Politique de confidentialité
Dispositif d'alerte Sodexi
Article 1
Identité et coordonnées du responsable de traitement
Conformément à la réglementation applicable en matière de protection des données à caractère personnel, notamment les dispositions de la loi « informatique et libertés » du 6 janvier 1978 modifiée et du Règlement Général sur la Protection des Données (Règlement UE 2016/679 dit « RGPD »), SODEXI (Société pour le Développement du fret express international, ci-après l’« Entité »), responsable du traitement, société anonyme au capital de 2 769 232 euros, immatriculée au RCS de Bobigny sous le numéro B 347 960 825, dont le siège social est situé Bâtiment 3500, Zone Fret 4, 2 rue des Voyelles, 93290 Tremblay-en-France, vous informe que les informations recueillies dans le cadre du dispositif d’alerte de Sodexi (ci-après, le « Dispositif ») font l’objet d’un traitement de données à caractère personnel.
Le Dispositif a pour objectif de recueillir et traiter les alertes professionnelles signalant toute violation des lois et réglementations applicables ou, plus généralement, toute situation contraire aux valeurs et aux règles internes de Sodexi.
Les modalités d’accès au Dispositif sont présentées sur la page suivante : https://sodexi.fr/dispositif-dalerte-sodexi/.
Article 2
Données collectées
Les catégories de données personnelles qui sont collectées dans le cadre de ce Dispositif sont les suivantes :
- Informations relatives à l’identité de l’émetteur d’alerte, lorsqu’il choisit de s’identifier : nom, prénom, pays de résidence, fonction occupée, adresse professionnelle, adresse personnelle, numéro de téléphone, courrier électronique ;
- Informations relatives à la personne faisant l’objet de l’alerte : nom, prénom, fonction occupée, coordonnées professionnelles ;
- Le cas échéant, informations relatives aux personnes figurant dans l’alerte en tant que témoins ou victimes des pratiques ou des faits signalés : nom, prénom, fonction occupée, coordonnées professionnelles ;
- Le cas échéant, informations relatives aux facilitateurs et aux personnes en lien avec l’émetteur d’alerte : nom, prénom, fonction occupée, coordonnées ;
- Informations relatives aux faits signalés : les données à caractère personnel que vous communiquez dans votre signalement sont également susceptibles de faire l’objet d’un traitement et il est possible que des données sensibles ou des données relatives à des infractions soient recueillies. Les informations communiquées doivent rester factuelles et présenter un lien direct avec l’objet de l’alerte ;
- Informations recueillies dans le cadre de la vérification des faits signalés ;
- Informations relatives aux comptes rendus des opérations de vérification ;
- Informations relatives aux suites données à l’alerte ;
- Informations relatives aux personnes intervenant dans le recueil ou dans le traitement des alertes : nom, prénom, fonction occupée, coordonnées professionnelles, données liées au suivi des signalements, le cas échéant, journaux de connexion au Dispositif.
Article 3
Finalités du traitement
Ces données sont collectées et traitées afin de :
- recueillir et traiter les alertes ou signalements visant à révéler un manquement à une règle légale, réglementaire ou éthique, ou aux Principes et règles internes de Sodexi ;
- effectuer les vérifications, enquêtes et analyses nécessaires ;
- définir les suites à donner au signalement ;
- assurer la protection des personnes concernées, notamment contre tout risque de représailles ;
- permettre à l’Entité de constater, d’exercer ou de défendre ses droits en justice.
Article 4
Base légale du traitement
Le traitement est fondé sur le respect, par l’Entité, d’une obligation légale lui incombant et imposant la mise en œuvre d’un dispositif d’alertes professionnelles, en particulier l’article 8 de la loi n° 2016-1691 du 9 décembre 2016 dite « Sapin II » et le décret n° 2022-1284 du 3 octobre 2022 (article 6.1.c du RGPD).
Lorsque des données sensibles sont communiquées dans le cadre d’une alerte, leur traitement est justifié par un motif d’intérêt public important ou, le cas échéant, par la nécessité de constater, d’exercer ou de défendre un droit en justice (article 9.2.g et 9.2.f du RGPD). Les données relatives à des infractions sont traitées dans les conditions prévues à l’article 10 du RGPD et à l’article 46 de la loi « informatique et libertés ».
Article 5
Durée de conservation des données
L’Entité ne conserve les données personnelles traitées dans le cadre du Dispositif que pour le temps nécessaire à l’accomplissement des finalités poursuivies, conformément aux recommandations en vigueur.
- Lorsqu’une alerte est considérée par l’Entité comme n’entrant pas dans le champ du Dispositif, les données sont détruites sans délai ou anonymisées ;
- Les données relatives à une alerte entrant dans le champ du Dispositif sont conservées en base active jusqu’à la décision définitive sur les suites à lui réserver. Cette décision intervient dans un délai raisonnable à compter de la réception du signalement ;
- Après cette décision, les données sont conservées en archives intermédiaires, avec un accès restreint, le temps strictement proportionné à leur traitement et à la protection de l’auteur de l’alerte, des personnes visées et des tiers mentionnés, en tenant compte des délais d’éventuelles enquêtes complémentaires ;
- Lorsqu’une procédure disciplinaire ou contentieuse est engagée à l’encontre d’une personne mise en cause ou de l’auteur d’une alerte abusive, les données sont conservées jusqu’au terme de la procédure ou de la prescription des recours contre la décision intervenue ;
- À l’issue de ces durées, les données sont détruites ou anonymisées. Les données anonymisées peuvent être conservées sans limitation de durée.
