POLITIQUE DE CONFIDENTIALITÉ

POLITIQUE DE PROTECTION

DES DONNÉES À CARACTÈRE PERSONNEL

Règlement (UE) 2016/679 — Loi n° 78-17 du 6 janvier 1978 modifiée

PRÉAMBULE

La société KAKI HOFFSTETTER ARCHITECTURE D’INTÉRIEUR, exerçant sous le nom commercial ATELIER KHAI, attache une importance particulière à la protection de la vie privée et des données à caractère personnel des personnes avec lesquelles elle est en relation.

La présente politique a pour objet d’informer ces personnes, de manière concise, transparente, compréhensible et aisément accessible, des traitements de données à caractère personnel mis en œuvre par la société, ainsi que des droits dont elles disposent.

Elle est établie en application des articles 12, 13 et 14 du règlement (UE) 2016/679 du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel, ci-après le « RGPD », et de la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés.

Elle s’applique aux traitements de données à caractère personnel mis en œuvre à l’occasion de la consultation et de l’utilisation du site internet www.atelierkhai.com, ci-après le « Site ». Elle complète les conditions générales d’utilisation du Site, sans s’y substituer.

Les traitements mis en œuvre dans le cadre de la relation commerciale et de l’exécution des missions confiées à la société ne relèvent pas de la présente politique. L’information des personnes concernées est assurée, pour ces traitements, par les conditions générales de prestations de services et par le contrat de mission, remis préalablement à tout engagement.

ARTICLE 1 — DÉFINITIONS

Les termes définis à l’article 1 des conditions générales d’utilisation, notamment « Site », « Éditeur » et « Utilisateur », conservent la même signification dans la présente politique. S’y ajoutent les notions suivantes, propres à la protection des données à caractère personnel.

Donnée à caractère personnel. Toute information se rapportant à une personne physique identifiée ou identifiable, directement ou indirectement.

Traitement. Toute opération portant sur des données à caractère personnel, notamment leur collecte, leur enregistrement, leur conservation, leur consultation, leur communication ou leur effacement.

Responsable du traitement. La personne qui détermine les finalités et les moyens du traitement.

Sous-traitant. La personne qui traite des données pour le compte du responsable du traitement et sur instruction de celui-ci.

Personne concernée. La personne physique dont les données font l’objet d’un traitement mis en œuvre dans le cadre du Site.

ARTICLE 2 — RESPONSABLE DU TRAITEMENT ET POINT DE CONTACT

2.1 — Responsable du traitement

Le responsable des traitements décrits dans la présente politique est la société éditrice du Site, dont l’identification complète figure à l’article 2 des conditions générales d’utilisation et dans les mentions légales.

Il est précisé que le responsable du traitement est la société, personne morale, et non son dirigeant à titre personnel ni le site internet lui-même.

2.2 — Point de contact en matière de protection des données

La société n’est pas tenue de désigner un délégué à la protection des données au sens de l’article 37 du RGPD : elle n’est pas un organisme public, ses activités de base n’impliquent ni un suivi régulier et systématique à grande échelle des personnes concernées, ni le traitement à grande échelle de données sensibles.

Elle a néanmoins désigné un point de contact interne chargé de recevoir et de traiter toute demande relative aux données à caractère personnel. Ce point de contact peut être joint par courrier électronique à l’adresse contact@atelierkhai.com, par courrier postal adressé au siège social.

ARTICLE 3 — PRINCIPES APPLIQUÉS

Conformément à l’article 5 du RGPD, la société s’engage à ce que les données à caractère personnel soient :

traitées de manière licite, loyale et transparente ;

collectées pour des finalités déterminées, explicites et légitimes, et non traitées ultérieurement de manière incompatible avec ces finalités ;

adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités poursuivies ;

exactes et, si nécessaire, tenues à jour ;

conservées pendant une durée n’excédant pas celle nécessaire aux finalités poursuivies ;

traitées de façon à garantir une sécurité appropriée.

ARTICLE 4 — TRAITEMENTS MIS EN ŒUVRE DANS LE CADRE DU SITE

La simple consultation du Site ne requiert la communication d’aucune donnée à caractère personnel. Des données ne sont collectées que lorsque l’utilisateur renseigne le formulaire de contact, adresse spontanément un message à la société, ou consent au dépôt de traceurs de mesure d’audience.

