Politique de confidentialité

1. À propos de la présente politique

La présente politique de confidentialité explique comment InDebted France (« InDebted », « nous », « notre », « nos ») collecte, conserve, traite et partage vos données à caractère personnel lorsque nous vous fournissons nos Services. Elle est établie conformément au Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 (le Règlement général sur la protection des données, « RGPD ») et à la loi française Informatique et Libertés (loi n° 78-17 du 6 janvier 1978 modifiée) (ensemble, les « Lois relatives à la protection des données »).

Nous ne collectons ni n'utilisons vos données à caractère personnel sensibles, sauf si cela est nécessaire à la fourniture de nos Services et sous réserve de votre consentement préalable ou de l'existence d'un fondement juridique autorisé. Les données à caractère personnel sensibles comprennent les informations relatives à votre santé, votre orientation sexuelle, vos données génétiques, vos données biométriques (lorsqu'elles sont utilisées à des fins d'identification), vos antécédents judiciaires, vos convictions religieuses ou philosophiques, votre origine raciale ou ethnique, ainsi que votre appartenance à une organisation syndicale ou professionnelle.

Vous pouvez nous communiquer des informations de base telles que votre nom, votre numéro de téléphone, votre adresse postale, votre adresse électronique et votre nom de profil sur les réseaux sociaux, afin de nous permettre de communiquer avec vous lorsque nous vous fournissons nos Services, lorsque vous nous contactez et lorsque nous vous adressons des informations actualisées.

Nous pouvons collecter des informations supplémentaires à d'autres moments, notamment lorsque vous nous faites part de vos commentaires, déposez une réclamation, fournissez des informations relatives à votre situation personnelle ou professionnelle, modifiez vos préférences de contact ou de messagerie, communiquez des informations financières ou de carte bancaire, échangez avec nos équipes du service client, ou interagissez avec nous via notre site internet, les applications liées à nos Services ou nos canaux de communication numériques.

Nous pouvons également collecter toute autre information que vous nous communiquez lors de nos échanges et dans le cadre de la gestion de nos relations avec nos clients, nos donneurs d'ordre et nos prestataires de services.

Nous pouvons également collecter des données à caractère personnel vous concernant auprès de tiers ou d'organismes, notamment nos sociétés affiliées, des sources d'information accessibles au public (telles que les registres publics), vos représentants habilités, d'autres organismes qui fournissent conjointement avec nous des produits ou des services, des sites internet ou plateformes de tiers connectés aux nôtres, des plateformes de réseaux sociaux (si vous publiez un commentaire public ou nous envoyez un message privé) et des outils de suivi numérique tels que les cookies.

Lorsque vous vous rendez dans nos locaux, des images de vidéosurveillance peuvent être enregistrées. Les autres informations collectées peuvent inclure les éléments figurant sur un curriculum vitae qui nous est adressé dans le cadre d'une opportunité d'emploi.

Nous pouvons également recevoir vos données à caractère personnel de la part de tiers avec lesquels nous traitons pour votre compte, ainsi que de nos clients et de nos prestataires de services.

Toute information que nous recevons et que nous ne sommes pas légalement tenus ou autorisés à conserver sera supprimée ou détruite.

2. Sur quel fondement nous utilisons vos données à caractère personnel

En vertu des Lois relatives à la protection des données, nous sommes autorisés à utiliser vos données à caractère personnel dans les cas suivants :

• pour vous fournir nos Services et exécuter un contrat que nous avons conclu avec nos clients et avec vous ;
• lorsque vous donnez votre consentement à nos clients ou à nous-mêmes ;
• pour respecter nos obligations légales et réglementaires et gérer efficacement les risques liés à notre activité ; et/ou
• lorsque cela relève de notre intérêt légitime.

Lorsque nous utilisons vos données à caractère personnel au titre de notre intérêt légitime, cela signifie que :

• le traitement de vos données à caractère personnel est nécessaire et que nous ne pouvons pas parvenir au même résultat par un autre moyen ; et
• nous avons procédé à une mise en balance permettant de garantir que nos intérêts ne prévalent pas sur vos intérêts, droits et libertés.

