Politique de confidentialité

XXII GROUP

Société par actions simplifiée au capital de 34 156 Euros

Siège social : 23-25 Rue Delarivière Lefoullon Défense Plaza, 92800 PUTEAUX

810 761 783 – RCS NANTERRE

(ci-après « XXII GROUP »)

Version^[1] : Juillet 2024 

I – OBJECTIFS DE LA POLITIQUE

XXII GROUP est engagée dans une démarche continue de conformité avec le Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (dit Règlement Général sur la Protection des Données – « RGPD »), la Loi Informatique et Libertés (ci-après « LIL ») du 6 janvier 1978 telle que modifiée, notamment par la Loi n° 2018-493 du 20 juin 2018, le Règlement (UE) 2018/1725, ainsi que l’ensemble des exigences légales et règlementaires applicables à la Société, notamment en matière de sécurité informatique (ensemble désignées par la « Règlementation »), afin que toute donnée soit traitée de manière transparente, confidentielle et sécurisée.

La présente Politique de confidentialité a pour objectif de décrire les engagements et mesures pratiques mises en place par XXII GROUP afin de veiller au respect des données à caractère personnel des visiteurs, utilisateurs et quelconque partenaires (ci-après les « Personnes concernées »), dans le cadre de leurs utilisations, distribution et/ou intégration des solutions et produits en intelligence artificielle de XXII GROUP (ci-après les « Services »), ou en accédant et naviguant sur notre site internet https://www.xxiiai.com/ (ci-après le « Site »). La Politique de confidentialité fait partie intégrante des Conditions Générales de Vente et d’Utilisation de XXII GROUP (ci-après les « CGV ») accessibles ici, en ce compris les stipulations relatives à la protection des données à caractère personnel, encadrées par le Data Processing Addendum (ci-après le « DPA ») accessible ici.

Les documents susmentionnés sont également consultables sur première demande à l’adresse legal@xxii.fr.

Dans le cadre des traitements opérés via le Site internet, il convient de se référer à la Politique de confidentialité du Site internet, accessible directement via ce dernier et comprenant les spécificités qui lui sont applicables, que la présente Politique de confidentialité XXII GROUP complète.

II – ORGANISATION INTERNE

III – QUELQUES DÉFINITIONS…

Le RGPD et la LIL donnent les définitions suivantes (article 4 du RGPD) :

« Données à caractère personnel » :

Toute information se rapportant à une personne physique identifiée ou identifiable (dénommée « Personne concernée ») ; est réputée être une « personne  physique identifiable » une personne physique qui peut être identifiée, directement ou indirectement, notamment par référence à un identifiant, tel qu'un nom, un numéro d'identification, des données de localisation, un identifiant en ligne, ou à un ou plusieurs éléments spécifiques propres à son identité physique, physiologique, génétique, psychique, économique, culturelle ou sociale.

Ainsi, une donnée à caractère personnel est toute information se rapportant à une personne physique identifiée ou identifiable. Mais, parce qu’elles concernent des personnes, celles-ci doivent en conserver la maîtrise.

Une personne physique peut être identifiée :

• directement (exemple : nom et prénom) ;
• indirectement (exemple : par un numéro de téléphone ou de plaque d’immatriculation, un identifiant tel que le numéro de sécurité sociale, une adresse postale ou courriel, mais aussi la voix ou l’image).

L’identification d’une personne physique peut être réalisée :

• à partir d’une seule donnée (exemple : nom) ;
• par recoupement, à partir du croisement d’un ensemble de données (exemple : une femme vivant à telle adresse, née tel jour et membre dans telle association

« Données sensibles » :

Les données sensibles forment une catégorie particulière des données personnelles.

Ce sont des informations qui révèlent la prétendue origine raciale ou ethnique, les opinions politiques, les convictions religieuses ou philosophiques ou l'appartenance syndicale, ainsi que le traitement des données génétiques, des données biométriques aux fins d'identifier une personne physique de manière unique, des données concernant la santé ou des données concernant la vie sexuelle ou l'orientation sexuelle d'une personne physique.

Le Règlement interdit de recueillir ou d’utiliser ces données, sauf, notamment, dans les cas suivants (article 9 du RGPD) :

• si la personne concernée a donné son consentement exprès (démarche active, explicite et de préférence écrite, qui doit être libre, spécifique, et informée) ;
• si les informations sont manifestement rendues publiques par la personne concernée ;
• si elles sont nécessaires à la sauvegarde de la vie humaine ;
• si leur utilisation est justifiée par l'intérêt public et autorisée par la CNIL;
• si elles concernent les membres ou adhérents d'une association ou d'une organisation politique, religieuse, philosophique, politique ou syndicale.

« Traitement de données personnelles » :

Toute opération ou tout ensemble d'opérations effectuées ou non à l'aide de procédés automatisés et appliquées à des données ou des ensembles de données à caractère personnel, telles que la collecte, l'enregistrement, l'organisation, la structuration, la conservation, l'adaptation ou la modification, l'extraction, la consultation, l'utilisation, la communication par transmission, la diffusion ou toute autre forme de mise à disposition, le rapprochement ou l'interconnexion, la limitation, l'effacement ou la destruction.

Ainsi, un traitement de données personnelles est une opération, ou ensemble d’opérations, portant sur des données personnelles, quel que soit le procédé utilisé (collecte, enregistrement organisation, conservation adaptation, modification, extraction consultation, utilisation, communication par transmission ou diffusion ou toute autre forme de mise à disposition, rapprochement).

Un traitement de données personnelles n’est pas nécessairement informatisé : les fichiers papiers sont également concernés et doivent être protégés dans les mêmes conditions.

Un traitement de données doit avoir un objectif, une finalité déterminée préalablement au recueil des données et à leur exploitation.

« Responsable de traitement » :

La personne physique ou morale, l'autorité publique, le service ou un autre organisme qui, seul ou conjointement avec d'autres, détermine les finalités et les moyens du traitement ; lorsque les finalités et les moyens de ce traitement sont déterminés par le droit de l'Union ou le droit d'un État membre, le responsable de traitement peut être désigné ou les critères spécifiques applicables à sa désignation peuvent être prévus par le droit de l'Union ou par le droit d'un État membre.

« Sous-traitant » :

La personne physique ou morale, l'autorité publique, le service ou un autre organisme qui traite des données à caractère personnel pour le compte du responsable de traitement.

IV – QUELLES DONNÉES À CARACTÈRE PERSONNEL SONT-ELLES COLLECTÉES ?

XXII GROUP est amenée à collecter des données à caractère personnel sur les utilisateurs de ses produits et services, partenaires et fournisseurs, lors de la navigation sur ses Sites web, lors de l’utilisation de ses solutions et de la fourniture par XXII GROUP des services associés, ainsi que lors de la distribution et/ou l’intégration de ses produits et services.

Pour la collecte des données, XXII GROUP s’engage à respecter les exigences de la Règlementation. A ce titre, nous veillons notamment à ne collecter et traiter que les données adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités poursuivies (article 5 du RGPD), à l’information de nos clients (articles 12, 13 et 14 du RGPD), au recueil de consentement des Personnes concernées dès lors que cela est possible (article 6 du RGPD), à la réduction des risques et la sécurisation des données collectées (article 32 du RGPD), et à imposer un niveau de protection adéquat à ses sous-traitants (article 28 du RGPD).

La présente Politique de confidentialité, ainsi que le DPA, sont accessibles à tout moment au sein des CGV, précisant notamment les finalités des traitements opérés sur les données collectées ainsi que les droits des Personnes concernées vis-à-vis de celles-ci.

Les données à caractère personnel collectées par XXII GROUP sont systématiquement reportées au sein de ses registres de traitement (registre de responsable de traitement et registre de sous-traitant).

Lorsqu’elle agit en tant que sous traitant, XXII GROUP assure également la traçabilité de l’envoi de sa documentation permettant l’information du responsable de traitement, et l’accompagnement de ce dernier dans sa mise en conformité et éventuelle réalisation d’analyse d’impact (registre d’envoi de la fiche de traitement).

