Sommaire

Politique de protection des données personnelles

Version 2.0 – Juillet 2026

1. Introduction

Contexte

Mimco asset management (ci-après dénommée "Mimco AM") s'engage à mener ses activités conformément à toutes les lois et réglementations applicables en matière de protection des données et dans le respect des normes éthiques les plus strictes.

Le règlement général sur la protection des données de l’UE (« RGPD »), est conçu pour harmoniser les lois sur la protection des données en Europe, dans le but de protéger et de donner à tous les citoyens de l’UE ou aux personnes qui se trouvent dans l'union (quelle que soit leur citoyenneté) des droits sur la confidentialité de leurs données et de remodeler la manière dont les organisations de la région abordent la confidentialité des données.

Cette politique énonce les comportements attendus des employés de Mimco AM et des tiers concernés en ce qui concerne les données personnelles. Cette politique concerne la collecte, l'utilisation, la conservation, le transfert, la divulgation et la destruction de toute donnée personnelle appartenant à des individus sous le contrôle de Mimco AM.

La direction de la société est pleinement engagée à assurer la mise en œuvre continue et efficace de cette politique et attend de tous les employés de Mimco AM et de leurs tiers qu'ils partagent cet engagement. Toute violation de cette politique pourra entraîner des mesures disciplinaires à leur encontre.

Objectif

L'objectif de cette politique est d'établir des garanties pour protéger les données à caractère personnel qui sont détenues, stockées ou conservées par la société de gestion, ainsi que les données à caractère personnel qui sont collectées auprès de tiers ou transmises à ceux-ci, quel que soit le format (physique ou électroniques). La présente politique est conçue pour :

Assurer la sécurité et la confidentialité des données à caractère personnel ;
Protéger contre toute menace ou tout risque pour la sécurité ou l'intégrité des données à caractère personnel ;
Protéger contre la collecte, l'accès ou l'utilisation non autorisés de données à caractère personne

Définitions

Responsable RGPD — Personne désignée par Mimco AM pour avoir la charge de la conformité de la société de gestion aux réglementations relatives à la protection des données.

Responsable du traitement — La personne physique ou morale, l’autorité publique, le service ou tout autre organisme qui, seul ou conjointement avec d’autres, détermine les finalités et les moyens du traitement des données à caractère personnel.

Sous-traitant — Une personne physique ou morale, une autorité publique, un service ou un autre organisme qui traite des données à caractère personnel pour le compte du responsable du traitement (tel que défini à l’article 4, point 8, du RGPD).

Personne concernée — Une personne physique qui peut être identifiée, directement ou indirectement, notamment par référence à un identifiant tel qu’un nom, un numéro d’identification, des données de localisation, un identifiant en ligne, ou à un ou plusieurs éléments spécifiques propres à son identité.

Réglementations relatives à la protection des données — Le RGPD ainsi que toute loi ou réglementation nationale applicable en matière de protection des données.

Données à caractère personnel — Toute information se rapportant à une personne physique identifiée ou identifiable (« personne concernée »).

Activité de traitement des données à caractère personnel — Toute opération ou tout ensemble d’opérations effectuées ou non à l’aide de procédés automatisés et appliquées à des données à caractère personnel ou à des ensembles de données à caractère personnel, telles que la collecte, l’enregistrement, l’organisation, la structuration, la conservation, l’adaptation ou la modification, l’extraction, la consultation, l’utilisation, la communication par transmission, la diffusion ou toute autre forme de mise à disposition, le rapprochement ou l’interconnexion, la limitation, l’effacement ou la destruction.

Champ d’application

La présente politique s’applique à tout traitement de données à caractère personnel, qu’il soit effectué sous forme électroniques (y compris les courriels et les documents au format numérique) ou papiers. L’ensemble du personnel est soumis aux exigences prévues par la présente politique et doit attester en avoir lu et compris le contenu.

2. Dispositif de protection des données personnelles

Mimco AM applique la philosophie « P-D-C-A » (Plan-Do-Check-Act) (voir annexe 1) afin de garantir que le cadre de protection des données et le traitement des données à caractère personnel par le cabinet demeurent conformes aux exigences du RGPD.

2.1. Gouvernance

Afin d'établir une gouvernance appropriée, Mimco AM a désigné un responsable RGPD chargé de déterminer les mesures techniques et organisationnelles appropriées et de les mettre en œuvre au sein de l’organisation.

2.1.1. Responsable RGPD

Le responsable RGPD est chargé de la mise en œuvre du dispositif de protection des données personnelles et de son amélioration continue.

