Avis de confidentialité – Services SupplyOn

Version 2.0.1 du 15.10.2020

Dans le cadre de l’utilisation des services SupplyOn, des données à caractère personnel sont traitées, tant celles vous concernant en tant qu’utilisateur que celles d’autres personnes impliquées dans la fourniture des services SupplyOn. Ces « personnes concernées », telles que définies par le RGPD, sont ci-après dénommées « utilisateurs » par souci de simplification.

Les groupes de personnes suivants peuvent être considérés comme des utilisateurs des services SupplyOn :

• Les personnes de contact (y compris les parties intéressées) des services achats, ventes, technologie, administration et finances des acheteurs et fournisseurs,
• les personnes de contact des prestataires de services (partenaires commerciaux et autres sous-traitants de SupplyOn) ainsi que
• les employés de SupplyOn et des sociétés affiliées.

SupplyOn traite les données à caractère personnel des utilisateurs dans deux cas de figure différents :

A) Pour les besoins propres de SupplyOn, afin d’exploiter, de promouvoir ou de distribuer les services SupplyOn.

B) Pour le compte des acheteurs qui utilisent les services SupplyOn pour gérer les processus avec leurs fournisseurs.

Vous pouvez utiliser les méthodes suivantes pour obtenir des informations sur l’acheteur responsable de votre dossier après vous être connecté au portail SupplyOn :

• Si votre entreprise est enregistrée auprès de SupplyOn en tant que fournisseur, votre administrateur utilisateur peut voir avec quel acheteur votre entreprise coopère via les options de menu Administration -> Contrat et facture -> Aperçu des connexions. Vous pouvez accéder à l’administrateur utilisateur responsable de votre entreprise via les options de menu Administration -> Mon administrateur utilisateur.
• Si vous êtes utilisateur des services SupplyOn et travaillez pour un acheteur, cet acheteur est responsable.
• Si vous êtes un fournisseur non enregistré, vous pouvez consulter l’acheteur responsable en utilisant le lien correspondant à votre transaction commerciale, que vous devriez avoir reçu par e-mail de la part de SupplyOn.

Vous pouvez également envoyer votre demande afin de déterminer l’acheteur responsable à l’adresse datenschutz@supplyon.com. Veuillez noter que pour traiter la légitimité de votre demande, nous devons vérifier votre identité et vous demanderons des informations supplémentaires. Cependant, nous ne vous demanderons jamais votre mot de passe utilisateur.

Les informations suivantes concernant la protection des données personnelles traitées doivent donc être comprises en relation avec le scénario pertinent de chaque cas.

1. Nom et coordonnées du responsable du traitement

A) Pour les besoins propres de SupplyOn

Si vous êtes un utilisateur des services SupplyOn pour SupplyOn directement ou pour un prestataire de services, SupplyOn est le responsable du traitement de vos données :

SupplyOn AG
Ludwigstrasse 49
85399 Hallbergmoos
Téléphone : +49 811 99997 0
E-mail : datenschutz@supplyon.com

B) Traitement pour le compte des acheteurs

En tant qu’utilisateur des services SupplyOn, vous pouvez travailler soit pour un acheteur, soit pour un fournisseur. Un fournisseur est toujours associé à au moins un acheteur chez SupplyOn. Dans ce cas, l’acheteur est responsable du traitement de vos données personnelles, pour lequel SupplyOn a été mandaté afin de travailler conformément aux instructions données par l’acheteur.

2. Coordonnées du délégué à la protection des données du responsable du traitement

A) Pour les besoins propres de SupplyOn

Le délégué à la protection des données de SupplyOn est
datenschutz süd GmbH
Wörthstraße 15
97082 Würzburg
Téléphone : +49 931 304976 0
E-mail : datenschutz@supplyon.com

B) Traitement pour le compte des acheteurs

En tant qu’utilisateur des services SupplyOn, vous pouvez travailler soit pour un acheteur, soit pour un fournisseur. Un fournisseur est toujours associé à au moins un acheteur chez SupplyOn. SupplyOn est un sous-traitant travaillant sous les instructions des acheteurs. Par conséquent, nous répondrons à toute demande d’informations envoyée à datenschutz@supplyon.com en fournissant les coordonnées du délégué à la protection des données de l’acheteur responsable des données personnelles en question. Vous pouvez également à tout moment contacter directement l’acheteur.

