Dans ses opérations commerciales quotidiennes, Online Integrated Solutions (OIS) utilise diverses données sur des personnes identifiables, notamment des données sur :

• Employés actuels, passés et potentiels
• Clients
• Utilisateurs de ses sites Internet
• Les abonnés
• Autres parties prenantes

Lors de la collecte et de l'utilisation de ces données, l'organisation est soumise à diverses lois contrôlant la manière dont ces activités peuvent être menées et les garanties qui doivent être mises en place pour les protéger.

L’objectif de cette politique est d’exposer la législation pertinente et de décrire les mesures prises par l’OIS pour s’assurer de s’y conformer.

Ce contrôle s'applique à tous les systèmes, personnes et processus qui constituent les systèmes d'information de l'organisation, y compris les membres du conseil d'administration, les directeurs, les employés, les fournisseurs et autres tiers qui ont accès aux systèmes OIS.

Les politiques et procédures suivantes sont pertinentes pour ce document :

• Processus d’évaluation d’impact sur la protection des données
• Procédure d'analyse des données personnelles
• Procédure d’évaluation de l’intérêt légitime
• Procédure de réponse aux incidents de sécurité de l’information
• Rôles et responsabilités du RGPD
• Autres parties prenantes

Lorsque cela convenait à la classification des informations et au support de stockage, des techniques cryptographiques ont été utilisées pour garantir la confidentialité et l'intégrité des enregistrements.

Un soin absolu a été pris pour garantir que les clés de chiffrement utilisées pour chiffrer les enregistrements sont stockées en toute sécurité pendant toute la durée de vie des enregistrements concernés et sont conformes à la politique de cryptographie de l'organisation.

Le Règlement général sur la protection des données 2016 (RGPD) est l'un des textes législatifs les plus importants affectant la manière dont OIS exerce ses activités de traitement de l'information. Des amendes importantes sont applicables si une violation est réputée avoir eu lieu au titre du RGPD, conçu pour protéger les données personnelles des citoyens de l'Union européenne. La politique d'OIS est de garantir que notre conformité au RGPD et aux autres législations pertinentes est claire et démontrable à tout moment.

Il existe au total 26 définitions répertoriées dans le RGPD et il n’est pas approprié de toutes les reproduire ici. Cependant, les définitions les plus fondamentales concernant cette politique sont les suivantes :

Les données personnelles sont définies comme :

toute information relative à une personne physique identifiée ou identifiable (« personne concernée ») ; une personne physique identifiable est une personne qui peut être identifiée, directement ou indirectement, notamment par référence à un identifiant tel qu'un nom, un numéro d'identification, des données de localisation, un identifiant en ligne ou à un ou plusieurs éléments propres à l'état physique, physiologique, l'identité génétique, mentale, économique, culturelle ou sociale de cette personne physique ;

« traitement » signifie

toute opération ou ensemble d'opérations effectuées sur des données personnelles ou sur des ensembles de données personnelles, que ce soit par des moyens automatisés ou non, telles que la collecte, l'enregistrement, l'organisation, la structuration, le stockage, l'adaptation ou la modification, la récupération, la consultation, l'utilisation, la divulgation par transmission, diffusion ou autre mise à disposition, alignement ou combinaison, restriction, effacement ou destruction ;

'contrôleur' signifie

la personne physique ou morale, l'autorité publique, l'agence ou tout autre organisme qui, seul ou conjointement avec d'autres, détermine les finalités et les moyens du traitement des données à caractère personnel ; lorsque les finalités et les moyens d'un tel traitement sont déterminés par le droit de l'Union ou d'un État membre, le responsable du traitement ou les critères spécifiques pour sa nomination peuvent être prévus par le droit de l'Union ou d'un État membre ;

Le RGPD repose sur un certain nombre de principes fondamentaux.
Ceux-ci sont les suivants :

1. Les données personnelles seront :

(a) traité de manière licite, loyale et transparente par rapport à la personne concernée (« licéité, loyauté et transparence » );

(b) collectés à des fins spécifiées, explicites et légitimes et non traités ultérieurement d'une manière incompatible avec ces finalités ; le traitement ultérieur à des fins d'archivage dans l'intérêt public, de recherche scientifique ou historique ou à des fins statistiques, conformément à l'article 89, paragraphe 1, n'est pas considéré comme incompatible avec les finalités initiales (« limitation des finalités ») ;