Le responsable RGPD au sein de Mimco AM est Alexandra NADAL Ses principales missions sont les suivantes :

Informer et conseiller Mimco AM ainsi que les membres de son personnel qui traitent des données quant à leurs obligations au titre du RGPD et des autres dispositions relatives à la protection des données ;
Contrôler le respect du RGPD, des autres dispositions relatives à la protection des données, ainsi que de la présente politique et des documents associés dans le cadre global de protection des données ;
Mettre à jour le cadre de protection des données et les documents associés conformément à la réglementation applicable en matière de protection des données ;
Fournir des orientations sur la réalisation des analyses d’impact relatives à la protection des données (AIPD / DPIA) et en assurer le suivi ;
Agir en tant que point de contact pour les autorités de contrôle et les personnes concernées, et coopérer avec elles sur les questions relatives au traitement, y compris dans le cadre de consultations préalables, ainsi que, le cas échéant, les consulter sur toute autre question connexe;
Déterminer la nécessité d’effectuer des notifications aux autorités de contrôle compétentes, les réaliser et les tenir à jour, en lien avec les activités actuelles ou envisagées de traitement de données à caractère personnel ;
Mettre en place et faire fonctionner un système permettant d’apporter des réponses rapides, précises et appropriées aux demandes des personnes concernées ;
Informer les dirigeants de toute sanction potentielle de nature sociétaire, civile ou pénale pouvant être infligée à notre encontre et/ou à notre personnel en cas de violation de la réglementation relative à la protection des données ;
Mettre en place des procédures et des clauses contractuelles afin d’assurer le respect de la présente politique par tout tiers qui :
- Fournit des données à caractère personnel à Mimco AM ;
- Reçoit des données à caractère personnel de Mimco AM ;
- A accès à des données à caractère personnel collectées ou traitées par Mimco AM.

2.2. Protection des données « dès la conception » et « par défaut »

Mimco AM veille à ce que toutes les exigences relatives à la protection des données soient prises en compte et traitées lors de la conception de nouveaux services, produits, ou processus, ainsi que lors de la modification ou de la mise à jour de ceux existants.

Le RGPD introduit ces deux obligations :

D’une part, les mesures techniques et organisationnelles doivent être mises en œuvre tant au moment de la conception du traitement qu'au moment du traitement lui-même, c'est-à-dire dès la conception (« privacy by design ») ;
D’autre part, ces mesures doivent garantir que, par défaut, seules les données personnelles nécessaires au regard de chaque finalité spécifique du traitement sont traitées (« privacy by default »). Mimco AM doit s'assurer que toute nouvelle conception de services, produits ou processus, ou tout changement ou extension de produits, services, systèmes ou processus existants, inclut un processus qualité auquel doit participer le responsable RGPD. En tant que responsable de traitement, Mimco AM est tenue, dans certains cas, de réaliser, une AIPD (analyse d’impact relative à la protection des données) avant la mise en œuvre d'un traitement de données personnelles.

2.3. Principe de responsabilité (« accountability »)

Le RGPD accorde une place essentielle au principe de responsabilité de l'entreprise responsable du traitement. Il appartient alors à Mimco AM de prendre les dispositions propres à la mise en œuvre des principes généraux énoncés par la réglementation applicable, et de démontrer que ces principes ont été effectivement respectés.

Mimco AM conservera une documentation appropriée et une piste d’archivage pour chaque exigence du RGPD afin de démontrer le respect des principes de protection des données énoncés à la section 2.5. Les responsabilités relatives à la conservation de cette documentation sont réparties entre les différents départements. Le responsable RGPD en assure la supervision et fournit les orientations nécessaires pour satisfaire à cette exigence

2.4. Contrôles de conformité

Afin de s’assurer que le niveau de conformité au RGPD est adéquat, des contrôles internes sont prévus et réalisés conformément aux plans de contrôle permanents et périodiques. Au moins un contrôle permanent doit être réalisé par an afin de vérifier que les processus sont respectés et que les contrôles opérationnels sont réalisés et formalisés. Les contrôles périodiques seront réalisés sur la base d’un plan de contrôle pluriannuel.

