Politique

Politique de protection des données - (Règlement UE 2016/679 du 27 avril 2016 (RGPD) et loi n°78-17 du 6 janvier 1978)

PRÉAMBULE :

La présente politique de protection des données a vocation à informer les Personnes Concernées sur le traitement de leurs données à caractère personnel dans le cadre de traitements automatisés et non automatisés, conformément aux dispositions de la loi n°78-17 du 6 janvier 1978 et du règlement UE 2016/679 du 27 avril 2016 (ci-après « RGPD ») et aux autres dispositions légales et réglementaires en vigueur (ci-après la « Réglementation en vigueur ») relatives à la protection des données à caractère personnel.

Les termes « Données à caractère personnel », « Responsable de Traitement », « Sous-traitant », « Traitement », « Personne Concernée », « Violation de données à caractère personnel » et « Autorité de Contrôle » sont définis tels qu’ils sont définis dans l’article 4 du RGPD.

LES PRINCIPALES CATÉGORIES DE DONNÉES À CARACTÈRE PERSONNEL FAISANT L’OBJET D’UN TRAITEMENT

Les données à caractère personnel collectées sont les suivantes :

i. Avant la commande : capture de l’iris des prospects (test, démonstration),

ii. Lors de la commande :

a. Données d’identification (nom, prénom, sexe),

b. Captures des iris,

c. Données de contact (adresse postale, adresse de messagerie électronique, numéros de téléphone)

iii. Lors de la relation contractuelle : Capture de l’iris des clients finaux, données relatives à la relation contractuelle et commerciale entre les Personnes Concernées et IRIS GALERIE (par ex. catégorie d’abonnement, historique d’achat),

iv. Lors de la visite d’un site web du réseau IRIS GALERIE : données collectées au moyen de cookies, traceurs ou moyens techniques équivalents (pour plus d'information sur la gestion des cookies et traceurs, consulter la notice d’information relative à la gestion des cookies).

INFORMATIONS LÉGALES À DESTINATION DES PERSONNES CONCERNÉES

Les présentes ont notamment pour objet de donner aux Personnes Concernées les informations légales requises, lesquelles sont les suivantes :

(a) Identité et coordonnées du Responsable du Traitement de données à caractère personnel

L'identité et les coordonnées postales du Responsable du Traitement de données à caractère personnel sont les suivantes :

la société IRIS GALERIE, société par actions simplifiée immatriculée au registre du commerce et des sociétés de Paris sous le numéro 897514618, dont le siège social est 60 rue de la Boétie, 75008 Paris (ci-après « IRIS GALERIE ») ;

(b) Coordonnées du délégué à la protection des données

Les coordonnées du délégué à la protection des données sont les suivantes :

Maître Pascal Alix, avocat associé de l’AARPI VIRTUALEGIS, 5 rue Jean-Baptiste Dumas, 75017 Paris ; adresse e-mail : dpo.irisgalerie@virtua-legis.com.

(c) Finalités des Traitements de données à caractère personnel

Les finalités des Traitements auxquels sont destinées les données à caractère personnel sont les suivantes :

(i) identification des Personnes Concernées et contact avec celles-ci (clients finaux),
(ii) identification des Personnes contacts au sein des entités prestataires et membres du réseau IRIS GALERIE,
(iii) fourniture des services contractuels,
(iv) administration des contrats et des comptes clients,
(v) gestion des relations avec les interlocuteurs chez les prestataires et membres du réseau IRIS GALERIE,
(vi) envoi d’informations et/ou de propositions de services aux Personnes Concernées.

