Politique de confidentialité

Mise à jour le 6 juin 2022

Préambule

Drones for Yachts (DY) a adopté la présente politique pour la protection de la confidentialité des Données Personnelles (ci-après « Politique de Confidentialité ») de ses Clients afin d’établir et de maintenir un niveau satisfaisant de confidentialité des Données Personnelles en ce qui concerne leur collecte, traitement, divulgation et transfert.

I. Définitions

« Client » désigne(nt) la ou les Partie(s) bénéficiaire(s) des Services.

« Données Personnelles » désignent toute information liée à une Personne Concernée identifiée ou identifiable.

« Données Personnelles Sensibles » désignent les Données Personnelles qui : (i) révèlent l’origine raciale ou ethnique, l’opinion politique, la croyance religieuse ou philosophique, les antécédents judiciaires, ou l’appartenance à un groupe syndical, les données génétiques, les données biométriques, les données liées à la santé ou à l’orientation sexuelle d’une Personne Concernée ; ou (ii) n’appartenant à aucune des catégories décrites au point (i), mais étant réglementées par le droit national ou relevant de la compétence du pays à partir duquel elles ont été exportées conformément à ce type de Données Personnelles.

« EEE » désigne l’Espace Économique Européen.

« DY » désigne Drones for Yachts SAS, une société par actions simplifiée de droit français, dont le siège social se situe 34 rue de Laborde – 75008 Paris.

« Personne Concernée » désigne toute personne physique identifiée ou identifiable ; une personne identifiable est une personne qui peut être identifiée, directement ou indirectement, notamment par référence à un numéro d’identification ou par un ou plusieurs éléments spécifiques, propres à son identité physique, physiologique, psychique, économique, culturelle ou sociale.

« Personnel de DY » désigne tous les partenaires, directeurs, agents, salariés, entrepreneurs individuels et autres membres du personnel de DY.

« Règlementation applicable en matière de protection des Données Personnelles » désigne la législation française sur la protection des données n° 78-17 du 6 janvier 1978 et ses modifications et ajouts successifs et le Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 Avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, abrogeant la directive 95/46/CE, ainsi que toutes les autres lois et réglementations y afférant, ou ayant un impact sur le traitement des Données Personnelles, le cas échéant.

« Responsable du traitement » désigne la personne physique ou morale, l’autorité publique, l’agence ou tout autre organisme, qui détermine, individuellement ou conjointement avec d’autres, les finalités et les moyens du traitement des Données Personnelles.

« Services » désignent les services devant être fournis par DY à ses Clients.

« Sous-traitant » désigne une personne physique ou morale chargée de traiter des Données Personnelles pour le compte du Responsable de traitement, conformément à des instructions spécifiques et écrites de ce dernier.

« traitement », les « traitements », « traiter », « traité », « traitées » désignent toute opération ou ensemble d’opérations effectuée(s) sur des Données Personnelles ou des ensembles de Données Personnelles, de manière automatique ou non, telles que la collecte, l’enregistrement, l’organisation, la structuration, la conservation, l’adaptation, la modification, l’extraction, la consultation, l’utilisation, la communication par transmission, la diffusion ou toute autre forme de mise à disposition, le rapprochement ou l’interconnexion, le blocage, la limitation, l’effacement ou la destruction.

II. Champ d’application

Cette Politique de Confidentialité s’applique uniquement aux Données Personnelles traitées par ou pour le compte de DY.

DY traite les Données Personnelles de façon loyale et légale, dans le respect de la Réglementation applicable en matière de protection des Données Personnelles.

La présente Politique de Confidentialité ne doit pas entrer en conflit avec la Règlementation applicable en matière de protection des Données Personnelles qui s’applique dans les pays dans lesquels DY exerce ses activités et doit être interprétée de la façon suivante, dans la mesure du possible.

En cas de conflit entre cette Politique de Confidentialité et la Réglementation applicable en matière de protection des Données Personnelles, les dispositions prévues par la Réglementation applicable en matière de protection des Données Personnelles prévaudront.

