Accueil

Conformité au RGPD

La présente politique décrit le cadre organisationnel adopté par TERBISO pour gérer la protection des données personnelles conformément aux principes du Règlement général sur la protection des données (RGPD – Règlement (UE) 2016/679).

Contrairement à la politique de confidentialité et à la politique relative aux cookies, ce document porte principalement sur l'organisation interne de la protection des données, la gestion des responsabilités, la prévention des risques et les procédures mises en place pour encadrer les traitements de données personnelles.

1. Responsabilité en matière de protection des données

La protection des données personnelles fait partie intégrante de la gestion des activités réalisées par l'intermédiaire du site.

Les modalités de traitement sont évaluées en tenant compte de plusieurs éléments :

  • La nature des activités concernées ;

  • Les technologies utilisées ;

  • Les risques potentiels pour les droits et libertés des personnes concernées.

Lorsque les activités, les outils utilisés ou les circonstances susceptibles d'avoir une incidence sur la sécurité et la conformité évoluent, les procédures relatives à la protection des données sont réexaminées.

2. Protection des données dès la conception

Lorsqu'une nouvelle fonctionnalité, un nouvel outil ou un nouveau processus susceptible d'impliquer le traitement de données personnelles est introduit, les exigences relatives à la protection des données sont prises en compte dès sa conception.

Lorsque cela est approprié, la configuration des systèmes repose notamment sur les principes suivants :

  • Limiter l'accès aux données personnelles aux seules personnes qui en ont réellement besoin ;

  • Restreindre l'utilisation des données à ce qui est nécessaire pour réaliser les opérations concernées.

Les paramètres appliqués par défaut sont également examinés afin de limiter autant que possible les traitements de données qui ne sont pas nécessaires.

3. Évaluation et gestion des risques

Les activités impliquant le traitement de données personnelles font l'objet d'une évaluation tenant compte des risques susceptibles d'affecter les droits et libertés des personnes concernées.

Cette évaluation peut notamment prendre en considération :

  • La nature du traitement ;

  • Le volume de données concernées ;

  • Les catégories de données utilisées ;

  • Les technologies mises en œuvre ;

  • Les modalités d'accès aux données ;

  • Les conséquences potentielles d'une utilisation non autorisée.

Lorsqu'un traitement est susceptible d'engendrer un risque élevé pour les droits et libertés des personnes concernées, la nécessité de réaliser une analyse d'impact relative à la protection des données (AIPD ou DPIA – Data Protection Impact Assessment) est évaluée conformément aux exigences du RGPD.

4. Analyse d'impact relative à la protection des données

Lorsque les conditions prévues par le RGPD sont réunies, une analyse d'impact peut être réalisée avant le début du traitement concerné.

Cette analyse vise notamment à :

  • Identifier les risques associés au traitement ;

  • Évaluer la probabilité de survenance des risques et la gravité de leurs conséquences potentielles ;

  • Déterminer les mesures nécessaires pour réduire ces risques ;

  • Vérifier si le traitement peut être réalisé dans des conditions appropriées de protection des données.

Si les résultats de l'analyse révèlent des risques résiduels qui ne peuvent pas être suffisamment réduits par des mesures appropriées, les démarches complémentaires prévues par la réglementation applicable sont examinées.

5. Encadrement des prestataires traitant des données personnelles

Lorsque TERBISO fait appel à des prestataires externes qui traitent des données personnelles pour son compte, les garanties prévues par la législation applicable en matière de protection des données sont prises en considération lors de leur sélection.

Les missions confiées sont définies en fonction des besoins opérationnels et des responsabilités attribuées à chaque intervenant.

Lorsque le RGPD l'exige, les relations entre TERBISO et les prestataires agissant en qualité de sous-traitants sont encadrées par un contrat ou un autre document juridiquement valable répondant aux exigences réglementaires.

Les prestataires autorisés doivent notamment :

  • Traiter les données personnelles uniquement dans le cadre des missions qui leur sont confiées ;

  • Respecter les instructions applicables à leurs activités de traitement.

6. Gestion des autorisations et des accès

L'accès aux données personnelles est limité en fonction des besoins réels liés aux activités exercées.

Les autorisations sont attribuées selon les responsabilités de chaque intervenant. Elles peuvent être modifiées ou retirées lorsqu'elles ne sont plus nécessaires.

Cette gestion des accès vise à réduire les risques de consultation, d'utilisation ou de modification des données personnelles par des personnes non autorisées.

