CATÉGORIES DE DONNÉES À CARACTÈRE PERSONNEL TRAITÉES PAR LE LOUEUR
Les traitements effectués peuvent porter sur différentes catégories de données à caractère personnel dont les principales sont exposées ci-après.
Etat-civil, identité, données d'identification, images
Exemples de données traitées :
- Nom
- Prénom
- Adresse électronique
- Numéro de téléphone
- Adresse postale
Vie personnelle (Situation familiale, etc.)
Exemples de données traitées :
- Commune de naissance
- Commune de résidence
Vie professionnelle (CV, scolarité, formation professionnelle,….. etc.)
Exemple de données traitées :
- Catégorie socioprofessionnelle
Informations d'ordre économique et financier (revenus, situation financière, situation fiscale, etc.)
Exemples de données traitées :
- Situation du logement
- Avis d’imposition
Données de connexion (logs, ……etc.)
Exemple de données traitées :
- Identifiants et mots de passe pour accéder à certains services
Données de localisation (déplacements, données GPS, GSM, etc.)
Exemples de données traitées :
- Indication du lieu et de l’heure d’une infraction au code de la route ou d’un forfait post-stationnement
- Indication du lieu et de l’heure d’un enlèvement de carburant (lorsque la prestation « Gestion du carburant » est souscrite)
- Données de géolocalisation lorsque certaines prestations sont souscrites et notamment la Télématique ou l’Auto-partage.
Données sensibles ou particulières au sens du RGPD
Exemples de données traitées :
- Données relatives à la condition physique d’individus suite à un accident de circulation dans lequel serait impliqué un véhicule loué auprès de nos services
- Catégories d’infractions pénales suite à une infraction au code de la route
Toute donnée se rapportant à une personne identifiée ou identifiable
SITES WEB ET COOKIES
Le loueur collecte des données via des cookies afin d’améliorer l’expérience de navigation des utilisateurs. Les cookies sont notamment utilisés pour stocker les préférences et paramètres afin de faire gagner du temps, d’activer la connexion, de lutter contre la fraude, d’analyser les performances du site web et des services fournis par le loueur et de réaliser des statistiques de visites.
DURÉES DE CONSERVATION DES DONNÉES À CARACTÈRE PERSONNEL
Les données à caractère personnel sont conservées par le loueur, en base active, le temps nécessaire à l’accomplissement de l’objectif poursuivi lors de leur collecte.
La durée de conservation est donc initialement fixée par le loueur en fonction du besoin opérationnel nécessaire à l’exécution de chaque contrat individuel de location et prenant en considération les éventuelles recommandations de la CNIL.
Toutefois, certaines durées de conservation plus longues peuvent résulter de textes législatifs et réglementaires (notamment, mais non exclusivement, celles prévues par le code de commerce, le code civil). Certains textes imposent également de conserver des documents/informations contenant des données à caractère personnel, pendant une durée précise, à des fins de preuve ou en prévision d'un éventuel contentieux jusqu'à la prescription de l'action en question. Par exemple, en matière commerciale, les obligations se prescrivent, en principe, par cinq ans si elles ne sont pas soumises à des prescriptions spéciales. Le loueur est donc dans l'obligation de conserver certaines données à caractère personnel au-delà de l’exécution des contrats de location bien qu'elle n'en ait plus l’usage sous forme d’archives dites intermédiaires.
A l’issue de ces périodes, les données à caractère personnel sont :
DESTINATAIRES DES DONNÉES
Les données à caractère personnel sont susceptibles d’être diffusées :
- aux collaborateurs du loueur
- à des partenaires
Le loueur s’est associé avec différents partenaires afin de pouvoir offrir à ses clients et prospects des offres diversifiées et adaptées à leurs besoins. Ces partenariats peuvent être passés avec différents types d’opérateurs économiques tels que :
- des constructeurs,
- des acteurs de la mobilité,
- des banques,
- des assureurs.
Les engagements de chaque partenaire font l’objet d’un encadrement contractuel détaillé, précisant la nature et les modalités d’échange de données et comportant des obligations en termes de sécurité et de confidentialité mises à charge de chacun ainsi que des obligations et mesures prises pour assurer le respect des principes énoncés par les textes applicables en vigueur en matière de données à caractère personnel.
