Protection des données

Avant-propos

Notre politique de protection des données d'entreprise établit des exigences strictes pour le traitement des données personnelles concernant les clients, prospects, partenaires commerciaux et employés. Elle répond aux exigences de la Directive européenne sur la protection des données (RGPD) et garantit le respect des principes des lois nationales et internationales sur la protection des données.

La politique établit les normes applicables en matière de protection des données et de sécurité pour notre entreprise et régule le partage d'informations entre les sociétés de notre Groupe. Nous avons défini sept principes de protection des données – parmi lesquels la transparence, l'économie des données et la sécurité des données – comme ligne directrice.

Nos managers et employés sont tenus de respecter la politique et d’observer leurs lois locales sur la protection des données.

En tant que responsable de la protection des données d’entreprise, il est de mon devoir de veiller à ce que les règles et principes de protection des données chez Dents soient respectés. sont respectées.

Robert Yentob

Président

23/5/18

Contenu

I. Objectif de la politique de protection des données

II. Champ d’application de la politique de protection des données

III. Application des lois nationales

IV. Principes pour le traitement des données personnelles

1. Loyauté et licéité

2. Restriction à un objectif spécifique

3. Transparence

4. Réduction des données et économie des données

5. Suppression

6. Exactitude factuelle ; données à jour

7. Confidentialité et sécurité des données

V. Fiabilité du traitement des données

1. Données des clients et partenaires

1.1 Traitement des données pour une relation contractuelle

1.2 Traitement des données à des fins publicitaires

1.3 Consentement au traitement des données

1.4 Traitement des données fondé sur une autorisation légale

1.5 Traitement des données fondé sur un intérêt légitime

1.6 Traitement des données hautement sensibles

1.7 Décisions individuelles automatisées

1.8 Données utilisateur et internet

2. Données des employés

2.1 Traitement des données pour la relation d'emploi

2.2 Traitement des données fondé sur une autorisation légale

2.3 Consentement au traitement des données

2.4 Traitement des données fondé sur l’intérêt légitime

2.5 Traitement de données hautement sensibles

2.6 Décisions automatisées

2.7 Télécommunications et internet

VI. Transmission des données personnelles

VII. Traitement des données contractuel

VIII. Droits de la personne concernée

IX. Confidentialité du traitement

X. Traitement de la sécurité

XI. Contrôle de la protection des données

XII. Incidents de protection des données

XIII. Responsabilités et sanctions

1. I. Objectif de la Politique de Protection des Données

Dans le cadre de sa responsabilité sociale, le Groupe Dewhurst Dent (le Groupe) s'engage à respecter les lois sur la protection des données. Cette Politique de Protection des Données s'applique dans le monde entier au Groupe et est basée sur des principes fondamentaux de protection des données acceptés mondialement. Assurer la protection des données est la base de relations commerciales fiables et de la réputation de toutes les entreprises du Groupe en tant qu'employeur attractif.

La Politique de Protection des Données fournit l'une des conditions-cadres nécessaires pour la transmission transfrontalière

transmission de données entre les sociétés du Groupe. Elle garantit un niveau adéquat de protection des données

prescrits par le RGPD et les lois nationales pour la transmission transfrontalière de données, y compris dans les pays qui ne disposent pas encore de lois adéquates sur la protection des données.

1. II. Portée de la Politique de Protection des Données

Cette Politique de Protection des Données s'applique à toutes les entreprises et divisions du Groupe, c’est-à-dire Dents, Gaby, Dents Australia Pty, Corgi Hosiery Ltd, D.Charles Astle (Auctioneers) et Hersil Fabrics.

La Politique de Protection des Données s'étend à tout traitement de données personnelles

1. III. Application des lois nationales

Cette Politique de Protection des Données comprend les principes de confidentialité des données acceptés internationalement

sans remplacer les lois nationales existantes. Elle complète les lois nationales sur la confidentialité des données. La

la loi nationale pertinente prévaudra en cas de conflit avec cette Protection des Données

Politique, ou qu'elle comporte des exigences plus strictes que cette Politique. Le contenu de cette Politique de Protection des Données

doivent également être respectées en l'absence de législation nationale correspondante. Le rapport

les exigences relatives au traitement des données en vertu des lois nationales doivent être respectées.

