1. Objectif
Cette politique de confidentialité des données décrit les procédures et pratiques d’Anchanto Services Pvt Ltd (ci-après dénommée « Anchanto ») concernant la collecte, l’utilisation et la protection des informations personnelles. Nous nous engageons à protéger la confidentialité des informations personnelles collectées auprès de nos employés, sous-traitants, fournisseurs et clients, en veillant à ce qu’elles soient utilisées conformément à cette politique et aux lois applicables.
2. Champ d’application
Cette politique s’applique à tous les employés, sous-traitants, consultants, fournisseurs et clients d’Anchanto, afin de garantir que toutes les parties comprennent leurs responsabilités en matière de confidentialité des données. Elle régit toutes les informations personnelles traitées par Anchanto, quel que soit le support par lequel elles sont collectées ou stockées.
3. Responsabilité
Tous les employés et consultants : doivent respecter les principes énoncés dans cette politique et veiller à ce que les informations personnelles soient traitées de manière responsable, avec soin et diligence.
Comité de sécurité : responsable de la supervision de la conformité avec les pratiques de protection des données, de la réalisation d’audits réguliers et de l’examen des incidents liés aux violations de données.
Directeur de la sécurité de l’information (CISO) : chargé de mettre en œuvre et de faire respecter cette politique au sein de l’organisation, en assurant une éducation continue et une sensibilisation du personnel à la confidentialité des données.
4. Déclaration de politique
Anchanto est dédié à promouvoir l’utilisation responsable de l’information et à protéger les droits à la vie privée des individus. Nous privilégions la confidentialité et la sécurité de toutes les données personnelles que nous collectons et traitons, en nous efforçant de maintenir la confiance de nos parties prenantes.
5. Directives
Types de données personnelles traitées
Anchanto peut collecter divers types de données personnelles, y compris mais sans s’y limiter :
Photographies : des employés et des événements se déroulant dans les locaux, qui peuvent être utilisées pour des communications internes ou des fins marketing.
Détails personnels des employés : tels que la date de naissance, l’adresse, le numéro de téléphone, le numéro PAN et les informations bancaires.
Informations des visiteurs : comprenant le numéro de téléphone, le nom et l’adresse.
5.1 Objectif de la collecte des données
Anchanto peut collecter, stocker, utiliser et divulguer des informations personnelles pour les objectifs commerciaux suivants :
Conformité : Pour répondre aux exigences légales, réglementaires et internes, y compris la prévention de la fraude, les procédures légales et le respect des normes de l’industrie.
Exécution des services : Pour respecter les obligations contractuelles et fournir des services de manière efficace, en garantissant que nous pouvons offrir à nos clients des solutions de haute qualité.
Gestion des relations : Pour gérer et améliorer les interactions avec les employés, les fournisseurs et les clients, favorisant des relations solides et productives.
Objectifs opérationnels : Pour les fonctions des ressources humaines, y compris le recrutement, la sélection des employés, l’intégration et les évaluations de performance.
Communication : Pour fournir aux individus des informations pertinentes concernant les produits et services, y compris les avantages tels que l’assurance, le salaire, les paiements fiscaux et les arrangements de voyage (y compris le traitement des visas).
5.2 Consentement
Le consentement sera volontaire, révocable et spécifique aux finalités pour lesquelles les données sont collectées, garantissant que les individus sont informés de leurs droits.
Les enregistrements de consentement seront conservés de manière sécurisée, et un processus défini pour gérer la révocation du consentement sera mis en place, permettant aux individus de retirer leur consentement facilement.
La collecte de données personnelles n’aura lieu qu’avec le consentement explicite et éclairé de la personne concernée.
6. Sélection de vos préférences en matière de communication et de marketing
Vous pouvez gérer vos préférences en matière de communication marketing sur ce site web. Si vous préférez ne pas recevoir de communications marketing ou si vous souhaitez mettre à jour ou corriger des informations précédemment fournies,
Nous mettrons à jour vos informations dès que possible, et au plus tard dans les dix (10) jours suivant la réception de votre demande. Nous répondrons à toutes les demandes d’accès à vos données personnelles dans un délai de 30 jours.
