PERSONAL DATA
Introduction
Cette politique est rédigée afin d’expliciter les principales obligations légales, règlementaires et contractuelles pouvant peser sur les activités de Ciril GROUP en matière de protection des données personnelles, que ces obligations soient issues du Règlement Général sur la Protection des Données, de la Loi Informatique et Libertés, du Code de la santé publique (du fait de sa certification d’hébergeur de données de santé) ou encore des contrats conclus avec ses clients, ainsi que les principaux moyens déployés par Ciril GROUP pour y répondre. Elle pourra librement être modifiée par Ciril GROUP, toute nouvelle version étant alors diffusée sur les différents sites web de la société dans leur rubrique « politique de protection des données » ou dans toute autre rubrique équivalente.
Dans le cadre des activités qu’elle réalise en tant que responsable de traitement, la société Ciril GOUP est en effet amenée à collecter et à traiter des données à caractère personnel notamment relatives à ses contacts, prospects, clients, fournisseurs et collaborateurs. Cette politique a donc pour objet de présenter de manière concise, transparente, compréhensible et aisément accessible les informations générales concernant (I) les principes de gestion des données personnelles appliqués par Ciril GROUP et (II) les droits des personnes concernées par celles-ci
Au-delà de ces premiers points, cette politique présente également (III) les engagements de Ciril GROUP en tant que responsable de traitement ainsi que (IV) les engagements de Ciril GROUP en tant que sous-traitant au sens de la règlementation relative à la protection des données.
Enfin, elle a vocation à centraliser les informations sur les principaux traitements réalisés par Ciril GROUP (le cas échéant en tout ou partie intégrées au périmètre de ses activités d’hébergement et d’infogérance « CGC ») à savoir : cf Annexe Politique de protection des données
I : Principes de gestion des données personnelles
Dans chaque traitement qu’elle met en oeuvre, Ciril GROUP s’attache à appliquer les principes développés ci-dessous.
Licéité
Les traitements réalisés par Ciril GROUP sont fondés sur l’une des six bases légales autorisées par la règlementation, à savoir le consentement des personnes concernées, l’exécution d’un contrat avec celles-ci, l’exécution d’une obligation légale, l’exécution d’une mission d’intérêt public, la sauvegarde des intérêts vitaux d’une personne physique ou l’intérêt légitime de Ciril GROUP. Le consentement, en tant que base légale donnant le plus de maîtrise aux personnes sur leurs données, est privilégié. Il n’est toutefois pas nécessairement la base légale la plus appropriée à tout traitement. Afin de déterminer celle-ci, Ciril GROUP cherche entre autres à répondre aux questions suivantes :
- Les données sont-elles traitées pour l’exécution d’un contrat ou de mesures précontractuelles ?
- Les données sont-elles traitées parce qu’un texte légal l’impose ?
- Les données sont-elles traitées pour l’exécution d’une mission d’intérêt public ?
- Les données sont-elles traitées pour sauvegarder les intérêts vitaux d’une personne ?
- Les données sont-elles traitées dans l’intérêt légitime de Ciril GROUP ?
Dans l’hypothèse où toutes les réponses à ces questions sont négatives, le consentement s’impose comme base légale du traitement envisagé. Ce consentement doit alors être libre, spécifique, éclairé, univoque et documenté. Ciril GROUP documente alors également si, quand et comment le consentement a été recueilli.
Loyauté et transparence
Les personnes concernées par les données traitées par Ciril GROUP sont informées des traitements effectués par celle-ci au moment de la collecte de leurs données ou, en cas de collecte indirecte, dès que possible et au plus tard dans un délai d’un mois après celle-ci. Les informations communiquées au personnes concernées doivent préciser l’identité et les coordonnées du responsable de traitement, la finalité poursuivie, la base juridique du traitement, les données ou catégories de données collectées, la source de celles-ci, leur caractère obligatoire ou facultatif, les conséquences en cas de non-fourniture, leurs destinataires, leur durée de conservation, l’existence, le cas échéant, d’une prise de décision automatisée (en précisant alors sa logique sous-jacente ainsi que son importance et ses conséquences pour les personnes concernées) ainsi que les différents droits des personnes concernées et le procédé leur permettant de les exercer. Ces informations peuvent être communiquées en 2 niveaux à des fins de lisibilité, le 1er niveau devant en tout état de cause préciser l’identité du responsable de traitement, ses finalités, l’existence des droits des personnes et un renvoi vers un 2nd niveau d’information plus complet.
