Politique de confidentialité
1. Introduction
HCPC Brands Europe B.V. (« HCPC Brands », « nous », « notre »), enregistrée aux Pays-Bas, Papaverweg 34, 1032 KJ Amsterdam, respecte votre vie privée et s'engage à protéger les données personnelles que vous nous confiez. La présente Politique explique quelles données personnelles nous collectons, pourquoi, comment nous les utilisons, et quels droits vous avez au titre du Règlement général sur la protection des données (UE) 2016/679 (« RGPD ») et de la loi néerlandaise d'application (UAVG).
2. Responsable du traitement
| Société | HCPC Brands Europe B.V. |
|---|---|
| Adresse | Papaverweg 34, 1032 KJ Amsterdam, Netherlands |
| privacy@hcpcbrands.com |
3. Données collectées
- Nom, poste, employeur, e-mail, téléphone et adresse postale que vous nous communiquez
- Informations soumises via notre formulaire de contact, y compris le portefeuille de produits et les exigences réglementaires
- Données fournies dans le cadre d'un mandat de Personne Responsable, y compris les données de formulation et les Dossiers d'Information Produit (PIF)
- Données figurant dans un signalement de cosmétovigilance ou une réclamation de consommateur, pouvant comporter des données concernant la santé et, si la personne les fournit, ses coordonnées
- Données de site collectées automatiquement : adresse IP, type de navigateur, pages visitées, cookie de préférence linguistique, ainsi que l'adresse IP et les données de navigateur transmises à Google lors du chargement des polices web ou de la carte facultative
4. Finalités et base légale
- Exécution d'un contrat - pour fournir nos services de Personne Responsable, PIF, CPSR, cosmétovigilance, FDS, UFI/PCN, représentation UE et GPSR
- Intérêt légitime - pour répondre aux demandes, entretenir des relations d'affaires et envoyer des informations sur nos services à des contacts professionnels ; vous pouvez vous opposer à ce marketing à tout moment et nous cessons. La prospection électronique n'est envoyée que dans les cas permis par les règles applicables aux communications, avec consentement lorsqu'il est requis ou sur le fondement d'une exception légale valable
- Obligation légale - pour satisfaire aux obligations de notification du Règlement (CE) 1223/2009
- Consentement - pour les cookies non essentiels et le chargement facultatif de la carte ; révocable à tout moment
- Données de santé (article 9 RGPD) - un signalement de cosmétovigilance peut contenir des données concernant la santé, ce qui exige une base au titre de l'article 6 et une condition au titre de l'article 9, paragraphe 2. Ces deux conditions ne sont pas interchangeables. Pour l'obligation légale d'évaluer et de notifier les effets indésirables graves, nous nous appuyons sur l'article 6(1)(c) combiné à l'article 9(2)(i) : traitement nécessaire pour des motifs d'intérêt public dans le domaine de la santé publique, sur la base du droit de l'Union - l'article 23 du Règlement (CE) n° 1223/2009 - avec les garanties exigées par l'article 9(2)(i), à savoir un accès restreint, le secret professionnel, la pseudonymisation dès que l'identification n'est plus nécessaire, et une conservation limitée à la finalité de vigilance. Pour les traitements facultatifs en dehors de nos obligations légales de vigilance, nous recueillons un consentement explicite et éclairé avant de traiter des données de santé identifiables, lorsque le consentement constitue une base appropriée au titre des articles 6 et 9. Recevoir spontanément des informations de santé ne vaut pas consentement : nous le recueillons séparément, pour une finalité définie, et consignons la date de son recueil et les modalités de son retrait. Les données de santé pseudonymisées restent soumises au RGPD, y compris à ses articles 6 et 9. Seules les données véritablement anonymes en sortent. Nous supprimons ou anonymisons les données lorsque leur conservation n'est plus nécessaire ; toute conservation pseudonymisée prolongée suppose une finalité, une base légale et une durée de conservation documentées.