Même si vous vous désinscrivez des communications marketing, nous pourrions être amenés à vous contacter concernant votre compte existant, pour répondre à une demande que vous avez formulée, ou pour administrer toute promotion ou programme auquel vous participez.
7. Marketing par e-mail ciblé
Nos communications marketing, y compris les e-mails, peuvent être personnalisées en fonction de vos interactions avec ce site web ainsi que de votre historique de navigation et d’achat. Lorsque vous cliquez sur certains liens dans nos e-mails, notre fournisseur de services de messagerie peut placer un cookie sur votre navigateur lié à votre adresse e-mail. Ce cookie nous aide à personnaliser les futurs messages marketing par e-mail. Vous pouvez vous désinscrire du marketing par e-mail personnalisé en cliquant sur le lien de désabonnement fourni dans chaque e-mail.
8. Collecte et utilisation des données personnelles des enfants
Nous prenons la confidentialité des enfants très au sérieux et ne collectons pas sciemment de données personnelles d’enfants de moins de 13 ans par le biais de ce site web. Si vous avez moins de 13 ans, veuillez ne pas soumettre de données personnelles sans le consentement exprès d’un parent ou tuteur.
9. Publicité display ciblée
Nous collaborons avec des partenaires publicitaires et de personnalisation qui utilisent des cookies pour afficher du contenu personnalisé et des publicités appropriées lors de vos visites sur ce site web et d’autres sites.
10. Publicité de tiers
Pour obtenir des informations sur les pratiques de confidentialité des tiers qui utilisent des cookies à des fins publicitaires, et pour vous désinscrire de leurs cookies, veuillez utiliser les liens suivants : [Liste des annonceurs tiers et leurs liens vers la politique de confidentialité ici]
Ces tiers peuvent utiliser des cookies pour diffuser des publicités en fonction de vos visites sur ce site web et d’autres sites, et pour mesurer l’efficacité de leurs campagnes publicitaires.
11. Cookies et Balises Web
Comment nous utilisons les cookies : Ce site web utilise des cookies pour permettre la connexion à nos services et personnaliser votre expérience en ligne. Un cookie est un fichier texte placé sur le disque dur de votre ordinateur. Vous pouvez modifier les paramètres de votre navigateur pour refuser les cookies si vous le souhaitez. Toutefois, si vous refusez les cookies, certaines fonctionnalités de ce site web risquent de ne pas être disponibles.
Lors de votre première visite, vous verrez une bannière vous informant de l’utilisation des cookies et vous fournissant un lien vers notre politique d’utilisation des cookies. Vous pouvez gérer vos préférences en matière de cookies via le Centre de Préférences de Cookies (également appelé « Vos Choix en matière de Confidentialité »), accessible depuis notre page d’accueil.
Comment nous utilisons les balises web : Nous ou nos partenaires commerciaux pouvons utiliser des balises web sur ce site, dans des e-mails et dans des publicités pour mesurer l’efficacité du contenu et des campagnes. Les balises web sont des images électroniques qui reconnaissent les cookies et nous aident à collecter des informations telles que le nombre de visiteurs, les pages vues et l’engagement des e-mails.
Comment nous utilisons le suivi par pixel : Ce site web et certains de nos partenaires commerciaux utilisent le suivi par pixel pour collecter des données sur vos interactions avec notre site. Le suivi par pixel nous aide à comprendre le comportement des utilisateurs et à améliorer les performances du site web. Les données collectées comprennent le type d’appareil, le système d’exploitation, les activités de la session, la résolution de l’écran, l’adresse IP et les heures de visite.
Les partenaires commerciaux utilisant le suivi par pixel incluent :
12. Comment nous sécurisons les données personnelles
Nous nous engageons à protéger la sécurité des données personnelles. Nous utilisons diverses technologies et procédures de sécurité pour aider à protéger les données personnelles contre l’accès, l’utilisation et la divulgation non autorisés. Pour plus de détails sur nos processus de protection des données, veuillez consulter notre Politique de sécurité de l’information et nos Mesures techniques et organisationnelles disponibles sur la page de sécurité de notre site web.