III. Les principes de traitement de Données Personnelles fixés par DY en tant que Responsable du traitement

DY agit en tant que « Responsable du traitement » lorsqu’il détermine les finalités et les moyens de traitement des Données Personnelles. Ainsi, DY agit en tant que Responsable de traitement en ce qui concerne (i) les données des Clients et prospects de DY traitées dans le cadre de la gestion de leur relation commerciale avec DY, ainsi que pour les informer de ses Services, (ii) les données sur les fournisseurs et les sous-traitants aux fins de la gestion de leur relation contractuelle avec DY.

Dans le cadre de l’exécution des Services, DY peut avoir accès à des documents de Clients susceptibles de contenir des Données Personnelles et/ou traiter des Données Personnelles ayant été préalablement collectées par son Client, directement ou indirectement, auprès des Personnes Concernées (telles que les salariés, clients et fournisseurs du Client).

Lorsque DY et le Client déterminent ensemble les finalités et les moyens de traitement des Données Personnelles dans le cadre de Services, DY et le Client pourront agir en qualité de « Responsables Conjoints » de traitement et devront définir précisément, dans la lettre de mission ou le contrat concerné, leurs responsabilités respectives. Sauf indication contraire, le Client sera chargé d’informer les Personnes Concernées du traitement de leurs Données Personnelles et de leurs droits, et agira en qualité d’interlocuteur direct avec eux.

Dans le cadre du traitement des Données Personnelles en qualité de Responsable de traitement ou Responsable Conjoint, DY et le Personnel de DY devront se conformer aux principes fondamentaux suivants :

1- Transparence

Lorsque DY collecte directement des Données Personnelles auprès de Personnes Concernées, DY devra fournir à ces Personnes Concernées des informations sur la manière dont DY traite leurs Données Personnelles, dans la mesure nécessaire pour garantir que le traitement est loyal et dispose d’une base légale. Dans les cas où les Clients de DY transfèrent des Données Personnelles à DY, DY ne sera pas tenue d’informer les Personnes Concernées du type de traitement des Données Personnelles effectué par DY en rapport avec les Services.

2- Principe de minimisation et exactitude des données

Lorsque DY agit en tant que Responsable du traitement, DY veille à ce que les Données Personnelles soient correctes et si nécessaire, mises à jour.

Les Données Personnelles que DY détient doivent être adéquates, pertinentes et non-excessives au regard des finalités pour lesquelles elles sont transférées et ne sont conservées que pour la durée nécessaire aux finalités du traitement.

Lorsque DY agit en tant que Responsable du traitement pour le compte d’un Client, DY met en place, à la demande du Client, des mesures raisonnables pour que les Données Personnelles soient mises à jour, corrigées, anonymisées ou supprimées (sous réserve de certaines exceptions limitées).

3- Bases légales du traitement

Conformément à la Règlementation applicable en matière de protection des Données Personnelles, le traitement des Données Personnelles doit être fondé sur une base légale.

La Règlementation applicable en matière de protection des Données Personnelles exige également que DY informe le Client de ces bases légales. Par conséquent, les traitements reposent sur l’une des bases légales suivantes :

Exécution d’un contrat : le traitement des Données Personnelles est nécessaire à l’exécution des obligations contractuelles de DY ;
Obligation légale : le traitement des Données Personnelles est nécessaire au respect d’une obligation légale telle que par exemple la tenue d’un registre dans le cadre des obligations fiscales de DY ou la fourniture d’informations à un organisme public ou à une autorité administrative ;
Intérêt légitime : le traitement repose sur l’intérêt légitime de DY, à moins que ne prévalent les intérêts, libertés ou droit fondamentaux de la personne dont sont traitées les Données Personnelles ;
Consentement exprès : dans certains cas, DY demandera une autorisation spécifique pour traiter certaines Données Personnelles et ne traitera ces Données Personnelles que si cette autorisation spécifique est octroyée. Ce consentement peut être retiré à tout moment en écrivant à privacy@dronesforyachts.com.

