La présente page décrit les conditions dans lesquelles les traitements que SIGMA-RH Solutions et SIGMA-RH France (ci-après « SIGMA-RH ») effectuent sur les données personnelles collectées auprès des personnes physiques (clients, prospects, etc.) sont effectués.
Pour toute question relative à cette politique, vous pouvez nous envoyer votre demande à [email protected].
Politique de confidentialité
Cette politique a pour but de présenter les règles relatives à la protection des données personnelles, en qualité de responsable de traitement et sous-traitant que SIGMA-RH s’engage à respecter. Ces règles viennent notamment en application de la Loi 25 sur la Protection des Renseignements Personnels et les Document Electroniques (LPRPDE) du Canada et du Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 (le Règlement Général sur la Protection des Données ou RGPD) de l’Europe, relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE en Europe.
Ce document est susceptible d’évoluer, notamment lorsque cela sera nécessaire pour répondre aux obligations de la législation sur la protection des données personnelles. Nous encourageons donc à visiter régulièrement cette page dédiée.
Les notions concernant la protection des données personnelles utilisées dans ce document ont le même sens que celui donné par la LPRPDE ou le RGPD.
Respect des principes généraux sur la protection des données personnelles
Lorsque SIGMA-RH agit en qualité de responsable de traitement
SIGMA-RH garantit que les données personnelles sont :
- traitées de manière licite, loyale et transparente ;
- collectées pour des finalités déterminées, explicites et légitimes, et ne sont pas traitées ultérieurement d’une manière incompatible avec ces finalités ;
- adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités pour lesquelles elles sont traitées ;
- exactes et, si nécessaire, tenues à jour ;
- conservées pendant une durée n’excédant pas celle nécessaire au regard des finalités pour lesquelles elles sont traitées ;
- traitées de façon à garantir une sécurité appropriée, y compris la protection contre le traitement non autorisé ou illicite et contre la perte, la destruction ou les dégâts d’origine accidentelle, à l’aide de mesures techniques ou organisationnelles appropriées et adaptées aux risques.
Lorsque SIGMA-RH agit en qualité de sous-traitant
SIGMA-RH garantit que :
- les finalités du traitement sont décrites dans le contrat signé entre SIGMA-RH et son client ;
- les traitements effectués sur les données personnelles de son client sont effectués uniquement pour les finalités déterminées et sur ses instructions dans les conditions prévues par le contrat ;
- la suppression des données personnelles soit engagée au terme et dans les conditions prévues au contrat, sauf si le droit applicable exige cette conservation.
Finalité et bases légales des traitements de données personnelles
Lorsque SIGMA-RH agit en qualité de responsable de traitement
Pour ses besoins internes, SIGMA-RH collecte des données personnelles à des fins notamment de :
- gestion de ses contacts clients et prospects (envoi d’information marketing, sur les produits ou l’actualité du Groupe, approfondir et répondre aux besoins des clients ou prospects, etc.) ;
- gestion de ses contrats commerciaux (gestion des commandes, facturation, recouvrement, etc.) ;
- gestion du personnel de SIGMA-RH, du recrutement et des carrières (examiner et contacter les candidats, etc.) ;
- création et administration des comptes utilisateur ;
- réalisation et gestion des services souscrits par ses clients (enregistrement des appels et/ou des billets effectués au support, etc.).
Selon ces différentes finalités, SIGMA-RH s’assure que l’une des conditions suivantes soit remplie :
- le consentement de la personne physique a été collecté pour une ou plusieurs finalités spécifiques ;
- le traitement est nécessaire à l’exécution d’un contrat auquel une personne physique est partie ou à l’exécution de mesures précontractuelles prises à la demande de celle-ci ;
- le traitement est nécessaire au respect d’une obligation légale à laquelle SIGMA-RH est soumise ;
- le traitement est nécessaire à la sauvegarde des intérêts vitaux d’une personne physique ;
- le traitement est nécessaire aux fins des intérêts légitimes poursuivis par SIGMA-RH, à moins que ne prévalent les intérêts ou les libertés et droits fondamentaux de la personne physique concernée.
Lorsque SIGMA-RH agit en qualité de sous-traitant
SIGMA-RH peut être amenée à accéder et traiter les données personnelles confiées par ses clients dans le strict cadre de la réalisation du contrat et services souscrits.
Cet accès et traitement sont encadrés par un contrat contenant des clauses spécifiques à la protection des données signé entre SIGMA-RH et son client.
SIGMA-RH traite ainsi les données personnelles uniquement pour le compte et sur les instructions documentées de son client conformément aux dispositions dudit contrat.
Sécurité et notification des violations de données
SIGMA-RH met en œuvre des mesures techniques et organisationnelles appropriées afin de garantir un niveau de sécurité adapté aux risques.
