1. Objet, champ d'application et utilisateurs

Halian Holdings Ltd, ci-après dénommée la "Société", s'efforce de se conformer aux lois et réglementations applicables en matière de protection des données personnelles dans les pays où la Société exerce ses activités. La présente politique énonce les principes de base selon lesquels la société traite les données personnelles des consommateurs, des clients, des fournisseurs, des partenaires commerciaux, des employés et d'autres personnes, et indique les responsabilités de ses départements commerciaux et de ses employés dans le cadre du traitement des données personnelles.

Cette politique s'applique à la société et à ses filiales à 100 %, contrôlées directement ou indirectement, qui exercent leurs activités dans l'Espace économique européen (EEE) ou qui traitent les données à caractère personnel des personnes concernées dans l'EEE.

Les utilisateurs de ce document sont tous les employés, permanents ou temporaires, et tous les sous-traitants travaillant pour le compte de l'entreprise.

2. Documents de référence

UE GDPR 2016/679 (Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE).

• Politique de protection des données personnelles des employés

• Politique de conservation des données

• Description du poste de délégué à la protection des données

• Lignes directrices pour l'inventaire des données et les activités de traitement

• Procédure de demande d'accès de la personne concernée

• Lignes directrices pour l'évaluation de l'impact de la protection des données

• Procédure de transfert transfrontalier de données à caractère personnel

• Politique de sécurité informatique

• Procédures de sécurité pour le département informatique

• Politique relative aux appareils mobiles et au télétravail

• Politique en matière de bureaux et d'écrans clairs

• Procédure de notification des violations

3. Définitions

Les définitions suivantes des termes utilisés dans le présent document sont tirées de l'article 4 du règlement général sur la protection des données de l'Union européenne :

Données à caractère personnel : touteinformation concernant une personne physique identifiée ou identifiable ("personne concernée") qui peut être identifiée, directement ou indirectement, notamment par référence à un identifiant tel qu'un nom, un numéro d'identification, des données de localisation, un identifiant en ligne ou à un ou plusieurs éléments spécifiques propres à l'identité physique, physiologique, génétique, psychique, économique, culturelle ou sociale de cette personne physique.

Données à caractère personnel sensibles : les données à caractère personnelqui sont, de par leur nature, particulièrement sensibles au regard des droits et libertés fondamentaux méritent une protection spécifique car le contexte de leur traitement pourrait créer des risques importants pour les droits et libertés fondamentaux. Ces données à caractère personnel comprennent les données à caractère personnel qui révèlent l'origine raciale ou ethnique, les opinions politiques, les convictions religieuses ou philosophiques, ou l'appartenance syndicale, les données génétiques, les données biométriques aux fins d'identifier une personne physique de manière unique, les données relatives à la santé ou les données relatives à la vie sexuelle ou à l'orientation sexuelle d'une personne physique.

Responsable du traitement : lapersonne physique ou morale, l'autorité publique, le service ou tout autre organisme qui, seul ou conjointement avec d'autres, détermine les finalités et les moyens du traitement des données à caractère personnel.

Responsable du traitement : personnephysique ou morale, autorité publique, agence ou tout autre organisme qui traite des données à caractère personnel pour le compte d'un responsable du traitement.

Traitement : opération ou ensemble d'opérations effectuées ou non à l'aide de procédés automatisés et appliquées à des données ou des ensembles de données à caractère personnel, telles que la collecte, l'enregistrement, l'organisation, la structuration, la conservation, l'adaptation ou la modification, l'extraction, la consultation, l'utilisation, la divulgation par transmission, la diffusion ou toute autre forme de mise à disposition, le rapprochement ou l'interconnexion, la limitation, l'effacement ou la destruction des données.

Anonymisation : dépersonnalisation irréversibledes données à caractère personnel de sorte que la personne ne puisse être identifiée en utilisant des délais, des coûts et des technologies raisonnables, soit par le responsable du traitement, soit par toute autre personne, pour identifier cette personne. Les principes de traitement des données à caractère personnel ne s'appliquent pas aux données anonymes car il ne s'agit plus de données à caractère personnel.

