Politique de protection des données personnelles

Tout d'abord. Oui. Le socialjuice est conforme au GDPR. Chez Waldo Studio BV, nous nous engageons à traiter les données personnelles en toute sécurité et à respecter la vie privée des personnes concernées. Cette politique sera révisée chaque année ou à chaque fois que des changements dans notre traitement des données surviennent.

Portée et définitions

Portée. Cette politique de protection des données personnelles (la « Politique ») décrit les règles internes de Waldo Studio BV en matière de traitement et de protection des données personnelles. La Politique s'applique à Waldo Studio BV, y compris aux employés et sous-traitants de Waldo Studio BV (« nous », « notre », « notre », « Waldo Studio BV »). La direction de chaque entité est responsable en dernier ressort de la mise en œuvre de cette politique, ainsi que de garantir, au niveau de l'entité, que des procédures adéquates et efficaces sont en place pour sa mise en œuvre et un contrôle continu de son respect. Aux fins de la présente politique, les employés et les entrepreneurs sont collectivement appelés les « employés ».
Gestionnaire de confidentialité. Privacy Manager est un employé de Waldo Studio BV responsable du respect de la protection des données personnelles au sein de Waldo Studio BV (le « Privacy Manager »). Le responsable de la confidentialité est chargé de remplir les obligations imposées par la présente politique et de superviser les autres employés soumis à cette politique, concernant leur adhésion à cette politique. Le Privacy Manager doit être impliqué à un stade précoce dans tous les projets afin de prendre en compte les aspects liés à la protection des données personnelles dès la phase de planification.
Le responsable de la confidentialité désigné chez Waldo Studio BV est Sander Belaen.
Définitions.
Autorité de contrôle compétente
désigne une autorité publique chargée de réglementer et de superviser la protection des données personnelles en ce qui concerne les activités de Waldo Studio BV.

Violation de données
désigne une violation de la sécurité et/ou de la confidentialité entraînant la destruction, la perte, l'altération, la divulgation non autorisée ou l'accès accidentel ou illégal aux données personnelles transmises, stockées ou autrement traitées.

Cela inclut, sans toutefois s'y limiter, les e-mails envoyés à une liste de destinataires incorrecte ou divulguée, une publication illégale des données personnelles, la perte ou le vol de dossiers physiques et l'accès non autorisé aux informations personnelles.

Responsable du traitement des données
désigne la personne physique ou morale, l'autorité publique, l'agence ou tout autre organisme qui, seul ou conjointement avec d'autres, détermine (prend une décision) les finalités et les moyens du traitement des données personnelles.

Processeur de données
désigne une personne physique ou morale, une autorité publique, une agence ou un autre organisme qui traite les données personnelles pour le compte du responsable du traitement.
Lois sur la protection des données
désigne toutes les lois et règles juridiques sur l'utilisation et la protection des données personnelles applicables aux activités de Waldo Studio BV, y compris, mais sans s'y limiter, le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (Règlement général sur la protection des données, GDPR).

Demande de personne concernée (DSR)
désigne toute demande de la Personne Concernée et concernant ses données personnelles et/ou ses droits.

Personne concernée
désigne une personne physique dont nous traitons les données personnelles. Les personnes concernées incluent, sans toutefois s'y limiter, les utilisateurs, les visiteurs du site Web, les employés, les sous-traitants et les partenaires de Waldo Studio BV.

Données personnelles
désigne toute information relative à une personne concernée identifiée ou identifiable ; une Personne concernée peut être identifiée par référence à un identifiant tel qu'un nom, un numéro d'identification, des données de localisation, un identifiant en ligne ou à un ou une combinaison de facteurs spécifiques à l'identité physique, physiologique, génétique, mentale, économique, culturelle ou sociale de cette Personne concernée.

Traitement
désigne toute opération ou ensemble d'opérations effectuées par Waldo Studio BV sur les données personnelles, telles que la collecte, l'enregistrement, l'organisation, la structuration, le stockage, l'adaptation ou la modification, la récupération, la consultation, l'utilisation, la divulgation par transmission, la diffusion ou toute autre mise à disposition, l'alignement ou la combinaison, la restriction, l'effacement ou la destruction.

Clauses contractuelles types
désigne la décision de la Commission européenne du 5 février 2010 relative aux clauses contractuelles types pour le transfert de données personnelles à des sous-traitants établis dans des pays tiers en vertu de la directive 95/46/CE du Parlement européen et du Conseil (2010/87/UE).

Tiers
désigne une personne physique ou morale qui accède aux données personnelles pour un traitement ultérieur et qui n'est pas un employé, un membre ou une société affiliée à Waldo Studio BV. Cette définition ne s'applique pas aux personnes physiques qui fournissent régulièrement des services à Waldo Studio BV en tant qu'entrepreneurs.

Utilisateur
désigne une personne concernée qui utilise nos services fournis sur le site Web de Waldo Studio BV.

Principes de traitement des données

Les activités de traitement de Waldo Studio BV doivent être conformes aux principes spécifiés dans cette section. Le Privacy Manager doit s’assurer que la documentation de conformité de Waldo Studio BV, ainsi que les activités de traitement des données, sont conformes aux principes de protection des données.

Nous devons traiter les Données Personnelles conformément aux principes suivants : Légalement, équitablement et de manière transparente (légalité, équité et transparence). Nous disposerons toujours d'un fondement juridique pour le traitement (décrit dans la section 3 de la présente politique), collecterons la quantité de données adéquate à l'objectif et au fondement juridique, et nous nous assurerons que les personnes concernées sont au courant du traitement ; Collectées à des fins spécifiées, explicites et légitimes et non traitées ultérieurement d'une manière incompatible avec ces finalités (limitation des finalités). Nous ne devons pas traiter les données personnelles à des fins non spécifiées dans notre documentation de conformité sans obtenir l'approbation spécifique du Privacy Manager ; Adéquation, pertinente et limitée à ce qui est nécessaire aux finalités pour lesquelles elles sont traitées (minimisation des données). Nous veillons toujours à ce que les données que nous collectons ne soient pas excessives et limitées par la stricte nécessité ; Précis et, si nécessaire, tenu à jour (exactitude). Nous nous efforçons de supprimer les données inexactes ou fausses sur les personnes concernées et veillons à mettre à jour les données. Les personnes concernées peuvent nous demander une correction des données personnelles ; Conservées sous une forme permettant l'identification des personnes concernées pendant une durée n'excédant pas celle nécessaire aux finalités pour lesquelles les données personnelles sont traitées (limitation de la durée de conservation). Les périodes de stockage doivent être limitées comme prescrit par les lois sur la protection des données et la présente politique ; et Traiter de manière à garantir une sécurité appropriée des données personnelles, y compris la protection contre le traitement non autorisé ou illégal et la perte, la destruction ou les dommages accidentels, en utilisant des mesures techniques ou organisationnelles appropriées (confidentialité, intégrité et disponibilité).

