Politique RGPD

Sommaire :

I. Déclaration de préparation au RGPD

II. Avis de confidentialité client

III. Politique de protection des données

IV. Sécurité des données

V. Avis de confidentialité du personnel

I. Ikonic Technology Ltd : Déclaration de préparation au RGPD

Ikonic Technology Ltd s’engage en faveur de la protection des données et de la protection des données. Avec l’entrée en vigueur du Règlement général sur la protection des données (RGPD) le^{25 mai} 2018, nous avons lancé un programme de préparation au RGPD visant à examiner l’ensemble de notre entreprise, la manière dont nous traitons les données et la manière dont nous les utilisons pour fournir nos services.

Notre programme de préparation au RGPD s’intéresse aux domaines suivants :

• Formation et sensibilisation du personnel – comment le RGPD, le projet de loi sur la protection des données et le règlement sur la protection électronique auront un impact sur les clients, les employés et la chaîne d’approvisionnement
• Gestion des fournisseurs – veiller à ce que tous les processus de sécurité, de contrôle organisationnel et de gouvernance appropriés répondent aux exigences de nos clients et d’Ikonic Technology Ltd alors que la société continue de croître
• Développement – veiller à ce que nous maintenions notre engagement envers les meilleures pratiques et à développer des systèmes répondant aux normes de sécurité reconnues, et nous assurer que nous respections notre engagement en faveur de la vie privée dès la conception
• Droits individuels – affiner notre approche du traitement des demandes de données, ou de la gestion des données, afin de répondre aux nouvelles exigences du RGPD (y compris le droit d’accès aux sujets, la cessation des demandes de traitement et l’effacement des données personnelles)
• Data Mapping – une revue complète de tous les processus et systèmes afin de vraiment comprendre l’expérience client, les données que nous détenons et leur utilisation
• Conservation des données – confirmer que les périodes de conservation des données respectent les exigences contractuelles, juridiques et organisationnelles.
• Avis de confidentialité – relecture de tous les avis pour informer clients et employés de la manière dont nous gérons leurs données
• RH – préparer notre département RH à intégrer des aspects importants du RGPD pour nos employés

Le groupe Ikonic Technology Ltd dispose d’un responsable désigné de la protection des données du groupe, qui supervise nos pratiques de gouvernance de l’information et coordonne les efforts du groupe pour garantir que nous continuions à gérer les données personnelles selon l’attente de nos clients.

Ici, chez Ikonic Technology Ltd, nous sommes pleinement engagés envers les principes de protection des données et la protection de nos données ainsi que celles de nos clients – nous confirmons donc que tous les efforts raisonnables seront déployés pour respecter les règles et réglementations applicables du RGPD.

Toute question doit être adressée à Chris Perry (directeur général) ou à GDPR@ikonic.com

II. Ikonic Technology Ltd – Avis de confidentialité client

Ikonic Technology Ltd détient les données personnelles de ses clients et de leurs employés pour fournir ses services. Cette Notice de confidentialité des données clients détaille les données personnelles qu’Ikonic Technology Ltd peut conserver, traiter et partager avec des tiers concernant votre entreprise et ses employés. Ikonic Technology Ltd s’engage à garantir que vos informations soient sécurisées, exactes et pertinentes. Pour prévenir tout accès ou divulgation non autorisés, nous avons mis en place des procédures physiques, électroniques et managériales appropriées pour protéger et sécuriser les données personnelles que nous détenons.

Cette politique sera soumise à un examen périodique et il est recommandé de consulter ce document de temps à autre afin de vous assurer que vous êtes informé de toute modification applicable à la conservation, au traitement et au partage des données personnelles.

Voir www.ikonic.com pour la version actuelle.

Introduction

Nous respectons les droits à la vie privée des individus et nous engageons à traiter les informations personnelles de manière responsable et conformément à la législation applicable. Cet avis expose les informations personnelles que nous collectons et traitons en tant que traiteur de données, les objectifs du traitement et les droits qui y sont associés. Ikonic Technology Ltd est également considérée comme un responsable de traitement des données pour certaines données personnelles, y compris celles que nous stockons en lien avec la création et l’accès aux comptes utilisateurs, l’administration, les méthodes de traitement et l’accès aux services.

Si vous avez le moindre doute concernant les normes applicables, ou si vous avez des commentaires ou des questions concernant cet Avis, veuillez contacter Chris Perry (Directeur général – Ikonic Technology Ltd) GDPR@ikonic.com

Types d’informations personnelles que nous collectons

Lors de votre engagement avec Ikonic Technology Ltd, ou lors de négociations avec Ikonic Technology Ltd, nous pourrions traiter des informations personnelles à votre sujet, à vos employés et à d’autres personnes dont les informations personnelles nous ont été fournies. Les données que nous traitons dépendront des services que nous fournissons à votre entreprise.

Les types d’informations personnelles que nous pouvons traiter incluent :

• Données d’identification – telles que nom, sexe, photographie.
• Coordonnées – telles que l’adresse de domicile et d’entreprise, adresses téléphoniques/email.
• Détails d’emploi – comme le titre de poste/poste, l’emplacement du bureau.
• Informations informatiques – informations nécessaires pour fournir l’accès aux systèmes et réseaux d’Ikonic Technology Ltd tels que les adresses IP, les fichiers journaux et les informations de connexion.
• En général, nous essayons de ne collecter ni traiter de données personnelles sensibles concernant les clients et leurs employés, sauf autorisation légale ou nécessaire pour se conformer aux lois applicables.

Objectifs du traitement des informations personnelles

Notre base juridique pour la collecte et l’utilisation des informations personnelles décrites ci-dessus dépendra des informations personnelles concernées et du contexte spécifique dans lequel nous les recueillons.

Cependant, nous ne recueillons normalement des informations personnelles que lorsque nous avons votre consentement, lorsque nous avons besoin de ces informations personnelles pour conclure un contrat avec vous ou votre employeur (c’est-à-dire la prestation de services), ou lorsque le traitement est dans notre intérêt légitime et n’est pas outrepassé par vos intérêts de protection des données ou vos droits et libertés fondamentaux. Dans certains cas, nous pouvons également avoir l’obligation légale de collecter des informations personnelles auprès de vous ou avoir besoin de ces informations personnelles pour protéger vos intérêts vitaux ou ceux d’une autre personne.

Nous avons mis en place des politiques et des contrôles pour nous assurer que vos données ne sont pas perdues, détruites accidentellement, mal utilisées ou divulguées, et qu’elles ne soient pas consultées sans autorisation, et uniquement à des fins légales spécifiques.

Si vous avez des questions ou besoin d’informations supplémentaires concernant la base légale sur laquelle nous collectons et utilisons vos informations personnelles, veuillez contacter Ikonic Technology Ltd.

Objectifs contractuels

Nous utilisons ces informations personnelles lorsque cela est nécessaire pour la fourniture de nos services, conformément aux objectifs convenus entre notre client et Ikonic Technology Ltd.


Objectifs juridiques

Nous pouvons utiliser des informations personnelles lorsque nous les jugeons nécessaires pour respecter les lois et réglementations, y compris la collecte et la divulgation des informations personnelles des membres du personnel comme l’exige la loi ou une autorisation judiciaire, ou pour exercer ou défendre les droits légaux des entreprises du groupe Ikonic Technology Ltd.

