Skip to main content

Politique de protection des données personnelles

ClassificationPublic
DiffusionLibre
Résumé

La présente politique définit le cadre normatif de DIALOG en matière de protection des données à caractère personnel. Elle fixe les principes et les exigences applicables, tandis que les modalités opérationnelles sont décrites dans la note d'organisation RGPD (non disponible sur ce site) et la note de positionnement RGPD (non disponible sur ce site).

1. Objet et champ d'application​

La présente politique s'applique à l'ensemble des traitements de données à caractère personnel mis en oeuvre par DIALOG, quels que soient les outils, les supports ou les projets concernés.

Elle s'applique à l'ensemble des collaborateurs de DIALOG ainsi qu'aux prestataires intervenant pour son compte, dans le respect des obligations légales, réglementaires et contractuelles applicables.

2. Références​

La présente politique s'appuie notamment sur :

  • le Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 (RGPD) ;
  • la loi no 78-17 du 6 janvier 1978 modifiée dite "Informatique et Libertés" ;
  • les recommandations et lignes directrices de la CNIL ;
  • les recommandations de l'ANSSI en matière de sécurité des systèmes d'information.

Elle s'articule avec :

3. Principes fondamentaux​

DIALOG applique les principes de l'article 5 du RGPD :

  • licéité, loyauté et transparence ;
  • limitation des finalités ;
  • minimisation des données ;
  • exactitude des données ;
  • limitation de la conservation ;
  • intégrité et confidentialité ;
  • responsabilité (accountability).

Ces principes s'appliquent selon le rôle effectivement tenu par DIALOG pour chaque traitement (responsable de traitement, sous-traitant ou co-responsable).

La déclinaison opérationnelle du principe de limitation de la conservation — durées par catégorie de données, articulation des trois phases du cycle de vie (base active / archivage intermédiaire / archivage définitif ou purge), gestion des effacements en sauvegarde — est portée par la politique de rétention et d'archivage (non disponible sur ce site).

4. Gouvernance et responsabilités​

La gouvernance de la protection des données repose sur une responsabilité partagée entre la direction, les fonctions de conformité et de sécurité, et les équipes opérationnelles.

La direction définit les orientations et alloue les ressources nécessaires. Les fonctions spécialisées (dont DPO et RSSI, selon l'organisation en vigueur) encadrent et contrôlent le dispositif. Les équipes opérationnelles appliquent les exigences de la présente politique dans les activités quotidiennes.

Les rôles détaillés, y compris vis-à-vis des clients et partenaires, sont précisés dans la note de positionnement RGPD (non disponible sur ce site).

5. Exigences transverses​

DIALOG applique, selon les traitements concernés, les exigences suivantes :

  • protection des données dès la conception et par défaut ;
  • sécurité des données et maîtrise des accès ;
  • encadrement des sous-traitants et sous-traitants ultérieurs ;
  • prise en compte des droits des personnes concernées ;
  • gestion des violations de données personnelles ;
  • encadrement des transferts de données hors Union européenne ;
  • sensibilisation et formation des collaborateurs ;
  • documentation et traçabilité des actions de conformité.

Les processus opérationnels associés sont détaillés dans la note d'organisation RGPD (non disponible sur ce site).

6. Positionnement de DIALOG selon les traitements​

Le rôle de DIALOG est déterminé au cas par cas selon la finalité et les moyens du traitement :

  • DIALOG agit en qualité de responsable de traitement pour ses traitements internes ;
  • DIALOG agit majoritairement en qualité de sous-traitant dans les prestations réalisées pour le compte de ses clients ;
  • DIALOG peut, dans certains cas limités, agir en qualité de co-responsable de traitement.

Le cadrage des responsabilités et des obligations associées est précisé dans la note de positionnement RGPD (non disponible sur ce site).

7. Sensibilisation, contrôle et amélioration continue​

La mise en œuvre effective de la présente politique repose sur l'appropriation de ses principes par l'ensemble des acteurs concernés, sur le contrôle régulier de son application et sur l'intégration continue des enseignements tirés du contexte et des retours d'expérience.

