Politique de traitement des données personnelles

Champ et application

La présente politique explique comment ESG360 (« ESG360 », « nous ») traite les données personnelles dans le cadre de ses services de conseil ESG, d’évaluation, de publication d’informations de durabilité, de climat, de chaîne d’approvisionnement, de finance durable, de formation et de suivi numérique, de ses relations d’affaires et de son site web. ESG360 est établie à Istanbul (Türkiye) et est une filiale de Global Alliance Register (« GAR »).

Elle s’applique aux données personnelles des clients actuels et potentiels et de leur personnel, des personnes dont les informations figurent dans les documents que nous examinons pour le compte d’un client (par exemple salariés, fournisseurs, prestataires, membres du conseil d’administration et participants à un projet), des participants à nos formations, des partenaires, des fournisseurs, des candidats à un emploi, des visiteurs du site et des autres contacts professionnels. Des notices distinctes peuvent s’appliquer à certains projets, entités ou juridictions.

Rôles et responsabilités

Selon les situations, ESG360 agit en qualité de responsable du traitement (nous déterminons les finalités et les moyens du traitement, par exemple pour nos propres relations clients, la facturation, la qualité et le site web) ou de sous-traitant (nous traitons des données personnelles sur instruction d’un client dans le cadre d’une mission, par exemple lorsque nous examinons les registres du personnel, des fournisseurs ou des sites d’un client).

Lorsqu’une mission fait intervenir des partenaires accrédités ou habilités, par exemple pour une vérification indépendante ou une mission d’assurance, chaque partenaire est responsable de ses propres traitements et des jugements indépendants qu’il porte. ESG360 ne certifie pas, n’accrédite pas et ne fournit pas elle-même d’assurance.

Données personnelles que nous traitons

• Données d’identification et de contact : nom, intitulé de poste, employeur, adresse électronique, numéro de téléphone, adresse postale.
• Données professionnelles : fonction, qualifications, présence aux formations, responsabilités pertinentes pour une mission.
• Données relatives aux missions : demandes de renseignements, demandes d’informations et leur référence de suivi, propositions, contrats, correspondance, livrables, comptes rendus de réunion.
• Données de projet fournies par le client : registres relatifs au personnel, à la santé et à la sécurité, aux fournisseurs, à la gouvernance, aux émissions et à l’exploitation, susceptibles d’identifier des personnes, qui nous sont transmis à des fins d’évaluation, de diligence raisonnable ou de publication d’informations de durabilité.
• Données financières : coordonnées de facturation, références de paiement et documents fiscaux.
• Données techniques : adresse IP, informations sur le navigateur et l’appareil, journaux de sécurité et données d’utilisation du site.
• Communications : courriels, messages, réclamations et retours d’expérience.

Origine des données

Directement auprès de vous (formulaires, courriel, appels, réunions) ; auprès de votre employeur ou de l’organisation pour laquelle nous travaillons ; auprès de fournisseurs, de sous-traitants et de partenaires ; auprès de GAR et des sociétés du groupe ; auprès d’autorités de régulation et de sources professionnelles ou d’entreprise accessibles au public ; et automatiquement par l’intermédiaire de notre site web et de nos systèmes d’information.

Finalités du traitement

• Répondre aux demandes de renseignements et d’informations, et émettre des références de suivi et des confirmations.
• Préparer des propositions et fournir nos services de stratégie ESG, d’évaluation, de diligence raisonnable, de publication d’informations de durabilité, de climat, de chaîne d’approvisionnement, de finance durable, de formation et de suivi numérique.
• Gérer les contrats, la facturation et les relations avec les fournisseurs et les partenaires.
• Coordonner nos actions avec les partenaires accrédités et habilités lorsqu’une vérification indépendante, une certification ou une mission d’assurance est nécessaire.
• Assurer le contrôle qualité, la tenue des registres, la gestion des risques, la sécurité et la prévention de la fraude.
• Respecter nos obligations légales, fiscales, réglementaires et professionnelles, et constater, exercer ou défendre des droits en justice.
• Vous envoyer des informations relatives au service et, lorsque cela est permis, les lettres d’information et les informations sur les événements que vous avez demandées.

