ARTICLE 1 : PRÉAMBULE

La présente politique de confidentialité a pour objet d’informer l’Utilisateur du site www.so-beautiful.fr de la manière dont ses données à caractère personnel sont collectées, utilisées, conservées et protégées.

L’Éditeur du Site, identifié à l’article 4.A, est établi en Tunisie. Dans la mesure où le Site s’adresse à des personnes se trouvant dans l’Union européenne et leur propose des services, les traitements décrits dans la présente politique relèvent du Règlement (UE) 2016/679 du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel (ci-après « le RGPD »), en application de son article 3, paragraphe 2, point a.

Ces traitements relèvent également de la loi organique tunisienne n° 2004-63 du 27 juillet 2004 portant sur la protection des données à caractère personnel.

La présente politique fait partie intégrante des mentions légales et conditions générales d’utilisation du Site.

ARTICLE 2 : PRINCIPES GÉNÉRAUX EN MATIÈRE DE COLLECTE ET DE TRAITEMENT DES DONNÉES

Conformément à l’article 5 du RGPD, les données à caractère personnel sont :

• traitées de manière licite, loyale et transparente au regard de la personne concernée ;
• collectées pour des finalités déterminées, explicites et légitimes, et ne sont pas traitées ultérieurement d’une manière incompatible avec ces finalités ;
• adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités poursuivies ;
• exactes et tenues à jour, les données inexactes étant effacées ou rectifiées sans tarder ;
• conservées pendant une durée n’excédant pas celle nécessaire au regard des finalités poursuivies ;
• traitées de façon à garantir une sécurité appropriée, y compris la protection contre le traitement non autorisé et contre la perte ou la destruction accidentelles.

L’Éditeur ne procède à aucune décision fondée exclusivement sur un traitement automatisé produisant des effets juridiques à l’égard de l’Utilisateur. Aucun profilage n’est mis en œuvre à partir des données relatives à la santé.

ARTICLE 3 : DONNÉES À CARACTÈRE PERSONNEL COLLECTÉES ET TRAITÉES

A. DONNÉES COLLECTÉES ET MODE DE COLLECTE

Les données suivantes sont susceptibles d’être collectées :

• Données d’identification et de contact : nom, prénom, date de naissance, pays de résidence, adresse électronique, numéro de téléphone. Collectées auprès de l’Utilisateur, au moyen du formulaire de demande de devis ou lors des échanges téléphoniques et par messagerie.
• Données relatives au séjour : dates souhaitées, informations de vol, présence d’un accompagnant, préférences d’hébergement. Collectées auprès de l’Utilisateur.
• Données de navigation : adresse IP, pages consultées, date et heure de connexion, type de navigateur et d’appareil, site d’origine. Collectées automatiquement, dans les conditions de l’article 7.

Les champs indispensables à l’établissement d’un devis sont signalés comme obligatoires. Les autres informations sont facultatives : leur absence est susceptible de limiter la précision de la réponse apportée, sans empêcher le traitement de la demande.

B. DONNÉES RELATIVES À LA SANTÉ

Le formulaire de demande de devis conduit l’Utilisateur à communiquer des informations relatives à son état de santé : intervention envisagée, taille et poids, antécédents médicaux et chirurgicaux, traitements en cours, allergies, tabagisme, photographies de la zone concernée, comptes rendus et résultats d’examens.

Ces informations constituent des données à caractère personnel relevant des catégories particulières au sens de l’article 9, paragraphe 1, du RGPD. Leur traitement obéit en conséquence à un régime renforcé :

• il repose sur le consentement explicite de l’Utilisateur, au sens de l’article 9, paragraphe 2, point a, du RGPD ;
• ce consentement est recueilli au moyen d’une case à cocher distincte, non pré-cochée, indépendante de l’action d’envoi du formulaire ;
• il peut être retiré à tout moment, sans que ce retrait ne remette en cause la licéité des traitements effectués antérieurement ;
• l’accès à ces données est strictement limité aux personnes ayant besoin d’en connaître, ainsi qu’au praticien destinataire du dossier.

L’Utilisateur est invité à ne communiquer que les informations utiles à l’étude de son dossier, et à ne pas transmettre de document médical par un canal de messagerie non sécurisé.

C. FINALITÉS ET BASES LÉGALES DES TRAITEMENTS

D. DURÉES DE CONSERVATION

À l’échéance de ces durées, les données sont supprimées ou anonymisées de manière irréversible.

