La présente politique décrit le cadre organisationnel adopté par FEMBACO pour gérer la protection des données personnelles conformément aux principes du Règlement général sur la protection des données (RGPD – UE 2016/679).
Contrairement à la politique de confidentialité et à la politique relative aux cookies, ce document porte principalement sur les mesures de conformité, la répartition des responsabilités, la prévention des risques et les procédures organisationnelles liées à la protection des données personnelles.
1. Responsabilité en matière de protection des données
La protection des données personnelles fait partie intégrante de la gestion des activités réalisées sur notre site.
Les modalités de traitement des données sont évaluées en tenant compte de plusieurs éléments :
-
La nature des activités concernées ;
-
Les technologies utilisées ;
-
Les risques susceptibles d'affecter les droits et libertés des personnes concernées.
Lorsque les activités, les outils utilisés ou les circonstances susceptibles d'avoir une incidence sur la sécurité et la conformité évoluent, les procédures de protection des données sont réexaminées en conséquence.
2. Protection des données dès la conception
Lorsqu'une nouvelle fonctionnalité, un nouvel outil ou un nouveau processus susceptible d'impliquer le traitement de données personnelles est mis en place, les exigences relatives à la protection des données sont prises en compte dès sa conception.
Lorsque cela est approprié, la configuration des systèmes repose notamment sur les principes suivants :
-
Limiter l'accès aux données personnelles aux seules personnes qui en ont réellement besoin ;
-
Restreindre l'utilisation des données à ce qui est nécessaire pour réaliser les opérations concernées.
Les paramètres définis par défaut sont également examinés afin de limiter autant que possible les traitements de données qui ne sont pas indispensables.
3. Évaluation et gestion des risques
Les activités impliquant le traitement de données personnelles font l'objet d'une évaluation tenant compte des risques qu'elles peuvent présenter pour les droits et libertés des personnes concernées.
Cette évaluation peut notamment prendre en considération :
-
La nature des opérations de traitement ;
-
Le volume de données concernées ;
-
Les catégories de données traitées ;
-
Les technologies utilisées ;
-
Les modalités d'accès aux informations ;
-
Les conséquences potentielles d'une utilisation non autorisée des données.
Lorsqu'un traitement est susceptible d'engendrer un risque élevé pour les droits et libertés des personnes, la nécessité de réaliser une analyse d'impact relative à la protection des données (AIPD ou DPIA – Data Protection Impact Assessment) est examinée conformément aux exigences du RGPD.
4. Analyse d'impact relative à la protection des données
Lorsque les conditions prévues par le RGPD sont réunies, une analyse d'impact peut être réalisée avant le commencement du traitement concerné.
Cette analyse vise notamment à :
-
Identifier les risques liés au traitement des données personnelles ;
-
Évaluer la probabilité de survenance des risques et la gravité de leurs conséquences potentielles ;
-
Déterminer les mesures nécessaires pour réduire les risques identifiés ;
-
Vérifier si le traitement peut être réalisé dans des conditions appropriées de protection des données.
Si l'analyse révèle des risques résiduels qui ne peuvent pas être suffisamment réduits par des mesures adaptées, les démarches complémentaires prévues par la réglementation applicable sont examinées.
5. Gestion des prestataires traitant des données personnelles
Lorsque FEMBACO fait appel à des prestataires externes chargés de traiter des données personnelles pour son compte, les garanties requises par la législation applicable sont prises en considération lors de leur sélection.
Les missions confiées sont définies en fonction des besoins réels de l'activité et des responsabilités attribuées à chaque intervenant.
Lorsque le RGPD l'exige, les relations entre FEMBACO et les prestataires agissant en qualité de sous-traitants sont encadrées par un contrat ou tout autre document juridiquement valable répondant aux exigences applicables.
Les prestataires autorisés doivent notamment :
-
Traiter les données personnelles uniquement dans le cadre des missions qui leur sont confiées ;
-
Respecter les instructions applicables à leur intervention.
6. Gestion des autorisations et des accès
L'accès aux données personnelles est limité en fonction des besoins opérationnels réels.
Les autorisations sont attribuées selon les responsabilités de chaque intervenant. Elles peuvent être modifiées ou retirées lorsque l'accès aux informations n'est plus nécessaire.
Cette organisation vise à réduire les risques de consultation, d'utilisation ou de modification des données personnelles par des personnes non autorisées.