V – POURQUOI COLLECTONS-NOUS DES DONNÉES À CARACTÈRE PERSONNEL ?

La finalité du traitement est l’objectif principal de l’utilisation de données à caractère personnel.

Les traitements opérés par XXII GROUP répondent à une finalité explicite, légitime et déterminée. Les données collectées ne sont pas traitées ultérieurement de façon incompatible avec cet objectif initial.

Afin d’obtenir le détail des finalités précises de traitement pour chaque Personne concernée, il convient de se reporter aux registres de traitement des données à caractère personnel de XXII GROUP.

1°) Traitements dans le cadre des activités de R&D

XXII GROUP agit pour la recherche. Implantée dans la recherche technologique et scientifique, XXII GROUP est régulièrement amenée à réaliser des activités de Recherche et Développement.

Dans ce cadre, un traitement des données à caractère personnel peut être effectué et impliquer de nouvelles finalités. Ces finalités seront déterminées et délimitées au même titre que pour tous les projets.

La création de bases de données ciblées, l'entraînement - ou ré-entraînement -  des modèles d'intelligence artificielle, l'évaluation de ces modèles ainsi que la mise en test de stratégies techniques de pseudonymisation ou anonymisation sont les quatres axes principaux liés à la R&D.

On appelle modèle d'IA, un ensemble d'algorithmes dont une partie se base sur un algorithme d'apprentissage (des réseaux de neurones profonds dans notre cas), le reste étant des algorithmes ne nécessitant pas de données d'exemple pour fonctionner (tracking d'objet, moteur de règles par exemple).

Finalités du/des traitement(s) : 

1. Collecte et création de base de données
   

XXII GROUP collecte ses données d’entraînement de différentes manières : réception de datasets basée sur des envois de clients/partenaires avec leur accord préalable (Autorisation de réutilisation de données), collecte de flux vidéo dans le cadre de captations et tournages réalisés par XXII GROUP et ses équipes, collecte issue de sources ouvertes légales.

Sur la base de ces données, XXII GROUP crée des bases de données spécifiques pour un usage exclusivement de recherche scientifique interne.

L’enjeu de ce traitement concerne la création de supports de travail indispensables à la vision par ordinateur.

2. Annotation

Certaines démarches dans le développement d’un algorithme d’intelligence artificielle, comme l’apprentissage, nécessitent un corpus de données annotées. C’est pourquoi la première phase de recherche et développement menée par XXII GROUP sur les données mises à disposition sera d’annoter ces données.
Seront annotés :

• Les classes d’objets (humain, voiture, camion, vélo…) ;
• Les angles de caméra ;
• Les conditions météorologiques.

L’enjeu de ce traitement concerne le fait de posséder un corpus de données, annoté et donc pertinent pour la réalisation effective des finalités qui suivent.

3. Apprentissage
   

La vision par ordinateur a pour but de permettre à l’ordinateur de voir, d’analyser et comprendre une ou plusieurs images reçues par le système. C’est pourquoi l'apprentissage des intelligences artificielles de nos modèles, souvent des réseaux de neurones profonds, est basé sur un corpus et donc une ou plusieurs bases de données contenant des images d'exemples annotées.

XXII GROUP développe et utilise autant que possible des datasets de synthèse, ne détenant ainsi aucune données à caractère personnel. Toutefois, que ce soit pour entraîner, ou ré-entraîner (spécialiser, corriger un biais, etc...), outre les données de synthèse des données visuelles (images, vidéos) sont strictement nécessaires. Cela est d’autant plus important pour assurer des taux de réussite convenables que pour lutter contre les hallucinations et biais algorithmiques.

L’enjeu de ce traitement concerne la création, l’optimisation et le développement des algorithmes constituant les modèles d’intelligence artificielle de XXII GROUP.

4. Evaluation
   

L'évaluation, ou test, de nos modèles a pour objectif de mesurer leurs performances selon un ensemble de critères prédéfinis. L'évaluation peut concerner tout le modèle ou une partie du modèle. On s'intéresse notamment au taux de vrais positifs, taux de faux positifs, taux de vrais négatifs et taux de faux négatifs. A partir de ces mesures il est possible de construire des indicateurs plus lisibles (sensibilité, spécificité, etc).

Ces mesures sont effectuées par « classe » d’objets, et combinées pour fournir un score moyen. Une classe correspond à une typologie d’objet plus ou moins précise (humain, vélo, cycliste, voiture, véhicule, ...). Elles sont d’une grande importance car elles permettent de comprendre les limites des modèles et de les communiquer si besoin aux utilisateurs.

Ces tests peuvent être effectués sur des données pseudonymisées, grâce aux logiciels développés en interne.

Pour aller plus loin, des mesures par « sous-classe » peuvent être effectuées pour mesurer d'éventuels biais des modèles. Par exemple, y a-t-il une différence de détection entre les objets bleu et rouge ? Entre les hommes et les femmes ? C’est ici qu’intervient la spécificité apportée à la création des bases de données.

Outre les corriger, il est important de connaître ces biais. Notamment si les résultats de ces analyses sont utilisés pour la prise de décisions.

La diversité des bases de données est aussi utile pour l’évaluation des performances selon les angles de vues des images. La diversité des angles compris dans les bases de données permet de déterminer si selon certains angles de caméra les algorithmes détectent plus ou moins bien l’objet recherché.

L’enjeu de ce traitement concerne la mesure des performances en vue de l’amélioration des algorithmes et donc des solutions XXII GROUP, tout en assurant leur conformité aux exigences légales et règlementaires : éviter les erreurs, lutter contre les biais, empêcher les discriminations, etc.

Pseudonymisation, anonymisation et données de synthèse :

XXII GROUP crée, développe et teste des stratégies techniques de pseudonymisation et d’anonymisation des images et flux vidéos.

Les données ne seront en aucun cas traitées ou utilisées, ni par les co-responsables, ni par les responsables, ni par les sous-traitants, dans un cadre autre que ces finalités.

L’enjeu de ce traitement concerne l'obtention de quoi éprouver les stratégies de pseudonymisation et d’anonymisation développées en interne.

Tel qu’évoqué ci-dessus, afin de répondre aux exigences légales, règlementaires et contractuelles qui lui sont applicables, en ce compris les principes de loyauté, d’exactitude, d’intégrité, de responsabilité , XXII GROUP ne peut faire reposer ses activités de R&D exclusivement sur des données de synthèse, anonymisées ou pseudonymisées. Dans le cadre de la lutte contre les erreurs et hallucinations, les biais algorithmiques ou encore la discrimination sous toutes ses formes, XXII GROUP doit également faire reposer ses activités sur des données réelles.

Base légale :

Les traitements reposent sur l’intérêt légitime de XXII GROUP, aux fins de recherche scientifique (articles 6 f), 9 j), 89 et considérant 159 du RGPD).

Le fondement de l'intérêt légitime peut également être retenu pour XXII GROUP car il est licite, clair et précis et constitue un intérêt réel et présent.

Principe de minimisation :

L’incidence sur les personnes concernées sera minimisée, les données seront détruites ou anonymisées / pseudonymisées à la fin des entraînements algorithmiques. Les données sont donc uniquement récoltées dans un but de conservation temporaire. Une fois les procédures de recherche réalisées avec les éléments fournis, XXII GROUP ne conservera aucune donnée brute.

Le data mining et la fouille de données :

Les personnes réalisant les traitements pour le compte de XXII GROUP (salariés et éventuels sous-traitants, le cas échéant), sont formés et soumis à des règles strictes.