Intérêt légitime

Nous pouvons également collecter et utiliser des informations personnelles lorsque cela est nécessaire à d’autres fins légitimes, comme pour nous aider à mener notre activité de manière plus efficace et efficiente – par exemple, pour la gestion générale de la sécurité informatique lors de l’audit de l’accès à nos plateformes. Nous pouvons également traiter vos informations personnelles pour enquêter sur des violations de la loi ou des violations de nos propres politiques internes.

Nous pouvons également collecter et traiter des informations personnelles lorsque nous les jugeons nécessaires pour l’intérêt légitime d’Ikonic Technology Ltd, notamment :

• enregistrement de tous les appels téléphoniques passés vers, ou depuis notre centre de conseils,
• commercialiser des services similaires à nos clients

Avec qui partageons nos informations personnelles

Nous veillons à ne permettre l’accès aux informations personnelles qu’à ceux qui en ont besoin pour accomplir leurs tâches et devoirs liés à la prestation de nos services, ainsi qu’aux tiers ayant un objectif légitime d’y accéder pour soutenir ces fins. Chaque fois que nous autorisons un tiers à accéder à des informations personnelles, nous mettrons en place des mesures appropriées pour garantir que ces informations sont utilisées conformément à cet avis et que la sécurité et la confidentialité de ces informations sont maintenues.

Transferts vers des fournisseurs de services tiers

De plus, nous mettons certaines informations personnelles à disposition de tiers qui nous fournissent des services. Nous le faisons sur la base du « besoin de savoir » avec des mesures de sécurité appropriées en place – cela est fait conformément à la législation applicable sur la protection des données.

Transferts à d’autres tiers

Nous pouvons également divulguer des informations personnelles à des tiers pour d’autres motifs juridiques, notamment :

• Pour respecter nos obligations légales, y compris, lorsque cela est nécessaire, respecter la loi, la réglementation ou le contrat, mais sans s’y limiter, une assignation, un audit gouvernemental ou un mandat de perquisition
• En réponse à des demandes légales des autorités publiques (y compris à des fins de sécurité nationale ou d’application de la loi)
• Si nécessaire pour établir, exercer ou défendre contre des litiges potentiels, menacés ou réels
• Lorsque cela est nécessaire pour protéger les intérêts vitaux de nos employés ou d’une autre personne
• En lien avec la vente, la cession ou tout autre transfert de tout ou partie de notre activité ; ou
• Avec votre consentement express.

Transfert d’informations personnelles à l’étranger

Nous pourrions avoir besoin de transférer des informations personnelles vers d’autres pays que ceux où elles ont été initialement collectées. Lorsque nous exportons vos informations personnelles vers un autre pays, nous prendrons des mesures pour garantir que ces exportations de données respectent les lois applicables. Par exemple, si nous transférons des informations personnelles de l’Espace économique européen vers un pays extérieur, comme les États-Unis, nous mettrons en place une solution appropriée d’exportation de données, comme la conclusion de clauses contractuelles standard de l’UE avec l’importateur ou la prise de mesures pour garantir un niveau adéquat de protection des données selon la législation européenne.


Périodes de conservation des données

Les informations personnelles seront conservées conformément aux lois applicables et conservées aussi longtemps que nécessaire pour remplir les objectifs décrits dans cet Avis ou selon l’exigence de la loi applicable. En général, cela signifie que vos informations personnelles seront conservées jusqu’à la fin de la relation avec Ikonic Technology Ltd, plus une période raisonnable par la suite.

Droits à la protection des données

Les droits suivants sont disponibles en vertu de la législation applicable sur la protection des données :

• Accès, correction, mise à jour ou demande de suppression des informations personnelles
• Nous nous opposons au traitement des informations personnelles, demandez-nous de restreindre le traitement des informations personnelles ou demandez la portabilité des informations personnelles.
• Si nous avons collecté et traité des informations personnelles avec le consentement d’une personne, celles-ci peuvent être retirées à tout moment. Le retrait du consentement n’affectera pas la légalité de tout traitement effectué avant le retrait, ni le traitement des informations personnelles effectué en se basant sur des motifs de traitement légaux autres que le consentement.
• Vous avez le droit de porter plainte auprès d’une autorité de protection des données concernant notre collecte et notre utilisation d’informations personnelles. Pour plus d’informations, veuillez contacter votre autorité locale de protection des données. Au Royaume-Uni, l’autorité de protection des données est le Bureau du Commissaire à l’Information dont le site web est https://ico.org.uk/

Nous répondons à toutes les demandes reçues de la part de personnes souhaitant exercer leurs droits à la protection des données conformément aux lois applicables sur la protection des données. Vous pouvez en savoir plus sur ces droits à l’adresse suivante : https://ico.org.uk/for-the-public/is-my-information-being-handled-correctly/

Mises à jour de cet avis

Cet Avis peut être mis à jour périodiquement pour refléter tout changement nécessaire dans nos pratiques de confidentialité. Dans de tels cas, une version mise à jour de cet avis sera téléchargée le www.ikonic.com. Tout changement significatif à la politique doit être rendu public directement. Nous vous encourageons à consulter cet avis périodiquement pour être informé de la version la plus récente.

Coordonnées

Veuillez répondre à toute question ou demande concernant cet avis à Chris Perry (Directeur général – Ikonic Technology Ltd) GDPR@ikonic.com

III. Ikonic Technology Ltd : Politique de protection des données

1. Introduction

Cette politique définit les obligations d’Ikonic Technology Ltd (« la Société ») en matière de protection des données et des droits des employés, clients, fournisseurs, plaignants et demandeurs de renseignements (« personnes concernées ») concernant leurs données personnelles en vertu du Règlement européen 2016/679 Règlement général sur la protection des données (« RGPD »).

Le RGPD définit les « données personnelles » comme toute information relative à une personne physique identifiée ou identificable (une « personne concernée ») ; Une personne physique identifiable est une personne qui peut être identifiée, directement ou indirectement, en particulier par référence à un identifiant tel qu’un nom, un numéro d’identification, des données de localisation, un identifiant en ligne, ou un ou plusieurs facteurs spécifiques à l’identité physique, physiologique, génétique, mentale, économique, culturelle ou sociale de cette personne naturelle.

Cette politique définit les obligations de la Société concernant la collecte, le traitement, le transfert, le stockage et la disposition des données personnelles. Les procédures et principes énoncés ici doivent être respectés en permanence par la Société, ses employés, agents, contractants ou autres parties œuvrant pour le compte de la Société.

La société s’engage à déployer tous les efforts raisonnables pour se conformer non seulement à la lettre de la loi, mais aussi à l’esprit de la loi, et accorde une grande importance à la gestion correcte, légale et équitable de toutes les données personnelles, en respectant les droits légaux, la vie privée et la confiance de toutes les personnes avec lesquelles elle traite.

2. Principes de protection des données

Cette politique vise à garantir la conformité au RGPD. Le RGPD énonce les principes suivants auxquels toute partie traitant des données personnelles doit se conformer. Toutes les données personnelles doivent être :

2.1 Traité de manière légale, équitable et transparente en relation avec la personne concernée.

2.2 Collecté à des fins spécifiques, explicites et légitimes et non traité d’une manière incompatible avec ces finalités. Un traitement ultérieur à des fins d’archivage dans l’intérêt public, la recherche scientifique ou historique ou statistique ne doit pas être considéré comme incompatible avec les objectifs initiaux.

