POLITIQUE DE CONFIDENTIALITÉ RELATIVE À LA PROTECTION DES DONNÉES À CARACTÈRE PERSONNEL

Les traitements effectués peuvent porter sur différentes catégories de données à caractère personnel dont les principales sont exposées ci-après.

Etat-civil, identité, données d'identification, images

Exemples de données traitées :

• Nom
• Prénom
• Adresse électronique
• Numéro de téléphone
• Adresse postale
• Enregistrement de vidéosurveillance

Vie personnelle (habitudes de vie, situation familiale, etc.)

Exemples de données traitées :

• Commune de naissance
• Commune de résidence

Vie professionnelle (CV, scolarité, formation professionnelle, distinctions, etc.)

Exemple de données traitées :

• Catégorie socioprofessionnelle       

Informations d'ordre économique et financier (revenus, situation financière, situation fiscale, etc.)

Exemples de données traitées :

• Bulletins de salaire
• Situation du logement
• Avis d'imposition  

Données de connexion (adresse IP, logs, etc.)

Exemple de données traitées :

• Identifiants et mots de passe pour accéder à certains services

Données de localisation (déplacements, données GPS, GSM, etc.)

Exemple de données traitées :

• Indication du lieu et de l'heure d'une infraction au code de la route ou d'un forfait post-stationnement
• Indication du lieu et de l'heure d'un enlèvement de carburant (lorsque la prestation « Gestion du carburant » est souscrite)
• Données de géolocalisation lorsque certaines prestations sont souscrites et notamment la Télématique ou l'Auto-partage.

Données sensibles ou particulières au sens du RGPD

Exemples de données traitées :

• Données relatives à la condition physique d'individus suite à un accident de circulation dans lequel serait impliqué un véhicule loué auprès de nos services
• Catégories d'infractions pénales suite à une infraction au code de la route

Toute donnée se rapportant à une personne identifiée ou identifiable

Exemples de données traitées :

• Informations sur le véhicule loué

 

Le loueur collecte des données via des cookies afin d’améliorer l’expérience de navigation des utilisateurs. Les cookies sont notamment utilisés pour stocker les préférences et paramètres afin de faire gagner du temps, d’activer la connexion, de lutter contre la fraude, d’analyser les performances du site web et des services fournis par le loueur et de réaliser des statistiques de visites.

Les données à caractère personnel sont conservées par le loueur, en base active, le temps nécessaire à l’accomplissement de l’objectif poursuivi lors de leur collecte.

La durée de conservation est donc initialement fixée par le loueur en fonction du besoin opérationnel nécessaire à l’exécution de chaque contrat individuel de location et prenant en considération les éventuelles recommandations de la CNIL.

Toutefois, certaines durées de conservation plus longues peuvent résulter de textes législatifs et réglementaires (notamment, mais non exclusivement, celles prévues par le code de commerce, le code civil et le code de la consommation). Certains textes imposent également de conserver des documents/informations contenant des données à caractère personnel, pendant une durée précise, à des fins de preuve ou en prévision d'un éventuel contentieux jusqu'à la prescription de l'action en question. Par exemple, en matière commerciale, les obligations se prescrivent, en principe, par cinq ans si elles ne sont pas soumises à des prescriptions spéciales (article L.110-4 du code de commerce).  Le loueur est donc dans l'obligation de conserver certaines données à caractère personnel au-delà de l’exécution des contrats de location bien qu'elle n'en ait plus l’usage sous forme d’archives dites intermédiaires.

A l’issue de ces périodes, les données à caractère personnel sont :


• purgés ; ou
• anonymisées

Les données à caractère personnel sont susceptibles d’être diffusées :

1) aux collaborateurs du loueur ;

2) à des partenaires ;

Le loueur s’est associé avec différents partenaires afin de pouvoir offrir à ses clients et prospects des offres diversifiées et adaptées à leurs besoins. Ces partenariats peuvent être passés avec différents types d’opérateurs économiques tels que :

• des constructeurs,
• des accteurs de la mobilité,
• des banques et notamment la société Ford Credit,
• des assureurs,

Les engagements de chaque partenaire font l’objet d’un encadrement contractuel détaillé, précisant la nature et les modalités d’échange de données et comportant des obligations en termes de sécurité et de confidentialité mises à charge de chacun ainsi que des obligations et mesures prises pour assurer le respect des principes énoncés par les textes applicables en vigueur en matière de données à caractère personnel.