Ils sont tenus de respecter les règlementations en vigueur applicables, notamment en matière de propriété intellectuelle (article L. 122-4 du CPI), en ce compris les bases de données. Ils fournissent leurs meilleurs efforts afin de s’assurer de bonne foi (i) que l’accès aux données est licite, quelle que soit la finalité recherchée, (ii) de l’absence d’opposition de l’auteur sur les reproductions numériques (article 4 de la Directive UE n° 2019/790 du 17 mai 2019 sur le droit d'auteur et les droits voisins dans le marché unique numérique, dite « DAMUN », tel que transposé au III de l’article L. 122-5-3 III par l’Ordonnance n° 2021-1518 du 24 novembre 2021), (iii) la vérification de la position de l’auteur (la plateforme, l’hébergeur, etc) à ce sujet au sein de ses conditions générales d’utilisation, et (iv) de succès au « triple test » tel que rappelé au considérant 6 de la Directive DAMUN, applicable au droit de reproduction, et découlant de plusieurs traités internationaux au rang desquels l’article 9.2 de la Convention de Berne ainsi que de la règlementation de l’Union européenne.

Si ces conditions ne sont pas réunies, la fouille est strictement interdite.

XXII GROUP s’attache en outre à appliquer les mesures recommandées par la CNIL au titre du principe de minimisation des données (article 5.1.c du RGPD). A ce titre, XXII GROUP :

1. définit, en amont, des critères précis de collecte et applique des filtres qui permettent d’exclure la collecte des catégories de données lorsqu’elles ne sont pas nécessaires ;
2. veille à supprimer les données non pertinentes qui auraient pu être collectées malgré ces critères immédiatement après leur collecte ou dès qu’elles sont identifiées comme telles ;
3. ne collecte aucune donnée sensible.

Afin de limiter encore davantage l’atteinte aux droits et libertés des personnes, XXII GROUP s’attache en outre, notamment, à exclure par défaut la collecte de certains sites identifiés en amont (n’inspirent pas confiance, contiennent des données intrusives, etc), limiter la collecte aux données manifestement rendues publiques par leur auteur, refuser toute collecte si celle-ci semble nécessiter des actions d’accès complémentaires permettant de supposer qu’elles ne sont pas suffisamment librement accessibles, suivre et contrôler afin de prévenir tout recoupement de données.

2°) Traitement de le cadre de sa gestion d’entreprise

Dans le cadre des traitements nécessaires à sa gestion d’entreprise, XXII GROUP agit en tant que responsable de traitement.

Les finalités de traitement sont donc l’intérêt légitime.

Les finalités principales et habituelles de traitement opérés par XXII GROUP et relatives à des données à caractère personnel de Personnes concernées externes à XXII GROUP, sont listées au sein du DPA (cette liste n’étant cependant pas exhaustive car évolutive).

A ces finalités peuvent s’ajouter celles liées aux activités de marketing (processus de création d’offre et de qualification en réponse à un lead commercial, lors de l’abonnement à notre newsletter ou à nos communications marketing, lors de la consultation et réalisation d’études statistiques et de mesures d’audience de consultation de nos sites internet ainsi que de nos réseaux sociaux, afin d’assurer notre défense en cas de litige éventuel - conservation requise de certains documents, afin d’assurer notre conformité avec les obligations qui nous incombent).

3°) Commercialisation et fonctionnement des produits et services

Dans le cadre des traitements de données à caractère personnel liées à ses produits et services, XXII GROUP intervient, alternativement, comme sous-traitant et responsable de traitement. Lorsque XXII GROUP est responsable de traitement, se référer au point 2°). La présente section ne traitera que des traitements opérés par XXII GROUP en qualité de sous-traitant.

Le détail des opérations réalisées sur les données, de même que les compétences afférentes de solutions, sont indiquées au sein de la Fiche de traitement, partagé à tout utilisateur (client, distributeur/intégrateur, partenaire, etc). Chaque envoi est enregistré et répertorié au sein du Registre envoie des FT.

Cette Fiche contient des informations innovantes et est donc soumise à haute confidentialité. Tout partage doit pour ce faire être précédé de la signature d’un accord de confidentialité - NDA.

Les finalités de ces traitements sont précisées par l’utilisateur (et XXII GROUP, le cas échéant). Elles sont mentionnées dans le DPA, ou des accords spécifiques de sous-traitances, validés par les parties prenantes.

Les données personnelles traitées et conservées par XXII GROUP sont hébergées dans des infrastructures sécurisées et localisées à l’intérieur de l’Union Européenne. La localisation exacte des data centers choisis par XXII GROUP est indiquée au sein du DPA.

Si toutefois XXII GROUP faisait appel, dans le cadre d’un traitement spécifique et ce pour une finalité définie, à un sous-traitant situé hors de l’Union Européenne, XXII GROUP s’engage à veiller à ce que ce partenaire puisse se conformer à la règlementation européenne en matière de données à caractère personnel conformément au chapitre V du RGPD. Cela peut passer notamment, soit par l’obtention d’une décision d’adéquation concernant le pays tiers, soit par un code de conduite établi par le sous-traitant, soit par la mise en place de clauses contractuelles types.

Pour plus d’informations sur les traitements effectués par XXII GROUP (2° et 3°), veuillez consulter notre Data Processing Addendum.

4°) Politique de cookies

4.1 Les cookies que nous utilisons

Un cookie est un petit fichier texte qui contient des fragments d’informations, qui est composé de lettres ou de chiffres stockés dans votre navigateur ou sur le disque dur de votre ordinateur.
Lorsque vous visitez des sites web, les informations récoltées par différents cookies sont conservées sur votre terminal (exemple : le choix de votre langue de préférence pour un site web).
Lorsque vous visitez à nouveau ces sites web, ils vont chercher dans votre terminal les informations qu’ils y ont enregistré (exemple : configuration du site web par rapport à votre langue de préférence).

Il existe différents types de cookies :

• D’une part, les « cookies d’origine » (ou « first party cookies ») qui sont mis en place par nous-même.
• D’autre part, les « cookies tiers » (ou « third-party cookies ») qui sont mis en place par d’autres sociétés que nous (exemple : les cookies tiers sont souvent utilisés par des sociétés du secteur publicitaire pour cibler vos préférences et vous envoyer des publicités susceptibles de vous intéresser).

Les cookies ont généralement une date d’expiration. Certains cookies expirent lorsque vous fermez votre navigateur (ce que l’on appelle les « cookies de session »), tandis que d’autres restent plus longtemps sur votre terminal, parfois même jusqu’à ce que vous les supprimiez manuellement (ce que l’on appelle les « cookies permanents »).

Détails des cookies mis en place par notre hébergeur Hubspot : Cookies placés dans le navigateur du visiteur.

4.2 Base légale

Tout comme le reste de nos traitements de données à caractère personnel au titre de notre site web, nos cookies reposent sur votre consentement manifesté par action positive, après information par une fenêtre explicative vous laissant le soin d’accepter, refuser voir retirer votre consentement à votre libre discrétion.

4.3 Outils

Pour nos cookies, nous utilisons les outils suivants :

• Hubspot, 91 Boulevard Haussmann, 75008 Paris (UE) : hébergeur de notre site web (consulter le DPA Hubspot) ;
• Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, D04 E5W5, (UE) : nous réalisons nos analyses commerciales (mentionnées ci-après) à l’aide de l’outil Google Analytics 4, et nous émettons nos publicités (mentionnées ci-après) à l’aide de l’outil Google Ads (consulter le DPA Google Ads). Il convient de noter que selon la politique récente de Google, aucune donnée personnelle n’est stockée pour ces cookies (les URL européennes étant immédiatement supprimées). Seules sont ainsi stockées les données anonymes.

