Politique d'utilisation de données à caractère personnel OVHcloud
Politique d'utilisation de données à caractère personnel OVHcloud
Mise à jour le 13 Avril 2023
Si vous êtes client, prospect, partenaire, fournisseur ou si vous êtes un dirigeant, un salarié ou un préposé de ces derniers ("Préposé(s)") et/ou que vous utilisez un service d'OVHcloud, OVH SAS et ses sociétés apparentées (ci-après « OVHcloud ») peuvent être amenées à traiter des données à caractère personnel vous concernant.
Partie 1 - Description des traitements de données
OVHcloud traite des données vous concernant à différentes fins en particulier :
1. La gestion des contrats
Base légale: Les traitements décrits ci-après sont nécessaires à l'exécution des contrats conclus par OVHcloud, y compris l'exécution des mesures précontractuelles nécessaires à leur conclusion, ainsi qu'à la prise en compte de différentes demandes (telles que la gestion d'une candidature à l'emploi ou d'une demande de participation à un événement) (Article 6.1b) du RGPD).
Dans le cadre de l'exécution des contrats conclus avec ses clients, prestataires, fournisseurs et partenaires, OVHcloud traite des données à caractère personnel les concernant ou concernant leurs Préposés, et dont le traitement est nécessaire à la mise en place et à l'exécution des contrats ainsi établis.
1.1 Gestion des contrats clients, prestataires, fournisseurs et partenaires
Prestataires, fournisseurs et partenaires
Les données à caractère personnel traitées par OVHcloud concernant ses prestataires, fournisseurs et partenaires sont constituées essentiellement des données d'identification (nom, prénom, adresse email et numéro de téléphone) de leurs Préposés avec lesquels OVHcloud interagit, ainsi que les échanges et interactions (courriels et autres messages électroniques, rapports d'activités, comptes rendus) entre OVHcloud et ces Préposés.
Clients
Les données à caractère personnel traitées par OVHcloud, concernant ses clients sont :
- les données d'identification du client (nom, prénom, adresse postale, adresse email, numéro de téléphone, justificatif d'identité, justificatif de domicile, identifiant client OVHcloud ou « NIC Handle ») ;
- Communications entre le client et OVHcloud (échanges tels que tickets supports relatifs à la conclusion et à l'exécution du contrat, historiques des demandes et réponses) ;
- Les données de consommation des services (historiques de commande et d'utilisation ou de tentative d'utilisation des services) ;
- Les moyens de paiement (moyens de paiement utilisés tels que numéro de carte bancaire ou numéro de compte bancaire, et titulaire du moyen de paiement).
1.2 Activités de recrutement
Dans le cadre de ses activités de recrutement, OVHcloud traite des données à caractère personnel concernant les candidats nécessaires au traitement de leur(s) candidature(s). Les données concernées sont les données d'identification et coordonnées du candidat, son Curriculum Vitae, les courriers, courriels et documents transmis par les candidats, les dates et résultats d'entretiens, le positionnement salarial, les suites données à la candidature, type et durée de contrat proposé.
Les conditions décrites dans le cadre de la présente politique concernent uniquement le traitement des données des candidats à l'embauche, à l'exclusion des salariés d'OVHcloud. Les conditions de traitement des données à caractère personnel des salariés d'OVHcloud sont décrites dans le cadre d'une autre politique d'utilisation communiquées lors du processus d'embauche.
1.3 Gestion des événements OVHcloud
En cas d'organisation d'événements, que ce soit physiques ou en ligne, OVHcloud traite des données à caractère personnel relatives aux inscrits et participants à l'événement, en particulier leurs données d'identification (nom, prénom, coordonnées, adresses email, numéro de téléphone, société et fonction au sein de la société) ainsi que des données relatives à leur participation (conférences et ateliers auxquels ils sont inscrits et participent). Ces données sont collectées afin d'organiser l'événement et de gérer les participations (inscriptions, information, parcours).
2. L'exécution des services OVHcloud
Base légale : Les traitements décrits ci-après sont nécessaires à l'exécution des services fournis par OVHcloud (Article 6.1b) du RGPD).
Afin de fournir et d'assurer la maintenance de ses services, de même que dans le cadre des prestations de support et d'assistance à leur utilisation, OVHcloud traite les catégories de données suivantes relatives à ses clients, utilisateurs et aux services utilisés par ces derniers :
- Les données d'identification du client (essentiellement nom, prénom, coordonnés, identifiant client et utilisateurs ou « NIC Handle » du client ou de ses préposés) ;
- Les communications entre le client ou ses Préposés et OVHcloud (échanges tels que courriels et tickets supports relatifs à la fourniture et à l'utilisation des services, aux opérations de maintenance, aux incidents éventuels) ;
- Les données d'identification des services utilisés (liste des services utilisés, caractéristiques, période d'utilisation, localisation).
