Politique de confidentialité spécifique applicable aux traitements réalisés dans le cadre des alertes professionnelles Afin de bénéficier d’une information complète sur les caractéristiques des traitements que nous réalisons, ainsi que sur vos droits et les modalités de leur exercice, nous vous invitons également à prendre connaissance de la Politique générale de protection des données personnelles de Volta Medical.
Cette Politique de confidentialité a pour finalité de vous informer des traitements de données à caractère personnel mis en œuvre dans le cadre du Dispositif d’Alertes Professionnelles du groupe Volta Medical comprenant Volta Medical France (Substrate HD SAS) et Volta Medical Inc. (ci-après « Volta Medical US »).
Ainsi, lorsque le signalement concerne Volta Medical US, ses collaborateurs et/ou des personnes externes en relation avec cette entité, Volta Medical US et Volta Medical France interviennent en qualité de Responsables de Traitement conjoints.
Les données à caractère personnel qui peuvent être traitées dans le cadre des alertes professionnelles sont les suivantes :
Données d’identification - Nom, prénom, fonction, qualité, identifiants, adresse de courriel nominative, téléphone. Données particulières : la voix et si elles sont fournies par l’auteur du signalement ou recueillies au cours de la procédure d’investigation, l’origine ethnique ou prétendument raciale, les opinions politiques, convictions religieuses ou philosophiques ou appartenance syndicale, données concernant la santé ou données concernant la vie sexuelle ou l'orientation sexuelle, infractions ou les soupçons d’infraction. Données techniques/Données de connexion : journaux, identifiants de connexion, horodatage. Informations d'ordre économique et financier : Revenus, situation financière, données bancaires, situation fiscale. Internet : Informations relatives au comportement de la personne mise en cause notamment des Données de navigation, des métadonnées. Autres catégories de données : Les faits objets du signalement et les documents fournis tendant à corroborer les faits et qui peuvent contenir des données à caractère personnel (tels que notes de frais, emails, etc.), qualification juridique des faits.
En qualité de responsable de traitement, ou le cas échéant de Responsable de traitement conjoint, nous sommes susceptibles de traiter vos données pour remplir la finalité principale suivante : recueillir et gérer les alertes professionnelles aux fins d’y remédier et de préserver les droits du groupe Volta Medical.Finalité n°1 : Recevoir, traiter et conserver tout signalement qui révèle ou signale une violation de règles juridiques (qu’elles soient françaises, européennes, internationales ou étrangères),Finalité n°2 : Recevoir, traiter et conserver tout signalement qui révèle ou signale une violation des règles éthiques du groupe Volta Medical,Finalité n°3 : Effectuer les vérifications, enquêtes et analyses nécessaires,Finalité n°4 : Définir et mettre en œuvre les suites à donner aux signalements, y compris les actions appropriées à l’encontre des personnes concernées,Finalité n°5 : Assurer la protection des personnes concernées, Finalité n°6 : Exercer ou défendre les droits du groupe Volta Medical en justice,FInalité n°7 : Nous conformer à nos obligations en matière d’informations aux autorités compétentes (et leurs intermédiaires) y compris étrangères le cas échéant,FInalité n°8 : Réaliser des audits internes et/ou externes des processus de conformité du groupe Volta Medical,Finalité n°9 : Assurer les accès et la traçabilité des actions des parties prenantes dans le cadre du dispositif d’alertes professionnelles,Finalité n°10 : Désidentifier ou anonymiser les données à caractère personnel et élaborer des statistiques, dans le respect de la réglementation applicable.
La base légale du traitement dépend de la finalité du traitement envisagé.
La base légale des traitements effectués (i) pour recevoir, traiter et conserver tout signalement qui révèle ou signale une violation de règles juridiques, (ii) pour effectuer les vérifications, enquêtes et analyses en cas d’infraction ou suspicion d’infraction et (iii) pour protéger les personnes concernées et déclarer les faits aux autorités concernées, est le respect d’une obligation légale
La base légale des traitements effectués (i) pour recevoir, traiter et conserver tout signalement qui révèle ou signale une violation des règles éthiques du groupe Volta Medical, (ii) pour effectuer les vérifications, enquêtes et analyses en cas de manquements éthique, (iii) pour exercer ou défendre des droits en justice, pour réaliser des audits internes et/ou externes des processus de conformité, (iv) pour assurer les accès et la traçabilité des actions des parties prenantes dans le dispositif d’alertes professionnelles, (v) pour anonymiser, désidentifier et établir des statistiques, est l’intérêt légitime du responsable de traitement sans toutefois porter atteinte aux intérêts, droits et libertés fondamentales des personnes concernées.