4.4 Finalités des cookies utilisés

• Les cookies et technologies similaires utilisés à des fins de fonctionnement, considérés essentiels, vous permettent d'accéder aux fonctionnalités essentielles d'un service. Cela inclut les cookies définis par le fournisseur CDN de HubSpot en raison de ses politiques de limitation de débit, les cookies de base mémorisant des choix impératifs tels que la langue affichée, l’acceptation de la politique de confidentialité, les choix de catégories acceptées, ou encore l'activation de fonctionnalités ou la réalisation de tâches que vous avez demandées.
• Nous utilisons par ailleurs des cookies et technologies similaires à des fins de sécurité visant à vous protéger lorsque vous interagissez avec un service en authentifiant les utilisateurs, en suivant les indisponibilités de service et en protégeant contre le spam, la fraude et les utilisations abusives, mais également nécessaires à la protection contre les robots.
• Certains cookies et technologies similaires sont utilisés à des fins d'analyse dans le but de mieux comprendre vos interactions avec nos services, de vous offrir une meilleure expérience en optimisant notre site/produit, d’évaluer la pertinence de son contenu, mesurer l'engagement de l'audience, les statistiques et performances du site/produit, et, par conséquent, améliorer nos services, leurs fonctionnalités, et innover.
• Des cookies peuvent également être utilisés à des fins de publicité et marketing, y compris pour diffuser et afficher des annonces. Ces cookies sont aussi utilisés pour limiter le nombre de fois qu'une annonce s'affiche pour un même utilisateur, bloquer les annonces que vous ne voulez pas voir, et évaluer l’efficacité d’une campagne.
• Des cookies et technologies similaires sont enfin utilisés pour afficher des contenus personnalisés/de fonctionnalités, afin de gérer et améliorer votre expérience utilisateur pendant une session de navigation spécifique, notamment en distinguant vos préférences d’utilisation de celles des autres utilisateurs de notre site/produit.

Les cookies et technologies similaires ne nous permettent toutefois pas de collecter systématiquement des données qui pourraient vous identifier.

4.5. Gestion des cookies

Vous disposez de plusieurs options pour supprimer les cookies.

En effet, si la plupart des navigateurs sont paramétrés par défaut et acceptent l’installation de cookies, vous avez la possibilité, si vous le souhaitez, de choisir d’accepter tous les cookies, ou de rejeter les non-essentiels ou encore de choisir ceux que vous acceptez selon l’émetteur.

Vous pouvez également paramétrer votre navigateur pour accepter ou refuser au cas par cas les cookies préalablement à leur installation. Vous pouvez également régulièrement supprimer les cookies de votre terminal via votre navigateur.

Pour la gestion des cookies et de vos choix, la configuration de chaque navigateur est différente. Elle est décrite dans le menu d’aide de votre navigateur, qui vous permettra de savoir de quelle manière modifier vos souhaits en matière de cookies.

VI – QUELS SONT VOS DROITS ET COMMENT LES EXERCER ?

Généralités

XXII GROUP place le respect des droits des Personnes concernées, énoncés au sein du RGPD, au rang de ses priorités.

Les demandes d’exercice des droits sont possibles sur simple demande à dpo@xxii.fr, accompagnées d’une copie d’une pièce d’identité.

À cette occasion, nous ouvrons droit aux demandes dans un délai maximal d’un (1) mois* à compter de la réception de celles-ci.

*Si la demande est incomplète (absence de la pièce d’identité notamment), XXII GROUP est en droit de demander des compléments : le délai de réponse est alors suspendu et se remet à courir une fois ces éléments fournis.

Toutefois, selon certaines conditions, XXII GROUP est en droit de :

• Refuser de donner suite à une demande : dans ce cas, il doit motiver sa décision et informer le demandeur, au sein du délai requis*, des voies et délais de recours permettant de la contester (par exemple si cela risque de porter atteinte aux droits d’une autre personne) ;
• Ne pas répondre aux demandes qui sont manifestement abusives notamment par leur nombre, leur caractère répétitif ou systématique ;
• Ne pas ouvrir droit à la demande, lorsqu’elle ne dispose d’aucune donnée sur la personne qui exerce son droit d’accès ou celles-ci ont intégralement été supprimées : XXII GROUP s’engage néanmoins à répondre au demandeur dans le délai d’un (1) mois.

Les demandes d’exercice des droits sont répertoriées au sein du registre d’exercice des droits.

Les droits que les Personnes concernées peuvent faire valoir sont présentés ci-après.

Procédure de traitement des demandes

Responsabilités

• Le traitement des demandes est sous la responsabilité du DPO,
• Lorsque XXII GROUP est responsable de traitement : (i) le DPO s’appuie sur les représentants identifiés sur les fiches du registre RGPD, et, (ii) le cas échéant, le DPO s’appuie sur un ou plusieurs sous-traitants.  
• Lorsque XXII GROUP est sous-traitant : elle transfère les demandes d’exercice des droits au responsable de traitement dans le respect de l’article 28.3 (e) du RGPD.

Prise en charge des demandes

• Toutes les demandes communiquées à XXII GROUP sont communiquées au DPO qui les enregistrent dans le Registre des demandes d’exercice des droits.
• Le DPO vérifie l’identité du demandeur,
• Le DPO qualifie la demande est précise notamment son type :

• Droit de rectification,
• Droit d'opposition,
• Droit d'accès,
• Droit d'effacement,
• Droit limitation traitement,
• Droit Portabilité.

Information du demandeur

En fonction du type de demande qualifié par le DPO, une réponse est adressée au demandeur en utilisant le modèle de courrier prévu à cet effet.

En cas de prise en charge favorable, le courrier précise le délai de traitement de la demande (généralement, un (1) mois maximum).

En cas de refus de la demande, le courrier précise le motif du refus et communique les voies de recours auprès de l’autorité de contrôle.

Les courriers sont consignés dans le Registre des demandes d’exercice des droits.

Le traitement de la demande

Le traitement de la demande est confié au responsable de traitement, et éventuellement le sous-traitant, tel que renseigné dans chaque fiche de traitement RGPD.

Pour les données qui sont traitées dans un progiciel, logiciel ou autre outil SaaS

Les personnes habilitées à utiliser ces outils suivent le mode opératoire associé à l’exercice de chaque droit, assurent le suivi des données et procèdent à leur effacement selon les règles de la présente Politique de confidentialité.

Régulièrement, les personnes habilitées à utiliser ces outils communiquent l’évolution des traitements, et les résultats du traitement des demandes d'exercice des droits au DPO, afin que celle-ci mette à jour les registres impactés.

Pour les données qui ne sont pas traitées dans un logiciel et qui font l’objet de traitement via Excel, CV, mails ou autres bases locales, notes de réunion ou pour feedback entre équipes en interne…

Les données à caractère personnel faisant l’objet d’un effacement systématique après traitement et ne résidant donc pas sur les postes de travail des utilisateurs, ne sont pas impactées par les demandes.

Pour les données qui ne sont pas systématiquement effacées, le traitement des demandes suit le mode opératoire associé à l’exercice de chaque droit.

Droit à l’information et transparence (articles 5.1 a), 12, 13, et 14 du RGPD)

XXII GROUP veille à ce que l’information des Personnes concernées, quant à la nature du traitement, sa finalité, sa localisation ainsi que les modalités de stockage, soit respectée.

Pour être loyale et licite, la collecte de données à caractère personnel doit s’accompagner d’une information claire et précise des personnes.  Le support de cette information varie en fonction des caractéristiques du fichier (par exemple, panneau d’information pour une vidéosurveillance, mention d’information sur un formulaire, lecture de cette information en cas de recueil de données par téléphone).

XXII GROUP veille à ce que le droit à l’information soit assuré conformément aux articles 13 et 14 du RGPD, tant lorsque des données à caractère personnel sont collectées auprès de la Personne concernée (article 13) et lorsque les données à caractère personnel n'ont pas été collectées auprès de la Personne concernée (article 14).

XXII GROUP intègre systématiquement sur les supports (par un lien vers les CGV au sein des documents ou en signature de mail, ou la mention de l’adresse dpo@xxii.fr) les informations permettant de connaître et d’exercer les demandes de droit à l’information des Personnes concernées.

Recueil du consentement et licéité (article 6 du RGPD)

Le consentement est une démarche active de l’utilisateur, explicite et de préférence écrite, qui doit être libre, spécifique, et éclairé. Dans un formulaire en ligne, il peut se matérialiser, par exemple, par une case à cocher, non cochée par défaut.

Le consentement est "préalable" à la collecte des données.