Responsabilité. Nous serons en mesure de démontrer notre conformité aux lois sur la protection des données (principe de responsabilité). En particulier, nous devons assurer et documenter toutes les procédures, efforts, consultations internes et externes pertinents en matière de protection des données personnelles, y compris : le fait de désigner une personne responsable du respect de la protection des données de Waldo Studio BV ; si nécessaire, un enregistrement d'une évaluation de l'impact du traitement des données ; élaboré et mis en œuvre des avis, des politiques et des procédures, tels que l'avis de confidentialité, la présente politique ou la procédure de réponse en cas de violation de données ; le fait de former le personnel au respect des lois sur la protection des données ; et l'évaluation, la mise en œuvre et le test des mesures organisationnelles et techniques de protection des données. Le responsable de la confidentialité doit conserver les enregistrements des activités de traitement de Waldo Studio BV, qui sont un document de responsabilité décrivant les activités de traitement des données personnelles de Waldo Studio BV, préparé conformément à l'art. 30 du GDPR (les « Registres des activités de traitement »). Les enregistrements des activités de traitement doivent contenir au moins les informations suivantes sur chaque activité de traitement : les coordonnées de Waldo Studio BV, le représentant de l'UE et, le cas échéant, du délégué à la protection des données ; le nom de l'activité, ses objectifs et sa base juridique ainsi que, le cas échéant, les intérêts légitimes de Waldo Studio BV ; personnes concernées et catégories de données personnelles concernées ; périodes de conservation des données ; description générale des mesures de sécurité applicables ; les destinataires, y compris les responsables conjoints du traitement, les sous-traitants et les sous-traitants impliqués, ainsi que le fait du transfert international de données avec les garanties appliquées au transfert ; le cas échéant, une référence à l’analyse d’impact du traitement des données ; le cas échéant, une référence à l'enregistrement de la violation de données impliquant les données personnelles ; si Waldo Studio BV agit en tant que sous-traitant des données, les informations à fournir comprennent les noms et coordonnées des responsables du traitement, le nom et les coordonnées du représentant du responsable du traitement (le cas échéant), les catégories de traitement (activités), les noms des pays tiers ou des organisations internationales vers lesquels les données personnelles sont transférées (le cas échéant), les garanties pour les transferts exceptionnels de données personnelles vers des pays tiers ou des organisations internationales (le cas échéant) et une description générale des mesures de sécurité techniques et organisationnelles.

Accès aux données personnelles. Fondements et objectifs juridiques

Fondements juridiques.
Chaque activité de traitement doit avoir l'un des motifs légaux spécifiés dans cette section pour traiter les données personnelles. Si nous ne disposons d’aucun des éléments décrits, nous ne pouvons pas collecter ni traiter davantage les données personnelles. Si Waldo Studio BV a l'intention d'utiliser des données personnelles à des fins autres que celles spécifiées dans les enregistrements des activités de traitement, le Privacy Manager doit évaluer, déterminer et, si nécessaire, collecter/enregistrer la base juridique appropriée. Exécution du contrat. Lorsque Waldo Studio BV a un contrat avec la personne concernée, par ex. les conditions d'utilisation du site Web ou le contrat de travail, et que le contrat nécessite la fourniture de données personnelles de la personne concernée, le fondement juridique applicable sera l'exécution du contrat. Consentement. Pour traiter les données personnelles sur la base du consentement, nous devons obtenir le consentement avant le traitement et conserver la preuve du consentement avec les enregistrements des données personnelles de la personne concernée. Le responsable de la confidentialité doit s'assurer que le consentement recueilli auprès des personnes concernées répond aux exigences des lois sur la protection des données et de la présente politique. En particulier, le Privacy Manager doit s'assurer que : la personne concernée doit être libre de donner ou de refuser de donner son consentement.
le consentement se présente sous la forme d'une indication active de la Personne Concernée, c'est-à-dire que la case de consentement ne doit pas être pré-cochée pour l'utilisateur. la demande de consentement énonce clairement les finalités du traitement et d'autres informations spécifiées à la sous-section 6.2 sont à la disposition de la personne concernée. la Personne concernée doit être libre de donner son consentement ou de le révoquer.
Intérêts légitimes. Nous avons le droit d’utiliser les données personnelles dans notre « intérêt légitime ». Les intérêts peuvent inclure les finalités justifiées par la nature de nos activités commerciales, telles que l'analyse marketing des données personnelles. Pour que Waldo Studio BV utilise des intérêts légitimes comme base juridique pour le traitement, le Privacy Manager doit s'assurer que : l'intérêt légitime dans le traitement est clairement défini et enregistré dans les enregistrements des activités de traitement ; tous les risques envisagés pour les droits et intérêts de la personne concernée sont repérés. Les exemples de risques peuvent être trouvés à la sous-section 7.2.; les personnes concernées ont des attentes raisonnables concernant le traitement et des mesures de protection supplémentaires pour faire face aux risques sont prises ; sous réserve des conditions du paragraphe 6.7 (Droit d'opposition au traitement), la personne concernée a la possibilité de s'opposer au traitement pour les intérêts légitimes décrits. Si au moins une des conditions ci-dessus n'est pas remplie par Waldo Studio BV, le Privacy Manager doit choisir et proposer un autre fondement juridique pour le traitement, tel que le consentement. Conformité juridique et intérêt public. Outre les motifs spécifiés ci-dessus, les lois de l'Union européenne ou les lois des États membres de l'UE peuvent nous demander de traiter les données personnelles de nos utilisateurs. Par exemple, nous pouvons être amenés à collecter, analyser et surveiller les informations des Utilisateurs pour nous conformer aux lois financières ou du travail. Chaque fois que nous avons une telle obligation, nous devons nous assurer que :
nous traitons les données personnelles en stricte conformité avec les exigences légales en vigueur ;
nous n'utilisons ni ne stockons les données personnelles collectées à des fins autres que le respect de la loi ; et les personnes concernées sont correctement et en temps opportun informées de nos obligations, de la portée et des conditions du traitement des données personnelles. Important : lorsque Waldo Studio BV est soumis aux exigences légales d'un autre pays pour traiter les données personnelles, le responsable de la confidentialité doit proposer d'utiliser un autre fondement juridique pour le traitement en vertu des lois sur la protection des données, tel que les intérêts légitimes ou le consentement.