SIGMA-RH dispose de la certification ISO 27001 concernant son Système de Management de la Sécurité de l’Information pour la délivrance d’un service permettant l’hébergement d’applications contenant des données fournies par des clients dans un environnement infonuagique.
Cette certification garantit la mise en place d’une politique de sécurité certifiée appliquée aux processus et workflow de SIGMA-RH pendant toute la durée de vie du service SaaS délivré au client.
Plus généralement, les employés de SIGMA-RH sont soumis à une charte informatique permettant d’assurer un niveau de sécurité adapté.
Toute violation de données sera notifiée :
- lorsque SIGMA-RH agit en qualité de responsable de traitement, à l’autorité de contrôle locale et, si nécessaire, aux personnes physiques impactées par ladite violation ;
- lorsque SIGMA-RH agit en qualité de sous-traitant, à ses clients impactés par ladite violation dans les conditions du contrat entre SIGMA-RH et ses clients.
Droit des personnes
Lorsque SIGMA-RH agit en qualité de responsable de traitement
Dans les conditions prévues par les législations locales, les personnes physiques ont le droit de :
- accéder aux données personnelles les concernant et traitées par SIGMA-RH ;
- demander la rectification, l’effacement ou la limitation du traitement de leurs données personnelles effectués par SIGMA-RH ;
- dans certaines conditions, s’opposer au traitement de leurs données personnelles ;
- demander la portabilité des données personnelles ;
- lorsque le consentement est la base légale du traitement, retirer son consentement ;
- définir des directives relatives au sort de leurs données à caractère personnel en cas de décès.
Les demandes liées à ces droits peuvent être envoyées à [email protected].
SIGMA-RH se réserve le droit de demander des précisions sur toute demande et de justifier de l’identité du demandeur.
Un lien de désabonnement est aussi disponible dans nos communications marketing par courriel.
En tout état de cause, SIGMA-RH recommande de se rapprocher l’autorité de contrôle locale (tel la CNIL en France) pour en savoir plus sur la règlementation relative à la protection des données personnelles, les droits des personnes physiques et la possibilité d’introduire une réclamation auprès de cette autorité.
Lorsque SIGMA-RH agit en qualité de sous-traitant
Dans le cas où SIGMA-RH reçoit une demande de la part d’une personne physique concernée par le traitement de ses données personnelles dans le cadre de la réalisation du contrat entre SIGMA-RH et son client, SIGMA-RH communiquera à son client dans les meilleurs délais cette demande à compter de sa réception et, tenant compte de la nature du traitement et dans les conditions établies dans le contrat, aidera son client, par des mesures techniques et organisationnelles appropriées, dans toute la mesure du possible, à s’acquitter de son obligation de donner suite à ces demandes.
Le client reste néanmoins responsable de la réponse à apporter à la personne physique concernée.
Information des personnes physiques
Lorsque SIGMA-RH agit en qualité de responsable de traitement
Au moment de la collecte de données personnelles, SIGMA-RH s’engage à fournir aux personnes physiques concernées à minima les informations suivantes, dans la mesure du possible et quel que soit le traitement effectué :
- les coordonnées du responsable de traitement et de son Délégué à la Protection des Données ;
- les finalités du traitement et sa base légale ;
- les destinataires ;
- les transferts hors UE, le cas échéant ;
- la durée de conservation ;
- la possibilité de demander l’exercice des droits pouvant être exercés en application de la règlementation applicable ;
- le droit d’introduire une réclamation auprès de l’autorité de contrôle.
SIGMA-RH est aussi susceptible de recevoir des données personnelles (nom, entreprise associée, téléphone, adresse courriel) de sources tierces telles que des fournisseurs de leads.
Ces données servent uniquement à :
- mettre à jour, développer et analyser sa base client/prospect ;
- identifier des nouveaux prospects ;
- fournir des informations sur les produits et services SIGMA-RH appropriés.
Lorsque SIGMA-RH agit en qualité de sous-traitant
La responsabilité d’informer les personnes physiques incombe au responsable de traitement. Dans les conditions prévues dans le contrat, SIGMA-RH fournit à ses clients agissant en qualité de responsable de traitement toute information utile pour lui permettre de respecter la réglementation locale.
Transferts hors de l’Union Européenne (lorsqu’applicable)
Les données collectées sont susceptibles d’être traitées hors de l’Union Européenne. Ainsi, conformément à la législation sur la protection de données, SIGMA-RH s’interdit de transférer les Données Personnelles, sans mettre en place les outils adéquats d’encadrement de ces transferts en application de l’article 46 du RGPD, en dehors :
- de l’Union Européenne, ou
- de l’Espace Economique Européen, ou
- des pays reconnus comme disposant d’un niveau de sécurité adéquat par la Commission Européenne, comprenant les entreprises établies aux Etats-Unis d’Amérique certifiées « Privacy Shield » ou, en cas d’invalidation de celui-ci, le mécanisme qui le remplace.