DY ne collecte des données “sensibles” uniquement lorsque les personnes concernées fournissent volontairement ces informations ou lorsque la loi ou les normes professionnelles exigent ou autorisent la collecte de ces informations.

4- Limitation des finalités

DY ne traitera les Données Personnelles qu’aux seules fins (i) prévues dans le contrat liant DY à son Client ou fournisseur ou dans toute notice d’information mise à la disposition des Personnes Concernées en lien avec DY ; (ii) conformément à la loi ; (iii) pour répondre aux intérêts légitimes de DY ; (iv) pour répondre à des motifs d’intérêt public ou (v) lorsque les Personnes Concernées y ont consenti.

Exemples d’intérêts légitimes susmentionnés :

Traitement dans le cadre d’une relation avec un Client ;
Traitement des données à caractère personnel à des fins de prospection, pour prévenir la fraude ou garantir la sécurité du réseau et des informations des systèmes informatiques ;
Traitement afin d’exercer les droits fondamentaux de DY à l’intérieur de l’Union Européenne, conformément aux articles 16 et 17 de la Charte des droits fondamentaux, notamment la liberté d’entreprendre et le droit de propriété ;
Traitement afin de rationaliser les ressources et services (par exemple DY peut choisir d’utiliser certaines plateformes informatiques offertes par des fournisseurs).

5- Qualité et proportionnalité des données

Les Données Personnelles doivent être conservées avec exactitude et le cas échéant, mises à jour. Les Données Personnelles détenues par DY doivent être appropriées, pertinentes et non excessives au regard des finalités du traitement en question, et ne peuvent être conservées que pour la durée nécessaire au traitement concerné.

DY applique les politiques relatives à la conservation de documents, conformément à la loi, aux exigences réglementaires et aux exigences liées à ses professions. Ces politiques sont applicables à tout type de document ou fichier, physique ou électronique. Après expiration de la période de conservation (de 7 à 10 ans), les documents ou fichiers sont supprimés de manière sécurisée, conformément aux normes en vigueur.

6- Sécurité et confidentialité

Toutes les précautions raisonnables doivent être prises pour protéger les Données Personnelles contre la destruction accidentelle ou illégale, la perte, modification, divulgation ou l’accès non autorisé. Ces précautions comprennent des mesures de sécurité techniques, physiques et organisationnelles, telles que les mesures de prévention contre l’accès non autorisé, en fonction du caractère sensible de l’information et du niveau de risque associé au traitement des Données Personnelles.

7- Droits des Personnes Concernées

Les Personnes Concernées pourront avoir accès à leurs Données Personnelles détenues par DY, dans la mesure où ces demandes (i) sont raisonnables et autorisées par la loi et (ii) ne sont pas incompatibles avec les obligations professionnelles de DY ou d’autres obligations de confidentialité.

DY consent à rectifier, modifier ou effacer les Données Personnelles sur demande, dans la mesure où elles sont inexactes ou utilisées de manière non-conforme à ces principes fondamentaux et dans la mesure où ces droits ne font l’objet d’aucune limitation autorisée par la Réglementation applicable.

Les Personnes Concernées pourront s’opposer au traitement de leurs Données Personnelles pour des raisons impérieuses et légitimes concernant leur situation personnelle, dans la mesure autorisée par la Réglementation applicable en matière de protection des données personnelles.

Les Personnes Concernées ont aussi le droit de demander la portabilité des données en vertu de l’Article 20 du Règlement général sur la Protection des Données. Elles bénéficient également d’autres droits en vertu de la Règlementation applicable en matière de protection des Données Personnelles.

8- Données Personnelles sensibles

Lorsque DY traite des Données Personnelles Sensibles, elle prendra les mesures additionnelles (par exemple, liées à la sécurité) qui s’imposent pour protéger ce type de données, conformément à la Règlementation applicable en matière de protection des Données Personnelles.

