Sécurité des données

Est responsable au sens de la législation sur la protection des données et d’autres dispositions relevant du droit sur la protection des données :

GastroSocial | Buchserstrasse 1 | 5001 Aarau | Suisse
062 837 71 71 | info@gastrosocial.ch
Conseiller à la protection des données : datenschutz@gastrosocial.ch

Nous traitons en premier lieu les données personnelles que nous obtenons dans le cadre de nos relations d’affaires avec les personnes assurées, les établissements affiliés et leurs partenaires commerciaux ainsi qu’avec les autres personnes concernées, ou les données que nous recueillons auprès des utilisateurs de nos sites web, applis et d’autres applications dans le cadre de leur exploitation.

Dans la mesure où cela est permis, nous recueillons également certaines données à partir de sources accessibles au public (p.ex. registre des poursuites, registres fonciers, registre du commerce, presse, Internet) ou les collectons par le biais des autorités et institutions autorisées à utiliser les numéros d’assurance sociale. Outre vos données que vous nous communiquez directement, les catégories de données personnelles vous concernant et que nous recueillons via des tiers englobent en particulier les informations issues de registres officiels, les informations dont nous prenons connaissance dans le cadre de procédures administratives et judiciaires, les informations en rapport avec vos fonctions et activités professionnelles (afin que nous puissions, p.ex. conclure et réaliser des affaires avec votre employeur par votre intermédiaire), les informations vous concernant issues de correspondances et de discussions avec des tiers, les informations vous concernant transmises par des personnes de votre entourage (famille, conseillers, représentants légaux, etc.) afin que nous puissions, avec vous ou par votre intermédiaire, conclure et exécuter des contrats (p.ex. des références, votre adresse de livraison, des procurations, des informations sur le respect de prescriptions légales comme la lutte contre le blanchiment d’argent et les restrictions d’exportation, les informations des banques, des assurances, de nos partenaires de distribution et de nos autres partenaires contractuels pour recourir à des prestations ou afin que vous réalisiez des prestations, comme des paiements et des achats), les informations issues de divers médias ou d’Internet vous concernant (dans la mesure où cela est indiqué dans le cas concret, p.ex. dans le cadre d’une candidature, d’une revue de presse, d’une activité marketing/de vente, etc.), vos adresses et le cas échéant vos centres d’intérêt et d’autres données sociodémographiques (à des fins de marketing) et les données en rapport avec l’utilisation du site web (p.ex. l’adresse IP, l’adresse MAC du smartphone ou de l’ordinateur, les informations sur votre appareil et les paramètres, les cookies, la date et l’heure de la visite, les pages et les contenus consultés, les fonctions utilisées, le site web auquel il est fait renvoi, les informations de localisation).

Lorsque vous nous communiquez des données via des tiers, nous partons du principe que vous êtes autorisé à le faire et que ces données sont exactes. Nous vous prions donc d’informer ces tiers du traitement de vos données par nos soins et de leur remettre une copie de la présente déclaration de protection des données.

Nous utilisons les données personnelles recueillies par nos soins en premier lieu pour conclure et exécuter nos contrats avec nos clients et partenaires commerciaux, en particulier dans le cadre de la mise en œuvre des assurances sociales des 1^er et 2^e piliers de nos assurés (p.ex. conclusion et exécution de contrats d’affiliation avec l’employeur, admission de personnes assurées, contrôle et exécution de cas de prévoyance, y compris la coordination avec d’autres assureurs), de la location d’immeubles d’habitation et d’immeubles commerciaux.(conclusion et exécution de contrats de bail) et de l’achat de produits et de prestations de services de nos fournisseurs et sous-traitants, et pour satisfaire à nos obligations légales en Suisse et à l’étranger. Si vous travaillez pour un tel client ou partenaire commercial, vos données personnelles peuvent également être concernées dans le cadre de cette fonction.