Finalité
Chaque traitement mis en oeuvre par Ciril GROUP poursuit une finalité spécifique, déterminée, légitime et préalable. Ciril GROUP s’interdit de déroger à cette finalité et, en particulier, d’utiliser des données personnelles à des fins de marketing ou de publicité si elles n’ont pas été collectées à cette fin.
Minimisation
Ciril GROUP ne collecte et ne traite que les données strictement nécessaires, adéquates, pertinentes et proportionnées au regard de la finalité de chaque traitement. Afin de minimiser davantage ces données, celles-ci peuvent par exemple être pseudonymisées. Autant dans le cadre de l’application de ce principe de minimisation que dans le cadre de ses politiques de responsabilité sociétale de l’entreprise, Ciril GROUP limite également autant que possible l’utilisation de supports papiers.
Exactitude
Ciril GROUP veille à ce que les données qu’elle traite soient exactes et, si nécessaires, tenues à jour.
Conservation limitée
Préalablement à la mise en oeuvre de chaque traitement, Ciril GROUP détermine la durée de conservation des données qui seront traitées dans son cadre. Cette durée de conservation est strictement limitée à la durée requise pour atteindre la finalité du traitement envisagé. Elle peut intégrer une conservation en base active puis une conservation en base d’archive intermédiaire avant que les données concernées ne soient supprimées ou anonymisées.
Sécurité
Ciril GROUP met à un point d’honneur à assurer la sécurité des informations qu’elle traite, en particulier s’agissant de données à caractère personnel. Dans le cadre de l’application de sa politique de sécurité des systèmes d’information et de ses certifications, Ciril GROUP met ainsi en oeuvre les mesures de sécurité techniques et organisationnelles appropriées afin de garantir un niveau de sécurité adapté aux risques pesant sur les traitements qu’elle effectue.
Responsabilité (Accountability)
Différentes procédures et mécanismes internes sont déployés par Ciril GROUP afin de lui permettre de démontrer et de vérifier son respect des règles relatives à la protection des données, que ce soit par exemple par l’intermédiaire de l’élaboration d’une documentation dédiée, de vérifications ou par la tenue d’audits.
II : Droits des personnes concernées
Selon les traitements de données envisagés, les personnes concernées par celles-ci peuvent exercer tout ou partie des droits présentés ci-dessous. Afin d’exercer ces droits, les personnes concernées peuvent joindre le délégué à la protection des données de Ciril GROUP par courriel à l’adresse dpo@cirilgroup.com ou par voie postale en écrivant à son attention au 49 Avenue Albert Einstein – BP 12074 – 69603 VILLEURBANNE CEDEX. Il leur est alors demandé de joindre à leur demande une copie de leur pièce d’identité ou tout autre justificatif approprié permettant de les identifier de manière certaine.
Pour toute information complémentaire sur leurs droits, notamment s’agissant des conditions et limites d’exercice de ceux-ci, les personnes concernées peuvent également prendre connaissance de la page dédiée qui leur est dédiée sur le site web de la Commission Nationale de l’Informatique et des Libertés (www.cnil.fr/les-droits-pour-maitriser-vos-donnees-personnelles).
Droit d’accès
Chaque personne concernée par les données traitées par Ciril GROUP peut, en exerçant son droit d’accès, lui demander si elle détient des données la concernant et, dans l’affirmative, lui demander leur communication.
Droit de rectification
Chaque personne concernée par les données traitées par Ciril GROUP peut, en exerçant son droit de rectification, lui demander la rectification des données inexactes ou incomplètes la concernant.
Droit à l’effacement
Dans les conditions et limites prévues par la règlementation, chaque personne concernée par les données traitées par Ciril GROUP peut, en exerçant son droit à l’effacement, lui demander leur suppression.
Droit à la limitation
Dans les conditions et limites prévues par la règlementation, chaque personne concernée par les données traitées par Ciril GROUP peut, en exerçant son droit à la limitation, lui demander la suspension temporaire de tout ou partie du traitement de tout ou partie de celles-ci.
