Politique de confidentialité

---

M.A.C. Solutions SARL

25 mai 2018

Cette politique énonce les obligations de M.A.C. Solutions SARL, société enregistréeen France sous le numéro de SIRET  811 073 816 00019, dont le siège social est aux unités 6-7 Kingfisher Business Park, Arthur Street, Redditch, Worcs. B98 8LG Angleterre («la Société») concernant la protection des données et les droits des clients, prospects, employés, partenaires commerciaux et tiers liés («personnes concernées») en ce qui concerne leurs données personnelles en vertu du règlement UE 2016/679 Règlement général sur la protection des données ( «GDPR»). 

Introduction

Le RGPD définit les «données personnelles» comme toute information relative à une personne physique identifiée ou identifiable (une «personne concernée»); une personne physique identifiable est une personne qui peut être identifiée, directement ou indirectement, notamment par référence à un identifiant tel qu'un nom, un numéro d'identification, des données de localisation, un identifiant en ligne, ou à un ou plusieurs facteurs spécifiques au , l'identité génétique, mentale, économique, culturelle ou sociale de cette personne physique.

Cette politique définit les obligations de la société concernant la collecte, le traitement, le transfert, le stockage et l'élimination des données personnelles. Les procédures et principes énoncés dans les présentes doivent être suivis à tout moment par la Société, ses employés, agents, sous-traitants ou autres parties travaillant pour le compte de la Société.

La Société s'engage non seulement à respecter la lettre de la loi, mais également à l'esprit de la loi et accorde une grande importance au traitement correct, licite et équitable de toutes les données personnelles, dans le respect des droits légaux, de la vie privée et de la confiance de tous. les personnes avec lesquelles il traite.

Les principes de protection des données

Cette politique vise à assurer la conformité avec le RGPD. Le RGPD énonce les principes suivants que toute partie traitant des données personnelles doit se conformer. Toutes les données personnelles doivent être:

2.1 Traités légalement, équitablement et de manière transparente par rapport à la personne concernée.

2.2 Recueillies à des fins spécifiées, explicites et légitimes et non traitées ultérieurement d'une manière incompatible avec ces finalités. Le traitement ultérieur à des fins d'archivage dans l'intérêt public, à des fins de recherche scientifique ou historique ou à des fins statistiques n'est pas considéré comme incompatible avec les finalités initiales.

2.3 Adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités pour lesquelles elles sont traitées.

2.4 Précis et, si nécessaire, mis à jour. Toutes les mesures raisonnables doivent être prises pour garantir que les données à caractère personnel inexactes, au regard des finalités pour lesquelles elles sont traitées, soient effacées ou rectifiées sans délai.

2.5 conservés sous une forme permettant l'identification des personnes concernées pendant une durée n'excédant pas la durée nécessaire aux finalités pour lesquelles les données à caractère personnel sont traitées. Les données personnelles peuvent être stockées pendant des périodes plus longues dans la mesure où les données personnelles seront traitées uniquement à des fins d'archivage dans l'intérêt public, à des fins de recherche scientifique ou historique, ou à des fins statistiques, sous réserve de la mise en œuvre des mesures techniques et organisationnelles appropriées requises par le RGPD en afin de sauvegarder les droits et libertés de la personne concernée.

2.6 Traitées de manière à garantir la sécurité appropriée des données personnelles, y compris la protection contre le traitement non autorisé ou illégal et contre la perte, la destruction ou les dommages accidentels, en utilisant des mesures techniques ou organisationnelles appropriées.

Les droits des personnes concernées

Le RGPD définit les droits suivants applicables aux personnes concernées (veuillez vous référer aux parties de cette politique indiquées pour plus de détails):

3.1 Le droit d'être informé (partie 12);

3.2 Le droit d'accès (partie 13);

3.3 Le droit de rectification (partie 14);

3.4 Le droit à l'effacement (également connu sous le nom de «droit à l'oubli») (partie 15);

3.5 Le droit de restreindre le traitement (partie 16);

3.6 Le droit à la portabilité des données (partie 17);

3.7 Le droit d'opposition (partie 18).

Traitement des données légal, équitable et transparent

4.1 Le RGPD vise à garantir que les données personnelles sont traitées de manière légale, loyale et transparente, sans porter atteinte aux droits de la personne concernée. Le RGPD stipule que le traitement des données personnelles est licite si au moins l'une des conditions suivantes s'applique:

4.1.1 La personne concernée a donné son consentement au traitement de ses données personnelles à une ou plusieurs fins spécifiques;