Le consentement préalable de la personne concernée est notamment requis :

• En cas de collecte de données sensibles (données santé, données d’infraction …) ;
• De réutilisation des données à d’autres fins que celles préalablement prévues ;
• D'utilisation de cookies pour certaines finalités ;
• D'utilisation des données à des fins de prospection commerciale par voie électronique.

XXII GROUP fournit ses meilleurs efforts raisonnablement attendus au regard de ses activités et de sa structure, afin de s’assurer que le consentement des Personnes concernées est mis en œuvre dès que possible, et a minima dès lors que celui-ci est requis via une intégration systématique dans ses moyens de communications (support papier, informatique, site web) d’une demande de consentement.

Droit d’accès (article 15 du RGPD)

Sur demande, XXII GROUP vous fournira une copie de toutes vos données à caractère personnel ainsi que toutes les informations légalement requises :

• les catégories des données à caractère personnel collectées et traitées ;
• les finalités de leur traitement ;
• les catégories des destinataires auxquels les données à caractère personnel ont été communiquées ou sont susceptibles d’être communiquées ;
• la durée de conservation des données à caractère personnel ;
• les informations concernant vos droits à l’égard de vos données à caractère personnel.

Droit à la rectification (article 16 du RGPD)

Vous pouvez demander à faire rectifier, compléter, actualiser, verrouiller ou effacer des informations vous concernant, lorsque, ont été décelées des erreurs, des inexactitudes ou la présence de données dont la collecte, l’utilisation, la communication ou la conservation est interdite. Cette demande devra être justifiée.

Droit à l’effacement (article 17 du RGPD)

Toute donnée à caractère personnel collectée peut être effacée si :

1. elle n’est plus nécessaire au regard des finalités pour lesquelles elle a été collectée ou traitée ;
2. vous retirez votre consentement au traitement de cette donnée - pour ceux dont le consentement préalable est la base légale de collecte et de traitement sans autre base légale possible ;
3. vous vous êtes opposé à la collecte ou au traitement de vos données à caractère personnel et le responsable du fichier n’a pas de motif légitime ou impérieux de ne pas donner suite à cette demande ;
4. le traitement de vos données à caractère personnel est illégal ;
5. vos données doivent être effacées pour respecter une obligation légale incombant à XXII GROUP ;
6. vous étiez mineur au moment de la collecte de vos données à caractère personnel.

Dans l’hypothèse où vous êtes mineur lors de la demande, les titulaires de l’exercice de l’autorité parentale peuvent réaliser une demande d’effacement de vos données à caractère personnel (article 8).

Droit à la limitation du traitement (article 18 du RGPD)

Ce droit peut être exercé en parallèle d’une demande de suppression ou de rectification des données. Lorsque ces précédents droits requièrent un certain délai pour procéder à l’étude de la demande, les données concernées sont alors gelées en attente de la décision relative à une suppression ou une rectification.

Dans l’hypothèse où des données sont gelées, leur utilisation est toutefois possible si :

• vous avez donné votre accord ;
• pour la constatation, l'exercice ou la défense de droits en justice ;
• pour la protection des droits d'une autre personne physique ou morale ;
• ou encore pour des motifs importants d'intérêt public de l'Union ou d'un État membre.

Droit à la portabilité (article 20 du RGPD)

Ce droit concerne les traitements ayant pour base juridique le consentement ou l’exécution d’un contrat. Les données pouvant faire l’objet de la portabilité sont celles que vous avez fournies, générées par votre activité et celles qui sont dérivées, calculées et inférées de vos données initialement fournies.

Ce droit permet l’obtention de ces données dans un format structuré et lisible par la machine. Aucune obligation de lisibilité par l’homme n’est exigée.

Il vous est possible de transférer vous-même ou de demander à XXII GROUP de transmettre vos données personnelles à une autre entité (responsable de traitement ou sous-traitant).

Droit d’opposition (article 21 du RGPD)

Toute personne a la possibilité de s’opposer, pour des motifs légitimes, à figurer dans un fichier, et peut refuser sans avoir à se justifier, que les données qui la concernent soient utilisées à des fins de prospection commerciale ainsi que dans le cadre d’une expérience ou d’un développement de produit - sauf obligation légale (ex : fichiers des impôts).

La prise de décision automatisée (article 22 du RGPD)

Toute Personne concernée a le droit de ne pas faire l’objet d’une décision résultant exclusivement d’un traitement automatisé, y compris le profilage, produisant des effets juridiques la concernant ou l’affectant de manière significative, sauf lorsque cette décision (i) est nécessaire à la conclusion ou à l’exécution d’un contrat, (ii) est autorisée légalement, ou (iii) est fondée sur son consentement.

A ce titre, les solutions de XXII GROUP ne procèdent à aucune décision automatisée, celles-ci permettant une simple levée de doute, sous contrôle humain et sur la base d’une action pouvant être préalablement réalisée par un humain.

Droit d’établir des directives relatives à vos données après votre décès (article 40-1 de la Loi informatique et libertés)

Il vous est possible de définir les directives concernant les modalités de conservation, d’effacement et de communication de vos données à caractère personnel que vous souhaitez voir appliquer après votre décès.

Droit au retrait du consentement (articles 4, 6 et 7 et considérants 42 et 43 du RGPD)

A l’égard des traitements ayant pour base juridique votre consentement, vous bénéficiez du droit au retrait de celui-ci. Il peut survenir à tout moment et sans justification nécessaire.

L’obligation de notification du responsable (article 19 du RGPD)

Le responsable du traitement notifie à chaque destinataire auquel les données à caractère personnel ont été communiquées, toute rectification, tout effacement de données à caractère personnel, ou toute limitation du traitement effectué conformément aux articles 16, 17 et 18, à moins qu'une telle communication se révèle impossible ou exige des efforts disproportionnés. Est fourni à la Personne concernée des informations sur ces destinataires si celle-ci en fait la demande.

Droit à un recours

En cas de différend non résolu à l’amiable avec votre responsable de traitement, il vous est possible de réaliser une réclamation auprès de la CNIL selon les modalités détaillées sur son site.

Il est également possible de saisir le juge compétent, sans réclamation préalable auprès de la CNIL.

Dans le cas de la suppression de données à caractère personnel, XXII GROUP fournira une attestation de destruction à la Personne concernée, qu’il conservera également.

VII – SÉCURITÉ DES DONNÉES À CARACTÈRE PERSONNEL

Les Mesures de Sécurité de XXII GROUP sont accessibles à tout moment via ce lien.

VIII – RESPONSABILITÉ, CORESPONSABILITÉ ET SOUS-TRAITANCE

En cas de responsabilité unique, l’utilisateur, en tant que responsable de traitement s'engage à :

• indiquer quelles sont les données à caractère personnel (sensibles ou non) qui interviendront  dans le cadre du projet ;
• fournir les informations nécessaires à l'établissement du registre des activités de traitement ;
• définir la (les) finalité(s) du traitement des données à caractère personnel ;
• effectuer une analyse d'impact relative à la protection des données personnelles dès lors que celle-ci s’impose et le cas échéant effectuer une saisine préalable de l’autorité de contrôle dans le respect des articles 35 et 36 du RGPD ;
• communiquer aux sous-traitants les risques liés aux traitements des données à caractère personnel.

En cas de co-responsabilité de XXII GROUP au traitement effectué, XXII GROUP s’engage à  :

• échanger avec les autres coresponsables de traitement concernant l'identification des données à caractère personnel (sensibles ou non) qui interviendront  dans le cadre du projet mais également concernant toutes informations pertinentes pour la sécurité des traitements réalisés ;
• fournir les informations nécessaires à l'établissement du registre des activités de traitement ;
• définir la (les) finalité(s) du traitement des données à caractère personnel ;
• effectuer  et collaborer à la rédaction des analyses d'impact relative à la protection des données à caractère personnel dès lors que celle-ci s’impose et le cas échéant effectuer une saisine préalable de l’autorité de contrôle dans le respect des articles 35 et 36 du RGPD ;
• communiquer aux sous-traitants les risques liés aux traitements des données à caractère personnel.