Accès aux données personnelles.
Les salariés doivent avoir accès aux données personnelles en « besoin d'en connaître ». L'accès aux données n'est possible que s'il est strictement nécessaire d'effectuer l'une des activités spécifiées dans les registres des activités de traitement. Les employés et sous-traitants n'auront accès aux données personnelles que s'ils disposent des informations d'identification nécessaires. Les chefs de département de Waldo Studio BV sont responsables de l’accès et du traitement des données personnelles par leurs employés. Les dirigeants doivent tenir à jour la liste des employés autorisés à accéder et à traiter les données personnelles. Le responsable de la confidentialité aura le droit de revoir la liste et, si nécessaire, de demander des modifications pour répondre aux exigences de la présente politique. Les chefs de département au sein de Waldo Studio BV doivent s'assurer que les employés sous leur supervision connaissent les lois sur la protection des données et respectent les règles énoncées dans la présente politique. Afin de garantir que nos employés sont en mesure de respecter les exigences en matière de protection des données, nous devons leur fournir une formation adéquate en matière de protection des données. Tous les collaborateurs accédant à des données personnelles doivent garder la stricte confidentialité concernant les données auxquelles ils accèdent. Les employés qui accèdent aux données personnelles doivent utiliser uniquement les moyens (logiciels, locaux, etc.) pour le traitement qui ont été prescrits par Waldo Studio BV. Les données ne doivent pas être divulguées ou autrement mises à disposition en dehors des instructions de gestion. Les employés relevant de leur compétence doivent assister les représentants de Waldo Studio BV, y compris le Privacy Manager, dans tous les efforts concernant le respect des lois sur la protection des données et/ou de la présente politique. Lorsqu'un employé détecte ou pense qu'il y a une activité suspecte, une violation de données, un non-respect des lois sur la protection des données et/ou de la présente politique, ou qu'un DSR n'a pas été acheminé vers le service compétent de Waldo Studio BV, l'employé doit signaler cette activité au responsable de la confidentialité. Les employés qui ne sont pas sûrs de pouvoir légitimement traiter ou divulguer des données personnelles doivent demander conseil au Privacy Manager avant de prendre toute mesure. Tout accès occasionnel aux données personnelles pour des activités non précisées dans les Registres des activités de traitement est interdit. S’il existe une stricte nécessité d’un accès immédiat, le Privacy Manager doit d’abord approuver l’accès.

Tiers

Avant de partager des données personnelles avec toute personne extérieure à Waldo Studio BV, le responsable de la confidentialité doit s'assurer que ce tiers dispose d'un niveau de protection des données adéquat et fournir des garanties de protection des données suffisantes conformément aux lois sur la protection des données, y compris, mais sans s'y limiter, les exigences de traitement (Art. 28 du GDPR) et la conformité des transferts internationaux (Section 5 du GDPR). Le cas échéant, le Privacy Manager doit s'assurer que Waldo Studio BV conclut le contrat de protection des données approprié avec le tiers.

Un employé peut partager des données personnelles avec des tiers uniquement si et dans la mesure qui a été directement prescrit par le responsable et spécifié dans les registres des activités de traitement.

Si nous sommes tenus de supprimer, modifier ou arrêter le traitement des données personnelles, nous devons nous assurer que les tiers avec lesquels nous avons partagé les données personnelles rempliront ces obligations en conséquence.

Chaque fois que Waldo Studio BV est engagé en tant que sous-traitant pour le compte d'une autre entité, le Privacy Manager doit s'assurer que Waldo Studio BV respecte l'obligation de sous-traitant. En particulier, l'accord de traitement des données approprié conformément aux lois sur la protection des données doit être en place. Le Privacy Manager doit superviser le respect des instructions de traitement des données du responsable du traitement, y compris en ce qui concerne l'étendue des activités de traitement, l'implication des sous-traitants ultérieurs, les transferts internationaux, le stockage et l'élimination ultérieure des données personnelles traitées. Les données personnelles traitées en tant que sous-traitant ne doivent pas être traitées à d'autres fins que celles spécifiées dans les instructions, accords ou autres actes juridiques pertinents régissant les relations avec le responsable du traitement.

Virements internationaux

Si nous avons des employés, des sous-traitants, des sociétés affiliées ou des sous-traitants en dehors de l'EEE et que nous leur transférons des données personnelles pour le traitement, le responsable de la confidentialité doit s'assurer que Waldo Studio BV prend toutes les garanties nécessaires et appropriées conformément aux lois sur la protection des données.

Le Privacy Manager doit évaluer les garanties disponibles et proposer à la direction de Waldo Studio BV la garantie appropriée pour chaque transfert international. Les régimes suivants s'appliquent aux transferts de données personnelles en dehors de l'UE : lorsque la Commission européenne décide que le pays dispose d'un niveau adéquat de protection des données personnelles, le transfert ne nécessite pas de prendre des garanties supplémentaires. La liste complète des juridictions adéquates peut être consultée sur la page correspondante du site Internet de la Commission européenne. Pour transférer des données personnelles à nos sous-traitants ou partenaires (processeurs de données ou contrôleurs) dans d'autres pays tiers, nous devons conclure des clauses contractuelles types avec cette partie. La version préliminaire ainsi que les orientations peuvent être consultées sur la page correspondante du site Web de la Commission européenne ; si nous avons une société affiliée ou une entité dans d'autres pays, nous pouvons choisir d'adopter des règles d'entreprise contraignantes conformément à l'article 47 du GDPR ou un code de conduite approuvé conformément à l'article 40 du GDPR ; nous pouvons également transférer des données personnelles à des entités disposant d’une certification approuvée conformément à l’article 42 du GDPR, qui certifie un niveau approprié de protection des données de l’entreprise.