7. Gestion des violations de données personnelles

Tout incident susceptible de compromettre la sécurité des données personnelles fait l'objet d'une évaluation tenant compte notamment :

  • De sa nature ;

  • De son étendue ;

  • De ses conséquences potentielles.

En cas de violation de données personnelles, les mesures nécessaires sont prises afin de maîtriser l'incident et de limiter autant que possible ses effets.

Lorsque la réglementation impose une notification à l'autorité de contrôle compétente ou une communication aux personnes concernées, les obligations correspondantes sont respectées dans les conditions et délais prévus par le RGPD.

8. Documentation et tenue des registres

En fonction de la nature et de l'ampleur des activités réalisées, la gestion de la conformité peut également comprendre la conservation des documents et registres nécessaires pour démontrer le respect des obligations prévues par le RGPD, lorsque la réglementation l'exige.

Les documents concernés peuvent notamment porter sur :

  • Les activités de traitement des données personnelles ;

  • Les mesures techniques et organisationnelles mises en œuvre ;

  • Les évaluations des risques ;

  • Les autorisations d'accès ;

  • Les mesures et actions relatives à la protection des données personnelles.

Cette documentation contribue à assurer le suivi des mesures de protection et à justifier les démarches de conformité entreprises.

9. Sensibilisation et formation

Les personnes autorisées à accéder aux données personnelles doivent connaître les responsabilités liées à leur utilisation.

Selon les fonctions exercées, les actions de sensibilisation et de formation peuvent notamment porter sur :

  • Les obligations de confidentialité ;

  • Les règles d'accès et d'utilisation des données ;

  • Le traitement des demandes formulées par les personnes concernées ;

  • Les mesures à prendre en cas d'incident de sécurité avéré ou suspecté.

Une autorisation d'accès aux données personnelles ne permet pas de les utiliser à des fins étrangères aux missions confiées.

10. Désignation d'un délégué à la protection des données

Lorsque les conditions légales prévues par le RGPD sont réunies, un délégué à la protection des données (DPO – Data Protection Officer) est désigné.

La nécessité de cette désignation est évaluée en fonction de plusieurs critères relatifs aux activités de traitement, notamment :

  • Leur nature ;

  • Leur portée ;

  • Leurs finalités ;

  • Leur volume.

La présente politique ne constitue pas une déclaration selon laquelle un DPO aurait déjà été désigné.

11. Coopération avec les autorités de contrôle

Lorsque la réglementation applicable le prévoit, TERBISO coopère avec les autorités de contrôle compétentes pour les questions relatives à la protection des données personnelles.

Pour les activités relevant du cadre français de protection des données, l'autorité nationale compétente est la Commission nationale de l'informatique et des libertés (CNIL).

Cette coopération peut notamment comprendre :

  • Le traitement des demandes formulées par les autorités compétentes ;

  • La participation aux contrôles et vérifications prévus par la réglementation ;

  • Le traitement des communications et démarches exigées par la loi.

12. Vérification et révision des mesures de conformité

Les procédures relatives à la protection des données sont réexaminées lorsque des changements importants affectent les activités, les systèmes utilisés, les risques identifiés ou la réglementation applicable.

Les vérifications peuvent notamment porter sur :

  • L'efficacité des mesures de protection mises en œuvre ;

  • Les autorisations et les modalités d'accès aux données ;

  • Les procédures organisationnelles ;

  • Les risques existants ou nouvellement identifiés.

Lorsque cela est nécessaire, des ajustements sont envisagés afin de maintenir un niveau de protection adapté à la nature réelle des activités de traitement.

13. Mise à jour de la politique RGPD

La présente politique peut être mise à jour en fonction de l'évolution :

  • Des dispositions légales et réglementaires ;

  • Des technologies utilisées ;

  • Des procédures organisationnelles ;

  • Des modalités de gestion des activités de traitement des données personnelles.

Les modifications nécessaires sont examinées et intégrées lorsqu'elles contribuent à maintenir la cohérence et l'adéquation du cadre organisationnel de protection des données.

Toute version actualisée est publiée sur le site et prend effet à compter de la date qui y est indiquée.

14. Nous contacter

Pour toute question concernant la présente politique RGPD ou l'organisation des mesures de conformité relatives à la protection des données personnelles, vous pouvez nous contacter aux coordonnées suivantes :

Nom de la boutique : TERBISO

Adresse : 2902 Mount Hope Rd, Webb City, MO 64870, États-Unis

Téléphone : +1 (417) 629-4836

E-mail : office@terbiso.com

Zone de service : France