1 – Introduction

Comète s’attache à respecter les obligations légales en matière de protection des données à caractère personnel, notamment le Règlement (UE) 2016/679, dit Règlement Général sur la Protection des Données (« RGPD ») et la Loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés (« Loi Informatique et Libertés »).

C’est pourquoi nous avons formalisé notre politique de protection de la vie privée dans le présent document dit « Politique de protection des données à caractère personnel ».

La présente politique de protection de vos données est destinée à vous informer de nos choix et de nos pratiques en matière de respect de la vie privée, ainsi que des options que vous pouvez opérer sur la manière dont vos données sont recueillies et comment elles sont utilisées.

Le responsable des traitements décrits dans la présente politique est la société COMETE SAS au capital de 50 000 euros, immatriculée au RCS d’Evry sous le numéro 913 484 812, dont le siège social est situé 1 rue de Terre Neuve – bât i – 91 940 LES ULIS (« Comète »).

La présente politique concerne les traitements dont Comète est responsable. Elle ne s’applique pas aux données personnelles que les clients de Comète enregistrent dans les logiciels et services Comète (notamment les données de leurs salariés, agents et propres clients) : pour ces données, Comète agit en qualité de sous-traitant, pour le compte et sur instruction de son client, responsable du traitement, dans les conditions prévues par l’accord de traitement des données conclu avec lui. Les personnes concernées sont invitées à exercer leurs droits auprès de ce client. Les logiciels tiers choisis et pilotés par un client et simplement interfacés avec les services Comète relèvent de ce client et ne sont pas des sous-traitants de Comète.

Elle a une vocation d’information et ne constitue pas un document contractuel. Elle ne modifie pas les Conditions Générales, les contrats ni l’accord de traitement des données conclus par Comète, qui prévalent en cas de contradiction.

De manière synthétique, Comète veille à :

• ne traiter que des données loyalement et licitement collectées,
• ne traiter les données ainsi collectées que dans le cadre des finalités déterminées, explicites et légitimes,
• ne traiter que les données adéquates, pertinentes et non excessives au regard de ces finalités,
• prendre des mesures appropriées afin de préserver la sécurité des données, afin notamment d’empêcher qu’elles ne soient déformées, altérées, endommagées,
• ne communiquer ces données qu’aux destinataires mentionnés dans la présente politique.

La présente politique de protection des données n’est pas figée et pourra évoluer en fonction de la réglementation, tant nationale qu’européenne, ainsi qu’en fonction de la doctrine et des lignes directrices de la Commission Nationale de l’Informatique et des Libertés (CNIL), autorité indépendante de contrôle pour la France. La version en vigueur est celle publiée sur le site internet de Comète.

2 – Collecte et traitement des données

Dans le cadre de ses relations clients, prospects, candidats, fournisseurs ou partenaires, Comète est amenée à collecter et traiter des données à caractère personnel nécessaires à son activité (suivi de ses clients, support, gestion de ses prospects, gestion de ses candidats, gestion de ses fournisseurs…) et à l’application des contrats les liant le cas échéant.

Ces données sont collectées directement auprès de vous (formulaires, échanges, contrats, candidatures, inscriptions à nos événements) ou, le cas échéant, de manière indirecte auprès de votre employeur, de nos clients et partenaires, de sites d’emploi et de cabinets de recrutement, ou de sources accessibles au public (sites internet, réseaux sociaux professionnels).

Chaque traitement repose sur l’une des bases légales prévues à l’article 6 du RGPD : l’exécution d’un contrat ou de mesures précontractuelles prises à votre demande, le respect d’une obligation légale, l’intérêt légitime de Comète ou votre consentement. La base légale de chaque finalité est précisée à la section 3.

Comète veille ainsi à ne collecter que des données nécessaires aux finalités poursuivies. Selon les cas, les catégories de données suivantes peuvent être collectées : identité et coordonnées professionnelles (nom et prénom, entreprise, fonction, numéro de téléphone, adresse électronique, adresse postale), historique des échanges (date et compte rendu des appels téléphoniques, rendez-vous, demandes de support…), données contractuelles et de facturation, données relatives aux candidatures (CV, lettre de motivation, formation, expérience professionnelle), données de connexion et de navigation sur nos sites et portails.