Chaque société du Groupe est responsable du respect de cette Politique de Protection des Données et des obligations légales. Tous les employés doivent lire, comprendre et se conformer à cette politique ainsi qu’à toute politique connexe lors du traitement des données personnelles, et toute violation peut entraîner des mesures disciplinaires.

1. IV. Principes pour le traitement des données personnelles

1. Loyauté et licéité

Lors du traitement des données personnelles, les droits individuels des personnes concernées doivent être protégés.

Les données personnelles doivent être collectées et traitées de manière licite et loyale. La législation sur la protection des données autorise le traitement pour des finalités spécifiques, qui sont énoncées dans cette politique. Les personnes concernées seront informées des finalités du traitement de leurs données personnelles, détails qui peuvent être consultés dans l’Avis de Confidentialité des employés de l’entreprise.

2. Restriction à une finalité spécifique, explicite et légitime

Les données personnelles ne peuvent être traitées que pour des finalités spécifiées, explicites et légitimes et ne seront pas traitées d'une manière incompatible avec ces finalités. Les modifications ultérieures de la finalité ne sont possibles que dans une mesure limitée et nécessitent une justification.

3. Transparence

La personne concernée doit être informée de la manière dont ses données sont traitées. [Les employés recevront un Avis de Confidentialité les informant de la manière dont leurs données sont traitées.] L'information sera concise, transparente, facilement accessible et rédigée en langage clair et simple.

En général, les données personnelles seront collectées directement auprès de la personne concernée. Lors de la collecte des données, la personne concernée doit être consciente ou informée de :

» L'identité du Responsable du traitement

» La finalité du traitement des données

» Tiers ou catégories de tiers auxquels les données pourraient être transmises

Les données personnelles peuvent également être collectées indirectement (par exemple, auprès d'un tiers ou de sources accessibles au public). La personne concernée sera informée des informations ci-dessus dès que possible après la collecte/réception des données.

4. Réduction des données et économie des données

Les données personnelles doivent être adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités pour lesquelles elles sont traitées. Avant de traiter des données personnelles, vous devez déterminer si le traitement des données personnelles est nécessaire et dans quelle mesure afin d'atteindre la finalité poursuivie.

Lorsque le but le permet et que la dépense engagée est proportionnée à l'objectif poursuivi, des données anonymisées ou statistiques doivent être utilisées. Les données personnelles ne peuvent pas être collectées à l'avance et stockées pour des finalités potentielles futures, sauf si cela est requis ou autorisé par la législation nationale.

5. Suppression

Lorsque les données personnelles ne sont plus nécessaires, elles seront supprimées conformément aux directives et politiques de conservation des données de la Société. Les personnes concernées seront informées de la durée de conservation des données et de la manière dont cette durée est déterminée dans les Politiques de confidentialité.

Les tiers doivent être tenus de supprimer les données qui ne sont plus nécessaires, le cas échéant.

6. Exactitude factuelle ; données à jour

Les données personnelles enregistrées doivent être exactes et, si nécessaire, tenues à jour. Des mesures appropriées doivent être prises pour s'assurer que les données inexactes ou incomplètes soient supprimées, corrigées, complétées ou mises à jour.

7. Confidentialité et sécurité des données

Les données personnelles sont soumises à la confidentialité. Elles doivent être traitées de manière confidentielle au niveau personnel et sécurisées par des mesures organisationnelles et techniques appropriées pour prévenir tout accès non autorisé, traitement ou distribution illégale, ainsi que toute perte, dommage, modification ou destruction accidentelle. Nous avons mis en place des garanties adaptées à notre taille, portée, ressources et risques identifiés qui seront régulièrement évaluées et testées. Nous avons mis en place des procédures pour gérer toute violation suspectée de données personnelles et informerons les personnes concernées ou tout régulateur applicable lorsque la loi nous y oblige.