4.1.2 Le traitement est nécessaire à l'exécution d'un contrat auquel la personne concernée est partie, ou pour prendre des mesures à la demande de la personne concernée avant de conclure un contrat avec elle;

4.1.3 Le traitement est nécessaire au respect d'une obligation légale à laquelle le responsable du traitement est soumis;

4.1.4 Le traitement est nécessaire pour protéger les intérêts vitaux de la personne concernée ou d'une autre personne physique;

4.1.5 Le traitement est nécessaire à l'exécution d'une tâche effectuée dans l'intérêt public ou dans l'exercice de l'autorité officielle dévolue au responsable du traitement; ou

4.1.6 Le traitement est nécessaire aux fins des intérêts légitimes poursuivis par le responsable du traitement ou par un tiers, sauf lorsque ces intérêts sont supplantés par les droits et libertés fondamentaux de la personne concernée qui nécessitent la protection des données à caractère personnel, en particulier lorsque la personne concernée est un enfant.

4.2 Si les données personnelles en question sont des «données de catégorie spéciale» (également appelées «données personnelles sensibles») (par exemple, des données concernant la race, l'appartenance ethnique, la politique, la religion, l'appartenance à un syndicat, la génétique, la biométrie (le cas échéant) de la personne concernée à des fins d'identification), la santé, la vie sexuelle ou l'orientation sexuelle), au moins une des conditions suivantes doit être remplie:

4.2.1 La personne concernée a donné son consentement explicite au traitement de ces données pour une ou plusieurs finalités spécifiées (à moins que la législation de l'UE ou des États membres de l'UE ne l'interdise);

4.2.2 Le traitement est nécessaire aux fins de l'exécution des obligations et de l'exercice des droits spécifiques du responsable du traitement ou de la personne concernée dans le domaine du droit du travail, de la sécurité sociale et de la protection sociale (dans la mesure où il est autorisé par l'UE ou Le droit des États membres de l'UE ou une convention collective conformément au droit des États membres de l'UE qui prévoit des garanties appropriées pour les droits et intérêts fondamentaux de la personne concernée);

4.2.3 Le traitement est nécessaire pour protéger les intérêts vitaux de la personne concernée ou d'une autre personne physique lorsque la personne concernée est physiquement ou juridiquement incapable de donner son consentement;

4.2.4 Le responsable du traitement est une fondation, une association ou un autre organisme à but non lucratif ayant un but politique, philosophique, religieux ou syndical, et le traitement est effectué dans le cadre de ses activités légitimes, à condition que le traitement concerne uniquement aux membres ou anciens membres de cet organisme ou aux personnes qui ont des contacts réguliers avec lui dans le cadre de ses finalités et que les données à caractère personnel ne sont pas divulguées en dehors de l'organisme sans le consentement des personnes concernées;

4.2.5 Le traitement concerne des données à caractère personnel qui sont clairement rendues publiques par la personne concernée;

4.2.6 Le traitement est nécessaire pour le déroulement des actions en justice ou chaque fois que les tribunaux agissent en leur capacité judiciaire;

4.2.7 Le traitement est nécessaire pour des raisons d'intérêt public substantielles, sur la base du droit de l'UE ou des États membres de l'UE, qui doit être proportionné au but poursuivi, respecter l'essence du droit à la protection des données et prévoir des des mesures de sauvegarde des droits et intérêts fondamentaux de la personne concernée;

4.2.8 Le traitement est nécessaire aux fins de la médecine préventive ou du travail, pour l'évaluation de la capacité de travail d'un employé, pour le diagnostic médical, pour la fourniture de soins ou de soins de santé ou sociaux, ou pour la gestion de la santé ou des soins sociaux des systèmes ou des services sur la base du droit de l'UE ou d'un État membre de l'UE ou en vertu d'un contrat avec un professionnel de la santé, sous réserve des conditions et garanties visées à l'article 9, paragraphe 3, du RGPD;

4.2.9 Le traitement est nécessaire pour des raisons d'intérêt public dans le domaine de la santé publique, par exemple pour se protéger contre les menaces transfrontières graves pour la santé ou garantir des normes élevées de qualité et de sécurité des soins de santé et des médicaments ou dispositifs médicaux, sur la base du droit de l'UE ou des États membres de l'UE qui prévoit des mesures appropriées et spécifiques pour sauvegarder les droits et libertés de la personne concernée (en particulier le secret professionnel); ou

4.2.10 Le traitement est nécessaire à des fins d'archivage dans l'intérêt public, à des fins de recherche scientifique ou historique ou à des fins statistiques conformément à l'article 89, paragraphe 1, du RGPD sur la base du droit de l'UE ou des États membres de l'UE qui doit être proportionné à l'objectif poursuivies, respectent l'essence du droit à la protection des données et prévoient des mesures appropriées et spécifiques pour sauvegarder les droits fondamentaux et les intérêts de la personne concernée.