(d) Bases juridiques des Traitements

Les bases juridiques du Traitement sont, selon les Traitements :

(i) la nécessité de l’exécution des mesures précontractuelles prises à la demande de clients finaux avant de bénéficier éventuellement des services contractuels (tests, démonstrations),
(ii) la nécessité de l’exécution d’un contrat conclu avec les entités membres du réseau IRIS GALERIE et les clients finaux pour que les Personnes Concernées puissent bénéficier des services contractuels,
(iii) la nécessité, pour IRIS GALERIE, de poursuivre son intérêt légitime, notamment pour administrer la relation avec les entités membres du réseau IRIS GALERIE et les clients finaux,
(iv) a nécessité, pour IRIS GALERIE, de respecter des obligations légales auxquelles elle est soumise, notamment au titre des exercices des droits et des obligations fiscales et comptables.

(e) Destinataires des données à caractère personnel

Les destinataires des données à caractère personnel traitées sont :

les membres du personnel d’IRIS GALERIE en charge des prestations contractuelles et de l’administration des relations avec les entités membres du réseau IRIS GALERIE et avec les clients finaux,
les membres du personnel des prestataires sous-traitants et non sous-traitants d’IRIS GALERIE participant à la réalisation de ces prestations telles que, par exemple, les laboratoires de production, les transporteurs et les prestataires de services informatiques.
les membres du personnel des entités membres du réseau IRIS GALERIE, responsables de traitement conjoints ou indépendants.

(f) Transfert des données à caractère personnel hors de l’Espace économique européen (E.E.E.)

Les Personnes Concernées sont informées de ce que le Responsable du Traitement peut, le cas échéant, notamment lorsqu’un prestataire est situé en dehors de l’E.E.E., effectuer un transfert des données à caractère personnel vers un pays tiers faisant l’objet d’une décision d’adéquation rendue par la Commission européenne ; si le pays destinataire ne fait pas l’objet d’une décision d’adéquation, le transfert ne peut être effectué qu’à la condition que soient mises en place les garanties appropriées et que les Personnes Concernées par le Traitement de données à caractère personnel disposent de droits opposables et de voies de recours effectives, dans les conditions de la Réglementation en vigueur et notamment des articles 46 à 49 du RGPD.

(g) Durée de conservation des données à caractère personnel

Les durées de conservation des données à caractère personnel des Personnes concernées varient selon la finalité des Traitements et selon la nature de la relation (prospect n’ayant jamais contracté ou client).

Le tableau ci-dessous précise les principales durées de conservation des données à caractère personnelles se rapportant aux Personnes Concernées :

Catégories de données	Finalités	Durées de conservation
Prospects
Ensemble des données à caractère personnel (dont données d’identification et de contact)	Constitution et exploitation d’un fichier de prospects	3 (trois) ans à compter du dernier contact avec le prospect
Clients et anciens clients
Données d’identification et de contact.	Gestion des comptes clients, des identifiants et mots de passe, des commandes, de la facturation et des paiements. Envoi d’informations sur l’évolution des offres.	Pendant toute la durée de la relation contractuelle (tant que les Personnes Concernées n’ont pas manifesté leur intention de ne plus voir conserver leurs données à caractère personnel), dans la limite maximale de 3 (trois) ans à compter de la dernière commande de prestations et/ou documents effectuée par les Personnes Concernées.
Données relatives à l’exécution du contrat	Gestion du compte client des commandes, de la facturation et des paiements.	10 ans à compter de la dernière commande de prestations et/ou documents effectuée par les Personnes Concernées.
Captures des iris.	Réalisation des œuvres.	24 heures en base active.
Données relatives à l’exercice d’un droit par une Personne concernée.	Exécution des obligations des articles 15 et suivants du RGPD.	Les données sont conservées l’année civile de la demande, plus cinq ans.
Interlocuteurs chez les sous-traitants et partenaires non sous-traitants
Données d’identification et de contact.	Gestion des comptes clients, des commandes, de la facturation et des paiements. Envoi d’informations sur l’évolution des offres.	Pendant toute la durée de la relation contractuelle (tant que les Personnes Concernées n’ont pas manifesté leur intention de ne plus voir conserver leurs données à caractère personnel), dans la limite maximale de 3 (trois) ans à compter du dernier contact dans le cadre de la dernière relation contractuelle..