E. TRANSMISSION DES DONNÉES À DES TIERS

Les données de l’Utilisateur ne font l’objet d’aucune cession, location ou échange. Elles sont susceptibles d’être communiquées :

• aux personnels habilités de l’Éditeur, dans la limite de leurs attributions et sous obligation de confidentialité ;
• aux chirurgiens et établissements de santé partenaires auxquels le dossier est transmis pour étude. Ces praticiens sont soumis au secret professionnel et agissent, pour les actes médicaux, en qualité de responsables de traitement autonomes. L’identité du destinataire est communiquée à l’Utilisateur avant toute transmission ;
• aux sous-traitants de l’Éditeur, agissant sur instruction documentée et liés par un contrat conforme à l’article 28 du RGPD :
  • Metocrm (app.metocrm.com) — hébergement du formulaire de demande de devis et outil de gestion de la relation client. So Beautiful TUNISIE
  • So Beautiful TUNISIE— hébergement du Site et des sauvegardes
  • So Beautiful TUNISIE
• aux prestataires du séjour — compagnies aériennes, hôtels, sociétés de transfert — pour les seules données nécessaires à la réservation, à l’exclusion de toute donnée relative à la santé ;
• aux autorités administratives ou judiciaires, lorsqu’une obligation légale l’impose.

F. HÉBERGEMENT DES DONNÉES

Les données collectées par l’intermédiaire du Site sont hébergées par So Beautiful TUNISIE, dont les serveurs sont situés en TUNISIE.

Les données traitées au moyen du formulaire de demande de devis sont hébergées par l’éditeur de la solution Metocrm, dans les conditions indiquées à l’article 3.E.

POINT DE VIGILANCE. Le pays d’implantation des serveurs doit être vérifié auprès de l’hébergeur, et non supposé. Une mention indiquant un hébergement dans l’Union européenne alors que les serveurs sont situés hors de l’Union constitue une information inexacte, et prive de base l’article 3.G ci-dessous.

G. TRANSFERTS DE DONNÉES HORS DE L’UNION EUROPÉENNE

Les données de l’Utilisateur sont transmises depuis l’Union européenne vers la Tunisie, où sont établis l’Éditeur ainsi que les praticiens et établissements partenaires.

La Tunisie ne fait l’objet d’aucune décision d’adéquation de la Commission européenne au sens de l’article 45 du RGPD. Le niveau de protection des données y est donc apprécié comme n’étant pas, par principe, équivalent à celui garanti au sein de l’Union. Ce transfert est encadré selon les modalités suivantes :

DÉCISION À PRENDRE. Conserver l’option retenue et supprimer l’autre. Le choix entre ces deux mécanismes emporte des conséquences pratiques distinctes et doit être arbitré avec un conseil juridique.

Option A — Garanties appropriées (article 46, paragraphe 2, point c, du RGPD). Les transferts sont encadrés par les clauses contractuelles types adoptées par la Commission européenne, complétées le cas échéant par les mesures supplémentaires issues de l’analyse d’impact du transfert. Une copie de ces clauses peut être obtenue sur demande adressée selon les modalités de l’article 6.B.

Option B — Consentement explicite (article 49, paragraphe 1, point a, du RGPD). Le transfert repose sur le consentement explicite de l’Utilisateur, recueilli après qu’il a été informé des risques qu’il comporte : absence de décision d’adéquation, possibilité d’un accès des autorités locales aux données, et voies de recours susceptibles de différer de celles offertes au sein de l’Union. Ce consentement est recueilli lors de l’envoi du formulaire et peut être retiré à tout moment.

ARTICLE 4 : RESPONSABLE DU TRAITEMENT, REPRÉSENTANT ET DÉLÉGUÉ À LA PROTECTION DES DONNÉES

A. LE RESPONSABLE DU TRAITEMENT DES DONNÉES

• Dénomination : So Beautiful TUNISIE
• Siège social : Tunisie
• Adresse électronique dédiée : So Beautiful TUNISIE
• Téléphone : 00 33 (0)1 84 800 400

C. OBLIGATIONS DU RESPONSABLE DU TRAITEMENT

Le responsable du traitement s’engage à :

• ne collecter que les données strictement nécessaires aux finalités poursuivies ;
• informer l’Utilisateur, préalablement à la collecte, des finalités, des bases légales, des destinataires et des durées de conservation ;
• recueillir et documenter le consentement lorsque celui-ci constitue la base légale du traitement ;
• tenir un registre des activités de traitement ;
• garantir la confidentialité et la sécurité des données, y compris auprès de ses sous-traitants ;
• notifier toute violation de données à l’autorité de contrôle compétente et, lorsque la réglementation l’exige, aux personnes concernées ;
• répondre aux demandes d’exercice de droits dans les délais prévus à l’article 6.B.

D. LE DÉLÉGUÉ À LA PROTECTION DES DONNÉES

DÉCISION À PRENDRE. L’article 37, paragraphe 1, point c, du RGPD rend la désignation d’un délégué obligatoire lorsque l’activité de base du responsable consiste en un traitement à grande échelle de données relevant de l’article 9. La question de savoir si le volume de dossiers traités atteint ce seuil doit être examinée avec un conseil juridique. Si la désignation est obligatoire, compléter ci-dessous ; à défaut, supprimer cette sous-section.