Dans le cadre de ses activités avec le loueur, Ford Credit est destinataire de données à caractère personnel de Clients et prospects Ford Lease en qualité de Responsable conjoint avec le loueur pour les finalités identifiées comme telles dans les présentes. La Politique de Confidentialité de Ford Credit est disponible sur son site www.ford.fr

3) à des sous-traitants, prestataires et conseils ;

4) à des courtiers et assureurs ;

Le loueur a recours à des tiers spécialement habilités pour exécuter, par exemple, des prestations de maintenance/assistance, des enquêtes,… Lors du recours à ces prestataires, le loueur veille à sélectionner des prestataires et fournisseurs présentant des garanties suffisantes pour assurer la mise en œuvre effective des missions qui leur sont confiées (compétence, niveau de sécurité, notoriété, solidité financière, lieu de localisation des serveurs ou centres informatiques…). Les obligations et niveaux de prestation font l’objet d’un encadrement contractuel détaillé destiné à assurer que le prestataire ne pourra agir que sur instruction du loueur et comportant des obligations en termes de sécurité et de confidentialité mises à charge du prestataire, ainsi que des obligations et mesures prises pour assurer le respect des principes énoncés par le RGPD.

5) à des établissements financeurs ;

6) au Groupe Société Générale auquel appartient le loueur ;

7) à toute autorité administrative et judiciaire.

Toutes les bases de données du loueur sont aujourd’hui localisées au sein de l’Union Européenne.
Le loueur peut avoir recours aux services de sous-traitants basés dans et en dehors du territoire de l’Union Européenne, y compris dans des pays qui ne sont pas considérés par la Commission Européenne comme des pays assurant un niveau de protection suffisant et ayant accès à certaines données à caractère personnel. Dans ces circonstances, le loueur a pris soin de mettre en place :

• a. des règles internes d'entreprise (BCR); ou
• b. des Clauses Contractuelles Type adoptées par la comission Européenne

La politique de sécurité de l'information du loueur se décline au travers de mesures organisationnelles (y compris la sensibilisation et la formation du personnel concerné), de logiciels et de matériels afin de lutter contre la destruction, la perte ou l’altération accidentelle ou illicite de données, la divulgation ou l’accès non autorisé à des données et contre toute autre forme de traitement illicite.

Un Responsable de la Sécurité des Systèmes d’Information (RSSI) rattaché à la Direction du Contrôle Interne applique la politique de sécurité informatique qui émane de la politique de sécurité du Groupe Société Générale.

Les principes qui président la politique de sécurité du loueur sont les suivants :

• Une approche de la sécurité globale, adaptée (en termes économique ou de facilité d’usage) et intégrée (c’est-à-dire diffusée dans chaque projet et chacune des applications du système d’information),
• Une démarche d’amélioration en continu et en cycle court (gestion des incidents liés à la sécurité de l’information, des audits, des évolutions technologiques,…),
• Une gestion proactive de la sécurité qui s’appuie sur :
  ⇒ l’implication du Comité de Direction du loueur,
  ⇒ une gouvernance renfonrcée de la sécurité,
  ⇒ la diffusion d'une culture de la sécurité de l'information
  

L’accès aux données à caractère personnel est limité à des personnes autorisées dont le statut, les fonctions, les responsabilités induisent ou justifient spécifiquement le traitement des données concernées. Afin de garantir la sécurité des informations et leur confidentialité, les accès au système d’information et à l’ensemble de ses composantes applicatives sont soumis à habilitation individuelle.

Les profils sont administrés en interne par le RSSI en collaboration avec la Direction des Ressources Humaines et les métiers. L’accès au système d’information s’effectue par authentification en associant un login et un mot de passe dit complexe, renouvelé à intervalle régulier.

Les accès au système d’information depuis l’extérieur de l’entreprise se font :

• au travers d’un extranet en HTTPS avec double bastion de firewall, DMZ privé et DMZ publique ; ou
• au travers d’un client VPN  avec chiffrement des données échangées.
  
  

Un système de traçabilité permet de suivre l’historique des activités effectuées par tout utilisateur du réseau informatique et des applications du loueur. Des actions complémentaires de journalisation répondent à plusieurs objectifs dont :

• la résolution des problèmes techniques et l’optimisation du fonctionnement des systèmes informatiques,
• la vérification du respect des règles de sécurité du système d’information,
• la détection de toute tentative d’intrusion ou d’altération du système d’information,
• la détection d’activités illégales ou contraires au règlement intérieur.

Les données à caractère personnel sont divulguées uniquement aux personnes ayant à en prendre connaissance pour les finalités nécessaires.

Pour ses échanges en interne, le loueur s’est également doté d’un système de classification des informations en fonction de leur niveau de sensibilité.

Les contrats intègrent des clauses de confidentialité imposant à nos co-contractants de ne pas divulguer de données. En outre, ils doivent informer les personnes destinataires du caractère confidentiel des informations qui leur sont transmises et s’engager à respecter une obligation de confidentialité de même nature que celle prévue dans le contrat qu’ils ont signé.

Les données sont répliquées sur le site de back up, en temps réel, au travers d’une technologie dite de « Flash Copy » qui consiste à copier, de façon immédiate, la donnée, sans interruption de l’activité.