(c) adéquats, pertinents et limités à ce qui est nécessaire au regard des finalités pour lesquelles ils sont traités (« minimisation des données ») ;

d) exactes et, si nécessaire, tenues à jour ; toutes les mesures raisonnables doivent être prises pour garantir que les données personnelles inexactes, au regard des finalités pour lesquelles elles sont traitées, soient effacées ou rectifiées sans délai (« exactitude ») ;

(e) conservées sous une forme permettant l'identification des personnes concernées pendant une durée n'excédant pas celle nécessaire aux finalités pour lesquelles les données personnelles sont traitées ; les données à caractère personnel peuvent être conservées pendant des périodes plus longues dans la mesure où elles sont traitées uniquement à des fins d'archivage dans l'intérêt public, à des fins de recherche scientifique ou historique ou à des fins statistiques conformément à l'article 89, paragraphe 1, sous réserve de la mise en œuvre des mesures techniques et organisationnelles appropriées. les mesures requises par le présent règlement afin de sauvegarder les droits et libertés de la personne concernée (« limitation de la conservation » );

(f) traitées de manière à garantir une sécurité appropriée des données personnelles, y compris la protection contre le traitement non autorisé ou illégal et contre la perte, la destruction ou les dommages accidentels, en utilisant des mesures techniques ou organisationnelles appropriées (« intégrité et confidentialité »).

(f) traitées de manière à garantir une sécurité appropriée des données personnelles, y compris la protection contre le traitement non autorisé ou illégal et contre la perte, la destruction ou les dommages accidentels, en utilisant des mesures techniques ou organisationnelles appropriées (« intégrité et confidentialité »).

OIS veillera à respecter l'ensemble de ces principes tant dans les traitements qu'il réalise actuellement que dans le cadre de la mise en place de nouveaux modes de traitement tels que de nouveaux systèmes informatiques.

La personne concernée dispose également de droits en vertu du RGPD. Ceux-ci consistent en :

Le droit d'être informé
Le droit d'accès
Le droit de rectification
Le droit à l'effacement
Le droit à la limitation du traitement
Le droit à la portabilité des données
Le droit d'opposition
br>Droits relatifs à la prise de décision automatisée et au profilage

Chacun de ces droits est soutenu par des procédures appropriées au sein de l'OIS qui permettent de prendre les mesures requises dans les délais indiqués dans le RGPD.

Ces délais sont présentés dans le tableau 1.

Demande de la personne concernée	Échelle de temps
Le droit d'être informé	Lorsque les données sont collectées (si fournies par la personne concernée) ou dans un délai d'un mois (si elles ne sont pas fournies par la personne concernée)
Le droit d'accès	Un mois
Le droit de rectification	Un mois
Le droit à l'effacement	Sans retard injustifié
Le droit de restreindre le traitement	Sans retard injustifié
Le droit à la portabilité des données	Un mois
Le droit d'opposition	Dès réception de l'objection

Tableau 1 – Délais pour les demandes des personnes concernées

Il existe six manières alternatives d'établir la licéité d'un cas spécifique de traitement de données personnelles dans le cadre du RGPD. La politique de l'OIS est d'identifier la base appropriée du traitement et de la documenter, conformément au règlement. Les options sont décrites brièvement dans les sections suivantes.

Sauf si cela est nécessaire pour une raison autorisée par le RGPD, OIS obtiendra toujours le consentement explicite d'une personne concernée pour collecter et traiter ses données. Dans le cas d'enfants de moins de 16 ans (un âge inférieur peut être autorisé dans certains États membres de l'UE), le consentement parental sera obtenu. Des informations transparentes sur notre utilisation de leurs données personnelles seront fournies aux personnes concernées au moment où le consentement est obtenu et leurs droits concernant leurs données expliqués, comme le droit de retirer leur consentement. Ces informations seront fournies sous une forme accessible, rédigées dans un langage clair et gratuitement. Si les données personnelles ne sont pas obtenues directement auprès de la personne concernée, ces informations seront fournies à la personne concernée dans un délai raisonnable après l'obtention des données et définitivement dans un délai d'un mois.

Lorsque les données personnelles collectées et traitées sont nécessaires à l'exécution d'un contrat avec la personne concernée, le consentement explicite n'est pas requis. Ce sera souvent le cas lorsque le contrat ne peut être exécuté sans les données personnelles en question, par ex. une livraison ne peut être effectuée sans adresse de livraison.

Si la collecte et le traitement des données personnelles sont nécessaires pour respecter la loi, un consentement explicite n'est pas requis. Cela peut être le cas pour certaines données liées à l'emploi et à la fiscalité par exemple, ainsi que pour de nombreux domaines abordés par le secteur public.