Les données signalées comme obligatoires dans les formulaires sont nécessaires pour traiter votre demande ; à défaut, Comète ne pourra pas y donner suite. Comète ne prend aucune décision fondée exclusivement sur un traitement automatisé produisant des effets juridiques à votre égard ou vous affectant de manière significative.

3 – Finalités du traitement

Les données que nous collectons ont une finalité précise, et ne sont pas utilisées de manière incompatible avec celle-ci. Nos finalités sont déterminées, légitimes, explicites et compatibles avec nos missions.

Comète utilise les données à caractère personnel pour les finalités suivantes :

• fournir les produits ou services demandés, assurer le support, la facturation et le recouvrement (exécution du contrat conclu avec nos clients ; intérêt légitime de Comète pour la gestion de la relation avec leurs interlocuteurs ; obligation légale pour la facturation et la comptabilité),
• vous contacter suite à une demande de démonstration ou information sur nos produits ou services, ou d’une demande de contenu ou pièce administrative ou commerciale (mesures précontractuelles prises à votre demande),
• vous adresser notre lettre d’information et nos communications commerciales, jusqu’à votre éventuelle opposition/désinscription (intérêt légitime de Comète pour les contacts professionnels ; consentement lorsque la loi l’exige),
• vous inscrire à un évènement et le gérer (exécution de votre inscription),
• gérer nos recrutements et vous proposer des offres d’emploi (mesures précontractuelles ; intérêt légitime de Comète pour la conservation de votre candidature dans notre vivier, sauf opposition de votre part),
• le cas échéant, vous proposer des services complémentaires ou optionnels jusqu’à une éventuelle opposition de votre part (intérêt légitime de Comète),
• gérer nos relations avec nos fournisseurs et partenaires (exécution du contrat ; intérêt légitime de Comète pour la gestion de la relation avec leurs interlocuteurs),
• mesurer l’audience de nos sites internet (consentement, recueilli au moyen du bandeau cookies, que vous pouvez modifier ou retirer à tout moment) et assurer la sécurité de nos sites et portails (intérêt légitime de Comète),
• constater, exercer ou défendre nos droits en justice (intérêt légitime de Comète).

Par ailleurs, Comète traite également vos données pour répondre à ses obligations légales ou réglementaires, notamment la conservation des données requises par la loi et la gestion des demandes de communication de données des autorités habilitées (obligation légale).

4 – Destinataires des données

Comète ne communique pas les données de ses clients, prospects, candidats ou fournisseurs à des tiers en dehors des cas cités ci-après, et n’en fait aucun commerce.

Vos données à caractère personnel pourront être transmises à des tiers uniquement pour les besoins des finalités décrites à la section 3.

En interne, selon les cas :

• la direction de notre société, le personnel administratif,
• les personnes responsables du suivi commercial,
• les personnes responsables de la fourniture de services ou de produits.

En externe, selon les cas :

• les éventuels sous-traitants pour le traitement des données (principalement des prestataires techniques pour l’hébergement ou les sauvegardes notamment, mais également des prestataires chargés de missions permanentes ou ponctuelles pour des traitements RH, de la gestion administrative, ou des conseils externes),
• dans le cadre de l’envoi des lettres d’information, les prestataires techniques chargés de la réalisation des envois,
• en cas d’opération de restructuration, de fusion, d’acquisition ou de cession portant sur tout ou partie de l’activité ou du capital de Comète, les acquéreurs ou investisseurs potentiels et leurs conseils, dans la limite du nécessaire et sous engagement de confidentialité.

En aucun cas vos données ne sont vendues, prêtées ou louées à des tiers partenaires qui pourraient vous solliciter.

Les données traitées peuvent enfin être transmises aux autorités compétentes, à leur demande, dans le cadre de procédures judiciaires, dans le cadre de recherches judiciaires et de sollicitations d’information des autorités ou afin de se conformer à d’autres obligations légales.

5 – Transfert des données hors Union Européenne

Comète privilégie, dans la mesure du possible, le traitement et le stockage des données personnelles de ses clients, prospects, candidats ou fournisseurs au sein de l’Union Européenne (UE), afin de garantir un niveau de protection conforme au Règlement général sur la protection des données (RGPD).

Toutefois, certains prestataires de Comète, notamment Microsoft (messagerie et outils collaboratifs) et Google (mesure d’audience, gestion des balises et protection des formulaires de notre site), peuvent traiter des données depuis des pays situés hors de l’Union Européenne, en particulier les États-Unis.