3. Utilisation et communication de vos données à caractère personnel

Nous utiliserons ou communiquerons les informations à caractère personnel que nous détenons à votre sujet dans les limites autorisées par la loi et aux fins professionnelles pour lesquelles elles ont été collectées. Nous pouvons utiliser vos informations à caractère personnel sur les fondements suivants :

• lorsque ce traitement est nécessaire à l'exécution de nos contrats et au respect de nos engagements contractuels envers nos clients, y compris lorsque nous avons conclu des contrats avec des clients qui nous confient vos dossiers à des fins de recouvrement ;
• pour vous fournir et gérer nos Services ;
• pour la bonne gestion de nos relations avec nos clients et nos consommateurs ;
• pour vérifier votre identité et vous authentifier lorsque vous nous contactez ;
• lorsque nous communiquons avec vous par courrier, courrier électronique, téléphone, SMS, applications mobiles et plateformes de réseaux sociaux ;
• à des fins commerciales légitimes ;
• l'utilisation de vos informations à caractère personnel nous aide à exploiter et à améliorer notre activité, notre site internet et nos systèmes, et à limiter toute interruption des services que nous pouvons vous proposer ;
• lorsque nous traitons des informations sur la base de votre consentement ;
• pour respecter nos obligations légales et réglementaires ;
• pour la constatation, l'exercice ou la défense de droits en justice, dans le cadre d'une procédure judiciaire, administrative ou extrajudiciaire ;
• aux fins d'obtenir ou de maintenir une couverture d'assurance, de gérer les risques et les opérations, ou d'obtenir des conseils professionnels ;
• aux fins de prévention, de répression ou de détection de la fraude et de la criminalité, ainsi que pour nous aider à exploiter notre activité et à en préserver l'intégrité ;
• pour assurer la santé et la sécurité de nos salariés sur le lieu de travail, ou pour faire valoir nos droits, effectuer des démarches juridiques ou engager une action en justice ; ou
• à des fins de tenue de registres.

Lorsque vous êtes client de nos Services, nous pouvons également utiliser vos informations à caractère personnel pour vous présenter ceux de nos Services susceptibles de vous intéresser.

Nous ne collectons ni ne traitons sciemment les informations à caractère personnel de toute personne âgée de moins de 18 ans.

Nous pouvons établir des rapports, des analyses et des modèles prédictifs statistiques et anonymisés à partir d'informations vous concernant et concernant d'autres consommateurs. Des rapports agrégés peuvent également être partagés avec d'autres entreprises à des fins de développement commercial et pour fournir des enseignements sur la performance du recouvrement, les caractéristiques démographiques des consommateurs ou leurs comportements. Les informations contenues dans ces rapports ne présentent pas de caractère personnel et ne permettent pas de vous identifier.

Nous ne vendrons pas vos informations à caractère personnel à d'autres entreprises ou organismes.

Nous pouvons collecter et utiliser des informations à caractère personnel à des fins de prospection directe si vous nous les avez communiquées. Nous pouvons vous adresser des communications de prospection directe dans les limites autorisées par la loi, y compris par courrier électronique. Vous pouvez à tout moment vous opposer à nos communications commerciales. Lorsque nous recueillons votre consentement, vous pouvez le retirer à tout moment.

4. Décisions automatisées reposant sur vos données à caractère personnel

Afin d'offrir une expérience client efficace et utile, nous recourons à des décisions automatisées dans la manière dont nous communiquons avec vous. Par exemple, si vous échangez avec nous par courrier électronique ou par SMS, notre système adaptera automatiquement les communications à votre canal numérique préféré, sans intervention humaine. Nous pouvons également recourir à des décisions automatisées pour détecter et prévenir la fraude et le blanchiment de capitaux, et pour déterminer la manière la plus efficace de vous fournir nos Services.

Vous disposez de droits concernant les décisions automatisées que nous prenons à votre sujet à partir de vos données à caractère personnel. Vous pouvez nous demander de vous indiquer comment nous utilisons vos données à caractère personnel dans le cadre de décisions automatisées. Vous avez également le droit de demander une intervention humaine, d'exprimer votre point de vue et de contester les décisions automatisées qui ont une incidence significative sur vous. La CNIL a publié des recommandations sur la prise de décision automatisée et le profilage ; pour plus d'informations, vous pouvez consulter le site cnil.fr.

