Datos personales y RGPD | Kroqi

Protección de los datos personales

1. Preámbulo

El Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, también denominado Reglamento general de protección de datos (en lo sucesivo, RGPD), fija el marco jurídico aplicable a los tratamientos de datos personales en el seno de la Unión Europea.

El RGPD refuerza los derechos y las obligaciones de los responsables del tratamiento, de los encargados del tratamiento y de los interesados.

En el marco de la explotación de los sitios web accesibles en las direcciones /****, KROQI (en lo sucesivo, «la empresa») lleva a cabo un tratamiento de los datos personales de sus clientes y prospectos.

Para la correcta comprensión de la presente política, se precisa que:

los «clientes y prospectos»: designa a todas las personas físicas o jurídicas que hayan iniciado un contacto de naturaleza comercial con la empresa;
el «responsable del tratamiento»: designa a la persona física o jurídica que determina los fines y los medios de un tratamiento de datos personales. A efectos de la presente política, el responsable del tratamiento es la empresa;
el «encargado del tratamiento»: designa a toda persona física o jurídica que trata datos personales por cuenta de la empresa. En la práctica, se trata, pues, de los proveedores con los que trabaja la empresa y que intervienen sobre los datos personales de los clientes y prospectos de la empresa (soluciones de CRM, proveedores técnicos, autónomos, etc.);
los «interesados»: designa a las personas que pueden ser identificadas, directa o indirectamente, en el marco de la actividad comercial y de marketing de la empresa, es decir, el conjunto de los clientes/prospectos;
los «destinatarios»: designa a las personas físicas o jurídicas que reciben datos personales. Los destinatarios de los datos pueden ser, por tanto, tanto empleados de la empresa como organismos externos (socios, entidades bancarias, intervinientes, etc.).

El RGPD, en su artículo 12, impone que los interesados sean informados de sus derechos de manera concisa, transparente, comprensible y de fácil acceso.

La dirección de correo electrónico de contacto es «dpo-wimi@racine.eu», y el DPO (delegado de protección de datos) es designado específicamente como «Maître Eric Barbry, Cabinet Racine Avocats».

2. Objeto

Para su buen funcionamiento, la empresa debe poner en marcha y explotar tratamientos de datos personales relativos a sus clientes y prospectos.

La presente política tiene por objeto cumplir la obligación de información de la empresa y formalizar así los derechos y las obligaciones de los clientes y prospectos de la empresa en relación con el tratamiento de sus datos personales.

3. Alcance

La presente política de protección de datos personales está destinada a aplicarse en el marco de la puesta en marcha del tratamiento de los datos personales de los clientes y prospectos de la empresa.

La presente política solo se refiere a los tratamientos de los que la empresa es responsable del tratamiento y, por tanto, no se aplica a los tratamientos que no hayan sido creados o explotados por la propia empresa (los llamados tratamientos «salvajes»).

El tratamiento de datos personales puede ser gestionado directamente por la empresa o por medio de un encargado del tratamiento designado específicamente por la empresa.

Esta política es independiente de cualquier otro documento que pueda aplicarse en el seno de la relación contractual entre la empresa y los clientes y prospectos.

4. Principios generales

En la empresa no se pone en marcha ningún tratamiento relativo a datos de clientes y prospectos si no se refiere a datos personales recogidos por o para nuestros servicios o tratados en relación con nuestros servicios, y si no responde a los principios generales del RGPD.

5. Recogida de los datos personales

5.2 Tipología de datos

La empresa recoge los datos personales necesarios para la explotación de estos sitios web y de estos servicios (p. ej., Kroqi), así como para la prospección comercial.

5.3 Origen de los datos

Los datos de los clientes y prospectos proceden, en particular, de los datos recogidos mediante los formularios de inscripción y de contacto del sitio web, pero también mediante la prospección comercial y la compra de bases de datos de clientes.

5.4 Datos obligatorios

Los datos obligatorios se señalan en los formularios con un asterisco. A falta de ellos, es posible que no pueda prestarse el servicio vinculado a esta recogida.

6. Tipo de datos recogidos

6.1 Datos no técnicos

La empresa recoge, en particular, los siguientes datos:

datos de identificación (nombre, dirección de correo electrónico, teléfono);
datos bancarios (únicamente si el prospecto pasa a ser cliente).

6.2 Datos técnicos

La empresa recoge datos de conexión al servicio (p. ej.: hora, tipo de dispositivo, idioma del navegador, etc.).