Fins spécifiées, explicites et légitimes

5.1 La Société recueille et traite les données personnelles énoncées dans la partie 19 de la présente politique. Ceci comprend:

5.1.1 Données personnelles collectées directement auprès des personnes concernées; et

5.1.2 Données personnelles obtenues de tiers.

5.2 La Société ne collecte, traite et conserve les données personnelles qu'aux fins spécifiques énoncées dans la partie 19 de la présente politique (ou à d'autres fins expressément autorisées par le RGPD).

5.3 Les personnes concernées sont tenues informées à tout moment de la ou des finalités pour lesquelles la Société utilise leurs données personnelles. Veuillez vous reporter à la partie 12 pour plus d'informations sur la manière de tenir les personnes concernées informées.

Traitement des données adéquat, pertinent et limité

6. La Société ne collectera et traitera les données personnelles que pour et dans la mesure nécessaire à la ou aux fins spécifiques dont les personnes concernées ont été informées (ou seront informées) comme indiqué dans la partie 5 ci-dessus et comme indiqué dans la partie 19 ci-dessous. .

Exactitude des données et mise à jour des données

7.1 La Société s'assurera que toutes les données personnelles collectées, traitées et conservées par elle sont maintenues exactes et à jour. Cela inclut, mais sans s'y limiter, la rectification des données personnelles à la demande d'une personne concernée, comme indiqué dans la partie 14 ci-dessous.

7.2 L'exactitude des données personnelles doit être vérifiée lors de leur collecte et à intervalles réguliers par la suite. Si des données personnelles s'avèrent inexactes ou obsolètes, toutes les mesures raisonnables seront prises sans délai pour modifier ou effacer ces données, le cas échéant.

La conservation des données

8.1 La Société ne conservera pas les données personnelles plus longtemps que nécessaire au regard de la ou des finalités pour lesquelles ces données personnelles ont été initialement collectées, conservées et traitées.

8.2 Lorsque les données personnelles ne sont plus nécessaires, toutes les mesures raisonnables seront prises pour les effacer ou les éliminer sans délai.

8.3 Pour plus de détails sur l'approche de la société en matière de conservation des données, y compris les périodes de conservation pour les types de données personnelles spécifiques détenus par la société, veuillez consulter notre politique de conservation des données.

Traitement sécurisé

9. La Société veillera à ce que toutes les données personnelles collectées, conservées et traitées soient conservées en sécurité et protégées contre le traitement non autorisé ou illégal et contre la perte, la destruction ou les dommages accidentels. De plus amples détails sur les mesures techniques et organisationnelles à prendre sont fournis dans les parties 20 à 25 de la présente politique.

Responsabilité et tenue de registres

10.1 Le délégué à la protection des données de la société peut être contacté à GDPR@mac-solutions.co.uk

10.2 Le délégué à la protection des données sera chargé de superviser la mise en œuvre de la présente politique et de surveiller le respect de cette politique, des autres politiques relatives à la protection des données de la société, ainsi que du RGPD et d'autres lois applicables en matière de protection des données.

10.3 La Société conservera des registres internes écrits de toutes les collectes, détentions et traitements de données personnelles, qui comprendront les informations suivantes:

10.3.1 Le nom et les coordonnées de la Société, de son délégué à la protection des données et de tout sous-traitant de données tiers applicable;

10.3.2 Les finalités pour lesquelles la Société collecte, détient et traite les données personnelles;

10.3.3 Des détails sur les catégories de données personnelles collectées, détenues et traitées par la Société, et les catégories de personnes concernées auxquelles ces données personnelles se rapportent;

10.3.4 Détails de tout transfert de données personnelles vers des pays non membres de l'EEE, y compris tous les mécanismes et garanties de sécurité;

10.3.5 Des détails sur la durée de conservation des données personnelles par la Société (veuillez vous référer à la Politique de conservation des données de la Société); et

10.3.6 Descriptions détaillées de toutes les mesures techniques et organisationnelles prises par la Société pour assurer la sécurité des données personnelles.