ARTICLE 5 : SÉCURITÉ DES DONNÉES

L’Éditeur met en œuvre les mesures techniques et organisationnelles appropriées au regard du caractère sensible des données traitées, et notamment :

• le chiffrement des échanges entre le navigateur de l’Utilisateur et le Site par protocole HTTPS ;
• des habilitations nominatives, limitées aux personnes ayant besoin d’en connaître, avec traçabilité des accès ;
• des engagements de confidentialité contractuels avec les sous-traitants et les partenaires ;
• des sauvegardes régulières et des procédures de restauration ;
• la mise à jour des composants logiciels du Site et le contrôle des accès à son administration.

Aucun dispositif ne pouvant garantir une sécurité absolue, l’Éditeur s’engage à mettre en œuvre tous les moyens raisonnables à sa disposition, sans pouvoir garantir un résultat.

ARTICLE 6 : DROITS DE L’UTILISATEUR

A. PRÉSENTATION DES DROITS

L’Utilisateur dispose sur ses données à caractère personnel des droits suivants :

• Droit d’accès — obtenir la confirmation que ses données sont traitées et en recevoir une copie (art. 15) ;
• Droit de rectification — faire corriger des données inexactes ou incomplètes (art. 16) ;
• Droit à l’effacement — obtenir la suppression de ses données, dans les cas prévus par la réglementation (art. 17) ;
• Droit à la limitation — obtenir le gel temporaire d’un traitement contesté (art. 18) ;
• Droit à la portabilité — recevoir les données fournies dans un format structuré et lisible par machine, ou en demander la transmission directe à un autre organisme (art. 20) ;
• Droit d’opposition — s’opposer à un traitement fondé sur l’intérêt légitime, et à tout moment à la prospection commerciale (art. 21) ;
• Droit de retirer son consentement — à tout moment et sans justification, pour les traitements qui en dépendent (art. 7.3) ;
• Droit de définir des directives post mortem relatives au sort de ses données après son décès.

B. MODALITÉS D’EXERCICE

Toute demande est adressée à l’adresse électronique dédiée figurant à l’article 4.A, ou par courrier au siège social. Elle est traitée dans un délai d’un mois à compter de sa réception, susceptible d’être prolongé de deux mois en cas de demande complexe ou d’un nombre élevé de demandes ; l’Utilisateur en est alors informé.

Un justificatif d’identité peut être demandé en cas de doute raisonnable sur l’identité du demandeur. Ce justificatif est détruit dès la demande traitée.

C. RÉCLAMATION AUPRÈS D’UNE AUTORITÉ DE CONTRÔLE

Si l’Utilisateur estime, après avoir contacté l’Éditeur, que ses droits ne sont pas respectés, il peut introduire une réclamation auprès :

• de l’autorité de contrôle de son pays de résidence au sein de l’Union européenne — en France, la Commission nationale de l’informatique et des libertés (CNIL), 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07, www.cnil.fr ;
• de l’Instance nationale de protection des données à caractère personnel (INPDP), autorité de contrôle compétente en Tunisie.

ARTICLE 7 : COOKIES ET AUTRES TRACEURS

Un cookie est un fichier déposé sur le terminal de l’Utilisateur lors de la consultation du Site. Sont susceptibles d’être déposés :

• des cookies strictement nécessaires au fonctionnement du Site et à la sécurité de la navigation, qui ne requièrent pas de consentement ;
• des cookies de mesure d’audience, destinés à analyser la fréquentation des pages ;

À l’exception des cookies strictement nécessaires, aucun traceur n’est déposé sans le consentement préalable de l’Utilisateur, recueilli au moyen du bandeau affiché lors de sa première visite. Le refus est aussi aisé que l’acceptation.

La durée de vie des traceurs soumis à consentement n’excède pas treize mois. Le consentement est à nouveau sollicité à l’expiration de ce délai.

ARTICLE 8 : DONNÉES CONCERNANT LES MINEURS

Les Services ne s’adressent pas aux personnes mineures. Aucune demande émanant d’une personne âgée de moins de dix-huit ans n’est traitée sans l’accord écrit des titulaires de l’autorité parentale, et sans que les conditions médicales et légales propres à l’intervention envisagée soient réunies.

Si l’Éditeur constate qu’il détient des données concernant un mineur en dehors de ces conditions, il procède à leur suppression sans délai.

ARTICLE 9 : CONDITIONS DE MODIFICATION DE LA POLITIQUE DE CONFIDENTIALITÉ

L’Éditeur se réserve le droit de modifier la présente politique afin de tenir compte d’évolutions légales, jurisprudentielles ou de ses pratiques.

La version applicable est celle en vigueur à la date de la connexion de l’Utilisateur ; sa date de mise à jour figure en tête de page. En cas de modification substantielle affectant les droits de l’Utilisateur, celui-ci en est informé par un moyen approprié préalablement à l’entrée en vigueur de la nouvelle version.

ARTICLE 10 : CONTACT

Pour toute question relative à la présente politique, l’Utilisateur peut s’adresser à l’Éditeur selon les modalités figurant sur la page contact, ou à l’adresse électronique dédiée mentionnée à l’article 4.A.