2.3 Adéquate, pertinente et limitée à ce qui est nécessaire en lien avec les objectifs pour lesquels elle est traitée.

2.4 Précis et, si nécessaire, maintenu à jour. Chaque mesure raisonnable doit être prise pour garantir que les données personnelles inexactes, en tenant compte des objectifs pour lesquelles elles sont traitées, soient effacées ou corrigées sans délai.

2.5 Conservés sous une forme permettant l’identification des personnes concernées pour une durée maximale de ce qui est nécessaire pour les usages de traitement des données personnelles. Les données personnelles peuvent être conservées pour des périodes plus longues dans la mesure où elles seront traitées uniquement à des fins d’archivage dans l’intérêt public, la recherche scientifique ou historique, ou les statistiques nécessaires, sous réserve de la mise en œuvre des mesures techniques et organisationnelles appropriées exigées par le RGPD afin de protéger les droits et libertés de la personne concernée.

2.6 Traité de manière à garantir une sécurité appropriée des données personnelles, y compris la protection contre le traitement non autorisé ou illégal et contre la perte, la destruction ou les dommages accidentels, à l’aide de mesures techniques ou organisationnelles appropriées.

3. Les droits des sujets de données

Le RGPD énonce les droits suivants applicables aux personnes concernées (veuillez consulter les parties de cette politique indiquées pour plus de détails) :

3.1 Le droit d’être informé (Partie 12).

3.2 Le droit d’accès (Partie 13) ;

3.3 Le droit à la rectification (Partie 14) ;

3.4 Le droit à l’effacement (également appelé le « droit à l’oubli ») (Partie 15) ;

3.5 Le droit de restreindre le traitement (Partie 16) ;

3.6 Le droit d’objecter (Partie 17) ; et

4. Traitement des données légal, équitable et transparent

4.1 Le RGPD vise à garantir que les données personnelles soient traitées de manière légale, équitable et transparente, sans nuire aux droits de la personne concernée. Le RGPD stipule que le traitement des données personnelles est légal si au moins l’une des conditions suivantes s’applique :

4.1.1 La personne concernée a donné son consentement au traitement de ses données personnelles pour un ou plusieurs fins spécifiques ;

4.1.2 Le traitement est nécessaire pour l’exécution d’un contrat auquel la personne concernée est partie, ou pour prendre des mesures à la demande de la personne concernée avant de conclure un contrat avec elle ;

4.1.3 Le traitement est nécessaire pour le respect d’une obligation légale à laquelle le responsable des données est soumis ;

4.1.4 Le traitement est nécessaire pour protéger les intérêts essentiels de la personne concernée ou d’une autre personne physique ;

4.1.5 Le traitement est nécessaire pour l’exécution d’une tâche réalisée dans l’intérêt public ou dans l’exercice de l’autorité officielle conférée au responsable des données ; ou

4.1.6 Le traitement est nécessaire aux fins des intérêts légitimes poursuivis par le responsable de traitement des données ou par un tiers, sauf lorsque ces intérêts sont dépassés par les droits et libertés fondamentaux de la personne concernée nécessitant la protection des données personnelles, en particulier lorsque la personne concernée est un enfant.

5. Objectifs spécifiés, explicites et légitimes

5.1 La société collecte et traite les données personnelles énoncées dans la Partie 18 de cette politique. Cela inclut :

5.1.1 Données personnelles collectées directement auprès des personnes concernées, par exemple les coordonnées utilisées lorsqu’une personne concernée communique avec nous.

5.1.2 Données personnelles obtenues auprès de tiers, par exemple les coordonnées utilisées auprès d’un fournisseur de données tiers à des fins marketing ou les prospects commerciaux fournis par nos partenaires produits.

5.2 La société collecte, traite et détient uniquement les données personnelles pour les finalités spécifiques définies dans la Partie 18 de cette politique (ou pour d’autres usages expressément autorisés par le RGPD).

5.3 Les personnes concernées sont tenues informées en permanence de l’objet ou des finalités pour lesquelles la Société utilise ses données personnelles. Veuillez consulter la Partie 12 pour plus d’informations sur la manière de tenir les personnes concernées informées.

6. Traitement des données adéquat, pertinent et limité

La Société ne collectera et traitera les données personnelles que dans la mesure nécessaire pour l’objectif spécifique ou les objectifs dont les personnes concernées ont été informées (ou seront informées) conformément à la Partie 5, ci-dessus, et comme énoncé à la Partie 18, ci-dessous.

7. Précision des données et mise à jour des données

7.1 La Société veillera à ce que toutes les données personnelles collectées, traitées et détenues par elle soient maintenues exactes et à jour. Cela inclut, sans s’y limiter, la rectification des données personnelles à la demande d’une personne concernée, comme indiqué dans la Partie 14 ci-dessous.

7.2 L’exactitude des données personnelles doit être vérifiée lors de leur collecte et à intervalles réguliers par la suite. Si des données personnelles sont jugées inexactes ou obsolètes, toutes les mesures raisonnables seront prises sans délai pour modifier ou effacer ces données, selon le cas.

8. Conservation des données

8.1 La Société ne conservera pas les données personnelles plus longtemps que nécessaire en raison de la ou des finalités pour lesquelles ces données personnelles ont été initialement collectées, conservées et traitées.

8.2 Lorsque les données personnelles ne seront plus requises, toutes les mesures raisonnables seront prises pour les effacer ou les éliminer sans délai.

9. Traitement sécurisé

La Société veillera à ce que toutes les données personnelles collectées, détenues et traitées soient protégées et sécurisées contre tout traitement non autorisé ou illégal, ainsi que contre la perte accidentelle, la destruction ou les dommages. Des détails supplémentaires sur les mesures techniques et organisationnelles à prendre sont fournis dans les parties 19 à 24 de la présente Politique de protection des données (RGPD) v2.1 4

10. Responsabilité et tenue de dossiers

10.1 Le Directeur Général (MD) est responsable de la gestion des politiques et des processus et peut être contacté à l’adresse ci-dessus ou via GPDR@ikonic.com

10.2 Le DG est chargé de superviser la mise en œuvre de cette Politique et de surveiller le respect de cette Politique, des autres politiques de protection des données de la Société, ainsi que du RGPD et des autres lois applicables sur la protection des données.

10.3 La Société conservera des registres internes écrits de toute collecte, conservation et traitement des données personnelles, qui intégreront les informations suivantes :

10.3.1 Le nom et les détails de la société, de son directeur général et de tout traitement de données tiers applicable ;

10.3.2 Les finalités pour lesquelles la Société collecte, détient et traite des données personnelles ;

10.3.3 Détails des catégories de données personnelles collectées, détenues et traitées par la Société, ainsi que des catégories de données concernées par ces données personnelles ;

10.3.4 Détails de tout transfert de données personnelles vers des pays hors EEE, y compris tous les mécanismes et garanties de sécurité ;

10.3.5 Détails sur la durée de conservation des données personnelles par la Société (veuillez consulter la Politique de conservation des données de la Société) ; et

10.3.6 Descriptions détaillées de toutes les mesures techniques et organisationnelles prises par la Société pour garantir la sécurité des données personnelles.

11. Évaluations d’impact sur la protection des données

11.1 La Société effectuera des évaluations d’impact sur la protection des données pour tout nouveau projet et/ou nouvelle utilisation des données personnelles.