2.5. Principes généraux relatifs au traitement des données personnelles

La politique a été élaborée dans le respect des principes relatifs au traitement des données personnelles. Mimco AM adhère aux principes suivants lors du traitement des données personnelle :

Licéité, loyauté et transparence. Les données personnelles doivent être traitées de manière licite et loyale au regard de la personne concernée, ainsi que de manière transparente si le traitement relève du RGPD (licéité, loyauté, transparence). Nous nous engageons à informer les personnes concernées du traitement qui sera mis en place (transparence), de manière exacte (loyauté), et fondé sur une finalité définie dans le RGPD (licéité) ;
Finalités des traitements. Les données personnelles doivent être collectées à des fins déterminées, explicites et légitimes, sans qu'elles puissent faire ultérieurement l'objet d'un traitement incompatible avec ces finalités (limitation des finalités). Mimco AM s’engage à informer les personnes de l’utilisation de leurs données personnelles, et limitera le traitement des données personnelles a ce qui est strictement nécessaire aux finalités de traitement ;
Minimisation des données personnelles. Les données personnelles doivent être adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités du traitement (minimisation des données). Mimco AM s’engage à ne pas collecter ni conserver des données personnelles au-delà de ce qui est strictement nécessaire au regard des finalités du traitement ;
Exactitude. Elles doivent être exactes et à jour. Mimco AM met en place des processus pour identifier et traiter les données personnelles obsolètes, incorrectes ou redondantes ;
Durées de conservation. Elles doivent être conservées sous une forme permettant l'identification des personnes concernées pendant une durée n'excédant pas celle qui est nécessaire au regard des finalités du traitement. Lorsque la finalité poursuivie par le traitement est atteinte, Mimco AM s’engage à mettre en place des mesures techniques et organisationnelles

pour que les données soient supprimées, ou qu’elles fassent l'objet d'un archivage intermédiaire dès lors que leur conservation est indispensable au respect d'obligations légales ou à des fins contentieuses ou précontentieuses.

Intégrité et sécurisation des données personnelles. Elles doivent être traitées de façon à garantir une sécurité appropriée, en assurant notamment leur protection contre les traitements non autorisés ou illicites, ainsi que contre la perte, la destruction ou les dégâts d'origine accidentelle, à l'aide de mesures techniques et organisationnelles appropriées (intégrité et confidentialité). Mimco AM doit mettre en place des mesures techniques et organisationnelles appropriées pour maintenir l'intégrité et la confidentialité des données personnelles. Ces mesures comprennent, sans s'y limiter, le cryptage, la gestion des droits d'accès aux données personnelles, des instructions et des formations appropriées, ainsi que toute mesure de sécurité (par exemple au niveau des bâtiments) afin de protéger les données personnelles.

2.6. Collecte des données personnelles

La collecte appropriée des données personnelles est un élément-clé de notre dispositif. Mimco AM a établi les règles suivantes pour collecter les données personnelles.

2.6.1. Sources des données

Par principe, les données personnelles ne doivent être collectées qu'auprès de la personne concernée, à moins que l'objectif commercial ne nécessite la collecte auprès d'autres personnes ou organismes. Si des données personnelles sont collectées auprès d'une personne autre que la personne concernée, cette dernière doit être informée de la collecte, ou donner son consentement au préalable.

Les seules exceptions à ce principe sont les suivantes :

La personne concernée a reçu les informations requises par d'autres moyens ;
L’information doit rester confidentielle en raison d'une obligation de secret professionnel ;
Une loi nationale prévoit expressément la collecte, le traitement ou le transfert de données à caractère personnel. La notification à la personne concernée doit être envoyée rapidement, et au plus tôt :
Un mois calendaire à compter de la première collecte ou du premier enregistrement de données personnelles ;
Au moment de la première communication si les données personnelles sont utilisées pour communiquer avec la personne concernée ;
Au moment où les données personnelles sont communiquées à un autre destinataire.

2.6.2. Notices d’information

Mimco AM doit fournir aux personnes concernées une notice d’information (ou équivalent) présentant les mentions obligatoires relatives au traitement des données personnelles. L’information aux personnes concernées est une obligation légale : toute personne dont les données personnelles sont traitées par Mimco AM doit notamment être informée de manière claire, de la manière dont ses données sont traitées, et des modalités d’exercice de ses droits.

La notice d'information est accessible sur le site internet de Mimco AM.

2.6.3. Consentement des personnes concernées

Mimco AM a l’obligation d'obtenir le consentement des personnes concernées, lorsqu’applicable, avant la collecte, l’utilisation ou tout autre traitement des données personnelles.

Le responsable de la protection des données met en place un processus permettant d’obtenir et de documenter le consentement des personnes concernées lorsque celui-ci est requis.