Analyses d'impact sur la protection des données

11.1 La Société effectuera des analyses d'impact sur la protection des données pour tous les nouveaux projets et / ou nouvelles utilisations de données personnelles qui impliquent l'utilisation de nouvelles technologies et le traitement impliqué est susceptible d'entraîner un risque élevé pour les droits et libertés des données sujets sous le RGPD.

11.2 Les analyses d'impact sur la protection des données seront supervisées par le délégué à la protection des données et porteront sur les points suivants:

11.2.1 Le (s) type (s) de données personnelles qui seront collectées, conservées et traitées;

11.2.2 Le (s) but (s) pour lequel (s) les données personnelles doivent être utilisées;

11.2.3 Les objectifs de la société;

11.2.4 Comment les données personnelles doivent être utilisées;

11.2.5 Les parties (internes et / ou externes) à consulter;

11.2.6 La nécessité et la proportionnalité du traitement des données par rapport aux finalités pour lesquelles elles sont traitées;

11.2.7 Risques pour les personnes concernées;

11.2.8 Risques posés à la fois au sein et pour la Société; et

11.2.9 Mesures proposées pour minimiser et gérer les risques identifiés.

Informer les personnes concernées

12.1 La Société fournira les informations énoncées dans la partie 12.2 à chaque personne concernée:

12.1.1 Lorsque des données personnelles sont collectées directement auprès des personnes concernées, ces personnes seront informées de leur finalité au moment de la collecte; et

12.1.2 Lorsque des données à caractère personnel sont obtenues auprès d'un tiers, les personnes concernées seront informées de leur finalité:

a) si les données personnelles sont utilisées pour communiquer avec la personne concernée, lors de la première communication; ou

b) si les données personnelles doivent être transférées à une autre partie, avant que ce transfert ne soit effectué; ou

c) dès que raisonnablement possible et en tout état de cause pas plus d'un mois après l'obtention des données personnelles.

12.2 Les informations suivantes doivent être fournies:

12.2.1 Les détails de la société, y compris, mais sans s'y limiter, l'identité de son délégué à la protection des données;

12.2.2 Les finalités pour lesquelles les données personnelles sont collectées et seront traitées (comme détaillé dans la partie 19 de la présente politique) et la base juridique justifiant cette collecte et ce traitement;

12.2.3 Le cas échéant, les intérêts légitimes sur lesquels la Société justifie sa collecte et son traitement des données personnelles;

12.2.4 Lorsque les données personnelles ne sont pas obtenues directement auprès de la personne concernée, les catégories de données personnelles collectées et traitées;

12.2.5 Lorsque les données personnelles doivent être transférées à un ou plusieurs tiers, les coordonnées de ces parties;

12.2.6 Lorsque les données personnelles doivent être transférées à un tiers situé en dehors de l'Espace économique européen (l '«EEE»), les détails de ce transfert, y compris, mais sans s'y limiter, les garanties en place (voir la partie 26 de cette politique pour plus de détails);

12.2.7 Détails de la conservation des données;

12.2.8 Détails des droits de la personne concernée en vertu du RGPD;

12.2.9 Détails sur le droit de la personne concernée de retirer son consentement au traitement de ses données personnelles par la Société à tout moment;

12.2.10 Détails sur le droit de la personne concernée de porter plainte auprès du Bureau du Commissaire à l’information («l’autorité de contrôle» en vertu du RGPD);

12.2.11 Le cas échéant, les détails de toute exigence ou obligation légale ou contractuelle nécessitant la collecte et le traitement des données personnelles et des détails sur les conséquences de leur non-communication; et

12.2.12 Détails de toute prise de décision automatisée ou profilage qui aura lieu à l'aide des données personnelles, y compris des informations sur la manière dont les décisions seront prises, l'importance de ces décisions et leurs conséquences.

Accès des personnes concernées

13.1 Les personnes concernées peuvent à tout moment faire des demandes d'accès au sujet («DAS») pour en savoir plus sur les données personnelles que la Société détient à leur sujet, ce qu'elle fait avec ces données personnelles et pourquoi.

13.2 Les personnes concernées souhaitant effectuer un SAR doivent le faire en utilisant un formulaire de demande d'accès au sujet, en envoyant le formulaire au délégué à la protection des données de la société à GDPR@mac-solutions.co.uk.

13.3 Les réponses aux SAR doivent normalement être faites dans un délai d'un mois (30 jours) à compter de la réception, mais cela peut être prolongé jusqu'à deux mois si le SAR est complexe et / ou si de nombreuses demandes sont faites. Si ce délai supplémentaire est nécessaire, la personne concernée en est informée.