Dans le cadre des obligations d'information, Waldo Studio BV doit informer les personnes concernées que leurs données personnelles sont transférées vers d'autres pays, ainsi que leur fournir des informations sur les garanties utilisées pour le transfert. L'obligation d'information doit être remplie conformément au paragraphe 6.2.

Dans les cas exceptionnels (la « Dérogation »), où nous ne pouvons pas appliquer les garanties mentionnées ci-dessus et où nous devons transférer des données personnelles, nous devons obtenir un consentement explicite (déclaration active) de la personne concernée ou cela doit être strictement nécessaire à l'exécution du contrat entre nous et la personne concernée, ou d'autres conditions de dérogation s'appliquent conformément aux lois sur la protection des données. Le responsable de la confidentialité doit approuver au préalable tout transfert de dérogation et documenter les dérogations approuvées, ainsi que leur justification.

Droits des personnes concernées

Nos responsabilités.
Privacy Manager est en dernier ressort responsable du traitement de tous les DSR reçus par Waldo Studio BV. En cas de réception d'un DSR en suspens ou inhabituel, l'employé doit demander conseil au Privacy Manager avant de prendre toute mesure. Le support technique de Waldo Studio BV est responsable du traitement quotidien des DSR des utilisateurs de Waldo Studio BV. Le service des ressources humaines est responsable du traitement des DSR des employés de Waldo Studio BV. Toutes les DSR des Utilisateurs doivent être adressées et répondues à partir de l'adresse e-mail suivante : info@socialjuice.io. Le DSR des salariés peut être adressé directement au responsable RH ou à info@socialjuice.io. L'employé responsable doit répondre au DSR dans un délai d'un (1) mois suivant la réception de la demande. Si le respect du DSR prend plus d'un mois, le collaborateur responsable doit demander conseil au Privacy Manager et, le cas échéant, informer la personne concernée de la prolongation du délai de réponse jusqu'à deux (2) mois supplémentaires. L'employé responsable doit analyser le DSR reçu pour les critères suivants :
Identification de la personne concernée. Avant d'examiner le contenu du DSR, l'employé responsable doit s'assurer que la personne concernée est la même personne qu'elle prétend être. À cette fin, le lien entre les enregistrements de données personnelles et la personne concernée doit être établi. Pour cela, les méthodes suivantes doivent être utilisées : vérification de l'adresse e-mail de la personne concernée – en général, l'adresse e-mail doit être la même que celle dont Waldo Studio BV dispose pour l'utilisateur en question ; si l'adresse e-mail est différente de l'enregistrement dans la base de données, il faut consulter le Privacy Manager, après approbation duquel l'employé responsable peut demander des détails supplémentaires du compte pour l'identification, tels que la date de naissance, l'adresse et l'adresse e-mail. Si la personne concernée n'a pas réussi à se soumettre à la vérification, le Privacy Manager doit refuser d'exécuter la demande et en informer la personne concernée sans retard injustifié, mais au plus tard dans un délai d'un (1) mois à compter de la réception de la demande. Données personnelles. L'employé responsable doit vérifier si Waldo Studio BV a accès aux données personnelles demandées. Si Waldo Studio BV ne contrôle pas les données personnelles, l'employé responsable doit en informer la personne concernée et, si possible, lui indiquer les étapes ultérieures à suivre pour accéder aux données en question ; Contenu de la demande. En fonction du contenu du DSR, l'employé responsable doit définir le type de demande et vérifier si elle répond aux conditions prescrites par la présente Politique et les lois sur la protection des données. Les types de demandes et les conditions respectives pour chacune d'elles peuvent être consultés aux sous-sections 6.3 à 6.9. Si la demande ne répond pas aux critères décrits, le salarié responsable doit refuser de se conformer au DSR et informer la personne concernée des raisons de son refus ; Gratuitement. D’une manière générale, toutes les demandes des Personnes Concernées et l’exercice de leurs droits sont gratuits. Si l'employé responsable constate que la personne concernée exerce ses droits de manière excessive ou injustifiée (par exemple dans le but de nuire ou d'interrompre les activités commerciales de Waldo Studio BV), l'employé doit demander conseil au Privacy Manager et, après réception de ce dernier, peut soit facturer à la personne concernée des frais raisonnables, soit refuser de donner suite à la demande ; Documenter. Chaque fois que Waldo Studio BV reçoit le DSR, le Privacy Manager doit s'assurer que les données et l'heure, la personne concernée, le type de demande et la décision prise à son sujet sont bien documentés. En cas de refus de donner suite à la demande, les raisons du refus doivent également être documentées ; Destinataires. Lorsqu'il traite le DSR, le Privacy Manager doit s'assurer que tous les destinataires concernés ont été informés que les mesures nécessaires ont été prises. Le droit d’être informé.
Waldo Studio BV doit informer chaque personne concernée de la collecte et du traitement ultérieur des données personnelles.
Les informations à fournir comprennent : le nom et les coordonnées de Waldo Studio BV ; les finalités génériques et la base juridique de la collecte de données et du traitement ultérieur ; catégories de données personnelles collectées ; destinataires/catégories de destinataires ; périodes de conservation ; des informations sur les droits de la personne concernée, y compris le droit de porter plainte auprès de l'autorité de contrôle compétente ; les conséquences des cas où les données sont nécessaires à l'exécution du contrat et où la personne concernée ne fournit pas les données requises ; les détails des garanties en cas de transfert de données personnelles en dehors de l'EEE ; et toute source tierce de données personnelles, sans spécification de cas particulier (sauf si nous recevons la demande directe de la personne concernée). Les utilisateurs doivent être informés de la politique de confidentialité accessible sur le site Web de Waldo Studio BV et fournie lors de l’inscription de l’utilisateur. Les employés et sous-traitants doivent être informés par une déclaration de confidentialité des employés autonome, qui explique les détails décrits à la p. 6.2.2 de manière basée sur des cas, décrivant les objectifs et les activités particuliers. Waldo Studio BV doit informer les personnes concernées du traitement des données, y compris de toute nouvelle activité de traitement introduite chez Waldo Studio BV dans le délai suivant : si les données personnelles sont collectées directement auprès de la personne concernée, la personne concernée doit être informée au moment où nous collectons les données personnelles des personnes concernées en montrant à la personne concernée notre déclaration de confidentialité ; si les données personnelles sont collectées à partir d'autres sources : (a) dans le mois suivant leur collecte ; (b) si les données personnelles doivent être utilisées pour la communication avec la personne concernée, au plus tard au moment de la première communication avec cette personne concernée ; ou (c) si une divulgation à un autre destinataire est envisagée, au plus tard lors de la première divulgation des données personnelles. à la demande de la personne concernée ; et dans un délai d'un (1) mois après tout changement de nos pratiques en matière de données personnelles, changement de responsable du traitement des données personnelles ou après des modifications importantes de nos déclarations de confidentialité. Le droit d’accéder aux informations.
La personne concernée doit recevoir uniquement les enregistrements de données personnelles spécifiés dans la demande. Si la personne concernée demande l'accès à toutes les données personnelles la concernant, l'employé doit d'abord demander conseil au Privacy Manager, pour s'assurer que toutes les données personnelles de la personne concernée sont cartographiées et fournies. Une personne concernée a le droit de :
savoir si nous traitons les données personnelles de la personne concernée ;
obtenir des informations sur certains aspects du traitement, y compris des informations détaillées et spécifiques au cas sur les finalités, les catégories de données personnelles, les destinataires/catégories de destinataires, les périodes de conservation, les informations sur les droits de la personne, les détails des garanties pertinentes lorsque les données personnelles sont transférées en dehors de l'EEE et toute source tierce de données personnelles ; et obtenir une copie des Données Personnelles en cours de traitement sur demande.


