Documentation CRVP - Léti’Quête EI Laëtitia Vasseur-Reibel

6 - TRANSFERTS INTERNATIONAUX DE DONNÉES

6.1 - Localisation des données et transferts hors UE/EEE

Léti’Quête s’engage à ne pas transférer les données à caractère personnel des Utilisateurs, Clients ou Consultants en dehors de l’Union Européenne ou de l’Espace Économique Européen, à l’exception de la Suisse, pays reconnu par la Commission européenne comme offrant un niveau de protection adéquat au sens de l’article 45 du RGPD.

6.2 - Cas exceptionnels de transferts

Dans l’hypothèse où, à l’avenir, certaines données devraient être transférées hors de l’Union Européenne ou de l’Espace Économique Européen (par exemple, en cas de changement d’hébergeur ou de prestataire de services), la Responsable s’engage à :

• N’effectuer ces transferts que vers des pays reconnus par la Commission Européenne comme assurant un niveau de protection adéquat, ou

• Mettre en place des garanties appropriées conformément aux articles 46 et 47 du RGPD (clauses contractuelles types, règles d’entreprise contraignantes, etc.), ou

• Obtenir le consentement explicite des personnes concernées avant tout transfert.

La Responsable informera préalablement les Utilisateurs, Clients ou Consultants de tout changement dans sa politique de transfert de données et mettra à jour la présente CRVP en conséquence.

6.3 - Utilisation de services tiers

La Responsable utilise certains outils et services tiers pour la gestion de son activité, notamment :

• Squarespace (hébergement du Site et des pages d’espace personnel sécurisé des Clients bénéficiant d’un programme en ligne ou d’un accompagnement à distance, donnant accès aux documents de suivi) dont les serveurs sont hébergés en Irlande

• Perfactive (rendez-vous, suivi clients, facturation et comptabilité) dont les serveurs sont hébergés en France

• Infomaniak (visioconférence avec kMeet et stockage des données avec kDrive) dont les serveurs sont hébergés en Suisse, ce pays bénéficiant d’une décision d’adéquation de la Commission européenne

Ces prestataires sont soumis à des obligations strictes en matière de protection des données et n’effectuent pas de transferts hors UE/EEE sans garanties appropriées, l’hébergement en Suisse mentionné ci-dessus bénéficiant d’une décision d'adéquation de la Commission européenne.

Les documents de suivi des Clients bénéficiant d’un programme en ligne ou d’un accompagnement à distance sont hébergés sur kDrive (Infomaniak, serveurs situés en Suisse).
Ils sont mis à disposition du seul Client titulaire via un lien de consultation accessible depuis son espace personnel, lui-même protégé par un mot de passe transmis exclusivement à ce Client.

6.4 - Utilisation d’outils tiers et transfert de données

La Société peut être amenée à utiliser certains outils tiers pour l’analyse du trafic web, le marketing digital ou d’autres fonctionnalités visant à améliorer les Services et l’expérience utilisateur.

En cas d’utilisation de tels outils, la Société s'engage à :

• Sélection rigoureuse des prestataires :

  Choisir uniquement des prestataires conformes au RGPD et offrant des garanties suffisantes quant à la protection des données personnelles.

• Outils d’analyse web :

  • La Société n’utilise actuellement pas d’outil pour l’analyse du trafic web.

  • En cas d'utilisation future d'outils comme Google Analytics ou similaires, susceptibles de transférer des données hors UE/EEE, la Société mettra en place des garanties conformes au RGPD, telles que les clauses contractuelles types approuvées par la Commission européenne.

  • La Société configurera systématiquement ces outils pour anonymiser les adresses IP et limiter la collecte aux données strictement nécessaires.

• Outils de marketing :

  • Pour ses campagnes marketing et newsletters, la Société utilise actuellement MailerLite dont les serveurs sont hébergés en Irlande (Cf. Politique de confidentialité de Mailerlite).

  • En cas d’utilisation future d’outils marketing basés hors UE/EEE, la Société obtiendra préalablement le consentement explicite des Utilisateurs, Clients ou Consultants et les informera des risques potentiels liés à ces transferts.

• Médias sociaux :

  • Les boutons de partage et widgets de médias sociaux présents sur le Site peuvent collecter certaines informations. Ces transferts de données sont gérés directement par les plateformes concernées.

  • L’Utilisateur peut empêcher cette collecte en se déconnectant de ses comptes de médias sociaux avant de visiter le Site ou en utilisant des extensions de navigateur bloquant les traceurs.

• Transparence et information :

  • La Société tiendra à jour et mettra à disposition sur le Site une liste exhaustive des outils tiers utilisés, précisant pour chacun sa finalité, la nature des données collectées et le lieu de leur traitement.

  • Tout ajout d’un nouvel outil susceptible de transférer des données hors UE/EEE fera l’objet d’une notification aux Utilisateurs, Clients ou Consultants concernés.

• Droits des personnes concernées :

  • Les droits des Utilisateurs, Clients ou Consultants tels que définis à l'article 9 de la présente CRVP s’appliquent également aux données susceptibles d’être transférées via ces outils tiers.