Le processus relatif au consentement des personnes concernées garantit une traçabilité des flux d’information ainsi que la validité et l’étendue du consentement obtenu, et permet aux personnes concernées de retirer leur consentement facilement à tout moment.

2.7. Utilisation des données personnelles

2.7.1. Traitement des données personnelles

Mimco AM respecte les intérêts et les besoins des personnes concernées dans le traitement de leurs données personnelles et évite tout comportement qui serait contraire à leurs intérêts.

Nous utilisons les données personnelles pour les finalités suivantes :

Garantir le bon fonctionnement de Mimco AM (en ce compris la gestion des contrats de travail) ;
Fournir des produits et services aux clients ;
Gérer le suivi de la relation avec les clients et autres contreparties (gestion des contrats, réclamations, etc.) ; Avant tout nouveau traitement, ou toute modification dans les traitements de données personnelles déjà existants, Mimco AM doit vérifier si un consentement doit être obtenu de la part des personnes concernées, ou si des informations doivent lui être fournies. Le responsable RGPD doit valider le processus de traitement au préalable. Lorsqu'il est établi que le traitement est incompatible avec le consentement précédemment obtenu, le traitement ne peut avoir lieu que si un nouveau consentement, spécifique aux finalités définies, peut être obtenu de la part de la personne concernée, en coordination avec le responsable RGPD.

2.7.2. Traitement des catégories particulières de données personnelles

Il existe une catégorie particulière de données personnelles, dites « données sensibles », qui nous obligent à adopter des mesures de protection supplémentaires. Ce sont des informations qui révèlent la prétendue origine raciale ou ethnique, les opinions politiques, les convictions religieuses ou philosophiques ou l'appartenance syndicale, ainsi que le traitement des données génétiques, des données biométriques aux fins d'identifier une personne physique de manière unique, des données concernant la santé ou des données concernant la vie sexuelle ou l'orientation sexuelle d'une personne physique.

Il est interdit de recueillir ou d’utiliser ces données, sauf :

Si la personne concernée a donné son consentement exprès (démarche active, explicite et de préférence écrite, qui doit être libre, spécifique, et informée) ;
Si les informations sont manifestement rendues publiques par la personne concernée ;
Si elles sont nécessaires à la sauvegarde de la vie humaine ;
Si leur utilisation est justifiée par l'intérêt public et autorisé par la CNIL ;
Si elles concernent les membres ou adhérents d'une association ou d'une organisation politique, religieuse, philosophique, politique ou syndicale. Avant de collecter ou de traiter de telles données personnelles, les salariés doivent contacter le responsable RGPD afin d'établir une base légale pour le traitement, et de mettre en place des mesures techniques et organisationnelles spécifiques. Les résultats de cette analyse doivent être enregistrés et conservés comme preuve de l'application des mesures de protection adéquates.

2.7.3. Qualité des données personnelles

Des données personnelles de bonne qualité sont essentielles pour respecter le principe d'exactitude imposé par le RGPD. Mimco AM a adopté des mesures spécifiques pour s'assurer que les données personnelles sont complètes et exactes au moment de leur collecte et qu'elles restent à jour durant tout leur cycle de vie.

Pour atteindre un niveau élevé de qualité des données, les employés doivent être conscients des exigences suivantes :

Correction (y compris l'effacement et le remplacement) des données à caractère personnel dont on sait qu'elles sont incorrectes, inexactes, trompeuses ou périmées, même si la personne concernée n'a pas demandé de modification de ses données personnelles.
Durée de conservation des données personnelles, à déterminer en fonction de l’objectif ayant conduit à leur collecte ou conformément aux durées de conservation légales en vigueur ;
Suppression de toute données personnelles si le traitement viole l'un des principes de protection des ou si les données personnelles ne sont plus nécessaires.
Effacement des données à caractère personnel. Lorsque l'effacement est interdit par la loi ou qu'il porte atteinte aux intérêts de la personne concernée, les données seront restreintes. Mimco AM attend de ses collaborateurs qu'ils contribuent à la mise en œuvre de ces mesures et qu'ils informent le responsable RGPD s’ils ont connaissance d’événements qui nécessiteraient la mise en place de mesures correctrices.

2.8. Conservation des données

Pour toute donnée personnelle, une durée de conservation doit être définie. Elle doit être cohérente et justifiée au regard de l’objectif du traitement. Par principe, les données personnelles doivent être effacées à l’issue de leur utilisation courante, i.e. La durée nécessaire à l’objectif du traitement. Les durées de conservation applicables aux différentes catégories de données ainsi que les modalités appropriées de leur suppression sont détaillées dans la politique de sécurité de l’information. A l’issue de la période de conservation, et dès lors qu’il est établi que les données ne doivent plus être conservées, les données à caractère personnel doivent être soit supprimées, soit anonymisées de manière irréversible (en cas de format électronique), soit détruites (en cas de support papier).