3. Finalités du traitement et base juridique

A) Pour les besoins propres de SupplyOn

Vos données à caractère personnel seront traitées par SupplyOn pour ses propres besoins.

En tant qu’utilisateur des services SupplyOn, nous traitons initialement vos données à caractère personnel, en relation avec l’utilisation de la plateforme SupplyOn, à des fins de traitement des contrats. La base juridique est l’article 6, alinéa 1, point b) du RGPD en relation avec les conditions générales applicables aux services SupplyOn. Au cours du processus d’inscription, vous serez invité, en tant qu’utilisateur des services SupplyOn, à fournir les données d’inscription suivantes, qui seront stockées par SupplyOn et utilisées comme décrit ci-dessous :

• Coordonnées professionnelles de la personne de contact pour les services SupplyOn dans votre entreprise (administrateur de l’entreprise),
• les données contractuelles, c’est-à-dire les données d’inventaire, qui sont nécessaires à l’établissement, au contenu ou à la modification de la relation contractuelle concernant l’utilisation des services SupplyOn, et
• les données du profil de l’entreprise, c’est-à-dire les données que vous, en tant qu’utilisateur, saisissez sur votre entreprise, en tant que client des services SupplyOn, afin de présenter votre entreprise, ses produits et ses services.

Lors de l’utilisation des services SupplyOn, SupplyOn enregistre et utilise les données suivantes vous concernant vous, l’utilisateur, et votre entreprise (client) :

• Vos coordonnées professionnelles
• les données de connexion, c’est-à-dire l’identifiant client, le nom d’utilisateur, le mot de passe ou d’autres informations d’enregistrement,
• les données de transaction, c’est-à-dire les données qui sont automatiquement enregistrées sous forme de journaux électroniques lors de l’utilisation des services SupplyOn, et
• les données commerciales, c’est-à-dire les données qu’un client transmet à un autre client lors de l’utilisation des services SupplyOn.

Cela comprend notamment les étapes de traitement suivantes :

• octroi du droit d’utilisation des services SupplyOn convenu contractuellement,
• Identification des utilisateurs et divulgation des données personnelles des utilisateurs existants afin de permettre l’attribution des nouveaux clients enregistrés à des sociétés affiliées déjà enregistrées,
• Envoi d’informations sur les caractéristiques des produits ou la disponibilité des services, notifications d’application et communication avec le service clientèle,
• Facilitation de la prise de contact entre acheteurs et fournisseurs par la mise à disposition et la transmission des données et informations pertinentes pour une relation commerciale potentielle, en particulier en informant les acheteurs quels fournisseurs sont enregistrés pour quels services SupplyOn, ainsi que des coordonnées des interlocuteurs compétents pour la conclusion éventuelle d’un contrat d’utilisation de (autres) services SupplyOn,
• Promotion de la relation commerciale entre un acheteur et un vendeur en transmettant à l’acheteur des informations concernant la relation contractuelle entre SupplyOn et le vendeur (telles que le changement des personnes de contact concernées, le statut du contrat, l’activation ou la désactivation imminente pour cause de non-paiement) et qui sont pertinentes pour la relation entre un acheteur et un vendeur

Si vous décidez de payer par carte de crédit, nous traitons les données nécessaires au traitement du paiement sur la base de l’article 6, alinéa 1, point b) du RGPD. Vos données bancaires ne sont pas collectées par SupplyOn, mais exclusivement par un prestataire de services de paiement dont le service est directement intégré à notre page de paiement.  SupplyOn n’a pas accès à vos données bancaires. Si vous souhaitez obtenir plus d’informations sur le traitement de vos données à des fins de paiement, veuillez cliquer sur le lien suivant: https://www.evopayments.eu/datenschutz/.