Les données personnelles ne seront transférées qu'à des prestataires de services tiers qui acceptent de se conformer à nos politiques et procédures requises et qui acceptent de mettre en place des mesures adéquates pour maintenir la sécurité des données. Les données personnelles ne seront pas transférées dans un autre pays sans garanties appropriées.

1. V. Fiabilité du traitement des données

La collecte, le traitement et l'utilisation des données personnelles ne sont autorisés que sur la base des bases légales suivantes.

Une de ces bases légales est également requise si l'objectif de la collecte, du traitement et de l'utilisation des données personnelles doit être modifié par rapport à l'objectif initial

1. Données clients et partenaires

1.1 Traitement des données pour une relation contractuelle

Les données personnelles des prospects, clients et partenaires concernés peuvent être traitées afin d'établir, d'exécuter et de résilier un contrat. Cela inclut également les services de conseil pour le partenaire dans le cadre du contrat si cela est lié à l'objet contractuel. Avant un contrat – pendant la phase d'initiation du contrat – les données personnelles peuvent être traitées pour préparer des offres ou des commandes d'achat ou pour satisfaire d'autres demandes du prospect liées à la conclusion du contrat. Les prospects peuvent être contactés pendant le processus de préparation du contrat en utilisant les informations qu'ils ont fournies. Toute restriction demandée par les prospects doit être respectée.

1.2 Traitement des données à des fins publicitaires

Si la personne concernée contacte une société du Groupe pour demander des informations (par exemple, une demande de recevoir du matériel d'information sur un produit), le traitement des données pour répondre à cette demande est autorisé.

Les mesures de fidélisation client ou de publicité sont soumises à des exigences légales supplémentaires. Les données personnelles peuvent être traitées à des fins publicitaires ou d’études de marché et d’opinion, à condition que cela soit conforme à la finalité pour laquelle les données ont été initialement collectées. La personne concernée doit être informée de l’utilisation de ses données à des fins publicitaires. Si les données sont collectées uniquement à des fins publicitaires, la communication des données par la personne concernée est volontaire. La personne concernée doit être informée que la fourniture de données à cette fin est volontaire. Lors de la communication avec la personne concernée, son consentement doit être obtenu pour traiter les données à des fins publicitaires. Lors du consentement, la personne concernée doit pouvoir choisir parmi les formes de contact disponibles telles que courrier postal, e-mail et téléphone (Consentement, voir V.1.3). Si la personne concernée refuse l’utilisation de ses données à des fins publicitaires, celles-ci ne peuvent plus être utilisées à ces fins et doivent être bloquées pour cet usage. Toute autre restriction spécifique à certains pays concernant l’utilisation des données à des fins publicitaires doit être respectée.

1.3 Consentement au traitement des données

Les données peuvent être traitées après consentement de la personne concernée. Avant de donner son consentement, la personne concernée doit être informée conformément au point IV.3. de cette politique de protection des données. La déclaration de consentement doit être obtenue par écrit ou électroniquement à des fins de documentation. Dans certaines circonstances, comme lors de conversations téléphoniques, le consentement peut être donné verbalement. L’octroi du consentement doit être documenté.

1.4 Traitement des données fondé sur une autorisation légale

Le traitement des données personnelles est également autorisé si la législation nationale le demande, l’exige ou le permet. Le type et l’étendue du traitement des données doivent être nécessaires à l’activité de traitement légalement autorisée et doivent respecter les dispositions légales pertinentes.

1.5 Traitement des données fondé sur un intérêt légitime

Les données personnelles peuvent également être traitées si cela est nécessaire pour un intérêt légitime du Groupe. Les intérêts légitimes sont généralement de nature juridique (par exemple, recouvrement de créances impayées) ou commerciale (par exemple, éviter des manquements contractuels). Les données personnelles ne peuvent pas être traitées aux fins d’un intérêt légitime si, dans des cas individuels, il existe des preuves que les intérêts de la personne concernée méritent une protection et que celle-ci prime. Avant de traiter les données, il est nécessaire de déterminer s’il existe des intérêts méritant protection.

