciales d'Unipartner et des partenaires/clients, dans lesquelles Unipartner intervient, sont gérées selon des règles communes, définies sur la base de critères : 

• Fonctionnel, en fonction du processus d'entreprise dans le contexte duquel l'information est saisie/produite, ainsi que du contexte dans lequel ce processus d'entreprise est intégré ; sont donc exclus les critères thématiques, typologiques et/ou organiques qui, bien que couramment utilisés, sont basés sur des points de vue spécifiques ou sont plus éphémères que les processus réalisés par l'organisation ; 

• Supra organisationnel, dans la mesure où elles s'appliquent de la même manière quel que soit le type d'intervention de l'organisation dans les processus (par exemple, client ou fournisseur) ; 

• Valeurs, en établissant pour chaque phase du cycle de vie de l'information (continuum) ses valeurs primaires et secondaires ; Il vise à garantir que les informations de valeur sont préservées, tandis que les informations sans valeur sont éliminées, assurant ainsi une application efficace des ressources et une plus grande efficacité dans la gestion des risques sous-jacents. 

Les données à caractère personnel font partie intégrante de ces informations, étant (généralement) conservées pendant les périodes établies pour les processus auxquels elles se rapportent, car elles sont considérées comme nécessaires compte tenu des finalités principales respectives du traitement, qui ont justifié leur collecte, et complémentaires, lorsque les droits, libertés, obligations et/ou responsabilités découlant des traitements principaux prévalent (comprend la déclaration, l'exercice ou la défense des droits dans le cadre de procédures judiciaires). 

Les données à caractère personnel peuvent être conservées pendant des périodes plus longues si cela est nécessaire à des fins d'archivage d'intérêt public, de recherche scientifique ou historique ou de statistiques. 

​

1.4.2. Cycle de vie de l'information 

Par conséquent, les phases suivantes du cycle de vie de l'information sont prises en compte :