11.2 Les évaluations d’impact sur la protection des données seront supervisées par le responsable de la protection des données et doivent traiter des points suivants :

11.2.1 Le(s) type(s) de données personnelles qui seront collectées, conservées et traitées ;

11.2.2 Le(s) but(s) pour lequel les données personnelles doivent être utilisées ;

11.2.3 Les objectifs de la Compagnie ;

11.2.4 Comment les données personnelles doivent être utilisées ;

11.2.5 Les parties (internes et/ou externes) qui doivent être consultées ;

11.2.6 La nécessité et la proportionnalité du traitement des données par rapport à l’ou aux objectifs pour lesquels il est traité ;

11.2.7 Risques posés aux sujets des données ;

11.2.8 Risques posés à la fois au sein et à la Société ; et

11.2.9 Mesures proposées pour minimiser et gérer les risques identifiés.

12. Tenir informés les sujets des données

12.1 La Société doit fournir les informations énoncées à la Partie 12.2 à chaque personne concernée :

12.1.1 Lorsque des données personnelles sont collectées directement auprès des personnes concernées, ces personnes concernées seront informées de leur objectif au moment de la collecte ; et

12.1.2 Lorsque des données personnelles sont obtenues auprès d’un tiers, les personnes concernées seront informées de leur objectif :

1. a) si les données personnelles sont utilisées pour communiquer avec la personne concernée, lors de la première communication ; ou
2. b) si les données personnelles doivent être transférées à une autre partie, avant que ce transfert ne soit effectué ; ou

12.2 Les informations suivantes doivent être fournies :

12.2.1 Détails sur la société, y compris, mais sans s’y limiter, l’identité de son directeur général ;

12.2.2 Le(s) but(s) pour lequel les données personnelles sont collectées et seront traitées (comme détaillé dans la Partie 18 de cette politique) ainsi que la base juridique justifiant cette collecte et ce traitement ;

12.2.3 Lorsque applicable, les intérêts légitimes sur lesquels la société justifie la collecte et le traitement des données personnelles ;

12.2.4 Lorsque les données personnelles ne sont pas obtenues directement de la personne concernée, les catégories de données personnelles collectées et traitées ;

12.2.5 Lorsque les données personnelles doivent être transférées à un ou plusieurs tiers, les détails de ces parties ;

12.2.6 Lorsque les données personnelles doivent être transférées à un tiers situé en dehors de l’Espace économique européen (l’« EEE »), détails de ce transfert, y compris mais sans s’y limiter les garanties en place (voir la Partie 25 de cette Politique pour plus de détails) ;

12.2.7 Détails de la conservation des données ;

12.2.8 Détails des droits des personnes concernées en vertu du RGPD ;

12.2.9 Détails sur le droit de la personne concernée de retirer à tout moment son consentement au traitement de ses données personnelles par la société ;

12.2.10 Détails du droit de la personne concernée de porter plainte auprès du Bureau du Commissaire à l’Information (« l’autorité de surveillance » au sens du RGPD) ;

12.2.11 Lorsque applicable, détails de toute exigence ou obligation légale ou contractuelle nécessitant la collecte et le traitement des données personnelles ainsi que les détails de toute conséquence en cas de non-fourniture ; et

12.2.12 Détails de toute prise de décision automatisée ou profilage qui aura lieu à partir des données personnelles, y compris les informations sur la manière dont les décisions seront prises, leur importance et les éventuelles conséquences.

13. Accès aux données

13.1 Les personnes concernées peuvent à tout moment faire des demandes d’accès aux personnes concernées (« SAR ») pour en savoir plus sur les données personnelles que la Société détient à leur sujet, ce qu’elle fait avec ces données personnelles et pourquoi.

13.2 Les personnes concernées souhaitant effectuer un SAR peuvent le faire par écrit au directeur général de la société à l’adresse ci-dessus.

13.3 Les réponses aux SAR doivent normalement être faites dans un délai d’un mois suivant leur réception, cependant cela peut être prolongé jusqu’à deux mois si le SAR est complexe et/ou si de nombreuses demandes sont faites. Si un délai supplémentaire est nécessaire, la personne concernée doit être informée.

13.4 Tous les SAR reçus doivent être gérés par le directeur général de la société.

13.5 La société ne facture pas de frais pour la gestion des SAR normaux. La société se réserve le droit de facturer des honoraires raisonnables pour des copies supplémentaires d’informations déjà fournies à une personne concernée, ainsi que pour les demandes manifestement infondées ou excessives, en particulier lorsque ces demandes sont répétitives.

14. Rectification des données personnelles

14.1 Les personnes concernées ont le droit d’exiger que la Société corrige toute donnée personnelle inexacte ou incomplète.

14.2 La Société doit rectifier les données personnelles en question et informer la personne concernée de cette rectification, dans un délai d’un mois suivant l’information de la société sur le problème. La période peut être prolongée jusqu’à deux mois en cas de demandes complexes. Si un délai supplémentaire est nécessaire, la personne concernée doit être informée.

14.3 Dans le cas où des données personnelles concernées ont été divulguées à des tiers, ces parties seront informées de toute rectification à effectuer à ces données.

15. Effacement des données personnelles

15.1 Les personnes concernées ont le droit de demander à la Société d’effacer les données personnelles qu’elle détient à leur sujet dans les circonstances suivantes :

15.1.1 Il n’est plus nécessaire que la Société détienne ces données personnelles en lien avec l’ou les objectifs pour lesquels elles ont été initialement collectées ou traitées ;

15.1.2 La personne concernée souhaite retirer son consentement à ce que la Société détienne et traite ses données personnelles ;

15.1.3 La personne concernée s’oppose à ce que la Société détienne et traite ses données personnelles (et il n’existe aucun intérêt légitime primordial permettant à la Société de continuer à le faire) (voir la Partie 17 de cette Politique pour plus de détails concernant le droit de s’opposer) ;

15.1.4 Les données personnelles ont été traitées illégalement ;

15.1.5 Les données personnelles doivent être effacées afin que la société puisse se conformer à une obligation légale particulière.

15.2 Sauf si la société dispose de motifs raisonnables de refuser d’effacer les données personnelles, toutes les demandes d’effacement seront satisfaites et la personne concernée informée de l’effacement dans un délai d’un mois suivant la réception de la demande de la personne concernée. La période peut être prolongée jusqu’à deux mois en cas de demandes complexes. Si un délai supplémentaire est nécessaire, la personne concernée doit être informée.

15.3 Dans le cas où des données personnelles devant être effacées en réponse à la demande d’une personne concernée ont été divulguées à des tiers, ces parties seront informées de l’effacement (sauf si cela est impossible ou nécessiterait un effort disproportionné).

16. Restriction du traitement des données personnelles

16.1 Les personnes concernées peuvent demander à la Société de cesser de traiter les données personnelles qu’elle détient à leur sujet. Si une personne concernée fait une telle demande, la société ne conservera que la quantité de données personnelles concernant cette personne concernée (le cas échéant) nécessaire pour garantir que les données personnelles concernées ne soient pas traitées davantage.

16.2 Dans le cas où des données personnelles concernées ont été divulguées à des tiers, ces parties seront informées des restrictions applicables au traitement (sauf si cela est impossible ou nécessiterait un effort disproportionné).

17. Objections au traitement des données personnelles

17.1 Les personnes concernées ont le droit de s’opposer au traitement de leurs données personnelles par la société sur la base d’intérêts légitimes, de marketing direct (y compris le profilage).