1.6 Traitement des données hautement sensibles

Les données personnelles hautement sensibles ne peuvent être traitées que si la loi l'exige ou si la personne concernée a donné son consentement exprès. Ces données peuvent également être traitées si cela est obligatoire pour faire valoir, exercer ou défendre des droits légaux concernant la personne concernée. En cas de projet de traitement de données hautement sensibles, le Président ou le Directeur général de l'entreprise concernée (qui sont les délégués à la protection des données) doivent être informés à l'avance.

1.7 Décisions individuelles automatisées

Le traitement automatisé des données personnelles utilisé pour évaluer certains aspects (par exemple la solvabilité) ne peut pas être la seule base pour des décisions ayant des conséquences juridiques négatives ou pouvant porter atteinte de manière significative à la personne concernée. La personne concernée doit être informée des faits et des résultats des décisions individuelles automatisées ainsi que de la possibilité de répondre. Pour éviter des décisions erronées, un test et une vérification de plausibilité doivent être effectués par un employé.

1.8 Données utilisateur et internet

Si des données personnelles sont collectées, traitées et utilisées sur des sites web ou dans des applications, les personnes concernées doivent en être informées dans une déclaration de confidentialité et, le cas échéant, recevoir des informations sur les cookies. La déclaration de confidentialité et toute information sur les cookies doivent être intégrées de manière à être facilement identifiables, directement accessibles et constamment disponibles pour les personnes concernées. Si des profils d'utilisation (tracking) sont créés pour évaluer l'utilisation des sites web et des applications, les personnes concernées doivent toujours en être informées en conséquence dans la déclaration de confidentialité. Le suivi personnel ne peut être effectué que s'il est autorisé par la loi nationale ou avec le consentement de la personne concernée. Si le suivi utilise un pseudonyme, la personne concernée doit avoir la possibilité de se désinscrire dans la déclaration de confidentialité. Si les sites web ou les applications peuvent accéder à des données personnelles dans une zone réservée aux utilisateurs enregistrés, l'identification et l'authentification de la personne concernée doivent offrir une protection suffisante lors de l'accès.

2. Données des employés

2.1 Traitement des données pour la relation d'emploi

Dans les relations d'emploi, les données personnelles peuvent être traitées si nécessaire pour exécuter le contrat de travail, y compris pour initier, réaliser et terminer l'emploi. Lors de l'initiation d'une relation d'emploi, les données personnelles des candidats peuvent être traitées. Si le candidat est rejeté, ses données doivent être supprimées dans un délai de 6 mois, sauf si le candidat a accepté qu'elles restent archivées pour un futur processus de sélection.

Dans la relation d'emploi existante, le traitement des données peut être nécessaire aux fins de l'exécution du contrat de travail, mais il peut également y avoir d'autres bases légales pour le traitement, comme indiqué ci-dessous. S'il devait être nécessaire, lors de la procédure de candidature, de collecter des informations sur un candidat auprès d'un tiers, les exigences des lois nationales correspondantes doivent être respectées. En cas de doute, le consentement doit être obtenu de la personne concernée. Il peut exister des bases légales alternatives pour traiter les données personnelles liées à la relation d'emploi. Cela peut inclure des exigences légales, le consentement de l'employé ou l'intérêt légitime de l'entreprise.

2.2 Traitement des données en vertu d’une obligation légale

Le traitement des données personnelles des employés est également autorisé si la législation nationale le demande, l’exige ou l’autorise. Le type et l’étendue du traitement des données doivent être nécessaires à l’activité de traitement légalement autorisée et doivent respecter les dispositions légales pertinentes.

