Politique de confidentialité

Préambule

La protection de vos données à caractère personnel n'est pas, pour CORPEDYS, une simple case à cocher réglementaire : c'est une condition de la confiance que nous demandons à nos clients et à nos interlocuteurs dans le cadre de nos missions de conseil en conformité. Il nous a donc paru naturel d'appliquer à nous-mêmes les exigences de transparence que nous recommandons à nos clients.

Cette politique vous explique, de façon aussi directe que possible, ce que nous faisons de vos données lorsque vous visitez notre site, nous contactez ou devenez client. Elle est rédigée sous forme de questions-réponses pour que vous puissiez aller droit à l'information qui vous concerne, sans avoir à lire l'ensemble du document.

Elle est établie conformément aux articles 12, 13 et 14 du Règlement (UE) 2016/679 du 27 avril 2016 (« RGPD ») et à la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés (« Loi Informatique et Libertés »).

À qui s'applique cette politique ?

Elle concerne toute personne physique dont CORPEDYS traite les données, et en particulier :

• les visiteurs et utilisateurs du site www.corpedys.com ;
• les personnes qui remplissent un formulaire de contact, de demande de diagnostic stratégique ou d'inscription à la newsletter ;
• les clients, prospects et partenaires, ainsi que leurs collaborateurs ;
• les candidats à un poste ou à une mission au sein de CORPEDYS.

Elle ne s'applique pas aux sites tiers accessibles depuis notre site par un lien hypertexte : ceux-ci disposent de leur propre politique, qu'il vous appartient de consulter.

Quelques définitions utiles

I. Qui traite vos données ?

§ 1. Qui est responsable du traitement de mes données ?

Le responsable du traitement est la société CORPEDYS, dont voici les coordonnées :

CORPEDYS détermine seule les finalités et les moyens des traitements décrits dans la présente politique et agit à ce titre en qualité de responsable du traitement au sens de l'article 4, point 7), du RGPD.

Il existe cependant un cas où ce rôle s'inverse : lorsque CORPEDYS intervient pour le compte d'un client dans le cadre d'une mission de conseil, elle peut être amenée à traiter des données pour le compte de ce client et sur ses instructions. Elle agit alors en qualité de sous-traitant, et ce sont le contrat de prestation conclu avec ce client et la politique de confidentialité de ce dernier qui s'appliquent, et non la présente politique.

§ 2. CORPEDYS a-t-elle désigné un délégué à la protection des données (DPO) ?

Compte tenu de la nature et du volume des traitements qu'elle met en œuvre, CORPEDYS n'entre pas dans le champ des organismes tenus de désigner un délégué à la protection des données au titre de l'article 37 du RGPD. Nous avons néanmoins choisi de mettre en place un point de contact dédié, joignable :

• par courrier électronique : protectiondesdonnees@corpedys.com ;
• par courrier postal : CORPEDYS, Service Protection des données, 60 rue de la Jonquière, 75017 Paris.

II. Quelles données sont collectées et pourquoi ?

§ 3. Quelles données à caractère personnel CORPEDYS collecte-t-elle ?

Nous appliquons le principe de minimisation posé par l'article 5, paragraphe 1, point c), du RGPD : seules les données utiles aux finalités poursuivies sont collectées.

CORPEDYS ne collecte aucune donnée sensible au sens de l'article 9 du RGPD : origine raciale ou ethnique, opinions politiques, convictions religieuses ou philosophiques, appartenance syndicale, données génétiques, biométriques, de santé, ou relatives à la vie ou à l'orientation sexuelle. Nous vous invitons à ne pas transmettre ce type d'information dans les champs de texte libre de nos formulaires.

§ 4. Comment mes données sont-elles collectées ?

Elles le sont directement auprès de vous : lorsque vous remplissez le formulaire de demande de diagnostic stratégique, le formulaire de contact ou d'inscription à la newsletter, lorsque vous échangez avec nous par e-mail ou par téléphone, ou lorsque vous concluez un contrat avec CORPEDYS. Une partie de vos données de navigation est en outre collectée automatiquement au moyen de cookies et traceurs, dans les conditions décrites aux questions 12 et 13.

§ 5. Suis-je obligé de fournir mes données ? Que se passe-t-il si je refuse ?

Dans nos formulaires, les champs marqués d'un astérisque sont nécessaires au traitement de votre demande : sans eux, nous ne pouvons ni vous répondre ni vous inscrire à la newsletter. Les autres champs sont facultatifs et nous permettent simplement d'affiner notre réponse.

