Politique de conformité au RGPD

La présente politique décrit les principes et les engagements adoptés dans le cadre de la protection des données personnelles sur le site goprodon.com. Elle a pour objectif de présenter notre démarche de conformité au Règlement général sur la protection des données (RGPD) et à la loi française Informatique et Libertés.

Elle complète notre Politique de confidentialité, qui présente les catégories de données personnelles traitées, les finalités des traitements, les destinataires, les cookies et les modalités de conservation. Elle ne la remplace pas et ne constitue pas, à elle seule, une base légale autorisant un traitement de données personnelles.

1. Cadre juridique et principes de conformité

Dans le cadre des traitements de données personnelles soumis au droit européen, nous nous engageons à respecter les dispositions applicables du Règlement (UE) 2016/679 du 27 avril 2016 (RGPD), ainsi que la loi française Informatique et Libertés et les recommandations pertinentes de la Commission nationale de l'informatique et des libertés (CNIL).

Notre démarche de conformité repose notamment sur les principes suivants :

  • Licéité, loyauté et transparence : les données personnelles sont traitées sur une base légale valable, de manière loyale et transparente à l'égard des personnes concernées.

  • Limitation des finalités : les données sont collectées pour des objectifs déterminés, explicites et légitimes, et ne sont pas réutilisées de manière incompatible avec ces objectifs.

  • Minimisation des données : seules les données adéquates, pertinentes et nécessaires aux finalités poursuivies sont traitées.

  • Exactitude : les données doivent être exactes et, si nécessaire, tenues à jour.

  • Limitation de la conservation : les données ne sont pas conservées au-delà de la durée nécessaire aux finalités du traitement, sous réserve des obligations légales applicables.

  • Intégrité et confidentialité : des mesures adaptées sont mises en œuvre pour protéger les données contre les accès non autorisés, la perte, l'altération ou la divulgation.

  • Responsabilité : nous veillons à pouvoir démontrer le respect des obligations applicables en matière de protection des données.

Ces principes guident les traitements de données personnelles réalisés dans le cadre de la consultation du site, de la gestion des comptes et des commandes ainsi que des services associés.

2. Responsabilités en matière de protection des données

2.1. Responsable du traitement

Le responsable du traitement détermine les finalités et les moyens des traitements de données personnelles. Il lui appartient de veiller à ce que les traitements relevant de sa responsabilité respectent le RGPD et les dispositions nationales applicables.

Pour les traitements dont il détermine les finalités et les moyens, l'exploitant du site assume les obligations correspondantes, notamment en matière de licéité, de transparence, de sécurité, de respect des droits des personnes et de documentation de la conformité.

2.2. Sous-traitants et prestataires

Certains traitements peuvent être confiés à des prestataires intervenant pour le fonctionnement du site ou la fourniture de services, notamment dans les domaines du paiement, de la livraison, de l'hébergement ou de l'assistance technique.

Lorsqu'un prestataire traite des données personnelles pour notre compte et en qualité de sous-traitant au sens du RGPD, les exigences de l'article 28 du RGPD doivent être respectées. Elles prévoient notamment :

  • La définition documentée de l'objet, de la durée, de la nature et de la finalité du traitement ;

  • La limitation du traitement aux instructions documentées du responsable du traitement ;

  • L'obligation de confidentialité des personnes autorisées à traiter les données ;

  • La mise en œuvre de mesures de sécurité appropriées ;

  • L'encadrement du recours à d'autres sous-traitants ;

  • L'assistance au responsable du traitement pour répondre aux demandes d'exercice des droits et respecter ses obligations réglementaires ;

  • La suppression ou la restitution des données à la fin de la prestation, selon les conditions applicables ;

  • La mise à disposition des informations nécessaires pour démontrer le respect des obligations prévues par l'article 28.

Un prestataire qui détermine lui-même les finalités et les moyens d'un traitement peut, selon les circonstances, agir en qualité de responsable du traitement distinct. Les responsabilités de chaque intervenant sont appréciées en fonction de son rôle réel et des traitements effectivement réalisés.