Le droit de vérifier les informations de la Personne concernée et de demander leur rectification. Les informations que nous collectons peuvent être/devenir inexactes ou obsolètes (par exemple, des erreurs sur la nationalité, la date de naissance, des informations sur les dettes, les activités économiques). Si nous révélons que les données personnelles sont inexactes ou si la personne concernée nous le demande, nous devons nous assurer de corriger toutes les erreurs et de mettre à jour les informations pertinentes.

Le droit de limiter le traitement. La limitation du traitement permet aux personnes concernées de cesser temporairement l'utilisation de leurs informations afin d'éviter tout préjudice éventuel causé par une telle utilisation. Ce droit s'applique lorsque la Personne Concernée : conteste l'exactitude des Données Personnelles ; estime que nous traitons les données personnelles de manière illégale ; et s'oppose au traitement et souhaite que nous ne traitions pas les données personnelles pendant que nous étudions la demande. En cas de réception de la demande de restriction, nous ne devons pas traiter les données personnelles en question à d'autres fins que leur stockage ou à des fins de conformité légale jusqu'à ce que les circonstances de restriction cessent d'exister.

Le droit de retirer le consentement. Pour les activités qui nécessitent un consentement, la personne concernée peut révoquer son consentement à tout moment. Si la personne concernée révoque son consentement, nous devons enregistrer les modifications et ne devons pas traiter les données personnelles à des fins fondées sur le consentement. Le retrait du consentement n'affecte pas la licéité du traitement effectué avant le retrait.

Le droit de s'opposer au traitement. Si nous traitons les informations dans notre intérêt légitime, par exemple pour des e-mails de marketing direct ou à des fins d'études marketing, la personne concernée peut s'opposer au traitement. En cas de réception d’un dossier de demande d’opposition, nous devons examiner la demande de la personne concernée et, si nous n’avons pas d’intérêts impérieux, arrêter le traitement aux fins spécifiées. Si les données personnelles doivent encore être traitées à d'autres fins, le Privacy Manager doit s'assurer que la base de données contient une indication indiquant que les données ne peuvent pas être traitées ultérieurement pour les activités contestées. La demande d'opposition ne peut être refusée que si les données personnelles en question sont utilisées à des fins de recherche scientifique/historique ou à des fins statistiques et ont été protégées de manière appropriée, c'est-à-dire par des techniques d'anonymisation ou de pseudonymisation.

Droit à l'effacement/à l'oubli. Les Personnes Concernées ont le droit de nous demander d'effacer leurs Données Personnelles si l'une des conditions suivantes est remplie : Les Données Personnelles ne sont plus nécessaires aux fins de la collecte. Par exemple, un utilisateur a fourni des données personnelles pour une activité ponctuelle, telle que la validation de données ou la participation à un concours, et la finalité est déjà remplie ; la personne concernée révoque son consentement ou s’oppose au traitement (le cas échéant) et il n’existe aucun autre fondement juridique pour le traitement ; ou nous traitons les données personnelles de manière illégale ou leur effacement est requis par la législation applicable de l'Union européenne ou de l'un des pays membres de l'Union européenne. Conditions dans lesquelles nous avons le droit de refuser l'effacement : Les données personnelles sont traitées à des fins de recherche scientifique/historique ou à des fins statistiques et sont protégées de manière appropriée, c'est-à-dire pseudonymisées ou anonymisées ; Les données personnelles sont toujours nécessaires à la conformité légale (par exemple, conformité aux lois financières ou du travail). Seuls les enregistrements de données personnelles spécifiés dans la demande doivent être supprimés. Si la personne concernée demande la suppression de toutes les données personnelles la concernant, l'employé doit d'abord demander conseil au Privacy Manager, afin de s'assurer que toutes les données concernant la personne concernée sont cartographiées et peuvent être supprimées. Si l'utilisateur dispose toujours d'un compte chez nous et demande la suppression des informations nécessaires au maintien du compte, nous devons informer l'utilisateur que la suppression affectera l'expérience utilisateur ou peut conduire à la fermeture du compte.