7. Gestion des violations de données personnelles
Lorsqu'un événement est susceptible de compromettre la sécurité des données personnelles, sa nature, son étendue et ses conséquences potentielles sont examinées.
En cas de violation de données personnelles, les mesures nécessaires sont prises afin de maîtriser l'incident et de limiter autant que possible ses effets.
Lorsque la réglementation impose une notification à l'autorité de contrôle ou une communication aux personnes concernées, les obligations correspondantes sont respectées dans les conditions et délais prévus par le RGPD.
8. Documentation et registre des traitements
En fonction de la nature et de l'ampleur des activités, la gestion de la conformité comprend, lorsque la réglementation l'exige, la conservation des documents et des enregistrements nécessaires pour démontrer la mise en œuvre des mesures prévues par le RGPD.
Les documents concernés peuvent notamment porter sur :
-
Les activités de traitement des données personnelles ;
-
Les mesures techniques et organisationnelles mises en place ;
-
Les évaluations des risques ;
-
Les autorisations d'accès aux données ;
-
Les actions et décisions relatives à la protection des données personnelles.
Cette documentation contribue au suivi des mesures de conformité et à la vérification de leur mise en œuvre.
9. Sensibilisation et formation
Les personnes autorisées à accéder aux données personnelles doivent connaître les responsabilités liées à leur utilisation.
Selon les fonctions exercées, les actions de sensibilisation et de formation peuvent notamment porter sur :
-
Les obligations de confidentialité ;
-
Les règles d'accès et d'utilisation des données ;
-
La gestion des demandes formulées par les personnes concernées ;
-
Les mesures à prendre lorsqu'un incident de sécurité survient ou est suspecté.
L'autorisation d'accéder à des données personnelles ne permet pas de les utiliser à des fins autres que celles prévues dans le cadre des responsabilités attribuées.
10. Désignation d'un délégué à la protection des données
Lorsque les conditions légales prévues par le RGPD sont réunies, un délégué à la protection des données (DPO – Data Protection Officer) est désigné.
La nécessité de cette désignation est évaluée en fonction des caractéristiques des traitements réalisés, notamment :
-
Leur nature ;
-
Leur portée ;
-
Leurs finalités ;
-
Leur ampleur.
La présente politique ne constitue pas une déclaration indiquant qu'un DPO a déjà été désigné.
11. Coopération avec les autorités de contrôle
Lorsque la législation applicable l'exige, FEMBACO coopère avec les autorités de contrôle compétentes pour les questions relatives à la protection des données personnelles.
Pour les activités soumises à la réglementation française en matière de protection des données, l'autorité nationale compétente est la Commission nationale de l'informatique et des libertés (CNIL).
Cette coopération peut notamment comprendre :
-
Le traitement des demandes formulées par l'autorité de contrôle ;
-
La participation aux contrôles et aux vérifications ;
-
Le suivi des communications et démarches prévues par la législation applicable.
12. Vérification et amélioration de la conformité
Les procédures relatives à la protection des données personnelles sont réexaminées lorsque des changements importants interviennent dans les activités, les systèmes utilisés, les risques identifiés ou la réglementation applicable.
Les vérifications peuvent notamment porter sur :
-
L'efficacité des mesures de protection mises en place ;
-
Les autorisations d'accès aux données ;
-
Les procédures organisationnelles ;
-
Les risques existants ou nouvellement identifiés.
Lorsque cela est nécessaire, les mesures concernées sont adaptées afin de maintenir un niveau de protection cohérent avec les activités réellement exercées.
13. Mise à jour de la politique RGPD
La présente politique peut être actualisée en fonction de l'évolution :
-
Des dispositions légales et réglementaires ;
-
Des technologies utilisées ;
-
Des procédures organisationnelles ;
-
Des modalités de gestion des traitements de données personnelles.
Les modifications nécessaires au maintien d'un cadre de protection des données cohérent et adapté sont examinées et intégrées à la politique.
14. Nous contacter
Pour toute question concernant cette politique RGPD ou les mesures organisationnelles mises en œuvre en matière de protection des données personnelles, vous pouvez contacter FEMBACO aux coordonnées suivantes :
Nom de la boutique : FEMBACO
Adresse : 9710 Lanier Dr, Saint Louis, MO 63136
Téléphone : +1 (314) 692-5718
E-mail : ask@fembaco.com
Zone de service : France