POLITIQUE DE PROTECTION DES DONNEES A CARACTERE PERSONNEL

Introduction

KLESIA s’engage dans le cadre de ses activités et conformément à la législation en vigueur en France et en Europe, à assurer la protection, la confidentialité et la sécurité des données à caractère personnel des clients et utilisateurs de ses services, ainsi qu’à respecter leur vie privée.

La présente Politique vous informe sur la façon dont KLESIA traite vos données personnelles. Elle est notamment applicable aux clients et utilisateurs des services et des sites du groupe KLESIA.

A ce titre, aucune information personnelle vous concernant n’est divulguée à des tiers sans votre consentement préalable.

KLESIA, en sa qualité de responsable de traitement, respecte les engagements suivants :

Vos données sont utilisées uniquement pour des finalités explicites, légitimes et déterminées en lien avec nos différents métiers ;
Nous traitons uniquement les données qui nous sont utiles ;
Nous ne conservons pas vos données au-delà de la durée nécessaire pour les opérations pour lesquelles elles ont été collectées, ou de celles prévues par les dispositions légales applicables, en vertu du principe de conservation limitée des données ;
Nous transmettons vos données aux entités du groupe KLESIA, partenaires, réassureurs, et délégataires de gestion ;
Nous vous informons, de manière claire et transparente, que ce soit lors de l’établissement d’un devis ou de la souscription d’un contrat, notamment sur : la finalité du traitement de vos données, le caractère facultatif ou obligatoire de vos réponses dans les formulaires et sur vos droits en matière de protection des données ;
Nous assurons la confidentialité et la sécurité de vos données au moyen de mesures techniques et organisationnelles, aussi bien physiques et logiques, conformes aux règles de l’art et aux normes qui nous sont imposées.

Conformément à la règlementation en vigueur, et en particulier au Règlement général sur la protection des données n°2016/679 du 27 avril 2016, les informations que vous communiquez à KLESIA ou que nous collectons sont décrites dans le présent document.

Vous pouvez contacter les services du Délégué à la Protection des Données (DPO) aux coordonnées suivantes : info.cnil@klesia.fr ou KLESIA - Info CNIL - Service INFO CNIL CS 30027, 93108 Montreuil Cedex.

1. Définitions

Donnée à caractère personnel

Toute information, identifiant directement ou indirectement une personne physique (par exemple : nom, prénom, numéro de téléphone, photographie, date de naissance, commune de résidence, empreinte digitale etc.).

Donnée de santé

Donnée indiquant l’état de santé physique ou mental d’une personne, y compris la fourniture de services de soins de santé, qui révèle des informations sur son état de santé.

Donnée médicale

Donnée qui est recueillie ou produites à l’occasion d’activités de prévention, de diagnostic, de soins ou de suivi social ou médico-social.

2. Finalités des traitements : pourquoi nous utilisons vos données ?

Les données que nous collectons dans le cadre des contrats que nous proposons sont utilisées par KLESIA pour l’une/les finalité(s) suivante(s) :

L’étude des besoins spécifiques de chaque client afin de proposer des contrats adaptés
L’examen, l’acceptation, le contrôle et la surveillance du risque
La gestion des contrats de la phase précontractuelle à la résiliation du contrat
L’exécution des garanties des contrats
L’élaboration des statistiques et études actuarielles
L’exercice des recours et la gestion des réclamations
L’exécution des dispositions légales, réglementaires et administratives en vigueur

Nous sommes également amenés à collecter vos données dans le cadre des opérations relatives à la gestion de nos clients et à la prospection commerciale (ancienne Norme simplifiée n°56 de la CNIL).

Ces traitements pourront faire l’objet, autant que de besoin, du recueil de votre consentement exprès et préalable, que vous pourrez retirer à tout moment.

Les traitements concernés sont en particulier :

Les opérations relatives à la gestion des clients (programme de fidélité, suivi de la relation client)
La gestion d’opérations techniques de prospection (ce qui inclut notamment les opérations techniques comme la normalisation, l’enrichissement et la déduplication)
La sélection de personnes pour réaliser des actions de fidélisation, de prospection, de sondage, de test produit ou services et de promotion
La réalisation d’opérations de sollicitations
L’élaboration de statistiques commerciales
La cession, la location ou l’échange des données relatives à l’identification des clients ou prospects pour améliorer le service au client en proposant des produits ou services permettant de réduire la sinistralité ou d’offrir un contrat ou une prestation complémentaire
L’organisation de jeux-concours, de loteries ou de toute opération promotionnelle à l’exclusion des jeux d’argent et de hasard en ligne soumis à l’agrément de l’autorité de régulation des jeux en ligne (ARJEL)
La gestion de droit d’accès, de rectification et d’opposition
La lutte contre le blanchiment de capitaux et le financement du terrorisme ainsi que contre la fraude à l’assurance, conformément aux dispositions légales et réglementaires applicables aux organismes d’assurance dont nous faisons partie.