Droit d’opposition
Dans les conditions et limites prévues par la règlementation, chaque personne concernée par les données traitées par Ciril GROUP peut, en exerçant son droit d’opposition, lui demander d’arrêter de traiter ses données pour une certaine finalité.
Droit à la portabilité
Dans les conditions et limites prévues par la règlementation, chaque personne concernée par les données traitées par Ciril GROUP peut, en exerçant son droit à la portabilité, lui demander de lui transmettre ou de transmettre à un tiers de son choix une copie de ses données dans un format lisible par une machine.
Droit au retrait du consentement
Dans l’hypothèse où un traitement réalisé par Ciril GROUP a pour base légale le consentement des personnes concernées, chaque personne concernée peut, en exerçant son droit au retrait du consentement, retirer celui-ci afin de faire cesser le traitement qui y est associé.
Droit à une intervention humaine en cas de prise de décision automatisée
Dans l’hypothèse où un traitement reposerait sur une opération de profilage ou résulterait en une prise de décision entièrement automatisée ayant des effets juridiques sur les personnes concernées ou les affectant sensiblement, chaque personne concernée peut, en exerçant son droit à une intervention humaine, demander l’intervention d’un être humain afin de réexaminer ladite décision.
Droit de réclamation
En cas de difficulté dans l’exercice de ses droits ainsi qu’en cas d’atteinte aux règles de protection des données personnelles prévues par la règlementation en la matière, chaque personne peut effectuer une réclamation auprès de la Commission Nationale de l’Informatique et des Libertés ou auprès de toute autre autorité de contrôle compétente.
III : Engagements de Ciril GROUP en tant que responsable de traitement
Délégué à la protection des données
Ciril GROUP a désigné un délégué à la protection des données joignable par courriel à l’adresse dpo@cirilgroup.com ainsi que par voie postale en écrivant à son attention au 49 avenue Albert Einstein – 69100 Villeurbanne.
Registre des traitements
Conformément à la règlementation, Ciril GROUP tient un registre des traitements qu’elle réalise en tant que responsable de traitement.
Réponses aux demandes des personnes concernées
Ciril GROUP s’engage à apporter une réponse aux demandes d’exercice de droits des personnes concernées le plus rapidement possible et dans un délai maximum de principe d’un mois. Ce délai pourra être suspendu dans l’hypothèse où le traitement d’une demande requerrait l’obtention d’informations complémentaires auprès de la personne qui en serait à l’origine, en particulier afin de permettre de l’identifier avec certitude. Ce délai pourra également être prolongé pour une période n’excédant pas deux mois en cas de circonstances exceptionnelles le justifiant.
Information des tiers
Sauf à ce que cela soit précisé pour un traitement particulier dans les informations transmises sur celui-ci aux personnes concernées, Ciril GROUP ne procède à aucun partage de données avec des tiers. Dans l’hypothèse où un tel partage serait envisagé, Ciril GROUP informera directement les tiers concernés de toute demande de rectification ou d’effacement des données partagées ainsi que d’opposition au traitement ou de retrait du consentement relatif à celui-ci qu’elle recevrait afin qu’ils puissent prendre toute mesure appropriée pour y donner suite.
Analyses d’impacts sur la vie privée
Préalablement à la mise en oeuvre de chaque traitement, Ciril GROUP évalue le besoin de réaliser une analyse d’impact sur la vie privée en lien avec celui-ci. Chaque traitement pouvant potentiellement faire peser un risque élevé sur les droits et libertés des personnes concernées fait l’objet de ce type d’analyse.
Protection des données dès la conception et par défaut
Préalablement à la réalisation de tout traitement, Ciril GROUP mène une réflexion visant à y intégrer les principes de gestion des données personnelles développés ci-dessus, dès la conception et par défaut.
Violations de données
Toute violation de données portée à la connaissance de Ciril GROUP est documentée. Dans l’hypothèse où une violation ferait peser un risque sur les droits et libertés des personnes concernées, Ciril GROUP en notifie la Commission Nationale de l’Informatique et des Libertés le plus rapidement possible et, en toute hypothèse, dans un maximum de 72 heures après avoir pris connaissance de la violation concernée. En complément, dans l’hypothèse où une violation ferait peser un risque élevé sur les droits et libertés des personnes concernées, Ciril GROUP en notifiera les personnes concernées dans les meilleurs délais et par tout moyen approprié.