Portabilité des données. Les Personnes Concernées peuvent nous demander de transférer toutes les Données Personnelles et/ou une partie de celles-ci dans un format lisible par machine à un tiers. Ce droit s'applique dans deux cas : les données personnelles ont été collectées dans le but de fournir nos services (exécution du contrat) ; ou collectées sur la base du consentement. Pour déterminer si l'une des conditions p.6.9.1 est remplie, l'employé doit demander conseil au Privacy Manager et vérifier la base juridique applicable dans les enregistrements des activités de traitement. Si la réponse est négative, la demande peut être refusée par Waldo Studio BV et le Privacy Manager doit décider s'il doit ou non donner suite à la demande sur une base volontaire. Pour répondre à la demande, l'employé responsable doit consolider les données personnelles demandées et envoyer les données dans le format avec lequel nous travaillons habituellement à l'organisation demandée. La personne concernée doit fournir les coordonnées nécessaires de l'organisation.

Nouvelles activités de traitement des données

Notification au gestionnaire de confidentialité
Avant d'introduire toute nouvelle activité impliquant le traitement de données personnelles, un employé responsable de sa mise en œuvre doit en informer le Privacy Manager. Dès réception d’informations sur une nouvelle activité, Privacy Manager doit : déterminer si l’analyse d’impact du traitement des données (DPIA) et/ou la consultation de l’Autorité de Contrôle est nécessaire. Si la réponse est positive, le responsable de la confidentialité doit s'assurer que l'AIPD est menée et/ou que l'autorité de contrôle est consultée conformément aux exigences de la présente section et des lois sur la protection des données ; déterminer la base juridique du traitement et, si nécessaire, prendre d'autres mesures pour sa fixation ; assurez-vous que l'activité de traitement est effectuée conformément à la présente politique, aux autres politiques de Waldo Studio BV, ainsi qu'aux lois sur la protection des données ; ajouter l'activité de traitement aux enregistrements des activités de traitement ;
modifier les déclarations de confidentialité et, le cas échéant, informer en conséquence la personne concernée.

Évaluation de l'impact du traitement des données
Pour s'assurer que nos activités de traitement actuelles ou futures ne violent pas/ne violeront pas les droits des personnes concernées, Waldo Studio BV doit, lorsque l'exige les lois sur la protection des données, procéder à l'évaluation de l'impact du traitement des données (DPIA), une évaluation basée sur les risques du traitement et rechercher les mesures permettant d'atténuer les risques. Le responsable de la confidentialité doit s’assurer que l’AIPD est menée conformément à la présente section. Le Privacy Manager, le cas échéant, en impliquant les employés compétents et/ou des conseillers externes, doit procéder à une DPIA si au moins une des conditions suivantes est remplie : le traitement implique l'utilisation de nouvelles technologies, telles que l'intelligence artificielle, l'utilisation d'appareils connectés et autonomes, etc. qui créent certains effets juridiques, économiques ou similaires pour la personne concernée ; nous évaluons et évaluons systématiquement les aspects personnels des personnes concernées sur la base d'un profilage automatisé, en attribuant un score/taux personnel, et créons des effets juridiques ou similaires pour la personne concernée par cette activité ; nous traitons à grande échelle des données sensibles, qui comprennent les données personnelles relatives aux condamnations pénales et aux infractions, les données sur les personnes concernées vulnérables, les données personnelles révélant l'origine raciale ou ethnique, les opinions politiques, les convictions religieuses ou philosophiques ou l'appartenance syndicale, ainsi que le traitement des données génétiques, des données biométriques dans le but d'identifier de manière unique une personne physique, des données concernant la santé ou des données concernant la vie sexuelle ou l'orientation sexuelle d'une personne physique ; nous collectons ou traitons des données personnelles à partir d'un espace accessible au public ou de sources publiques à grande échelle, ou combinons ou associons deux ensembles de données différents ; et l'Autorité de contrôle, dans sa liste publique, exige la réalisation d'une AIPD pour un certain type d'activité dans laquelle nous sommes impliqués. La liste des activités de traitement nécessitant la réalisation d'une AIPD peut être consultée sur le site Internet de chaque Autorité de contrôle. L'évaluation doit contenir au moins les détails suivants :
une description systématique des traitements et des finalités du traitement, incluant, le cas échéant, l'intérêt légitime poursuivi par nous. La description doit inclure les catégories de données envisagées et les personnes concernées, l'ampleur des activités de traitement, telles que leur fréquence, leur volume, le nombre d'enregistrements envisagé, etc. ; destinataires des données, durées de conservation et, le cas échéant, transferts internationaux ; une évaluation de la nécessité et de la proportionnalité des traitements par rapport aux finalités. La DPIA doit expliquer si l'activité est nécessaire à la finalité et si la finalité peut être atteinte par des méthodes moins intrusives ; une évaluation des risques pour les droits et libertés des personnes concernées, y compris les droits des personnes concernées concernant leurs données personnelles. Les exemples de risques sont les traitements qui pourraient entraîner des dommages physiques, matériels ou immatériels, notamment : lorsque le traitement peut donner lieu à une discrimination, une usurpation d'identité ou une fraude, une perte financière, une atteinte à la réputation, une perte de confidentialité des données personnelles protégées par le secret professionnel, un renversement non autorisé de la pseudonymisation ou tout autre désavantage économique ou social important ; lorsque les personnes concernées pourraient être privées de leurs droits et libertés ou empêchées d'exercer un contrôle sur leurs données personnelles ; lorsque sont traitées des données personnelles révélant l'origine raciale ou ethnique, les opinions politiques, la religion ou les convictions philosophiques, l'appartenance syndicale et le traitement de données génétiques, de données concernant la santé ou de données concernant la vie sexuelle ou de condamnations et délits criminels ou de mesures de sécurité connexes ; où des aspects personnels sont évalués, en particulier en analysant ou en prédisant des aspects concernant la performance au travail, la situation économique, la santé, les préférences ou intérêts personnels, la fiabilité ou le comportement, la localisation ou les mouvements, afin de créer ou d'utiliser des profils personnels ; où sont traitées les données personnelles de personnes physiques vulnérables, en particulier celles des enfants ; ou lorsque le traitement implique une grande quantité de données personnelles et affecte un grand nombre de personnes concernées ; et les mesures visant à faire face aux risques, y compris les garanties, les mesures de sécurité et les mécanismes visant à garantir la protection des données personnelles et à démontrer la conformité au présent règlement. Lorsque la DPIA ne prévoit pas comment gérer efficacement les risques, le responsable de la confidentialité doit lancer la consultation avec l'autorité de contrôle compétente pour recevoir de l'aide dans la recherche de la solution. Dans ce cas, Waldo Studio BV ne doit pas mener l'activité avant que l'autorité de contrôle n'approuve l'activité de traitement en question.