7. Finalidades y bases legales

Según los casos, la empresa trata sus datos para las siguientes finalidades:

la gestión del registro y de la suscripción a estos servicios;
la gestión de la conexión a los servicios;
la gestión de la newsletter;
la gestión del descubrimiento de los servicios por parte del usuario;
la comunicación con el servicio de soporte;
la comunicación de información importante relativa a los servicios;
la gestión de las solicitudes de baja y de cancelación de la suscripción a los servicios;
la gestión de las solicitudes relativas a los derechos de los usuarios sobre sus datos;
la gestión de las solicitudes de contacto y de asistencia;
la gestión de la contabilidad y de las facturas;
la gestión de la conservación de los datos relativa a las obligaciones legales de seguridad;
la gestión de los impagos y de los litigios;
la mejora de los servicios prestados mediante la realización de encuestas de satisfacción;
la gestión y el seguimiento de la relación con el cliente, el usuario y el prospecto, incluidas operaciones de segmentación y de orientación para responder lo mejor posible a las necesidades de los usuarios;
la elaboración de estadísticas destinadas a optimizar los servicios.

Se informa al cliente de que la recogida de sus datos personales es necesaria para la ejecución del contrato celebrado con la empresa.

8. Destinatarios de los datos: habilitación y trazabilidad

La empresa se asegura de que los datos solo sean accesibles para destinatarios internos o externos autorizados.

Destinatarios internos

Destinatarios externos

el personal habilitado del departamento de marketing, del departamento comercial, de los departamentos encargados de tratar la relación con el cliente y la prospección, de los departamentos administrativos, logísticos e informáticos, así como sus responsables jerárquicos;
el personal habilitado de los departamentos encargados del control (auditor de cuentas, departamentos encargados de los procedimientos internos de control, etc.).
los socios, las sociedades externas o las filiales de un mismo grupo de sociedades socias;
los organismos, los auxiliares de justicia y los oficiales ministeriales, en el marco de su misión de recobro de créditos;
los encargados del tratamiento de la empresa y, más concretamente, el personal habilitado para utilizar datos personales de dichos encargados.

Los destinatarios de los datos personales de los clientes y prospectos en el seno de la empresa están sujetos a una obligación de confidencialidad específica.

La empresa decide qué destinatario está habilitado, internamente, para recibir datos.

La política de habilitación se actualiza regularmente y tiene en cuenta las incorporaciones y las salidas de los empleados de la empresa con acceso a los datos.

La empresa no es responsable en ningún caso de los daños de cualquier naturaleza que puedan derivarse de un acceso ilícito a los datos personales.

Si un empleado advierte que dispone de acceso a datos a los que no debería tener acceso, tiene la obligación de avisar sin demora al departamento competente.

Todos los accesos relativos a tratamientos de datos personales de clientes y prospectos son objeto de una medida de trazabilidad.

Por otra parte, los datos personales podrán comunicarse a cualquier autoridad legalmente habilitada para conocerlos. En tal caso, la empresa no es responsable de las condiciones en que el personal de dichas autoridades accede a los datos y los explota.

9. Plazo de conservación

El plazo de conservación de los datos lo define la empresa atendiendo a las obligaciones legales y contractuales que le incumben y, en su defecto, en función de sus necesidades y, en particular, según los siguientes principios:

Tratamiento

Plazo de conservación

Datos relativos a los clientes

Los datos de los clientes se conservan durante todo el tiempo de utilización del servicio KROQI

Datos relativos a los clientes en el marco de la prospección comercial

Los datos de los clientes se conservan durante un plazo máximo de 3 años a partir de la baja en los servicios de la empresa.

Datos relativos a los prospectos

Los datos de los prospectos se conservan durante un plazo máximo de 3 años a partir del último contacto procedente del prospecto.

Datos técnicos

Las direcciones IP y los registros (logs) de los clientes/prospectos se conservan durante un plazo de un año a partir de la última conexión o del último uso del software.

Datos bancarios

Los datos bancarios se eliminan, en principio, en cuanto se realiza la transacción, salvo acuerdo expreso del cliente

No obstante, a efectos de prueba, los datos bancarios pueden conservarse 13 meses en archivo a partir de la fecha del cargo.

Cookies

Las cookies pueden conservarse durante un plazo de 13 meses.

Los datos que permiten establecer la prueba de un derecho o de un contrato, o que se conservan en cumplimiento de una obligación legal, son objeto de una política de archivo intermedio por un plazo que no excederá del necesario para los fines para los que se conservan, de conformidad con las disposiciones vigentes.

Transcurridos los plazos fijados, los datos se eliminan o se conservan tras haber sido anonimizados, en particular por razones de uso estadístico.

Se recuerda a los clientes y prospectos que la supresión o la anonimización son operaciones irreversibles y que la empresa ya no podrá restaurarlos posteriormente.

10. Derecho de confirmación y derecho de acceso

Los clientes y prospectos tienen derecho a solicitar a la empresa la confirmación de si se están tratando o no datos que les conciernen.

