Protection des données et respect des personnes

EURO CRM FRANCE, société par actions simplifiée dont le siège social est situé 11 rue de Solférino, 75007 Paris, est responsable des traitements dont elle détermine les finalités et les moyens, notamment pour le site www.eurocrm.com, ses relations professionnelles, la gestion de ses prospects, partenaires et candidats et certaines opérations propres de datamarketing.

EURO CRM FRANCE intervient également, avec d'autres entités du groupe eurocrm, pour le compte de marques clientes. Dans ce cadre, l'entité eurocrm concernée agit généralement en qualité de sous-traitant au sens du RGPD, sur instruction documentée du client qui demeure responsable du traitement. Selon la nature de l'opération et la répartition réelle des responsabilités, une entité eurocrm peut également agir comme responsable de traitement distinct ou, lorsque les conditions légales sont réunies, comme responsable conjoint. Cette qualification est déterminée au cas par cas dans les contrats et dans l'information remise aux personnes concernées.

La présente politique décrit les principes appliqués par eurocrm et les traitements relevant de sa responsabilité propre. Elle ne se substitue pas à l'information que doit fournir une marque cliente lorsqu'elle détermine les finalités d'un traitement opéré par eurocrm pour son compte.

EURO CRM FRANCE a obtenu en 2018 le label « Gouvernance RGPD » délivré à l'époque par la CNIL. Cette référence est historique et ne signifie pas qu'eurocrm bénéficie aujourd'hui d'un label ou d'une certification CNIL en cours de validité.

eurocrm conçoit ses traitements autour de principes simples : finalité identifiée, base juridique déterminée, minimisation des données, information compréhensible, durées de conservation définies, sécurité adaptée aux risques, traçabilité et exercice effectif des droits.

Lorsqu'une donnée est utilisée pour contacter une personne, eurocrm tient compte du canal, du contexte de collecte, du statut de la personne, de l'objet de la sollicitation, de la base juridique applicable et, le cas échéant, des règles sectorielles.

Les évolutions réglementaires relatives à la sollicitation commerciale sont intégrées aux processus de collecte, de sélection, de routage, de preuve, d'opposition et d'audit afin de limiter les contacts non souhaités et de préserver la qualité de la relation avec les personnes.

eurocrm tient également compte, lorsqu'ils sont pertinents, des codes et recommandations professionnelles applicables aux métiers de la relation client, de la data et du marketing, notamment ceux publiés par le SP2C et les organisations professionnelles représentatives du marketing et de la data. Ces référentiels complètent les règles légales sans s'y substituer.

Lorsqu'eurocrm collecte des données au moyen de ses propres parcours ou de partenaires agissant pour son compte, la personne est informée de l'identité du responsable de traitement, des finalités, des canaux de sollicitation, de l'identité des partenaires susceptibles de recevoir les données, dont la liste à jour est accessible depuis le formulaire de collecte, ainsi que de ses droits. Chaque partenaire informe la personne de l'origine de ses données au plus tard lors de la première communication.

Lorsque le consentement constitue la base juridique applicable, il est recueilli au moyen d'un acte positif clair, sans case précochée, et avec le niveau de granularité requis par les finalités et les canaux concernés. Le refus d'un consentement qui n'est pas nécessaire au service demandé ne conditionne pas l'accès à ce service.

Les données font l'objet de contrôles de cohérence, de déduplication et, lorsque cela est pertinent, de confrontation aux listes d'opposition. Les éléments permettant de démontrer un consentement sont rattachés à la source, à la date, à l'heure et au contexte de collecte.

Lorsqu'un partenaire reçoit des coordonnées pour les utiliser sous sa propre responsabilité, il doit respecter ses propres obligations d'information, de base juridique, de sécurité, de conservation et de droits des personnes. eurocrm organise contractuellement, lorsque cela est nécessaire, la circulation des retraits de consentement et des oppositions entre les acteurs concernés.

Lorsqu'une personne est contactée dans un contexte strictement professionnel, les règles peuvent différer de celles applicables à un consommateur. eurocrm veille néanmoins à informer la personne, à limiter la sollicitation à un objet pertinent au regard de son activité ou de sa fonction et à lui permettre de s'opposer simplement et gratuitement à de nouvelles sollicitations.

Une donnée accessible au public n'est pas librement réutilisable pour cette seule raison. Sa collecte et sa réutilisation doivent rester licites, proportionnées et compatibles avec les attentes raisonnables de la personne concernée.

Lorsque des données proviennent d'une agence, d'un courtier en données, d'un fournisseur de leads ou d'un autre partenaire, eurocrm ne considère pas la seule remise d'un fichier comme une garantie suffisante de conformité.

Les contrats, procédures de référencement et contrôles portent, selon le risque et le rôle d'eurocrm, sur l'origine des données, les modalités de collecte, l'information des personnes, les destinataires annoncés, la base juridique, la portée du consentement lorsqu'il est requis, la date de collecte, les éléments de preuve et la gestion des droits.