Dans le cadre d'une relation contractuelle, certaines données ont un caractère obligatoire de par la loi ou le contrat, notamment pour la facturation et le respect de nos obligations comptables ; leur absence peut faire obstacle à la conclusion ou à l'exécution du contrat. S'agissant des cookies non essentiels, votre refus n'a en revanche aucune incidence sur l'accès au site : seules certaines fonctionnalités de confort ou de mesure d'audience sont alors désactivées.

§ 6. Pour quelles finalités mes données sont-elles traitées ?

Conformément à l'article 5, paragraphe 1, point b), du RGPD, vos données sont collectées pour des finalités déterminées et légitimes, et ne sont pas réutilisées d'une manière incompatible avec elles. CORPEDYS poursuit six finalités :

a) Répondre aux demandes de diagnostic stratégique et de contact : identifier votre demande, y apporter une réponse personnalisée, en assurer le suivi et, le cas échéant, vous adresser une proposition commerciale.

b) Gérer et suivre la relation commerciale : établissement des devis, conclusion et exécution des contrats, facturation et suivi des règlements, gestion de la relation client et de la comptabilité, gestion des précontentieux et contentieux éventuels.

c) Adresser la newsletter et des communications d'information : avec votre consentement préalable, vous transmettre nos actualités, publications et informations sur nos services. Vous pouvez retirer ce consentement à tout moment, sans justification ni frais, via le lien de désabonnement présent dans chaque message.

d) Mesurer l'audience et améliorer le site : analyser l'utilisation du site, en mesurer la fréquentation, identifier les dysfonctionnements et améliorer en continu la qualité et l'ergonomie des services proposés.

e) Assurer la sécurité du site et des systèmes d'information : traitement de certaines données techniques (journaux de connexion, adresses IP) afin de prévenir et détecter les tentatives d'intrusion, les fraudes et les usages abusifs.

f) Respecter nos obligations légales et réglementaires : obligations comptables, fiscales, de conservation des pièces justificatives, et de réponse aux réquisitions des autorités habilitées.

§ 7. Sur quelle base légale reposent ces traitements ?

Chaque traitement repose sur une base légale distincte, identifiée conformément à l'article 6, paragraphe 1, du RGPD. Le point a) mérite une précision : un simple message de contact et une demande de diagnostic structurée ne reposent pas exactement sur le même fondement, même s'ils relèvent de la même finalité générale.

Lorsqu'un traitement repose sur notre intérêt légitime, une mise en balance a été effectuée entre cet intérêt et vos droits et libertés fondamentaux. Vous disposez, dans les conditions décrites à la question 16, d'un droit d'opposition à ces traitements.

III. Combien de temps et par qui vos données sont-elles conservées ?

§ 8. Pendant combien de temps mes données sont-elles conservées ?

Conformément à l'article 5, paragraphe 1, point e), du RGPD, vos données ne sont conservées que le temps nécessaire à la réalisation des finalités décrites plus haut, sous réserve des durées légales de conservation et des délais de prescription applicables.

Passé ces délais, vos données sont supprimées de façon sécurisée ou anonymisées de manière irréversible, sauf lorsqu'une disposition légale impose leur conservation, ou lorsqu'elles restent nécessaires à la constatation, à l'exercice ou à la défense d'un droit en justice.

§ 9. Qui a accès à mes données ?

Vos données sont communiquées, dans la limite de leurs attributions et selon le principe du besoin d'en connaître, aux destinataires suivants.

a) Les personnels habilités de CORPEDYS : les collaborateurs des services concernés (direction, conseil, commercial, administratif) accèdent aux seules données nécessaires à l'exercice de leurs missions et sont soumis à une obligation de confidentialité.

b) Les sous-traitants agissant pour notre compte : chacun est lié par un contrat conforme à l'article 28 du RGPD imposant des garanties de sécurité et de confidentialité.

La liste nominative et actualisée de ces sous-traitants peut vous être communiquée sur simple demande à protectiondesdonnees@corpedys.com.

c) Les tiers autorisés : vos données peuvent être communiquées aux organismes publics, auxiliaires de justice ou officiers ministériels habilités, exclusivement pour satisfaire à nos obligations légales ou dans le cadre d'une procédure judiciaire. CORPEDYS ne vend, ne loue et n'échange en aucun cas vos données à des fins commerciales ou publicitaires.

§ 10. Mes données sont-elles transférées en dehors de l'Union européenne ?