9- Données utilisées à des fins marketing

Lorsque DY traite des Données Personnelles à des fins de marketing ou de prospection commerciale, DY met en place des procédures efficaces destinées à permettre aux personnes concernées de s’opposer à tout moment à l’utilisation de leurs Données Personnelles à de telles fins.

10- Traitement automatisé

Lorsque DY traite des Données Personnelles selon un mode purement automatisé ayant un impact important sur une Personne Concernée, DY donne à la Personne Concernée l’opportunité de discuter du résultat d’un tel traitement avant de prendre ces décisions (sauf si à la Règlementation applicable en matière de protection des Données Personnelles s’y oppose).

11- Transfert d’informations et conformité

Des Données Personnelles peuvent être transférées hors du pays où elles ont été collectées, y compris vers des pays situés hors de l’Espace Économique Européen, dans le cadre d’activités commerciales légitimes conformément à la Réglementation applicable en matière de protection des Données Personnelles.

En outre, conformément à la Réglementation applicable en matière de protection des Données Personnelles, DY peut conserver des Données Personnelles dans des sites d’installation exploités par des tiers pour le compte de DY hors du pays dans lequel les Données Personnelles ont été collectées.

Néanmoins, les Données Personnelles ne doivent pas être transférées vers un autre pays à moins que l’exportateur de données se soit assuré qu’il existe un niveau de protection adéquat quant aux Données Personnelles, tel que requis par la Réglementation applicable en matière de protection des Données Personnelles.

Lorsque les Données Personnelles sont transférées à des tiers externes au réseau DY dans le cadre de leur traitement (par exemple, à des fournisseurs de services DY en soutien des activités DY), DY s’assurera que les Données Personnelles sont suffisamment protégées.

DY conclut à cette fin des contrats avec ces tiers imposant des obligations conformes aux exigences de cette Politique de Confidentialité, ou incluant des clauses contractuelles types approuvées par la Commission européenne ou tout autre mécanisme officiellement reconnu par la Réglementation applicable en matière de protection des Données Personnelles comme assurant un niveau de protection adéquat des Données Personnelles.

IV. Lorsque DY agit en qualité de Sous-traitant

DY agit en tant que « Sous-traitant » lorsqu’il traite des Données Personnelles pour le compte du « Responsable du traitement » lui ayant communiqué des instructions relatives aux traitements des Données Personnelles confiées. Lorsque DY agit en tant que Sous-traitant des Données personnelles pour le compte de Clients, il devra le faire conformément aux instructions du Responsable de traitement eu égard à ces Données Personnelles.

DY peut agir en qualité de Sous-traitant conformément aux engagements souscrits auprès du Client, lorsque le Client fournit des instructions spécifiques concernant (i) le type de Données Personnelles qu’il a communiquées à DY à des fins de traitement , (ii) les opérations ou ensemble d’opérations devant être effectuées par DY sur les Données Personnelles, de manière automatisée ou non, telles que la collecte, l’enregistrement, l’organisation, la structuration, le stockage, l’adaptation ou l’altération, l’extraction, la consultation, l’utilisation, la communication par transmission, la diffusion ou la mise à disposition d’une manière ou d’une autre, le rapprochement ou l’interconnexion, la limitation, l’effacement ou la destruction (iii) la durée pour laquelle les Données Personnelles devront être traitées et stockées par DY, (iv) les moyens techniques employés (tels que les logiciels ou outils) par DY pour traiter les Données Personnelles pour le compte du Client, (v) les mesures de sécurité additionnelles devant être prises par DY.

Si pour une raison quelconque, l’application de ces instructions s’avère impossible (par exemple, en cas de conflit avec la législation actuelle ou future), DY devra informer rapidement le Client de son incapacité à se conformer à ses instructions.

Lorsque DY cesse d’agir pour le compte d’un Client, il devra (à la demande du Client) renvoyer, détruire ou continuer à protéger de manière appropriée toutes les Données Personnelles reçues de la part du Client, sauf disposition contraire, conformément à la loi applicable.