Bases juridiques

Selon le contexte, nous nous fondons sur : l’exécution d’un contrat ou de mesures précontractuelles prises à votre demande ; le respect d’une obligation légale ; nos intérêts légitimes à gérer et protéger notre activité, sous réserve que vos droits ne prévalent pas ; la constatation, l’exercice ou la défense d’un droit ; et votre consentement explicite lorsque la loi l’exige (par exemple pour certains cookies ou pour les messages de prospection). Lorsque nous traitons des données en application de la loi turque n° 6698 relative à la protection des données personnelles (« KVKK »), nous nous fondons sur les conditions de traitement prévues par ses articles 5 et 6. Lorsque le droit de l’Union européenne ou du Royaume-Uni en matière de protection des données s’applique, nous nous fondons sur l’article 6 (et, le cas échéant, l’article 9) du RGPD ou de son équivalent britannique. Vous pouvez retirer votre consentement à tout moment, pour l’avenir.

Dossiers de projet et dossiers clients

Les documents que nous recevons d’un client peuvent contenir des données personnelles de son personnel, de ses fournisseurs ou de ses parties prenantes. Nous ne les utilisons que pour la mission convenue, en limitons l’accès aux personnes qui en ont besoin, demandons aux clients de ne communiquer que le strict nécessaire et, lorsque c’est possible, de les anonymiser ou de les agréger. Les éléments probants, les dossiers de travail et les livrables peuvent être conservés afin de démontrer comment les conclusions ont été établies, de satisfaire à des exigences professionnelles, ou parce qu’un client ou un partenaire doit pouvoir s’y référer.

Catégories particulières de données

Nous ne recherchons pas de catégories particulières de données personnelles (telles que les données de santé, l’appartenance syndicale ou les données biométriques), sauf si une mission l’exige réellement, par exemple les registres d’incidents de santé et de sécurité lors de l’évaluation d’un site. Lorsque de telles données sont traitées, nous appliquons des garanties supplémentaires et ne les traitons que sur une base licite.

Partage et communication des données

• Le personnel habilité d’ESG360 et les sociétés du groupe GAR, selon le principe du besoin d’en connaître.
• Les partenaires accrédités et habilités, auditeurs, vérificateurs et consultants qui travaillent avec nous sur une mission.
• Les prestataires de services : hébergement, messagerie et communications, sécurité, envoi de la lettre d’information, comptabilité, conseils juridiques et professionnels.
• Les autorités publiques, autorités de régulation et juridictions lorsque la loi l’exige ou pour protéger des droits.
• Un acquéreur ou un successeur dans le cadre d’une réorganisation de l’entreprise, sous engagement de confidentialité.

Les destinataires ne reçoivent que les informations nécessaires à leur rôle et sont tenus par des obligations de confidentialité, contractuelles ou légales. Nous ne vendons pas de données personnelles.

Transferts internationaux

ESG360 est établie en Türkiye, et notre groupe, nos partenaires et nos prestataires exercent leur activité dans d’autres pays. Lorsque des données personnelles sont transférées à l’étranger, nous le faisons conformément aux exigences de la KVKK (notamment son article 9) et, le cas échéant, du RGPD, en recourant aux garanties reconnues par la loi, telles que les décisions d’adéquation, les clauses contractuelles types, les engagements ou votre consentement explicite lorsqu’il est requis et valable.

Conservation et destruction

Nous ne conservons les données personnelles que le temps raisonnablement nécessaire aux finalités ci-dessus et selon ce que la loi impose. Les facteurs habituels sont la durée de la mission et les délais de prescription correspondants, les obligations fiscales et comptables, les besoins de conservation des dossiers à des fins professionnelles et les actions en justice. Les demandes de renseignements et d’informations sont conservées pendant une durée limitée après le dernier contact, sauf si une relation d’affaires s’ensuit. Lorsque les données ne sont plus nécessaires, elles sont effacées, détruites ou anonymisées.