Nous privilégions des prestataires hébergeant les données au sein de l'Union européenne. Certains outils que nous utilisons (messagerie, mesure d'audience, routage d'e-mails) peuvent néanmoins impliquer un transfert vers un pays situé hors de l'Espace économique européen. Lorsque c'est le cas, ce transfert est systématiquement encadré par l'un des mécanismes prévus au chapitre V du RGPD :

• une décision d'adéquation de la Commission européenne reconnaissant un niveau de protection adéquat du pays destinataire (art. 45 du RGPD) ;
• à défaut, les clauses contractuelles types adoptées par la Commission européenne le 4 juin 2021 (art. 46.2.c du RGPD), complétées si nécessaire par des mesures techniques et organisationnelles supplémentaires ;
• ou des règles d'entreprise contraignantes (BCR) approuvées par une autorité de contrôle (art. 47 du RGPD).

Vous pouvez obtenir une copie de ces garanties, ou une information sur le lieu où elles sont tenues à disposition, en écrivant à protectiondesdonnees@corpedys.com. Le site étant par ailleurs accessible depuis l'ensemble du réseau internet, les contenus que vous y publiez peuvent être consultés depuis un pays hors Union européenne ; ce seul fait ne saurait engager la responsabilité de CORPEDYS au titre d'un transfert.

§ 11. Où mes données sont-elles hébergées ?

Le site et les données collectées par son intermédiaire sont hébergés par IONOS, sur des serveurs situés dans l'Union européenne.

IONOS agit en qualité de sous-traitant de CORPEDYS au sens de l'article 28 du RGPD ; un contrat de sous-traitance encadre ses obligations de sécurité, de confidentialité et de localisation des données.

IV. Cookies et traceurs

§ 12. Qu'est-ce qu'un cookie et le site en utilise-t-il ?

Un cookie est un petit fichier texte déposé sur votre terminal lors de la consultation d'un site internet. Il permet notamment de reconnaître votre navigateur, de mémoriser vos préférences ou d'établir des statistiques de fréquentation. Le site www.corpedys.com utilise les catégories de traceurs suivantes :

§ 13. Comment puis-je accepter, refuser ou modifier mes choix en matière de cookies ?

À votre première visite, un bandeau vous permet d'accepter ou de refuser le dépôt des traceurs non strictement nécessaires. Les options « Accepter » et « Refuser » sont présentées au même niveau de lecture et en un nombre de clics identique, conformément aux lignes directrices de la CNIL. Aucun traceur non essentiel n'est déposé avant le recueil de votre consentement, et l'absence de choix, la poursuite de la navigation ou le simple défilement de la page ne valent pas consentement.

Vous pouvez revenir sur votre choix à tout moment, aussi simplement que vous l'avez donné : en écrivant à protectiondesdonnees@corpedys.com, ou en supprimant les cookies déjà déposés depuis les paramètres de votre navigateur, ce qui provoquera le réaffichage du bandeau lors de votre prochaine visite. Vous pouvez également configurer votre navigateur pour bloquer par avance le dépôt de cookies, sachant que ce paramétrage peut altérer le fonctionnement du site.

§ 14. Mes données font-elles l'objet d'un profilage ou d'une décision automatisée ?

Non. CORPEDYS ne met en œuvre aucune décision fondée exclusivement sur un traitement automatisé, y compris de profilage, produisant des effets juridiques à votre égard ou vous affectant de façon significative, au sens de l'article 22 du RGPD. Les analyses statistiques réalisées à partir des données de navigation sont agrégées et ne débouchent sur aucune décision individuelle automatisée.

V. Vos droits

§ 15. Quels sont mes droits sur mes données ?

Conformément aux articles 15 à 22 du RGPD et à la Loi Informatique et Libertés, et sous réserve des obligations légales qui s'imposent à CORPEDYS, vous disposez des droits suivants :

§ 16. Comment exercer mes droits ?

Vous pouvez exercer vos droits par courrier électronique à protectiondesdonnees@corpedys.com, ou par courrier postal à CORPEDYS, Service Protection des données, 60 rue de la Jonquière, 75017 Paris. Pour un traitement rapide de votre demande, précisez le droit que vous souhaitez exercer et tout élément permettant d'identifier le traitement concerné.

Vérification de votre identité : en cas de doute raisonnable, nous pourrons vous demander de justifier de votre identité. La copie d'un titre d'identité ne sera sollicitée qu'en dernier recours et ne sera conservée que le temps nécessaire à la vérification, avant suppression.

Délai de réponse : nous répondons dans un délai d'un mois à compter de la réception de votre demande. Ce délai peut être prolongé de deux mois compte tenu de la complexité ou du nombre de demandes reçues ; vous en seriez alors informé, avec les motifs de la prolongation, dans le délai initial d'un mois.