3. Organisation et gestion de la conformité

Nous veillons à intégrer les exigences de protection des données dans la gestion des activités du site et dans les décisions relatives aux traitements de données personnelles.

3.1. Encadrement des traitements

Les traitements doivent répondre à une finalité légitime et reposer sur une base légale appropriée, telle que l'exécution d'un contrat, le respect d'une obligation légale, l'intérêt légitime ou le consentement de la personne concernée, selon la situation.

Nous veillons à ce que les informations communiquées aux utilisateurs soient cohérentes avec les traitements réellement effectués. La présente politique ne vaut pas consentement général à l'ensemble des traitements et ne remplace pas les informations spécifiques prévues par les articles 13 et 14 du RGPD.

3.2. Documentation des traitements

Nous veillons à documenter les traitements de données personnelles relevant de notre responsabilité.

Lorsque les conditions de l'article 30 du RGPD sont réunies, nous tenons un registre des activités de traitement comportant les informations requises par la réglementation, notamment les finalités, les catégories de personnes concernées, les catégories de données, les destinataires, les transferts éventuels et, lorsque cela est possible, les durées de conservation et les mesures de sécurité.

Les obligations de documentation sont appliquées en tenant compte de la nature, de la portée, du contexte et des finalités des traitements.

3.3. Protection des données dès la conception et par défaut

Conformément à l'article 25 du RGPD, nous veillons, lorsque cela est applicable, à prendre en compte la protection des données dès la conception des services, des fonctionnalités et des processus de traitement.

Nous cherchons notamment à :

  • Limiter les données collectées à ce qui est nécessaire ;

  • Encadrer les accès aux informations personnelles ;

  • Éviter les utilisations incompatibles avec les finalités initiales ;

  • Prévoir des paramètres respectueux de la vie privée par défaut ;

  • Limiter l'accessibilité des données aux personnes qui en ont besoin.

Ces principes sont pris en considération lors de la mise en place ou de l'évolution des fonctionnalités du site.

3.4. Analyse d'impact relative à la protection des données

Lorsqu'un traitement est susceptible d'engendrer un risque élevé pour les droits et libertés des personnes physiques, nous examinons la nécessité de réaliser une analyse d'impact relative à la protection des données (AIPD), conformément à l'article 35 du RGPD.

Cette analyse vise notamment à décrire le traitement, à évaluer sa nécessité et sa proportionnalité, à identifier les risques pour les personnes concernées et à déterminer les mesures destinées à les réduire.

Lorsque les conditions prévues par la réglementation sont réunies, les démarches complémentaires requises sont effectuées, notamment la consultation préalable de l'autorité de contrôle dans les cas prévus à l'article 36 du RGPD.

4. Garantie des droits des personnes concernées

Nous veillons à ce que les personnes dont les données sont traitées puissent exercer les droits qui leur sont reconnus par le RGPD et la loi Informatique et Libertés.

Selon les circonstances et sous réserve des conditions et exceptions prévues par la réglementation, ces droits comprennent notamment :

  • Droit d'accès : obtenir la confirmation qu'un traitement est effectué et accéder aux données personnelles concernées ;

  • Droit de rectification : demander la correction de données inexactes ou incomplètes ;

  • Droit à l'effacement : demander la suppression de données lorsque les conditions légales sont réunies ;

  • Droit à la limitation du traitement : obtenir la limitation temporaire de certains traitements dans les situations prévues par le RGPD ;

  • Droit à la portabilité : recevoir les données fournies dans un format structuré et couramment utilisé, lorsque les conditions légales sont réunies ;

  • Droit d'opposition : s'opposer à certains traitements, notamment ceux fondés sur l'intérêt légitime, dans les conditions prévues par la réglementation ;

  • Droit de retirer son consentement : retirer à tout moment un consentement précédemment donné, lorsque le traitement repose sur cette base légale.

L'exercice de ces droits n'est pas absolu. Certaines demandes peuvent être limitées ou refusées lorsque la réglementation le prévoit, par exemple en présence d'une obligation légale de conservation ou lorsque les conditions d'exercice du droit concerné ne sont pas réunies.