Responsables conjoints
Dans l’hypothèse où Ciril GROUP intervient en tant que responsable d’un traitement conjointement avec d’autres personnes, les rôles et responsabilités de chaque coresponsable sont préalablement définis, notamment s’agissant de leurs responsabilités en matière de sécurité, de traitement des demandes d’exercice de droit des personnes concernées et d’information de celles-ci. En tout état de cause, les personnes concernées par les données traitées par Ciril GROUP peuvent exercer leurs droits en s’adressant directement à son délégué à la protection des données.
Sous-traitants
Ciril GROUP effectue une sélection rigoureuse de ses sous-traitants et n’emploie les services que de sous-traitants présentant des garanties appropriées de sécurité et de conformité à la règlementation relative à la protection des données. Les contrats liant Ciril GROUP à ses sous-traitants au sens de la réglementation relative à la protection des données intègrent également les clauses imposées en la matière par celle-ci.
Destinataires et tiers autorisés
Les catégories de destinataires de données sont communiquées au préalable aux personnes concernées. En complément, certaines autorités peuvent être amenées à solliciter Ciril GROUP afin que leur soient communiquées des données relatives aux personnes concernées par les données qu’elle traite. Ciril GROUP ne fait alors droit à leurs demandes qu’après avoir vérifié que celles-ci sont légalement contraignantes. Toute communication de données effectuée dans ce cadre est documentée.
Transfert hors Union Européenne
En fonction des traitements envisagés, des transferts de données en dehors de l’Union Européenne ou à destination d’Organisations Internationales peuvent avoir lieu. Dans cette hypothèse, chaque transfert est couvert par une décision d’adéquation ou, à défaut, par l’une des garanties prévues par la règlementation en la matière, qu’il s’agisse par exemple de clauses contractuelles types de la Commission Européenne ou de règles d’entreprises contraignantes.
IV : Engagements de Ciril GROUP en tant que sous-traitant
Que ce soit dans le cadre de ses activités d’hébergement ou dans le cadre des activités associées à ses logiciels, Ciril GROUP est fréquemment amenée à intervenir en tant que sous-traitant de ses clients, agissant eux-mêmes en tant que responsable de traitement ou pour le compte de ce dernier. Dans ce cadre, les obligations de Ciril GROUP et de ses clients en matière de protection des données à caractère personnel sont définies dans les contrats qui les lient, qui priment en tout état de cause cette politique. A tout le moins cependant et de manière générale, Ciril GROUP veille au respect des exigences suivantes.
Contrats de sous-traitance
Les contrats organisant les activités de Ciril GROUP consistant en des traitements de données personnelles réalisés pour le compte de ses clients intègrent systématiquement les clauses imposées par la règlementation relative à la protection des données, en particulier sur le sujet de l’assistance de Ciril GROUP concernant les obligations de ses clients en tant que responsables de traitement.
Contact en matière de protection des données
Le principal contact des clients de Ciril GROUP pour toute question relative à la protection des données à caractère personnel dans le cadre des services qu’elle effectuerait pour leur compte est le délégué à la protection des données de Ciril GROUP, joignable par courriel à l’adresse
dpo@cirilgroup.com ainsi que par voie postale en écrivant à son attention au 49 avenue Albert Einstein – 69100 Villeurbanne.
Registre des traitements « sous-traitant »
Conformément à la règlementation, Ciril GROUP tient un registre des traitements qu’elle effectue pour le compte de ses clients.
Assistance aux réponses aux demandes des personnes concernées
En cas de difficulté et dans l’hypothèse où ces demandes concerneraient des traitements pour lesquels Ciril GROUP interviendrait en tant que sous-traitant, les clients de Ciril GROUP peuvent contacter le délégué à la protection des données de Ciril GROUP pour toute assistance dans le traitement des demandes d’exercice de droit des personnes concernées qu’ils recevraient.
Assistance aux formalités préalables et aux analyses d’impact
Le délégué à la protection des données de Ciril GROUP se tient à la disposition de ses clients pour toute assistance en lien avec la réalisation des formalités préalables et des analyses d’impact sur la vie privée qui seraient le cas échéant requises dans le cadre des traitements effectués par Ciril GROUP pour leur compte.