  • Tout Utilisateur, Client ou Consultant peut s’opposer spécifiquement à l’utilisation de ces outils en contactant la Société par email à l’adresse suivante : contact@letiquete.fr.

6.5 - Garanties spécifiques pour les transferts via WhatsApp

La Société peut être contactée via WhatsApp par ses Clients.

Cette application étant détenue par Meta (anciennement Facebook Inc.), société américaine, les échanges via ce canal peuvent impliquer des transferts de données hors de l’Union Européenne.

6.5.1 - Cadre juridique des transferts WhatsApp

Les transferts de données vers les États-Unis s’effectuent actuellement dans le cadre du Data Privacy Framework (DPF), accord qui a remplacé le Privacy Shield suite à la décision d’adéquation adoptée par la Commission européenne le 10 juillet 2023.

Meta est certifiée sous ce cadre juridique.

Toutefois, la Société reconnaît que le paysage juridique international en matière de protection des données est en constante évolution et que ce mécanisme pourrait être sujet à modifications ou invalidation, comme ce fut le cas pour les précédents mécanismes (Safe Harbor, Privacy Shield).

En cas d’invalidation ou de modification substantielle du DPF par une décision de justice ou une évolution réglementaire, la Société s’engage à :

• Mesures sous 30 (trente) jours :

  • Cesser temporairement l’utilisation de WhatsApp pour toute communication impliquant des données personnelles sensibles

  • Informer les Clients concernés par email de la situation et des alternatives sécurisées disponibles

  • Mettre en place des Clauses Contractuelles Types (CCT) adoptées par la Commission européenne, complétées par des mesures techniques et organisationnelles supplémentaires

• Mesures sous 90 (quatre-vingt-dix) jours :

  • Réaliser une nouvelle Analyse d’Impact relative à la Protection des Données (AIPD)

  • Migrer progressivement vers des solutions de messagerie alternatives basées dans l’UE

  • Proposer à tous les Clients un canal de communication alternatif conforme aux exigences du RGPD

• Information transparente :

  • Le Client sera informé de l’évolution de la situation juridique et des mesures prises

  • Un consentement spécifique sera recueilli avant la poursuite des échanges via WhatsApp si cette solution reste utilisée

La Société s’engage à surveiller activement les évolutions réglementaires et jurisprudentielles concernant les transferts internationaux de données, à adapter ses pratiques et mesures de protection en fonction des développements juridiques, et à informer les Utilisateurs, Clients ou Consultants de tout changement significatif dans le cadre juridique applicable.

6.5.2 - Mesures techniques et organisationnelles

Pour sécuriser ces transferts et protéger vos données, la Société a mis en place les garanties suivantes :

• Limitation des données partagées :

  Seules les informations strictement nécessaires à la communication concernant les rendez-vous et prestations sont échangées via WhatsApp

• Interdiction de partage de données sensibles :

  Aucune donnée de santé ou information sensible n’est transmise via ce canal

  Dans le cadre du dispositif “Pause Priori’Thé” de l’abonnement mensuel à distance, le signalement d’un besoin de soutien s’effectue par principe via le formulaire dédié, intégré à l’espace personnel sécurisé du Consultant sur le Site.
  Si le Consultant choisit, de sa propre initiative, de transmettre ce signalement par WhatsApp ou SMS, son message a valeur de simple signal d’attention : il est invité à ne pas y détailler d’informations relatives à son état de santé ou à sa situation personnelle, ces éléments étant recueillis exclusivement via le formulaire sécurisé ou lors d’un échange direct avec la Responsable.

• Chiffrement de bout en bout :

  La Société utilise exclusivement le chiffrement de bout en bout proposé par l’application pour toutes les communications

• Suppression régulière des données :

  Purge systématique des historiques de conversation tous les 3 mois

• Clauses contractuelles types :

  En complément du DPF, la Société s’appuie sur les clauses contractuelles types adoptées par la Commission européenne

• Évaluation d’impact :

  La Société a effectué une analyse d’impact relative à la protection des données (AIPD) spécifique pour l’utilisation de WhatsApp

• Mesures compensatoires :

  Mise en place de garanties supplémentaires recommandées par le Comité européen de la protection des données (anonymisation partielle, pseudonymisation)

6.5.3 - Transparence et choix de l’Utilisateur

La Société s’engage à :

• Ne pas utiliser WhatsApp comme canal de communication préféré

• Proposer systématiquement des canaux de communication alternatifs (téléphone, SMS, email) plus sécurisés

• Respecter le choix du Client quant à son canal de communication préféré

Le Client peut à tout moment demander que les communications se poursuivent via un autre canal de son choix en contactant la Responsable par email à l’adresse suivante : contact@letiquete.fr.

6.5.4 - Risques résiduels et droits spécifiques

Malgré ces garanties, le Client est informé que des risques résiduels existent concernant l'accès potentiel à ses données par les autorités américaines.