Lorsque nous traitons des données personnelles sensibles au sens du RGPD (lorsque nous traitons par exemple des données qui révèlent l'origine ethnique ou prétendument raciale, les opinions politiques, les convictions religieuses ou philosophiques ou l'appartenance syndicale d’une personne, les données génétiques, les données concernant la santé ou les données concernant la vie sexuelle ou l'orientation sexuelle d'une personne), nous le faisons sur la base de l’intérêt public important. Selon le stade de la procédure liée au signalement concerné, elles peuvent également être traitées sur le fondement de l’exception prévue à l’article 9.2.f du RGPD (traitement nécessaire à la constatation, à l'exercice ou à la défense d'un droit en justice).
Pour les finalités consistant à recevoir, traiter et conserver les signalements qui révèlent ou signalent une violation de règles juridiques ou un manquement éthique :
Lorsqu’ils donnent lieu ensuite à un classement sans suite, les données sont conservées pendant la durée nécessaire à l’évaluation et au traitement du signalement. Elles sont ensuite désidentifiées et conservées pendant 6 ans et demeurent accessibles à un nombre limité de personnes habilitées. Au terme de cette durée, les données sont supprimées. Lorsque le signalement donne lieu à des actions à l’encontre de l’auteur présumé de violations, les données sont conservées pendant la durée nécessaire à la mise en œuvre de ces actions. Elles sont ensuite conservées jusqu’à épuisement des voies de recours ou jusqu'à ce qu'une décision définitive soit rendue. Elles sont ensuite désidentifiées et supprimées après 6 ans, durée pendant laquelle elles sont accessibles à un nombre limité de personnes habilitées. Cependant, les données peuvent ne pas être désidentifiées et être archivées en cas a) d’obligation légale et/ou réglementaire, b) pour protéger l’auteur du signalement de représailles et ce, jusqu’à ce que le risque soit définitivement écarté, c) pour s’assurer que les conclusions de l'enquête soient mises à la disposition des autorités publiques à leur demande le cas échéant. Pour la finalité consistant à assurer la protection des personnes en application de la réglementation applicable, les données sont conservées pendant la durée nécessaire à la mise en œuvre de leur protection. Elles sont ensuite conservées pendant 6 ans (durée de la prescription) et demeurent accessibles à un nombre limité de personnes habilitées. Elles sont ensuite désidentifiées avec un accès restreint ou anonymisées.
Dans le cadre de l’exercice ou de la défense de droits en justice (y compris en cas de transmission à des autorités étrangères), les données sont conservées pendant toute la durée nécessaire à la préparation, au déroulement et au suivi de la procédure (y compris dans le cadre d’une action impliquant une autorité étrangère. Elles sont ensuite conservées jusqu’à ce que toutes les voies de recours aient été épuisées, ou qu’une décision définitive ait été rendue.
Pour la finalité consistant à réaliser des audits internes et/ou externes des processus de conformité du groupe Volta Medical, les données sont conservées le temps de la durée des audits (il est précisé que les données des signalements et des alertes ne sont pas traitées dans le cadre de cette finalité). Au terme des audits, les données sont conservées pendant 6 ans avec accès à un nombre limité de personnes.
Pour la finalité consistant à assurer les accès et la traçabilité des actions des parties prenantes dans le cadre du dispositif d’alertes professionnelles, les données sont conservées pendant toute la durée de traitement des signalements puis des alertes jusqu’au rapport final. Elles sont ensuite conservées pendant 6 ans et demeurent accessibles à un nombre limité de personnes habilitées. Au terme de cette durée, les données sont supprimées.
Afin d’encadrer, de faciliter et de sécuriser l’émission des signalements, Volta Medical s’appuie sur le logiciel « EQS Integrity Line » (ci-après la « Plateforme »), édité par la société EQS Group. Cette Plateforme permet d’effectuer des signalements relatifs aux activités du groupe Volta Medical, tout en garantissant la confidentialité des informations transmises. Dans ce cadre, la société EQS Group intervient en qualité de sous-traitant au sens de la réglementation applicable en matière de protection des données à caractère personnel et est donc destinataire des données.