Par ailleurs, nous traitons vos données personnelles et celles d’autres personnes dans la mesure où ce traitement est autorisé et nous semble approprié, et ce, aux fins suivantes, pour lesquelles nous (et parfois des tiers) présentons un intérêt légitime correspondant à l’une de ces fins :

• offre et développement de nos offres, prestations de services, sites web, applications et d’autres plateformes sur lesquelles nous sommes présents ;
• communication avec des tiers et traitement de leurs demandes (p.ex. candidatures, demandes émanant des médias) ;
• contrôle et optimisation de procédés en vue de l’analyse des besoins à des fins de contact direct avec la clientèle, ainsi que collecte de données personnelles issues de sources accessibles au public à des fins de prospection de la clientèle ;
• publicité et marketing (y compris la réalisation d’événements) si vous ne vous êtes pas opposé à l’utilisation de vos données (lorsque nous vous faisons parvenir des publicités en tant que client existant, vous pouvez à tout moment vous opposer à l’envoi de ces publicités ; nous vous inscrivons alors sur une liste de blocage pour stopper les envois publicitaires ultérieurs) ;
• étude de marché et sondage d’opinion, observation des médias ;
• exercice et défense de droits légaux en rapport avec des litiges juridiques et des procédures administratives ;
• prévention et enquête sur des actes répréhensibles et d’autres comportements fautifs (p.ex. conduite d’enquêtes internes, analyses de données dans le cadre de la lutte contre la fraude) ;
• garantie de notre exploitation, en particulier de l’informatique, de nos sites web, applications et d’autres plateformes ;
• surveillances vidéo afin de garantir la bonne application du droit de domicile et autres mesures garantissant la sécurité du système informatique, des bâtiments et des installations, la protection de nos collaborateurs, d’autres personnes et des valeurs qui nous appartiennent ou nous sont confiées (comme les contrôles d’accès, les listes de visiteurs, les scanners de réseau et de messagerie, les enregistrements téléphoniques).

La loi sur l’assurance-vieillesse et survivants (LAVS), la législation sur la prévoyance professionnelle vieillesse, en particulier la loi fédérale sur la prévoyance professionnelle vieillesse, survivants et invalidité (LPP) et la loi fédérale sur le libre passage dans la prévoyance professionnelle vieillesse, survivants et invalidité (LFLP) ainsi que les ordonnances correspondantes, constituent les bases juridiques pertinentes. En qualité d’organe fédéral, nous traitons les données personnelles dans le cadre de nos autorisations légales de traitement (p.ex. art. 85a ss LPP et art. 49a ss LAVS ; les normes de la LPGA doivent également être prises en compte). Dans le domaine de la prévoyance surobligatoire, notre traitement des données n’est pas soumis aux dispositions de protection des données de la LPP, mais à celles de la loi fédérale sur la protection des données (LPD). La LPD s’applique au traitement des données personnelles en rapport avec la location d’immeubles d’habitation et d’immeubles commerciaux.

Si vous nous avez autorisé à traiter vos données personnelles à des fins spécifiques, nous traitons ces données dans le cadre et sur la base de cette autorisation, pour autant que nous ne disposions d’aucune autre base juridique et que nous ayons besoin d’une telle base. À tout moment, il est possible de révoquer une autorisation accordée, ce qui n’a toutefois aucune répercussion sur les traitements des données déjà réalisés.

Dans le cadre de nos activités commerciales, nous communiquons également des données à des tiers dans la mesure où une base légale nous le permet ou si vous nous avez donné votre consentement. Par ailleurs, nous pouvons, dans des cas particuliers, communiquer des données à l’étranger sous réserve de respecter l’une des conditions de l’art. 16 LPD, resp. de l’art. 36, al. 2 – 5 LPD.

Sont ici plus particulièrement concernés les organes suivants :

• autorités étrangères, entités administratives ou tribunaux en rapport avec l’exécution des missions des assurances sociales des 1^er et 2^e piliers,
• fournisseurs, sous-traitants et autres partenaires commerciaux (p.ex. réassureurs),
• assurés domiciliés à l’étranger,
• autres parties impliquées dans une procédure juridique éventuelle ou effective,
• parties tierces autorisées (p.ex. mandataires),
• organe de révision,
• experts.

Si un destinataire se trouve dans un pays ne proposant pas de protection légale des données appropriée, nous obligeons par contrat le destinataire à respecter la protection des données applicable (à cet effet, nous nous appuyons sur les clauses contractuelles types révisées de la Commission européenne, consultables ici : https://eur-lex.europa.eu/eli/dec_impl/2021/914/oj) si le destinataire n’est pas déjà soumis à un règlement reconnu sur le plan légal afin de garantir la protection des données et si nous ne pouvons pas nous appuyer sur une exception. Une exception peut notamment s’appliquer à l’étranger lors d’une procédure juridique, mais également en présence d’intérêts publics prépondérants ou si l’exécution d’un contrat requiert la communication de données, si vous avez donné votre accord ou s’il s’agit de données que vous avez rendues accessibles de manière générale et dont vous avez accepté le traitement.