Conservation des données

Règle générale.
Le Privacy Manager doit s'assurer que Waldo Studio BV a clairement défini les périodes de stockage des données et/ou les critères pour déterminer les périodes de stockage pour chaque activité de traitement dont il dispose. Les délais pour chaque activité de traitement doivent être précisés dans les Registres des activités de traitement. Chaque service de Waldo Studio BV doit respecter les périodes de conservation des données conformément au calendrier de conservation fourni dans les enregistrements des activités de traitement. Le Privacy Manager doit superviser chaque service et s’assurer qu’il respecte cette exigence. Après la fin de la période de conservation, les données personnelles doivent être retirées de la disposition du service responsable du traitement ou, dans les cas où les données ne sont pas nécessaires à d'autres fins, détruites complètement, y compris les copies de sauvegarde et autres supports. Chaque fois que la période de conservation d'une activité de traitement est terminée, mais que les données personnelles traitées sont nécessaires à d'autres fins de traitement, le responsable du service doit s'assurer que les données personnelles ne sont pas utilisées pour l'activité de traitement interrompue et que les employés responsables n'y ont pas accès, sauf si cela est nécessaire pour toute autre activité.

Dérogations. Les règles précisées à la sous-section 8.1 comportent les exceptions suivantes :
Besoins des entreprises. Les périodes de conservation des données peuvent être prolongées, mais pas plus de 60 jours, dans le cas où la suppression des données interromprait ou nuirait à nos activités en cours. Le Privacy Manager doit approuver toute prolongation imprévue ; Impossibilité technique. Certaines informations sont techniquement impossibles ou excessivement difficiles à supprimer. Par exemple, la suppression des informations peut entraîner une violation de l'intégrité du système ou il est impossible de supprimer les informations des copies de sauvegarde. Dans un tel cas, les informations peuvent être stockées davantage, sous réserve de l'approbation du Privacy Manager et des modifications correspondantes aux enregistrements des activités de traitement ; et anonymisation. Les données personnelles peuvent être traitées ultérieurement à n'importe quelle fin (par exemple, marketing) si nous anonymisons complètement ces données après l'expiration de la période de conservation. Cela signifie que tous les identifiants personnels et les connexions avec ceux-ci seront supprimés des données. Pour que les données personnelles soient considérées comme anonymes, il doit être impossible de réidentifier la personne concernée à partir de l'ensemble de données.

Sécurité

Chaque département de Waldo Studio BV doit prendre toutes les mesures techniques et organisationnelles appropriées pour protéger contre l'accès, la destruction, la modification, le blocage, la copie, la distribution non autorisés, illégaux et/ou accidentels, ainsi que contre d'autres actions illégales de personnes non autorisées concernant les données personnelles sous leur responsabilité.

L'employé responsable de la supervision de la sécurité des données personnelles au sein de Waldo Studio BV doit être un spécialiste informatique. Cette personne met en œuvre les directives et autres spécifications en matière de protection des données et de sécurité des informations dans son domaine de responsabilité. Il conseille la direction de Waldo Studio BV sur la planification et la mise en œuvre de la sécurité des informations chez Waldo Studio BV et doit être impliqué à un stade précoce dans tous les projets afin de prendre en compte les aspects liés à la sécurité dès la phase de planification.

Procédure de réponse aux violations de données

Équipe d'intervention.
En cas de révélation de la violation de données, le PDG de Waldo Studio BV formera de toute urgence l'équipe de réponse à la violation de données (l'« équipe de réponse »), qui gérera la violation de données, informera les personnes appropriées et atténuera ses risques. L'équipe d'intervention doit être un groupe multidisciplinaire dirigé par le PDG de Waldo Studio BV et composé du responsable de la confidentialité, d'un spécialiste des lois sur la confidentialité (interne ou externe) et de spécialistes compétents en matière de sécurité de l'information au sein de Waldo Studio BV ou de professionnels de l'externalisation, si nécessaire. L'équipe doit s'assurer que tous les employés et sous-traitants/sous-traitants engagés adhèrent à cette politique et fournissent une réponse immédiate, efficace et compétente à toute violation de données suspectée/allégée ou réelle affectant Waldo Studio BV. Les membres potentiels de l’équipe d’intervention doivent être prêts à répondre à une violation de données. L'équipe de réponse assumera toutes les responsabilités de Waldo Studio BV mentionnées dans la présente politique. Les tâches de l'équipe d'intervention sont les suivantes : communiquer la violation de données à la ou aux autorité(s) de contrôle compétente(s) ;
en cas de risque élevé pour les droits et libertés des Personnes Concernées, communiquer la Violation de Données à la Personne Concernée ; si Waldo Studio BV obtient des données d'un tiers en tant que sous-traitant et qu'une violation de données implique des données obtenues, informer les tiers de la violation de données ; communiquer avec les sous-traitants de Waldo Studio BV ou tout autre tiers qui traite les données personnelles impliquées dans la violation de données ; et prendre toutes les mesures techniques et organisationnelles appropriées pour mettre fin à la violation de données et atténuer ses conséquences ;
enregistrer le fait de la violation de données dans les enregistrements des activités de traitement et déposer un rapport interne de violation de données décrivant l'événement. L’équipe d’intervention exercera ses fonctions jusqu’à ce que toutes les mesures nécessaires requises par la présente politique soient prises.

