Politique De Confidentialité

Chez Roscom, nous nous engageons à protéger les données personnelles de nos employés, fournisseurs, clients et contacts commerciaux. En tant qu’entreprise, nous devons collecter et utiliser des données personnelles sur des individus pour exécuter des contrats et en tant qu’employeur, pour nous conformer à la loi. Il s’agit d’un élément clé de la loi sur la protection des données de 2018 (DPA), qui constitue la mise en œuvre par le Royaume-Uni du règlement général sur la protection des données (RGPD).

Le Royaume-Uni a quitté l’Union européenne le 31 janvier 2020. Dans le cadre de la conformité avec la loi sur la protection des données de 2018, Roscom continuera à satisfaire aux exigences du RGPD et suivra les orientations et les conseils du Bureau des Commissaires à l’Information (ICO, l’autorité indépendante du Royaume-Uni mise en place pour faire respecter les droits à l’information dans l’intérêt public, en promouvant l’ouverture par les organismes publics et confidentialité des données pour les particuliers). À l’avenir, si nécessaire, Roscom établira des clauses contractuelles type au cas par cas conformément aux contrats commerciaux.

Cette politique expliquera les normes par lesquelles nous collecterons, traiterons et stockerons les données personnelles afin de nous conformer à la loi et de respecter les droits individuels.

Nous souhaitons atteindre les objectifs suivants:

• Protéger les droits des employés, des clients et des associés
• Agir de manière transparente en expliquant comment les données personnelles individuelles sont stockées et traitées
• Réduire les risques de violation de données
• Être conforme au DPA 2018

Le DPA 2018 décrit comment les organisations doivent collecter, traiter et stocker les informations personnelles, que ces informations soient sous forme électronique, papier ou autre.

Nous devons suivre sept principes clés dans le traitement des données personnelles. Les données personnelles doivent:

• Être traitées légalement, équitablement et de manière transparente
• Être collectées à des fins déterminées, explicites et légitimes
• Être adéquates, pertinentes et limitées à ce qui est nécessaire
• Être précises et, le cas échéant, tenues à jour
• N’être conservées seulement aussi longtemps que nécessaire
• Être traitées de manière appropriée pour maintenir la sécurité
• Être mesurées et enregistrées pour démontrer les mesures de responsabilisation des organisations

Cette politique s’applique:

• Au siège social de Roscom
• À tout le personnel et les bénévoles de Roscom
• Tous les contractuels, fournisseurs et autres personnes travaillant pour le compte de Roscom

La politique est applicable à toutes les données personnelles que nous détenons concernant des personnes identifiables. Quelques exemples courants de ceci peuvent inclure (mais ne sont pas limités aux exemples suivants):

• Le nom
• Les adresses (email, IP ou postale)
• Les numéros de téléphone

Nous recueillons des données personnelles limitées sur les contacts commerciaux, nos clients, les clients potentiels, les candidats à un emploi, les employés actuels et les anciens employés.

La collecte de ces données est initiée par un membre approprié de notre personnel. Les données peuvent être recueillies auprès de l’individu, de tiers agissant sur les instructions de nos clients et d’autres sources publiques d’informations telles que les sites internet d’entreprise.

Nous conservons une documentation sur le flux de données de l’entreprise et les activités de traitement qui se produisent. Nous ne traiterons les données personnelles que si une base légale est présente, telle que:

• Le consentement a été librement donné pour le traitement des données. Par exemple, la personne concernée a choisi de s’inscrire et a la possibilité de se désinscrire si elle le souhaite. Si le traitement comprend des catégories spéciales de données, un consentement explicite sera requis.
• Il existe une Obligation Contractuelle pour les données à traiter. Par exemple, un contrat signé stipule que certains types de données personnelles doivent être traitées afin de satisfaire aux exigences du contrat.
• Il existe une Obligation Légale pour les données à traiter. Par exemple, un employeur doit traiter les données personnelles pour se conformer à son obligation légale de divulguer les détails du salaire des employés au Département non-ministériel du Revenu et des Douanes de Sa Majesté (HMRC).
• Pour protéger l’Intérêt Vital de la personne concernée. Par exemple, les services d’urgence ont besoin de données personnelles pour protéger les intérêts vitaux d’une personne concernée.
• Dans le cadre d’une Mission du Service Public ou dans l’Intérêt du Public. Par exemple, cela couvre les fonctions et pouvoirs publics définis dans la loi, tels que les services de police.
• Il existe un Intérêt Légitime de la personne concernée. Par exemple, le DPA 2018 mentionne spécifiquement l’utilisation des données des clients ou des employés, le marketing, la prévention de la fraude, les transferts intragroupes ou la sécurité informatique comme des intérêts légitimes potentiels, mais cette liste n’est pas exhaustive.