Pseudonymisation : letraitement de données à caractère personnel de telle sorte que ces données ne puissent plus être attribuées à une personne concernée spécifique sans l'utilisation d'informations supplémentaires, à condition que ces informations supplémentaires soient conservées séparément et fassent l'objet de mesures techniques et organisationnelles visant à garantir que les données à caractère personnel ne sont pas attribuées à une personne physique identifiée ou identifiable. La pseudonymisation réduit, mais n'élimine pas complètement, la possibilité de relier des données à caractère personnel à une personne concernée. Les données pseudonymisées étant toujours des données à caractère personnel, leur traitement doit être conforme aux principes du traitement des données à caractère personnel.

Traitement transfrontalier de données à caractère personnel : Traitement dedonnées à caractère personnel effectué dans le cadre des activités d'établissements situés dans plus d'un État membre d'un responsable du traitement ou d'un sous-traitant dans l'Union européenne, lorsque le responsable du traitement ou le sous-traitant est établi dans plus d'un État membre ; ou traitement de données à caractère personnel effectué dans le cadre des activités d'un établissement unique d'un responsable du traitement ou d'un sous-traitant dans l'Union, mais qui affecte ou est susceptible d'affecter sensiblement des personnes concernées dans plus d'un État membre ;

Autorité de contrôle : uneautorité publique indépendante établie par un État membre conformément à l'article 51 du GDPR de l'UE ;

Autorité de contrôle principale : l'autorité de contrôle qui a la responsabilité première de traiter une activité transfrontalière de traitement des données, par exemple lorsqu'une personne concernée dépose une plainte concernant le traitement de ses données à caractère personnel ; elle est chargée, entre autres, de recevoir les notifications de violation des données, d'être notifiée sur l'activité de traitement à risque et aura pleine autorité en ce qui concerne ses obligations de veiller au respect des dispositions du GDPR de l'UE ;

Chaque "autorité de contrôle locale" conservera sur son propre territoire et contrôlera tout traitement local de données qui affecte les personnes concernées ou qui est effectué par un responsable du traitement ou un sous-traitant de l'UE ou d'un pays tiers lorsque ce traitement vise des personnes résidant sur son territoire. Leurs tâches et pouvoirs comprennent la conduite d'enquêtes et l'application de mesures administratives et d'amendes, la sensibilisation du public aux risques, aux règles, à la sécurité et aux droits relatifs au traitement des données à caractère personnel, ainsi que l'obtention d'un accès à tous les locaux du responsable du traitement et du sous-traitant, y compris à tout équipement et moyen de traitement des données.

"Établissement principal d'un responsable du traitement" ayant des établissements dans plusieurs États membres, le lieu de son administration centrale dans l'Union, à moins que les décisions relatives aux finalités et aux moyens du traitement des données à caractère personnel ne soient prises dans un autre établissement du responsable du traitement dans l'Union et que ce dernier établissement ait le pouvoir de faire appliquer ces décisions, auquel cas l'établissement ayant pris ces décisions doit être considéré comme l'établissement principal ; "Établissement principal d'un sous-traitant" ayant des établissements dans plusieurs États membres, le lieu de son administration centrale dans l'Union ou, si le sous-traitant n'a pas d'administration centrale dans l'Union, l'établissement du sous-traitant dans l'Union où ont lieu les principales activités de traitement dans le cadre des activités d'un établissement du sous-traitant, dans la mesure où le sous-traitant est soumis à des obligations spécifiques en vertu du présent règlement ;

Entreprise du groupe : toutesociété holding et sa filiale.

4. Principes de base concernant le traitement des données à caractère personnel

Les principes de protection des données définissent les responsabilités fondamentales des organisations qui traitent des données à caractère personnel. L'article 5, paragraphe 2, du GDPR stipule que "le responsable du traitement est responsable du respect des principes et est en mesure de le démontrer".

4.1. Licéité, loyauté et transparence

Les données à caractère personnel doivent être traitées de manière licite, loyale et transparente à l'égard de la personne concernée.