Ces transferts sont encadrés conformément aux articles 44 à 49 du RGPD : soit le destinataire bénéficie d’une décision d’adéquation de la Commission européenne (notamment le cadre de protection des données UE-États-Unis, dit « Data Privacy Framework », pour les entreprises certifiées), soit des garanties appropriées sont mises en place, telles que les clauses contractuelles types adoptées par la Commission européenne. Une copie de ces garanties peut être obtenue auprès du DPO.

6 – Conservation des données

Comète ne conserve les données à caractère personnel de ses clients, prospects, candidats ou fournisseurs que pendant le temps nécessaire aux opérations pour lesquelles elles ont été collectées et dans le respect de la réglementation en vigueur. Au-delà, certaines données peuvent être archivées, avec un accès restreint, pendant la durée nécessaire au respect d’une obligation légale ou à la défense de nos droits. Les durées de référence sont les suivantes :

• Les données relatives aux clients sont conservées pendant la durée de la relation contractuelle, puis pendant 5 ans à compter de la fin du dernier contrat entre Comète et le client. Les factures et pièces comptables sont conservées 10 ans à compter de la clôture de l’exercice concerné. Les coordonnées des interlocuteurs peuvent être utilisées à des fins de prospection pendant 3 ans à compter de la fin de la relation.
• Les données relatives aux fournisseurs sont conservées pendant la durée de la relation contractuelle, puis pendant 5 ans à compter de la fin du dernier contrat entre Comète et le fournisseur. Les factures et pièces comptables sont conservées 10 ans à compter de la clôture de l’exercice concerné.
• Les données relatives aux prospects sont conservées pendant une durée de 3 ans maximum à compter de leur collecte ou du dernier contact émanant du prospect.
• Les demandes adressées via nos formulaires et restées sans suite commerciale sont conservées pendant leur traitement, puis 1 an après leur clôture.
• Les informations nécessaires au respect d’une opposition à la prospection sont conservées 3 ans au moins à compter de l’opposition, sans usage commercial.
• Les données relatives aux candidats non retenus sont conservées jusqu’à 3 mois après la fin du recrutement. Sauf opposition de leur part, elles peuvent ensuite être conservées dans notre vivier pendant 2 ans maximum à compter du dernier contact entre Comète et le candidat.
• Les données relatives aux abonnés à la lettre d’information sont conservées jusqu’à leur désinscription, ou au plus tard 3 ans après leur dernière interaction avec nos envois.
• Les cookies et traceurs soumis à consentement sont conservés 13 mois au maximum ; les informations collectées par leur intermédiaire, 25 mois au maximum.
• Les données relatives aux demandes d’exercice de droits sont conservées pendant la durée nécessaire à leur traitement, puis pendant la durée de prescription applicable à titre de preuve.

7 – Sécurité des données

Comète détermine et met en œuvre les moyens nécessaires à la protection des données à caractère personnel pour éviter des risques résultant notamment de la destruction, de la perte, de l’altération, de la divulgation non autorisée de données à caractère personnel transmises, conservées ou traitées d’une autre manière, ou de l’accès non autorisé à de telles données, de manière accidentelle ou illicite.

Ces mesures, d’ordre technique et organisationnel, visent à garantir un niveau de sécurité adapté au risque au sens de l’article 32 du RGPD. Elles portent notamment sur le contrôle et la restriction des accès, la sauvegarde des données et la sensibilisation des collaborateurs, et sont adaptées en fonction de l’évolution des risques.

8 – Accès restreint aux données

Comète définit et met en œuvre les règles d’accès et de confidentialité applicables aux données personnelles traitées :

• Le niveau de détail accessible est défini selon l’habilitation/le profil de chaque utilisateur : Direction, management, collaborateurs…
• Seules les personnes dûment habilitées peuvent donc accéder à certains détails de données, dans le cadre d’une politique de sécurité permettant notamment la restriction des accès aux seules informations nécessaires à l’activité.
• Les droits d’accès, accordés en adéquation avec la fonction de l’utilisateur, sont mis à jour en cas d’évolution ou de changement de fonction.