Lorsque vous nous fournissez des données personnelles sensibles (telles que des informations financières), nous chiffrons ces informations à l’aide de la technologie SSL (Secure Sockets Layer). Bien que nous nous efforcions de protéger vos données personnelles, nous ne pouvons garantir leur confidentialité absolue, et vous transmettez ces données à vos propres risques.
Nous et nos affiliés maintenons des mesures de sécurité raisonnables pour protéger vos informations contre la perte, la destruction, l’utilisation abusive, l’accès non autorisé ou la divulgation. Lorsque vous saisissez des informations sensibles, telles que vos identifiants de connexion, sur notre site web ou vous vous connectez à notre service, nous pouvons chiffrer la transmission de ces informations. Pour toute question relative à la sécurité concernant notre site web, veuillez nous contacter à security.alerts@dev.anchanto.com.
Lorsque nous utilisons vos données personnelles dans le cadre d’un produit ou service SaaS, les données sont généralement chiffrées à la fois en transit et au repos. Pour les prestataires tiers et les services d’hébergement cloud, nous nous appuyons sur les politiques publiques et les protections de ces services mondialement disponibles. Pour un détail des politiques de nos principaux fournisseurs d’hébergement cloud, veuillez consulter les guides de sécurité des produits que vous utilisez
13. Traitement des données
Les données personnelles peuvent être divulguées à la direction, aux auditeurs, aux prestataires de services, aux régulateurs et aux forces de l’ordre, selon les besoins pour se conformer aux obligations légales et réglementaires.
Anchanto peut surveiller les communications électroniques et l’accès aux données afin de garantir le respect des politiques internes et des obligations légales, tout en respectant les droits des employés à la confidentialité.
Les individus peuvent demander l’accès à leurs données personnelles et peuvent demander des corrections ou des suppressions lorsque cela est applicable, facilitant ainsi la transparence et le contrôle sur leurs informations personnelles.
Les employés peuvent retirer leur consentement à tout moment ; cependant, cela peut affecter la fourniture des services basés sur ces données.
Toute communication des informations personnelles avec des parties externes sera notifiée aux individus concernés, garantissant ainsi la transparence des pratiques de gestion des données.
Les individus ont le droit de s’opposer au traitement de leurs données personnelles, ce qui peut être communiqué par e-mail à l’équipe de l’expérience des collaborateurs, garantissant que les préoccupations sont traitées rapidement.
Anchanto met en place des mesures de protection administratives, physiques et techniques appropriées pour protéger les informations personnellement identifiables, en marquant les données sensibles comme des Informations Personnelles Confidentielles.
Nous utilisons des données masquées à des fins de conception et de développement de systèmes, minimisant ainsi la collecte d’informations identifiables auprès des clients.
14. Surveillance et Conformité
La conformité à cette politique sera revue annuellement afin d’en assurer l’efficacité. Le département des ressources humaines (RH) et le responsable de la sécurité des informations (CISO) veilleront à ce que les modifications nécessaires soient apportées en réponse aux évolutions réglementaires ou aux risques identifiés. Des programmes de formation seront fournis afin de garantir que tous les employés comprennent leurs obligations en matière de confidentialité des données.
15. Application
La conformité à cette politique est obligatoire. Toute violation doit être signalée par le biais de la procédure de l’équipe de réponse aux incidents de sécurité (SIRT). Les réponses aux violations incluront :
Toutes les violations seront signalées au Comité de sécurité pour examen et action.
Les violations initiales peuvent entraîner un avertissement ; les violations répétées peuvent entraîner des mesures disciplinaires, y compris la résiliation du contrat de travail, en fonction de la gravité de la violation.
En adhérant à cette politique de confidentialité des données, nous, chez Anchanto, nous engageons à protéger la confidentialité et la sécurité des informations personnelles qui nous sont confiées. Nous apprécions votre coopération et votre soutien dans la promotion d’une culture de respect de la vie privée.