Protection de la vie privée dès la conception et par défaut
Ciril GROUP prend en compte, s’agissant de ses outils, produits, applications ou services, les principes de protection des données dès la conception et de protection des données par défaut.
Violations de données
Toute violation de données portée à la connaissance de Ciril GROUP est documentée. Dans l’hypothèse où une violation concernerait un traitement effectué par Ciril GROUP pour le compte d’un de ses clients, Ciril GROUP en informe ce dernier dans les meilleurs délais par tout moyen approprié.
Respect des finalités et des instructions
Ciril GROUP s’engage à ne traiter les données confiées par chacun de ses clients que pour la ou les finalités documentées faisant l’objet des services commandés par ces derniers et à ne pas réutiliser ces données à d’autres fins, en particulier à des fins de marketing ou de publicité. Elle s’engage également au respect de leurs instructions en la matière et à leur signaler toute instruction qui lui semblerait potentiellement illicite.
Suppression des données
A la fin des services effectués pour chacun de ses clients, Ciril GROUP procède de manière sécurisée à la restitution et/ou à la suppression des données qui lui auraient été transmises dans le cadre de leur exécution. La suppression de ces données est en tout état de cause effectuée dès validation par le client concerné ou au terme d’un délai raisonnable à l’issue des services envisagés.
Sous-traitants ultérieurs
Ciril GROUP informe au préalable ses clients de tout sous-traitant ultérieur qu’elle envisagerait de faire intervenir dans le cadre des traitements qu’elle pourrait effectuer pour leur compte. Le recours à des sous-traitants ultérieur au cours de l’exécution d’un service n’est effectué que dans la mesure permise par le contrat organisant la réalisation dudit service. Dans l’hypothèse où Ciril GROUP bénéficie aux termes du contrat en question d’une autorisation générale de recourir à des sous-traitants ultérieurs et en cas de changement ou d’ajout de l’un d’eux, Ciril GROUP informe les clients concernés raisonnablement au préalable à l’intervention de chaque sous-traitant envisagé afin qu’ils aient la possibilité de s’y opposer.
Transfert hors Union Européenne
En fonction des traitements envisagés, des transferts de données en dehors de l’Union Européenne ou à destination d’Organisations Internationales peuvent avoir lieu. Dans cette hypothèse, les clients concernés en sont informés au préalable et chaque transfert est couvert par une décision d’adéquation ou, à défaut, par l’une des garanties prévues par la règlementation en la matière, qu’il s’agisse par exemple de clauses contractuelles types de la Commission Européenne ou de règles d’entreprises contraignantes. En cas d‘évolution d’un transfert de données préexistant ou de création d’un nouveau transfert de données, les clients concernés en sont informés au préalable et bénéficient, en cas d’opposition, de la possibilité de résilier les services concernés.
Documentation
La politique de protection des données de Ciril GROUP est mise à la disposition de ses clients ainsi que de toute personne souhaitant en prendre connaissance. Les clients de Ciril GROUP peuvent également bénéficier d’informations complémentaires sur les garanties présentées par Ciril GROUP en matière de protection des données personnelles dans leurs contrats ainsi que dans la documentation accessible depuis son espace d’assistance et/ou sur demande particulière adressée à Ciril GROUP.
Répartition générale des responsabilités
De manière très schématique, à simple titre d’information et par principe, les rôles respectifs de Ciril GROUP et de ses clients en lien avec les traitements de données que Ciril GROUP réaliserait pour leurs comptes peuvent être répartis de la manière suivante :
Contact details for the company and its data protection officer
Pour tout renseignement sur cette politique de protection des données à caractère personnel, vous pouvez joindre le délégué à la protection des données de la société Ciril GROUP par voie postale en écrivant à son attention au siège de la société à l’adresse « Ciril GROUP – 49 avenue Albert Einstein – BP 12074 – 69603 Villeurbanne – France » ou par mail à l’adresse
dpo@cirilgroup.com
Changes to data protection policies: Ciril GROUP reserves the right to modify or update this privacy statement at any time without notice.
Dernière mise à jour : 08 septembre 2026.
