POLITIQUE DE PROTECTION DES DONNÉES À CARACTÈRE PERSONNEL
Notre Politique de protection des données :
Caixa Geral de Depósitos - Succursale France (CGD) est une société de droit français dont le siège social est sis 2 rue des Italiens, 75009 PARIS.
CGD est un groupe financier public fondé en 1876 et présent en Europe, Afrique, Asie, Amérique du Nord et du Sud au travers de ses succursales, filiales et bureaux de représentation.
Traitement des données personnelles des clients :
La protection des données à caractère personnel(1) est une priorité pour CGD. Elle s’engage ainsi à appliquer un haut niveau de protection fondé sur la responsabilité sociétale de l’entreprise.
Cette Politique de protection des données à caractère personnel a vocation à porter à la connaissance des collaborateurs, des clients, des prospects et de toutes personnes concernées, la conformité au Règlement Général à la Protection des Données (RGPD)(2) de l’ensemble des traitements de données à caractère personnel pour lesquels CGD agit en qualité de responsable de traitement.
Les informations respectent le formalisme imposé par la règlementation, à savoir :
- être concises ;
- transparentes ;
- compréhensibles sur les catégories de données collectées par CGD ;
- les traitements opérés et les raisons pour lesquelles ils sont réalisés.
CGD informe également sur les droits et les voies de contacts ou de recours mis à la disposition des personnes concernées.
Bases légales des traitements de données à caractère personnel :
Caixa Geral de Depósitos - Succursale France, agissant en tant que responsable de traitement, collecte et traite les données personnelles des personnes concernées conformément aux bases légales ci-dessous :
- l’exécution du contrat ;
- l’obligation légale ;
- l’exécution d’une mission d’intérêt public ;
- l’intérêt vital ;
- l’intérêt légitime ;
- le consentement de la personne concernée.
Principes à respecter concernant le traitement de données à caractère personnel :
L’ensemble des données à caractère personnel traité par Caixa Geral de Depósitos - Succursale France en qualité de responsable de traitement respecte les principes suivants :
- loyauté et licéité ;
- être collecté pour des finalités déterminées, explicites et légitimes(3) ;
- être adéquat, pertinent et non excessif au regard des finalités pour lesquelles les données sont collectées et pour lesquelles elles sont traitées ultérieurement ;
- avoir les mesures de sécurité appropriées conformément aux exigences techniques et organisationnelles en matière de sécurité ;
- être exact et, si nécessaire, mis à jour : toutes les mesures raisonnables sont prises pour que les données inexactes ou incomplètes, au regard des finalités pour lesquelles elles sont collectées ou pour lesquelles elles sont traitées ultérieurement, soient effacées ou rectifiées dès que CGD en a eu connaissance ;
- être conservé pendant une durée n’excédant pas celle nécessaire à la réalisation des finalités pour lesquelles les données à caractère personnel sont collectées ou pour lesquelles elles sont traitées ultérieurement.
Sécurité :
CGD s’assure de traiter les données à caractère personnel conformément aux dispositions de la Politique groupe en matière de sécurité pour garantir la confidentialité, l’intégrité et la disponibilité des données à caractère personnel. CGD peut ainsi garantir la mise en œuvre de mesures techniques et organisationnelles afin de prévenir la destruction accidentelle ou illicite, la perte accidentelle, l'altération, la diffusion ou l'accès non autorisé aux données à caractère personnel.
CGD réalise une analyse de risque préalablement à la mise en œuvre de tout traitement de données à caractère personnel afin de garantir un niveau de sécurité adéquat aux traitements.
Catégories de données traitées par Caixa Geral de Depósitos - Succursale France :
Les données collectées directement auprès du Client ou indirectement (par exemple auprès de la Banque de France) sont strictement nécessaires à la réalisation de la finalité poursuivie (en application du principe dit de « minimisation »).
Ces données sont les suivantes :
• Identification : civilité, prénom(s), nom(s), date de naissance, pièce(s) d’identité, coordonnées électroniques, téléphoniques et postales ;
• Situation privée et/ou professionnelle : situation familiale, régime matrimonial, nombre et âge des enfants, profession, nom de l’employeur, lieu de travail ;
• Économiques et financières : revenus, situation financière et fiscale, patrimoine ;
• Transactions bancaires : opérations, dates, paiements cartes de crédit, virements, prélèvements, montants, libellés, chèques ;
• Identification et authentification : logs, cookies, données de navigation sur les sites et application sur l’espace client CGD on-line ;
• Correspondances et communications avec l’agence du client, à distance ou tout autre moyen de communication ;
• Données liées aux produits et services souscrits dans l’agence du client.
En qualité de responsable de traitement, CGD traite également des données à caractère personnel des prospects dont la typologie varie, ainsi que des données à caractère personnel des collaborateurs dont l’information exhaustive est détenue par le service des Ressources Humaines de CGD France.
Durée de conservation :
Les durées de conservation que CGD applique aux données à caractère personnel traitées sont proportionnées aux finalités pour lesquelles elles ont été collectées : 
L’information exhaustive des finalités poursuivies et des durées de conservation appliquées peut être obtenue auprès du Responsable de Traitement par le biais des points de contact communiqués à l’article « Exercice de droit et réclamation auprès de CGD ».
Traitements automatisés et profilage :
Les traitements de profilage ont différentes finalités, principalement de sécurisation des opérations clients, de lutte contre la fraude, ou pour mieux répondre aux obligations relatives à la gestion et au pilotage des risques de conformité.
Certains traitements de profilage permettront notamment d’adresser des offres commerciales personnalisées plus adaptées aux besoins du client.