4.2. Limitation des finalités

Les données à caractère personnel doivent être collectées pour des finalités déterminées, explicites et légitimes et ne pas être traitées ultérieurement de manière incompatible avec ces finalités.

4.3. Minimisation des données

Les données à caractère personnel doivent être adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités pour lesquelles elles sont traitées. L'entreprise doit appliquer l'anonymisation ou la pseudonymisation aux données à caractère personnel si cela est possible pour réduire les risques pour les personnes concernées.

4.4. Exactitude

Les données à caractère personnel doivent être exactes et, si nécessaire, mises à jour ; des mesures raisonnables doivent être prises pour que les données à caractère personnel inexactes, au regard des finalités pour lesquelles elles sont traitées, soient effacées ou rectifiées en temps utile.

4.5. Limitation de la durée de conservation

Les données à caractère personnel doivent être conservées pendant une durée n'excédant pas celle nécessaire à la réalisation des finalités pour lesquelles elles sont traitées.

4.6. Intégrité et confidentialité

Compte tenu de l'état de la technologie et des autres mesures de sécurité disponibles, du coût de mise en œuvre et de la probabilité et de la gravité des risques liés aux données à caractère personnel, la société doit utiliser des mesures techniques ou organisationnelles appropriées pour traiter les données à caractère personnel d'une manière qui garantisse une sécurité appropriée des données à caractère personnel, y compris la protection contre la destruction, la perte, l'altération, l'accès non autorisé ou la divulgation accidentels ou illicites.

4.7. Responsabilité

Les responsables du traitement des données doivent être en mesure de prouver qu'ils respectent les principes énoncés ci-dessus.

5. Intégrer la protection des données dans les activités de l'entreprise

Pour démontrer qu'elle respecte les principes de protection des données, une organisation doit intégrer la protection des données dans ses activités professionnelles.

5.1. Notification aux personnes concernées

(Voir la section "Lignes directrices pour un traitement loyal des données")

5.2. Choix et consentement de la personne concernée

(Voir la section Lignes directrices pour un traitement loyal des données)

5.3. Collecte

L'entreprise doit s'efforcer de collecter le moins de données à caractère personnel possible. Si des données à caractère personnel sont collectées auprès d'un tiers, le DPD et les responsables des services concernés (tels que décrits dans l'inventaire de la collecte des données) doivent veiller à ce que les données à caractère personnel soient collectées de manière licite.

5.4. Utilisation, conservation et destruction

Les finalités, les méthodes, les limites de stockage et la durée de conservation des données à caractère personnel doivent être conformes aux informations contenues dans l'avis de confidentialité. L'entreprise doit préserver l'exactitude, l'intégrité, la confidentialité et la pertinence des données à caractère personnel en fonction de la finalité du traitement. Des mécanismes de sécurité adéquats conçus pour protéger les données à caractère personnel doivent être utilisés pour empêcher le vol, la mauvaise utilisation ou l'utilisation abusive des données à caractère personnel, et pour prévenir les violations de données à caractère personnel. Le DPD est responsable du respect des exigences énumérées dans la présente section.

5.5. Divulgation à des tiers

Lorsque l'entreprise fait appel à un fournisseur ou à un partenaire commercial tiers pour traiter des données à caractère personnel en son nom, le délégué à la protection des données doit s'assurer que ce sous-traitant prend des mesures de sécurité pour protéger les données à caractère personnel qui sont adaptées aux risques associés. À cette fin, le questionnaire de conformité GDPR du sous-traitant doit être utilisé.

L'entreprise doit exiger contractuellement du fournisseur ou du partenaire commercial qu'il fournisse le même niveau de protection des données. Le fournisseur ou le partenaire commercial ne doit traiter les données à caractère personnel que pour exécuter ses obligations contractuelles à l'égard de l'entreprise ou sur instruction de l'entreprise, et non à d'autres fins. Lorsque l'Entreprise traite des données à caractère personnel conjointement avec un tiers indépendant, l'Entreprise doit explicitement spécifier ses responsabilités respectives et celles du tiers dans le contrat concerné ou dans tout autre document juridiquement contraignant, tel que l'accord de traitement des données du fournisseur.