2.3 Consentement au traitement des données

Les données des employés peuvent être traitées avec le consentement de la personne concernée. Les déclarations de consentement doivent être soumises volontairement. Le consentement involontaire est nul. La déclaration de consentement doit être obtenue par écrit ou électroniquement à des fins de documentation. Dans certaines circonstances, le consentement peut être donné verbalement, auquel cas il doit être dûment documenté.

Un employé consent au traitement de ses données personnelles s’il manifeste clairement son accord soit par une déclaration, soit par une action positive en faveur du traitement. Si le consentement est donné dans un document traitant d’autres sujets, le consentement doit être séparé de ces autres sujets. Les employés doivent pouvoir retirer facilement leur consentement à tout moment.

Sauf s’il existe une autre base légale pour le traitement, un consentement explicite est requis pour le traitement des catégories particulières de données (voir paragraphe 2.5 ci-dessous). Habituellement, la Société s’appuiera sur une autre base légale et ne nécessitera pas de consentement explicite pour traiter des données de catégorie particulière.

2.4 Traitement des données fondé sur un intérêt légitime

Les données personnelles peuvent également être traitées si cela est nécessaire aux fins d’un intérêt légitime du Groupe ou d’un tiers. Les intérêts légitimes sont généralement de nature juridique (par exemple, le dépôt, la défense ou la contestation de réclamations juridiques), financière (par exemple, l’évaluation d’entreprises) ou autre (par exemple, Il est nécessaire de protéger les intérêts vitaux de la personne concernée ou d’une autre personne ou Il est nécessaire pour l’exécution d’une mission d’intérêt public)

Les données personnelles ne peuvent pas être traitées sur la base d’un intérêt légitime si, dans des cas individuels, ces intérêts sont supplantés par les intérêts ou les droits et libertés fondamentaux de la personne concernée qui nécessitent la protection des données personnelles. Les intérêts légitimes invoqués seront précisés dans les Avis de Confidentialité applicables. De plus, toute exigence supplémentaire en vertu du droit national (par exemple, les droits de codétermination des représentants des employés et les droits d’information des personnes concernées) doit être prise en compte.

2.5 Traitement de données hautement sensibles

Les données personnelles hautement sensibles ne peuvent être traitées que sous certaines conditions. Les données hautement sensibles concernent l'origine raciale et ethnique, les opinions politiques, les convictions religieuses ou philosophiques, l'appartenance syndicale, les données génétiques, les données biométriques, les données de santé et les données relatives à la vie sexuelle et à l'orientation sexuelle de la personne concernée. En droit national, d'autres catégories de données peuvent être considérées comme hautement sensibles ou le contenu des catégories de données peut être défini différemment. De plus, les données relatives aux condamnations pénales et infractions ne peuvent souvent être traitées que sous des conditions spéciales prévues par la loi nationale. Le traitement doit être expressément autorisé ou prescrit par la loi nationale. En outre, le traitement peut être autorisé s'il est nécessaire pour que l'autorité responsable remplisse ses droits et devoirs dans le domaine du droit du travail. L'employé peut également consentir expressément au traitement. En cas de projet de traitement de données hautement sensibles, le Responsable de la Protection des Données doit être informé à l'avance.

Des données hautement sensibles peuvent être traitées dans les circonstances suivantes :

• Avec le consentement explicite de la personne concernée
• Lorsque le traitement est nécessaire pour l'exécution ou l'exercice d'obligations ou de droits imposés par la loi au responsable du traitement ou à la personne concernée en lien avec l'emploi, la sécurité sociale ou la protection sociale, et que l'employeur dispose d'un document de politique approprié et de garanties supplémentaires
• Lorsque le traitement est nécessaire pour protéger les intérêts vitaux de l'individu ou d'une autre personne et que l'individu est incapable de donner son consentement
• Lorsque le traitement concerne des données personnelles que l'individu a rendues publiques
• Lorsque le traitement est nécessaire pour établir, exercer ou défendre des droits en justice
• Lorsque le traitement est nécessaire pour des raisons d'intérêt public important, à condition que l'employeur dispose d'un document de politique approprié et de garanties supplémentaires. Cela peut inclure le traitement des données dans le but de promouvoir l'égalité de traitement
• Lorsque le traitement est nécessaire pour l'évaluation de la capacité de travail de l'individu ou suite à un contact avec un professionnel de santé, et sous réserve de garanties de confidentialité