Nous traitons et enregistrons vos données personnelles tant que cela est nécessaire à l’exécution de nos obligations contractuelles et légales ou encore selon les buts visés par le traitement, p.ex. pour la durée de toute la relation d’affaires (du début à la fin d’un contrat en passant par son exécution) ainsi qu’en conformité avec les obligations légales de conservation et de documentation. Il est ainsi possible que les données personnelles soient conservées pendant le temps nécessaire, aussi longtemps que des droits peuvent être exercés à l’encontre de notre entreprise et pour autant que nous en ayons l’obligation légale d’une autre manière ou si des intérêts commerciaux légitimes le nécessitent (p.ex. à des fins de preuve et de documentation). Dès que vos données personnelles ne sont plus nécessaires aux fins susmentionnées, elles sont en principe, dans la mesure du possible, supprimées ou anonymisées.

En tant qu’entreprise responsable, nous mettons en œuvre un éventail de mesures techniques et organisationnelles (MTO) visant à assurer la confidentialité, l’intégrité et la disponibilité de la totalité des données que nous collectons et traitons. Ces mesures sont conformes aux « bonnes pratiques » et exigences légales actuelles garantissant que les données de nos clients, collaborateurs et partenaires commerciaux soient protégées de manière efficace.

Contrôle d’accès

Afin d’assurer que seuls des personnes et appareils autorisés puissent accéder à nos données, nous utilisons un système d’autorisations strict. Ce système exige une authentification par informations d’accès personnelles, avant que l’accès ne soit accordé.

Contrôle des entrées

Les locaux de l’entreprise sont équipés d’un accès sécurisé empêchant tout accès de personnes non autorisées à nos systèmes. De plus, toutes les entrées sont consignées et contrôlées.

Contrôle des utilisateurs

Nous faisons appel à une procédure de gestion des utilisateurs garantissant que seuls des utilisateurs autorisés aient accès à nos systèmes informatiques. La surveillance des activités utilisateurs ainsi que des mesures de préservation de l’identité et de la confidentialité des informations d’accès utilisateurs font partie de cette procédure.

Contrôle des supports de données

Des contrôles et des mesures sévères garantissent une manipulation sécurisée des données sur supports physiques. En font partie la conservation sécurisée de données sensibles ainsi que la mise en œuvre de procédures sécurisées d’élimination ou de destruction de supports de données, sur lesquels des données ont été enregistrées.

Contrôle du stockage

Nos données sont stockées sur des serveurs sécurisés grâce à des systèmes de pare-feu, des logiciels antivirus et d’autres outils de sécurité.

Contrôle du transport

Lors du transfert de données, tant interne qu’externe, nous faisons appel à des normes de cryptage et des protocoles de transfert sécurisés afin d’assurer l’intégrité et la confidentialité des données.

Contrôle de la disponibilité

Nous exécutons régulièrement des sauvegardes et avons configuré des plans de reprise après sinistre garantissant à tout moment la disponibilité de nos données et systèmes. Notre infrastructure a été conçue de manière à être protégée au mieux contre les pannes et à pouvoir être restaurée rapidement.

Contrôle de la sécurité du système

Nos systèmes informatiques sont protégés par des technologies de sécurité actuelles mises à jour en continu et contrôlées pour détecter des failles de sécurité.

Contrôle des saisies

Nous documentons et surveillons toutes les saisies dans nos systèmes de traitement des données. Cela garantit qu’aucune saisie non autorisée ou erronée n’est effectuée.

Contrôle de la communication

La communication de données à des tiers est uniquement réalisée sur la base des dispositions légales en vigueur ou avec le consentement exprès des personnes concernées. De plus, toutes ces opérations sont consignées dans un fichier journal. En outre, nous obligeons ces tiers à respecter des normes aussi sévères que nous en matière de protection et de sécurité des données.

Cet ensemble de mesures garantit notre obligation de protéger l’intégrité, la confidentialité et la disponibilité de toutes les données que nous traitons.