- à des sous-traitants, prestataires et conseils ;
- à des courtiers et assureurs ;
Le loueur a recours à des tiers spécialement habilités pour exécuter, par exemple, des prestations de maintenance/assistance, des enquêtes, … Lors du recours à ces prestataires, le loueur veille à sélectionner des prestataires et fournisseurs présentant des garanties suffisantes pour assurer la mise en oeuvre effective des missions qui leur sont confiées (compétence, niveau de sécurité, notoriété, solidité financière, lieu de localisation des serveurs ou centres informatiques…). Les obligations et niveaux de prestation font l’objet d’un encadrement contractuel détaillé destiné à assurer que le prestataire ne pourra agir que sur instruction du loueur et comportant des obligations en termes de sécurité et de confidentialité mises à charge du prestataire, ainsi que des obligations et mesures prises pour assurer le respect des principes réglementaires.
- à des établissements financeurs ;
- au Groupe Société Générale auquel appartient le loueur ;
- à toute autorité administrative et judiciaire.
SÉCURITÉ DES DONNÉES
La politique de sécurité de l'information du loueur se décline au travers de mesures organisationnelles (y compris la sensibilisation et la formation du personnel concerné), de logiciels et de matériels afin de lutter contre la destruction, la perte ou l’altération accidentelle ou illicite de données, la divulgation ou l’accès non autorisé à des données et contre toute autre forme de traitement illicite.
Les principes qui président la politique de sécurité du loueur sont les suivants :
- Une approche de la sécurité globale, adaptée (en termes économique ou de facilité d’usage) et intégrée (c’est-à-dire diffusée dans chaque projet et chacune des applications du système d’information),
- Une démarche d’amélioration en continu et en cycle court (gestion des incidents liés à la sécurité de l’information, des audits, des évolutions technologiques,…),
- Une gestion proactive de la sécurité qui s’appuie sur :
- l’implication du Comité de Direction du loueur,
- une gouvernance renforcée de la sécurité,
- la diffusion d’une culture de la sécurité de l’information.
Accès collaborateurs et tiers
L’accès aux données à caractère personnel est limité à des personnes autorisées dont le statut, les fonctions, les responsabilités induisent ou justifient spécifiquement le traitement des données concernées. Afin de garantir la sécurité des informations et leur confidentialité, les accès au système d’information et à l’ensemble de ses composantes applicatives sont soumis à habilitation individuelle.
Les profils sont administrés en interne par la Direction Générale en collaboration avec le service des Ressources Humaines. L’accès au système d’information s’effectue par authentification en associant un login et un mot de passe dit complexe, renouvelé à intervalle régulier.
Les accès au système d’information depuis l’extérieur de l’entreprise se font :
- Au travers d’un client VPN avec chiffrement des données échangées. Un système de traçabilité permet de suivre l’historique des activités effectuées par tout utilisateur du réseau informatique et des applications du loueur. Des actions complémentaires de journalisation répondent à plusieurs objectifs dont :
- la résolution des problèmes techniques et l’optimisation du fonctionnement des systèmes informatiques,
- la vérification du respect des règles de sécurité du système d’information,
- la détection de toute tentative d’intrusion ou d’altération du système d’information,
- la détection d’activités illégales ou contraires au règlement intérieur.
Règle en matière de confidentialité
Les données à caractère personnel sont divulguées uniquement aux personnes ayant à en prendre connaissance pour les finalités nécessaires. Pour ses échanges en interne, le loueur s’est également doté d’un système de classification des informations en fonction de leur niveau de sensibilité.
Les contrats intègrent des clauses de confidentialité imposant à nos co-contractants de ne pas divulguer de données. En outre, ils doivent informer les personnes destinataires du caractère confidentiel des informations qui leur sont transmises et s’engager à respecter une obligation de confidentialité de même nature que celle prévue dans le contrat qu’ils ont signé.
Procédure anti-intrusion
Tous les postes de travail et serveurs sont équipés d’un antivirus mis à jour fréquemment.
Une procédure de « patch management » définit les règles et modalités de déploiement des correctifs publiés par les éditeurs.