9 – Droits des personnes concernées

Conformément aux articles 15 à 22 du Règlement général sur la protection des données (RGPD) et à la Loi Informatique et Libertés, et dans les conditions et limites prévues par ces textes, les personnes concernées disposent des droits suivants concernant leurs données personnelles traitées par Comète :

• Retrait du consentement : les personnes concernées peuvent retirer leur consentement à tout moment si le traitement repose sur cette base légale. Le retrait du consentement n’affecte pas la licéité des traitements réalisés avant son retrait.
• Opposition au traitement : les personnes concernées ont le droit de s’opposer au traitement de leurs données si ce traitement repose sur l’intérêt légitime de Comète. Elles peuvent également s’opposer à tout traitement à des fins de prospection commerciale, sans avoir à fournir de justification.
• Accès aux données : les personnes concernées peuvent demander la confirmation que leurs données sont traitées, obtenir des informations sur ces traitements (finalités, catégories de données, destinataires, etc.) et recevoir une copie des données personnelles faisant l’objet du traitement.
• Rectification des données : elles peuvent demander la mise à jour ou la correction de leurs données personnelles si celles-ci sont inexactes ou incomplètes.
• Limitation du traitement : sous certaines conditions, les personnes concernées peuvent demander la limitation temporaire du traitement de leurs données, par exemple lorsqu’elles contestent leur exactitude ou s’opposent au traitement. Pendant cette période, les données ne peuvent être utilisées qu’à des fins de stockage ou pour faire valoir des droits en justice.
• Effacement des données (« droit à l’oubli ») : les personnes concernées peuvent demander la suppression de leurs données personnelles si :
  • les données ne sont plus nécessaires aux finalités pour lesquelles elles ont été collectées ;
  • elles retirent leur consentement et il n’existe pas d’autre base légale pour le traitement ;
  • elles s’opposent au traitement et il n’existe pas de motif légitime impérieux pour poursuivre le traitement ;
  • les données ont été traitées de manière illicite ;
  • une obligation légale impose leur effacement.
• Portabilité des données : les personnes concernées peuvent recevoir leurs données personnelles dans un format structuré, couramment utilisé et lisible par machine. Elles peuvent également demander que ces données soient transférées directement à un autre responsable de traitement, lorsque cela est techniquement possible.
• Directives post-mortem : les personnes concernées peuvent définir des directives relatives à la conservation, à l’effacement et à la communication de leurs données après leur décès, conformément à l’article 85 de la Loi Informatique et Libertés.
• Réclamation auprès de l’autorité de contrôle : les personnes concernées peuvent introduire une réclamation auprès de la CNIL (ou toute autre autorité compétente) si elles estiment que leurs droits n’ont pas été respectés ou que leurs données ont été traitées de manière non conforme au RGPD.

Lorsque le traitement repose sur l’intérêt légitime de Comète, les personnes concernées peuvent s’opposer en précisant les raisons tenant à leur situation particulière, sauf en cas de traitement à des fins de prospection commerciale.

Les demandes d’exercice de ces droits doivent être adressées à Comète par :

• Courriel : comete@dpo.pink
• Courrier postal : Comète, à l’attention du DPO, 1 rue de Terre Neuve, Bâtiment i, 91940 LES ULIS – France

En cas de doute raisonnable sur l’identité du demandeur, Comète pourra demander des informations complémentaires nécessaires pour la confirmer. Comète répondra dans un délai d’un mois à compter de la réception de la demande. Ce délai peut être prolongé de deux mois, compte tenu de la complexité ou du nombre de demandes ; le demandeur en est alors informé dans le délai d’un mois.

Si une demande est manifestement infondée ou excessive, notamment en raison de son caractère répétitif, Comète pourra refuser de donner suite ou demander une participation financière raisonnable pour couvrir les frais administratifs liés au traitement de la demande.

Pour les données traitées par Comète en qualité de sous-traitant (voir section 1), les demandes doivent être adressées au client concerné, responsable du traitement ; si Comète reçoit une telle demande, elle la transmet à ce client.

10 – Les acteurs de la protection des données

Comète s’est dotée d’un Délégué à la Protection des Données ou Data Protection Officer (DPD ou DPO) externe, directement rattaché à la direction de Comète.

Le DPO a pour missions d’informer et de conseiller Comète et ses collaborateurs, de contrôler le respect de la réglementation en matière de protection des données et de coopérer avec la CNIL, conformément à l’article 39 du RGPD.

Le DPO est joignable à :

• Courriel : comete@dpo.pink
• Courrier postal : Comète, à l’attention du DPO, 1 rue de Terre Neuve, Bâtiment i, 91940 LES ULIS – France