Les traitements correspondants sont décrits ci-après, avec pour chacun sa finalité, sa base légale, les catégories de données traitées, les personnes concernées et la durée de conservation applicable.

4.1 — Demandes d’information et de devis adressées par le formulaire de contact

Ce traitement a pour finalité de répondre aux demandes d’information adressées par l’intermédiaire du Site et, le cas échéant, d’établir une proposition ou un devis. Il repose sur l’exécution de mesures précontractuelles prises à la demande de la personne concernée, au sens de l’article 6.1.b du RGPD. Sont traitées les données d’identité et de contact renseignées dans le formulaire, le contenu du message ainsi que les éléments relatifs au projet que l’utilisateur choisit de communiquer. Les personnes concernées sont les visiteurs du Site ayant adressé une demande. Ces données sont conservées trois ans à compter du dernier contact demeuré sans suite ; lorsque la demande donne lieu à la conclusion d’un contrat, elles relèvent à compter de cette date des traitements décrits aux conditions générales de prestations de services.

4.2 — Mesure d’audience du Site

Ce traitement a pour finalité l’établissement de statistiques de fréquentation et l’amélioration du Site. Il repose sur le consentement de l’utilisateur, au sens de l’article 6.1.a du RGPD. Sont traitées les données de navigation, l’adresse IP, les pages consultées ainsi que la date et l’heure de la consultation. Les personnes concernées sont les visiteurs du Site. Les traceurs correspondants ont une durée de vie maximale de treize mois et les données statistiques qui en sont issues sont conservées vingt-cinq mois au plus.

4.3 — Gestion des demandes d’exercice des droits

Ce traitement a pour finalité la réception, l’instruction et le suivi des demandes adressées à la société au titre des droits mentionnés à l’article 10. Il repose sur le respect d’une obligation légale, au sens de l’article 6.1.c du RGPD. Sont traitées les données d’identité et de contact du demandeur ainsi que l’objet de sa demande. Les personnes concernées sont les auteurs de ces demandes. Ces données sont conservées un an à compter de la clôture de la demande, porté à trois ans lorsque celle-ci porte sur une opposition à la prospection.

La société ne collecte par l’intermédiaire du Site aucune donnée relevant des catégories particulières mentionnées à l’article 9 du RGPD. Les utilisateurs sont invités à ne pas lui en communiquer par l’intermédiaire du formulaire de contact.

ARTICLE 5 — ORIGINE DES DONNÉES ET CARACTÈRE DE LEUR FOURNITURE

Les données traitées dans le cadre du Site sont collectées directement auprès de la personne concernée, qui les renseigne elle-même. La société ne procède à aucune collecte de données auprès de tiers ni à aucun enrichissement de fichier par l’intermédiaire du Site.

La fourniture des données signalées comme obligatoires dans le formulaire de contact conditionne le traitement de la demande : à défaut, la société se trouve dans l’impossibilité d’y répondre. La fourniture des autres données est facultative et son absence est sans conséquence sur le traitement de la demande.

ARTICLE 6 — DESTINATAIRES ET SOUS-TRAITANTS

Les données collectées par l’intermédiaire du Site sont destinées aux personnes habilitées au sein de la société, dans la limite de leurs attributions. Elles peuvent également être communiquées aux catégories de destinataires suivantes :

les prestataires techniques agissant en qualité de sous-traitants : hébergeur du Site, fournisseur de messagerie et d’outils bureautiques, prestataire de sauvegarde, outil de mesure d’audience ;

les conseils de la société, lorsque la communication est nécessaire à l’établissement, à l’exercice ou à la défense d’un droit ;

les autorités administratives ou judiciaires, sur demande fondée sur un texte.

Chaque sous-traitant intervient sur instruction documentée de la société, dans le cadre d’un contrat conforme à l’article 28 du RGPD présentant des garanties suffisantes en matière de sécurité et de confidentialité.

Les données ne font l’objet d’aucune cession, location ni communication à des tiers à des fins commerciales.

En cas de cession de tout ou partie de l’activité de la société, les données pourraient être transmises à l’acquéreur, lequel serait tenu des mêmes obligations. Les personnes concernées en seraient informées préalablement et conserveraient l’intégralité de leurs droits, notamment leur droit d’opposition.