17.2 Lorsqu’une personne concernée s’oppose au traitement de ses données personnelles par la Société sur la base de ses intérêts légitimes, la Société cesse immédiatement ce traitement, sauf s’il est démontré que les motifs légitimes de la Société pour ce traitement l’emportent sur les intérêts, droits et libertés de la personne concernée, ou que le traitement est nécessaire à la conduite des réclamations juridiques.

17.3 Lorsqu’une personne concernée s’oppose au traitement de ses données personnelles par la Société à des fins de marketing direct, la Société cesse immédiatement ce traitement.

18. Données personnelles collectées, conservées et traitées

Les données personnelles suivantes sont collectées, conservées et traitées par la Société :

18.1 Noms de personnes – Inclura les noms de contact des clients, fournisseurs, employés et ceux de notre base de données marketing (y compris les titres de postes). Les noms sont stockés et utilisés pour faciliter le contact avec ces personnes. Les noms du personnel sont conservés dans les dossiers RH, ainsi que d’autres données personnelles nécessaires au traitement de la paie.

18.2 Adresses postales – Les adresses personnelles du personnel sont conservées dans les dossiers RH pour faciliter les contacts pour la paie et la retraite. Aucune adresse personnelle n’est conservée pour d’autres contacts.

18.3 Adresses e-mail – Collectées et conservées lors de communications avec des contacts et des personnes de notre base de données marketing.

18.4 Numéros de téléphone – Collectés et conservés lors de la communication avec les contacts et les membres de notre base de données marketing.

19. Sécurité des données – Transfert de données personnelles et de communications

La Société veillera à ce que les mesures suivantes soient prises concernant toutes les communications et autres transferts impliquant des données personnelles :

19.1 Tous les e-mails contenant des données personnelles doivent être chiffrés.

19.2 Tous les courriels contenant des données personnelles doivent être marqués « restreint » ;

19.3 Les données personnelles ne peuvent être transmises que sur des réseaux sécurisés ; La transmission sur des réseaux non sécurisés n’est en aucune circonstance autorisée ;

19.4 Lorsque des données personnelles doivent être envoyées par télécopieur, le destinataire doit être informé à l’avance de la transmission et doit attendre par le fax pour recevoir les données ;

19.5 Lorsque des données personnelles doivent être transférées sous forme papier, elles doivent être transmises directement au destinataire ou envoyées par livraison enregistrée.

20. Sécurité des données – Stockage

La Société veillera à ce que les mesures suivantes soient prises concernant le stockage des données personnelles :

20.1 Toutes les copies électroniques des données personnelles doivent être stockées de manière sécurisée à l’aide de mots de passe et de chiffrement des données ;

20.2 Toutes les copies papier des données personnelles, ainsi que les copies électroniques stockées sur support physique amovible, doivent être stockées en toute sécurité dans une boîte, un tiroir, un placard ou un autre verrouillé ;

20.3 Toutes les données personnelles stockées électroniquement doivent être sauvegardées. Toutes les sauvegardes doivent être chiffrées ;

20.4 Aucune donnée personnelle ne doit être stockée sur aucun appareil mobile (y compris, mais sans s’y limiter, les ordinateurs portables, tablettes et smartphones), que ce dispositif appartienne à la Société ou autrement, sans l’approbation écrite formelle de l’administrateur responsable de la conservation de ces informations et, en cas d’approbation, strictement conformément à toutes les instructions et limitations décrites au moment de l’accord, et pas plus longtemps que ce qui est absolument nécessaire ; et

20.5 Aucune donnée personnelle ne doit être transférée à un appareil appartenant personnellement à un employé et les données personnelles ne peuvent être transférées qu’à des appareils appartenant à des agents, sous-traitants ou autres parties travaillant pour le compte de la Société lorsque la partie concernée a accepté de se conformer pleinement à la lettre et à l’esprit de cette Politique et du RGPD (ce qui peut inclure la preuve à la Société que toutes les mesures techniques et organisationnelles appropriées ont été prises pris).

21. Sécurité des données – Élimination

Lorsque des données personnelles doivent être effacées ou éliminées pour quelque raison que ce soit (y compris lorsque des copies ont été faites et ne sont plus nécessaires), elles doivent être supprimées et éliminées en toute sécurité. Pour plus d’informations sur la suppression et l’élimination des données personnelles, veuillez consulter la Politique de conservation des données de l’entreprise.

22. Sécurité des données – Utilisation des données personnelles

La Société veillera à ce que les mesures suivantes soient prises concernant l’utilisation des données personnelles :

22.1 Aucune donnée personnelle ne peut être partagée de manière informelle et si un employé, un agent, un sous-traitant ou une autre partie travaillant pour le compte de la Société nécessite l’accès à des données personnelles auxquelles il n’a pas déjà accès, cet accès doit être formellement demandé à l’administrateur responsable de la conservation de ces informations ;

22.2 Aucune donnée personnelle ne peut être transférée à des employés, agents, contractants ou autres parties, que ces parties travaillent ou non pour le compte de la Société, sans l’autorisation de l’administrateur responsable de la conservation de ces informations ;

22.3 Les données personnelles doivent être manipulées avec soin en tout temps et ne doivent pas être laissées sans surveillance ni à la disposition des employés, agents, sous-traitants ou autres parties non autorisées à aucun moment ;

22.4 Si des données personnelles sont visionnées sur un écran d’ordinateur et que l’ordinateur en question doit rester sans surveillance pendant une période donnée, l’utilisateur doit verrouiller l’ordinateur et l’écran avant de le quitter ; et

22.5 Lorsque les données personnelles détenues par la Société sont utilisées à des fins marketing, il incombe au Responsable Marketing de s’assurer que le consentement approprié est obtenu et qu’aucune personne concernée ne s’est déconnectée, que ce soit directement ou via un service tiers tel que le TPS.

23. Sécurité des données – Sécurité informatique

La Société veillera à ce que les mesures suivantes soient prises en matière de sécurité informatique et de l’information :

Les mots de passe 23.1 sont utilisés pour protéger les données personnelles, conformément à notre système de gestion de la sécurité de l’information.

23.2 En aucun cas aucun mot de passe ne doit être écrit ou partagé entre des employés, agents, contractuels ou autres parties travaillant pour le compte de la société, quel que soit l’ancienneté ou le département. Si un mot de passe est oublié, il doit être réinitialisé selon la méthode applicable.

23.3 Tous les logiciels (y compris, mais sans s’y limiter, les applications et systèmes d’exploitation) doivent être maintenus à jour. Le personnel informatique de la société sera responsable de l’installation de toutes les mises à jour liées à la sécurité dès que possible, de manière raisonnable et pratique, sauf si des raisons techniques valables de ne pas le faire.