4.1. Présentation et traitement des demandes

Les demandes relatives aux droits des personnes peuvent être adressées par courrier électronique à :

E-mail : soap@goprodon.com

Nous examinons chaque demande dans les conditions prévues par le RGPD. Lorsque cela est nécessaire et proportionné, nous pouvons demander des informations complémentaires afin de vérifier l'identité de la personne qui présente la demande.

Conformément à l'article 12 du RGPD, nous répondons en principe dans un délai d'un mois à compter de la réception de la demande. Ce délai peut être prolongé de deux mois supplémentaires en raison de la complexité ou du nombre de demandes. Dans ce cas, la personne concernée est informée de cette prolongation et de ses motifs dans le délai initial d'un mois.

Lorsque nous ne donnons pas suite à une demande, nous communiquons les motifs de notre décision ainsi que les possibilités de réclamation auprès d'une autorité de contrôle et de recours juridictionnel, conformément aux dispositions applicables.

4.2. Réclamation auprès de la CNIL

Toute personne estimant que ses données personnelles sont traitées en violation de la réglementation peut introduire une réclamation auprès de l'autorité de contrôle compétente.

En France, cette autorité est la Commission nationale de l'informatique et des libertés (CNIL).

Informations et démarches : https://www.cnil.fr/

5. Sécurité et confidentialité des données

Conformément à l'article 32 du RGPD, nous veillons à mettre en œuvre des mesures techniques et organisationnelles adaptées au niveau de risque présenté par les traitements.

Ces mesures sont déterminées en tenant compte notamment de la nature des données, du contexte du traitement, des risques pour les personnes concernées et de l'état des connaissances.

Notre démarche de sécurité repose notamment sur les principes suivants :

  • Gestion des accès : limiter l'accès aux données personnelles aux personnes qui en ont besoin dans le cadre de leurs fonctions ou missions ;

  • Confidentialité : veiller à ce que les personnes autorisées à traiter les données soient soumises à des obligations de confidentialité appropriées ;

  • Protection des informations : prévenir, dans la mesure appropriée, les accès non autorisés, les divulgations, les modifications ou les pertes de données ;

  • Gestion des risques : examiner les risques liés aux traitements et adapter les mesures de protection en conséquence ;

  • Suivi des prestataires : tenir compte des exigences de sécurité et de protection des données dans les relations avec les prestataires concernés.

Les mesures sont adaptées aux traitements effectivement réalisés et peuvent évoluer en fonction des risques identifiés, des changements techniques et des exigences réglementaires.

6. Gestion des violations de données personnelles

Une violation de données personnelles peut notamment résulter d'une destruction, d'une perte, d'une altération, d'une divulgation non autorisée ou d'un accès non autorisé à des données personnelles.

Lorsqu'une violation est constatée ou portée à notre connaissance, nous prenons les mesures nécessaires, selon la situation, afin de :

  • Identifier la nature et l'étendue de l'incident ;

  • Évaluer les catégories de données et les personnes concernées ;

  • Limiter les conséquences de l'incident et prévenir, dans la mesure du possible, sa répétition ;

  • Évaluer les risques pour les droits et libertés des personnes ;

  • Documenter la violation et les mesures prises.

6.1. Notification à l'autorité de contrôle

Conformément à l'article 33 du RGPD, lorsqu'une violation de données personnelles est susceptible d'engendrer un risque pour les droits et libertés des personnes physiques, le responsable du traitement la notifie à l'autorité de contrôle compétente dans les meilleurs délais et, si possible, dans les 72 heures après en avoir pris connaissance.

Lorsque la notification intervient au-delà de ce délai, elle est accompagnée des motifs du retard. Si toutes les informations ne sont pas disponibles immédiatement, elles peuvent être communiquées progressivement dans les conditions prévues par le RGPD.

6.2. Information des personnes concernées

Conformément à l'article 34 du RGPD, lorsque la violation est susceptible d'engendrer un risque élevé pour les droits et libertés des personnes physiques, celles-ci sont informées dans les meilleurs délais, sauf si l'une des exceptions prévues par la réglementation s'applique.