ARTICLE 7 — TRANSFERTS HORS DE L’UNION EUROPÉENNE

La société privilégie des prestataires hébergeant les données au sein de l’Union européenne ou de l’Espace économique européen.

Lorsqu’un transfert vers un pays tiers est nécessaire, il n’intervient que s’il est encadré par l’un des instruments prévus au chapitre V du RGPD : décision d’adéquation de la Commission européenne, clauses contractuelles types, ou toute autre garantie appropriée assortie, le cas échéant, de mesures supplémentaires.

Les prestataires concernés sont les suivants :

WIX hébergeur du Site,

MICROSOFT 365 messagerie et outils bureautiques, pour la correspondance et la gestion documentaire,

WIX outil de mesure d’audience, pour les statistiques de fréquentation.

Toute personne concernée peut obtenir communication d’une copie des garanties mises en place, sur demande adressée au point de contact mentionné à l’article 2.2.

ARTICLE 8 — DURÉES DE CONSERVATION ET ARCHIVAGE

Les durées de conservation sont précisées, traitement par traitement, à l’article 4.

À l’expiration de la durée de conservation en base active, les données sont, selon le cas :

supprimées de manière sécurisée ;

anonymisées de façon irréversible, auquel cas elles ne constituent plus des données à caractère personnel et peuvent être conservées à des fins statistiques ;

versées en archivage intermédiaire à accès restreint, lorsque leur conservation demeure nécessaire au respect d’une obligation légale ou à la défense d’un droit en justice, pour la seule durée de la prescription applicable.

Les données faisant l’objet d’une procédure précontentieuse ou contentieuse sont conservées jusqu’au terme de celle-ci et à l’expiration des voies de recours.

ARTICLE 9 — SÉCURITÉ ET VIOLATIONS DE DONNÉES

9.1 — Mesures de sécurité

Conformément à l’article 32 du RGPD, la société met en œuvre les mesures techniques et organisationnelles appropriées au regard des risques, notamment :

la limitation des accès aux seules personnes habilitées, au moyen d’identifiants individuels et de mots de passe robustes ;

le chiffrement des échanges avec le Site et la sécurisation des postes de travail ;

la réalisation de sauvegardes régulières et la vérification périodique de leur restauration ;

la mise à jour des logiciels et des dispositifs de protection ;

la sensibilisation des collaborateurs à la protection des données et à la confidentialité.

Ces mesures constituent une obligation de moyens, appréciée au regard de l’état des connaissances, des coûts de mise en œuvre et de la nature des données traitées.

9.2 — Violations de données

En cas de violation de données à caractère personnel susceptible d’engendrer un risque pour les droits et libertés des personnes, la société la notifie à la Commission nationale de l’informatique et des libertés dans les meilleurs délais et, si possible, dans les soixante-douze heures après en avoir pris connaissance, conformément à l’article 33 du RGPD.

Lorsque la violation est susceptible d’engendrer un risque élevé, les personnes concernées en sont informées individuellement dans les meilleurs délais, dans les conditions prévues à l’article 34 du RGPD.

La société tient un registre interne des violations, quelles qu’en soient les conséquences.

ARTICLE 10 — DROITS DES PERSONNES CONCERNÉES

10.1 — Étendue des droits

Toute personne concernée dispose des droits suivants :

Droit d’accès (article 15 du RGPD) : obtenir la confirmation qu’un traitement portant sur ses données est mis en œuvre et en recevoir une copie ;

Droit de rectification (article 16 du RGPD) : faire corriger ou compléter des données inexactes ou incomplètes ;

Droit à l’effacement (article 17 du RGPD) : obtenir la suppression de ses données, dans les limites précisées à l’article 10.3 ;

Droit à la limitation du traitement (article 18 du RGPD) : obtenir le gel du traitement dans les hypothèses prévues par ce texte ;

Droit à la portabilité (article 20 du RGPD) : recevoir les données qu’elle a fournies dans un format structuré, couramment utilisé et lisible par machine, lorsque le traitement repose sur le consentement ou sur un contrat et qu’il est automatisé ;

Droit d’opposition (article 21 du RGPD) : s’opposer à un traitement fondé sur l’intérêt légitime pour des raisons tenant à sa situation particulière, et sans avoir à se justifier en matière de prospection ;

Droit de retirer son consentement (article 7.3 du RGPD) : retirer à tout moment un consentement précédemment donné, sans que ce retrait remette en cause la licéité du traitement effectué auparavant ;

Droit de définir des directives post-mortem (article 85 de la loi n° 78-17 du 6 janvier 1978 modifiée) : définir des directives relatives à la conservation, à l’effacement et à la communication de ses données après son décès.

