Politique de traitement des données personnelles

APPLICABLE AU 01/05/2023

1. Préambule

L’objectif du Service WEDOXA (ci-après le « Service ») est de fournir aux clients professionnels (ci-après les « Etablissements ») de la société WESATIS intervenant dans le domaine de la santé (établissements de santé, EHPAD, etc.), une plateforme accessible sur le réseau Internet leur permettant :

- de collecter et de traiter des avis de la part de leurs résidents, patients ou clients (ci-après les « Clients ») ;

- de collecter et de traiter des avis de la part des salariés des Etablissements (ci-après les « Salariés ») ;

- de restituer aux Etablissements les avis des Clients et/ou des Salariés ;

- de restituer auprès de leurs instances règlementaires (CVS, CDU, etc.) (ci-après les « Instances Réglementaires ») les avis des Clients et/ou des Salariés ;

- de publier des avis anonymisés sur les réseaux sociaux, moteurs de recherche et annuaires spécialisés ;

- de collecter, modérer, analyser des avis de leurs Clients et/ou de leurs Salariés publiés sur des plateformes tierces (Papy Happy, Indeed, Glassdoor, etc.) (ci-après les « Plateformes Tierces ») ;

- et de gérer leur présence sur les réseaux sociaux, moteurs de recherche et annuaires spécialisés.

Dans le cadre du Service, la société WESATIS est amenée à traiter des données personnelles (ci-après les « Données personnelles ») au nom et pour le compte des Etablissements, en qualité de sous-traitant au sens du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 (ci-après le « RGPD »).

La présente politique de traitement des données (ci-après la « Politique de traitement ») s’applique aux traitements de Données personnelles réalisés par la société WESATIS sur la base des instructions écrites des Etablissements.

2. Données à caractère personnel traitées

Pour le bon fonctionnement du Service, WESATIS est amenée à traiter tout ou partie des données à caractère personnel suivantes :

• Nom (aidant, résident, patient, visiteur, salarié)

• Prénom (aidant, résident, patient, visiteur, salarié)

• Civilité

• Numéros de téléphone mobile

• Adresse email

• Numéros uniques patients – résidents - salariés

• Lien de parenté avec le résident

• Langue

• Dates de séjour dans l’établissement

• Type de séjour (hospitalisation...)

• Etablissement fréquenté

• Preuve de l’expérience vécue par le Client (sollicitée dans le cadre des opérations aléatoires de contrôle des avis opérées par WESATIS).

Ces Données personnelles sont nécessaires à :

- la collecte des avis des Clients et/ou des Salariés sur les Etablissements concernés ;

- la récupération des avis des Clients et/ou des Salariés sur les Etablissements concernés auprès de Plateformes Tierces ;

- la vérification auprès des Clients et/ou des Salariés de la réalité des avis collectés ;

- l’identification et la suppression d’éventuels faux avis ;

- la restitution des avis aux Etablissements concernés et à leurs Instances Réglementaires ;

- la publication d’avis anonymisés sur les réseaux sociaux et sur Internet, sous forme anonymisée.

3. Finalités du traitement

Les Données personnelles et informations susvisées sont traitées pour les finalités suivantes :

• fournir aux Etablissements ainsi que, le cas échéant, à leurs Instances Réglementaires, un outil permettant de mesurer la satisfaction des Clients et/ou des Salariés ;

• permettre aux Clients et/ou aux Salariés de partager leur expérience avec les Etablissements ainsi que, le cas échéant, leurs Instances Réglementaires ;

• permettre aux Etablissements de publier des avis en ligne sous forme synthétique et anonymisée, afin de communiquer sur la satisfaction ressentie par leurs Clients et/ou leurs Salariés ;

• réaliser des statistiques anonymes sur la satisfaction des Clients et/ou des Salariés afin de permettre aux Etablissements ainsi que, le cas échéant, à leurs Instances Réglementaires, de suivre son évolution et d’améliorer les services proposés ;

• procéder aux opérations de vérification et de contrôle requises par la norme ISO 20488.

4. Licéité du traitement des Données personnelles

La collecte des Données personnelles est opérée directement par les Etablissements concernés auprès de leurs Clients et Salariés.

Il appartient aux Etablissements de s’assurer de la licéité du traitement opéré, qu’il soit fondé sur leur intérêt légitime ou sur le consentement exprès des Clients ou des Salariés.

