Protection des données personnelles

L’association B2V Gestion, association de moyens au sein du groupe de protection sociale B2V, est constituée dans le but exclusif de faciliter et développer l’activité de ses membres. 

Elle a pour objet de permettre l’utilisation commune de moyens de gestion nécessaires aux activités de ses membres notamment dans les domaines de la retraite (Retraite Complémentaire et Retraite Supplémentaire) et de l’action sociale.

L’association B2V Gestion agit en qualité de Responsable de Traitement pour les traitements de données personnelles (DCP) liés aux fonctions supports internes et en qualité de Sous-Traitant pour le compte des entités suivantes :

• L’Institution de Retraite Complémentaire (IRC) Alliance professionnelle Retraite AGIRC ARRCO,

• L’Institution de Gestion de Retraite Supplémentaire (IGRS) CREPSA,

• L’association CREPSA Action Sociale,

• Le Fonds de dotation Observatoire B2V des Mémoires,

dans le cadre des traitements des données personnelles dont elles ont la responsabilité.

Cette politique a pour objectif de décrire les règles en vigueur en matière de protection des données à caractère personnel, couvertes notamment par les dispositions :

• de la loi n°78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés (dite « loi Informatique et Libertés »), modifiée et complétée notamment, par la loi n° 2018-493 du 20 juin 2018 relative à la protection des données à caractère personnel et par l’ordonnance n°2018-1125 du 12 décembre 2018 prise en application de l’article 32 de la précédente loi, et ses textes d’application,
• ainsi que du Règlement Général sur la Protection des Données à caractère personnel n°2016-679 du 27 avril 2016, et leur application au sein des entités du Groupe B2V.

Cette Politique pourra évoluer en fonction du contexte légal et réglementaire et de la doctrine de la Cnil.

• Donnée à Caractère Personnel (DCP) : 
  • Une donnée à caractère personnel (ou donnée personnelle) est toute information se rapportant à une personne physique identifiée ou identifiable. 
  • Mais, parce qu’elles concernent des personnes, celles-ci doivent en conserver la maîtrise
• Traitement :
  • Un traitement de données personnelles est une opération, ou ensemble d’opérations, portant sur des données personnelles, quel que soit le procédé utilisé (collecte, enregistrement organisation, conservation, adaptation, modification, extraction consultation, utilisation, communication par transmission ou diffusion ou toute autre forme de mise à disposition, rapprochement).
  • Un traitement de données personnelles n’est pas nécessairement informatisé : les fichiers papier sont également concernés et doivent être protégés dans les mêmes conditions.
  • Un traitement de données doit avoir un objectif, une finalité déterminée préalablement au recueil des données et à leur exploitation
• Finalité :
  • La finalité du traitement est l’objectif principal de l’utilisation de données personnelles. Les données sont collectées pour un but bien déterminé et légitime et ne sont pas traitées ultérieurement de façon incompatible avec cet objectif initial.
• Responsable de Traitement (RT) :
  • Le responsable de traitement est la personne morale (entreprise, commune, etc.) ou physique qui détermine les finalités et les moyens d’un traitement, c’est à dire l’objectif et la façon de le réaliser. En pratique et en général, il s’agit de la personne morale incarnée par son représentant légal.
• Sous-traitant (ST) :
  • Le sous-traitant est la personne physique ou morale (entreprise ou organisme public) qui traite des données pour le compte d’un autre organisme (« le responsable de traitement »), dans le cadre d’un service ou d’une prestation.
  • Les sous-traitants ont des obligations concernant les données personnelles, qui doivent être présentes dans le contrat, notamment :
    • une obligation de transparence et de traçabilité,
    • la prise en compte des principes de protection des données dès la conception et par défaut,
    • une obligation de garantir la sécurité des données traitées,
    • une obligation d’assistance, d’alerte et de conseil (par exemple, une procédure de notification des violations de données personnelles doit être notifiée)
• Délégué à la Protection des Données (DPO) :

Le délégué à la protection des données (DPO ou Data Protection Officer) est chargé de mettre en œuvre la conformité au règlement européen sur la protection des données au sein de l’organisme qui l’a désigné s’agissant de l’ensemble des traitements mis en œuvre par cet organisme

Il convient de se reporter à la politique de protection des données personnelles spécifique à chacune des entités suivantes :

• L’Institution de Gestion de Retraite Supplémentaire (IGRS) CREPSA, 
• L’association CREPSA Action Sociale,
• Le Fonds de dotation Observatoire B2V des Mémoires, 
  

pour disposer des précisions utiles concernant la nature de DCP collectées, les objectifs de la collecte des DCP et exclusions, le cadre réglementaire et les fondements juridiques, les destinataires des DCP, les durées de conservation, les droits des personnes et leurs modalités d’exercice, ainsi que le droit d’introduire une réclamation auprès de l’autorité de contrôle (www.cnil.fr).