Dans le cadre de notre relation d’affaires, vous devez mettre à disposition les données personnelles nécessaires à la conclusion et à l’exécution de cette relation ainsi qu’à la réalisation des obligations contractuelles et légales associées. Sans ces données, nous sommes en principe dans l’impossibilité de conclure ou d’exécuter un contrat avec vous (ou l’office ou la personne que vous représentez). Si certaines informations visant à garantir les échanges de données (p.ex. adresse IP) ne sont pas publiées, il est également impossible d’utiliser le site web.

Nous traitons partiellement vos données personnelles de manière automatisée, l’objectif étant d’évaluer certains aspects personnels (profilage). Nous utilisons le profilage en particulier pour vous informer de manière ciblée sur les produits et vous conseiller. Nous utilisons ainsi des instruments d’analyse qui nous permettent une communication et une publicité adaptée aux besoins, y compris les études de marché et sondages d’opinion.

Afin de justifier et d’exécuter la relation d’affaires, nous recourons dans certains cas à un système entièrement automatisé de prise de décision. Cela concerne principalement la collecte des cotisations des 1^er et 2^e piliers. Les processus traités à l’aide de pareils procédés sont identifiés comme tels pour vous dans les documents concernés dès lors que la loi l’impose. Si vous n’êtes pas d’accord avec une décision automatisée, vous pouvez exposer votre point de vue et exiger que la décision individuelle automatisée soit vérifiée par une collaboratrice ou un collaborateur de GastroSocial. Pour ce faire, adressez-vous à la personne de contact mentionnée dans les documents reçus.

Vous avez :

• un droit d’accès (art. 25 LPD),
• le droit à la remise ou à la transmission des données personnelles (art. 28 LPD),
• le droit à la rectification des données (art. 32 LPD),
• le droit aux actions concernant la protection de la personnalité (art. 32 LPD).

Lorsque le RGPD est applicable, vous avez en outre :

• un droit à l’information (art. 13 et 14 RGPD),
• un droit d’accès (art. 15 LPD),
• un droit à la rectification (art. 16 RGPD),
• un droit à l’effacement, resp. un « droit à l’oubli » (art. 17 RGPD),
• un droit à la limitation du traitement (art. 18 RGPD),
• un droit à la portabilité des données (art. 20 RGPD),
• un droit d’opposition (art. 21 RGPD),
• le droit de ne pas faire l’objet d’une décision fondée exclusivement sur un traitement automatisé, y compris le profilage, produisant des effets juridiques vous concernant ou vous affectant de manière significative de façon similaire (art. 22 RGPD).

Veuillez toutefois noter que nous nous réservons le droit de faire valoir les restrictions prévues par la loi, par exemple si nous sommes tenus de conserver ou de traiter certaines données, si nous avons un intérêt prépondérant (dans la mesure où nous pouvons nous y référer) ou si nous avons besoin de ces données pour faire valoir des droits. Si cela entraîne des coûts pour vous, nous vous en informerons au préalable. Veuillez noter que l’exercice de ces droits peut être en conflit avec des arrangements contractuels, ce qui peut avoir des conséquences, comme une résiliation anticipée du contrat ou des répercussions financières. Dans ce cas, nous vous informerons au préalable en l’absence de disposition contractuelle correspondante.

L’exercice de vos droits suppose généralement que vous prouviez votre identité de manière univoque (p.ex. à l’aide d’une copie de votre pièce d’identité). Afin de faire valoir vos droits, vous pouvez nous contacter à l’adresse indiquée à la section « Responsabilité ».

Chaque personne concernée a également le droit de faire respecter ces droits par voie judiciaire ou de soumettre un recours auprès de l’autorité compétente de protection des données. En Suisse, l’autorité compétente de protection des données est le Préposé fédéral à la protection des données et à la transparence (https://www.edoeb.admin.ch/edoeb/fr/home.html).

Nous actualisons en permanence cet avis de confidentialité. C’est pourquoi nous nous réservons le droit de le modifier de temps en temps et de mettre à jour les modifications relatives à la collecte, au traitement et à l’utilisation de vos données. La version actuelle de la déclaration de protection des données est en permanence consultable sur le lien suivant : https://www.gastrosocial.ch/fr/protection-des-donnees