Los clientes y prospectos disponen también de un derecho de acceso, sujeto al cumplimiento de las siguientes reglas:

la solicitud procede de la propia persona y va acompañada de una copia de un documento de identidad en vigor;
La solicitud de acceso puede dirigirse a la dirección postal: 4 avenue du Recteur Poincaré, 75016, PARÍS, Francia, o por correo electrónico a dpo-wimi@racine.eu

Los clientes y prospectos tienen derecho a solicitar una copia de sus datos personales objeto de tratamiento por parte de la empresa. No obstante, en caso de solicitud de copias adicionales, la empresa podrá exigir que los clientes y prospectos asuman económicamente dicho coste.

Si los clientes y prospectos presentan su solicitud de copia de los datos por vía electrónica, la información solicitada se les facilitará en un formato electrónico de uso común, salvo solicitud en contrario.

Por último, se informa a los clientes y prospectos de que este derecho de acceso no puede referirse a información o datos confidenciales ni a aquellos cuya comunicación no autorice la ley.

El derecho de acceso no debe ejercerse de manera abusiva, es decir, de forma regular con el único propósito de desestabilizar el servicio afectado.

11. Derecho de rectificación

Con el fin de permitir una actualización regular de los datos personales recogidos por la empresa, esta podrá dirigirse a los clientes y prospectos, que tendrán la obligación de atender las solicitudes de la empresa.

En caso de modificación de la información de los clientes y prospectos por parte de la empresa, estos serán informados de ello de forma espontánea.

Se informa a los clientes y prospectos de que la empresa no realizará ninguna modificación de las llamadas «de comodidad»; solo se realizarán modificaciones sustanciales sobre el estado civil, la identidad y los datos de contacto del interesado.

12. Derecho de oposición

El derecho de supresión de los clientes y prospectos no será aplicable en los casos en que el tratamiento se lleve a cabo para cumplir una obligación legal.

Al margen de esta situación, los clientes y prospectos podrán solicitar la supresión de sus datos en los siguientes casos limitativos:

los datos personales ya no son necesarios en relación con los fines para los que fueron recogidos o tratados de otro modo;
cuando el interesado retira el consentimiento en el que se basa el tratamiento y no existe otro fundamento jurídico para el tratamiento;
el interesado se opone a un tratamiento necesario para los fines de los intereses legítimos perseguidos por la empresa y no existen motivos legítimos imperiosos para el tratamiento;
el interesado se opone a un tratamiento de sus datos personales con fines de prospección, incluida la elaboración de perfiles;
los datos personales han sido objeto de un tratamiento ilícito.

De conformidad con la legislación sobre protección de datos personales, se informa a los clientes y prospectos de que se trata de un derecho individual que solo puede ser ejercido por el interesado en relación con su propia información: por razones de seguridad, el departamento afectado deberá, por tanto, verificar su identidad para evitar cualquier comunicación de información confidencial que le concierna a una persona distinta de usted.

13. Derecho de supresión

Se informa a los clientes y prospectos de que no disponen del derecho a la limitación del tratamiento de sus datos personales, en la medida en que el tratamiento realizado por la empresa es lícito y todos los datos personales recogidos son necesarios para la ejecución del contrato comercial.

14. Derecho a la limitación del tratamiento

Al finalizar las relaciones comerciales con la empresa, los clientes podrán, previa solicitud, ejercer su derecho a la portabilidad únicamente sobre los datos que ellos mismos hayan comunicado a la empresa, y solo para los datos recogidos a través del formulario en línea. Estos datos se les comunicarán en un formato estructurado, de uso común y legible por máquina.

15. Derecho a la portabilidad de los datos

La empresa aplica técnicas de elaboración de perfiles con fines de prospección comercial. A este respecto, el interesado da su consentimiento explícito para que los datos se utilicen con fines de elaboración de perfiles.

16. Decisión individual automatizada

Se informa a los clientes y prospectos de que tienen derecho a formular directrices relativas a la conservación, la supresión y la comunicación de sus datos post mortem. La comunicación de directrices específicas post mortem y el ejercicio de sus derechos se efectúan por correo electrónico a la dirección wimi@racine.eu o por correo postal a la siguiente dirección: 112 Rue Réaumur, 75002 París, Francia, acompañado de una copia de un documento de identidad firmado.

17. Derecho post mortem

Se informa a los clientes y prospectos, en cada formulario de recogida de datos personales, del carácter obligatorio o facultativo de las respuestas mediante la presencia de un asterisco.

En el caso de que algunas respuestas sean obligatorias, la empresa explica a los clientes y prospectos las consecuencias de la falta de respuesta.