Les actifs informatiques sont protégés d’attaques externes par différents moyens :
- Étanchéité des composantes réseaux par zone, garantie par le déploiement de firewall et de reverse proxy,
- Protection des services exposés sur internet par des solutions WAF, Ddoss et double bastion de Firewall.
Les collaborateurs sont régulièrement formés et sensibilisés à la sécurité informatique. Des tests de sécurité sont également réalisés pour valider l’application des règles de sécurité (Test de phishing par exemple).
Sécurité physique des bâtiments
Les principaux bâtiments du loueur sont munis des outils de surveillance suivants :
- accès aux locaux par badge,
- vidéosurveillance,
- agent de sécurité.
Procédure en cas de faille de sécurité
Dans l’hypothèse où un incident de sécurité se produirait, différents scénarios sont prévus en fonction de la nature des données concernées, du type et de l’ampleur de l’incident.
Pour ce faire, le loueur s’est notamment doté des moyens suivants :
- cellule de crise ;
- procédure d’escalade au niveau groupe ;
- procédure d’isolement du matériel informatique impacté.
EXERCICE DES DROITS
Toute personne concernée par un traitement de données à caractère personnel peut exercer un certain nombre de droits auprès du loueur.
Les droits en question sont les suivants :
- Droit d’Accès
- Droit à la Rectification de toute donnée à caractère personnel inexacte
- Droit à l’Effacement (droit à l’oubli) lorsque l’un des motifs suivants s’applique :
- les données à caractère personnel ne sont plus nécessaires au regard des finalités pour lesquelles elles ont été collectées ;
- le retrait du consentement de la personne concernée ;
- le traitement est illicite ;
- le respect d’une obligation légale d’effacement.
- Droit à la Limitation dans les circonstances suivantes :
- L’exactitude des données à caractère personnel est contestée par la personne concernée, pendant une durée permettant au loueur de vérifier l'exactitude des données à caractère personnel ;
- Le traitement est illicite et la personne concernée s'oppose à leur effacement et exige à la place la limitation de leur utilisation ;
- Le loueur n'a plus besoin des données à caractère personnel aux fins du traitement mais celles-ci sont encore nécessaires à la personne concernée pour la constatation, l'exercice ou la défense de droits en justice ;
- Lorsqu’une personne s'est opposée au traitement de données à caractère personnel la concernant, pendant la vérification portant sur le point de savoir si les motifs légitimes poursuivis par le loueur prévalent sur ceux de la personne concernée.
- Droit à la Portabilité : toute personne a le droit d’obtenir une copie des données à caractère personnel la concernant que le loueur détient dans ses bases et ce, dans un format structuré et facilement réutilisable.
- Droit d’Opposition.
En outre, toute personne à également le droit de demander la mise à disposition des documents juridiques utilisés lors d’un transfert de données à caractère personnel vers un pays tiers.
Ces droits peuvent être exercés par courrier postal à l’adresse du loueur suivante :
ALD AUTOMOTIVE ALGERIE SPA
Direction Générale
30, Rue DJAFFER Slimane, Chéraga, Alger, Algérie.
Le loueur s’engage à communiquer à la personne concernée toute information sur les mesures prises à la suite de sa demande, dans les meilleurs délais et, en tout état de cause, dans un délai d’un (1) mois à compter de la réception de sa demande ou, le cas échéant, dans un délai de deux (2) mois lorsque la demande est complexe.
Tout exercice des droits formulé auprès du loueur sera automatiquement signalé par ce dernier à ses sous-traitants, partenaires, responsable conjoint, le cas échéant, et autres destinataires sans que la personne concernée n’ait besoin de procéder à des démarches supplémentaires.
Par ailleurs, toute personne concernée par un traitement de données à caractère personnel a le droit d’introduire une réclamation devant une autorité de contrôle.
MISE A JOUR DE LA POLITIQUE DE CONFIDENTIALITÉ
Le contenu de ce document a vocation à évoluer périodiquement et sans préavis en fonction de l’entrée en vigueur de nouveaux textes applicables et notamment du Règlement dit e-Privacy, de la loi Informatique et Libertés amendée, des éventuelles recommandations CNIL et des évolutions des produits, services et prestations proposés par le loueur.