2.9. Protection des données

Mimco AM garantit l’intégrité et la confidentialité des données personnelles en mettant en place des mesures de sécurité adéquates, en veillant notamment à la mise en œuvre de mesures de protection

contre les traitements non autorisés ou illicites, contre la perte, la destruction, l’altération, et tout risque auquel les données personnelles pourraient être exposées du fait d’erreurs humaines ou d’événements (catastrophes naturelles, problèmes électroniques, etc.).

Les mesures de sécurité des données personnelles sont détaillées dans la politique de sécurité de l'information. Les salariés doivent connaître leurs droits et obligations en matière de sécurité des données, et s’engagent notamment à :

Sécuriser la transmission électronique des données personnelles en prévenant les risques de consultation, de lecture, de copie, de modification ou de suppression des données personnelles sans autorisation appropriée, et/ou de destruction ou de perte accidentelle. La sécurisation des données personnelles passe également par la mise en place de registres, afin d’établir un suivi des suppressions, modifications, et tout autre comportement qui pourrait constituer un risque pour l’intégrité et la confidentialité des données personnelles ;
Ne pas accéder aux systèmes dans lesquels les données personnelles sont stockées ou traitées, sans autorisation ou habilitation ;
Empêcher toute personne non habilitée, à accéder aux systèmes ou locaux contenant des données personnelles, et le cas échéant, informer immédiatement le RCCI ou le responsable RGPD d’une (éventuelle) intrusion ;
Avoir recourt au service juridique avant toute contractualisation ou négociation contractuelle. Des dispositions contractuelles relatives aux données personnelles doivent en effet y être incluses ;
Lorsque le traitement est réalisé par un tiers, il doit l’être conformément aux instructions fournies par Mimco AM.

3. Analyse d’impact relative à la protection des données (AIPD)

Avant le lancement de tout nouveau service ou produit impliquant le traitement de données à caractère personnel, l’équipe Conformité doit d’abord réaliser une analyse d’impact relative à la protection des données (AIPD) préliminaire. Cette évaluation initiale permet de déterminer si une AIPD complète est nécessaire.

La CNIL publie une liste des traitements exemptés de l’obligation d’AIPD. Pour ces traitements, Mimco AM s’appuie sur cette exemption et ne réalise pas d’AIPD. À l’inverse, l’autorité de contrôle identifie également certains traitements pour lesquels une AIPD est obligatoire. Dans ces cas, Mimco AM procède directement à la réalisation d’une AIPD complète.

Pour tous les autres traitements non explicitement listés, Mimco AM réalise une analyse préliminaire afin d’évaluer la nécessité de mener une AIPD complète.

4. Exercice des droits des personnes concernées

Au titre du RGPD, toute personne concernée peut exercer des droits sur ses données personnelles traitées par Mimco AM, i.e. :

Son droit à l’information ;
Son droit d’accès aux données personnelles ;
Son droit de rectification des données personnelles ;
Son droit à l’effacement des données personnelles ;
Son droit au déférencement d’un lien ;
Son droit à la limitation du traitement des données personnelles ;
Son droit à la portabilité des données personnelles ;
Son droit d’opposition au traitement des données personnelles ;
Son droit de choisir le sort de ses données personnelles après son décès. Les droits des personnes concernées sont détaillés en annexe. Les personnes concernées peuvent demander à exercer leurs droits par tout moyen. Les demandes des personnes concernées doivent être conservées sous format électronique. Lorsqu'une personne concernée fait une demande par téléphone, en personne, par écrit ou par d'autres moyens, celle-ci doit être transmise au responsable RGPD, qui prendra contact avec la personne concernée afin de documenter la demande. L’adresse email du responsable RGPD doit être accessible à toute personne qui souhaiterait obtenir des informations sur le traitement des données personnelles ou exercer ses droits. En fonction des demandes, la personne concernée devra fournir des informations complémentaires. Ainsi, tout collaborateur qui reçoit une demande relative à l’exercice des droits sur les données personnelles doit immédiatement la transférer au responsable RGPD. Le responsable RGPD doit :
Envoyer un accusé de réception dans les 48 heures suivant réception de la demande ;
Enregistrer chaque demande dès sa réception et demander preuve de l’identité de la personne a l’origine de la demande. Cette dernière doit en effet être la personne concernée, ou une personne disposant d'une autorisation légitime sur la personne concernée.
Traiter la demande avec diligence, dans le délai des 30 jours suivant réception de la demande par la personne.
Fournir une réponse dans les 30 jours suivant la réception de la demande de la personne concernée, sauf exception ; La société de gestion s’engage à ce qu’aucun frais administratif ne soit imputé à la personne concernée ni au demandeur autorisé pour les demandes raisonnables, conformément aux principes du RGPD. Le processus relatif au traitement des demandes RGPD est détaillé dans la procédure de traitement des demandes RGPD.