- Les données techniques (identifiants machines, configurations, données de connexion, états des services, données d'utilisation et journaux d'événements).
3. Les activités marketing et de prospection commerciale
Base légale : Les traitements décrits ci-après sont réalisés, selon les cas, sur la base des intérêts légitimes d'OVHcloud de promouvoir ses services et activités, ou du consentement des personnes concernées (en particulier clients et prospects) (Articles 6.1 a) et f) du RGPD).
Dans le cadre de ses activités commerciales, OVHcloud traite des données relatives à ses clients et prospects (et à leurs Préposés) afin de leur communiquer des informations relatives aux activités d'OVHcloud, et le cas échéant de ses partenaires, de leur proposer des services, ou encore de les inviter à des événements.
4. Le respect de nos obligations
Base légale : Les traitements décrits ci-après sont réalisés par OVHcloud afin de respecter ses obligations légales (Article 6.1.c) du RGPD).
Dans le cadre de ses activités, OVHcloud est soumis à différentes obligations légales dont le respect nécessite des traitements de données à caractère personnel.
Ainsi, dans le cadre du respect de ses obligations comptables et fiscales, OVHcloud traite des données et conserve des preuves relatives aux commandes passées par ses clients et à leur règlement.
5. La poursuite d'intérêts légitimes
Bases légales : Traitements nécessaire à la sauvegarde des intérêts vitaux, et traitements nécessaires aux fins d'intérêts légitimes poursuivis par OVHcloud ou par un tiers (Article 6.1.f) du RGPD)
OVHcloud peut être amené à procéder à des traitements nécessaires à la poursuite d'intérêts légitimes, de même qu'à la sauvegarde d'intérêts vitaux de la personne concernée ou d'une autre personne physique.
1. Engagements d'OVH
Dans le cadre des traitements décrits dans la présente politique, OVHcloud se conforme, en qualité de responsable du traitement, à la réglementation en vigueur, notamment au Règlement (UE) 2016/679 du Parlement européen et du Conseil relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (le « RGPD »), ainsi que toute décision législative ou réglementaire des États membres de l'Union européenne qui trouverait à s'appliquer auxdits traitements, comme la loi n°78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés telle que modifiée par l'Ordonnance n°2019-964 du 18 septembre 2019 en France.
À ce titre, OVHcloud s'engage notamment à :
- Ne collecter que des données à caractère personnel nécessaires dans le cadre des finalités suscitées ;
- Mettre en œuvre des processus de nature à s'assurer de l'exactitude et de la mise à jour des données utilisées dans le cadre desdits traitements, ainsi que de leur effacement lorsqu'elles ne sont plus nécessaires aux finalités poursuivies ;
- Ne pas traiter les données à caractère personnel en sa possession pour d'autres finalités que celles mentionnées dans le cadre de la présente politique, sauf à obtenir le consentement des personnes concernées, ou à les en informer concernant les traitements fondés sur d'autres bases légales que le consentement ;
- Documenter les traitements réalisés au sein d'un registre et procéder à toutes les analyses d'impact nécessaires ;
- Mettre un place un processus de gestion des incidents et des violations de données, notifier les autorités de protection compétentes dans les conditions de l'article 33 du RGPD, et informer les personnes concernées, conformément à l'article 34 du RGPD lorsque la violation est susceptible d'engendrer un risque élevé pour leurs droits et libertés ;
- Mettre en place des mesures techniques et organisationnelles de nature à protéger les données à caractère personnel contre les risques de sécurité, telles que précisées par la Politique de Sécurité des Systèmes d'Information d'OVHCloud.
2. Mesures techniques et organisationnelles de sécurité
La protection des données à caractère personnel est pleinement intégrée au système de gestion de sécurité de l'information d'OVHcloud, dans le cadre duquel OVHCloud poursuit différents objectifs tels que :
- Déploiement d'une approche industrielle, à grande échelle, de la sécurité ;
- Positionnement d'OVHCloud comme un acteur de confiance dans l'écosystème ;
- Mise en place de systèmes de management de la sécurité (ISMS) et de la vie privée (PIMS) ;
- Approche de la sécurité par les risques ;
- Démonstration de la sécurité via la certification, le contrôle interne et l'audit externe ;
- Réponse unifiée aux incidents de sécurité et aux violations de données à caractère personnel ;
- Intégration des enjeux de sécurité et de protection de la vie privée dans l'évolution des produits ;
- Evaluation de la sécurité et mise en place d'amélioration continue.
Ces éléments sont précisés dans la politique de sécurité des systèmes d'information d'OVHCloud.
3. Anonymisation
OVHcloud se réserve le droit de procéder à l'anonymisation des données objet de la présente politique, c'est-à-dire de les modifier afin qu'elles ne permettent plus, même de manière indirecte, d'identifier, d'individualiser ou de singulariser la personne concernée, et de les réutiliser seulement sous forme anonyme.