5.6. Transfert transfrontalier de données à caractère personnel

Avant de transférer des données à caractère personnel hors de l'Espace économique européen (EEE), des garanties adéquates doivent être prises, notamment la signature d'un accord de transfert de données, comme l'exige l'Union européenne, et, le cas échéant, l'autorisation de l'autorité compétente en matière de protection des données doit être obtenue. L'entité qui reçoit les données à caractère personnel doit respecter les principes de traitement des données à caractère personnel énoncés dans la procédure de transfert transfrontalier de données.

5.7. Droits d'accès des personnes concernées

Lorsqu'il agit en tant que responsable du traitement, le DPD est tenu de fournir aux personnes concernées un mécanisme d'accès raisonnable leur permettant d'accéder à leurs données à caractère personnel, et doit leur permettre de mettre à jour, de rectifier, d'effacer ou de transmettre leurs données à caractère personnel, le cas échéant ou si la loi l'exige. Le mécanisme d'accès sera décrit plus en détail dans la procédure de demande d'accès de la personne concernée.

5.8. Portabilité des données

Les personnes concernées ont le droit de recevoir, sur demande, une copie des données qu'elles nous ont fournies dans un format structuré et de transmettre gratuitement ces données à un autre responsable du traitement. Le délégué à la protection des données est chargé de veiller à ce que ces demandes soient traitées dans un délai d'un mois, qu'elles ne soient pas excessives et qu'elles n'affectent pas les droits d'autres personnes en matière de données à caractère personnel.

5.9. Droit à l'oubli

Sur demande, les personnes concernées ont le droit d'obtenir de la société l'effacement de leurs données à caractère personnel. Lorsque l'entreprise agit en tant que responsable du traitement, le délégué à la protection des données et le responsable des technologies de l'information doivent prendre les mesures nécessaires (y compris des mesures techniques) pour répondre à la demande et pour informer les tiers qui utilisent ou traitent ces données de se conformer à la demande.

6. Lignes directrices sur le traitement équitable

Les données à caractère personnel ne doivent être traitées qu'avec l'autorisation explicite du délégué à la protection des données. L'entreprise doit décider si elle doit effectuer une analyse d'impact de la protection des données pour chaque activité de traitement des données conformément aux lignes directrices relatives à l'analyse d'impact de la protection des données.

6.1. Avis aux personnes concernées

Au moment de la collecte ou avant de collecter des données à caractère personnel pour tout type d'activité de traitement, y compris, mais sans s'y limiter, la vente de produits, de services ou d'activités de marketing, le délégué à la protection des données est chargé d'informer correctement les personnes concernées des éléments suivants : les types de données à caractère personnel collectées, les finalités du traitement, les méthodes de traitement, les droits des personnes concernées en ce qui concerne leurs données à caractère personnel, la période de conservation, les éventuels transferts internationaux de données, si les données seront partagées avec des tiers et les mesures de sécurité prises par l'entreprise pour protéger les données à caractère personnel. Ces informations sont fournies dans l'avis de confidentialité.

Si votre entreprise exerce plusieurs activités de traitement des données, vous devrez rédiger des avis différents en fonction de l'activité de traitement et des catégories de données à caractère personnel collectées ; par exemple, un avis peut être rédigé à des fins de publipostage et un autre à des fins d'expédition.

Lorsque des données à caractère personnel sont partagées avec un tiers, le DPD doit s'assurer que les personnes concernées en ont été informées au moyen d'un avis de confidentialité.

Lorsque des données à caractère personnel sont transférées vers un pays tiers conformément à la politique de transfert transfrontalier des données, l'avis de confidentialité doit en tenir compte et indiquer clairement vers quelle entité les données à caractère personnel sont transférées.

Lorsque des données à caractère personnel sensibles sont collectées, le délégué à la protection des données doit s'assurer que l'avis de confidentialité indique explicitement la finalité de la collecte de ces données à caractère personnel sensibles.