2.6 Décisions automatisées

Si des données personnelles sont traitées automatiquement dans le cadre de la relation d'emploi, et que des détails personnels spécifiques sont évalués (par exemple dans le cadre de la sélection du personnel ou de l'évaluation des profils de compétences), ce traitement automatique ne peut pas être la seule base pour des décisions ayant des conséquences négatives ou un impact significatif sur l'employé concerné. Pour éviter des décisions erronées, le processus automatisé doit garantir qu'une personne physique évalue le contenu de la situation, et que cette évaluation constitue la base de la décision. La personne concernée doit également être informée des faits et des résultats du traitement automatisé ainsi que de la possibilité de répondre. L'entreprise ne prévoit pas d'utiliser la prise de décision automatisée mais informera le personnel par écrit si la situation change.

2.7 Télécommunications et internet

Le matériel téléphonique, les adresses e-mail, l'intranet et l'internet ainsi que les réseaux sociaux internes sont fournis par l'entreprise principalement pour des missions liées au travail. Ils sont un outil et une ressource de l'entreprise. Ils peuvent être utilisés dans le cadre des réglementations légales applicables et des politiques internes de l'entreprise. En cas d'utilisation autorisée à des fins privées, les lois sur le secret des télécommunications et les lois nationales pertinentes sur les télécommunications doivent être respectées si applicable. Il n'y aura pas de surveillance générale des communications téléphoniques et e-mail ou de l'utilisation de l'intranet/internet. Pour se défendre contre les attaques sur l'infrastructure informatique ou les utilisateurs individuels, des mesures de protection peuvent être mises en œuvre pour les connexions aux réseaux des sociétés du Groupe qui bloquent techniquement les contenus nuisibles ou qui analysent les schémas d'attaque. Pour des raisons de sécurité, l'utilisation du matériel téléphonique, des adresses e-mail, de l'intranet/internet et des réseaux sociaux internes peut être enregistrée pour une période temporaire. Des évaluations de ces données concernant une personne spécifique ne peuvent être faites qu'en cas de suspicion de violations des lois ou des politiques du Groupe. Les lois nationales pertinentes doivent être respectées de la même manière que les règlements du Groupe.

1. VI. Transmission de données personnelles

La transmission de données personnelles à des destinataires en dehors ou à l'intérieur du Groupe est soumise aux exigences d'autorisation pour le traitement des données personnelles selon la Section V. Les données personnelles ne seront pas partagées avec des tiers à moins que certaines garanties et arrangements contractuels aient été mis en place. Le destinataire des données doit être tenu d'utiliser les données uniquement pour les finalités définies et conformément à nos instructions.

Dans le cas où des données sont transmises à un destinataire en dehors du Groupe vers un pays tiers, y compris un pays hors de l'UE, nous veillerons à ce qu'il existe un niveau de protection adéquat dans ce pays pour protéger les données personnelles équivalent aux niveaux de protection définis dans cette Politique de Protection des Données. Si les données sont transmises par un tiers à une société du Groupe, il doit être assuré que les données seront utilisées à la fin prévue.

1. VII. Traitement des données sous contrat

Le traitement des données pour le compte signifie qu'un prestataire est engagé pour traiter des données personnelles, sans

se voyant attribuer la responsabilité du processus métier concerné. Dans ces cas, un accord

sur le traitement des données pour le compte doivent être conclus avec des fournisseurs externes et entre entreprises

au sein du Groupe. Le client conserve l'entière responsabilité de la bonne exécution du traitement des données. Le fournisseur ne peut traiter les données personnelles que conformément aux instructions du client. Lors de la passation de la commande, les exigences suivantes doivent être respectées ; le service passant la commande doit s'assurer qu'elles sont remplies.