En tant qu’utilisateur enregistré, vous avez la possibilité d’être informé, en fonction de vos propres centres d’intérêt, de certains services fournis par SupplyOn (en vous abonnant à des newsletters ou en recevant des invitations à des enquêtes). Vous décidez volontairement de l’étendue de ces services. La base juridique est le consentement explicite conformément à l’article 6, alinéa 1, point a) et à l’article 7 du RGPD en liaison avec le §7, alinéa 2 de la loi allemande sur la concurrence déloyale (UWG). Vous pouvez gérer ces services à tout moment et, si nécessaire, modifier ou révoquer le consentement donné précédemment. Vous pouvez consulter vos services personnels après vous être connecté au portail SupplyOn via les options de menu Administration –> Mon utilisateur –> Paramètres de confidentialité.

Si vous êtes intéressé par les services SupplyOn, vous pouvez nous contacter via le formulaire de contact sur notre site web ou vous abonner à notre newsletter. Toutes les informations nécessaires concernant ces services se trouvent dans la déclaration de confidentialité de notre site web.

B) Traitement pour le compte des acheteurs

Vos données personnelles en tant qu’utilisateur sont traitées pour le compte d’un acheteur afin de vous permettre d’utiliser les services SupplyOn en tant que Software-as-a-Service (SaaS). Cela comprend notamment le déploiement des services SupplyOn, l’exploitation des services SupplyOn ainsi que la formation et l’assistance lors de l’utilisation des services SupplyOn. SupplyOn traite vos données personnelles pour le compte de l’acheteur conformément aux conditions définies dans un accord de sous-traitement des données conclut conformément à l’art. 28 du RGPD.

L’utilisation des services SupplyOn, pour vous en tant que personne de contact ou employé d’un acheteur, trouve son fondement juridique dans l’article 6, alinéa 1, point b) du RGPD et oblige votre employeur à remplir les obligations découlant de votre contrat de travail respectif.

L’intelligence artificielle (IA) est utilisée pour certaines fonctions dans le cadre des services SupplyOn si l’entreprise acheteuse a activé ces fonctions. Nous vous informerons à l’avance si une fonction est exécutée avec l’IA au moyen d’un avis correspondant. Certaines de ces fonctions peuvent également impliquer le traitement de données à caractère personnel, par exemple les coordonnées lors de la traduction ou du résumé de documents. Le traitement est effectué strictement à des fins spécifiques. En cas de transfert (éventuel) de données vers des pays non membres de l’UE, nous avons bien sûr veillé contractuellement à ce qu’un niveau adéquat de protection des données soit en place. Dans certains cas, nous faisons appel à des prestataires de services qui nous fournissent des modèles d’IA.

SupplyOn propose un outil de recherche permettant de trouver, d’extraire et de résumer des informations actuelles provenant de sites web publics. L’IA est utilisée dans le processus de collecte des données. Ce processus vise à collecter des données relatives à l’entreprise, telles que les certificats de sécurité. Lors de la recherche sur des sites web publics, des données à caractère personnel peuvent être traitées si les sites web recherchés contiennent des données à caractère personnel, par exemple des informations sur les dirigeants ou les employés des fournisseurs ou d’autres personnes. Seules les données pertinentes relatives à l’entreprise sont extraites et résumées. Le traitement est fondé sur l’intérêt légitime d’identifier efficacement et rapidement les risques dans la chaîne d’approvisionnement (article 6, alinéa 1, point f) du RGPD). Si vos données à caractère personnel sont traitées dans ce contexte, vous avez le droit de vous y opposer avec effet pour l’avenir.

C) Microsoft Teams

Nous utilisons Microsoft Teams dans le cadre de votre collaboration avec SupplyOn.

Les dispositions des sections 3. A) et B) s’appliquent en conséquence aux responsabilités en matière de protection des données. Si SupplyOn n’utilise pas Microsoft Teams à ses propres fins lors de réunions avec vous, la société d’achat mandataire respective est la partie responsable.

Microsoft Teams est utilisé pour la communication professionnelle via des réunions en ligne. Lorsque vous participez à une réunion en ligne, les signaux audio et vidéo sont transmis aux autres participants à la conférence sous forme cryptée. Vous êtes libre d’utiliser les fonctions de chat, de question ou de sondage pendant la réunion en ligne. Avant de rejoindre la salle de conférence, vous pouvez entrer votre nom et choisir d’entrer avec votre caméra ou votre microphone activé ou désactivé.