24. Mesures organisationnelles

La Société veillera à ce que les mesures suivantes soient prises concernant la collecte, la conservation et le traitement des données personnelles :

24.1 Tous les employés, agents, contractants ou autres parties travaillant pour le compte de la Société doivent être pleinement informés à la fois de leurs responsabilités individuelles et de celles de la Société en vertu du RGPD et de la présente Politique, et doivent recevoir une copie de cette Politique ;

24.2 Seuls les employés, agents, sous-traitants ou autres parties travaillant pour le compte de la Société ayant besoin d’accès aux données personnelles et d’utilisation des données personnelles pour exercer correctement leurs fonctions assignées auront accès aux données personnelles détenues par la Société ;

24.3 Tous les employés, agents, contractants ou autres parties travaillant pour le compte de la société traitant des données personnelles seront dûment formés pour le faire ;

24.4 Tous les employés, agents, contractants ou autres parties travaillant pour le compte de la société traitant des données personnelles seront supervisés de manière appropriée ;

24.5 Tous les employés, agents, contractuels ou autres parties travaillant pour le compte de la société traitant des données personnelles doivent être tenus et encouragés à faire preuve de prudence, de prudence et de discernement lorsqu’ils discutent de questions liées au travail relatives à des données personnelles, que ce soit sur le lieu de travail ou autrement ;

24.6 Les méthodes de collecte, de conservation et de traitement des données personnelles doivent être régulièrement évaluées et examinées ;

24.7 Toutes les données personnelles détenues par la Société doivent être examinées périodiquement, comme indiqué dans la politique de conservation des données de la Société ;

24.8 Les performances des employés, agents, contractuels ou autres parties travaillant pour le compte de la société traitant des données personnelles doivent être régulièrement évaluées et examinées ;

24.9 Tous les employés, agents, contractants ou autres parties travaillant pour le compte de la société traitant des données personnelles seront tenus de le faire conformément aux principes du RGPD et à la présente politique par contrat ;

24.10 Tous les agents, contractants ou autres parties travaillant pour le compte de la Société traitant des données personnelles doivent s’assurer que tous leurs employés impliqués dans le traitement des données personnelles sont soumis aux mêmes conditions que les employés concernés de la Société découlant de cette Politique et du RGPD ; et

24.11 Lorsque tout agent, contractant ou autre partie travaillant pour le compte de la société traitant des données personnelles ne respecte pas ses obligations en vertu de cette politique, cette partie doit indemniser et dégager la société contre tout coût, responsabilité, dommages, pertes, réclamations ou procédures pouvant découler de cette défaillance.

25. Transfert de données personnelles vers un pays hors EEE

25.1 La Société peut, de temps à autre, transférer (« transfert » inclut la mise à disposition à distance) de données personnelles vers des pays hors de l’EEE.

25.2 Le transfert de données personnelles vers un pays hors EEE ne doit avoir lieu que si une ou plusieurs des conditions suivantes s’appliquent :

25.2.1 Le transfert est effectué vers un pays, un territoire ou un ou plusieurs secteurs spécifiques de ce pays (ou une organisation internationale), que la Commission européenne a déterminé garantissant un niveau adéquat de protection des données personnelles ;

25.2.2 Le transfert est à un pays (ou organisation internationale) qui prévoit des garanties appropriées sous forme d’un accord juridiquement contraignant entre autorités ou organismes publics ; des règles d’entreprise contraignantes ; les clauses standard de protection des données adoptées par la Commission européenne ; le respect d’un code de conduite approuvé par une autorité de surveillance (par exemple le Bureau du Commissaire à l’Information) ; certification dans le cadre d’un mécanisme de certification approuvé (tel que prévu par le RGPD) ; des clauses contractuelles convenues et autorisées par l’autorité de surveillance compétente ; ou dispositions insérées dans les arrangements administratifs entre autorités publiques ou organismes autorisés par l’autorité de surveillance compétente ;

25.2.3 Le transfert est effectué avec le consentement éclairé des personnes concernées ;

25.2.4 Le transfert est nécessaire pour l’exécution d’un contrat entre la personne concernée et la société (ou pour les étapes précontractuelles entreprises à la demande de la personne concernée) ;

25.2.5 Le transfert est nécessaire pour des raisons importantes d’intérêt public ;

25.2.6 Le transfert est nécessaire à la conduite des réclamations juridiques ;

25.2.7 Le transfert est nécessaire pour protéger les intérêts vitaux de la personne concernée ou d’autres individus lorsque celle-ci est physiquement ou légalement incapable de donner son consentement ; ou

25.2.8 Le transfert est effectué à partir d’un registre qui, en vertu du droit britannique ou européen, est destiné à fournir des informations au public et qui est accessible au public en général ou autrement à ceux pouvant manifester un intérêt légitime à accéder au registre.

26. Notification de violation de données

26.1 Toutes les violations de données personnelles doivent être signalées immédiatement au responsable de la protection des données de la société.

26.2 Si une violation de données personnelles survient et que cette violation risque de mettre en danger les droits et libertés des personnes concernées (par exemple, perte financière, violation de confidentialité, discrimination, atteinte à la réputation ou tout autre préjudice social ou économique important), le responsable de la protection des données doit s’assurer que le Bureau du Commissaire à l’Information soit informé de la violation sans délai, et en tout cas, dans les 72 heures suivant l’avoir prise conscience.

26.3 Dans le cas où une violation de données personnelles risque de concrétiser un risque élevé (c’est-à-dire plus élevé que celui décrit à la partie 26.2) pour les droits et libertés des personnes concernées, le responsable de la protection des données doit veiller à ce que toutes les personnes concernées soient informées directement et sans délai indu.

26.4 Les notifications de violations de données doivent inclure les informations suivantes :

26.4.1 Les catégories et le nombre approximatif de sujets de données concernés ;

26.4.2 Les catégories et le nombre approximatif d’enregistrements de données personnelles concernés ;

26.4.3 Le nom et les coordonnées du directeur général (ou d’un autre point de contact où plus d’informations peuvent être obtenues) ;

26.4.4 Les conséquences probables de la violation ;

26.4.5 Détails des mesures prises, ou proposées par la Société pour traiter la rupture, y compris, le cas échéant, des mesures visant à atténuer ses effets indésirables potentiels.

27. Mise en œuvre de la politique

Cette politique sera considérée comme effective à compter du 25 mai 2018. Aucune partie de cette politique n’aura d’effet rétroactif et ne s’appliquera donc qu’aux affaires survenant à cette date ou après cette date.

IV. Déclaration de sécurité des données clients d’Ikonic Technology Ltd

Toutes les données recueillies par Ikonic Technology Ltd sont traitées afin de nous permettre de vous fournir nos services.

Mesures de sécurité des données

Ikonic Technology Ltd a beaucoup investi à la fois dans la sécurité physique et virtuelle. Toutes les données liées aux clients sont conservées soit de manière sécurisée dans un environnement sécurisé sur site, soit hors site dans des centres de données hautement sécurisés de niveau entreprise.

Les centres de données hors site sont protégés par des couches de sécurité « défense en profondeur » comprenant des clôtures périmétriques, des caméras vidéo, du personnel de sécurité, des entrées sécurisées et des réseaux de communication en temps réel. Ce modèle de sécurité multi-couches est utilisé dans toutes les zones de l’installation, y compris chaque unité serveur physique.

Les contrôles techniques en place incluent, sans s’y limiter, les suivants :

• L’accès aux serveurs est limité au réseau Ikonic Technology Ltd utilisant des pare-feux matériels dédiés
• Les listes d’accès sur les pare-feux sont basées sur des ports ouverts spécifiques uniquement pour les applications. Tous les autres ports sont bloqués
• Les serveurs web sont hautement sécurisés et disposent de fonctionnalités intégrées capables de protéger diverses menaces
• Les serveurs et PC sont protégés et régulièrement scannés avec les meilleurs antivirus / espions/malwares mis à jour disponibles, mis à jour conformément à nos politiques et processus de correctifs
• Les serveurs et les PC disposent de fonctionnalités intégrées, par exemple des politiques dynamiques basées sur des règles pour protéger les dossiers et fichiers partagés, ainsi que le chiffrement des disques durs pour améliorer la sécurité et la gestion des données
• L’audit de sécurité est activé comme une fonctionnalité d’évaluation des risques, qui aide à identifier les attaques (réussies ou non) qui représentent une menace pour notre réseau ou les attaques contre les ressources
• Les données contenues sont chiffrées au repos et en transit ; cela inclut les fichiers stockés sur nos serveurs et l’utilisation d’un TLS opportuniste, au minimum, pour tout le trafic email.