13.4 Tous les DAS reçus seront traités par le délégué à la protection des données de la société.

13.5 La Société ne facture pas de frais pour le traitement des DAS normaux. La Société se réserve le droit de facturer des frais raisonnables pour des copies supplémentaires d'informations qui ont déjà été fournies à une personne concernée, et pour les demandes manifestement infondées ou excessives, en particulier lorsque ces demandes sont répétitives.

Rectification des données personnelles

14.1 Les personnes concernées ont le droit d'exiger de la Société qu'elle rectifie toute donnée personnelle inexacte ou incomplète.

14.2 La Société rectifiera les données personnelles en question et informera la personne concernée de cette rectification, dans un délai d'un mois (30 jours) à compter de la date à laquelle la personne concernée a informé la Société du problème. Le délai peut être prolongé jusqu'à deux mois en cas de demandes complexes. Si ce délai supplémentaire est nécessaire, la personne concernée en est informée.

14.3 Dans le cas où des données personnelles concernées ont été divulguées à des tiers, ces parties seront informées de toute rectification qui doit être apportée à ces données personnelles.

Effacement des données personnelles

15.1 Les personnes concernées ont le droit de demander à la Société d'effacer les données personnelles qu'elle détient à leur sujet dans les circonstances suivantes:

15.1.1 Il n'est plus nécessaire pour la Société de détenir ces données personnelles par rapport aux finalités pour lesquelles elles ont été initialement collectées ou traitées;

15.1.2 La personne concernée souhaite retirer son consentement à ce que la Société détienne et traite ses données personnelles;

15.1.3 La personne concernée s'oppose à ce que la Société détienne et traite ses données personnelles (et il n'y a aucun intérêt légitime impérieux à permettre à la Société de continuer à le faire) (voir la partie 18 de la présente politique pour plus de détails concernant le droit d'opposition);

15.1.4 Les données personnelles ont été traitées illégalement;

15.1.5 Les données personnelles doivent être effacées pour que la Société se conforme à une obligation légale particulière.

15.2 Sauf si la Société a des motifs raisonnables de refuser d'effacer les données personnelles, toutes les demandes d'effacement doivent être satisfaites et la personne concernée informée de l'effacement, dans un délai d'un mois (30 jours) à compter de la réception de la demande de la personne concernée. Le délai peut être prolongé jusqu'à deux mois en cas de demandes complexes. Si ce délai supplémentaire est nécessaire, la personne concernée en est informée.

15.3 Dans le cas où des données personnelles devant être effacées en réponse à la demande d'une personne concernée ont été divulguées à des tiers, ces parties seront informées de l'effacement (sauf si cela est impossible ou exigerait un effort disproportionné pour le faire).

Restriction du traitement des données personnelles

16.1 Les personnes concernées peuvent demander à la Société de cesser de traiter les données personnelles qu'elle détient à leur sujet. Si une personne concernée fait une telle demande, la Société ne conservera que la quantité de données personnelles concernant cette personne concernée (le cas échéant) qui est nécessaire pour garantir que les données personnelles en question ne seront pas traitées ultérieurement.

16.2 Dans le cas où des données personnelles affectées ont été divulguées à des tiers, ces parties seront informées des restrictions applicables au traitement de celles-ci (sauf si cela est impossible ou nécessiterait un effort disproportionné pour le faire).

Portabilité des données

17.1 La Société traite les données personnelles par des moyens automatisés.

17.2 Lorsque les personnes concernées ont donné leur consentement à la Société pour traiter leurs données personnelles de cette manière, ou si le traitement est par ailleurs requis pour l'exécution d'un contrat entre la Société et la personne concernée, les personnes concernées ont le droit, en vertu du RGPD. , pour recevoir une copie de leurs données personnelles et les utiliser à d'autres fins (à savoir la transmettre à d'autres responsables du traitement).

17.3 Lorsque cela est techniquement possible, à la demande d'une personne concernée, les données à caractère personnel sont envoyées directement au responsable du traitement requis.

17.4 Toutes les demandes de copies de données personnelles doivent être satisfaites dans un délai d'un mois (30 jours) à compter de la demande de la personne concernée. Le délai peut être prolongé jusqu'à deux mois en cas de demandes complexes ou nombreuses. Si ce délai supplémentaire est nécessaire, la personne concernée en est informée.

Objections au traitement des données personnelles

18.1 Les personnes concernées ont le droit de s'opposer au traitement de leurs données personnelles par la Société sur la base d'intérêts légitimes, de marketing direct (y compris le profilage).

