Politique de confidentialité

Responsable du traitement et responsabilités

SIA EBL Consulting, numéro d'immatriculation 50203595801, Kaļķu iela 7, Rīga, LV-1050, Lettonie, est responsable du traitement pour les activités de traitement de données à caractère personnel dont elle détermine les finalités et les moyens essentiels, y compris l'administration de son site web, des relations institutionnelles et des comptes utilisateurs.

Contact : mail@exanteon.com

Pour les traitements portant sur des enregistrements de gouvernance soumis par des institutions participantes, la répartition des responsabilités entre Exanteon et ces institutions dépend des finalités et des moyens de l'activité concernée.

Selon le cas, Exanteon peut agir en tant que responsable du traitement, responsable conjoint du traitement ou sous-traitant. Ces responsabilités doivent être définies dans les accords contractuels et les accords de traitement des données pertinents.

Lorsqu'Exanteon agit en tant que sous-traitant, les données à caractère personnel sont traitées sur instruction documentée du responsable du traitement compétent, dans le respect du droit applicable.

Catégories et sources des données

Exanteon traite principalement des informations relatives à des entités juridiques et à des engagements institutionnels.

Lorsque des données à caractère personnel sont concernées, les catégories pertinentes peuvent inclure :

• Les données d'identification et de contact professionnelles des représentants, administrateurs et utilisateurs autorisés.
• L'affiliation institutionnelle, la fonction professionnelle, le pouvoir de déclaration et les droits d'accès.
• Les informations d'authentification des comptes, les identifiants techniques, les journaux d'accès et les métadonnées liées à la sécurité.
• Les communications, les informations d'intégration institutionnelle et les preuves d'acceptation contractuelle.
• Les informations personnelles contenues de manière incidente dans des déclarations institutionnelles autorisées, de la correspondance ou de la documentation de gouvernance.

Les informations peuvent être collectées directement auprès des personnes concernées, soumises par des institutions participantes, générées par l'utilisation des services Exanteon ou obtenues auprès de sources institutionnelles licites d'identification et de vérification.

Les membres sont tenus de ne soumettre que les informations autorisées par le protocole applicable et nécessaires à sa finalité définie.

L'infrastructure n'est pas destinée à collecter des catégories particulières de données à caractère personnel, des profils de consommateurs individuels ou des évaluations comportementales personnelles. De telles informations ne doivent pas être soumises, sauf si cela est expressément autorisé, juridiquement justifié et assorti de garanties appropriées.

Finalités du traitement

Les données à caractère personnel peuvent être traitées aux fins suivantes :

• Identification institutionnelle, vérification de l'éligibilité et gestion des adhésions.
• Authentification des représentants autorisés et gestion des droits d'accès.
• Exploitation et sécurité des protocoles de gouvernance applicables.
• Attribution des soumissions, notarisation technique et conservation des enregistrements autorisés.
• Gestion des relations contractuelles, facturation et respect des obligations légales pertinentes.
• Prévention, investigation et gestion des accès non autorisés, des abus et des incidents de sécurité technique.
• Communications institutionnelles, demandes et notifications liées au service.
• Traitement des demandes des personnes concernées, des rectifications, des oppositions et des litiges, le cas échéant.

Les informations ne sont traitées que pour des finalités déterminées et légitimes et conformément à la base juridique applicable.

Bases juridiques du traitement

La base juridique dépend de l'activité de traitement concernée et de la relation en cause.

Obligations légales — article 6, paragraphe 1, point c), du RGPD

Traitement nécessaire au respect des obligations légales applicables, y compris les exigences comptables, juridiques et réglementaires pertinentes.

Intérêts légitimes — article 6, paragraphe 1, point f), du RGPD

Traitement nécessaire à des fins légitimes telles que l'administration institutionnelle, la communication professionnelle, la sécurité des comptes, la protection de l'intégrité de l'infrastructure et la prévention des abus, à condition que ces intérêts ne prévalent pas sur les droits et libertés des personnes concernées.

Nécessité contractuelle — article 6, paragraphe 1, point b), du RGPD

Traitement nécessaire à l'exécution d'un contrat avec la personne concernée ou à l'exécution de mesures précontractuelles prises à la demande de celle-ci, lorsque cette base juridique s'applique.

Un contrat conclu avec une entité juridique ne fait pas automatiquement de la nécessité contractuelle la base juridique appropriée pour le traitement des données à caractère personnel de l'ensemble de ses représentants.

Consentement — article 6, paragraphe 1, point a), du RGPD

Traitement fondé sur un consentement valable lorsque celui-ci est requis, notamment pour certaines communications facultatives ou des technologies de suivi non essentielles.

Le consentement peut être retiré à tout moment, sans compromettre la licéité du traitement effectué avant ce retrait.

Lorsqu'Exanteon traite des données à caractère personnel pour le compte d'un autre responsable du traitement, ce dernier reste chargé de garantir une base juridique appropriée pour ce traitement.