Vous pouvez nous contacter à tout moment pour nous demander pourquoi nous traitons des données personnelles, demander leur correction, vous opposer au traitement, demander à restreindre le traitement ou demander leur suppression. Nous agirons de manière aussi transparente que possible dans le traitement de ces demandes, mais nous devons également nous conformer à nos obligations légales et contractuelles.

Les services proposés aux clients sont conçus pour préserver la confidentialité des données personnelles. Le traitement des données des employés est limité à ce qui est nécessaire.

Cette politique s’efforce de protéger les données contre de nombreux risques de sécurité découlant des activités quotidiennes, tels que:

• La violation de la confidentialité – Empêcher la divulgation d’informations confidentielles de manière inappropriée
• Le consentement – S’assurer que les individus sont libres de choisir, sont clairement informés des détails et peuvent facilement retirer leur consentement de traiter les informations personnelles d’une personne concernée
• Les atteintes à la réputation – S’assurer que la réputation est sécurisée, par exemple,  si des données sensibles étaient obtenues par des pirates informatiques, cela porterait atteinte à notre réputation

Nous avons mis en place un Système de Gestion de la Sécurité de l’Information pour atténuer les risques de sécurité et d’organisation, qui comprend une Politique interne de Protection des Données.

Lorsqu’un domaine est considéré comme présentant un risque élevé, nous effectuerons une Évaluation de l’Impact sur la Sécurité des Données  et appliquerons des mesures visant à atténuer le risque pour réduire ce dernier.

Ceux qui ont accès aux données personnelles seront informés que les règles de protection des données s’appliquent et que ces données doivent être traitées avec respect. Les données personnelles ne seront pas mises à la disposition d’un nombre indéfini d’employés.

Nos employés traiteront toutes les données personnelles de manière confidentielle et ne les utiliseront ni ne les traiteront autrement que pour les raisons couvertes par les articles 5 à 9 du RGPD. Les informations doivent être maintenues exactes, à jour et ne pas être conservées plus longtemps que nécessaire. Des mesures seront également prises pour se prémunir contre le traitement non autorisé ou illégal et la perte, la destruction ou l’endommagement accidentels des données.

Les personnes suivantes exercent les principaux domaines de responsabilité:

• Le Conseil d’Administration est en définitive responsable de veiller à ce que Roscom respecte les obligations légales.
• Le Délégué à la Protection des Données est responsable:
  • De surveiller le respect du DPA 2018 et d’autres politiques de protection des données afin de signaler les risques ou les problèmes aux cadres supérieurs.
  • D’évaluer et mettre à jour les procédures de protection des données et les politiques pertinentes fournies par le Bureau du Commissaire à l’Information.
  • De sensibiliser à la protection des données, d’organiser des formations et réaliser des audits internes.
  • De réaliser des Analyses d’Impact sur la Protection des Données.
  • D’être le point de contact pour les demandes de protection des données reçues au sein et en dehors de la société (y compris au Bureau du Commissaire à l’Information).
  • De traiter des Demandes d’Accès à l’Information.
  • D’évaluer des contrats et accords de tiers nécessitant une signature Roscom.

• Le Responsable Informatique est chargé de:
  • S’assurer que tous nos systèmes, services et équipements utilisés pour conserver des données répondent aux normes de sécurité acceptables.
  • Effectuer des vérifications et analyses régulières appropriées pour s’assurer que le matériel et les logiciels de sécurité fonctionnent correctement.
  • Effectuer des évaluations de service sur des tiers considérés pour le stockage ou le traitement de données, par exemple les services cloud.
• Le Représentant Marketing est responsable de:
  • S’assurer que les déclarations de protection des données appropriées sont incluses dans tout matériel marketing, par exemple les e-mails et correspondances par lettre.
  • Travailler avec le Représentant de la Protection des Données et d’autres membres du personnel pour s’assurer que les initiatives de marketing respectent les principes pertinents en matière de protection des données.