Gratuité : l'exercice de vos droits est gratuit. En cas de demandes manifestement infondées ou excessives, notamment par leur caractère répétitif, nous pourrons toutefois exiger des frais raisonnables ou refuser d'y donner suite, en motivant notre décision.

§ 17. Que faire si je ne suis pas satisfait de la réponse apportée ?

Si vous estimez, après nous avoir contactés, que vos droits ne sont pas respectés, vous pouvez introduire une réclamation auprès de la Commission Nationale de l'Informatique et des Libertés (CNIL), autorité de contrôle compétente en France :

Vous conservez par ailleurs le droit d'exercer un recours juridictionnel effectif, conformément à l'article 79 du RGPD.

§ 18. Comment m'opposer à la prospection commerciale ?

Vous pouvez vous opposer à tout moment et sans motif à l'utilisation de vos données à des fins de prospection commerciale, en cliquant sur le lien de désabonnement figurant au bas de chaque communication électronique, ou en écrivant à protectiondesdonnees@corpedys.com. S'agissant de la prospection téléphonique, vous pouvez également vous inscrire gratuitement sur la liste d'opposition Bloctel (www.bloctel.gouv.fr), conformément à l'article L. 223-1 du Code de la consommation.

VI. Sécurité et engagements complémentaires

§ 19. Comment mes données sont-elles protégées ?

Conformément à l'article 32 du RGPD, nous mettons en œuvre les mesures techniques et organisationnelles appropriées au niveau de risque, notamment :

• le chiffrement des échanges entre votre navigateur et le site (protocole HTTPS / TLS) ;
• une gestion des habilitations fondée sur le principe du besoin d'en connaître, associée à une politique de mots de passe robustes ;
• la journalisation des accès et la surveillance des événements de sécurité ;
• des sauvegardes régulières, avec vérification périodique de leur bonne restauration ;
• la mise à jour régulière des logiciels et composants du site ;
• la sensibilisation de nos collaborateurs à la protection des données et à la sécurité informatique ;
• la contractualisation, avec chaque sous-traitant, d'engagements de sécurité et de confidentialité conformes à l'article 28 du RGPD.

Aucune transmission sur internet ni aucun système de stockage ne peut être garanti totalement inviolable. Nous nous engageons à mettre en œuvre tous les moyens raisonnables pour protéger vos données et à réagir sans délai en cas d'incident.

§ 20. Que se passe-t-il en cas de violation de mes données ?

En cas de violation de données susceptible d'engendrer un risque pour vos droits et libertés, nous la notifions à la CNIL dans les meilleurs délais et, si possible, dans les 72 heures suivant sa découverte, conformément à l'article 33 du RGPD. Lorsque cette violation est susceptible d'engendrer un risque élevé, nous vous en informons individuellement dans les meilleurs délais, en précisant sa nature, ses conséquences probables, les mesures prises et les recommandations vous permettant d'en limiter les effets (art. 34 du RGPD). Toute violation est par ailleurs consignée dans un registre interne.

§ 21. Le site est-il accessible aux mineurs ?

Nos services s'adressent à des professionnels et ne sont pas destinés aux mineurs. Nous ne collectons pas sciemment de données concernant des personnes de moins de 15 ans. Si vous êtes titulaire de l'autorité parentale et constatez que des données concernant votre enfant nous ont été transmises, merci de nous en informer à protectiondesdonnees@corpedys.com afin que nous procédions à leur suppression.

§ 22. Le site contient-il des liens vers d'autres sites ?

Le site peut contenir des liens vers des sites tiers ou des profils de réseaux sociaux. Nous n'exerçons aucun contrôle sur ces sites et déclinons toute responsabilité quant aux traitements de données qu'ils mettent en œuvre. Nous vous recommandons de consulter leurs politiques de confidentialité respectives.

§ 23. Cette politique peut-elle être modifiée ?

Nous nous réservons la faculté de modifier la présente politique à tout moment, notamment pour tenir compte de l'évolution de la réglementation, de la jurisprudence, de la doctrine de la CNIL ou de nos propres traitements. La version applicable est celle publiée sur le site à la date de votre consultation, la date de dernière mise à jour figurant en tête du présent document. En cas de modification substantielle affectant vos droits, nous vous en informerons par tout moyen approprié (affichage sur le site ou courrier électronique) préalablement à son entrée en vigueur. Nous vous invitons à consulter cette page régulièrement.

§ 24. Qui contacter pour toute question ?