Par ailleurs, selon le stade du traitement du signalement, les destinataires sont a) les personnes en charge de l’évaluation du traitement au sein de Volta Medical France et, si le signalement est admis, b) les personnes habilitées au sein de l’entité concernée (notamment celles en charge de l’enquête, de sa supervision, les dirigeants des entités pour les cas sensibles, les personnels en charge de la mise en place de la protection des lanceurs d’alerte, les personnels en charge de la mise en œuvre des mesures disciplinaires ou des actions juridiques/judiciaires) et éventuellement c) les avocats des entités concernées, d) leurs experts et prestataires Forensic, et e) les autorités judiciaires ou administratives compétentes (y compris étrangères le cas échéant).
Les données étant chiffrées en transit et au repos au sein de la Plateforme EQS, les personnels de la société EQS groupe ont uniquement accès aux données contenues sur la Plateforme EQS (y compris les données contenues dans les signalements) dans un mode qui les rend incompréhensible pour eux.
Si les faits signalés sont relatifs aux activités de Volta Medical US et que le signalement est admis, l’auteur du signalement doit accepter que son identité et les faits rapportés soient portés à la connaissance de Volta Medical US, à défaut Volta Medical Us n’en sera pas destinataire.
Outre les destinataires spécifiques désignés dans la présente « Politique de confidentialité applicable aux traitements réalisés dans le cadre des alertes professionnelles », en cas d’exercice ou de défense de ses droits en justice par une ou plusieurs entités du groupe Volta Medical, d’autres personnes/entités peuvent être destinataires des données, elles sont listées dans la Politique de Confidentialité applicable à la gestion des contentieux.
Le fait d’effectuer un signalement est basé sur le volontariat. Cependant, le fait de ne pas signaler des manquements au code de conduite ou des violations de la loi peut être constitutif dans certains cas d’une faute professionnelle pour laquelle des sanctions disciplinaires sont possibles pour les personnels de Volta et d’inexécutions contractuelles pour les sociétés en contrat avec une des entités du Groupe.
L’utilisation de la plateforme de signalement EQS entraine la collecte automatique et donc obligatoire de certaines données, à savoir : les données de logs et de journalisation générées automatiquement par la plateforme de signalement EQS® (en particulier lors du dépôt ou du suivi d’une alerte).
Par ailleurs, le fait qu’un signalement ait été effectué, et ce, quel que soit le moyen utilisé pour effectuer le signalement, rend obligatoire la fourniture d’informations complémentaires propres à établir ou non un manquement au Code de Conduite (par exemple les informations relatives au comportement ou à l’activité professionnelle de la personne mise en cause, des données de navigation, des métadonnées, etc.). La nature des données collectées dans le cadre des signalements dépend du contenu et de la nature de l’alerte, de sorte qu’une liste exhaustive ne peut être établie par avance.
De manière générale, les données personnelles sont collectées directement auprès de la personne à l’origine du signalement, ou auprès de toute personne susceptible d’être impliquée dans le cadre de l’alerte.
Toutefois, et lorsque cela est nécessaire au traitement ou à la vérification du signalement, certaines données peuvent être collectées indirectement auprès de tiers autorisés, tels que des administrations, des organismes publics, des prestataires ou d’autres entités partenaires, et ce, uniquement lorsque cette collecte est autorisée par la loi. Compte tenu de la diversité possible des situations et des alertes, il n’est pas possible d’établir de manière exhaustive l’ensemble des sources de collecte susceptibles d’être mobilisées. Celles‑ci dépendront de la nature de l’alerte, de son contenu et des besoins strictement nécessaires à son instruction.
Vos données personnelles ne sont pas prévues d’être traitées en dehors de l’Union Européenne. Cependant, pour les signalements impliquant Volta Medical US, un transfert hors Union Européenne peut avoir lieu. Celui-ci est encadré par des garanties appropriées telles que prévues à l’article 46 du RGPD. De plus, dans le cadre d’une éventuelle obligation légale ou réglementaire de déclaration à des autorités étrangères, les éventuels transferts sont fondés sur l’article 49.1.e du RGPD (transfert nécessaire à la constatation, à l'exercice ou à la défense de droits en justice).
Aucune procédure de décision automatisée (y compris le profilage) qui produirait des effets juridiques à l’égard des personnes concernées ou qui serait susceptible de les affecter de manière significative de façon similaire n’est mis en œuvre.
Nous pouvons modifier le contenu de cette Politique à tout moment suivant l’évolution de nos activités et/ou afin de nous conformer à nos obligations légales notamment.