18.2 Lorsqu'une personne concernée s'oppose au traitement de ses données personnelles par la Société sur la base de ses intérêts légitimes, la Société cessera immédiatement ce traitement, à moins qu'il ne puisse être démontré que les motifs légitimes de la Société pour un tel traitement l'emportent sur les intérêts, droits et libertés de la personne concernée. , ou que le traitement est nécessaire à la conduite de réclamations légales.

18.3 Lorsqu'une personne concernée s'oppose au traitement de ses données personnelles par la Société à des fins de marketing direct, la Société cessera immédiatement ce traitement.

Données personnelles collectées, conservées et traitées

19. Les données personnelles suivantes sont collectées, conservées et traitées par la société (pour plus de détails sur la conservation des données, veuillez vous référer à la politique de conservation des données de la société):

Sécurité des données - Transfert de données personnelles et de communications

La Société veillera à ce que les mesures suivantes soient prises en ce qui concerne toutes les communications et autres transferts à des tiers impliquant des données à caractère personnel:

20.1 Tous les e-mails, y compris ceux contenant des données personnelles, doivent être cryptés;

20.2 Tous les e-mails contenant des données personnelles doivent être marqués «confidentiels» ou couverts par un accord de confidentialité;

20.3 Les données personnelles ne peuvent être transmises que sur des réseaux sécurisés; la transmission sur des réseaux non sécurisés n'est en aucun cas autorisée;

20.4 Les données personnelles ne peuvent pas être transmises sur un réseau sans fil s'il existe une alternative filaire raisonnablement réalisable;

20.5 Lorsque des données à caractère personnel doivent être envoyées par télécopie, le destinataire doit être informé à l'avance de la transmission et doit attendre par le télécopieur pour recevoir les données;

20.6 Lorsque des données personnelles doivent être transférées sous forme papier, elles doivent être transmises directement au destinataire ou être envoyées en utilisant les services postaux de suivi; et

20.7 Toutes les données personnelles à transférer physiquement, que ce soit sous forme papier ou sur support électronique amovible, doivent être transférées dans un conteneur approprié marqué «confidentiel».

Sécurité des données - Stockage

La Société veille à ce que les mesures suivantes soient prises en ce qui concerne le stockage des données personnelles:

21.1 Toutes les copies électroniques de données personnelles doivent être stockées en toute sécurité à l'aide de mots de passe;

21.2 Toutes les copies papier des données personnelles, ainsi que toutes les copies électroniques stockées sur un support physique amovible, doivent être stockées en toute sécurité dans une boîte, un tiroir, une armoire ou similaire verrouillés;

21.3 Toutes les données personnelles stockées électroniquement doivent être sauvegardées quotidiennement et hebdomadairement avec des sauvegardes stockées sur site et hors site. Toutes les sauvegardes doivent être cryptées;

21.4 Aucune donnée personnelle ne doit être stockée sur un appareil mobile (y compris, mais sans s'y limiter, les ordinateurs portables, tablettes et smartphones), que cet appareil appartienne à la société ou autrement sans l'approbation écrite formelle du délégué à la protection des données de la société et, en le cas d'une telle approbation, en stricte conformité avec toutes les instructions et limitations décrites au moment où l'approbation est donnée, et pour une durée n'excédant pas ce qui est absolument nécessaire; et

21.5 Aucune donnée personnelle ne doit être transférée à un appareil appartenant personnellement à un employé et les données personnelles ne peuvent être transférées qu'à des appareils appartenant à des agents, des sous-traitants ou d'autres parties travaillant pour le compte de la Société lorsque la partie en question a accepté de se conformer pleinement la lettre et l'esprit de la présente politique et du RGPD (qui peut inclure la démonstration à l'entreprise que toutes les mesures techniques et organisationnelles appropriées ont été prises).

Sécurité des données - Élimination

Lorsque des données personnelles doivent être effacées ou éliminées pour quelque raison que ce soit (y compris lorsque des copies ont été faites et ne sont plus nécessaires), elles doivent être supprimées et éliminées en toute sécurité. Pour plus d'informations sur la suppression et l'élimination des données personnelles, veuillez vous référer à la politique de conservation des données de la société.