XXII GROUP étant amené à réaliser des actions de recherche scientifique dans le cadre de certains projets, c'est à ce titre que le rôle de coresponsable de traitement peut-être retenu, impliquant une responsabilité conjointe de XXII GROUP avec les autres coresponsables des projets, dont l’utilisateur pourrait faire partie.

En cas de sous-traitance de la part de XXII GROUP, XXII GROUP s'engage à :

• aider le responsable de traitement à garantir le respect des obligations relatives à la protection des données à caractère personnel, compte tenu de la nature du traitement et des informations à la disposition de XXII GROUP ;
• mettre en œuvre de manière effective toutes les mesures nécessaires pour garantir la sécurité des données traitées ;
• communiquer au client toute information et document nécessaires pour apporter la garantie du traitement sécurisé, dans la limite de la confidentialité́ des informations demandées ;
• autoriser le client à faire effectuer des audits, inspections ou vérifications dans les locaux de XXII GROUP - pas un tiers professionnel indépendant ;
• informer raisonnablement le responsable de traitement lorsque les instructions de celui-ci constituent une violation aux règlements relatifs à la protection des données ;
• aider le client à s’acquitter de son obligation de donner suite aux demandes dont les Personnes concernés le saisissent en vue d’exercer leurs droits;
• supprimer ou restituer toutes les données au terme de la durée de conservation prévue ou sur demande spécifique ;
• selon les besoins des projets : aider le client responsable de traitement dans la réalisation d’une analyse d'impact relative à la protection des données personnelles.

IX – TRANSPARENCE ET TRAÇABILITÉ

XXII GROUP fournit ses meilleurs efforts afin de recueillir par écrit les instructions de ses clients concernant le traitement de leurs données, afin d’être en mesure de prouver qu’il agit sur instruction documentée du responsable de traitement.

X – ETHIQUE DE XXII GROUP

L’émergence dans nos sociétés de technologies telle que l’intelligence artificielle demande une attention en conséquence. La notion d’éthique est fondamentale dans la mise en place de traitement de données à caractère personnel et fait donc partie des enjeux majeurs propres au domaine de l’intelligence artificielle.  

A la lumière de ce constat, XXII GROUP attache une importance toute particulière à une utilisation éthique de ses produits et services. XXII GROUP incite par ailleurs ses clients et partenaires quelconques à suivre les principes adoptés dans sa Charte éthique, dans ses CGV, et ne pas recourir à une utilisation de ses produits ou services contraire ou non-conforme à l’éthique, et interdit toute dérive d’usage.

A ce titre, XXII GROUP a mis en place un Comité éthique. Depuis 2020, un Comité éthique élu, parmi les membres de nos équipes (CEO, DPO, Juriste et un élu tech) ainsi qu’un panel d’experts et intervenants extérieurs, se réunit régulièrement afin de définir et appliquer l’ensemble des principes éthiques qui délimitent les contours du développement de notre produit.

L’enjeu éthique est fondamental à la conception d’une intelligence artificielle dite “pour le bien” (IA for good). XXII GROUP rappelle par ailleurs ses principes adoptés dans la Charte éthique : bienfaisance, non-malfaisance, autonomie, justice, explicabilité et transparence.

Se référer également à la page web dédiée à l'Ethique de XXII GROUP, comprenant sa Charte éthique.

Le principe de bienfaisance

Il implique de s’assurer que l’intelligence artificielle permet de renforcer le bien-être individuel et collectif de la société ainsi que le bien commun.

Ce principe implique également de s’assurer que l’IA est porteuse d’innovation et de progrès en limitant les impacts négatifs sur le bien-être des citoyens, l’impact environnemental et la consommation énergétique.

Le principe de non-malfaisance

L’utilisation de produits d’intelligence artificielle ne doit ni porter atteinte, ni nuire, ni aggraver une situation, au vivant de quelque manière que ce soit. Les systèmes mis en place ne doivent en aucun cas menacer l’intégrité physique, morale ou psychologique de qui que ce soit, tout en étant sûrs et sécurisés pour l’utilisateur.

Le principe d’autonomie

L’utilisateur doit être en complète capacité de conserver son pouvoir de décision dans le cas d’utilisation d’intelligence artificielle. La vision par ordinateur ne doit pas contraindre, tromper ou manipuler l’utilisateur. Bien au contraire, cet outil doit aider, soutenir, favoriser l’autonomie de ses utilisateurs finaux.

Le principe de justice

L’intelligence artificielle ne doit en aucune circonstance être biaisée et ne doit pas porter préjudice à l’être humain. XXII GROUP effectue des contrôles réguliers sur la finalité, les contraintes, les exigences et les résultats des systèmes fournis.

Le principe d’explicabilité et de transparence

Ces deux notions nécessitent de mettre à disposition une documentation approfondie des solutions et technologies d’intelligence artificielle développées, déployées par XXII GROUP et utilisées par les responsables de traitement.

XI – PROTECTION DES DONNÉES DÈS LA CONCEPTION ET PAR DÉFAUT

XXII GROUP offre à ses clients les garanties nécessaires afin que le traitement qu’il met en œuvre réponde aux exigences règlementaires (RGPD) et législatives (LIL) en vigueur afin de protéger les droits des Personnes concernées, y compris celles issues de l’article 25 du RGPD.

Ainsi,

• dès leur conception, les solutions, produits, applications ou services que XXII GROUP offre à ses clients intègrent de façon effective les principes relatifs à la protection des données à caractère personnel.
• par défaut, les solutions, produits, applications ou services de XXII GROUP garantissent que seules sont traitées les données nécessaires à la finalité́ du traitement au regard de la quantité de données collectées, de l’étendue de leur traitement, de la durée de conservation et du nombre de personnes qui y ont accès.

Le détail des mesures mises en place par XXII GROUP est consultable au sein des Fiches de traitement établies et transmises par la DPO de XXII GROUP, via l’adresse dpo@xxii.fr.

XII – REGISTRES DE TRAITEMENT

XXII GROUP assure la tenue de trois registres liés aux traitements de données à caractère personnel.

En parallèle, une version papier ou numérique des fiches de traitement est également disponible sur première demande à l’adresse dpo@xxii.fr. Ce document est hautement confidentiel.

Hors les cas concernant des traitements internes à XXII GROUP, les registres sont établis sur la base des informations fournies et échangées avec les clients et partenaires externes, et des mesures mises en œuvre par XXII GROUP.

XXII GROUP, sa DPO, ou le cas échéant son représentant, met le registre à disposition de ses clients sur demande en vue d’être éventuellement communiqué à l’autorité de contrôle.

Le Registre responsable de traitement

XXII GROUP tient un registre de traitement qui répertorie tous les traitements de données à caractère personnel auxquels l’entreprise est partie prenante. Ce registre est tenu par écrit en version numérique.

Il comporte les informations suivantes :

• L’identification du traitement ;
• La date de mise en oeuvre du traitement ;
• La base juridique encadrant le traitement ;
• Les informations concernant le ou les responsables de traitement et les éventuels sous-traitants ;
• Les finalités du traitement ;
• Les catégories de Personnes concernées ;
• Les catégories des données à caractère personnel traitées ;
• La présence ou non de données sensibles ;
• Les  différentes opérations menées sur les données traitées, y compris les canaux de communication et les modalités de stockage de ces dernières ;
• Les transferts réalisés au sein des pays soumis au RGPD et les transferts éventuels vers un pays tiers, y compris l’identification de ce pays tiers ;
• Les informations sur les destinataires et personnes de XXII GROUP ayant accès aux données, en ce compris les modalités d’accès aux données à caractère personnel par ces derniers ;  
• La durée de conservation des différentes catégories de données traitées ;
• Les modalités d’exercice des droits des Personnes concernées ;
• Les mesures de sécurité techniques et organisationnelles mises en place ou la référence à celles-ci.