10.2 — Modalités d’exercice

Ces droits s’exercent auprès du point de contact mentionné à l’article 2.2, par voie électronique ou postale. La demande précise l’objet du droit exercé et comporte les éléments permettant d’y répondre.

La société répond dans un délai d’un mois à compter de la réception de la demande. Ce délai peut être prolongé de deux mois compte tenu de la complexité ou du nombre de demandes ; la personne concernée en est alors informée dans le mois suivant la réception, avec l’indication des motifs.

L’exercice de ces droits est gratuit. En cas de demandes manifestement infondées ou excessives, notamment par leur caractère répétitif, la société peut exiger le paiement de frais raisonnables ou refuser d’y donner suite, en motivant sa décision.

Conformément aux recommandations de la Commission nationale de l’informatique et des libertés, la production d’une pièce d’identité n’est pas systématiquement exigée. Elle n’est demandée qu’en cas de doute raisonnable sur l’identité du demandeur et se limite alors aux seules informations nécessaires à la vérification. La copie éventuellement transmise est supprimée dès la vérification effectuée.

10.3 — Limites

Le droit à l’effacement ne peut être exercé lorsque la conservation demeure nécessaire au respect d’une obligation légale ou à l’établissement, à l’exercice ou à la défense d’un droit en justice. Les données sont alors versées en archivage à accès restreint dans les conditions prévues à l’article 8.

10.4 — Réclamation auprès de l’autorité de contrôle

Toute personne concernée qui estime, après avoir contacté la société, que ses droits ne sont pas respectés, peut introduire une réclamation auprès de la Commission nationale de l’informatique et des libertés, 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07, par téléphone au 01 53 73 22 22, ou depuis le site www.cnil.fr.

ARTICLE 11 - ABSENCE DE DÉCISION AUTOMATISÉE ET DE PROFILAGE

La société ne met en œuvre aucune prise de décision fondée exclusivement sur un traitement automatisé, y compris le profilage, produisant des effets juridiques à l’égard des personnes concernées ou les affectant de manière significative, au sens de l’article 22 du RGPD.

Aucune donnée collectée par l’intermédiaire du Site n’est utilisée à des fins d’entraînement d’un système d’intelligence artificielle, ni versée dans un outil de cette nature.

ARTICLE 12 - COOKIES ET TRACEURS

Le régime des cookies et autres traceurs (conditions de recueil et de retrait du consentement, catégories de traceurs, finalités et durées) est défini à l’article 12 des conditions générales d’utilisation, auquel il est renvoyé. Le module de gestion des cookies est accessible en permanence depuis le pied de page du Site.

ARTICLE 13 - PROSPECTION COMMERCIALE

Lorsque la société adresse des communications à caractère promotionnel par voie électronique à une personne physique n’ayant pas la qualité de client, celles-ci sont subordonnées au recueil préalable de son consentement, conformément à l’article L.34-5 du Code des postes et des communications électroniques.

Chaque communication comporte un moyen simple et gratuit de s’opposer à toute sollicitation ultérieure. L’opposition peut également être exercée à tout moment auprès du point de contact mentionné à l’article 2.2.

ARTICLE 14 - REGISTRE DES TRAITEMENTS

La société tient un registre des activités de traitement conformément à l’article 30 du RGPD. Ce registre recense, pour chaque traitement, sa finalité, sa base légale, les catégories de données et de personnes concernées, les destinataires, les durées de conservation et les mesures de sécurité.

Il est tenu à la disposition de l’autorité de contrôle et mis à jour à chaque évolution des traitements.

ARTICLE 15 - MODIFICATION DE LA PRÉSENTE POLITIQUE

La présente politique peut être modifiée afin de tenir compte de l’évolution des traitements mis en œuvre, de la réglementation applicable ou des recommandations de l’autorité de contrôle. La version applicable est celle mise en ligne au jour de la consultation, la date de dernière mise à jour figurant en tête du document.

En cas de modification substantielle affectant un traitement fondé sur le consentement, les personnes concernées en sont informées individuellement et leur consentement est, le cas échéant, à nouveau recueilli.