Sécurité des données - Utilisation des données personnelles

La Société veillera à ce que les mesures suivantes soient prises en ce qui concerne l'utilisation des données personnelles:

23.1 Aucune donnée personnelle ne peut être partagée de manière informelle et si un employé, un agent, un sous-traitant ou une autre partie travaillant pour le compte de la Société a besoin d'accéder à des données personnelles auxquelles il n'a pas déjà accès, cet accès doit être formellement demandé à GDPR@mac-solutions.co.uk;

23.2 Les données personnelles doivent être traitées avec soin à tout moment et ne doivent pas être laissées sans surveillance ou à la vue d'employés, agents, sous-traitants ou autres parties non autorisés à tout moment;

23.3 Si des données personnelles sont visualisées sur un écran d'ordinateur et que l'ordinateur en question doit être laissé sans surveillance pendant une période de temps quelconque, l'utilisateur doit verrouiller l'ordinateur et l'écran avant de le quitter; et

23.4 Lorsque les données personnelles détenues par la Société sont utilisées à des fins de marketing, il incombe au directeur marketing de s'assurer que le consentement approprié est obtenu et qu'aucune personne concernée ne s'est désistée.

Sécurité des données - Sécurité informatique

La Société s'assurera que les mesures suivantes sont prises en matière de sécurité informatique et de l'information:

24.1 Tous les mots de passe utilisés pour protéger les données personnelles doivent être modifiés régulièrement et ne doivent pas utiliser de mots ou d'expressions qui peuvent être facilement devinés ou autrement compromis. Tous les mots de passe doivent contenir une combinaison de lettres majuscules et minuscules, de chiffres et de symboles. Tous les logiciels utilisés par la Société sont conçus pour exiger de tels mots de passe;

24.2 En aucun cas, aucun mot de passe ne doit être écrit ou partagé entre des employés, agents, sous-traitants ou autres parties travaillant pour le compte de la Société, indépendamment de l'ancienneté ou du service. Si un mot de passe est oublié, il doit être réinitialisé à l'aide de la méthode applicable. Le personnel informatique n'a pas accès aux mots de passe;

24.3 Tous les logiciels (y compris, mais sans s'y limiter, les applications et les systèmes d'exploitation) doivent être tenus à jour. Le personnel informatique de la société sera responsable de l’installation de toutes les mises à jour liées à la sécurité dès que raisonnablement et pratiquement possible, à moins qu’il n’existe des raisons techniques valables de ne pas le faire; et

24.4 Aucun logiciel ne peut être installé sur un ordinateur ou un appareil appartenant à la Société sans l'approbation préalable du responsable informatique.

Mesures organisationnelles

La Société veille à ce que les mesures suivantes soient prises en ce qui concerne la collecte, la conservation et le traitement des données à caractère personnel:

25.1 Tous les employés, agents, sous-traitants ou autres parties travaillant pour le compte de la Société seront pleinement informés de leurs responsabilités individuelles et des responsabilités de la Société en vertu du RGPD et de la présente Politique, et recevront une copie de cette Politique;

25.2 Seuls les employés, agents, sous-traitants ou autres parties travaillant pour le compte de la société qui ont besoin d'accéder aux données personnelles et de les utiliser afin de s'acquitter correctement des tâches qui leur sont confiées auront accès aux données personnelles détenues par la société;

25.3 Tous les employés, agents, sous-traitants ou autres parties travaillant pour le compte de la Société traitant des données personnelles seront correctement formés pour le faire;

25.4 Tous les employés, agents, sous-traitants ou autres parties travaillant pour le compte de la Société traitant des données personnelles seront supervisés de manière appropriée;

25.5 Tous les employés, agents, sous-traitants ou autres parties travaillant pour le compte de la Société traitant des données personnelles seront tenus et encouragés à faire preuve de prudence, de prudence et de discrétion lorsqu'ils discutent de questions liées au travail liées aux données personnelles, que ce soit sur le lieu de travail ou autrement;

25.6 Les méthodes de collecte, de conservation et de traitement des données personnelles doivent être régulièrement évaluées et revues;

25.7 Toutes les données personnelles détenues par la société seront examinées périodiquement, comme indiqué dans la politique de conservation des données de la société;

25.8 La performance de ces employés, agents, sous-traitants ou autres parties travaillant pour le compte de la Société traitant des données personnelles sera régulièrement évaluée et revue;

25.9 Tous les employés, agents, sous-traitants ou autres parties travaillant pour le compte de la Société traitant des données personnelles seront tenus de le faire conformément aux principes du RGPD et de la présente Politique par contrat;

25.10 Tous les agents, sous-traitants ou autres parties travaillant pour le compte de la société traitant des données personnelles doivent veiller à ce que tous leurs employés impliqués dans le traitement des données personnelles soient soumis aux mêmes conditions que les employés concernés de la société. hors de cette politique et du RGPD; et

25.11 Lorsqu'un agent, un contractant ou une autre partie travaillant pour le compte de la société traitant des données personnelles manque à ses obligations en vertu de la présente politique, cette partie indemnisera et dégagera la société de tous coûts, responsabilité, dommages, pertes, réclamations ou procédures pouvant survenir. de cet échec.