Annexe – A : Processus de gestion des violations de données d’Anchanto
Déclaration de Politique En tant qu’organisation traitant des données personnelles, chaque mesure est prise pour protéger ces données et éviter toute violation de la protection des données. Cette politique décrit les mesures prises par Anchanto pour prévenir le traitement ou la divulgation non autorisée ou illégale, ainsi que la perte accidentelle, la destruction ou l’endommagement des données personnelles. En cas de perte de données ou de partage inapproprié, Anchanto prendra des mesures appropriées pour minimiser tout risque associé dans les plus brefs délais.Cette procédure s’applique à toutes les données personnelles et sensibles détenues par Anchanto, ainsi qu’aux données de tous les clients, fournisseurs, employés et sous-traitants. Ce document de procédure en matière de violation de données fait partie intégrante de la politique de protection des données d’Anchanto, et tous les membres de l’équipe sont informés de ces procédures lors de leur intégration, sous supervision et par le biais de formations continues.
1. Objectif
Il est exigé par la réglementation du RGPD qu’Anchanto mette en place des dispositifs de gouvernance et de contrôle cohérents et efficaces pour protéger les données personnelles que nous détenons. Cette procédure de violation de données définit le déroulement des actions à suivre par tous les membres de l’équipe en cas de violation réelle ou potentielle de la protection des données.
2. Définition de Violation des Données
Une violation de données personnelles désigne une violation de sécurité entraînant la destruction, la perte, la modification accidentelle ou illégale, la divulgation non autorisée ou l’accès à des données personnelles. Cela inclut les violations résultant de causes accidentelles ou délibérées. Une violation de données personnelles peut être définie de manière générale comme un incident de sécurité ayant affecté la confidentialité, l’intégrité ou la disponibilité des données personnelles. En résumé, il y aura une violation de données personnelles chaque fois que des données personnelles sont perdues, détruites, corrompues ou divulguées ; si quelqu’un y accède ou les transmet sans autorisation appropriée ; ou si les données deviennent inaccessibles, par exemple, lorsqu’elles ont été cryptées par un ransomware ou perdues ou détruites accidentellement.
Les violations de données personnelles peuvent inclure :
- Perte ou vol de données personnelles et/ou d’équipements sur lesquels les données sont stockées
- Accès par une partie tierce non autorisée
- Action (ou inaction) délibérée ou accidentelle par un responsable du traitement ou un sous-traitant
- Envoi de données personnelles à un destinataire incorrect
- Pertes ou vol d’appareils informatiques contenant des données personnelles
- Modification de données personnelles sans autorisation
- Perte de disponibilité des données personnelles
- Attaque par piratage informatique
- Attaque cybernétique
- Panne d’équipement
- Erreur humaine
- Circonstances imprévues telles qu’un incendie ou une inondation
- Procédures de destruction des données défectueuses
3. But de la procédure de gestion des violations de données
L’objectif de cette politique est de garantir qu’une approche standardisée et cohérente soit suivie lors de la réponse aux violations de données, afin de nous permettre de :
- Signaler sans délai les violations de données au Délégué à la Protection des Données (DPD)
- Identifier rapidement les incidents de violation de données et les enquêter de manière appropriée et en temps utile
- Enregistrer et documenter tous les incidents et les signaler à l’équipe de direction (SLT), aux gouverneurs et au Responsable de la Protection des Données (DPO)
- Évaluer la gravité et l’impact de la violation de données afin de déterminer s’il est nécessaire d’informer les personnes concernées et les clients conformément aux lignes directrices du RGPD
- Prendre des mesures qui soient proportionnelles, cohérentes et transparentes pour prévenir d’éventuels dommages supplémentaires
- Surveiller régulièrement et réexaminer tous les incidents de violation de données et les situations potentielles pouvant mener à une violation de données, afin d’identifier des améliorations dans les politiques, procédures et mécanismes de contrôle pour éliminer ou atténuer les risques de répétition.
