Politique de protection des données du canal de signalement

1. Qui est responsable du traitement ?

HABITUS GLOBAL RETAIL, S.L.U. (ci-après HABITUS ou l’entreprise) est responsable du traitement des données personnelles obtenues dans le cadre du Canal de signalement.
HABITUS respecte les droits et libertés fondamentaux des personnes, parmi lesquels figure le droit fondamental à la protection des données à caractère personnel. La confidentialité des personnes concernées constitue un pilier essentiel pour HABITUS, qui traite leurs données personnelles conformément à la législation en vigueur en matière de protection des données personnelles, de confidentialité et de sécurité de ces informations. À cette fin, les mesures techniques et organisationnelles nécessaires ont été adoptées afin d’éviter la perte, l’utilisation abusive, l’altération, l’accès non autorisé et le vol des données personnelles fournies, compte tenu de l’état de la technologie, de la nature des données et des risques auxquels elles sont exposées.

2. À quelles fins traitons-nous vos données personnelles ?

Les données personnelles seront traitées afin de gérer le système d’information du Canal de signalement et, plus précisément, de gérer, traiter et enquêter sur tous les actes ou omissions contraires à l’éthique et à la légalité, de veiller au respect de celles-ci et d’adopter les mesures disciplinaires ou légales appropriées et, le cas échéant, de poursuivre les infractions pénales et d’exécuter les sanctions pénales découlant du Signalement reçu, ainsi que d’en assurer le traitement et la résolution.

3. Quelles données personnelles traiterons-nous ?

Aucune donnée personnelle dont la pertinence ne serait pas nécessaire au traitement d’une information spécifique ne sera collectée. Si de telles données étaient recueillies accidentellement, elles seraient immédiatement supprimées.

Les Signalements présentés conformément à la présente Procédure peuvent être anonymes, le lanceur d’alerte n’étant pas tenu de s’identifier. Sans préjudice de ce qui précède, les données personnelles obtenues à l’occasion du Signalement et de l’enquête interne seront traitées de manière confidentielle et uniquement aux fins de la gestion et du contrôle de la présente Procédure, en appliquant les garanties et mesures de confidentialité légalement requises.

Les données personnelles obtenues à l’occasion du Signalement et de l’enquête interne seront traitées de manière confidentielle et uniquement aux fins de la gestion et du contrôle de la présente Procédure, en appliquant les garanties et mesures de confidentialité légalement requises.

Les catégories de données traitées sont indiquées ci-dessous en fonction des différentes personnes concernées :

Lanceur d’alerte : les données personnelles fournies dans le signalement seront traitées.
Personne mise en cause : les données d’identification, les circonstances sociales, les informations relatives à l’emploi et, potentiellement, les données particulièrement protégées, ainsi que les données fournies lors des entretiens ou déclarations effectués par cette personne, seront traitées.
Témoin : les données d’identification ainsi que les données fournies lors des entretiens seront traitées.

L’entreprise ne demande ni ne traite aucune catégorie particulière de données personnelles, telles que, par exemple, les informations relatives à la santé, à l’origine raciale ou ethnique, aux convictions religieuses ou idéologiques, à l’affiliation syndicale ou à l’orientation sexuelle. Toutefois, en raison de la présence de champs de texte libre dans le formulaire, vous pourriez divulguer volontairement ces catégories particulières, ainsi que les données personnelles de tiers auxquels vous feriez référence dans cette communication. Dans tous les cas, conformément à l’art. 9.2 g) du RGPD, les données relevant de catégories particulières pourront être traitées pour des raisons d’intérêt public.

4. Quelle est la base juridique du traitement de vos données personnelles ?

La base juridique du traitement des données personnelles est la suivante :

Pour la gestion d’un signalement par l’intermédiaire d’un canal interne :
- Le respect des obligations légales applicables au responsable du traitement (art. 6.1 c) du RGPD), en ce qui concerne l’obligation de disposer d’un canal de signalement, conformément aux art. 24 et 8 de la LO 3/2018 relative à la protection des données et à la garantie des droits numériques, ainsi qu’à l’art. 30.2 de la loi 2/2023.
- À défaut, lorsque cela est nécessaire à l’accomplissement d’une mission d’intérêt public (art. 6.1 e) du RGPD), en lien avec la poursuite d’infractions ou de délits susceptibles d’affecter l’entreprise.

Pour vérifier le fonctionnement du système.
- En application d’une obligation légale applicable au responsable du traitement (art. 6.1 c) du RGPD).

5. Qui aura accès à vos données personnelles ?

L’identité du lanceur d’alerte ne sera communiquée à l’autorité judiciaire, au ministère public ou à l’autorité administrative compétente que si cela est nécessaire dans le cadre d’une enquête pénale, disciplinaire ou administrative. Dans ces cas, le lanceur d’alerte en sera informé avant la divulgation de son identité, sauf si cette information est susceptible de compromettre l’enquête ou la procédure judiciaire. Lorsque l’autorité compétente en informera le lanceur d’alerte, elle lui transmettra un écrit expliquant les motifs de la divulgation des données confidentielles concernées

Dans la mesure permise par la loi, la personne concernée ne recevra aucune donnée relative à l’identité des lanceurs d’alerte.