Article 6
Destinataires des données
Les données collectées dans le cadre du Dispositif ne sont accessibles qu’à l’Entité et à ses personnels habilités, en particulier les référents désignés en interne pour réceptionner et traiter les signalements, ainsi que le pôle chargé de statuer sur les suites à donner.
Certaines données sont également susceptibles d’être partagées avec la société mère de l’Entité, lorsque cela est nécessaire, au cas par cas, à la vérification ou au traitement d’une alerte reçue : Air France, société anonyme, dont le siège social est situé 45, rue de Paris, 95747 Roissy CDG Cedex.
Le cas échéant, les données peuvent également être communiquées à l’avocat ou au conseil chargé d’assister l’Entité, ainsi qu’aux prestataires techniques qui hébergent la messagerie et la plateforme utilisées pour le Dispositif, cette dernière étant mise à disposition par le Groupe Air France-KLM, dans la stricte mesure nécessaire et sous obligation contractuelle de confidentialité.
Conformément à l’article 9 de la loi Sapin II, les éléments de nature à identifier l’auteur de l’alerte ne peuvent être divulgués qu’avec son consentement, sauf à l’autorité judiciaire. Les éléments de nature à identifier la personne mise en cause ne peuvent être divulgués, sauf à l’autorité judiciaire, qu’une fois établi le caractère fondé de l’alerte.
L’Entité est également susceptible de communiquer des données afin de répondre à des demandes légales ou réglementaires, des décisions de justice, assignations ou procédures juridiques, si le respect de la réglementation en vigueur l’exige.
En aucun cas l’Entité ne vend ni ne loue vos données personnelles à des tiers pour leurs propres activités.
Article 7
Transfert de données hors UE
Les données collectées dans le cadre du Dispositif sont traitées au sein de l’Union européenne.
Dans les cas où des transferts de données à caractère personnel en dehors de l’Union européenne auraient lieu, l’Entité s’engage à ce que le destinataire soit situé dans un pays bénéficiant d’une décision d’adéquation de la Commission européenne ou que des mesures soient mises en place afin de garantir que les données transférées bénéficient d’une protection adéquate, conformément aux dispositions prévues par le RGPD.
Article 8
Droits des personnes
Conformément à la réglementation applicable en matière de protection des données à caractère personnel, vous disposez d’un droit (a) d’accès, (b) de rectification, (c) d’effacement, (d) de limitation du traitement des données, ainsi que (e) d’un droit à la portabilité des données et (f) d’opposition.
Par ailleurs, vous disposez du droit de définir des directives relatives à la conservation, à l’effacement et à la communication de vos données à caractère personnel post mortem (g).
a) Le droit d’accès
Vous avez le droit de demander la confirmation que l’Entité traite des données à caractère personnel vous concernant et, dans ce cas, d’en recevoir une copie. L’exercice de ce droit ne peut porter atteinte aux droits et libertés d’autrui : en particulier, il ne permet jamais d’obtenir l’identité de l’auteur de l’alerte ou des tiers mentionnés.
b) Le droit de rectification
Vous avez le droit de demander la rectification de vos données à caractère personnel si vous constatez qu’elles sont inexactes. Ce droit ne permet pas de modifier rétroactivement le contenu de l’alerte ni les éléments recueillis lors de son instruction : seules les données factuelles dont l’exactitude peut être vérifiée sont rectifiées, sans effacement des données initialement collectées.
c) Le droit à l’effacement
Vous avez le droit de demander l’effacement de vos données à caractère personnel. Ce droit ne peut être exercé que dans certains cas, lorsque l’un des motifs prévus à l’article 17 du RGPD s’applique. Il peut s’agir par exemple de données à caractère personnel qui ne seraient plus nécessaires au regard des finalités pour lesquelles nous les avons collectées ou qui auraient fait l’objet d’un traitement illicite. Si vous exercez ce droit et si l’un des motifs est applicable à votre demande, nous procédons à l’effacement de vos données à caractère personnel dans les meilleurs délais.
d) Le droit à la limitation du traitement des données
Vous avez le droit d’obtenir la limitation du traitement de vos données à caractère personnel. Cela signifie que nous marquons ces données, si nous les conservons effectivement, en vue de suspendre temporairement leur traitement. Ce droit peut être exercé pour les motifs prévus à l’article 18 du RGPD. Ce droit ne donne pas lieu à leur effacement et nous sommes tenus de vous informer avant que la limitation du traitement correspondant ne soit levée.