Sauf disposition contraire dans le contrat conclu entre DY (Sous-traitant) et le Client (Responsable de traitement), DY est autorisé à (i) employer tous les moyens techniques qu’il juge appropriés pour fournir les Services et traiter les Données Personnelles (par exemple, en sélectionnant les solutions logicielles adaptées), le tout conformément aux politiques de sécurité DY, (ii) engager des Sous-traitants ultérieurs pour réaliser certaines parties des Services, accéder à et utiliser les Données Personnelles, y compris hors Union Européenne, pour autant que les Sous-traitants ultérieurs soient liés par des engagements écrits établissant qu’ils doivent fournir a minima le même niveau de protection des Données Personnelles que celui prévu par cette Politique de Confidentialité, et conformément aux stipulations prévues au principe 11 « Transfert d’informations et conformité » susmentionné.

Lorsque DY agit en tant que Sous-traitant, il est également tenu d’aider le Client à se conformer à la loi (sous réserve que le Client couvre les coûts afférents de DY), par exemple (i) en informant le Client des activités de traitement effectuées par DY de manière qu’il puisse en informer les Personnes Concernées ; (ii) en mettant en place, à la demande du Client, des mesures raisonnables permettant que ces Données Personnelles soient mises à jour, corrigées, rendues anonymes ou effacées (sous réserve de certains cas limitatifs et exceptionnels).

En sa qualité de Sous-Traitant des Données Personnelles, DY devra dans tous les cas traiter ces Données Personnelles conformément aux paragraphes ci-dessus concernant la sécurité, la confidentialité et le transfert de données et la conformité, ne transférer que les Données Personnelles dont le Client a autorisé le transfert (ce qu’il peut faire à l’avance, dans le cadre de son engagement contractuel envers DY) et informer le Client en cas de violation de la sécurité des Données Personnelles de sorte qu’il puisse en informer les Personnes Concernées, le cas échéant.

V. Durée de conservation des Données Personnelles ou critères utilisés pour déterminer cette durée

DY met en œuvre les moyens raisonnables afin de conserver les Données Personnelles pendant la durée nécessaire pour répondre aux demandes des Personnes Concernées, pour se conformer aux exigences de la loi, des règlements ou des politiques internes ou jusqu’à ce que la Personne Concernée demande à ce que les informations la concernant soient supprimées.

VI. Destinataires ou catégories de destinataires des Données Personnelles

DY ne partage pas les Données Personnelles avec des tiers, sauf lorsque cela est requis par ses besoins professionnels légitimes afin de répondre aux demandes de ses Clients et/ou lorsque cela est demandé ou permis par la loi ou les obligations professionnelles. Ces tiers peuvent être :

Les fournisseurs de DY : DY transmet les Données Personnelles à ses fournisseurs de service tels que les prestataires de services informatiques, les fournisseurs d’hébergement, les consultants (tels que les conseils juridiques) et d’autres fournisseurs de biens ou de services. DY travaille avec ces fournisseurs afin qu’ils traitent les Données Personnelles pour le compte de DY. DY ne leur transmet les Données Personnelles que si ces fournisseurs respectent des principes stricts en matière de traitement de Données Personnelles et de sécurité. DY ne communique à ces fournisseurs que les Données Personnelles nécessaires à la fourniture de leurs services.
En cas d’augmentation de capital, de restructuration ou de cession à un autre organisme : DY transmettra des Données Personnelles en relation avec l’augmentation de capital, la vente, la cession ou tout autre transfert de l’activité auquel les données se rapportent.
Cours, tribunaux, autorités légales ou réglementaires : DY transfèrera des Données Personnelles dans le cadre de demandes émanant de cours, de tribunaux, d’agences gouvernementales ou d’autorités administratives lorsque cela est nécessaire ou recommandé pour se conformer aux lois, aux ordonnances ou règles des cours ou des tribunaux ou aux règlementations gouvernementales applicables.
Audits : la divulgation des Données Personnelles peut également être nécessaire dans le cadre d’audits relatifs à la confidentialité des données ou à la sécurité, ou dans le cadre d’investigations ou pour répondre à une plainte ou une menace pour la sécurité.
Assureurs : les règles professionnelles et les exigences commerciales nécessitent de disposer d’une couverture d’assurance pour les activités commerciales de DY (le “programme d’assurance”). Afin de fonctionner efficacement, le programme d’assurance implique un certain nombre d’acteurs différents du marché de l’assurance (tels que les courtiers, les assureurs, les réassureurs, ainsi que leurs conseillers et d’autres tiers impliqués en cas de sinistre). Certains de ces acteurs peuvent exiger que leur soient communiquées des Données Personnelles concernant les Clients.