6.2. Obtention des consentements

Lorsque le traitement de données à caractère personnel est fondé sur le consentement de la personne concernée ou sur d'autres motifs légitimes, le délégué à la protection des données est chargé de conserver une trace de ce consentement. Le délégué à la protection des données est chargé de fournir aux personnes concernées des options pour donner leur consentement et doit les informer et veiller à ce que leur consentement (lorsque le consentement est utilisé comme motif légitime de traitement) puisse être retiré à tout moment.

Lorsque la collecte de données à caractère personnel concerne un enfant de moins de 16 ans, le délégué à la protection des données doit veiller à ce que le consentement parental soit donné avant la collecte au moyen du formulaire de consentement parental.

Lorsque des demandes de correction, de modification ou de destruction de données à caractère personnel sont enregistrées, le DPD doit veiller à ce que ces demandes soient traitées dans un délai raisonnable. Le DPD doit également enregistrer les demandes et en tenir un registre.

Les données à caractère personnel ne doivent être traitées qu'aux fins pour lesquelles elles ont été collectées à l'origine. Si l'entreprise souhaite traiter les données à caractère personnel collectées à d'autres fins, elle doit demander le consentement des personnes concernées par écrit, de manière claire et concise. Toute demande de ce type doit mentionner la finalité initiale pour laquelle les données ont été collectées, ainsi que la ou les nouvelles finalités. La demande doit également indiquer la raison du changement de finalité. Le délégué à la protection des données est responsable du respect des règles énoncées dans ce paragraphe.

Aujourd'hui et à l'avenir, le délégué à la protection des données doit veiller à ce que les méthodes de collecte soient conformes au droit applicable, aux bonnes pratiques et aux normes industrielles.

Le délégué à la protection des données est responsable de la création et de la tenue d'un registre des avis de confidentialité.

7. Organisation et responsabilités

La responsabilité de garantir un traitement approprié des données à caractère personnel incombe à toutes les personnes qui travaillent pour ou avec la société et qui ont accès aux données à caractère personnel traitées par la société.

Les principaux domaines de responsabilité en matière de traitement des données à caractère personnel relèvent des rôles organisationnels suivants :

L'équipe de direction prend desdécisions et approuve les stratégies générales de l'entreprise en matière de protection des données à caractère personnel.

Ledélégué à la protection des données (DPD) est responsable de la gestion du programme de protection des données personnelles et de l'élaboration et de la promotion de politiques de protection des données personnelles de bout en bout, telles que définies dans la description de poste du délégué à la protection des données ;

Leconseiller juridique, en collaboration avec le délégué à la protection des données, surveille et analyse les lois sur les données à caractère personnel et les modifications de la réglementation, élabore les exigences de conformité et aide les départements à atteindre leurs objectifs en matière de données à caractère personnel.

Leresponsable des technologies de l'information est chargé de

• S'assurer que tous les systèmes, services et équipements utilisés pour le stockage des données répondent à des normes de sécurité acceptables.

• Effectuer des vérifications et des analyses régulières pour s'assurer que le matériel et les logiciels de sécurité fonctionnent correctement.

Ledirecteur des ventes est chargé de

• Approuver toutes les déclarations de protection des données jointes aux communications telles que les courriels et les lettres.

• Répondre à toute question relative à la protection des données émanant de journalistes ou d'organes de presse tels que les journaux.

• Le cas échéant, collaborer avec le délégué à la protection des données pour veiller à ce que les initiatives de marketing respectent les principes de protection des données.

Leresponsable des ressources humaines estchargé de

• Améliorer la sensibilisation de tous les employés à la protection des données personnelles des utilisateurs.

• Organiser une expertise en matière de protection des données personnelles et une formation de sensibilisation pour les employés qui travaillent avec des données personnelles.

• Protection des données personnelles des employés de bout en bout. Il doit veiller à ce que les données personnelles des employés soient traitées en fonction des objectifs commerciaux légitimes de l'employeur et de la nécessité.

Ledirecteur des opérations estchargé de transmettre les responsabilités en matière de protection des données à caractère personnel aux fournisseurs et d'améliorer le niveau de sensibilisation des fournisseurs à la protection des données à caractère personnel, ainsi que de transmettre les exigences en matière de données à caractère personnel à tout tiers ou fournisseur auquel ils font appel. Le service des achats doit veiller à ce que l'entreprise se réserve le droit d'auditer les fournisseurs.