5. Comment nous conservons vos données à caractère personnel

Nous conserverons vos données à caractère personnel de manière sécurisée, sous forme physique ou électronique. La sécurité de vos données à caractère personnel est importante pour nous. Nous prendrons les mesures techniques et organisationnelles appropriées pour sécuriser vos données à caractère personnel et prévenir leur perte, leur utilisation abusive, tout accès non autorisé, leur divulgation ou leur altération.

Nous conserverons vos données à caractère personnel sur des serveurs sécurisés, des ordinateurs personnels et des appareils mobiles, ainsi que dans des systèmes d'archivage manuel sécurisés.

Une grande partie des informations que nous détenons à votre sujet sera conservée sous forme électronique. Nous conservons certaines de vos informations dans des centres de données sécurisés, par l'intermédiaire de notre prestataire de stockage de données dans le cloud, Amazon Web Services.

Nous mettons en œuvre un ensemble de mesures de sécurité physiques, électroniques et autres afin de protéger la sécurité, la confidentialité et l'intégrité des données à caractère personnel que nous détenons, notamment :

• l'accès à nos systèmes d'information est encadré par des dispositifs de gestion des identités et des accès ;
• l'ensemble de nos salariés est tenu de respecter notre cadre de protection des données et nos politiques de sécurité de l'information ;
• l'ensemble de nos salariés suit des formations relatives à la protection des données et à la sécurité de l'information ;
• nous contrôlons et réexaminons régulièrement nos mesures de sécurité ainsi que leur conformité à nos politiques internes et aux meilleures pratiques du secteur ; et
• nos prestataires de services sous contrat sont contractuellement tenus de respecter les Lois relatives à la protection des données et de maintenir des mesures de sécurité de l'information appropriées.

Vous reconnaissez que la transmission de données non chiffrées (ou insuffisamment chiffrées) sur internet est par nature non sécurisée et que nous ne pouvons garantir la sécurité des données qui nous sont transmises par internet.

Bien que nous prenions des mesures pour prévenir toute divulgation non autorisée d'informations, nous ne pouvons vous garantir que les données à caractère personnel que nous collectons ne seront pas divulguées d'une manière contraire à la présente politique de confidentialité. Si vous estimez que la sécurité de vos échanges avec nous a été compromise, nous vous invitons à nous contacter immédiatement à l'adresse privacy@indebted.co.

Notre site internet peut contenir des liens vers des sites externes ; nous déclinons toute responsabilité quant aux pratiques de confidentialité ou au contenu de ces autres sites.

6. Les collaborateurs d'InDebted

L'accès à vos informations est réservé aux collaborateurs habilités qui ont un motif professionnel légitime de les utiliser.

Toute utilisation ou divulgation non autorisée d'informations relatives aux clients et aux consommateurs par un collaborateur d'InDebted est strictement interdite. Tous les collaborateurs sont tenus de préserver à tout moment la confidentialité des informations relatives aux clients et aux consommateurs ; tout manquement donnera lieu à des mesures disciplinaires appropriées, pouvant aller jusqu'au licenciement.

7. Êtes-vous tenu de fournir vos données à caractère personnel ?

Vous pouvez ne pas nous communiquer vos informations à caractère personnel lors de nos échanges si vous formulez une demande d'ordre général. Toutefois, si vous ne communiquez pas vos données à caractère personnel, il peut nous être impossible de vous fournir nos produits et services, ou de vous donner un accès complet à notre site internet.

8. Communication de vos données à caractère personnel à des tiers

Nous pouvons communiquer vos informations à caractère personnel à tout membre du groupe de sociétés InDebted (c'est-à-dire nos filiales, notre société mère ultime et l'ensemble de ses filiales), dans la mesure raisonnablement nécessaire à la fourniture de nos services et à la gestion de notre activité, sur les fondements licites autorisés par les Lois relatives à la protection des données.

Nous pouvons communiquer vos informations à caractère personnel à nos assureurs et/ou à nos conseils professionnels, dans la mesure raisonnablement nécessaire pour obtenir ou maintenir une couverture d'assurance, gérer les risques, obtenir des conseils professionnels, ou pour la constatation, l'exercice ou la défense de droits en justice.