Indicateurs organisationnels et profilage

Exanteon est conçu pour enregistrer des engagements institutionnels et leur évolution déclarée ultérieurement, et non pour évaluer le comportement de consommateurs individuels.

Certains protocoles de gouvernance peuvent générer des indicateurs organisationnels définis à partir de déclarations attribuables et d'événements déclarés.

Ces indicateurs portent sur le cadre de déclaration institutionnel concerné et ne constituent ni une vérification indépendante ni une certification d'un comportement.

Exanteon n'est pas conçu pour prendre des décisions fondées exclusivement sur un traitement automatisé produisant des effets juridiques ou des effets significatifs similaires à l'égard de personnes physiques.

Lorsqu'un traitement constitue un profilage au sens du RGPD, les exigences pertinentes en matière de transparence, de base juridique et de protection des données s'appliquent.

L'utilisation d'indicateurs organisationnels ne supprime pas les protections du RGPD lorsque des informations peuvent être rattachées à des personnes physiques identifiables.

Notarisation technique et tokenisation

Exanteon utilise des mécanismes techniques d'enregistrement et de notarisation afin de préserver des éléments de preuve concernant les informations soumises, leur source attribuée, leur intégrité et leur date d'enregistrement.

Des références cryptographiques, des empreintes (hashes), des jetons ou d'autres identifiants techniques peuvent être utilisés lorsque la mise en œuvre applicable le permet.

La notarisation technique porte sur l'enregistrement. Elle n'établit pas de manière indépendante la véracité, l'exactitude ou la validité juridique de la déclaration sous-jacente.

La tokenisation, le hachage ou la pseudonymisation ne rendent pas nécessairement les informations anonymes. Tant qu'une personne reste identifiable, les informations concernées continuent d'être traitées comme des données à caractère personnel.

Les mécanismes techniques de preuve d'Exanteon ne sont pas destinés à créer des instruments financiers négociables ni à conférer une certification juridique du comportement institutionnel sous-jacent.

Destinataires, prestataires de services et affiliation à heyData

Les données à caractère personnel peuvent être accessibles, lorsque cela est nécessaire et légalement autorisé, aux personnes et entités suivantes :

• Le personnel autorisé d'Exanteon et les administrateurs du service.
• Les prestataires contractuels d'hébergement, d'infrastructure, d'authentification, de sécurité et de services techniques.
• Les prestataires de services de paiement, de comptabilité, juridiques et professionnels, le cas échéant.
• Les institutions participantes autorisées ou d'autres destinataires dans le cadre des modalités d'accès définies par le protocole.
• Les autorités compétentes, lorsque la divulgation est légalement requise ou autrement autorisée par la loi.

Les prestataires de services qui traitent des données à caractère personnel pour le compte d'Exanteon sont soumis à des obligations contractuelles et de protection des données appropriées.

Lorsque des institutions participantes reçoivent des informations pour leurs propres finalités, elles peuvent avoir des responsabilités propres en matière de protection des données.

Affiliation à heyData

SIA EBL Consulting entretient une relation d'affiliation ou de partenariat avec heyData, un prestataire de services en matière de protection des données et de conformité.

Cette affiliation ne constitue pas, en elle-même, une certification RGPD, une désignation de heyData en tant que délégué à la protection des données d'Exanteon, ni une autorisation de communiquer des informations relatives aux membres d'Exanteon à heyData.

Tout service distinct de traitement, de conseil ou de protection des données impliquant heyData est soumis aux accords contractuels pertinents et aux exigences légales applicables.

Transferts transfrontaliers

Lorsque des données à caractère personnel sont transférées en dehors de l'Espace économique européen, Exanteon applique les exigences du chapitre V du RGPD.

Selon le destinataire et la destination, les mécanismes de transfert licites peuvent inclure des décisions d'adéquation de la Commission européenne, des clauses contractuelles types approuvées ou d'autres garanties applicables.

Des mesures supplémentaires sont envisagées lorsque les circonstances du transfert l'exigent.

Des informations sur les garanties applicables aux transferts peuvent être demandées auprès du contact d'Exanteon chargé de la protection des données.

Conservation des données

Les données à caractère personnel ne sont conservées que pendant la durée nécessaire à la finalité de traitement concernée, sous réserve des obligations légales applicables et des exigences de conservation justifiées.

La durée de conservation est déterminée en fonction de la catégorie d'informations et de leur finalité.

Les informations relatives aux comptes et aux adhésions sont conservées pendant la durée de la relation institutionnelle concernée et, lorsque cela est justifié, pour des besoins contractuels, juridiques ou administratifs ultérieurs.

Les informations de facturation et de comptabilité sont conservées conformément aux obligations légales applicables.

Les journaux d'authentification et de sécurité sont conservés pendant des durées définies, proportionnées aux exigences de sécurité opérationnelle et d'investigation des incidents.

Les données à caractère personnel liées à la gouvernance sont conservées conformément aux conditions du protocole applicable, aux finalités probatoires légitimes, aux responsabilités contractuelles et aux exigences de protection des données.