18. Ejercicio de los derechos

Los clientes y prospectos conceden a la empresa un derecho de uso y de tratamiento de sus datos personales para las finalidades expuestas anteriormente.

No obstante, los datos enriquecidos que son fruto de un trabajo de tratamiento y de análisis de la empresa, denominados datos enriquecidos, siguen siendo propiedad exclusiva de la empresa (análisis de uso, estadísticas, etc.).

19. Subcontratación

La empresa informa a sus clientes y prospectos de que podrá recurrir a cualquier encargado del tratamiento de su elección en el marco del tratamiento de sus datos personales.

En tal caso, la empresa se asegura de que el encargado del tratamiento cumpla sus obligaciones en virtud del RGPD, recurriendo la empresa únicamente a encargados del tratamiento respetuosos con las normas en materia de protección de datos y estrictamente conformes con las exigencias del RGPD.

20. Medidas de seguridad

Corresponde a la empresa definir y poner en marcha las medidas técnicas de seguridad, físicas o lógicas, que estime adecuadas para luchar contra la destrucción, la pérdida, la alteración o la divulgación no autorizada de los datos, de manera accidental o ilícita.

Entre estas medidas figuran principalmente:

gestión de las habilitaciones para el acceso a los datos;
el uso de un protocolo de cifrado de tipo SSL para la transmisión de los datos entre los terminales de los usuarios y los servidores de la empresa.
Un alojamiento realizado en centros de datos situados en Francia y que disponen de un nivel de seguridad máximo.
Todos los accesos a la infraestructura se realizan mediante VPN: solo determinadas IP predefinidas están autorizadas a establecer un túnel (lista blanca de direcciones IP) mediante una clave RSA 4096.
Aplicación regular y sistemática de parches de seguridad en los componentes de la infraestructura.

Para ello, la empresa puede recurrir a la asistencia de cualquier tercero de su elección para realizar, con la frecuencia que estime necesaria, auditorías de vulnerabilidad o pruebas de intrusión.

Salvo en caso de urgencia o de riesgo inminente, los empleados serán informados previamente de la realización de estas auditorías y estarán obligados a adoptar las medidas de protección adecuadas que se les notifiquen de antemano.

En cualquier caso, la empresa se compromete, en caso de cambio de los medios destinados a garantizar la seguridad y la confidencialidad de los datos personales, a sustituirlos por medios de rendimiento superior. Ninguna evolución podrá conducir a una regresión del nivel de seguridad.

En caso de subcontratación de una parte o de la totalidad de un tratamiento de datos personales, la empresa se compromete a imponer contractualmente a sus encargados del tratamiento garantías de seguridad mediante medidas técnicas de protección de dichos datos y los medios humanos adecuados.

21. Transferencia de datos fuera de la Unión Europea

En caso de violación de datos personales, la empresa se compromete a notificarlo a la CNIL (autoridad francesa de protección de datos) en las condiciones prescritas por el RGPD.

Si dicha violación supone un riesgo elevado para los clientes y prospectos y los datos no han sido protegidos, la empresa:

informará de ello a los clientes y prospectos afectados;
comunicará a los clientes y prospectos afectados la información y las recomendaciones necesarias.

22. Política relativa a las cookies

Hemos designado un delegado de protección de datos, al que se puede contactar en los siguientes datos de contacto para cualquier cuestión relativa al tratamiento de los datos:

Nombre: Maître Eric Barbry, Cabinet Racine Avocats;
Dirección de correo electrónico: dpo-wimi@racine.eu
Tel.: 01 44 82 43 00

23. Evolución del presente documento

Los clientes y prospectos afectados por el tratamiento de sus datos personales son informados de su derecho a presentar una reclamación ante una autoridad de control, a saber, la CNIL, si estiman que el tratamiento de datos personales que les concierne no es conforme con la normativa europea de protección de datos, en la siguiente dirección:

CNIL, Service des plaintes

3 Place de Fontenoy, TSA 80715, 75334 PARIS CEDEX 07

Tel.: 01 53 73 22 22

24. Preguntas

La presente política puede modificarse o adaptarse en cualquier momento en caso de evolución legal o jurisprudencial, de decisiones y recomendaciones de la CNIL o de los usos.

Toda nueva versión de la presente política se pondrá en conocimiento de los clientes/prospectos por cualquier medio definido por la empresa, incluida la vía electrónica (difusión por correo electrónico o en línea, por ejemplo).

25. Créditos

Para cualquier información complementaria, puede ponerse en contacto con los siguientes servicios: dpo-wimi@racine.eu

Para cualquier otra información más general sobre la protección de los datos personales, puede consultar el sitio de la CNIL en la dirección www.cnil.fr.