4. Signaler une violation de données
Dès qu’un membre de l’équipe Anchanto ou un sous-traitant découvre ou reçoit un rapport de violation de données, il doit informer le Responsable de la Protection des Données (DPO) dans les plus brefs délais et sans délai. Si la violation se produit ou est découverte en dehors des heures normales de travail, la notification doit commencer dès que possible. Un rapport par email peut être envoyé au Délégué à la Protection des Données et au Directeur de la Cybersécurité dans un premier temps, et doit inclure des détails précis sur l’incident, y compris, mais sans s’y limiter, la date et l’heure de l’incident, le lieu de l’incident, le nom de la personne signalant la violation, les détails des erreurs / logs / preuves de la violation des données, le cas échéant. Une évaluation initiale de la violation de données par le Délégué à la Protection des Données ou le Directeur de la Cybersécurité comprendra la création du registre des violations de données afin de collecter autant d’informations que possible sur l’incident, afin d’évaluer pleinement l’impact de la violation des données et de déterminer les actions nécessaires.
5. Gérer une violation des données
Étape 1 : Contention et Récupération
- Le Responsable de la Protection des Données (DPO) ou l’équipe Cybersécurité évaluera la gravité de la violation, s’il y a des données personnelles impliquées et si la violation est toujours en cours.
- Si la violation est toujours en cours, le Directeur de la Cybersécurité déterminera les mesures immédiates à prendre pour minimiser l’impact de la violation et contenir la perte de données supplémentaire (par exemple : alerter le support technique et client, les responsables clés (KAMs), l’équipe produit, les responsables d’ingénierie, le CTO, etc., restreindre l’accès aux systèmes ou fermer un système, etc.).
- L’équipe de cybersécurité envisagera et mettra en œuvre les mesures appropriées nécessaires pour récupérer toute perte de données, si possible, et limiter les dommages causés (par exemple : utilisation de sauvegardes pour restaurer les données, changement de mots de passe, etc.).
- Informera le DPO (Responsable de la Protection des Données) et l’ELT/SLT si la gravité et l’impact probable de la violation justifient d’informer le client de la violation. En même temps, en fonction de la nature de la violation, l’équipe pourra solliciter des conseils d’experts ou juridiques et/ou la police si l’on estime qu’une activité illégale a eu lieu ou est susceptible de se produire.
- Lorsqu’une violation importante s’est produite, l’équipe informera le client dans les 24 heures suivant la confirmation de la violation.
- La décision concernant les raisons pour lesquelles une violation de données est soit rapportée, soit non rapportée, est documentée par le Directeur de la Cybersécurité.
- Toutes les actions et décisions clés sont pleinement documentées et enregistrées dans notre Journal des Violations de Sécurité des Données.
Étape 2 : Évaluation des Risques
Des actions supplémentaires peuvent être nécessaires au-delà de la simple contention immédiate de la violation de données. Pour déterminer la prochaine étape, une évaluation des risques associés à la violation est effectuée afin d’identifier si des conséquences négatives potentielles pour les individus sont susceptibles de se produire, ainsi que la gravité de ces conséquences.
Le Responsable de la Protection des Données / Directeur de la Cybersécurité prendra en compte les éléments soulevés par les questions suivantes :
- Quel type et quel volume de données sont concernés ?
- Quelle est la sensibilité des données ? La violation de données pourrait-elle entraîner du stress, des préjudices financiers ou même physiques ?
- Quels événements ont conduit à la violation des données ? Que s’est-il passé avec les données ?
- Les données ont-elles été divulguées, perdues ou volées de manière non officielle ? Des mesures de prévention étaient-elles en place pour empêcher l’accès ou l’utilisation abusive ? (par exemple, le chiffrement)
- Combien de clients sont affectés par la violation de données ?
- Qui sont les clients dont les données ont été compromises ?
- Que pourrait révéler les données à un tiers sur le client ? Pourraient-elles être utilisées à mauvais escient, quel que soit le sort réservé aux données ?
- Quel préjudice réel ou potentiel pourrait survenir pour ces clients ? Par exemple, sécurité physique, bien-être émotionnel, réputation, finances, vol d’identité, ou un ou plusieurs de ces éléments ainsi que d’autres aspects privés de leur vie.