Une fois les données répliquées, elles sont stockées sur des supports qui eux-mêmes suivent un processus d’archivage selon plusieurs périodicités.

De plus, a été mise en place une procédure de restauration des supports afin de s’assurer de la bonne lecture dans la durée de ces dernières.

Tous les postes de travail et serveurs sont équipés d’un antivirus mis à jour quotidiennement.

Une procédure de « patch management » définit les règles et modalités de déploiement des correctifs publiés par les éditeurs.

Les actifs informatiques sont protégés d’attaques externes par différents moyens :

• étanchéité des composants réseaux par zone, garantie par le déploiement de firewall et de reverse proxy,
• protection des services exposés sur internet par des solutions WAF, Ddos et double bastion de Firewall.

Les collaborateurs sont régulièrement formés et sensibilisés à la sécurité informatique. Des tests de sécurité sont également réalisés pour valider l’application des règles de sécurité (Test de phishing par exemple).

Les principaux bâtiments du loueur sont munis des outils de surveillance suivants :
• accès aux locaux par badge,
• vidéosurveillance,
• agent de sécurité.

Dans l’hypothèse où un incident de sécurité se produirait, différents scénarios sont prévus en fonction de la nature des données concernées, du type et de l’ampleur de l’incident.

Pour ce faire, le loueur s’est notamment doté des moyens suivants :

• cellule de crise ;
• procédure d’escalade au niveau groupe ;
• procédure d’isolement du matériel informatique impacté.

Depuis l’entrée en vigueur du RGPD, il existe de nouvelles obligations de notification des violations de données à caractère personnel. En effet, le RGPD généralise l’obligation de notification des failles de sécurité à l’autorité de contrôle compétente et impose une nouvelle obligation de communication aux personnes concernées par une violation de leurs données personnelles, et ce, dans les meilleurs délais, lorsque la violation est susceptible d’engendrer un risque élevé pour les droits et libertés de cette personne. 

Toute personne concernée par un traitement de données à caractère personnel peut exercer un certain nombre de droits auprès du loueur.

Les droits en question sont les suivants :

• Droit d'accès
• Droit à la Rectification de toute donnée à caractère personnel inexacte 
• Droit à l’Effacement (droit à l’oubli) lorsque l’un des motifs suivants s’applique :
  ⇒les données à caractère personnel ne sont plus nécessaires au regard des finalités pour lesquelles elles ont été collectées ;
  ⇒le retrait du consentement de la personne concernée ;
  ⇒le traitement est illicite ;
  ⇒le respect d’une obligation légale d’effacement.
  
• Droit à la limitation dans les circonstances suivantes :
  ⇒l'exactitude des données à caractère personnel est contestée par la personne concernée, pendant une durée permettant au loueur de vérifier l'exactitude des données à caractère personnel ;
  ⇒le traitement est illicite et la personne concernée s'oppose à leur effacement et exige à la place la limitation de leur utilisation ;
  ⇒le loueur n'a plus besoin des données à caractère personnel aux fins du traitement mais celles-ci sont encore nécessaires à la personne concernée pour la constatation, l'exercice ou la défense de droits en justice ;
  ⇒Lorsqu’une personne s'est opposée au traitement de données à caractère personnel la concernant, pendant la vérification portant sur le point de savoir si les motifs légitimes poursuivis par le loueur prévalent sur ceux de la personne concernée.
• Droit à la portabilité : toute personne a le droit d’obtenir une copie des données à caractère personnel la concernant que le loueur détient dans ses bases et ce, dans un format structuré et facilement réutilisable.
• Droit d'opposition : En outre, toute personne à également le droit de demander la mise à disposition des documents juridiques utilisés lors d’un transfert de données à caractère personnel vers un pays tiers.
  Ces droits peuvent être exercés par courrier électronique à l’adresse du loueur suivante : contact-donneespersonnelles@fordlease.com ou par courrier postal à :

Le loueur s’engage à communiquer à la personne concernée toute information sur les mesures prises à la suite de sa demande, dans les meilleurs délais et, en tout état de cause, dans un délai d’un (1) mois à compter de la réception de sa demande ou, le cas échéant, dans un délai de deux (2) mois lorsque la demande est complexe.

Tout exercice des droits formulé auprès du loueur sera automatiquement signalé par ce dernier à ses sous-traitants, partenaires, responsable conjoint, le cas échéant, et autres destinataires sans que la personne concernée n’ait besoin de procéder à des démarches supplémentaires.

Par ailleurs, toute personne concernée par un traitement de données à caractère personnel a le droit d’introduire une réclamation devant une autorité de contrôle.

Le contenu de ce document a vocation à évoluer périodiquement et sans préavis en fonction de l’entrée en vigueur de nouveaux textes applicables et notamment du Règlement dit e-Privacy, de la loi Informatique et Libertés amendée, des éventuelles recommandations CNIL et/ou du G29 et des évolutions des produits, services et prestations proposés par le loueur.