5. Demandes et communications aux autorités

Dans certaines circonstances, Mimco AM peut être amenée à partager des données personnelles aux autorités, à l'insu de la personne concernée ou sans son consentement, dans les cas suivants :

Prévenir ou détecter un délit ou un crime ;
L’arrestation ou la poursuite de délinquants ;
L'évaluation ou la collecte d'un impôt ou d'une taxe ;
Sur ordre d'un tribunal ou en vertu de toute règle de droit. Si Mimco AM reçoit une demande d'un tribunal ou d'une autorité concernant une personne concernée, aux fins d’accès à ses données personnelles, le responsable RGPD doit être immédiatement informé afin qu’il traite la demande.

6. Transferts de données personnelles hors de l’UE

Mimco AM ne peut pas transférer vers un pays n'appartenant pas à l'union européenne des données personnelles faisant l'objet d'un traitement, ou sont destinées à faire l'objet d'un traitement, que si des mesures adéquates sont mises en place :

Vérifier les décisions d’adéquations ou la mise en place des clauses contractuelles types avec le destinataire.
Ne transférer au destinataire que les données à caractère personnel strictement nécessaires au regard de la finalité spécifique du transfert
Appliquer des mesures de sécurité appropriées lors du transfert, si besoin

Le personnel ne doit transférer des données à caractère personnel à des tiers, ni leur en permettre l’accès, que lorsque cela a été préalablement approuvé par le Responsable de la protection des données, afin de garantir que les informations seront traitées licitement et protégées de manière appropriée par le destinataire. Ainsi, le responsable RGPD doit être consulté sur toute proposition de transfert de données personnelles lorsque la personne concernée n'a pas encore consenti expressément au transfert.

Les collaborateurs doivent également savoir que les sous-traitants au sens du RGPD, ont l’obligation de nous signaler toute violation ou tout incident concernant les données personnelles transmis par Mimco AM. Pour toute externalisation de services à un tiers (y compris les prestataires de service en nuage), le responsable RGPD devra déterminer si le traitement entraînera des transferts de données personnelles vers des pays tiers et inclure des dispositions adéquates dans l'accord d'externalisation le cas échéant. Le responsable RGPD procédera à des contrôles réguliers du traitement des données personnelles effectué par des tiers, y compris des mesures techniques et organisationnelles mises en place. Toute anomalie majeure identifiée devra être signalée à la direction, et des actions de remédiation devront être prises.

7. Signalement d’une violation de données personnelles

Tout salarié qui soupçonne une violation de données personnelles doit immédiatement notifier le responsable RGPD, à l’adresse : contact@makers-fund.com.

Le responsable RGPD doit mener une enquête, afin d’évaluer le niveau de risque de violation des données personnelles. Si l’incident constitue un risque au regard de la vie privée des personnes concernées, vous devrez notifier

En cas de risque avéré, il est obligatoire de notifier la CNIL dans les 72h à compter de la notification ; en cas de risque élevé, il est obligatoire de notifier la CNIL et les personnes concernées dans les 72h à compter de la notification.

Le processus est détaillé dans la procédure de gestion des incidents. Toute violation de données à caractère personnel fait l’objet d’un enregistrement dans le registre des incidents.

8. Formations

Un plan annuel de formation doit être élaboré par le responsable RGPD, afin de proposer des sessions de sensibilisation ou des formations, en fonction de l’exposition aux risques des collaborateurs. Tout salarié doit avoir suivi au moins une session de sensibilisation/formation dans le mois suivant sa prise de fonction (formation initiale), puis une fois par an (formation continue). Un registre des formations doit être tenu à jour, et les feuilles d’émargement conservées.

Le responsable RGPD doit régulièrement communiquer sur les règles et processus en vigueur.

