Juridique & Securisation
Certification GDPR Offre Complète + DPO automatique
Tout pour votre conformité GDPR au même endroit
A Partir
480,00 €
| Intervention | Services | ||
|---|---|---|---|
| Tarif exclusif internet | 480,00 € | 70,00 € /mois |
Le GDPR ou RGPD, c'est quoi ?
Le GDPR d’une part vise à renforcer les droits des citoyens européens à contrôler les données qui les concernent détenues par les entreprises et, d’autre part, fixe de nouvelles obligations pour ces entreprises en matière de protection des données à caractère personnel. Ce règlement, qui entrera en vigueur le 25 Mai 2018, concerne toutes les entreprises qui gèrent des fichiers clients/prospects ou des fichiers du personnel : multinationales, PME mais aussi TPE ou artisans. Les hôteliers n’échappent pas à cette règle.
Quelles Responsabilités ?
Il faut distinguer deux acteurs de la protection de la vie privée : le responsable de traitement et le sous-traitant.
Le responsable de traitement : L'établissement Hotelier
Le sous-traitant est l’entité qui traite des données pour le compte du responsable du traitement : Le prestataire technologique.
Le règlement rend responsable les deux acteurs : le responsable de traitement ET le sous-traitant, l’un ne pouvant se cacher derrière l’autre. Les relations entre responsables de traitement et sous-traitants doivent être contractualisées de sorte à ce que les garanties soient apportées par le sous-traitant sur les traitements des données personnelles.
Quels Risques ?
Le règlement n’est pas anodin, il fixe des sanctions lourdes en cas de manquement avéré : jusqu’à 20 millions d’euros ou 4% du chiffre d’affaires annuel.
Quels principes de traitement à respecter ?
Le GDPR fixe les règles de gestion des informations : la collecte, l’enregistrement, l’organisation, la structuration, la conservation, l’adaptation ou la modification, l’extraction, la consultation, l’utilisation, la communication par transmission, la diffusion ou toute autre forme de mise à disposition, le rapprochement ou l’interconnexion, la limitation, l’effacement ou la destruction. Le GDPR fixe les principes relatifs à ces opérations que les responsables de traitement et sous-traitants devront respecter.
Le principe de transparence : les données doivent être traitées de manière loyale, licite et transparente.
En pratique : Sur les cartes d’enregistrement ou sur les formulaires en ligne, une information complète, facile à comprendre, et formulée en des termes clairs et simples, doit être faite à la personne concernée sur le traitement de ses données.
Le principe de limitation dans l'utilisation : les données ne doivent être collectées à des fins déterminées, explicites et légitimes, et ne pas être traitées ultérieurement d’une manière incompatible avec ces finalités. Pour l' hôtellerie les finalités peuvent être : l’organisation du séjour du client, la facturations, la prospection commerciale, l’analyse du chiffre d’affaire, ….
En pratique : On pourra demander au client s’il accepte que ces données soient analysées, profilées ou exploitées dans le cadre de prospection commerciale par l’hôtel ou par des tiers. Les consentements devront prendre la forme de case à cocher vide par défaut et devront être explicitées dans un encart dédié à chaque consentement (plus de consentement dans les CGV/CGU par exemple).
Principe de minimisation des données : les données traitées doivent être pertinentes, adéquates et limitées à ce qui est nécessaire au regard des finalités pour lesquelles elles sont traitées.
En pratique : Cela signifie que l’Hôtelier/ n’a pas à collecter des informations sur le client si la finalité ne l’exige pas.
Principe d’exactitude des données : les données traitées doivent être exactes et mises à jour régulièrement (rectification, voire effacement).
En pratique : Cela signifie que des mesures raisonnables doivent être prises pour s’assurer que les données inexactes soient rectifiées.
Principe de limitation de la conservation des données : les données ne peuvent être conservées que pendant une durée n’excédant pas celle nécessaire au regard des finalités pour lesquelles elles sont traitées.
En pratique : l’hôtelier doit effacer les données à caractère personnel de ses prospects et clients après un temps limité au strict minimum. Le GDPR ne précise pas de limite de temps. Dans la plupart des cas on se basera sur le délai de prescription pour définir une durée de conservation (exemple 6 ans pour les factures des clients). L’éditeur peut mettre à disposition de l’hôtelier des mécanismes pour automatiser l’effacement de données.