5. Exercice des droits des Clients et des Salariés

Les Clients et les Salariés peuvent exercer directement auprès des Etablissements concernés les droits suivants qui leur sont consentis :

• Droit d'accès : tout Client ou Salarié peut obtenir la confirmation que des données à caractère personnel le concernant sont ou ne sont pas traitées et, lorsqu'elles le sont, accéder à tout moment aux données à caractère personnel le concernant. En cas de demande d’exercice du droit d’accès auprès d’un Etablissement, WESATIS s’engage à répondre à l’Etablissement dans un délai maximum de trente (30) jours.

• Droit de rectification : tout Client ou Salarié peut demander la rectification de données à caractère personnel le concernant qui seraient inexactes, erronées ou incomplètes. En cas de demande d’exercice du droit de rectification auprès d’un Etablissement, WESATIS s’engage à répondre à l’Etablissement dans un délai maximum de trente (30) jours.

• Droit à l'effacement des données à caractère personnel et droit à la limitation de leur traitement : tout Client ou Salarié peut solliciter l'effacement des données à caractère personnel le concernant ou la limitation du traitement de ces données. En cas de demande d’exercice du droit à l'effacement des données à caractère personnel ou à la limitation du traitement de ces données auprès d’un Etablissement, WESATIS s’engage à répondre à l’Etablissement dans un délai maximum de trente (30) jours.

• Droit de retirer le consentement au traitement des données personnelles : tout Client ou Salarié peut retirer son consentement au traitement de ses données à caractère personnel à tout moment. En cas de demande d’exercice du droit de retrait du consentement auprès d’un Etablissement, WESATIS s’engage à répondre à l’Etablissement dans un délai maximum de trente (30) jours.

• Droit à la portabilité des données : tout Client ou Salarié peut demander à ce que les données à caractère personnel le concernant soient transférées à un autre responsable du traitement. En cas d’exercice de ce droit auprès d’un Etablissement, WESATIS s’engage à répondre à l’Etablissement dans un délai maximum de trente (30) jours et à fournir les données à caractère personnel dans le format CSV.

• Droit d’opposition : tout Client ou Salarié peut s’opposer à tout moment, pour des raisons tenant à sa situation particulière, au traitement des données personnelles le concernant. En cas d’exercice du droit d’opposition auprès d’un Etablissement, WESATIS s’engage à répondre à l’Etablissement dans un délai maximum de trente (30) jours.

• Droit de définir des directives : tout Client ou Salarié peut transmettre à l’Etablissement des directives relatives à la conservation, à l'effacement et à la communication de ses données à caractère personnel après son décès. Ces directives sont communiquées à WESATIS par les Etablissements concernés.

Conformément au RGPD, les Clients et Salariés peuvent en outre informer directement WESATIS de l’exercice de leurs droits, à l’adresse de courrier électronique suivante : moderateur@wedoxa.com. Les demandes formulées par les Clients ou Salariés directement auprès de WESATIS sont retransmises aux Etablissements concernés.

En cas de difficulté en lien avec la gestion de leurs Données personnelles, les Clients et Salariés peuvent également introduire une réclamation auprès de la Commission nationale de l’informatique et des libertés (CNIL).

6. Durée de conservation des données à caractère personnel

Les données à caractère personnel des Clients et des Salariés sont conservées par WESATIS pendant une durée de vingt-quatre (24) mois à compter de leur transmission. Elles font ensuite l’objet d’une anonymisation irréversible et sont conservées uniquement à des fins statistiques.

En cas de résiliation ou d’expiration du contrat conclu avec un Etablissement, les Données personnelles transmises à WESATIS par ce dernier sont supprimées des bases de données actives dans un délai de trente (30) jours.

A toute fin utile, il est précisé que WESATIS se réserve le droit de procéder à l’archivage des Données personnelles qu’elle a pu être amenée à traiter en exécution des présentes, pour la durée de prescription des actions en responsabilité. Dans ce cas, les données archivées seront stockées sur un serveur sécurisé auquel seul le Président de WESATIS pourra accéder, et ce, exclusivement dans le cadre d’un contentieux dont la résolution nécessite la communication judiciaire desdites données.

7. Sécurité des données à caractère personnel

Le Service constitue un système de traitement automatisé de données. Tout accès frauduleux à ce dernier est interdit et sanctionné pénalement, tout comme le sont le maintien, l’altération et l’entrave à un système de traitement automatisé de données, ainsi que l’introduction, la suppression ou la modification frauduleuses de données.