Tous nos employés doivent respecter les règles de confidentialité suivantes:

• L’accès aux données sensibles sera limité et accordé uniquement en fonction de ce qui est nécessaire pour exécuter les tâches d’un employé.
• Les données sensibles ne seront pas partagées. L’accès aux données sensibles est limité et doit donc être demandé au supérieur hiérarchique approprié.
• Du matériel de formation sera fourni afin d’informer les employés de leur responsabilité lors du traitement des données. Les employés doivent se référer au matériel de formation fourni.
• Des mots de passe complexes doivent être utilisés et ne jamais être partagés.
• Les employés peuvent demander l’aide d’un supérieur hiérarchique ou du représentant de la protection des données si un domaine de la protection des données n’est pas clair ou est préoccupant.
• Les employés doivent verrouiller leurs ordinateurs lorsqu’ils les laissent sans surveillance, y compris quand ils travaillent à domicile.
• Les données personnelles ne doivent jamais être transférées en dehors de l’Espace Économique Européen à moins que nous ne soyons engagés à le faire et que les protections pertinentes aient été mises en place.
• Ne sauvegardez jamais de copies de données personnelles sur vos propres appareils / ordinateur – accédez et mettez à jour uniquement la copie centrale des données.

Tous nos employés doivent respecter les consignes de stockage suivantes:

Papier / Fichiers / Version imprimée

• Lorsque des données sensibles sont stockées sur papier, elles doivent être conservées dans un tiroir ou un classeur verrouillé. Ces données sensibles ne doivent pas être laissées dans des endroits où une personne non autorisée peut les voir sans surveillance, par exemple, sur une imprimante ou sur un bureau à la maison.
• Les copies sur papier doivent être jetées dans les poubelles confidentielles du bureau lorsqu’elles ne sont plus nécessaires. Il n’est pas prévu que les personnes travaillant à domicile impriment des documents liés au travail, mais si c’est le cas, toutes les copies papier doivent être détruites de manière appropriée, par exemple en utilisant un destructeur de documents de niveau de sécurité P-4 (DIN 4) ou supérieur.

Électronique / Numérique /  Version logicielle

• Protégez vos données avec des mots de passe complexes qui sont régulièrement modifiés et ne sont jamais partagés.
• Si les données sont stockées sur CD, DVD ou toute autre forme de support amovible, elles doivent être conservées sous clé lorsqu’elles ne sont pas utilisées.
• Les données ne doivent être stockées que sur les disques, serveurs et services cloud que l’équipe informatique de Roscom a conseillés.
• Tous les serveurs contenant des données personnelles doivent être stockés dans un endroit sécurisé.
• Les données doivent être sauvegardées régulièrement conformément à la pratique standard de l’entreprise.
• Les données Roscom ne doivent jamais être enregistrées sur un ordinateur portable, un appareil mobile ou une tablette non cryptés.
• Tous les serveurs et ordinateurs doivent être protégés par un logiciel antivirus approuvé et un pare-feu approprié.

Le DPA 2018 exige que les organisations conservent des données exactes et limitées à ce qui est nécessaire. Par conséquent, les directives suivantes seront respectées:

• Les données seront stockées dans le moins d’endroits possible. Les employés ne doivent pas faire de copies inutiles de données, en particulier si elles contiennent des données confidentielles.
• Dans la mesure du possible, les employés veilleront à ce que les données soient mises à jour, en particulier les registres de Ressources Humaines.
• Nous veillerons à ce que toutes les données personnelles détenues puissent être facilement mises à jour lorsqu’elles sont notifiées par la personne concernée
• Les données doivent être revues et vérifiées périodiquement pour leur exactitude. Si celles-ci sont obsolètes ou ne sont plus nécessaires, elles doivent être supprimées et éliminées. Les données personnelles ne doivent pas être stockées indéfiniment.
• L’équipe marketing ne peut contacter des tiers que si l’un des six principes de traitement licite s’applique. En règle générale, cela dépendra du consentement ou des intérêts légitimes de la personne concernée.

Des caméras sont installées dans le bâtiment pour identifier les personnes entrant et sortant par la réception. Ces caméras sont activées par le mouvement. D’autres caméras peuvent enregistrer le mouvement des personnes à l’intérieur du bâtiment, pour identifier si une personne ayant accès s’est rendue dans une zone qui leur est interdite, par exemple, un livreur passant au-delà de la réception sans escorte.