Le caractère persistant d'un enregistrement de gouvernance Exanteon ne prévaut pas sur les droits impératifs relatifs aux données à caractère personnel ni sur les limitations légales de conservation.

Lorsqu'une rectification, une limitation ou un effacement est requis, Exanteon applique les procédures pertinentes en fonction de son rôle juridique et des accords de traitement applicables.

Politique de commercialisation et de divulgation des données

SIA EBL Consulting n'exploite pas Exanteon comme une place de marché de données à caractère personnel ni comme un service commercial de courtage de données.

L'infrastructure est conçue pour fournir des services d'enregistrement de gouvernance, de notarisation technique et d'observabilité contrôlée.

Les données à caractère personnel et les informations de gouvernance institutionnelle ne sont ni vendues ni louées en tant que jeux de données commerciaux à des tiers non concernés.

L'accès aux enregistrements de gouvernance est régi par les conditions du protocole applicable, les modalités d'autorisation, les obligations de confidentialité et les exigences légales.

Selon les circonstances, l'accès peut reposer sur des autorisations contractuelles valables, une base juridique appropriée, un consentement applicable ou un autre mécanisme de divulgation licite.

Une autorisation institutionnelle ne remplace pas les droits légaux des personnes physiques identifiables.

Aucun protocole n'accorde, du seul fait de la participation, un accès public illimité à l'ensemble des informations enregistrées.

Cookies et technologies du site web

Le site web Exanteon et la plateforme authentifiée peuvent utiliser des technologies nécessaires au fonctionnement, à l'authentification, à la sécurité et aux préférences des utilisateurs.

Les outils d'analyse facultatifs, les intégrations de tiers ou les autres technologies de suivi non essentielles sont soumis aux exigences applicables en matière de transparence et de consentement.

Lorsque le consentement est requis, les technologies non essentielles ne doivent pas être activées avant l'obtention d'un consentement valable.

Les utilisateurs doivent pouvoir retirer leur consentement au moyen d'un mécanisme facilement accessible.

Les informations sur les cookies et technologies similaires effectivement utilisés, leurs fournisseurs, leurs finalités et leurs durées de conservation sont mises à disposition via les informations sur les cookies et les outils de gestion des préférences applicables.

Sécurité et protection des données dès la conception

L'architecture de gouvernance d'Exanteon repose sur l'attribution institutionnelle, des droits d'accès définis, la minimisation des données et la séparation des fonctions d'enregistrement et des décisions en aval.

Des garanties techniques et organisationnelles appropriées doivent tenir compte de la nature des informations traitées et des risques associés.

Selon les systèmes mis en œuvre, celles-ci peuvent inclure l'authentification, l'accès restreint, la journalisation d'audit, la protection de l'intégrité, des communications sécurisées et des procédures de réponse aux incidents.

L'infrastructure d'enregistrement indépendante d'Exanteon n'implique pas une divulgation illimitée des données.

Les dispositifs de sécurité et les responsabilités en matière de protection des données peuvent être documentés plus en détail dans les documents contractuels ou de due diligence institutionnelle applicables.

Droits des personnes concernées

Les personnes concernées disposent de droits au titre du RGPD, sous réserve des conditions et limitations applicables.

Il s'agit notamment des droits d'accès, de rectification, d'effacement, de limitation du traitement, d'opposition et, le cas échéant, de portabilité des données.

Les personnes concernées peuvent retirer leur consentement lorsque le traitement est fondé sur le consentement et peuvent exercer les droits relatifs aux décisions automatisées concernées.

Les demandes peuvent être adressées à :

mail@exanteon.com

Exanteon examinera les demandes en fonction de son rôle dans l'activité de traitement concernée.

Lorsqu'une autre institution participante est le responsable du traitement compétent, Exanteon peut transmettre la demande ou contribuer à son traitement conformément aux obligations contractuelles et légales applicables.

Les demandes sont traitées dans les délais prévus par le RGPD. Une vérification d'identité peut être requise lorsque cela est nécessaire et proportionné.

Réclamations

Les personnes qui estiment que leurs données à caractère personnel ont été traitées de manière illicite peuvent contacter Exanteon à l'adresse indiquée ci-dessus.

Elles ont également le droit d'introduire une réclamation auprès d'une autorité de contrôle compétente en matière de protection des données.

Pour les traitements soumis au contrôle en Lettonie, l'autorité compétente est :

Datu valsts inspekcija — Inspection nationale des données de Lettonie

Site web : https://www.dvi.gov.lv/en

Les personnes concernées peuvent également s'adresser, le cas échéant, à l'autorité de contrôle compétente d'un autre État membre de l'UE ou de l'EEE.

Documentation associée

Des informations complémentaires sur la participation contractuelle, l'accès institutionnel et les responsabilités opérationnelles figurent dans les Conditions d'utilisation, l'Avis juridique et les Mentions légales d'Exanteon, ainsi que dans les accords d'adhésion ou de protocole applicables.