Aperçu par traitement
Le tableau ci-dessous indique, pour chaque catégorie de données personnelles, pourquoi nous la traitons, sur quelle base légale, qui la reçoit, combien de temps nous la conservons et si elle quitte l'Espace économique européen. Lorsqu'une catégorie est traitée à plusieurs fins, chaque finalité a sa propre base et sa propre durée de conservation.
| Catégorie de données | Finalité | Base légale | Destinataires | Conservation | Hors EEE |
|---|---|---|---|---|---|
| Coordonnées des collaborateurs du client (nom, fonction, employeur, e-mail, téléphone) | Fournir les services convenus et communiquer à leur sujet | Exécution d'un contrat (art. 6(1)(b)) lorsque la personne est elle-même partie au contrat ; à défaut, intérêt légitime (art. 6(1)(f)) à l'exécution de la mission avec l'organisation cliente | Nos propres collaborateurs ; nos prestataires informatiques et d'hébergement en qualité de sous-traitants | Pendant la mission, puis uniquement tant que la donnée reste nécessaire ; si une donnée relève de notre comptabilité, la durée indiquée dans la ligne correspondante s'applique | Un transfert hors EEE nécessite un mécanisme applicable du chapitre V du RGPD, tel qu’une décision d’adéquation couvrant le destinataire ou des garanties appropriées au titre de l’article 46. Le mécanisme applicable dépend du destinataire, du pays et du service. |
| Données de demande transmises via le formulaire de contact | Répondre à la demande et, le cas échéant, préparer une mission | Intérêt légitime (art. 6(1)(f)) ; mesures précontractuelles (art. 6(1)(b)) uniquement à l'égard de la personne qui serait elle-même partie au contrat | Nos propres collaborateurs ; nos prestataires informatiques et d'hébergement en qualité de sous-traitants | Deux ans après le dernier contact, sauf si une relation contractuelle suit | Non |
| Données du dossier cosmétique (formulations, PIF, rapport de sécurité, notification CPNP) | Constituer et tenir le dossier et notifier le produit | Article 6(1)(c) du RGPD lorsqu’une obligation légale incombe à HCPC dans le rôle concerné ; article 6(1)(b) uniquement lorsque le traitement est nécessaire à un contrat avec la personne concernée ; à défaut, article 6(1)(f) lorsque l’intérêt légitime à l’exécution de la mission le justifie. | Autorités compétentes ; l'évaluateur de la sécurité mandaté pour le CPSR ; le portail CPNP | Dix ans à compter de la date de mise sur le marché du dernier lot (art. 11 du Règlement (CE) n° 1223/2009) | Non |
| Données des dossiers chimiques (fiches de données de sécurité, notifications C&L et PCN) | Établir la documentation et effectuer les notifications requises | Article 6(1)(c) du RGPD lorsqu’une obligation légale incombe à HCPC dans le rôle concerné ; article 6(1)(b) uniquement lorsque le traitement est nécessaire à un contrat avec la personne concernée ; à défaut, article 6(1)(f) lorsque l’intérêt légitime à l’exécution de la mission le justifie. | Autorités compétentes et centres antipoison ; portails ECHA lorsque requis | En vertu de l’article 36 de REACH, la personne soumise à l’obligation doit conserver les informations nécessaires au respect de ses obligations REACH pendant au moins dix ans après avoir fabriqué, importé, fourni ou utilisé pour la dernière fois la substance ou le mélange, selon l’activité concernée. Cela ne fixe pas automatiquement la durée de conservation de chaque donnée personnelle ou document PCN. | Non |
| Signalements de cosmétovigilance, y compris données concernant la santé | Évaluer, notifier et suivre les effets indésirables | Obligation légale (art. 6(1)(c)) avec l'art. 9(2)(i) ; consentement explicite (art. 6(1)(a) avec l'art. 9(2)(a)) pour les traitements facultatifs allant au-delà de cette obligation | Autorités compétentes ; l'évaluateur de la sécurité lorsque l'évaluation l'exige ; le client dont le produit est concerné | Uniquement le temps nécessaire au traitement du cas ; la trace réglementaire reste au dossier pour la durée indiquée dans la ligne relative aux données du dossier cosmétique | Un transfert hors EEE nécessite un mécanisme applicable du chapitre V du RGPD, tel qu’une décision d’adéquation couvrant le destinataire ou des garanties appropriées au titre de l’article 46. Le mécanisme applicable dépend du destinataire, du pays et du service. |