7.1. Sensibilisation et formation​

DIALOG sensibilise régulièrement les collaborateurs aux exigences de protection des données à caractère personnel et aux bonnes pratiques associées. Les personnes exposées à des traitements sensibles ou impliquées dans la gestion des droits, des incidents et des sous-traitants bénéficient en outre d'actions ciblées. Le cadre transverse de sensibilisation et de formation est défini par la politique de sécurité des systèmes d'information ; le volet RH applicable aux collaborateurs est précisé dans la politique de sécurité RH (non disponible sur ce site).

7.2. Contrôle et audits​

La conformité au RGPD est suivie de manière continue par des actions de pilotage et de contrôle, internes ou avec l'appui de tiers, portant notamment sur le registre des activités de traitement, l'exercice des droits, la gestion des violations, l'encadrement des sous-traitants et les transferts hors Union européenne. Les écarts constatés font l'objet d'actions correctives proportionnées, dont la mise en œuvre est suivie jusqu'à leur clôture. Les modalités opérationnelles de ces contrôles sont décrites dans la note d'organisation RGPD (non disponible sur ce site).

7.3. Amélioration continue et évolution de la politique​

DIALOG intègre les retours d'expérience issus des incidents, des audits, des actions de contrôle et de l'évolution du cadre réglementaire et contractuel. Sur cette base, la présente politique et les documents de référence associés sont actualisés chaque fois que nécessaire. Les mises à jour sont documentées et diffusées auprès des parties concernées.

8. Entrée en vigueur, versionnement et diffusion​

8.1. Entrée en vigueur et validation​

La présente politique entre en vigueur à compter de sa date de validation par la Direction de DIALOG. Elle s'applique à l'ensemble des traitements de données à caractère personnel relevant de son périmètre à compter de cette date.

Le versionnement de la politique suit les règles définies par la politique de gouvernance documentaire ; la version courante est portée par le suffixe vMAJEUR.MINEUR du nom du fichier.

8.2. Cadence de revue​

La présente politique fait l'objet d'une revue annuelle, ainsi que d'une mise à jour chaque fois que nécessaire en cas d'évolution significative du contexte (réglementation, jurisprudence, lignes directrices CNIL, organisation, services exploités, retours d'expérience d'incidents ou d'audits). Les modalités de capitalisation des évolutions sont précisées au chapitre 7.3.

8.3. Diffusion et application​

La politique est diffusée auprès des collaborateurs concernés par la conception, la mise en œuvre, l'exploitation ou le contrôle des traitements de données à caractère personnel, et est mise à leur disposition par tout moyen approprié.

Elle peut être communiquée, le cas échéant, aux clients, partenaires et autorités compétentes, notamment dans le cadre de prestations, de contrôles ou d'audits, dans le respect des règles de confidentialité applicables.

Tout manquement aux principes définis par la présente politique est susceptible d'entraîner des mesures appropriées, conformément aux règles internes et aux engagements contractuels en vigueur.

9. Documents associés​

La présente politique s'appuie sur les notes, procédures et modèles suivants du corpus DIALOG, qui en précisent l'application opérationnelle.

9.1. Notes et politiques de référence​

9.2. Procédures​

  • Privacy by design (non disponible sur ce site) ;
  • Analyse d'impact (AIPD) (non disponible sur ce site) ;
  • Gestion des droits des personnes (non disponible sur ce site) ;
  • Gestion des violations de données (non disponible sur ce site) ;
  • Gestion des sous-traitants (non disponible sur ce site) ;
  • Transferts hors Union européenne (non disponible sur ce site) ;
  • Gestion du contrôle des autorités (non disponible sur ce site).

9.3. Modèles​

  • Modèle d'analyse d'impact (AIPD) (non disponible sur ce site) ;
  • Registre des violations de données personnelles (non disponible sur ce site) ;
  • Clause de sous-traitance (non disponible sur ce site) ;
  • Clause de sous-traitance pour convention d'affiliation (non disponible sur ce site) ;
  • Accord de traitement des données (DPA) (non disponible sur ce site) ;
  • Clauses de sécurité RGPD (non disponible sur ce site) ;
  • Compte rendu d'incident SSI/RGPD (non disponible sur ce site).