En ce qui concerne l’identité des personnes concernées, des mesures techniques et organisationnelles appropriées seront prises afin de la préserver et de garantir sa confidentialité, ainsi que celle des tiers éventuellement mentionnés dans les informations fournies.

L’accès aux données est exclusivement limité aux personnes qui, qu’elles appartiennent ou non à l’entreprise, exercent des fonctions de contrôle interne et de conformité réglementaire, ou aux sous-traitants éventuellement désignés à cette fin, ainsi qu’au délégué à la protection des données ou au responsable désigné à cet effet. Toutefois, les données personnelles pourront, lorsque cela est indispensable, être communiquées à des tiers intéressés tels que les membres de l’organe de prévention, les employés de l’organisation, les conseillers externes ou les autorités publiques, à des fins d’enquête et d’établissement des faits signalés, ainsi qu’aux responsables des services juridiques pour la détermination des responsabilités, la mise en œuvre d’actions correctives et, le cas échéant, l’engagement des actions légales et disciplinaires requises devant les organes compétents dans chaque cas.

Sans préjudice de la notification à l’autorité compétente de faits constitutifs d’une infraction pénale ou administrative, l’accès aux données ne sera autorisé au personnel chargé de la gestion et du contrôle des ressources humaines que lorsque l’adoption de mesures disciplinaires à l’encontre d’employés pourrait être envisagée.

Avec le prestataire chargé de mettre en œuvre techniquement le canal de signalement en notre nom, lequel n’a pas accès aux informations communiquées et avec lequel un contrat de sous-traitance a été conclu.
En aucun cas, l’entreprise ne procédera à des transferts automatisés fondés sur les données transmises.

Vos données personnelles ne feront l’objet d’aucun transfert international de données.

6. Combien de temps conserverons-nous vos données personnelles ?

Les données seront conservées pendant le temps strictement nécessaire pour décider s’il convient d’ouvrir une enquête sur les faits signalés. S’il était établi que les informations fournies, ou une partie de celles-ci, ne sont pas véridiques, elles seront immédiatement supprimées dès que cette circonstance sera constatée, sauf si ce défaut de véracité est susceptible de constituer une infraction pénale, auquel cas les informations seront conservées pendant la durée nécessaire au déroulement de la procédure judiciaire.

Dans tous les cas, trois (3) mois après la réception du signalement, si aucune mesure d’enquête n’a été engagée, les données seront supprimées, sauf s’il est nécessaire de les conserver pour attester du fonctionnement du système. En aucun cas, les communications et enquêtes internes ne seront conservées pendant plus de dix ans. S’il était nécessaire de conserver les données afin de poursuivre l’enquête, elles seront communiquées à l’organe de l’entreprise compétent pour enquêter sur les faits signalés, lequel pourra continuer à les traiter ; aucune copie des données ne sera conservée dans le système d’information des signalements internes. Les Signalements auxquels aucune suite n’a été donnée ne pourront figurer que sous une forme anonymisée et ne seront pas soumis à l’obligation de blocage prévue à l’art. 32 de la LO 3/2018.

7. Quels sont vos droits ?

Les droits d’accès, de rectification, d’effacement, de limitation, de portabilité ou d’opposition peuvent être exercés, dans les conditions prévues par la réglementation en vigueur, par courrier adressé à HABITUS GLOBAL RETAIL, S.L.U., à l’adresse suivante : Carrera de Sant Esteve 29, 08173, San Cugat del Vallés, Barcelone, Espagne, ou par courrier électronique à l’adresse contact@muymucho.com, en indiquant le droit précis que vous souhaitez exercer. De même, si vous estimez que l’entreprise n’a pas traité vos données personnelles conformément à la réglementation en vigueur, vous pouvez contacter le délégué à la protection des données à l’adresse susmentionnée et/ou déposer une réclamation auprès de l’Agence espagnole de protection des données.

Toutefois, l’exercice de ces droits ne sera pas possible dans les cas suivants :

L’exercice du droit d’accès par la personne mise en cause n’inclut pas la divulgation des données d’identification du lanceur d’alerte. Le droit d’accès aux informations figurant dans le dossier sera limité aux informations relatives aux propres données à caractère personnel faisant l’objet du traitement ; les données relatives au lanceur d’alerte ne sont pas incluses dans l’exercice de ce droit.
Si la personne faisant l’objet de l’enquête exerce son droit d’opposition, elle sera informée qu’elle ne peut pas l’exercer car, conformément à l’art. 21.1 du RGPD, il existe des motifs impérieux légitimant la poursuite de ce traitement, ainsi que conformément à l’art. 31.4 de la loi 2/2023.
Le droit d’effacement ne pourra être exercé par aucun des participants pendant le déroulement de l’enquête.