| Données de facturation et de contrat | Administrer la mission et satisfaire à nos obligations comptables | Article 6(1)(c) du RGPD lorsqu’une obligation légale incombe à HCPC dans le rôle concerné ; article 6(1)(b) uniquement lorsque le traitement est nécessaire à un contrat avec la personne concernée ; à défaut, article 6(1)(f) lorsque l’intérêt légitime à l’exécution de la mission le justifie. | Notre comptable et l'administration fiscale lorsque requis | Sept ans, durée légale de conservation des documents d'entreprise aux Pays-Bas | Non |
| Journaux serveur, y compris l'adresse IP | Maintenir le site disponible et sécurisé | Intérêt légitime (art. 6(1)(f)) à la sécurité et à la disponibilité du site | Notre hébergeur en qualité de sous-traitant | Conservés le temps nécessaire pour détecter et instruire les incidents, et en tout état de cause au plus douze mois ; la durée exacte suit le paramétrage de la plateforme d'hébergement et nous la confirmons sur demande | Non |
| Cookie de préférence linguistique | Afficher le site dans la langue choisie | Strictement nécessaire à un service demandé ; aucun consentement requis | Notre propre site ; la valeur du cookie est transmise à notre serveur à chaque requête afin de servir la bonne version linguistique | Un an à compter de son dépôt, sauf effacement de votre part ; l'échéance exacte est visible dans votre navigateur | Non |
| Adresse IP et données de navigateur transmises lors du chargement des polices web | Afficher la typographie du site | Intérêt légitime (art. 6(1)(f)) à une présentation cohérente. La typographie est chargée depuis Google Fonts, ce qui transmet votre adresse IP à Google ; servir les mêmes polices depuis nos propres serveurs est l'alternative moins intrusive et fait l'objet d'un examen. Le résultat de cet examen est mis à disposition sur demande | Google Ireland Limited, fournisseur de Google Fonts | Non conservées par nous ; la conservation éventuelle relève de la politique de Google | Un transfert hors EEE nécessite un mécanisme applicable du chapitre V du RGPD, tel qu’une décision d’adéquation couvrant le destinataire ou des garanties appropriées au titre de l’article 46. Le mécanisme applicable dépend du destinataire, du pays et du service. |
| Adresse IP et données de navigateur transmises lorsque vous chargez la carte facultative | Montrer notre localisation après votre choix de charger la carte | Consentement (art. 6(1)(a)) ; rien n'est transmis avant votre choix | Google Ireland Limited, fournisseur de Google Maps | Non conservées par nous ; la conservation éventuelle relève de la politique de Google | Un transfert hors EEE nécessite un mécanisme applicable du chapitre V du RGPD, tel qu’une décision d’adéquation couvrant le destinataire ou des garanties appropriées au titre de l’article 46. Le mécanisme applicable dépend du destinataire, du pays et du service. |
| Coordonnées professionnelles utilisées à des fins de marketing | Envoyer des informations sur nos services à des contacts professionnels | Intérêt légitime (art. 6(1)(f)) au marketing direct auprès de contacts professionnels ; vous pouvez vous y opposer à tout moment et nous cessons. La prospection électronique n'est envoyée que dans les cas permis par les règles applicables aux communications | Nos propres collaborateurs ; nos prestataires informatiques et d'hébergement en qualité de sous-traitants | Jusqu'à votre opposition et, en tout état de cause, au plus deux ans après le dernier contact | Non |
Lorsque nous recevons des données personnelles de manière indirecte - par exemple les coordonnées des collaborateurs d'un client, ou celles d'un consommateur ayant signalé un effet indésirable - nous fournissons les informations exigées par l'article 14 du RGPD dans les délais applicables, sauf exception documentée. Nous indiquons la source des données et les catégories concernées. Un client peut remettre notre notice en notre nom, ce qui ne supprime pas notre propre responsabilité. Lorsque nous invoquons l'exception de l'article 14, paragraphe 5, point a), nous vérifions que la personne dispose déjà de l'information requise. Le retrait du consentement ne remet pas en cause la licéité du traitement effectué avant ce retrait.