Accès au système

L’accès aux données est strictement contrôlé par nos contrôles d’accès basés sur les rôles, qui sont maintenus conformément à nos politiques.

Formation et sensibilisation

Tous les employés d’Ikonic Technology Ltd ayant accès à des données personnelles ou des clients reçoivent une formation appropriée en protection des données et en sécurité de l’information. Cela est soutenu par des campagnes de sensibilisation visant à promouvoir les meilleures pratiques et à promouvoir une bonne gouvernance de l’information.

Gouvernance de l’information et sécurité informatique – Foire aux questions

Gouvernance et normes

Q : Un mécanisme existe-t-il pour garantir que vos employés et sous-traitants reçoivent une formation appropriée à la sensibilisation à la sécurité de l’information lors de leur nomination, ainsi que des mises à jour régulières des politiques et procédures organisationnelles, selon leur fonction professionnelle ?
R : Oui. Ikonic Technology Ltd propose des cours de protection des données et de sensibilisation à l’information ainsi que des cours d’apprentissage en ligne pour le personnel concerné ; Cela est soutenu par une variété supplémentaire de communications sur la protection des données et la sécurité de l’information. Les cours eLearning incluent des évaluations ; Les mauvaises performances sont enregistrées et suivies pour garantir que les responsabilités du personnel soient comprises.

La formation est intégrée dans le processus d’intégration et une formation sur mesure est dispensée pour des rôles et départements spécifiques.

Q : Des procédures opérationnelles de sécurité régissent-elles l’utilisation de vos systèmes TIC ?

R : Ikonic Technology Ltd dispose de politiques, processus et procédures pour répondre aux domaines suivants (ce n’est pas exhaustif) :

• Travail à domicile et mobile
• Protection des données
• Sécurité de l’information
• Utilisation acceptable
• Gestion des risques
• Gestion des incidents
• Gestion des violations de données
• Continuité des activités et reprise après sinistre
• Gestion des actifs
• Développement logiciel

Ces politiques sont mises à la disposition de tout le personnel et sont révisées soit lorsqu’un changement est nécessaire, soit, au minimum, une fois tous les 12 mois.

Q : Des politiques et des contrôles sont-ils en place pour garantir que les systèmes informatiques sont protégés contre les codes malveillants et mobiles et sont corrigés en temps opportun contre les vulnérabilités connues ?

R : Oui, Ikonic Technology Ltd a des politiques, des processus (y compris l’automatisation des correctifs) pour garantir que les systèmes sont corrigés contre les vulnérabilités connues et les protéger contre les menaces malveillantes.

Q : Les politiques et procédures d’Ikonic Technology Ltd couvrent-elles le contrôle, la protection, l’utilisation sécurisée et la destruction des supports de stockage électroniques ?

R : Oui

Q : Des politiques et des contrôles sont-ils en place pour gérer les risques liés au travail dans des environnements non sécurisés ?

R : Oui

Q : Votre entreprise a-t-elle une personne de haut niveau responsable de la sécurité de nos informations sous votre garde ?

R : La gouvernance de l’information (y compris la protection des données et la sécurité de l’information) relève de la responsabilité du Directeur Général. La mise en œuvre technique de la sécurité relève de la responsabilité des responsables informatiques.

Q : Les rôles et responsabilités en matière de sécurité de vos employés sont-ils clairement définis et documentés conformément à la politique de sécurité de l’information de votre organisation ?

R : Oui, toutes les responsabilités sont définies et documentées dans toutes les politiques du cadre de gouvernance de l’information, y compris la sécurité de l’information, la protection des données et la politique informatique.

Q : Une approche d’entreprise de la gestion des risques existe-t-elle permettant d’escalader les risques de projet vers les registres de gestion des risques au niveau des programmes et/ou organisationnels ?

R : La gestion des activités de gestion des risques est assurée par l’équipe de gestion informatique, tous les risques de l’entreprise étant intégrés au Registre des risques d’entreprise d’Ikonic Technology Ltd. Le Conseil supervise pleinement les risques et des niveaux suffisants de voies d’escalade existent pour gérer efficacement tout risque au-dessus ou hors de l’appétit pour le risque de l’organisation.

Continuité des activités / Reprise après sinistre et sauvegardes

Q : Avez-vous mis en place un BCP (Plan de continuité des activités) et un DRP (Plan de reprise après sinistre) ?

R : Oui – Ikonic Technology Ltd examine continuellement ces plans lors de la mise à jour des services et des processus afin de s’assurer que tous les aspects de nos services sont inclus dans son champ d’action. Nos données sont sauvegardées à la fois sur site et à distance.

Q : La sauvegarde des données est-elle chiffrée et selon quelle norme ?

R : Les données de sauvegarde sont chiffrées.

Gestion des données

Q : Existe-t-il un processus pour garantir que les médias sont supprimés de manière sécurisée à disposition ?

R : Tout le matériel physique contenant des données personnelles est éliminé en toute sécurité par des fournisseurs de WEEE approuvés, évalués selon les normes de sécurité d’Ikonic Technology Ltd.

Q : Un propriétaire a-t-il été assigné à tous les actifs d’information nécessitant une protection ?

R : Oui

Évaluation de la sécurité et gestion des incidents

Q : Des analyses de vulnérabilités sont-elles effectuées régulièrement ?

R : Des analyses de vulnérabilités sont effectuées régulièrement sur tous les systèmes clés, afin de garantir qu’Ikonic Technology Ltd continue de protéger les données qu’elle détient. Cela inclut, sans s’y limiter, les éléments suivants :

• Balayage des ports
• Sondes des services
• Recherche d’exploits
• Tests de couche application
• Test de la puissance du mot de passe
• Tests et vérifications manuelles des vulnérabilités
• Tests et Vérification Manuels des Faiblesses de Configuration
• Tests de contrôle de sécurité des bases de données

Tout risque ou vulnérabilité identifié est immédiatement corrigé par des actions correctives appropriées.

Q : Les évaluations de sécurité sont-elles effectuées à intervalles réguliers ?

R : Des évaluations internes et externes sont régulièrement menées dans le cadre de nos programmes de sécurité de l’information et de protection des données afin de surveiller l’efficacité de nos contrôles. Les zones couvertes incluent, sans s’y limiter, les suivantes :

• Sécurité périmétrique
• Contrôle d’accès
• Des espaces sécurisés et/ou des armoires pour le stockage des actifs sensibles.

Q : Existe-t-il une procédure d’incident de sécurité ?

R : Notre politique et notre processus de gestion des incidents contiennent des dispositions supplémentaires pour les violations de données et les incidents de sécurité. Cela inclut l’identification d’une violation ou d’un incident, le périmètre établi, la notification aux tiers/personnes concernées ainsi que toutes les enquêtes et actions correctives.

Développement logiciel et sécurité

Q : L’application a-t-elle été développée en conformité avec des cadres structurés ou des directives ?

R : Tout développement logiciel est réalisé de manière appropriée et intègre le principe de « confidentialité dès la conception » afin de garantir que tous les aspects du développement sont sécurisés et respectent les obligations légales ainsi que les attentes des clients en matière de protection des données et de sécurité de l’information.