3. Fondements juridiques des traitements de données

Les fondements juridiques qui nous autorisent à utiliser vos données dans les conditions de la présente Politique, sont les suivants :

Le consentement que vous nous accordez lorsque votre accord est nécessaire pour utiliser vos données (par exemple, la communication électronique d’informations commerciales) ;
Lorsque l’utilisation de vos données est nécessaire pour respecter nos obligations dans le cadre d’un contrat conclu avec vous ;
Lorsque l’utilisation de vos données est nécessaire aux fins d’exécution des obligations en matière de protection sociale ;
Lorsque l’utilisation de vos données est nécessaire pour servir nos intérêts légitimes par exemple, pour assurer la sécurité de nos sites internet ; exercer notre activité d’assureur ; assurer la sécurité de notre personnel et de nos visiteurs ; effectuer et recevoir des paiements);
Lorsque l’utilisation de vos données est nécessaire pour le respect d'une obligation légale (par exemple : lutte contre le blanchiment de capitaux et le financement du terrorisme, lutte contre la fraude en assurance, connaissance du client à qui nous fournissons des prestations et, plus généralement, respect de nos obligations en qualité d’assureur, etc.).

4. Catégories de données que nous collectons

Le traitement de données que nous réalisons conformément aux finalités décrites ci-dessus, concernent les catégories de données suivantes :

Les données relatives à votre identification (état civil ; coordonnées postales, électroniques et téléphoniques, nationalité)
Les données relatives à votre situation familiale, économique, patrimoniale et financière
Les données relatives à la situation professionnelle
Les données nécessaires à l’appréciation du risque
Les données liées à la passation, l’exécution et à la gestion du contrat

Les données relatives à la détermination ou à l’évaluation des préjudices et des prestations (données liées au sinistre ; des données liées aux victimes etc.)

Les données relatives à la vie personnelles, aux habitudes de vie, et aux usages des biens en relation avec les risques assurés ou les services proposés
Les données concernant votre santé (données nécessaires à la protection sociale complémentaire en lien avec les organismes de sécurité sociale, description des atteintes corporelles etc.).

5. Destinataires

Dans le cadre de la gestion de votre contrat, nous pouvons être amenés à communiquer vos données à des destinataires en fonction de la base légale du traitement de vos données.

Ainsi, pour la gestion de votre contrat, vos données peuvent être communiquées aux destinataires suivants :

Les membres habilités de notre personnel chargés de la passation, la gestion et l’exécution des contrats ;
Les entités du groupe KLESIA, intermédiaires d’assurance, les partenaires commerciaux, les prestataires informatiques ;
Les organismes d’assurance ;
Les coassureurs et réassureurs ainsi que les organismes professionnels et les fonds de garanties ;
Les personnes intervenant au contrat tels que les avocats, experts, auxiliaires de justice et officiers ministériels, curateurs, tuteurs, enquêteurs et professionnels de santé, médecins conseils et le personnel habilité.

Dans le cadre du respect par le groupe KLESIA de ses obligations légales, nous pouvons être amenés à transmettre vos données aux destinataires suivants :

Les organismes sociaux lorsque les régimes sociaux interviennent dans le règlement des sinistres ou lorsque les organismes d’assurance offrent des garanties complémentaires à celles des régimes sociaux ;
Les organismes et associations pratiquant la prévention, l’action sociale ou la gestion de réalisations sanitaires et sociales ;
S’il y a lieu les juridictions concernées, les arbitres, les médiateurs ;
Les ministères concernés, autorités de tutelle et de contrôle et tous organismes publics habilités à les recevoir ;
Les services chargés du contrôle tels que les commissaires aux comptes et les auditeurs ainsi que les services chargés du contrôle interne.

6. Le traitement automatisé de données à caractère personnel

Par ailleurs, les données personnelles recueillies sur les sites Internet du groupe KLESIA, et applications mobiles font l'objet de traitements automatisés.

Il s'agit notamment des données personnelles collectées lors de :

La connexion aux différents sites du groupe KLESIA par cookies [BE1] ;
L'envoi d'un message courriel à l'un de nos services ;
L'envoi d'un formulaire en ligne de demande d'informations ou de documentation concernant l'un de nos produits ou services, ou encore, lors de demande de rendez-vous téléphonique ;
L'abonnement à une newsletter.

7. Transferts de données en dehors de l’Union Européenne

Les données à caractère personnel que nous traitons, ne font l’objet d’aucun transfert en dehors de l’Union Européenne.

Si un transfert de données en dehors de l’Union Européenne devait être envisagé, KLESIA :

S’assurera de mettre en œuvre des garanties appropriées, notamment par la conclusion de règles d'entreprise contraignantes et/ou de clauses contractuelles types adoptées par la Commission européenne afin de garantir des droits opposables et effectifs pour les personnes concernées ;
Informera les personnes concernées des modalités dudit transfert.