Nous pouvons communiquer des informations à caractère personnel à nos fournisseurs ou sous-traitants, dans la mesure raisonnablement nécessaire à la fourniture de nos services et à la gestion de notre activité.

Outre les communications spécifiques prévues à la présente section, nous pouvons communiquer vos informations à caractère personnel lorsque cette communication est nécessaire au respect d'une obligation légale ou réglementaire, ou à la sauvegarde de vos intérêts vitaux ou de ceux d'une autre personne.

Nous pouvons également communiquer vos données à caractère personnel lorsque nous avons recueilli votre consentement.

9. Prestataires de services externes

Nous pouvons faire appel à des prestataires de services pour réaliser des prestations spécialisées pour notre compte. Nos prestataires de services peuvent être amenés à traiter ou à manipuler des informations à caractère personnel. Seules les informations nécessaires à la réalisation de ces prestations leur sont communiquées.

Nous exigeons d'eux qu'ils protègent ces informations d'une manière conforme à nos politiques de confidentialité et à nos pratiques de sécurité.

Toute communication à des tiers sera effectuée en application de contrats définissant les exigences relatives à l'utilisation, à la protection, à la conservation et à la destruction de ces informations, ou lorsque la loi l'exige.

10. Vos droits

Vous disposez de certains droits quant à la manière dont vos données à caractère personnel sont obtenues et utilisées. InDebted respecte les droits qui vous sont reconnus par les Lois relatives à la protection des données s'agissant de la collecte, de l'utilisation et du traitement de vos données à caractère personnel.

Sauf disposition contraire des Lois relatives à la protection des données, vous disposez en principe des droits suivants :

• lorsque nous nous fondons sur votre consentement pour traiter vos données à caractère personnel, le droit de retirer votre consentement, à la suite de quoi nous cesserons les traitements concernés par ce consentement ;
• le droit d'être informé de la manière dont nous avons obtenu vos données à caractère personnel et de l'usage qui en est fait ;
• le droit d'accéder à vos données à caractère personnel (nous vous en fournirons une copie gratuite) ;
• le droit de vous opposer à l'utilisation de vos données à caractère personnel lorsque nous nous fondons sur notre intérêt légitime ;
• le droit de rectifier vos données à caractère personnel si elles sont inexactes ou incomplètes ;
• le droit à l'effacement de vos données à caractère personnel (également appelé « droit à l'oubli ») lorsqu'aucun fondement licite ne nous permet de les conserver ;
• le droit à la limitation du traitement de vos données à caractère personnel ;
• le droit de recevoir vos données à caractère personnel dans un format structuré, couramment utilisé et lisible par machine, et de les faire transmettre à un autre responsable de traitement lorsque cela est techniquement possible (droit à la portabilité des données) ;
• le droit de vous opposer à l'utilisation de vos données à caractère personnel à des fins de prospection directe, de décision automatisée et de profilage ; et
• le droit de définir des directives relatives à l'utilisation de vos données à caractère personnel après votre décès (directives post mortem), conformément à l'article 85 de la loi Informatique et Libertés.

Vous pouvez nous contacter à tout moment pour exercer l'un de ces droits, aux coordonnées indiquées dans la présente politique de confidentialité.

Nous pouvons vous demander de justifier de votre identité et de fournir des informations complémentaires avant de donner suite à votre demande.

Nous répondrons dans un délai d'un mois calendaire à compter de la réception de votre demande. Lorsque votre demande est complexe ou que les demandes sont nombreuses, nous pouvons prolonger ce délai de deux mois supplémentaires et vous informerons du motif de cette prolongation.

11. Pays vers lesquels nous transférons vos informations

Vos informations à caractère personnel peuvent transiter par, être conservées ou traitées dans des pays autres que la France ou l'Espace économique européen (EEE).