VII. Vos droits, réclamations, questions et informations complémentaires

DY s’engage à protéger les informations personnelles de ses Clients.

Ainsi : lorsque DY traite des Données Personnelles vous concernant, vous disposez des droits suivants :

Accès et rectification : vous avez le droit d’avoir accès à vos Données Personnelles. Cela est parfois appelé “Demande d’accès des personnes concernées”. L’exercice du droit d’accès, lorsque DY y est soumis, est gratuit. Avant de vous fournir vos Données Personnelles, DY est susceptible de vous demander une preuve de votre identité ou toute information suffisante concernant vos interactions avec DY afin de pouvoir localiser vos Données Personnelles. Si les données que nous détenons à votre sujet sont incorrectes, vous avez le droit de nous demander de corriger toute inexactitude.
Opposition au traitement : vous avez le droit de vous opposer au traitement de vos Données Personnelles lorsque DY n’est plus habilitée à les utiliser.
Autres droits : vous pouvez également avoir le droit d’obtenir la suppression de vos Données Personnelles si nous les conservons trop longtemps, le droit de limiter le traitement dans certaines circonstances et/ou le droit d’obtenir des copies des informations que nous détenons sur vous sous format électronique.

Vous disposez également d’un droit à la portabilité, du droit de nous donner des directives concernant le sort de vos données post-mortem, ainsi qu’un droit à la limitation du traitement et à l’effacement.

Vous pouvez adresser vos demandes d’exercice de droits et réclamer une copie des mesures prises en matière de transfert de données en dehors d’EEE, en cliquant sur le lien suivant : privacy@dronesforyachts.com. Nous ferons de notre mieux pour répondre à votre demande, pour autant qu’elle soit conforme au droit applicable et aux normes professionnelles.

Nous accuserons réception de votre courriel et chercherons à résoudre votre problème dans un délai d’un mois à compter de la réception. En cas de demande complexe ou d’un grand nombre de demandes d’exercice de droit, nous vous informerons que le délai de traitement de votre demande sera susceptible d’excéder un mois et nous nous efforcerons d’y répondre dans les trois mois suivants la réception de votre demande.

Votre demande peut être acceptée (auquel cas nous mettrons en œuvre l’une des mesures mentionnées dans la section Vos droits, ci-dessus) ou être rejetée sur la base d’un motif légitime.

En toute hypothèse, vous disposez du droit de déposer une plainte auprès de l’autorité de contrôle compétente, la Commission Nationale de l’Informatique et Libertés (CNIL).

Si vous avez des questions ou des commentaires concernant le respect de la présente Politique de Confidentialité, vous pouvez nous contacter à privacy@dronesforyachts.com.

IX. Modification de la présente Politique de Confidentialité

La présente Politique de Confidentialité est revue de manière annuelle.

La présente Politique est susceptible d’être modifiée afin de refléter les pratiques actuelles de DY en matière de confidentialité. En cas de modifications de la présente Politique de Confidentialité, la dernière date de “mise à jour” sera indiquée en première page. Toute modification du traitement des Données Personnelles tel que décrit dans la présente Politique de Confidentialité, sera notifiée par DY par un moyen de communication approprié.