Les destinataires des données
SIGMA-RH est susceptible de partager des données personnelles avec des tiers uniquement dans les conditions prévues dans ce document et/ou le contrat applicable.
Pour en savoir plus sur les destinataires, contactez-nous à [email protected].
Fournisseur de services
SIGMA-RH est susceptible de partager des données personnelles avec des tiers fournissant un service :
- pour le compte de SIGMA-RH dans le cadre de l’exécution du contrat client (hébergement, consulting, sous-traitant, etc.) dans les conditions prévues par celui-ci ;
- pour accompagner SIGMA-RH dans l’exécution des conditions financières et administratives du contrat (recouvrement, facturation, etc.) ;
- de réalisation de communication marketing au nom de SIGMA-RH.
Partenaires distributeurs et/ou commerciaux
SIGMA-RH a développé un réseau de partenaires (distributeur, éditeurs, etc.) pour plusieurs de ses offres afin de l’aider à fournir et développer ses produits.
Suivant l’offre qui intéresse le contact ou est susceptible de l’intéresser, SIGMA-RH peut être amenée à partager les coordonnés de ce contact avec un partenaire pertinent.
Filiales de SIGMA-RH
SIGMA-RH peut partager des données personnelles avec les sociétés du Groupe SIGMA-RH pour les finalités citées dans cette politique si cela est nécessaire pour sa réalisation (contrat ou candidature pour un poste dans une filiale hors du Canada ou hors de la France, etc.).
Autorités publiques
Dans certains cas, SIGMA-RH peut être contrainte de partager des données personnelles suite à une requête d’autorité publique, une assignation ou à toute demande légale en application des lois applicables.
SIGMA-RH fournira dans ce cas les données nécessaires pour répondre à cette demande, notamment lorsque SIGMA-RH estime de bonne foi que ce partage est nécessaire pour protéger vos droits, assurer votre sécurité ou celles des autres, enquêter sur des cas de fraude ou répondre à une exigence légale.
Coopération de SIGMA-RH avec ses clients et l’autorité de contrôle
Conformément à la législation locale et dans le respect de ses engagements contractuels, SIGMA-RH s’engage à raisonnablement coopérer avec ses clients afin de les aider à répondre à leurs obligations.
De manière générale, SIGMA-RH s’engage à coopérer avec l’autorité de contrôle locale lorsque cela est nécessaire et à raisonnablement prendre en compte ses recommandations.
Privacy by design dans les produits et services
Lorsque SIGMA-RH prévoit développer un nouveau service ou offre et en sa qualité d’éditeur, elle fera ses meilleurs efforts pour introduire dès le début de ce projet les principes de protection des données personnelles (“privacy by design”) et ainsi aider ses clients à se conformer aux exigences de la règlementation applicable par des fonctionnalités et moyens spécifiques.
Sensibilisation du personnel SIGMA-RH
L’ensemble des nouveaux employés chez SIGMA-RH doit obligatoirement suivre une sensibilisation relative à la protection des données personnelles.
Plus généralement, SIGMA-RH met tout en œuvre pour proposer à tous ses employés une sensibilisation régulière aux enjeux de la protection des données personnelles.
Des sensibilisations ou formations plus spécifiques peuvent être effectuées à destination de collaborateurs qui sont amenés à manipuler de façon régulière des données personnelles.
Gouvernance de la protection des données personnelles
Afin de piloter la protection des données personnelles, SIGMA-RH s’est dotée d’une gouvernance dédiée.
Un Délégué à la Protection des Données, ou Data Protection Officer (DPO) a été désigné et a été déclaré auprès des autorités de contrôle locales concernées. Ce dernier pilote cette gouvernance.
Un comité stratégique agit en transverse sur l’ensemble des activités de l’entreprise en s’appuyant sur un comité opérationnel composé du DPO et des relais au sein de SIGMA-RH.
Registres des traitements
SIGMA-RH maintient deux registres de traitement de données personnelles :
- un registre décrivant les traitements effectués en qualité de responsable de traitement ;
- un registre décrivant les traitements effectués pour le compte et sur les instructions de ses clients responsables de traitement.
Ces registres sont mis à la disposition des autorités de contrôle locales concernées, sur demande.
Politique contractuelle
SIGMA-RH a pris en compte les obligations contractuelles obligatoires en application de la législation locale dans l’ensemble des clients et des contrats impactés.
Ainsi, des clauses contractuelles spécifiques à la protection des données et conformes à la règlementation applicable ont été notamment introduites dans :
- les contrats de licence (CGV/CGU) ;
- les contrats entre SIGMA-RH et ses propres sous-traitants.
Contact
Pour toute question relative à cette politique vous pouvez contacter notre Délégué à la Protection des Données et envoyer votre demande à [email protected].