1. Le fournisseur doit être choisi en fonction de sa capacité à couvrir les mesures de protection techniques et organisationnelles requises.
2. La commande doit être passée par écrit. Les instructions sur le traitement des données et les responsabilités du client et du fournisseur doivent être documentées.
3. Les normes contractuelles de protection des données fournies par le Responsable de la protection des données doivent être prises en compte.
4. Avant le début du traitement des données, le client doit être convaincu que le fournisseur respectera ses obligations. Un fournisseur peut documenter sa conformité aux exigences de sécurité des données dans

notamment en présentant une certification appropriée. En fonction du risque lié au traitement des données, les contrôles doivent être répétés régulièrement pendant la durée du contrat.

1. N'utiliser que du personnel et d'autres personnes ayant une obligation de confidentialité concernant les données.
2. Respecter des obligations de sécurité équivalentes à celles imposées à l'employeur en vertu du RGPD.
3. Notifier l'employeur de toute violation relative aux données personnelles partagées par l'employeur.
4. N'engager un sous-traitant qu'avec l'autorisation préalable de l'employeur.
   1. En cas de traitement transfrontalier des données sous contrat, les exigences nationales pertinentes pour la divulgation des données personnelles à l'étranger doivent être respectées. En particulier, les données personnelles provenant de l'Espace économique européen ne peuvent être traitées dans un pays tiers que si le fournisseur peut prouver qu'il dispose d'un niveau de protection des données équivalent à cette politique de protection des données. Les outils appropriés peuvent être :
      1. Accord sur les clauses contractuelles types de l'UE pour le traitement des données sous contrat dans des pays tiers avec le fournisseur et tout sous-traitant.
      2. Participation du fournisseur à un système de certification accrédité par l'UE pour la fourniture d'un niveau suffisant de protection des données.
      3. Reconnaissance des règles d'entreprise contraignantes du fournisseur pour créer un niveau approprié de protection des données par les autorités de contrôle responsables de la protection des données.

1. VIII. Droits de la personne concernée

Chaque personne concernée dispose des droits suivants ;

1. La personne concernée peut demander des informations sur les données personnelles la concernant qui ont été stockées, comment les données ont été collectées et dans quel but. S'il existe d'autres droits relatifs à

consulter les documents de l'employeur (par exemple le dossier personnel) relatifs à la relation d'emploi sous

les lois du travail pertinentes resteront inchangées.

1. Si des données personnelles sont transmises à des tiers, des informations doivent être fournies sur l'identité

du destinataire ou des catégories de destinataires.

1. Si les données personnelles sont incorrectes ou incomplètes, la personne concernée peut demander qu'elles soient corrigées

ou complété.

1. La personne concernée peut s'opposer au traitement de ses données à des fins publicitaires ou de recherche de marché/d'opinion. Les données doivent être bloquées pour ces types d'utilisation.
2. La personne concernée peut demander la suppression de ses données si le traitement de ces données n'a pas de base légale, ou si la base légale a cessé de s'appliquer. Il en va de même si la finalité du traitement des données a disparu ou n'est plus applicable pour d'autres raisons. Les durées de conservation existantes et les intérêts conflictuels méritant protection doivent être respectés.
3. La personne concernée a généralement le droit de s'opposer au traitement de ses données lorsque nous nous appuyons sur un intérêt légitime (ou celui d'un tiers) pour le traitement et qu'il existe un élément lié à la situation particulière de la personne concernée qui la pousse à s'opposer au traitement pour ce motif. Cela doit être pris en compte si la protection de ses intérêts prime sur l'intérêt du responsable du traitement en raison d'une situation personnelle particulière. Cela ne s'applique pas si une disposition légale exige que les données soient traitées ou si le traitement est nécessaire à l'établissement, l'exercice ou la défense de droits en justice.
4. La personne concernée peut demander la limitation du traitement de ses informations personnelles. Cela permet à la personne concernée de demander la suspension du traitement des informations personnelles, par exemple si elle souhaite que l'employeur établisse leur exactitude ou la raison de leur traitement.
5. La personne concernée peut, dans certaines circonstances, demander le transfert de ses informations personnelles à un autre tiers.