Ainsi, si KLESIA recourt à un sous-traitant, qui réalisera des traitements de données à caractère personnel pour le compte de KLESIA, en dehors de l’Union Européenne, KLESIA formalisera des clauses contractuelles types qui engageront le sous-traitant notamment :

A traiter les Données à caractère personnel conformément aux instructions de KLESIA et à informer KLESIA avant le Traitement, s’il est tenu de procéder à un transfert de données vers un pays tiers à l’Union Européenne ;
A mettre en place et assurer l’effectivité de mesures techniques et organisationnelles, notamment les mesures matérielles et logiques, adaptées à la nature des Données traitées et aux risques présentés par les Traitements effectués, afin de garantir la confidentialité, l’intégrité, la disponibilité des Données à caractère personnel traitées.

8. Durées de conservation de vos données

Nous conservons vos données pendant une durée n’excédant pas celle nécessaire aux fins pour lesquelles elles sont traitées, dans le respect des durées légales de prescription.
Les durées de conservation applicables sont synthétisées dans le tableau suivant :

Activités et procédures	Durées de conservation
Contrats ADP Santé et invalidité Incapacité temporaire de travail Décès	2 ans 5 ans 10 ans après le décès de l’assuré et au maximum 30 ans en cas d’interruption de la prescription
Prospection commerciale	3 ans à compter de la collecte des données par le responsable de traitement ou du dernier contact émanant du prospect
Retraite complémentaire	Durées établies par les régimes AGIRC-ARRCO
Lutte contre le blanchiment de capitaux et le financement du terrorisme	5 ans à compter de la cessation des relations contractuelles avec la personne concernée
Lutte contre la fraude	5 ans à compter de la clôture du dossier de fraude
Données communiquées par l'INSEE dans le cadre du fichier AGIRA	30 ans à compter du décès de l'assuré
Sécurité	Vidéosurveillance 1 mois maximum
Gestion des cookies	13 mois maximum à compter de leur dépôt sur le terminal de l’utilisateur

9. Vos droits

Conformément à la règlementation en vigueur, vous avez le droit de :

Demander l’accès et/ou l’envoi d’une copie de certaines données vous concernant;
Vous opposez au traitement de vos données à des fins de marketing direct (y compris tout traitement de marketing direct basé sur le profilage) - droit d’opposition;
Mettre à jour des données obsolètes ou incorrectes qui vous concernent - droit de rectification;
Supprimer certaines données que nous détenons sur vous - droit à l’oubli;
Limiter la façon dont nous traitons et divulguons certaines de vos données – droit de limitation;
Transférer vos données vers un prestataire de services tiers – droit à la portabilité ;
Retirer à tout moment votre consentement accordé pour un traitement fondé sur votre consentement, étant précisé que l’exercice de ce droit ne porte pas atteinte à la licéité du traitement fondé sur le consentement accordé avant le retrait de celui-ci – droit d’opposition;
Définir auprès de la personne de confiance que vous avez désignée, des directives relatives à la conservation, à l'effacement et à la communication de vos données après votre décès.

Nous apporterons une attention particulière à vos demandes, que nous prendrons le temps d’étudier et vous communiquerons notre réponse dans le respect des délais légaux.

Veuillez noter, toutefois, que certaines données peuvent être exclues de ces demandes dans certaines circonstances, notamment si nous devons continuer à traiter vos données pour servir nos intérêts légitimes ou respecter une obligation légale.

Un justificatif d’identité pourra vous être demandé afin de confirmer votre identité, en cas de doute.

Vous pouvez exercer les droits décrits ci-dessus en écrivant à info.cnil@kesia.fr ou KLESIA - Service INFO CNIL CS 30027, 93108 Montreuil cedex. En cas de désaccord concernant l’utilisation que nous faisons de vos données personnelles, nous vous invitons à contacter nos services afin d’exposer vos demandes.

Conformément aux dispositions de l'article L. 561-45 du code monétaire et financier, le droit d'accès aux traitements mis en œuvre aux seules fins de l'application des dispositions relatives à la lutte contre le blanchiment de capitaux et le financement du terrorisme s'exerce auprès de la CNIL via une procédure de droit d'accès indirect en écrivant à l’adresse rappelée ci-dessous. Les traitements mis en œuvre afin d'identifier les personnes faisant l'objet d'une mesure de gel des avoirs ou d'une sanction financière restent soumis à la procédure de droit d’accès direct auprès du responsable de traitement.

En tout état de cause, il vous est possible de saisir directement la CNIL à l’adresse suivante : 3, place de Fontenoy – TSA 80715 – 75334 Paris Cedex 07.

10. Contact

Vous pouvez exercer vos droits en écrivant à l’adresse email suivante info.cnil@klesia.fr ou par courrier à KLESIA - Service INFO CNIL CS 30027, 93108 Montreuil cedex.

Afin de nous permettre de confirmer votre identité en cas de doute, un justificatif d’identité pourra vous être demandé.

11. Mise à jour

KLESIA se réserve la possibilité de modifier la présente politique de protection des données à caractère personnel, sans que les modifications ou suppressions éventuelles n'ouvrent droit ni à indemnité, dommage-intérêts ou obligation quelconque. Il appartient donc aux visiteurs des sites du groupe KLESIA et clients de vérifier lors de chaque connexion le contenu de la présente politique.

Les modalités applicables au bulletin de paie