Politique de protection des données

Version 1.1

Date : 01/03/2026 
Document : Politique de protection des données (Data Protection Policy)

Objectif et champ d’application

Gehri Rivestimenti SA, ci-après dénommée l’« Organisation », s’engage à respecter les lois et règlements applicables relatifs à la protection des données personnelles dans les pays où elle exerce ses activités, en l’espèce la nLPD suisse.

La présente politique définit les principes fondamentaux selon lesquels l’Organisation traite les données personnelles des clients, fournisseurs, partenaires commerciaux, employés et autres personnes, et précise les responsabilités de ses services et de ses collaborateurs dans le traitement des données personnelles.

Les principes de la nLPD

Les principes de protection des données définissent les responsabilités de base (accountability) des organisations qui traitent des données personnelles. « Le responsable du traitement est compétent pour le respect de ces principes et doit être en mesure de démontrer la conformité de ses traitements à ces principes. »

Licéité, loyauté et transparence

Les données personnelles doivent être traitées de manière licite, loyale et transparente à l’égard de la personne concernée.

Limitation de la finalité

Les données personnelles doivent être collectées pour des finalités déterminées, explicites et légitimes et ne pas être traitées ultérieurement d’une manière incompatible avec ces finalités.

Minimisation des données

Les données personnelles doivent être adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités pour lesquelles elles sont traitées. Si possible, afin de réduire les risques pour les personnes concernées, l’Organisation doit appliquer l’anonymisation ou la pseudonymisation aux données personnelles.

Exactitude

Les données personnelles doivent être exactes et, si nécessaire, tenues à jour ; des mesures raisonnables doivent être prises pour garantir que les données personnelles inexactes, au regard des finalités pour lesquelles elles sont traitées, soient effacées ou rectifiées sans délai.

Limitation de la durée de conservation

Les données personnelles doivent être conservées pendant une durée n’excédant pas celle nécessaire aux finalités pour lesquelles elles sont traitées.

Intégrité et confidentialité

Compte tenu de l’état de la technologie et des autres mesures de sécurité disponibles, des coûts de mise en œuvre ainsi que de la probabilité et de la gravité des risques pour les données personnelles, l’Organisation doit utiliser des mesures techniques ou organisationnelles appropriées afin de traiter les données personnelles de manière à garantir un niveau de sécurité adéquat, y compris la protection, au moyen de mesures techniques et organisationnelles appropriées, contre tout traitement non autorisé ou illicite ainsi que contre la perte, la destruction ou les dommages accidentels.

Responsabilité

Le responsable du traitement est compétent pour le respect de ces principes et doit être en mesure de démontrer la conformité de ses traitements à ces principes.

Collecte

L’Organisation doit s’efforcer de collecter le moins de données personnelles possible. Si les données personnelles sont collectées auprès d’un tiers, le Responsable doit s’assurer qu’elles ont été collectées conformément aux dispositions légales.

Utilisation, conservation et élimination

L’Organisation doit préserver l’exactitude, l’intégrité, la confidentialité et la pertinence des données personnelles en fonction de la finalité du traitement. Des mécanismes de sécurité appropriés doivent être utilisés afin de protéger les données personnelles, d’empêcher leur vol ou leur utilisation abusive et de prévenir les violations de données personnelles. Le Responsable est chargé de veiller au respect des exigences énumérées dans la présente section.

Communication à des tiers

Chaque fois que l’Organisation fait appel à un prestataire tiers ou à un partenaire commercial pour traiter des données personnelles en son nom, le Responsable doit s’assurer que ce tiers fournit des mesures de sécurité adéquates pour protéger les données personnelles au regard des risques associés. À cette fin, il convient d’utiliser un questionnaire de conformité spécifique.

Le prestataire ou le partenaire commercial ne doit traiter les données personnelles que pour exécuter ses obligations contractuelles envers l’Organisation ou sur instruction de celle-ci, et non à d’autres fins. Lorsque l’Organisation traite conjointement des données personnelles avec un tiers indépendant, elle doit préciser explicitement les responsabilités respectives dans le contrat concerné ou dans tout autre document juridiquement contraignant, tel que le contrat de traitement des données du fournisseur.

Transfert transfrontalier de données personnelles

Avant tout transfert de données personnelles depuis la Confédération suisse et l’Espace économique européen (EEE), des garanties appropriées doivent être mises en place, y compris la signature d’un accord sur le transfert des données, comme l’exige l’Union européenne, et, si nécessaire, l’autorisation de l’autorité de protection des données doit être obtenue. L’entité qui reçoit les données personnelles doit respecter les principes de traitement des données personnelles définis dans la procédure de transfert transfrontalier des données.

Droits d’accès des personnes concernées

Lorsqu’elle agit en qualité de responsable du traitement, l’Organisation est tenue de fournir aux personnes concernées un mécanisme d’accès raisonnable leur permettant d’accéder à leurs données personnelles et doit leur permettre de mettre à jour, corriger, supprimer ou transmettre leurs données personnelles, le cas échéant ou lorsque la loi l’exige. Le mécanisme d’accès sera précisé davantage dans la procédure de demande d’accès aux données de la personne concernée.

Portabilité des données

Les personnes concernées ont le droit de recevoir, sur demande, une copie des données qu’elles ont fournies, dans un format structuré, et de transmettre gratuitement ces données à un autre responsable du traitement. Le Responsable est chargé de garantir que ces demandes soient traitées dans un délai d’un mois, qu’elles ne soient pas excessives et qu’elles ne portent pas atteinte aux droits relatifs aux données personnelles d’autres personnes.

Droit à l’oubli

Sur demande, la personne concernée a le droit d’obtenir de l’Organisation l’effacement de ses données personnelles. Lorsque l’Organisation agit en qualité de responsable du traitement, le Responsable doit prendre les mesures nécessaires, y compris des mesures techniques, pour informer les tiers qui utilisent ou traitent ces données de se conformer à la demande.

Organisation et responsabilité

La responsabilité de garantir un traitement adéquat des données personnelles incombe à toute personne travaillant au sein de l’Organisation ou pour son compte et ayant accès aux données personnelles qu’elle traite.

Le Conseil d’administration prend les décisions et approuve les stratégies générales de l’Organisation en matière de protection des données personnelles.

Date de la dernière mise à jour : 01/03/2026

__INDEXER__