Dans ce cadre, CGD recueille, au préalable, auprès de la personne concernée, son consentement. Celui-ci doit être recueilli au de manière libre, éclairée et univoque. La personne concernée peut, à tout moment retirer, gratuitement et sans justification son consentement.
Pour chacun de ces traitements, une analyse approfondie est effectuée afin de déterminer si le traitement doit être fondé sur le consentement ou l’intérêt légitime de CGD.
CGD réalise une étude d’impact sur la vie privée (EIVP), préalablement à la mise en œuvre de tout traitement de données à caractère personnel susceptible d’entrainer un risque élevé pour les droits et libertés des personnes concernées, afin de garantir un niveau de sécurité adéquat aux traitements.
Destinataires des données à caractère personnel :
La Banque est susceptible, dans le respect des conditions du secret professionnel, de transmettre les données à caractère personnel des clients aux personnes suivantes :
- prestataires de services pour l’exécution des travaux sous-traités ;
- sociétés du groupe de la Banque ;
- autorités administratives, judiciaires, fiscales ou de régulation ;
- organismes intervenant dans le cadre de la fabrication et du fonctionnement de la carte, le Groupement d'Intérêts Economiques Carte Bancaire ;
- tout autre destinataire nécessaire à l'exécution des services, société dans lesquelles le client détient des titres en participation ;
- toute partie qui acquiert une participation ou assume un risque sur les services ;
- gestionnaire de fonds tiers qui fournissent des services de gestion collective ou de portefeuille au Client ;
- sociétés pour lesquelles la Banque travaille dans le cadre d'opérations de courtage, dans le cadre de tous transferts, cessions, fusions ou acquisitions d'activités de la Banque.
La liste des destinataires des informations peut être obtenue auprès des services Centraux de la banque Traitement par le biais des points de contact communiqués à l’article « Exercice de droit et réclamation auprès de CGD ».
Transfert de données à caractère personnel :
CGD est établie dans plusieurs pays et assure ainsi de nombreux transferts de données entre ses entités. En conséquence, CGD traite des données à caractère personnel dans plusieurs pays.
Aux termes de notre Politique groupe, le responsable de traitement doit endosser la responsabilité de l’encadrement du transfert des données à caractère personnel afin d’y apporter un niveau de protection adéquat.
Droits des personnes concernées :
Les personnes concernées, dès lors qu’elles ont justifié leur identité et formulé la demande par écrit, peuvent exercer les droits suivants :
- accès aux données les concernant et traitées par CGD ;
- modification, la suppression ou la suspension :
• De toutes les données à caractère personnel inexactes ou incomplètes les concernant,
• Des données à caractère personnel dont la finalité du traitement est devenue illégale ou inappropriée.
- limitation : refuser à tout moment, pour des motifs légitimes ou en cas de nécessité impérieuse, que leurs données à caractère personnel fassent l’objet d’un traitement, à moins qu’une disposition législative contraire ne l’impose. Quand la requête de la personne concernée est justifiée, le traitement la concernant est supprimé.
- opposition : notamment à de la prospection commerciale ;
- portabilité des données : les données des personnes concernées collectées par CGD peuvent être transmises à une autre entité, à la demande de la personne concernée, dans un format clair.
Dans l’hypothèse où il ne serait pas fait droit à une telle requête, les personnes concernées peuvent déposer une réclamation selon les modalités décrites ci-dessous.
Exercice de droit et réclamations auprès de CGD :
Si une personne souhaite exercer ses droits en matière de protection des données, ou considère que le traitement de ses données à caractère personnel lui cause ou lui a causé un préjudice, ou que le traitement n’est pas conforme aux principes décrits aux termes de la loi applicable, elle a la possibilité d’adresser sa demande écrite, et accompagnée d’un document d’identité, à l’attention du DPO (Data Protection Officer) :
1. Par le formulaire suivant :
2. Par voie postale :
Caixa Geral de Depósitos, S.A. - France
Responsable Cybersécurité DPO Pivot
2 rue des Italiens - 75009 Paris
3. Par courrier électronique à l’adresse suivante :
dpo@cgd.fr
4. Auprès d’une agence Caixa Geral de Depósitos
5. Auprès de la CNIL (Commission Nationale de l’Informatique et des Libertés), autorité de contrôle en charge, en France, du respect des obligations en matière de données à caractère personnel :
CNIL
3 place de Fontenoy
75007 Paris
Information des personnes concernées :
CGD s’engage à rendre la présente Politique de protection des données accessible et lisible à toutes les personnes concernées, notamment en la publiant sur son site internet.
En conséquence, CGD s’engage à fournir les informations suivantes :
- L’identité du Responsable de traitement, personne morale : Caixa Geral de Depósitos - Succursale France ;
- Les finalités du traitement concernant les données à caractère personnel ;
- Les destinataires ou les catégories des destinataires des données ;
- L’existence, pour les personnes concernées, du droit de consulter ou de faire rectifier les données à caractère personnel les concernant dans la mesure où cela est nécessaire, au regard des circonstances particulières de collecte de leurs données à caractère personnel et afin de garantir un traitement loyal.
Coopération avec les autorités en charge de la protection des données à caractère personnel :
CGD coopère et contribue à traiter les demandes ou les réclamations des personnes concernées, les demandes d’investigations ou les injonctions des autorités en charge de la protection des données à caractère personnel.
Cette Politique de protection des données est mise à jour régulièrement pour refléter les évolutions des pratiques de CGD ainsi que les potentielles évolutions de la réglementation applicable aux données personnelles.
Nous vous invitons à consulter régulièrement cette page qui sera mise à jour en fonction de toutes les évolutions substantielles.
(2) Règlement UE 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE.
(3) La personne concernée peut retrouver ces informations sur les différents supports contractuels qui la lient à CGD.