8. Lignes directrices pour la désignation de l'autorité de contrôle principale

8.1. Nécessité d'établir l'autorité de contrôle chef de file

L'identification d'une autorité de contrôle chef de file n'est pertinente que si l'entreprise effectue un traitement transfrontalier de données à caractère personnel.

Il y a traitement transfrontalier de données à caractère personnel si

a) le traitement des données à caractère personnel est effectué par des filiales de l'entreprise basées dans d'autres États membres ;

ou

b) le traitement de données à caractère personnel a lieu dans un seul établissement de l'entreprise dans l'Union européenne, mais affecte ou est susceptible d'affecter sensiblement des personnes concernées dans plus d'un État membre.

Si l'entreprise ne possède des établissements que dans un seul État membre et que ses activités de traitement n'affectent que les personnes concernées dans cet État membre, il n'est pas nécessaire d'établir une autorité de contrôle chef de file. La seule autorité compétente sera l'autorité de contrôle du pays où l'entreprise est légalement établie.

8.2. Établissement principal et autorité de contrôle chef de file

8.2.1. Établissement principal du responsable du traitement

L'équipe de direction doit identifier l'établissement principal afin de déterminer l'autorité de contrôle chef de file.

Si l'entreprise est basée dans un État membre de l'UE et qu'elle prend les décisions relatives aux activités de traitement transfrontalières sur le lieu de son administration centrale, il n'y aura qu'une seule autorité de contrôle chef de file pour les activités de traitement des données menées par l'entreprise.

Si l'entreprise possède plusieurs établissements qui agissent de manière indépendante et prennent des décisions sur les finalités et les moyens du traitement des données à caractère personnel, l'équipe de direction doit reconnaître qu'il existe plus d'une autorité de contrôle chef de file.

8.2.2. Établissement principal du responsable du traitement des données

Lorsque l'entreprise agit en tant que responsable du traitement des données, l'établissement principal est le lieu de l'administration centrale. Si le lieu de l'administration centrale n'est pas situé dans l'UE, l'établissement principal sera l'établissement de l'UE où les principales activités de traitement ont lieu.

8.2.3. Établissement principal des entreprises non européennes pour les responsables du traitement des données et les sous-traitants

Si l'entreprise n'a pas d'établissement principal dans l'UE et qu'elle a des filiales dans l'UE, l'autorité de contrôle compétente est l'autorité de contrôle locale.

Si l'entreprise n'a pas d'établissement principal dans l'UE ni de filiales dans l'UE, elle doit désigner un représentant dans l'UE, et l'autorité de contrôle compétente sera l'autorité de contrôle locale où se trouve le représentant.

9. Réponse aux incidents de violation de données à caractère personnel

Lorsque l'entreprise a connaissance d'une violation présumée ou avérée de données à caractère personnel, le DPD et le responsable des technologies de l'information doivent mener une enquête interne et prendre les mesures correctives appropriées en temps utile, conformément à la politique en matière de violation de données. En cas de risque pour les droits et libertés des personnes concernées, l'entreprise doit informer les autorités compétentes en matière de protection des données dans les meilleurs délais et, si possible, dans les 72 heures.

10. Audit et responsabilité

Le département des technologies de l'information et des opérations est chargé de vérifier la mise en œuvre de la présente politique par les services de l'entreprise.

Tout employé qui enfreint la présente politique fera l'objet d'une action disciplinaire et l'employé peut également être soumis à des responsabilités civiles ou pénales si sa conduite enfreint les lois ou les règlements.

11. Conflits de lois

La présente politique vise à se conformer aux lois et réglementations du lieu d'établissement et des pays dans lesquels la société exerce ses activités. En cas de conflit entre la présente politique et les lois et règlements applicables, ces derniers prévaudront.

12. Gestion des dossiers conservés sur la base du présent document

13. Validité et gestion des documents

Ce document est valable à partir du 02 juillet 2018.

Version 1.3