S’agissant des traitements des données personnelles liées aux activités de mise en œuvre et de gestion de la Retraite Complémentaire et d’Action Sociale Retraite, les Responsables conjoints de traitement sont :

• Les Institutions de Retraite Complémentaire (IRC) AGIRC ARRCO dont l’Institution de Retraite Complémentaire Alliance professionnelle Retraite AGIRC ARRCO,
• La Fédération AGIRC-ARRCO.

L’association B2V Gestion intervient en qualité de sous-traitant pour le compte de l’Institution de Retraite Complémentaire Alliance professionnelle Retraite AGIRC ARRCO. L’accord de sous-traitance conclu à cet effet prévoit les modalités de protection des données personnelles traitées.

Pour plus d’informations, vous pouvez vous rapprocher du DPO de B2V Gestion (informatique.libertes@b2v.fr) ou du DPO de l’IRC Alliance professionnelle Retraite AGIRC ARRCO (dpo@allianceprofessionnelle.com).

Des mesures techniques et organisationnelles appropriées sont prévues pour garantir la sécurité et la confidentialité des données à caractère personnel, et notamment, empêcher qu’elles soient déformées, endommagées ou éviter tout accès non autorisé.

Les partenaires et sous-traitants des entités du Groupe B2V, tenus aux mêmes obligations de sécurité et de confidentialité, doivent présenter des garanties appropriées pour assurer la sécurité et la confidentialité des données à caractère personnel.

Les droits dont disposent les personnes dont les données sont traitées, dépendent du fondement légal des traitements. Il suffit de consulter le tableau des finalités et de leur fondement pour déterminer quels sont les droits des personnes concernées.

En fonction du fondement légal du traitement, les droits dont disposent les personnes concernées sont les suivants :

• Droit de s’opposer au traitement de leurs données :
  • Le droit d’opposition permet aux personnes concernées de s’opposer au traitement lorsque ce traitement est fondé sur l’intérêt légitime du responsable de traitement. Sauf exception, les personnes concernées doivent invoquer des raisons tenant à leur situation particulière. Ce droit s’exerce sous réserve de justifier d’un motif légitime des personnes concernées tenant à leur situation particulière
• Droit d’accéder aux données les concernant :
  • Le droit d’accès permet à toute personne de prendre connaissance de l’intégralité des données la concernant dans un fichier, et en obtenir une copie
• Droit de rectification :
  • Il est possible d’obtenir la rectification de données inexactes, voire incomplètes.
• Droit d’obtenir l’effacement des données qui les concernent :
  • Il est possible d’obtenir l’effacement des données lorsque les personnes concernées ont retiré leur consentement, ou se sont légitimement opposées à l’utilisation de leurs données, ou encore que les données ne sont plus nécessaires
• Droit à la limitation du traitement :
  • Ce droit permet aux personnes qui contestent l’exactitude de leurs données, de demander le gel temporaire du traitement de leurs données le temps qu’il soient précédé aux vérifications nécessaires
• Droit à la portabilité :
  • Ce droit permet aux personnes de recevoir, dans un format structuré et couramment utilisé, l’ensemble des données traitées par des moyens automatisés

Il est donné suite à l’exercice de ces droits en fonction du traitement visé et de la situation des personnes en faisant la demande.

Chaque personne dont les données à caractère personnel sont collectées, peut organiser comme elle le souhaite le sort des données à caractère personnel la concernant après son décès.

A cet effet et dans le respect de la réglementation, elle peut définir auprès de la personne de confiance qu’elle aura désignée, des directives relatives à la conservation, à l'effacement et à la communication de ses données à caractère personnel après son décès. 

A cet effet et dans le respect de la réglementation, elle peut définir auprès de la personne de confiance qu’elle aura désignée, des directives relatives à la conservation, à l'effacement et à la communication de ses données à caractère personnel après son décès. 

Pour obtenir des informations complémentaires ou effectuer une demande de droit, il convient de se reporter au tableau de contact ci-après ou à la politique de protection des données personnelles spécifique à chacune des entités :

• B2V Gestion :
  • A l’attention du DPO
    Groupe B2V 
    TSA 40003
    92926 La Défense Cedex
  • informatique.libertes@b2v.fr

• CREPSA Action Sociale :
  • A l’attention du DPO
    CREPSA Action Sociale
    TSA 40003
    92926 La Défense Cedex
  • informatique.libertes@b2v.fr

• Fonds de dotation Observatoire B2V des Mémoires :
  • Fonds de dotation Observatoire B2V des Mémoires
    TSA 40003
    92926 La Défense Cedex
  • informatique.libertes@b2v.fr

En cas de doute raisonnable sur l’identité de la personne, un justificatif d’identité valide, sera demandé à la personne pour donner suite à cette demande, le délai de traitement est dans ce cas suspendu le temps d’avoir la confirmation de l’identité de la personne.

Si, après avoir contacté le responsable de traitement, les personnes concernées estiment que leurs droits « Informatique et Libertés » ne sont pas respectés, elles peuvent adresser une réclamation à la CNIL (www.cnil.fr).