e) Le droit à la portabilité des données
Vous avez le droit de demander la fourniture des données à caractère personnel que vous nous avez directement communiquées, dans un format structuré, couramment utilisé et lisible par machine, si leur traitement est automatisé et fondé sur votre consentement. Ce droit ne s’applique pas aux autres bases légales de traitement. Le cas échéant et lorsque cela est techniquement possible, vous avez également la possibilité de demander directement le transfert de ces données à un autre responsable de traitement.
f) Le droit d’opposition
Vous avez le droit de vous opposer au traitement de vos données à caractère personnel lorsque le traitement a pour base légale l’intérêt légitime de l’Entité. En revanche, ce droit d’opposition ne peut être exercé pour les traitements nécessaires au respect des obligations légales de l’Entité.
g) Le droit de décider du sort de vos données personnelles après votre mort
Vous avez le droit d’organiser le sort de vos données personnelles post mortem par l’adoption de directives générales ou particulières. L’Entité s’engage à respecter ces directives.
h) Information de la personne visée par l’alerte
La personne visée par une alerte est informée du traitement de ses données dans un délai raisonnable, qui ne peut dépasser un mois sauf exception dûment justifiée. Cette information peut être différée lorsqu’elle risquerait de compromettre gravement l’enquête, par exemple en cas de risque de destruction de preuves. Elle ne contient aucune information relative à l’identité de l’auteur de l’alerte ni à celle des tiers.
i) Signalements anonymes
Vous pouvez effectuer un signalement sans révéler votre identité. Pour permettre la poursuite des échanges tout en préservant votre anonymat, vous pouvez utiliser une adresse électronique qui ne permet pas de vous identifier. L’Entité s’abstient de toute tentative de vous réidentifier.
Article 9
Modalités d’exercice des droits
Lorsque vous souhaitez faire valoir vos droits, il vous suffit d’envoyer une demande au Département Protection des données de l’Entité, à l’adresse suivante :
SODEXI, Receveur d’alertes | 2, rue des Voyelles, Zone Cargo 6, BP 16041 Roissy CDG 93290 Tremblay-en-France, France | Adresse électronique : coliveira@sodexi.fr.
Afin de traiter au mieux votre demande, nous vous prions de bien vouloir l’accompagner des éléments nécessaires à votre identification (nom, prénom, adresse électronique) ainsi que de toute autre information nécessaire à la confirmation de votre identité. En cas de doute sur l’identité du demandeur, une pièce d’identité pourra vous être demandée.
Les demandes sont traitées dans les meilleurs délais et, en tout état de cause, dans un délai d’un mois à compter de leur réception. Au besoin, ce délai pourra être prolongé de deux mois, compte tenu de la complexité et du nombre de demandes qui nous sont adressées. Dans ce cas, vous serez informé de cette prolongation et des motifs du report.
Si, après avoir contacté l’Entité et malgré ses efforts, vous estimez que vos droits ne sont pas respectés, vous pouvez également introduire une réclamation auprès de la Commission Nationale de l’Informatique et des Libertés (CNIL), 3, place de Fontenoy, TSA 80715, 75334 Paris Cedex 07 ou https://www.cnil.fr, ou de toute autre autorité de protection des données compétente.
Article 10
Sécurité des données
La confidentialité et la sécurité des données à caractère personnel étant au cœur des préoccupations de l’Entité, des mesures de sécurité techniques et organisationnelles sont mises en place afin de préserver leur sécurité et, notamment, d’empêcher toute destruction, perte, altération, divulgation, intrusion ou accès non autorisé à ces données, de manière accidentelle ou illicite.
L’Entité met en place de telles mesures afin de s’assurer que les données personnelles sont conservées de façon sécurisée pendant la durée nécessaire à l’exercice des finalités poursuivies, conformément au droit applicable.
Conformément à la réglementation applicable, en cas d’atteinte avérée aux données personnelles susceptible d’engendrer un risque pour les droits et libertés des personnes concernées, l’Entité s’engage à notifier cette violation à l’autorité de contrôle compétente et, lorsque cela est exigé par ladite réglementation, aux personnes concernées.
Article 11
Mise à jour de la politique
L’Entité se réserve le droit de modifier ou de mettre à jour la présente politique de confidentialité.
Tout changement ou toute mise à jour sera effectif dès sa publication sur le site internet du Dispositif.
Article 12
Droit applicable
La présente politique de confidentialité est soumise au droit français, sauf dispositions impératives prévues par le droit de tout autre pays dans lequel résiderait la personne concernée par le traitement de données à caractère personnel mis en œuvre dans le cadre du Dispositif.
SODEXI, Société pour le Développement du fret express international Société anonyme au capital de 2 769 232 euros Siège social : Bâtiment 3500, Zone Fret 4, 2 rue des Voyelles, 93290 Tremblay-en-France. Adresse postale : BP 16041 Roissy CDG, 93290 Tremblay-en-France RCS Bobigny B 347 960 825, SIRET 347 960 825 00052, Code APE/NAF 5229B TVA intracommunautaire : FR 12 347 960 825