9. Conséquences du non-respect de la politique

Le non-respect de la présente politique pourrait avoir de graves répercussions sur la réputation de Mimco AM. S'il s'avère que la société a enfreint les lois et réglementations en vigueur, Mimco AM peut être condamnée à une amende pouvant aller jusqu'à 4 % du chiffre d'affaires annuel mondial ou 20 millions d'euros (le montant le plus élevé étant retenu).

En cas de violation de cette politique par un collaborateur, ce dernier pourrait être sanctionné (sanctions disciplinaires pouvant aller jusqu’au licenciement, condamnations pénales et civiles).

10. Annexes

Annexe 1 : DATA PROTECTION FRAMEWORK – PLAN-DO-CHECK-ACT (PDCA)

Annexe 2 : mentions d’information

La notice d’information à communiquer à la personne concernée doit inclure les éléments suivants :

Identité et coordonnées du responsable du traitement des données personnelles ;
Le responsable de la protection des données (le cas échéant) et ses coordonnées ;
La ou les finalités des activités de traitement ainsi que la base juridique du traitement ;
Le destinataire ou les catégories de destinataires des données personnelles (le cas échéant) ;
Le fait que le responsable du traitement a l'intention de transférer des données à caractère personnel vers un pays tiers ou à une organisation internationale et l'existence ou l'absence d'une décision d'adéquation de la commission ou d'une référence aux garanties appropriées ou adéquates ;
Les durées de conservation des données personnelles et les critères utilisés pour déterminer cette durée ;
Lorsque le traitement est fondé sur le consentement, l'existence du droit pour la personne concernée de retirer son consentement à tout moment, sans affecter la légalité du traitement fondé sur le consentement avant son retrait ;
L'existence de certains droits pour les personnes concernées : droit d'accès, de rectification, d'effacement, de limitation du traitement, d'opposition au traitement et de portabilité des données ;
Le droit de soumettre une réclamation auprès d’une autorité compétente ;
L'existence d'une obligation légale ou contractuelle de fournir des données personnelles, ou d'une obligation nécessaire à la conclusion d'un contrat, ainsi que l'obligation pour la personne concernée de fournir les données personnelles et les conséquences éventuelles d'un défaut de fourniture de ces données ;
L'existence d'une prise de décision automatisée (le cas échéant), y compris le profilage, ainsi que l'importance et les conséquences envisagées d'un tel traitement pour la personne concernée ; et
Si les données personnelles sont collectées auprès d'autres personnes que la personne concernée, indiquer l'origine des données et, le cas échéant, si elles proviennent de sources accessibles au public.

Annexe 3 : bases légales de traitement

Pour pouvoir être mis en œuvre, tout traitement de données personnelles doit se fonder sur une base légale prévue par le RGPD, c’est-à-dire ce qui donne le droit au responsable de traitement de traiter les données personnelles.

Il existe 6 bases légales (art 6 du RGPD) :

Le consentement. La personne concernée doit consentir au traitement de ses données personnelles.
Le contrat. Le traitement des données personnelles est nécessaire à l’exécution ou à la préparation d’un contrat avec la personne concernée.
L’intérêt légitime. Le traitement est nécessaire à la poursuite d’intérêts légitimes (ex. Commerciaux, de sécurité, des biens, etc.) Du responsable de traitement ou d’un tiers, dans le respect des droits et intérêts des personnes concernées. Le responsable de traitement doit donc opérer une pondération entre son intérêt, et les intérêts de la personne (inclus les attentes raisonnables de la personne). Cette mise en balance doit être réalisé pour chaque traitement qui repose sur cette base légale.
L’obligation légale. Le traitement est imposé par des textes légaux.
La mission d’intérêt public. Le traitement est nécessaire à l’exécution d’une mission d’intérêt public.
La sauvegarde des intérêts vitaux. Le traitement est nécessaire à la sauvegarde des intérêts vitaux de la personne ou d’un tiers.

Annexe 4 : le consentement

La loi du 6 janvier 1978 (loi informatique et libertés) subordonne la licéité d'un traitement de données personnelles à l'une des six conditions qu'elle énumère (loi art. 5). La principale de ces conditions est relative au consentement de la personne concernée par les données. Les conditions de licéité des traitements sont formulées en des termes analogues à ceux qu'utilise le règlement européen (RGPD art. 6, 1).