Sécurité et confidentialité

Nous appliquons des mesures techniques et organisationnelles adaptées au risque, notamment un contrôle d’accès fondé sur les rôles, l’authentification, le chiffrement en transit lorsqu’il est disponible, des sauvegardes, une surveillance et des engagements de confidentialité pour le personnel et les prestataires. Aucun système n’étant totalement sûr, nous réexaminons périodiquement nos mesures et demandons aux clients d’éviter de nous transmettre des données personnelles inutiles.

Vos droits

En vertu de l’article 11 de la KVKK et, le cas échéant, du RGPD, vous pouvez nous demander si nous traitons vos données personnelles et obtenir des informations à ce sujet ; connaître les finalités du traitement et si elles sont respectées ; connaître les destinataires en Türkiye ou à l’étranger ; obtenir la rectification des données incomplètes ou inexactes ; obtenir leur effacement ou leur destruction ; demander que ces opérations soient notifiées aux destinataires ; vous opposer à un résultat défavorable produit exclusivement par une analyse automatisée ; obtenir réparation du préjudice causé par un traitement illicite ; et, au titre du RGPD, demander la limitation du traitement, la portabilité et vous opposer au traitement. Vous pouvez retirer votre consentement à tout moment.

Pour exercer un droit, contactez-nous selon les modalités indiquées ci-dessous. Nous pouvons être amenés à vérifier votre identité et répondrons dans les délais fixés par la loi (au titre de la KVKK, dans les meilleurs délais et au plus tard dans un délai de trente jours). Les droits peuvent être limités lorsque nous sommes tenus par la loi de conserver des documents ou pour défendre des droits en justice.

Site web, cookies et communications électroniques

Lorsque vous utilisez notre site web, nous traitons des données techniques afin de l’exploiter et de le sécuriser. Les cookies facultatifs et technologies similaires ne sont utilisés qu’avec votre consentement, que vous pouvez gérer via les Préférences en matière de cookies accessibles en pied de page. Consultez notre Politique relative aux cookies et notre Politique de confidentialité du site. Vous pouvez vous désabonner des lettres d’information à tout moment.

Mineurs

Nos services s’adressent à des organisations et à des professionnels adultes. Nous ne collectons pas sciemment de données personnelles de mineurs dans le cadre de nos services généraux.

Outils automatisés et intelligence artificielle

Nous pouvons recourir à des outils automatisés et assistés par l’intelligence artificielle pour des tâches administratives, analytiques ou de rédaction. Ils viennent à l’appui du jugement professionnel de nos équipes, sans le remplacer, et nous ne prenons pas de décisions produisant des effets juridiques ou des effets significatifs similaires à l’égard des personnes sur le seul fondement d’un traitement automatisé.

Réclamations et autorités de contrôle

Nous vous invitons à nous faire part de vos préoccupations en premier lieu. Vous avez également le droit d’introduire une réclamation auprès de l’Autorité turque de protection des données personnelles (Kişisel Verileri Koruma Kurulu, KVKK) ou, lorsque le RGPD s’applique, auprès de l’autorité de contrôle de votre pays de résidence, de votre lieu de travail ou du lieu de la violation alléguée.

Mises à jour et contact

Nous pouvons modifier la présente politique ; la date indiquée en haut de page correspond à la version en vigueur. Documents connexes : Politique de confidentialité du site, Politique relative aux cookies, Conditions générales.

GAR GÖZETİM MÜH. BAĞ. DEN. BEL. MÜŞ. VE EĞT. LTD. ŞTİ. (ESG360)
19 Mayıs Mahallesi, S. Ercan Caddesi, Paşa Korusu No: 18, Appartement 6, Kazasker, Kadıköy, İstanbul, Türkiye
Téléphone : +90 (216) 599 0127
Confidentialité et demandes relatives aux données : privacy@esg360.com.tr
Numéro d’identification fiscale : 3890699972, Centre des impôts d’Erenköy, Istanbul, Türkiye
Demandes d’information et demandes relatives aux données : via notre page de contact ou le formulaire de demande d’informations, avec la mention « Demande relative aux données » le cas échéant.