Q : Un processus existe-t-il pour gérer les changements de systèmes, c’est-à-dire la gestion des capacités et la séparation des environnements de test ?

R : Tout le développement logiciel est réalisé conformément à la politique de protection des données et à la politique de développement logiciel d’Ikonic Technology Ltd. Ces politiques garantissent que toutes les données sont traitées conformément aux exigences légales et que les environnements de test sont séparés des environnements réels. Un processus de contrôle des changements est utilisé pour surveiller et examiner tous les changements proposés aux systèmes – tout changement affectant les données personnelles est également évalué selon les exigences relatives aux évaluations d’impact sur la protection des données.

Q : Les mots de passe des utilisateurs sont-ils hachés / comment sont-ils stockés ?

R : Les mots de passe sont hachés et chiffrés.

Contrôles d’accès et gestion des administrateurs

Q : Des contrôles d’accès existent-ils pour garantir que les informations ne soient accessibles qu’aux utilisateurs du système qui en ont besoin ?

R : Oui, Ikonic Technology Ltd applique le principe du contrôle d’accès basé sur les rôles afin de garantir que les données ne soient accessibles qu’à ceux qui ont besoin d’un accès dans le cadre de leurs activités principales.

Q : Pour l’accès via Internet, les administrateurs ou les accès privilégiés sont-ils correctement protégés ?

R : Une variété d’authentification et de technologies, y compris des restrictions IP, sont utilisées pour limiter davantage l’accès aux données.

Télétravail et gestion des appareils mobiles

Q : En ce qui concerne les systèmes TIC utilisés pour fournir votre service, lequel des points suivants est vrai ?

• Nous autorisons le télétravail
• Nous permettons au personnel de connecter ses propres appareils à nos systèmes TIC

R : Des contrôles de sécurité et des processus stricts sont en place pour minimiser les risques liés au travail à distance, cela inclut le chiffrement des appareils, le trafic VPN sécurisé et l’utilisation de logiciels de gestion mobile pour définir les contrôles des organisations sur les appareils distants. Seuls les appareils approuvés, fournis par Ikonic Technology Ltd, sont autorisés à être utilisés sur notre infrastructure TIC.

Sécurité réseau

Q : Les limites de sécurité réseau sont-elles définies et appliquées pour regrouper les utilisateurs, services et informations nécessitant différents niveaux de protection ?

R : Oui, les permissions et l’accès sont attribués en fonction des rôles et des responsabilités.

Q; Des processus et des contrôles existent-ils pour garantir que les équipements et câblages sont protégés et entretenus afin de préserver la confidentialité, l’intégrité et la disponibilité de nos actifs ?

R : Oui, ces actifs sont protégés pour respecter les meilleures pratiques du secteur.

Gestion du personnel

Q : Des vérifications des antécédents sont-elles effectuées sur les employés et les sous-traitants ayant accès à nos actifs ?

R : Tous les employés font l’objet de vérifications de routine effectuées avant leur embauche, y compris des vérifications d’identité, de droit au travail et de vérification de l’emploi antérieur.

Q : Des accords de confidentialité sont-ils en place avec tout le personnel ayant accès à nos actifs ?

R : Oui, ces éléments sont intégrés dans les conditions d’emploi et dans les politiques de l’entreprise d’Ikonic Technology Ltd.

Q : Un processus disciplinaire est-il en place pour les employés et les sous-traitants ayant commis une faille de sécurité ?

R : Oui, toute violation des politiques et procédures de l’entreprise peut faire l’objet de mesures disciplinaires.

Q : À la fin de l’emploi, existe-t-il un processus pour garantir la restitution des biens et la révocation des droits sur les actifs ?

R : Oui, cela fait partie du processus standard de gestion du personnel.

Traitement des données

Q : Si les données sont stockées en dehors de l’UE, quelles dispositions prévoyez-vous pour garantir que vous respectez les exigences du RGPD pour les protéger ?

R : Des obligations contractuelles strictes sont imposées à tous les processus de données tiers ; celles-ci incluent également le droit d’Ikonic Technology Ltd à auditer la conformité des termes en question. Une diligence raisonnable appropriée est réalisée auprès de tous les fournisseurs potentiels, y compris les pratiques et processus de protection des données et de sécurité de l’information.

Q : Êtes-vous enregistré auprès du Bureau du Commissaire à l’Information ?

R : Oui – notre numéro d’enregistrement : ZA286720

V. Ikonic Technology Ltd : Avis de confidentialité du personnel

Nous traitons les données personnelles relatives à ceux que nous employons pour travailler ou que nous sommes autrement engagés dans notre équipe. Nous faisons cela à des fins d’emploi, pour aider à la gestion de l’entreprise et/ou pour permettre aux individus d’être rémunérés.

Les données personnelles que nous traitons peuvent inclure, sans s’y limiter, les éléments suivants :

• données relatives à votre identité (y compris nom, date de naissance, sexe, photographies, passeport, numéro d’assurance nationale, statut d’immigration, état civil, personnes à charge),
• coordonnées (adresse professionnelle et domiciliaire, numéros de téléphone, adresses e-mail, coordonnées d’urgence),
• Détails d’emploi (poste, lieu de bureau, conditions d’emploi, performances et dossiers disciplinaires, maladie et jours fériés),
• informations de contexte (CV, expérience préalable, qualifications et certifications, vérification des casiers judiciaires (à des fins de vérification, lorsque cela est permis et conformément à la loi applicable)),
• informations financières (informations bancaires, informations fiscales, salaire, avantages, dépenses),
• Informations informatiques – informations relatives à votre accès à nos systèmes (identifiants, adresses IP, fichiers journaux, accès/heures/durée d’utilisation, localisation).

La collecte de ces informations nous sera bénéfique en :

• améliorer la gestion des données de la main-d’œuvre à travers l’entreprise,
• permettant de développer une image globale de la main-d’œuvre et de son déploiement,
• informant l’élaboration des politiques de recrutement et de rétention,
• permettant une meilleure modélisation et planification financière,
• veiller au respect de nos politiques et procédures ainsi que de nos obligations légales,
• permettant de surveiller certaines caractéristiques protégées.

Nous ne partagerons pas d’informations vous concernant avec des tiers sans votre consentement, sauf si la loi le permet ou nous l’oblige.

En vertu de la législation sur la protection des données, vous avez le droit de :

• s’opposer au traitement de données personnelles susceptibles de causer, ou de causer, des dommages ou des détresses,
• empêcher le traitement à des fins de marketing direct,
• s’opposer à ce que les décisions soient prises par des moyens automatisés,
• dans certaines circonstances, des données personnelles inexactes sont corrigées, bloquées, effacées ou détruites,
• Réclamer une indemnisation pour les dommages causés par une violation de la législation sur la protection des données.

Si vous souhaitez en savoir plus sur notre politique de conservation des données et la manière dont nous utilisons vos données personnelles, ou si vous souhaitez consulter une copie des informations que nous détenons à votre sujet, veuillez contacter Chris Perry (Directeur général : Ikonic Technology Ltd) chrisp@ikonic.com

Si vous avez une inquiétude concernant la manière dont nous collectons ou utilisons vos données personnelles, vous devez nous faire part d’un premier traitement ou directement au Bureau du Commissaire à l’Information à https://ico.org.uk/concerns/

Critique par le réalisateur (Chris Perry) : janv. 2026