Si nous souhaitons enregistrer des réunions en ligne, nous vous en informerons à l’avance et vous demanderons votre consentement (article 6, alinéa 1, point a) du RGPD). Lorsqu’un enregistrement vidéo commence, tous les participants à la réunion reçoivent une notification du système dans laquelle ils peuvent donner leur consentement à l’enregistrement. Le consentement n’est valable que pour la réunion concernée, il est toujours volontaire et le refus ou le retrait du consentement n’entraîne aucune conséquence négative. Les enregistrements sont utilisés à des fins d’information, de formation ou de documentation, par exemple pour les employés ou des parties externes.

En plus de l’enregistrement vidéo, il existe une fonction qui transcrit automatiquement une réunion afin de la documenter, de rendre notre travail plus efficace ou d’en informer les collègues qui n’ont pas pu y assister. Si la fonction de transcription est activée lors des réunions, nous vous en informerons à l’avance et vous demanderons votre consentement (article 6, alinéa 1, point a) du RGPD). Le consentement ne s’applique qu’à la réunion concernée, est toujours volontaire et le refus ou le retrait du consentement n’entraîne aucune conséquence négative. La transcription est créée à l’aide de l’intelligence artificielle.

La transcription utilise la reconnaissance vocale pour enregistrer toutes les contributions à la réunion et les résume dans un compte rendu. À cette fin, votre voix sera temporairement enregistrée et supprimée peu après la fin de la réunion. Microsoft n’a pas accès aux enregistrements audio. Une fois la réunion terminée, l’hôte de la réunion aura accès au compte rendu et pourra en contrôler l’accès pour les autres participants à la réunion.

Si vous n’acceptez pas l’enregistrement ou la transcription, vous pouvez révoquer votre consentement à tout moment en désactivant votre caméra ou votre microphone ou en quittant la réunion. La révocation ne s’applique que pour l’avenir.

Bien entendu, nous avons veillé à ce qu’un niveau approprié de protection des données soit mis en place. Microsoft est certifié dans le cadre du Data Privacy Framework UE-États-Unis et des clauses contractuelles types sont en place lorsque cela est nécessaire.

4. Destinataires des données et implication de prestataires de services situés en dehors de l’UE/EEE

A) Pour les propres besoins de SupplyOn

Vos données personnelles, en tant qu’utilisateur, peuvent être transmises à des prestataires de services dans le cadre de l’utilisation de certains services SupplyOn. Ces prestataires de services agiront soit en stricte conformité avec nos instructions dans le cadre d’un accord de sous-traitement des données conclut conformément à l’article 28 du RGPD, soit nous transmettrons vos données personnelles sur une base légale conformément à l’article 6, alinéa 1, du RGPD. Dans la mesure où les prestataires de services fournissant une assistance ont leur siège social en dehors de l’UE/EEE, nous avons garanti la légalité du transfert de données au moyen de garanties appropriées (par exemple, au moyen de clauses contractuelles types de l’UE conformément à l’art. 46, alinéa 2, point c) du RGPD).

B) Traitement pour le compte des acheteurs

Dans le cadre de la fourniture des services SupplyOn pour le compte d’un acheteur (en tant que service SaaS désigné), SupplyOn est le destinataire principal de vos données à caractère personnel.

Vos données à caractère personnel ne seront pas transmises à des tiers par SupplyOn sans instructions documentées de l’acheteur, sauf si une obligation légale l’y oblige en vertu des dispositions légales applicables.

Vos données à caractère personnel seront transmises à des prestataires de services externes (partenaires commerciaux et autres sous-traitants) dans le cadre des services SupplyOn, en fonction de la portée de l’accord concerné. Ces prestataires de services nous assistent dans le traitement des données dans le cadre d’un accord de sous-traitement des données et sont strictement liés par des instructions conformément à l’art. 28 du RGPD. Si les prestataires de services sont situés en dehors de l’UE/EEE, SupplyOn a garanti la légalité du transfert de données au moyen de garanties appropriées (par exemple, par des clauses contractuelles types de l’UE conformément à l’article 46alinéa 2, point c) du RGPD). Sur demande, nous vous fournirons une liste des prestataires de services concernés par votre cas.