5. Conservation des données
Le dossier réglementaire (PIF, y compris le rapport de sécurité et le relevé des effets indésirables) est tenu accessible pendant dix ans à compter de la date à laquelle le dernier lot du produit cosmétique a été mis sur le marché de l'UE, conformément à l'article 11 du Règlement (CE) 1223/2009. Cette obligation porte sur le dossier réglementaire lui-même ; elle ne constitue pas une base automatique pour conserver aussi longtemps chaque réclamation ou donnée de santé identifiable. Les données de réclamation et de santé identifiables sont donc conservées séparément, uniquement le temps nécessaire à l'évaluation, à la notification et au suivi du cas, puis supprimées ou anonymisées, le dossier réglementaire conservant l'information sous la forme exigée par le Règlement. Les données pseudonymisées restent des données personnelles : toute conservation pseudonymisée au-delà de ce point suppose sa propre finalité, base légale et durée documentées. Les données de demande générale sont conservées jusqu'à 2 ans, sauf si une relation contractuelle est établie.
6. Partage des données
Nous ne vendons pas de données personnelles. Nous pouvons les partager avec les autorités compétentes (pour la cosmétovigilance et les déclarations réglementaires), l'évaluateur de la sécurité qualifié mandaté pour un CPSR, les prestataires informatiques et d'hébergement liés par un accord de sous-traitance, et les conseillers professionnels lorsque cela est nécessaire. Le chargement de nos polices web, et de la carte si vous choisissez de la charger, transmet votre adresse IP et vos données de navigateur à Google Ireland Limited. Cette connexion seule ne dépose aucun cookie ; la carte, une fois chargée, peut déposer ses propres cookies et stockages. Lorsque Google Ireland Limited transfère ensuite des données à Google LLC aux États-Unis, Google indique s'appuyer sur le cadre de protection des données UE-États-Unis et sur des clauses contractuelles types ; il s'agit de la voie déclarée par Google ; pour notre propre traitement, nous déterminons la voie du chapitre V applicable avant de nous en prévaloir. Hormis un client établi hors de l'EEE, à qui nous pouvons transmettre des informations de dossier sous clauses contractuelles types, nous n'effectuons aucun transfert hors EEE.
7. Vos droits selon le RGPD
- Droit d'accès, de rectification, d'effacement, de limitation, de portabilité et d'opposition
- Droit de retirer son consentement à tout moment
- Droit de déposer une plainte auprès de l'autorité néerlandaise de protection des données (Autoriteit Persoonsgegevens)
Pour exercer l'un de ces droits, contactez-nous à privacy@hcpcbrands.com. Nous répondons dans un délai d'un mois, comme l'exige le RGPD.
8. Sécurité & cookies
Nous protégeons vos données par des mesures techniques et organisationnelles appropriées. Sur une page standard, nous déposons un cookie strictement fonctionnel mémorisant la langue choisie et nous chargeons des polices web depuis Google Fonts ; nous ne déposons nous-mêmes aucun cookie de suivi, publicitaire ou analytique. La carte facultative n'est chargée que si vous le choisissez, Google pouvant alors déposer ses propres cookies. Voir notre Politique de cookies pour l'aperçu complet et pour revenir sur ce choix.
9. Contact
| Contact protection des données | privacy@hcpcbrands.com |
|---|---|
| Adresse postale | HCPC Brands Europe B.V., Papaverweg 34, 1032 KJ Amsterdam, Netherlands |
Cette politique de confidentialité peut être mise à jour périodiquement. La date indiquée ci-dessus correspond à la dernière révision.