InDebted et les sociétés de son groupe sont implantées dans les pays suivants :

• États-Unis d'Amérique
• Canada
• Australie
• Nouvelle-Zélande
• Philippines
• Royaume-Uni
• Allemagne

Lorsque nous transférons vos données à caractère personnel en dehors de l'EEE, nous veillons à ce que des garanties appropriées soient mises en place pour les protéger, notamment :

• le recours aux clauses contractuelles types (CCT) approuvées par la Commission européenne, lorsque cela est requis ;
• l'engagement des sociétés du groupe InDebted à respecter la présente politique de confidentialité et à être soumises à des obligations équivalentes en vertu de la législation applicable en matière de protection des données, en application d'accords intragroupe de transfert de données ; et
• l'obligation contractuelle faite à nos prestataires de services de protéger vos données à caractère personnel conformément aux Lois relatives à la protection des données.

Dans des cas limités, des transferts peuvent être réalisés sur le fondement d'une dérogation prévue par le RGPD (par exemple, avec votre consentement explicite). Si vous souhaitez obtenir davantage d'informations sur les garanties que nous utilisons, vous pouvez nous contacter à l'adresse privacy@indebted.co.

12. Accès à vos données à caractère personnel

Vous pouvez demander le détail des données à caractère personnel que nous détenons à votre sujet, conformément aux dispositions des Lois relatives à la protection des données. Si vous souhaitez obtenir une copie des informations que nous détenons à votre sujet, ou si vous estimez que les informations que nous détenons sont inexactes, obsolètes, incomplètes ou non pertinentes, nous vous invitons à nous écrire à l'adresse privacy@indebted.co.

Nous nous réservons le droit de refuser de communiquer les informations que nous détenons à votre sujet dans certains cas prévus par les Lois relatives à la protection des données ou par toute autre législation applicable.

13. Durée de conservation de vos données à caractère personnel

Nous conserverons vos données à caractère personnel aussi longtemps que nécessaire pour nous conformer aux Lois relatives à la protection des données ainsi qu'à nos obligations légales et réglementaires. En règle générale, nous conservons vos données à caractère personnel pendant au moins sept ans après la fin de nos échanges avec vous, afin de respecter nos obligations légales et de répondre à toute question ou réclamation relative à nos échanges.

Nous pouvons également être tenus de conserver vos données à caractère personnel pendant une durée plus longue lorsque des motifs légaux ou réglementaires l'exigent.

Nous conserverons vos données de manière sûre et sécurisée pendant toute la durée de leur détention.

Lorsque nous n'avons plus besoin d'utiliser vos données à caractère personnel aux fins décrites dans la présente politique, nous prendrons les mesures raisonnables pour les détruire, les dépersonnaliser ou les anonymiser, de sorte que votre identité ne puisse raisonnablement être révélée à partir des informations que nous détenons.

14. Réclamations en matière de protection des données

Si vous avez une réclamation concernant nos pratiques en matière de protection des données, nous vous invitons à en adresser le détail à privacy@indebted.co. Nous prenons les réclamations très au sérieux et y répondrons dans les meilleurs délais après réception de votre notification écrite. Nous vous informerons si nous avons besoin d'informations complémentaires de votre part.

Si vous n'êtes pas satisfait de la manière dont nous avons traité vos données à caractère personnel, vous avez le droit d'introduire une réclamation auprès de la Commission nationale de l'informatique et des libertés (CNIL), l'autorité de contrôle française en matière de protection des données. La CNIL peut être contactée sur cnil.fr ou par courrier à l'adresse suivante : CNIL, 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07.

15. Notre délégué à la protection des données

InDebted a désigné un délégué à la protection des données (DPO) groupe, déclaré auprès de la CNIL. Si vous avez des questions concernant la présente politique de confidentialité ou la manière dont nous traitons vos données à caractère personnel, vous pouvez contacter notre DPO à l'adresse privacy@indebted.co.

16. Modifications de la présente politique de confidentialité

Nous vous informons que nous sommes susceptibles de modifier la présente politique de confidentialité à l'avenir. Nous pouvons la modifier à tout moment, et toute modification prendra effet dès sa publication sur notre site internet. Nous vous invitons à la consulter régulièrement.

InDebted France. Siège social : 1 Parvis de la Défense, Grande Arche Paroi Nord, 92800 Puteaux, France. SIREN : 102 361 425. La présente politique de confidentialité est régie par le RGPD (Règlement (UE) 2016/679) et par la loi Informatique et Libertés (loi n° 78-17 du 6 janvier 1978 modifiée).