1. IX. Confidentialité du traitement

Les données personnelles sont soumises à la confidentialité. Toute collecte, traitement ou utilisation non autorisés de ces données par les employés est interdite. Tout traitement de données effectué par un employé sans qu'il/elle ait été autorisé(e) à le faire dans le cadre de ses fonctions légitimes est non autorisé. Le principe du « besoin de savoir » s'applique. Les employés ne peuvent accéder aux informations personnelles que dans la mesure appropriée au type et à l'étendue de la tâche en question. Cela nécessite une répartition et une séparation minutieuses, ainsi que la mise en œuvre, des rôles et responsabilités. Il est interdit aux employés d'utiliser les données personnelles à des fins privées ou commerciales, de les divulguer à des personnes non autorisées ou de les rendre disponibles de toute autre manière. Les superviseurs doivent informer leurs employés, au début de la relation d'emploi, de l'obligation de protéger le secret des données. Cette obligation reste en vigueur même après la fin de l'emploi.

1. X. Sécurité du traitement

Les données personnelles doivent être protégées contre tout accès non autorisé, traitement ou divulgation illégaux, ainsi que contre la perte, la modification ou la destruction accidentelle. Cela s'applique que les données soient traitées électroniquement ou sous forme papier. Avant l'introduction de nouvelles méthodes de traitement des données, en particulier de nouveaux systèmes informatiques, des mesures techniques et organisationnelles de protection des données personnelles doivent être définies et mises en œuvre. Ces mesures doivent être basées sur l'état de l'art, les risques liés au traitement et la nécessité de protéger les données (déterminée par le processus de classification de l'information). En particulier, le service responsable peut consulter son Responsable de la Protection des Données.

1. XI. Contrôle de la protection des données

Le respect de la Politique de Protection des Données et des lois applicables en matière de protection des données les lois sont régulièrement vérifiées. Les résultats des contrôles de protection des données doivent être communiqués au Responsable de la Protection des Données.

1. XII. Incidents de protection des données

Tous les employés doivent informer immédiatement leur supérieur ou le responsable de la protection des données en cas de violation de cette Politique de Protection des Données ou d'autres réglementations relatives à la protection des données personnelles (incidents de protection des données). Le responsable de la fonction ou de l'unité est tenu d'informer immédiatement le Responsable de la Protection des Données des incidents de protection des données.

Dans les cas de

» transmission non autorisée de données personnelles à des tiers,

» accès non autorisé par des tiers aux données personnelles, ou

» perte de données personnelles

les rapports d'entreprise requis (Gestion des incidents de sécurité de l'information) doivent être effectués

immédiatement afin que toutes les obligations de déclaration prévues par la loi nationale puissent être respectées.

1. XIII. Responsabilités et sanctions

Les organes exécutifs des sociétés du Groupe sont responsables du traitement des données dans leur domaine de compétence. Par conséquent, ils doivent veiller à ce que les exigences légales, ainsi que celles contenues dans la Politique de Protection des Données, en matière de protection des données soient respectées (par exemple, les obligations nationales de déclaration). Le personnel de direction est responsable de s'assurer que des mesures organisationnelles, RH et techniques sont en place afin que tout traitement de données soit effectué conformément à la protection des données. Le respect de ces exigences incombe aux employés concernés. Si des organismes officiels effectuent des contrôles de protection des données, le Responsable de la Protection des Données doit en être informé immédiatement. Un traitement inapproprié des données personnelles, ou d'autres violations des lois sur la protection des données, peut faire l'objet de poursuites pénales dans de nombreux pays et entraîner des demandes d'indemnisation. Les manquements dont sont responsables des employés individuels peuvent entraîner des sanctions en droit du travail.