Cette information présente, de manière claire et compréhensible, la nature de la violation, ses conséquences probables et les mesures prises ou proposées pour y remédier, ainsi que les coordonnées d'un point de contact lorsque cela est requis.

Toutes les violations ou tous les incidents de sécurité ne nécessitent donc pas une notification individuelle aux personnes concernées. Les obligations applicables sont déterminées en fonction du niveau de risque et des conditions prévues par le RGPD.

7. Encadrement des tiers et transferts internationaux

Nous veillons à ce que les relations avec les prestataires et les autres destinataires de données personnelles soient encadrées conformément à leurs rôles respectifs et aux exigences du RGPD.

Lorsque des données personnelles sont transférées vers un pays situé en dehors de l'Espace économique européen, les dispositions du chapitre V du RGPD, notamment les articles 44 à 49, doivent être respectées.

Selon le pays de destination, le destinataire et les circonstances du transfert, celui-ci doit reposer sur un mécanisme juridique valable, notamment :

  • Une décision d'adéquation de la Commission européenne, lorsque le pays ou le dispositif concerné bénéficie d'une telle décision et que ses conditions sont remplies ;

  • Des clauses contractuelles types adoptées par la Commission européenne, accompagnées, lorsque cela est nécessaire, d'une évaluation du transfert et de mesures supplémentaires appropriées ;

  • Des règles d'entreprise contraignantes approuvées, lorsqu'elles sont applicables ;

  • Une autre garantie ou dérogation autorisée par le RGPD, dans les limites prévues par celui-ci.

L'adresse de contact communiquée pour le site étant située aux États-Unis, une attention particulière est portée à l'identification des éventuels transferts de données vers ce pays ou vers d'autres pays tiers. Cette seule adresse ne permet toutefois pas de déterminer le lieu effectif d'hébergement, de traitement ou de stockage des données.

Les mécanismes de transfert applicables doivent donc être appréciés en fonction des flux de données réels et des prestataires concernés. Aucun dispositif particulier de certification ou de transfert n'est présumé du seul fait de la présente politique.

8. Désignation d'un délégué à la protection des données

Le RGPD prévoit, dans certaines situations définies à son article 37, la désignation obligatoire d'un délégué à la protection des données (DPO).

La présente politique ne constitue pas une déclaration de désignation d'un DPO.

Pour toute question relative à la protection des données personnelles, vous pouvez utiliser les coordonnées de contact indiquées dans la présente politique.

9. Articulation avec la Politique de confidentialité

La présente politique expose les principes et les obligations relatifs à notre démarche de conformité au RGPD.

Elle complète la Politique de confidentialité, qui fournit les informations détaillées destinées aux personnes concernées, notamment sur :

  • Les catégories de données personnelles traitées ;

  • Les finalités et les bases légales des traitements ;

  • Les destinataires et les éventuels transferts de données ;

  • Les cookies et les technologies similaires ;

  • Les durées ou critères de conservation ;

  • Les modalités pratiques d'exercice des droits.

En cas de question concernant un traitement particulier, nous vous invitons à consulter également la Politique de confidentialité. Les deux documents doivent être interprétés de manière complémentaire et conformément à la réglementation applicable.

10. Mise à jour et suivi de la conformité

Nous pouvons mettre à jour la présente politique afin de tenir compte de l'évolution de la réglementation européenne et française, des recommandations de la CNIL ou des modalités de fonctionnement du site.

La version en vigueur est celle publiée sur cette page. Nous vous invitons à la consulter régulièrement.

11. Contact

Pour toute question concernant la présente politique ou la protection de vos données personnelles, vous pouvez nous contacter aux coordonnées suivantes :

Site internet : goprodon.com
E-mail : soap@goprodon.com
Téléphone : +1 (731) 392-9471
Adresse postale : 146 Silverdale Cv, Jackson, TN 38305, United States

Horaires du service client : du lundi au vendredi, de 09 h 00 à 18 h 00.