Notification à l'Autorité de Surveillance.
Waldo Studio BV informera l'autorité de contrôle compétente de la violation de données sans retard injustifié et, si cela est possible, au plus tard 72 heures après avoir eu connaissance de la violation de données. L'autorité de contrôle compétente sera déterminée en fonction du lieu de résidence des personnes concernées dont les informations ont été impliquées dans la violation de données. Si la violation de données concerne les données personnelles des personnes concernées de plusieurs pays, Waldo Studio BV en informera toutes les autorités de contrôle compétentes. Pour adresser la notification à l'autorité, l'équipe d'intervention doit utiliser l'annexe 1 de la présente politique. L'annexe 1 contient toutes les coordonnées nécessaires des autorités de contrôle de l'UE. Si la violation de données concerne des personnes concernées provenant de pays autres que les pays de l'UE, l'équipe d'intervention demandera conseil à un spécialiste compétent en matière de confidentialité. La notification à l'autorité de contrôle compétente doit contenir au moins les informations suivantes : la nature de la violation de données, y compris, si possible, les catégories et un nombre approximatif de personnes concernées et d'enregistrements de données personnelles concernés ; le nom et les coordonnées de l'équipe d'intervention, du responsable de la confidentialité ou, le cas échéant, du PDG ; les conséquences probables de la violation de données. Expliquez le point de vue de Waldo Studio BV sur les finalités et les risques supplémentaires possibles de la violation de données. Par exemple, les données personnelles peuvent être volées à des fins de vente ultérieure, d'activités frauduleuses ou de chantage aux personnes concernées ; et les mesures prises ou proposées par Waldo Studio BV pour remédier à la violation de données, y compris, le cas échéant, des mesures pour atténuer ses éventuels effets négatifs. Pour déposer une notification, l'équipe d'intervention doit utiliser le formulaire de notification de violation de données de Waldo Studio BV à l'autorité de surveillance.

Notifications aux personnes concernées.
Lorsque la violation de données est susceptible d'entraîner un risque élevé pour les droits et libertés des personnes concernées (par exemple, vol de fonds, d'actifs, d'informations exclusives), nous devons également communiquer la violation de données aux personnes concernées sans délai injustifié. Le responsable de la confidentialité doit déterminer s'il existe un risque élevé en fonction des facteurs de risque spécifiés à la sous-section 7.2.3 de la présente politique. La notification contient les informations suivantes :
description de la violation de données – ce qui s'est passé et ce qui a conduit à la violation de données, comme une faille de sécurité, la négligence d'un employé, une erreur dans le fonctionnement du système. Si l'équipe d'intervention a décidé de ne pas divulguer les causes de la violation de données, cette clause ne doit pas être mentionnée ; les mesures prises par Waldo Studio BV concernant la violation de données, y compris les mesures de sécurité, les enquêtes internes et la notification de l'autorité de contrôle ; des recommandations pour les personnes concernées concernées sur la manière d'atténuer les risques et les conséquences possibles, telles que des lignes directrices sur la manière de restaurer l'accès à un compte, des mesures de prévention (changement de mot de passe) ; et les coordonnées de l’équipe d’intervention ou de l’un de ses membres.
La notification aux Personnes Concernées doit être effectuée par courrier électronique ou, lorsqu'il est impossible d'utiliser le courrier électronique, par d'autres moyens de communication disponibles. Exonérations. Nous ne sommes pas tenus d'envoyer la notification aux personnes concernées si l'une des conditions suivantes est remplie : Waldo Studio BV a mis en œuvre des mesures de protection techniques et organisationnelles appropriées, et ces mesures ont été appliquées aux données personnelles affectées par la violation de données, en particulier celles qui laissent les données personnelles inaccessibles à toute personne non autorisée à y accéder, comme le cryptage ; Waldo Studio BV a pris des mesures ultérieures qui garantissent que le risque élevé pour les droits et libertés des personnes concernées mentionné dans cette section ne se matérialisera plus ; ou cela impliquerait un effort disproportionné pour communiquer avec chaque personne concernée concernée. Dans un tel cas, il y aura plutôt une communication publique ou une mesure similaire par laquelle les personnes concernées seront informées de manière tout aussi efficace. Dans le cas où nous appliquons l’une des exemptions, nous devons documenter les circonstances, la raison pour laquelle nous n’avons pas informé et les mesures prises pour respecter l’une des exemptions.

Communication avec des tiers.
Dans le cas où une Violation de Données concerne les Données Personnelles partagées avec nous ou traitées par nous pour le compte d'un Tiers, nous devons également en informer le Tiers dans les 24 heures. Si nous traitons les données personnelles en tant que sous-traitant, la notification du tiers ne nous dispense pas de l'obligation d'atténuer les conséquences de la violation des données, mais nous ne devons pas en informer l'autorité de contrôle compétente et les personnes concernées. En cas de réception d'une notification concernant la violation de données de la part du processeur de données ou d'autres tiers ayant accès aux données personnelles, le PDG de Waldo Studio BV devra, conformément à cette section : former l'équipe de réponse ; demander au tiers d'envoyer les informations mentionnées dans les sous-sections 10.2-3 de la présente politique ; si nécessaire, informer la ou les autorité(s) de contrôle compétente(s) et les personnes concernées ; et effectuer d'autres étapes de la procédure de réponse à une violation de données.

ANNEXE 1 À LA POLITIQUE DE PROTECTION DES DONNÉES PERSONNELLES

Autorités nationales européennes de protection des données

Autriche
Österreichische Datenschutzbehörde
Hohenstaufengasse 3
1010 Vienne
Tél. +43 1 531 15 202525
Fax +43 1 531 15 202690
e-mail : dsb@dsb.gv.at
Site Internet : http://www.dsb.gv.at/

Membre du groupe de travail Art 29 : Dr Andrea JELINEK, directrice, Österreichische Datenschutzbehörde

Belgique
Commission de la protection de la vie privée
Commission de surveillance des personnes
Rue de la Presse 35 / Rue des Drukpers 35 1000 Bruxelles / 1000 Brussel
Tél. +32 2 274 48 00
Fax +32 2 274 48 35
e-mail : commission@privacycommission.be
Site Internet : http://www.privacycommission.be/

Art 29 WP Vice-président : Willem DEBEUCKELAERE, Président de la Commission belge de la vie privée