WESATIS fait ses meilleurs efforts, conformément aux règles de l’art, pour sécuriser le Service et l’accès aux Données personnelles eu égard à la complexité de l’Internet. En raison des caractéristiques et des contraintes du réseau Internet, les données à caractère personnel ne peuvent pas être protégées contre toute forme d’intrusion, y compris par voie de piratage.

Afin d'assurer la confidentialité des Données personnelles, l'accès au Service nécessite une authentification préalable au moyen d’un identifiant et d’un mot de passe.

Lors de l’authentification et pour l’accès au Service, un protocole de liaison sécurisé est utilisé (protocole du type SSL confirmé par la présence du terme « https » dans l’adresse internet et affichage d’un cadenas).

WESATIS s’engage à notifier les violations de Données personnelles lorsqu’elles sont susceptibles d'engendrer un risque élevé pour les droits et libertés d'une personne physique, directement auprès de l’Etablissement, et au plus tard dans un délai de quarante-huit (48) heures après en avoir eu connaissance.

Il appartient à l’Etablissement concerné, le cas échéant, de notifier les violations de Données personnelles constatées :

- aux Clients et/ou Salariés concernés, dans les meilleurs délais,

- et à la CNIL, dans les meilleurs délais, et au plus tard dans les soixante-douze (72) heures.

8. Hébergement des données à caractère personnel

Les données à caractère personnel sont hébergées exclusivement au sein de l’Union Européenne auprès de :

- Iguane Solutions, 17, rue de Surène - 75008 Paris – France (SIRET : 43226916500051), dans un data center (DC3) sécurisé, situé en France, à Vitry-sur-Seine ;

- Google Cloud, Gordon House, Barrow Street, Dublin 4, Ireland (Registered Company no. 368047 - SIRET : 79976916100016), dans des data centers situés en Union Européenne.

9. Transfert des données à caractère personnel

Les Données personnelles traitées ne sont transférées à des tiers autres que les sous-traitants de WESATIS que sous forme de statistiques totalement et irréversiblement anonymes.

Les Clients et Salariés ont la possibilité de recevoir à leur demande des informations sur le traitement des données qui les concernent en respectant la procédure suivante : demande écrite et signée par le Client ou le Salarié à laquelle est jointe la photocopie d’une pièce d’identité envoyée par courrier postal à l’Etablissement concerné.

Les Données personnelles ne font pas l’objet d’un transfert hors de l’Union Européenne par WESATIS.

10. Sous-traitants

L’utilisation du Service nécessite que les Données personnelles traitées soient transmises à des sous-traitants.

Les données à caractère personnel ne font l'objet d'opérations de traitement par un sous-traitant ou une personne agissant sous l'autorité du sous-traitant, que sur instruction de WESATIS et conformément aux instructions des Etablissements agissant en qualité de responsables du traitement.

Les sous-traitants auxquels WESATIS transmet des données à caractère personnel sont les suivants :

Dénomination

Adresse

Rôle du sous-traitant

WizVille

51, rue de Chabrol - 75010 Paris - France

(751 226 606 R.C.S. PARIS)

Editeur de la plateforme de collecte d’avis clients utilisée par le Service

Google Cloud

Gordon House, Barrow Street, Dublin 4, Ireland (Registered Company no. 368047 - SIRET : 79976916100016)

Hébergeur de fichiers bureautiques, messagerie

Matomo

https://matomo.org/

Editeur d’une solution de suivi analytique des utilisateurs

11. Délégué à la Protection des Données (DPO)

WESATIS a désigné en qualité de Délégué à la Protection des Données (DPO) :

- le cabinet PARADOX AVOCATS, société à responsabilité limitée au capital de 300.000 €, dont le siège social est situé 5, rue Lalo – 75116 Paris, immatriculée au registre du commerce et des sociétés sous le numéro unique d’identification 821 811 700 R.C.S. PARIS.

Le Délégué à la Protection des Données peut être contacté à l’adresse suivante : contact@paradox-avocats.com

12. Informations de contact

Pour toute question relative à la présente Politique de confidentialité ou au traitement des Données personnelles effectué par WESATIS au moyen du Service, ou pour exercer les droits conférés par le RGPD, le Client ou le Salarié peut s’adresser directement à WESATIS aux coordonnées suivantes :

- par courrier électronique : moderateur@wedoxa.com

- par courrier postal : WESATIS, 9, rue Glais Bizoin – 22000 Saint-Brieuc – 832 551 345 R.C.S. SAINT-BRIEUC.