En cas de préoccupation relative à ces transferts, le Client dispose, en plus des droits mentionnés à l'article 9, de droits spécifiques :

• Droit d'obtenir une copie des garanties appropriées mises en place

• Droit de déposer une réclamation auprès de l'autorité de contrôle (CNIL)

• Droit à un recours juridictionnel efficace

• Droit à réparation du préjudice matériel ou moral subi

6.5.5 - Communautés et groupes de partage WhatsApp

La Société anime des communautés WhatsApp thématiques auxquelles l’Utilisateur peut librement adhérer. Chaque communauté est organisée en deux niveaux :

• Un canal d’annonces, au sein duquel seule la Responsable publie ses partages. La confidentialité des numéros de téléphone y est activée : le numéro d’un membre n’est pas visible des autres membres. Il demeure visible uniquement de la Responsable, en sa qualité d’administratrice, ainsi que des personnes ayant préalablement enregistré ce membre dans leurs propres contacts.

• Un groupe de partage associé, distinct et facultatif, que l’Utilisateur rejoint uniquement s’il souhaite échanger avec les autres membres. L’Utilisateur y est informé qu’au sein d’un groupe de discussion, son nom de profil, sa photo de profil et son numéro de téléphone sont visibles des autres membres, conformément au fonctionnement de l’application. L’Utilisateur est invité à en tenir compte avant de rejoindre un groupe de partage et peut, s’il le souhaite, se limiter au canal d’annonces.

L’adhésion au groupe de partage est une option et non une condition d’accès aux annonces. L’Utilisateur peut quitter une communauté ou un groupe de partage à tout moment, sans justification ni formalité. La Société s’engage à ne jamais utiliser les informations visibles au sein de ces espaces à d’autres fins que leur animation.

Les garanties décrites aux articles 6.5.1 à 6.5.4 s’appliquent également aux échanges au sein de ces communautés et groupes de partage.

6.6 - Traitement des données sur les réseaux sociaux

6.6.1 - Présence sur les réseaux sociaux

La Société est actuellement présente sur un seul réseau social : Facebook.

L’Utilisateur qui interagit avec les pages ou profils de la Société sur cette plateforme est informé que ses données personnelles peuvent être collectées et traitées par :

• La Société, en sa qualité de responsable de traitement pour les données qu’elle recueille directement

• La plateforme de réseau social elle-même, conformément à ses propres politiques de confidentialité

6.6.2 - Données collectées via les réseaux sociaux

Dans le cadre de sa présence sur les réseaux sociaux, la Société peut collecter les types de données suivants :

• Informations de profil public (nom, pseudonyme, photo de profil)

• Interactions avec les contenus publiés (commentaires, partages, mentions “j’aime”)

• Messages privés envoyés à la Société via les messageries des plateformes

• Données statistiques anonymisées sur la fréquentation et l’engagement de ses pages

La Société n’a pas accès aux données personnelles que l’Utilisateur n’a pas rendues publiques ou qu’il n’a pas volontairement partagées avec elle.

6.6.3 - Finalités du traitement des données sur les réseaux sociaux

Les données personnelles collectées via les réseaux sociaux sont traitées par la Société aux fins suivantes :

• Communiquer avec l’Utilisateur à sa demande

• Répondre aux questions, commentaires et demandes de renseignements

• Analyser l’engagement et l’interaction avec les contenus publiés

• Améliorer ses services et sa communication

• Informer l’Utilisateur sur ses activités, offres et événements

6.6.4 - Base légale du traitement

Le traitement des données collectées via les réseaux sociaux repose sur :

• Le consentement de l’Utilisateur manifesté par son action volontaire d’interagir avec les pages de la Société

• L’intérêt légitime de la Société à développer son activité et communiquer sur ses services

• L’exécution d’un contrat lorsque l’interaction est liée à une prestation de services

6.6.5 - Transferts de données via les réseaux sociaux

L’Utilisateur est informé que la plupart des plateformes de réseaux sociaux sont basées hors de l’Union Européenne et peuvent transférer ses données vers des pays tiers.

La Société n’est pas responsable des transferts de données effectués par les plateformes de réseaux sociaux elles-mêmes.

Pour en savoir plus sur ces transferts et les garanties mises en place, l’Utilisateur est invité à consulter les politiques de confidentialité de la plateforme concernée :

• Facebook/Instagram : https://www.facebook.com/privacy/policy/

6.6.6 - Droits spécifiques concernant les réseaux sociaux

Outre les droits mentionnés à l’article 9 de la présente CRVP, l’Utilisateur peut exercer un contrôle sur ses données sur les réseaux sociaux en :

• Configurant les paramètres de confidentialité de ses comptes

• Limitant les informations qu’il rend publiques

• Utilisant les fonctionnalités de déconnexion des plateformes avant de visiter le Site

• Supprimant ses interactions (commentaires, mentions “j’aime”) avec les pages de la Société

• Contactant directement la plateforme concernée pour exercer ses droits sur les données qu’elle détient

La Société s’engage à donner suite à toute demande de suppression de contenus publiés par l’Utilisateur sur ses pages dans un délai maximum de 48 (quarante-huit) heures ouvrées.