Principe de sécurité, d’intégrité et de confidentialité des données : les données doivent être traitées de façon à garantir une sécurité appropriée desdites données au moyen de mesures techniques ou organisationnelles appropriées.
En pratique : l’hôtelier et l’éditeur doivent s’assurer que des mesures de sécurité soient prises, en particulier afin de protéger les données contre le traitement non autorisé ou illicite, la perte, la destruction, les dégâts d’origine accidentelle, la divulgation à des personnes non autorisées, etc. La mise en œuvre de ces mesures doit notamment s’accompagner d’actions de sensibilisation des membres du personnel, etc...
Principe de responsabilité : il désigne l’obligation pour les entreprises de mettre en œuvre des mécanismes et des procédures internes propres à permettre la protection des données à caractère personnel et d’être prêtes à démontrer qu’elles respectent le règlement.
En pratique : l’éditeur et l’hôtelier vont devoir agir et être en mesure de prouver, de tracer, ce qui a été fait pour s’assurer de l’effectivité et de l’efficacité des mesures mises en œuvre pour le respect du GDPR.
Les nouvelles obligations des entreprises
En complément des principes fixés par le RGPD sur le traitement de données à caractère personnel sur lesquels les entreprises vont devoir s’aligner, de nouvelles obligations sont prévues :
- Nomination d’un délégué à la protection des données (ou DPO Data Protection Officier) Délégué à la protection de données, ce dernier peut être interne ou externe à la société, les DPO de SMART GDPR® sont avocats. Les DPO SMART GDPR® assument pleinement leur rôle et sont couverts par leur assurance responsabilité civile professionnelle pour une valeur de 3 millions d‘euros extensible.
- Mise en place d’analyse de risque d’impact sur la vie privée (appelée PIA Privacy Impact Assessment) . Que se passe-t-il en cas de vol de votre PC ? De tremblement de terre ? Avez vous un firewall ? Etes-vous équipé d'un système e-réputations ? moteur de réservation ? systeme e-mailing/news letter
- Mise en conformité : Déclaration CNIL et audit 1400 points de contrôles à déposer aux autorités compétentes permettant d'obtenir la certification. SMART GDPR vous accompagne dans toutes les étapes de mise en conformité.
Expliquer en interne > Intégrer la fonction de DPO>Cartographier les données > Obtenir l’avis du juridique > prioriser les actions à mener > analyser et gérer les risques > rédiger les procédures > mise en conformité>assurer la continuité
- Gestion de crise : Notification de violation de données à l’autorité de contrôle (La CNIL) dans des délais de 72h après sa découverte puis aux personnes concernées (si la violation de données est susceptible d’engendrer un risque élevé pour les droits et libertés d’une personne physique). SMART GDPR vous accompagne dans la gestion de crise en cas de vol de données en mettant en place les procédures définies et validées dans le cadre de la certification.
Smart GDPR propose une solution de logiciel facilitant cette mise en conformité, ainsi que l’accompagnement juridique nécessaire :
- Audit
- Fourniture des registres online
- Bibliothèque de documents juridiques
- Veille juridique
- Accès à des data protection officers avocats en option
- Accès à une assurance couvrant tout le risque cyber (piratage, … et aussi sanctions administratives GRPD).
La solution proposée par Smart GDPR inclus
- 5 traitements inclus
- DPO Externalisé
- Plateforme SaaS de mise en conformité
- Plateforme de management de la conformité
Possibilité de mise en place d'un accompagnement basé sur une formation prise en charge par les OPCA .
Smart GDPR® est une solution SaaS qui permet au responsable de traitement d’une entreprise d’organiser sa mise en conformité RGPD/GDPR (Règlement Général sur la Protéction des Données)et de la manager. Smart GDPR® est basée en Principauté de Monaco.
Les fondateurs de Smart GDPR® cumulent plus de trente ans d’expérience dans les lois sur la vie privée, la protection des données et la sécurité de l’information.
Ils sont impliqués dans les domaines suivants : audit des systèmes d’information, infrastructure informatique, gestion des données, gestion des risques et programmation informatique.
Leur savoir-faire unique est à l'origine de SMART GDPR®.
©
ResaMarket
Tout droits réservés