5. Critères pour l’effacement des données

A) Pour les propres besoins de SupplyOn

Dès que le consentement concernant la réception d’informations sur les services SupplyOn est limité ou complètement révoqué, SupplyOn restreint l’utilisation des données personnelles des utilisateurs.

En outre, SupplyOn traite les données personnelles des utilisateurs aux fins de l’exécution d’un contrat uniquement tant que la relation contractuelle sous-jacente existe.

De plus, dès que vous n’êtes plus enregistré en tant qu’utilisateur (par exemple, en cas de résiliation du contrat entre SupplyOn et l’entreprise pour laquelle vous travaillez), SupplyOn supprime vos données personnelles qui étaient utilisées dans le but de vous informer sur les services SupplyOn.

Cela ne s’applique que s’il n’existe aucune obligation légale de conservation des données de la part de SupplyOn empêchant une telle suppression. Dans ce cas, une restriction du traitement remplace la suppression.

B) Traitement pour le compte des acheteurs

SupplyOn supprime les données personnelles des utilisateurs sur instruction de l’acheteur et à la résiliation du contrat entre SupplyOn et l’acheteur ou le fournisseur correspondant, à condition que SupplyOn n’ait aucune obligation légale de conserver les données, empêchant ainsi leur suppression. Dans ce cas, une restriction du traitement remplace la suppression.

6. Droits existants : accès, rectification, effacement, limitation, opposition, portabilité des données, réclamation auprès d’une autorité de contrôle

Quelle que soit l’entreprise spécifiquement responsable du traitement de vos données, vous disposez de divers droits en tant que personne concernée, que nous souhaitons vous expliquer ci-dessous.

Les personnes concernées ont le droit d’être informées par le responsable du traitement des données à caractère personnel les concernant et de faire rectifier ou effacer les données incorrectes, si l’un des motifs énoncés à l’article 17 du RGPD s’applique, par exemple si les données ne sont plus nécessaires aux buts poursuivis. Vous avez également le droit de limiter le traitement si l’une des conditions mentionnées à l’article 18 du RGPD est remplie et, dans les cas prévus à l’article 20 du RGPD, le droit de transférer les données. Si les données sont collectées sur la base de l’article 6, alinéa 1, point e) (traitement des données pour l’exécution de missions officielles ou la protection de l’intérêt public) ou point f) (traitement des données pour la poursuite d’intérêts légitimes), la personne concernée a le droit de s’opposer à tout moment au traitement pour des raisons liées à sa situation particulière. Nous ne traiterons alors plus les données à caractère personnel, à moins qu’il n’existe des motifs légitimes et impérieux justifiant le traitement qui prévalent sur les intérêts, les droits et les libertés de la personne concernée, ou que le traitement ne serve à faire valoir, exercer ou défendre un droit en justice.

En outre, toute personne concernée a le droit d’introduire une réclamation auprès d’une autorité de contrôle si elle estime que le traitement des données la concernant enfreint les dispositions relatives à la protection des données. Le droit de recours peut notamment être exercé auprès d’une autorité de contrôle dans l’État membre où réside la personne concernée ou dans lequel la violation présumée a eu lieu. L’autorité de contrôle compétente pour SupplyOn est le Bayerisches Landesamt für Datenschutzaufsicht, Promenade 27 (Schloss), 91522 Ansbach, Allemagne.

Pour exercer vos droits en tant que personne concernée, veuillez contacter le responsable du traitement concerné. Nous serons heureux de vous aider ! Vous trouverez les informations nécessaires pour le contacter dans le présent document, à la section « Coordonnées du délégué à la protection des données du responsable du traitement ».

7. Conséquences du refus de fournir des données à caractère personnel

Quelle que soit l’entreprise responsable du traitement de vos données à caractère personnel, les dispositions suivantes s’appliquent :

La divulgation de vos données à caractère personnel n’est requise ni par la loi, ni par contrat, ni nécessaire à la conclusion d’un contrat. En tant qu’utilisateur des services SupplyOn, vous n’êtes pas tenu de fournir vos données à caractère personnel. Le refus de fournir vos données à caractère personnel a pour conséquence que vous ne pouvez pas vous inscrire aux services SupplyOn ni les utiliser.