Lorsque eurocrm agit pour le compte d'une marque, ces contrôles s'articulent avec les obligations et instructions du responsable de traitement et ne transfèrent pas à eurocrm les responsabilités que la loi attribue à chaque intervenant.

eurocrm distingue l'automatisation d'un processus de l'utilisation d'un système d'intelligence artificielle. Un système d'IA est utilisé lorsqu'il répond à une finalité identifiée et que son usage est compatible avec les exigences de sécurité, de protection des données, de transparence et d'auditabilité applicables.

Lorsqu'un système d'IA est destiné à interagir directement avec une personne, eurocrm veille à ce qu'elle soit informée de manière claire qu'elle échange avec un système d'IA lorsque cette information est requise et que la nature automatisée de l'interaction ne ressort pas déjà clairement du contexte.

EURO CRM FRANCE ne fonde, dans le cadre de l'utilisation du site corporate, aucune décision produisant des effets juridiques ou affectant de manière similaire et significative un utilisateur exclusivement sur un traitement automatisé. Si un traitement relevant de l'article 22 du RGPD devait être mis en œuvre dans un contexte particulier, une information spécifique et les garanties requises seraient prévues.

Lorsque des systèmes d'IA sont utilisés dans une prestation réalisée pour un client, leur rôle, leurs finalités, les données traitées et les responsabilités sont déterminés par le contrat, les instructions du responsable de traitement et la réglementation applicable.

Certaines prestations convenues avec des clients peuvent nécessiter l'accès ou le traitement de données depuis l'île Maurice ou Madagascar. Ces pays ne bénéficient pas, à la date de la présente politique, d'une décision d'adéquation de la Commission européenne permettant à elle seule un transfert sans garantie complémentaire.

Lorsque le RGPD s'applique à un transfert vers l'un de ces pays, eurocrm et le responsable de traitement concerné mettent en place le mécanisme prévu par le chapitre V du RGPD adapté à la situation. Lorsque les clauses contractuelles types de la Commission européenne sont utilisées, elles le sont dans leur version en vigueur et sont complétées, lorsque cela est nécessaire, par une analyse du transfert et par des mesures techniques, organisationnelles ou contractuelles supplémentaires.

Le recours à une dérogation fondée sur le consentement d'une personne n'est pas utilisé comme mécanisme général de transfert international.

L'île Maurice dispose du Data Protection Act 2017, entré en vigueur en 2018, et d'une autorité de contrôle, le Data Protection Office, placée sous l'autorité du Data Protection Commissioner.

Madagascar dispose de la loi n° 2014-038 sur la protection des données à caractère personnel. Cette loi institue la Commission Malagasy de l'Informatique et des Libertés, CMIL, en qualité d'autorité de contrôle prévue par le droit malgache.

Ces législations locales participent au cadre de protection applicable aux opérations menées dans les pays concernés. Elles ne remplacent pas les garanties exigées par le RGPD lorsqu'un transfert relève de ce règlement.

Une personne peut demander des informations sur les garanties encadrant un transfert qui la concerne en écrivant à dpo@eurocrm.com.

Dans les conditions prévues par la réglementation, toute personne peut demander l'accès aux données qui la concernent, leur rectification, leur effacement, la limitation d'un traitement, la portabilité lorsque ce droit est applicable et l'exercice d'un droit d'opposition.

Lorsqu'un traitement repose sur le consentement, celui-ci peut être retiré à tout moment sans remettre en cause la licéité du traitement effectué avant le retrait.

Le droit d'opposition à l'utilisation de données à des fins de prospection commerciale s'exerce simplement et gratuitement et ne nécessite pas de motif particulier.

Lorsqu'une personne s'oppose à la prospection, eurocrm peut conserver, dans une liste d'opposition, les seules informations nécessaires pour empêcher une nouvelle sollicitation incompatible avec cette opposition. La CNIL recommande une conservation d'au moins trois ans. eurocrm privilégie lorsque cela est pertinent des données minimisées ou hachées.

Une personne peut également demander des informations sur l'origine de ses données lorsqu'elles n'ont pas été collectées directement auprès d'elle et, dans les conditions prévues par la réglementation, sur les destinataires auxquels elles ont été communiquées et les garanties encadrant un transfert international.

En France, une personne peut définir des directives relatives à la conservation, à l'effacement et à la communication de ses données après son décès dans les conditions prévues par la loi.

Le détail des traceurs effectivement utilisés sur le site figure dans la page « Cookies et traceurs ».

Le site n'utilise ni traceur publicitaire, ni pixel de réseau social, ni traceur soumis au consentement. La mesure d'audience est réalisée avec Matomo, sans cookie de mesure, dans les conditions d'exemption de consentement définies par la CNIL.

Si un traceur soumis au consentement devait être ajouté, il ne serait déposé ou lu qu'après le recueil d'un consentement valable, avec une possibilité de refus aussi simple que l'acceptation et la possibilité de modifier le choix à tout moment.