Le Registre sous-traitant

XXII GROUP tient un Registre de sous-traitance qui répertorie tous les traitements de données à caractère personnel effectués par l’entreprise, en qualité de sous-traitant, pour le compte de ses clients et distributeurs, responsables de traitement, dans le cadre du déploiement de ses produits et services. Ce registre est tenu par écrit en version numérique.

Il comporte les informations suivantes :

• L’identification du traitement ;
• La date de mise en oeuvre du traitement ;
• Les informations concernant le ou les responsables de traitement et les éventuels sous-traitants ;
• Les finalités du traitement ;
• Les catégories de Personnes concernées ;
• Les catégories des données à caractère personnel traitées ;
• La présence ou non de données sensibles ;
• Les  différentes opérations menées sur les données traitées, y compris les canaux de communication et les modalités de stockage de ces dernières ;
• Les transferts réalisés au sein des pays soumis au RGPD et les transferts éventuels vers un pays tiers, y compris l’identification de ce pays tiers ;
• La présence ou non de stockage des données traitées (la conservation étant par défaut limitée) ;
• Les modalités d’exercice des droits des Personnes concernées ;
• Le(s) lieu(x) géographique(s) des traitements ;
• Les mesures de sécurité techniques et organisationnelles mises en place ou la référence à celles-ci.

Le Registre envoi des fiches de traitement

XXII GROUP tient un registre de de suivi de l’envoi des fiches de traitement aux responsables de traitement pour lesquels elle est amenée à traiter des données en qualité de sous-traitant, de sorte à satisfaire ses obligations de sous-traitant et assister au mieux le responsable de traitement, afin d’aider ce dernier à satisfair ses propres obligations (article 28 du RGPD). Ce registre est tenu par écrit en version numérique.

Il comporte les informations suivantes :

• L’identification du responsable de traitement ;
• L’adresse email du destinataire, auquel la fiche de traitement a été envoyée ;
• L'identité de la personne interne à XXII GROUP ayant partagé cette fiche de traitement, et les personnes internes à XXII GROUP en copie ;
• La date d’envoi de la fiche de traitement par mail ;
• Et la présence ou non d’accusé de réception de la fiche.

XII – DURÉE DE CONSERVATION

Durée de conservation des données à caractère personnel

La durée de conservation des données à caractère personnel est susceptible de varier, en fonction de la finalité du traitement et de la législation existante et en vigueur (conservation limitée par une obligation légale), ainsi que selon les instructions de ses utilisateurs responsables de traitement.

Ainsi, XXII GROUP s’engage à conserver les données à caractère personnel uniquement pour la durée nécessaire à la réalisation de la finalité poursuivie, sauf si des obligations légales imposent leur conservation pour une période plus longue.

Lors de chaque collecte de données, XXII GROUP s’engage à fournir ses meilleurs efforts afin de laisser à la disposition des Personnes concernées, dans le respect de la règlementation, toutes informations relatives à la durée de conservation des données à caractère personnel.

Il convient de rappeler que, lorsqu’elle agit en tant que sous-traitant, dans le cadre de l'utilisation de CORE par ses clients, XXII GROUP ne stocke aucune donnée à caractère personnel^[2].

Les seules conservations réalisées s’inscrivent donc dans le cadre des activités de R&D, de gestion d’entreprise, ou d’administration des contrats passés avec les utilisateurs, de XXII GROUP.

A titre indicatif, ces conservations sont détaillées au sein du DPA, avec quelques précisions complémentaires ci-après :

• les délais moyens de conservation des données déclaratives sont, par principe, de trois (3) ans (général) ;

• les délais de conservation des data sets d’entraînement, dont de captation, utilisées pour les activités de R&D, peuvent être conservées pendant quatre à six (4 - 6) mois par défaut, cette durée pouvant être allongée pour les besoins des finalités associés, notamment en cas de mesures d’anonymisation/pseudonymisation - se référer également aux autorisations de réutilisation de données applicables (R&D) ;
• les données comprises dans les factures et note de frais peuvent être conservées dix (10) ans^[3] (gestion d’entreprise) ;
• les coordonnées d’un prospect, client, partenaire, distributeur, intégrateur, etc, peuvent être conservées pendant la durée de la relation, ainsi que trois (3) ans à l'expiration de cette dernière (gestion d’entreprise) ;
• afin d’assurer sa défense en cas de litige éventuel, avec ses cocontractants, un tiers ou toute autorité de quelque nature que ce soit, XXII GROUP pourra être amenée à conserver certains documents ou communications, dont les contrat, susceptibles de contenir des données à caractère personnel, pour toute la durée légale de prescription des obligations en cause (gestion d’entreprise).

Une fois le délai de conservation écoulé, XXII GROUP s’engage à supprimer définitivement les données à caractère personnel concernées.

Pour cela, XXII GROUP a établi un template d’Attestation de destruction de données, qu’elle remplit régulièrement pour les besoins de ses clients, partenaires et collaborateurs.

Durée de conservation des données sensibles

Dans le cadre de ses activités (gestion d’entreprise, R&D, contrats, etc…) XXII GROUP, sur délibération de son Comité éthique, a décidé de n’autoriser aucun traitement de données sensibles par ses collaborateurs.

Si toutefois une donnée sensible venait à être traitée par XXII GROUP, dans le cadre des ses activités pour les besoins de ses clients par exemple, les données sensibles collectées ne resteraient pas indéfiniment dans notre système d’information. Nous les conserverons uniquement afin d’atteindre l'objectif pour lequel elles auraient été recueillies. Lorsque ces données sensibles ne seraient plus nécessaires au regard des finalités pour lesquelles elles ont été collectées, celles-ci seraient immédiatement supprimées en accord avec le délai convenu avec le client concerné.

XXII GROUP minimise la collecte des données à caractère personnel, en particulier si celles-ci sont considérées comme étant sensibles, et ne les traite en conséquence que lorsque cela est strictement nécessaire.

Processus de suppression

Les données à caractère personnel dont la durée de conservation sera arrivée à échéance seront supprimées manuellement.

Afin de s’assurer la suppression de l’ensemble des données au moment opportun, un système de traçabilité du jour de captation est mis en place, via le registre de traitement ou via un stockage horodaté des données sous la forme JJ/MM/AA HH:MM:SS, ou encore, le recours à l’outil interne de journalisation.

Les données conservées de manière informatique seront supprimées des ordinateurs des personnes en charge du traitement ainsi que des différents supports de stockage (disque durs, serveurs…)

Si la suppression se fait par l’interface graphique d’un système d’exploitation, la personne en charge de l’obligation de suppression s’attachera à vider la corbeille après suppression, afin de s’assurer que les données ne soient pas récupérables.

Dans certains cas, un historique de traitement sera créé : un registre sera mis en place pour attester de la suppression des données, et devra être signé à chaque suppression quotidienne par l’ingénieur ayant effectué l’opération.

Pour les données conservées sous format papier, tous les documents seront détruits manuellement (broyeuse de papier conservée dans un bureau fermé et insonorisé, soumis à confidentialité).

La suppression de toutes les données présentes sur les matériels destinés au rebut.

XIV – GESTION DES INCIDENTS ET NOTIFICATION EN CAS DE VIOLATION

XXII GROUP permet à toute personne, interne ou non, de lui notifier tout incident, entraînant ou non une violation au sens de la Règlementation applicable en matière de protection des données à caractère personnel.

Procédure interne : 

XXII GROUP met en place, revoit, et maintient à jour ses Mesures de sécurité, de sorte de maîtriser le risque et limiter toute survenance de celui-ci, comprenant également des mécanismes de vérification et de suivi permettant d’identifier et traiter au plus tôt tout incident le cas échéant, afin d’assurer la minimisation de ses conséquences éventuelles.

Si un incident se produit, XXII GROUP a mis en place une procédure interne de remontée des incidents, détaillée au sein de la Procédure violation de données (interne).

Les incidents peuvent être remontés par toute personne, en activant le service support, contactable via tous moyens de communication, en saisissant « /support ». Ils sont adressés via un outil de ticketing, Hubspot ou Jira. L’incident est suivi dans le temps jusqu’à ce qu’il arrive au statut de « résolution ».