(h) Droits des Personnes Concernées pouvant être exercés auprès du Responsable du Traitement (tel qu’identifiés ci-avant)

Au regard de la base juridique des Traitements comprenant notamment celle du consentement, la personne concernée dispose des droits suivants, dans les conditions prévues par la Réglementation en vigueur :

l’accès à ses données à caractère personnel ;
la rectification des données à caractère personnel lorsqu’elles sont inexactes ou incomplètes ;
l’effacement de celles-ci, notamment lorsque ces données ne sont plus nécessaires au regard de la finalité du Traitement ou lorsque la personne concernée a retiré son consentement ou lorsque le Traitement est illicite, sous réserve des obligations légales de conservation ;
une limitation du Traitement de ses données à caractère personnel lorsque l’exactitude des données est en cours de vérification en suite d’une contestation par la personne concernée, lorsque le Traitement est illicite et la personne concernée s’oppose à l’effacement des données et exige à la place la limitation de leur utilisation ou lorsque le Responsable du Traitement n’a plus besoin des données à caractère personnel aux fins du traitement mais celles-ci sont encore nécessaires à la personne concernée pour la constatation, l’exercice ou la défense de droits en justice ;
l’opposition de la personne concernée au Traitement de ses données à caractère personnel pour des raisons tenant à sa situation particulière ;
l’opposition des Personnes Concernées à tout moment au Traitement de ses données à caractère personnel à des fins de prospection, y compris au profilage ;
la portabilité de ses données à caractère personnel dans les conditions de la Réglementation en vigueur laquelle dispose notamment que les Personnes Concernées par un Traitement de données à caractère personnel ont le droit de recevoir les données à caractère personnel les concernant qu’elles ont fourni au Responsable du Traitement, dans un format structuré, couramment utilisé et lisible par machine, et ont le droit de voir transmettre ces données à un autre Responsable du Traitement ;
le droit de définir des directives relatives au sort de ses données à caractère personnel après son décès ;

L’exercice des droits tel qu’identifié au présent (h) est réalisé par la personne concernée auprès du Responsable du Traitement (tel qu’identifié ci-avant) au moyen d’une demande effectuée par ses soins ou par une personne dûment mandatée, adressée au délégué à la protection des données d’IRIS GALERIE à l’adresse e-mail suivante : dpo.irisgalerie@virtua-legis.com.

(i) Réclamation auprès de la CNIL

Les Personnes Concernées peuvent, notamment si elles estiment que les réponses apportées par le Responsable de Traitement à leurs questions concernant le traitement de leurs données à caractère personnel ne sont pas satisfaisantes, introduire une réclamation auprès de l’autorité de contrôle, à savoir la Commission nationale de l’informatique et des libertés (CNIL) : 3 Place de Fontenoy - TSA 80715 - 75334 Paris 07.

(j) Caractère obligatoire de la fourniture de certaines données à caractère personnel

L’exercice par une personne concernée de son droit de s’opposer au traitement de certaines de ses données à caractère personnel (et notamment des données de localisation et/ou de contact) pour des raisons tenant à sa situation particulière peut mettre obstacle à la conclusion du contrat. L’exercice ultérieur du même droit peut mettre obstacle, le cas échéant, à l’accès à des services contractuels complémentaires.

(k) Prise de décision automatisée

Il n’est procédé, au moyen des données à caractère personnel collectées, à aucune prise de décision automatisée au sens de la Réglementation en vigueur.

(l) Éventuel Traitement ultérieur des données à caractère personnel

En principe, IRIS GALERIE n’effectue aucun traitement ultérieur des données à caractère personnel pour une finalité autre que celle pour laquelle les données à caractère personnel ont été collectées. Mais dans le cas où un traitement serait effectué pour une ou plusieurs finalités, non incompatibles, autres que celles déterminées initialement, le Responsable du Traitement fournit au préalable aux Personnes Concernées les informations requises au sujet de cette/ces finalités et, si nécessaire, obtient préalablement leur consentement.

Politique de confidentialité