- Y a-t-il des conséquences plus larges à considérer ?
- Y a-t-il d’autres parties qui pourraient conseiller sur les risques et les actions à entreprendre (comme les banques si les coordonnées bancaires des individus sont affectées par la violation) ?
Etape 3: Notification des Violations
Si la gravité et l’impact probable de la violation justifient de notifier les clients, nous les informerons dans les 24 heures suivant la confirmation de la violation et la prise de connaissance des faits essentiels de la violation. Cette notification inclura au minimum :
- Description brève
- La date et l’heure de la violation (ou une estimation)
- La date et l’heure à laquelle nous l’avons découverte
- Informations de base sur le type de violation
- Informations de base sur les données personnelles concernées
Lorsque nous entreprenons une enquête complète sur les détails de la violation, dans les 3 jours suivant la notification initiale, nous fournirons aux clients des informations complètes sur l’incident, le nombre d’individus affectés et ses effets possibles sur eux, les mesures prises pour atténuer ces effets et des informations sur notre notification aux clients affectés. Il peut y avoir des situations où la nature de la violation et les clients affectés peuvent nécessiter de notifier des tiers tels que des organismes de régulation, des agences, des organismes professionnels dans le cadre de la gestion initiale. Si la violation est susceptible d’affecter de manière défavorable les données personnelles ou la vie privée des membres de l’équipe d’Anchanto, du personnel des clients, etc., nous les informerons de la violation sans délai inutile si nous ne pouvons pas démontrer que les données ont été cryptées (ou rendues illisibles par une mesure de sécurité similaire).
Nous les informerons de :
- La date estimée de la violation
- Un résumé de l’incident
- La nature et le contenu des données personnelles
- L’effet probable sur les individus
- Les mesures que nous avons prises pour remédier à la violation
- Comment les personnes affectées peuvent atténuer tout impact négatif potentiel
Étape 4 : Évaluation et réponse
Lorsque la réponse d’Anchanto à une violation de données a été conclue, le Responsable de la Protection des Données et le Directeur de la Sécurité Informatique procéderont à un examen complet des causes de la violation et de l’efficacité de la réponse. L’examen complet sera rapporté à l’ELT/SLT et, si nécessaire, aux clients pour information et discussion dès que possible après la confirmation de la violation de données. Si, à la suite de l’examen, des problèmes systémiques ou récurrents liés à des faiblesses dans les processus internes ou les mesures de sécurité sont identifiés comme étant à l’origine de la violation de données, des plans d’action appropriés seront rédigés, mis en œuvre et suivis afin de corriger les problèmes et de mettre en œuvre des recommandations d’amélioration. L’ELT/SLT participera aux discussions concernant les plans d’action et pourra suivre les progrès réalisés par rapport aux actions de manière appropriée. Si une violation justifie une enquête disciplinaire, des conseils juridiques seront sollicités par les canaux des Ressources Humaines.
6. Mise en œuvre de ces procédures
Le Responsable de la Protection des Données (DPO) ou le Directeur de la Sécurité Informatique veilleront à ce que les membres de l’équipe d’Anchanto soient informés de ces procédures pour signaler et gérer les violations de données. La formation sur la protection des données est obligatoire pour tous les membres de l’équipe, y compris les nouveaux employés, et tous les membres de l’équipe devront suivre une formation de mise à jour annuelle. Si l’un des membres de l’équipe a des questions ou des préoccupations concernant ces procédures, il devra en discuter avec l’équipe de sécurité informatique ou le DPO.
7. Plaintes concernant notre processus de gestion des violations de données
Si une personne ou un Sujet des données concerné par une violation de données estime qu’une violation de données n’a pas été correctement traitée, une plainte doit être déposée par email auprès du DPO, conformément à la politique de confidentialité et de protection des données. Si, après la conclusion de la procédure de traitement de la plainte, l’individu ou le Sujet des données reste insatisfait, une plainte peut être adressée directement au contact régional du GDPR pour cette région, avec une copie envoyée au DPO d’Anchanto.