OVHcloud s'efforce d'appliquer les principes suivants en matière d'anonymisation :
- L'impossibilité d'isoler un individu au sein d'un groupe plus grand sur la base des données ;
- L'impossibilité de relier deux enregistrements concernant la même personne ; et
- L'impossibilité d'inférer, avec une forte probabilité, des informations inconnues concernant une personne.
4. Sous-traitance
Les Sociétés Apparentées OVHcloud, à l'exception toutefois des entités étasuniennes d'OVHcloud, peuvent participer aux traitements de données objet de la présente politique, réalisés par OVHcloud en qualité de responsable des traitements.
OVHcloud a également recours à des prestataires tiers tels que des prestataires de services de sécurité, fournisseurs réseaux, fournisseurs d'applications et d'outils internes, prestataires de services de paiement, analystes marketing, analystes web, fournisseurs de solutions d'emailing, enquêtes de satisfactions, sociétés de conseils, auditeurs, etc. intervenant en qualité de sous-traitants sur instruction d'OVHcloud.
5. Transferts de données en dehors de l'Union européenne
OVHcloud s'attache à limiter les transferts de données à caractère personnel en dehors de l'Union européenne.
Hébergement des données
Pour les clients des entités européennes d'OVHcloud, l'hébergement au sein de l'Union européenne des données les concernant est toujours privilégié, y compris en cas de recours à des sous-traitants. Toutefois, lorsque lesdits clients européens choisissent des services hébergés dans des centres données OVHcloud situés en dehors de l'Union européenne, notamment au Canada, en Australie ou à Singapour, les données à caractère personnel nécessaires à l'exécution des services peuvent être hébergées en dehors de l'Union européenne.
Traitements à distance
Du fait l'organisation internationale d'OVHcloud, les activités de traitement de données décrites dans le cadre de la présente politique peuvent être réalisées depuis des localisations hors Union-Européenne par les Sociétés Apparentées et prestataires tiers sous-traitants d'OVHcloud tel que prévu dans la section 2.4. ci-dessus.
6. Traitement des demandes des autorités
OVHcloud peut recevoir des demandes d'autorités judiciaires, administratives ou autres, visant à obtenir communication des données à caractère personnel en sa possession relatives à ses clients.
Dans ce cas, OVH s'engage à :
- Vérifier la compétence de l'autorité demanderesse ;
- Ne répondre qu'à des demandes valablement formées ;
- Si cela est autorisé, informer au préalable la personne concernée afin de lui permettre de faire valoir ses droits ;
- Limiter la communication aux seules données requises par l'autorité.
En cas de demande d'une autorité d'un pays tiers à l'Union européenne visant à obtenir communication de données relatives à un client européen d'OVHcloud, OVHcloud s'y oppose sous réserve des cas suivants :
(a) la demande est réalisée conformément à un accord international, tel qu'un traité d'entraide judiciaire, en vigueur entre le pays demandeur et l'Union européenne ou l'État membre dont relève l'entité OVHcloud auprès de laquelle le client ouvert son compte client OVHcloud ;
(b) le client visé par la demande a ouvert un compte client OVHcloud auprès une entité OVHcloud établie dans la même juridiction que l'autorité demanderesse ; ou,
(c) conformément à l'article 49 du RGPD en particulier lorsque la demande poursuit un intérêt public reconnu par le droit de l'Union ou par le droit d'un État membre de l'Union européenne, ou qu'elle est nécessaire à la sauvegarde d'intérêts vitaux.
7. Droits des personnes concernées
Conformément au RGPD, vous disposez du droit d'accéder aux données à caractère personnel susvisées vous concernant, ainsi que du droit de les rectifier, d'en demander la suppression et la portabilité, ainsi que du droit de limiter ou de vous opposer à certains traitements. Lorsque le traitement est fondé sur le consentement, vous disposez également du droit de retirer ce consentement à tout moment.
Ces droits peuvent être exercés en utilisant le formulaire prévu à cet effet sur le Site Internet d'OVHcloud, ou par courrier postal à l'adresse : OVH S.A.S., Délégué à la Protection des Données, 2 rue Kellermann, 59100 Roubaix, France.
Conformément à l'article 12 du RGPD, chaque demande doit être impérativement accompagnée des informations pertinentes permettant de démontrer votre identité. Il y sera répondu dans les meilleurs délais et en tout état de cause dans le respect des dispositions de l'article 12 suscité. En cas de doute raisonnable quant à l'identité de la personne physique présentant la demande, il peut être demandé que soient fournies des informations supplémentaires nécessaires pour confirmer l'identité de la personne concernée, notamment une preuve d'identité.
Vous pouvez également adresser une réclamation auprès de l'autorité de protection des données compétente.