Les personnes internes à XXII GROUP à informer impérativement sont Alain (DevOps), Karine (DPO) et Manon (Juriste).

Procédure externe : 

En cas d’identification d’un incident, toute personne est invitée à le notifier à XXII GROUP sans délai, via l’adresse email de sa DPO : dpo@xxii.fr. Les personnes sont informées de cette procédure via la Politique de confidentialité du Site internet accessible via le Site (xxiiai.com), via la présente Politique de confidentialité XXII GROUP, intégrée au sein des Data Processing Addendums (template en version anglais disponible), des CGV (également disponibles en anglais) et des Conditions Générales de Distribution et d’Intégration (les « CGD », également disponibles en anglais), elles-mêmes partagées à tout client, partenaire et distributeur/intégrateur, par mail, via les devis, les factures, ou encore en étant insérées en signature des adresses email d’une grande partie des personnes internes à XXII GROUP étant amenées à échanger avec des personnes externes.

Lorsque XXII GROUP est responsable de traitement, elle accuse réception de l’incident, l’enregistre au sein du Registre de violations de données, notifie à la CNIL sous soixante-douze (72) heures lorsque le risque est classifié « limité » ou « élevé » au sein du registre (article 33 du RGPD), et informe le cas échéant les Personnes concernées, et en tout état de cause lorsque le risque est « élevé » (article 34 du RGPD).

Lorsque XXII GROUP est sous-traitant, outre les mesures spécifiées ci-dessus relative au recensement de l’incident au sein du Registre de violations de données et sa gestion, elle notifie au responsable de traitement toute violation de données à caractère personnel (sensibles ou non) dans les meilleurs délais - permettant au responsable de traitement de notifier la CNIL dans le respect de ses propres délais le cas échéant, après en avoir pris connaissance.

Le responsable du traitement (en principe, l’utilisateur des solutions XXII) doit ensuite notifier la violation de données à caractère personnel à l’autorité de contrôle dans les délais imposés par le RGPD (article 33 RGPD), et informer les Personnes concernées par cette violation (article 34 du RGPD). 

Cette notification écrite doit :

• décrire la nature de la violation de données (accès illégitime, modification ou disparition des données), y compris, si possible, les catégories et le nombre approximatif de Personnes concernées par la violation, les catégories et le nombre approximatif de données concernés ;
• communiquer les coordonnées du DPO qui sera le point de contact ;
• décrire les conséquences probables de la violation de données à caractère personnel ;
• décrire les mesures prises ou à prendre pour remédier à la violation de données à caractère personnel et les mesures permettant d'en atténuer les possibles conséquences négatives.

Pour toute violation de données à caractère personnel (sensibles ou non), XXII GROUP s'engage à mettre en œuvre dans les meilleurs délais les mesures nécessaires pour atténuer les impacts de cette violation et empêcher, dans la mesure du possible, leur répétition.

La notification ou la réponse de XXII GROUP à un incident ne sera pas interprétée comme une reconnaissance par XXII GROUP d'une quelconque faute ou responsabilité concernant l'incident.

XV – DÉLÉGUÉE À LA PROTECTION DES DONNÉES (DPO)

XXII GROUP a désigné une Délégué à la Protection des Données à caractère personnel (également « DPO ») conformément à la règlementation en vigueur (article 37 RGPD) et veille à ce que sa DPO soit associée à toutes les questions relatives à la protection des données.

La DPO est indépendante, soumise au secret professionnel et à une obligation de confidentialité en ce qui concerne l'exercice de ses missions, et ne reçoit aucune instruction en ce qui concerne l’exercice de ses missions (article 38 du RGPD).

A ce titre, pour toute demande relative aux données à caractère personnel, il est possible de contacter notre DPO, en indiquant l’objet de votre demande, à cette adresse mail : dpo@xxii.fr.

Il s’agit de l’interlocuteur privilégié pour toute demande d’informations ou pour faire valoir vos droits en matière de protection des données.

Les coordonnées de notre DPO sont communiquées aux clients, partenaires et distributeurs, notamment au sein des mentions légales du Site web, de la fiche de traitement, des CGV, qui peuvent les transmettre à l'autorité de contrôle.

Les Personnes concernées peuvent également prendre contact avec la DPO au sujet de toutes les questions relatives au traitement de leurs données sensibles.

La DPO de XXII GROUP a pour missions principales (article 39 du RGPD) :

1. informer, conseiller et alerter, si besoin, le responsable de traitement ou le sous-traitant ainsi que les employés qui procèdent au(x) traitement(s) sur les obligations qui leur incombent en vertu des dispositions du droit de l'Union ou du droit des États membres en matière de protection des données personnelles, notamment le RGPD ;
2. diffuser une culture de protection des données à caractère personnel au sein de l'entreprise avec des actions de sensibilisation et de formation du personnel participant aux opérations de traitement ;
3. analyser et contrôler le respect de ces dispositions et des règles internes en matière de protection des données, y compris en ce qui concerne la répartition des responsabilités, la sensibilisation et la formation du personnel participant aux opérations de traitement, et les audits s'y rapportant ;
4. dispenser des conseils, sur demande, en ce qui concerne l'analyse d'impact relative à la protection des données et vérifier l’exécution de celle-ci ;
5. établir et maintenir à jour une documentation, et en particulier les registres « RGPD » et les documents s’y rapportant ;
6. assurer une médiation avec les Personnes concernées, et prendre en charge les réponses aux demandes d’exercice des droits lorsque XXII GROUP (en lien avec le responsable de traitement) ;
7. coopérer avec les acteurs (sous-traitants, responsables, clients…), le cas échéant, avec l'autorité de contrôle, à savoir la CNIL ;
8. faire office de point de contact pour le client et l'autorité de contrôle sur les questions relatives au(x) traitement(s).

XXII GROUP a fait le choix d’avoir une DPO indépendante du service juridique de l’entreprise, au regard de la complexité des traitements. Celle-ci dispose ainsi de la vision opérationnelle et technique permettant d’assurer la mise en œuvre effective des mesures liées à la protection des données à caractère personnel. La DPO travaille toutefois en collaboration directe avec l’équipe juridique, afin d’assurer une cohérence des démarches et sécuriser à différents niveaux, la conformité et l’éthique de la société.

XVI – SOUS–TRAITANCE ET COMMUNICATION À DES TIERS

XXII GROUP peut avoir recours à des sous-traitants.

Dans le cas où cela serait envisagé, XXII GROUP s’engagera et s’assurera d’obtenir, au préalable à tout début de sous-traitance, l’autorisation écrite du Responsable du traitement, mais aussi d’avoir pris connaissance du respect par le sous-traitant au RGPD et de prendre les mesures nécessaires si cela n’est pas le cas.  

Dans le cadre de ses activités, la liste des sous-traitants de XXII GROUP est détaillée au sein du DPA.

XVII – LIAISON AVEC  L'AUTORITÉ DE CONTRÔLE (CNIL)

XXII GROUP met en place et met en œuvre les mesures nécessaires pour assurer un haut niveau de conformité aux obligations légales et règlementaires. En cas de d’inspection par l’autorité du contrôle, la DPO de XXII GROUP coopère avec l’autorité en charge du contrôle pour assurer son bon déroulement notamment en fournissant tous les documents, informations utiles et nécessaires et en répondant à toutes les questions relatives au traitement et à la transmission d’ informations afférentes, claires et à jour.

****

*

RAPPEL – Le présent document et son contenu sont la propriété exclusive de XXII GROUP. Il est protégé par le droit d’auteur et la protection des bases de données. Leur communication et diffusion n’emporte aucun droit de reproduction et de représentation, d’utilisation, d’adaptation de licence et/ou de cession sur le présent contenu et document au profit de la personne qui en aurait connaissance – XXII GROUP reste titulaire de tous les droits de propriété intellectuelle afférents. Toute infraction sera poursuivie.