D’autres caméras donnent sur le parking et la porte d’entrée principale pour assurer une sécurité supplémentaire pour les véhicules et les enregistrements des véhicules entrant et sortant de nos locaux.

Pour consulter notre politique sur les cookies, visitez https://www.roscom.co.uk/cookie-information/

Conformément au DPA 2018, une personne a le droit de voir une copie des informations personnelles qu’une organisation détient sur elle. Nous prendrons les dispositions appropriées suivantes:

A) Pour un employé:

Dans le cadre des pratiques commerciales normales, il est probable que nous serons en mesure de partager les informations nécessaires sans qu’une Demande d’Accès formelle ne soit requise. Si vous souhaitez poser des questions ou demander des conseils avant de faire une Demande d’Accès, il est suggéré de contacter votre supérieur hiérarchique, le DPO dpo@roscom.co.uk  ou le service RH de Roscom hrdirect@roscom.co.uk. Si vous souhaitez procéder à une Demande d’Accès, veuillez vous référer au document Demande d’Accès N°42571 pour accéder à un formulaire qui vous aidera à faire votre demande.

B) Pour toute autre personne:

Les demandes faites par des personnes en dehors de l’entreprise sont traitées par notre Délégué à la Protection des Données. Si l’un de nos autres employés reçoit une telle demande par écrit (lettre, courrier électronique, etc.) ou verbalement, elle sera alors transmise à un Représentant de la Protection des Données. Une Demande d’Accès peut être effectuée par téléphone ou verbalement, mais nous vous recommandons d’utiliser le document Demande d’Accès  No42571 pour vous guider dans le procédé d’une Demande d’Accès  (disponible sur demande).

Nous fournirons l’accès à la donnée personnelle le plus rapidement possible, et nous veillerons à ce qu’elle soit fournie dans les 30 jours.

Lorsqu’une Demande d’Accès  est reçue d’une personne qui ne soit pas employée par la société, nous avons besoin d’au moins une forme déclarée d’identification photographique. Cela peut comprendre: un passeport, un permis de conduire, une carte d’identité officielle britannique, etc. La preuve d’identité requise sera limitée au minimum dans la mesure du possible.

Nous ne facturerons pas la première Demande d’Accès, mais si les demandes sont répétitives, infondées ou vexatoires, nous procéderons à la facturation de 10 Livres Sterlings pour les frais administratifs liés à la conformité de la demande. Ces frais s’appliqueront si une personne demande des copies supplémentaires des mêmes données suite à  la demande originale.

À des fins de vérification et de conformité, nous conserverons un dossier centralisé de toutes les Demandes d’Accès, y compris: quand la demande a été reçue; les détails de la demande; la confirmation d’identité; lorsque la Demande  a été remplie; et tout incident ou préoccupation. Nous conserverons les informations fournies et ne les partagerons qu’avec ceux qui y ont légalement droit. Les informations ne seront conservées que le temps nécessaire et conformément à notre politique de conservation, et seront détruites de manière sûre et sécurisée.

Le Data Protection Act 2018 précise qu’une demande d’accès porte sur les données détenues au moment de la réception de la demande. Si possible, nous nous efforcerons de fournir des informations actuelles détenues, même si celles-ci sont différentes de celles qui étaient conservées lors de la première réception de la demande.

Bien que cela soit très peu probable en raison de la nature de l’entreprise, si nous sommes tenus de fournir des informations à un enfant, nous veillerons à ce que le langage utilisé soit simple et clair à comprendre.

Il se peut que nous devions prolonger le délai de réponse de deux mois supplémentaires si la demande est complexe. Si tel est le cas, nous informerons la personne dans un délai d’un mois à compter de la réception de sa demande et expliquerons pourquoi le délai est nécessaire. Une demande d’accès complexe est considérée comme: plusieurs demandes du même individu, plusieurs sources d’information, la divulgation d’informations litigieuses, celle-ci implique la divulgation d’informations de tiers et enfin, un Représentant de la Protection des Données ou un conseiller juridique doit être consulté.

À tout moment, vous pouvez nous contacter pour nous demander pourquoi nous traitons des données personnelles, demander qu’elles soient corrigées, demander à restreindre le traitement ou demander leur suppression. Nous agirons d’une manière aussi transparente que possible dans le traitement de ces demandes, mais nous devons également nous conformer à nos obligations légales et aux exigences de confidentialité professionnelle. Si votre demande est soumise à ces exigences, nous vous l’expliquerons clairement dès réception de votre demande.