Ainsi, le consentement est la condition principale de licéité d’un traitement de données personnelles. En voici les caractéristiques principales :

Le consentement doit être une manifestation de volonté libre, spécifique, éclairée et univoque : la personne concernée doit accepter le traitement par une déclaration ou un acte positif clair.
Le consentement doit être donné pour une ou des finalités clairement définies.
Le consentement ne peut être considéré comme « libre » que si la personne concernée est en mesure de refuser ou de retirer son consentement sans subir de pression ni de préjudice ;
Le consentement n'est « spécifique » que s'il répond à une demande suffisamment détaillée permettant à la personne concernée de donner un consentement distinct pour chacune des finalités du traitement ;
Le consentement n'est « éclairé » que si la personne concernée reçoit certaines informations essentielles : par exemple, identité du responsable de traitement, finalité de chacune des opérations de traitement, données collectées et utilisées ;
Le consentement n'est « univoque » que s'il résulte d'une déclaration ou d'un « geste positif » de la personne concernée. En tant que responsable de traitement, Mimco AM devra démontrer que le consentement a été effectivement donné, de manière claire et simple. La personne concernée doit avoir la possibilité de retirer son consentement à tout moment.

Annexe 5 : cookies et autres traceurs

Les cookies sont des petits fichiers stockés par un serveur dans le terminal (ordinateur, téléphone, etc.) D’un utilisateur et associé à un site web. Les cookies et autres traceurs ont différents usages (gestion d’un site internet, analyses statistiques ou publicitaires, etc.).

Toute personne qui visite le site internet de Mimco AM doit pouvoir gérer les cookies et autres traceurs à tout moment. Des mentions obligatoires doivent être incluses sur le site internet, de manière claire et aisément accessible. En principe, tous les types de cookies et de traceurs, a l'exception des cookies strictement nécessaires (nécessaires au fonctionnement du site/portail), requièrent le consentement préalable et éclairé de la personne concernée.

Annexe 6 : droit des personnes

Les personnes concernées peuvent exercer des droits sur leurs données personnelles et peuvent demander, en fonction de la base légale et des circonstances du traitement, l'un des éléments suivants :

Un droit d'accès : il permet de savoir si vos données personnelles sont traitées et d’en obtenir la communication dans un format compréhensible. Il permet également de contrôler l'exactitude des données et, au besoin, de les faire rectifier ou effacer.
Un droit de rectification : pour faire rectifier, compléter, actualiser, verrouiller ou effacer des informations là concernant lorsqu’ont été décelées des erreurs, des inexactitudes ou la présence de données dont la collecte, l’utilisation, la communication ou la conservation est interdite
Un droit à l'effacement, également appelé droit à l'oubli, pour obtenir l'effacement des données personnelles le concernant dans les meilleurs délais ;
Un droit à la limitation du traitement : pour obtenir la limitation du traitement de sorte que, à l'exception du stockage, les données ne puissent être traitées par Mimco AM qu’avec le consentement de la personne concernée ou pour la constatation, l'exercice ou la défense d'un droit en justice ;
Un droit à la portabilité des données (recevoir les données à caractère personnel le concernant dans un format structuré, couramment utilisé et lisible par machine, et avoir le droit de transmettre ces données à un autre responsable du traitement) ;
Un droit d'opposition (s'opposer au traitement des données à caractère personnel le concernant, sous certaines conditions) ; et
Un droit d'opposition à la prise de décision automatisée et au profilage (il s'agit du droit de la personne concernée de ne pas faire l'objet d'une décision fondée exclusivement sur un traitement automatisé, y compris le profilage, qui produit des effets juridiques à son égard ou qui l'affecte de manière similaire). Les personnes concernées ont le droit d'obtenir, sur demande écrite et après vérification de leur identité par le responsable RGPD, les informations suivantes concernant leurs propres données à caractère personnel (sauf exceptions) :
Les finalités de la collecte, du traitement, de l'utilisation et du stockage de leurs données à caractère personnel ;
La ou les sources des données à caractère personnel, si elles n'ont pas été obtenues auprès de la personne concernée ;
Les catégories de données à caractère personnel stockées pour la personne concernée ;
Les destinataires ou catégories de destinataires auxquels les données à caractère personnel ont été ou peuvent être transmises, ainsi que le lieu où se trouvent ces destinataires ;
La période de conservation envisagée pour les données à caractère personnel ou la raison pour laquelle la période de conservation a été déterminée ;
Le recours a toute prise de décision automatisée, y compris le profilage ; et
Le droit de la personne concernée de :
- De s'opposer au traitement de ses données à caractère personnel
- Déposer une plainte auprès de l'autorité chargée de la protection des données.
- De demander la rectification ou l'effacement de ses données à caractère personnel
- De demander la limitation du traitement de ses données à caractère personnel.

‍