Transfert de données personnelles vers un pays en dehors de l'EEE

26.1 La Société peut de temps à autre transférer (le «transfert» comprend la mise à disposition à distance) des données personnelles vers des pays en dehors de l’EEE.

26.2 Le transfert de données à caractère personnel vers un pays en dehors de l'EEE n'a lieu que si une ou plusieurs des conditions suivantes s'appliquent:

26.2.1 Le transfert s'effectue vers un pays, un territoire ou un ou plusieurs secteurs spécifiques de ce pays (ou d'une organisation internationale) dont la Commission européenne a déterminé qu'il assure un niveau adéquat de protection des données à caractère personnel;

26.2.2 Le transfert s'effectue vers un pays (ou une organisation internationale) qui fournit des garanties appropriées sous la forme d'un accord juridiquement contraignant entre les autorités ou organismes publics; règles d'entreprise contraignantes; les clauses standard de protection des données adoptées par la Commission européenne; le respect d’un code de conduite approuvé par une autorité de contrôle (par exemple, le Bureau du commissaire à l’information); certification dans le cadre d'un mécanisme de certification approuvé (tel que prévu dans le RGPD); les clauses contractuelles convenues et autorisées par l'autorité de contrôle compétente; ou des dispositions insérées dans des arrangements administratifs entre autorités publiques ou organismes agréés par l'autorité de contrôle compétente;

26.2.3 Le transfert est effectué avec le consentement éclairé de la ou des personnes concernées;

26.2.4 Le transfert est nécessaire à l'exécution d'un contrat entre la personne concernée et la Société (ou pour les démarches précontractuelles prises à la demande de la personne concernée);

26.2.5 Le transfert est nécessaire pour d'importantes raisons d'intérêt public;

26.2.6 Le transfert est nécessaire à la conduite des réclamations légales;

26.2.7 Le transfert est nécessaire pour protéger les intérêts vitaux de la personne concernée ou d'autres personnes lorsque la personne concernée est physiquement ou légalement incapable de donner son consentement; ou

26.2.8 Le transfert est effectué à partir d'un registre qui, en vertu de la législation britannique ou européenne, est destiné à fournir des informations au public et qui est ouvert à l'accès du public en général ou de toute autre manière à ceux qui sont en mesure de démontrer un intérêt légitime à accéder au registre.

Notification de violation de données

27.1 Toutes les violations de données personnelles doivent être signalées immédiatement au délégué à la protection des données de la société.

27.2 Si une violation de données personnelles se produit et que cette violation est susceptible d'entraîner un risque pour les droits et libertés des personnes concernées (par exemple, une perte financière, une violation de la confidentialité, une discrimination, une atteinte à la réputation ou d'autres dommages sociaux ou économiques importants), les données Le délégué à la protection doit veiller à ce que le bureau du commissaire à l'information soit informé de la violation sans délai et, en tout état de cause, dans les 72 heures après en avoir eu connaissance.

27.3 Dans le cas où une violation de données à caractère personnel est susceptible d'entraîner un risque élevé (c'est-à-dire un risque plus élevé que celui décrit dans la partie 27.2) pour les droits et libertés des personnes concernées, le délégué à la protection des données doit s'assurer que toutes les données concernées les sujets sont informés de la violation directement et sans retard indu.

27.4 Les notifications de violation de données doivent inclure les informations suivantes:

27.4.1 Les catégories et le nombre approximatif de personnes concernées;

27.4.2 Les catégories et le nombre approximatif d'enregistrements de données personnelles concernés;

27.4.3 Le nom et les coordonnées du délégué à la protection des données de la Société (ou autre point de contact où plus d'informations peuvent être obtenues);

27.4.4 Les conséquences probables de la violation;

27.4.5 Détails des mesures prises ou proposées par la Société pour remédier à la violation, y compris, le cas échéant, des mesures pour en atténuer les effets négatifs éventuels.

Mise en œuvre de la politique

Cette politique sera considérée comme effective à compter du 25 mai 2018. Aucune partie de cette politique n'aura d'effet rétroactif et ne s'appliquera donc qu'aux problèmes survenant à cette date ou après cette date.