Si vous avez besoin que vos données personnelles soient transférées vers un autre responsable du traitement et que la base légale actuelle du traitement est soit  (i) le consentement, (ii) pour l’exécution d’un contrat ou (iii) le traitement est effectué par des moyens automatisés, veuillez contacter dpo@roscom.co.uk  ou hrdirect@roscom.co.uk  pour obtenir de l’aide.

Les données personnelles non sollicitées

Si des données personnelles sont reçues de manière non sollicitée (délibérément ou accidentellement), nos modalités consistent en ce que la source des informations sera notifiée (à moins que la source des informations ne semble suspecte selon nos politiques informatiques), puis les données personnelles reçues seront supprimées sans délai (dans les 30 jours suivant la réception). Nous remplirons également un document à des fins d’audit, en précisant la source et une brève description du type de données reçues afin de catégoriser l’événement en tant qu’incident frôlé.

L’anonymisation

Si les données sont rendues anonymes de manière que la personne concernée ne soit plus identifiable, le DPA 2018 ne concerne pas le traitement de ces informations anonymes.

Le transfert de données en dehors de l’Union Européenne

Nous ne pouvons pas transférer de données personnelles en dehors de l’Espace Économique Européen (EEE) sauf si le Responsable du Traitement des Données l’a autorisé préalablement  à l’écrit et que l’une des conditions suivantes est remplie:

1. Le pays dans lequel les Données Personnelles sont transférées est reconnu par la Commission Européenne comme garantissant un niveau adéquat de protection des données personnelles; ou
2. Roscom et la société à laquelle les Données Personnelles sont transférées ont conclu une Clause Contractuelle Type. Une Clause Contractuelle Type est un mécanisme valide pour garantir qu’un fournisseur fournit la protection des données nécessaire.

Le retrait du consentement

Si vous souhaitez vous retirer de nos e-mails de marketing d’actualités et de mises à jour de produits, veuillez utiliser le lien de désabonnement fourni. Vous pouvez également envoyer votre demande par courrier électronique à marketing@roscom.co.uk.

Si les données personnelles sont traitées sur la base d’un consentement ou d’un intérêt légitime, le processus de retrait du consentement est simple. Cependant, si les données sont traitées sur la base de nos obligations légales ou contractuelles, cela nécessitera une discussion avec le Représentant de la Protection des Données ou le service des Ressources Humaines de Roscom. Si vous souhaitez retirer votre consentement au traitement de vos données personnelles, veuillez envoyer un e-mail à dpo@roscom.co.uk.

La prise de décision automatisée

Notre travail est personnel aux besoins de nos clients et nos employés sont propres à des circonstances uniques. Nous n’utilisons aucun profilage automatisé ni aucune méthode de prise de décision.

La Plateforme des Risques et Contrôles

Nous fournissons un portail en ligne pour les clients qui permet d’accéder à une foule d’informations sur nos solutions et nos services. Y sont inclus la formation, les meilleures pratiques, les actualités et l’assistance.

Dans le Domaine des Risques et Contrôles, les utilisateurs peuvent mettre à jour leur adresse e-mail, leur nom d’affichage et leur mot de passe. Nous générons des rapports mensuels d’historique des activités pour l’observation et la sécurité. Cet historique comprend les actions d’administration, les recherches, l’adresse IP et les tentatives de connexion qui ont échoué (avec adresse e-mail / IP).

Roscom LMS – Portail de formation en ligne

Nous mettons à disposition un portail en ligne (fourni par Talent LMS) pour dispenser des formations à nos employés et à nos clients. Cela comprend des vidéos de formation sur les meilleures pratiques, des tests et des certificats pour la réussite des cours.
Les utilisateurs peuvent mettre à jour leur adresse e-mail, leur nom de profil et leur mot de passe. L’enregistrement des activités est effectué à des fins de sécurité, de formation et d’amélioration. Cet enregistrement est également utilisé pour l’évaluation des entretiens. Ce journal comprend les informations de connexion, l’activité des cours de formation, les résultats des tests, la documentation téléchargée, les vidéos regardées, les commentaires et les évaluations (affichés par l’utilisateur).

Pour porter plainte

Si vous pensez ne pas pouvoir résoudre un problème qui soit lié aux données directement avec nous, vous avez le droit de faire part de vos préoccupations au Bureau du Commissaire Indépendant.