Dans le cas où les données personnelles sont nécessaires à la protection des intérêts vitaux de la personne concernée ou d'une autre personne physique, elles peuvent alors être utilisées comme base licite du traitement. OIS conservera des preuves raisonnables et documentées attestant que tel est le cas, chaque fois que cette raison est utilisée comme base légale du traitement des données personnelles. À titre d'exemple, cela peut être utilisé dans certains aspects de la protection sociale, en particulier dans le secteur public.

Lorsque l'OIS doit effectuer une tâche qu'il estime être dans l'intérêt public ou dans le cadre d'une mission officielle, le consentement de la personne concernée ne sera pas demandé. L’évaluation de l’intérêt public ou de la fonction officielle sera documentée et mise à disposition comme preuve si nécessaire.

Si le traitement de données personnelles spécifiques est dans l'intérêt légitime d'OIS et est jugé ne pas affecter de manière significative les droits et libertés de la personne concernée, cela peut alors être défini comme la raison légitime du traitement. Encore une fois, le raisonnement derrière ce point de vue sera documenté.

OIS a adopté le principe de confidentialité dès la conception et veillera à ce que la définition et la planification de tous les systèmes nouveaux ou considérablement modifiés qui collectent ou traitent des données personnelles soient soumises à une prise en compte appropriée des questions de confidentialité, y compris la réalisation d'un ou plusieurs impacts sur la protection des données. évaluations.

L’analyse d’impact sur la protection des données comprendra :

Examen de la manière dont les données personnelles seront traitées et à quelles fins
Évaluation de la question de savoir si le traitement proposé des données personnelles est à la fois nécessaire et proportionné à la ou aux finalités

Évaluation des risques pour les individus lors du traitement des données personnelles
Quels contrôles sont nécessaires pour répondre aux risques identifiés et démontrer le respect de la législation
L'utilisation de techniques telles que la minimisation des données et la pseudonymisation sera envisagée le cas échéant et appropriée.

OIS veillera à ce que toutes les relations qu'elle noue et qui impliquent le traitement de données personnelles soient soumises à un contrat documenté qui comprend les informations et conditions spécifiques requises par le RGPD. Pour plus d'informations, consultez le Contrôleur-Sous-traitant RGPD Politique d'accord

Les transferts de données personnelles en dehors de l'Union européenne seront soigneusement examinés avant le transfert afin de garantir qu'ils respectent les limites imposées par le RGPD. Cela dépend en partie du jugement de la Commission européenne quant à l'adéquation des garanties pour les données personnelles applicables dans le pays de destination et cela peut changer avec le temps.
Les transferts internationaux de données intra-groupe seront soumis aux accords juridiquement contraignants visés. aux règles d'entreprise contraignantes (BCR) qui confèrent des droits exécutoires aux personnes concernées.

Un rôle défini de délégué à la protection des données (DPO) est requis par le RGPD si une organisation est une autorité publique, si elle effectue une surveillance à grande échelle ou si elle traite des types de données particulièrement sensibles à grande échelle. Le DPO doit avoir un niveau de connaissances approprié et peut être soit une ressource interne, soit externalisé auprès d'un prestataire de services approprié.

Sur la base de ces critères, l'OIS a nommé un délégué à la protection des données, dont voici les coordonnées :

Nom : Archibald Coker
Email : acoker@oisservices.com
Contact : +44 (0) 207 832 0001

La politique de l'OIS est d'être juste et proportionnée lors de l'examen des mesures à prendre pour informer les parties concernées concernant les violations de données personnelles. Conformément au RGPD, lorsqu'il est avéré qu'une violation est susceptible d'entraîner un risque pour les droits et libertés des personnes, l'autorité de contrôle compétente en sera informée dans un délai de 72 heures. Cela sera géré conformément à notre procédure de réponse aux incidents de sécurité de l'information qui définit le processus global de gestion des incidents de sécurité de l'information.

En vertu du RGPD, l'APD concernée a le pouvoir d'imposer une série d'amendes allant jusqu'à quatre pour cent du chiffre d'affaires mondial annuel ou vingt millions d'euros, selon le montant le plus élevé, en cas de violation de la réglementation.

Les actions suivantes sont entreprises pour garantir qu'OIS se conforme à tout moment au principe de responsabilité du RGPD :

• La base juridique du traitement des données personnelles est claire et sans ambiguïté
• Un délégué à la protection des données est nommé avec une responsabilité spécifique pour la protection des données dans l'organisation (si nécessaire)
• Tous les membres du personnel impliqués dans le traitement des données personnelles comprennent leurs responsabilités en matière de respect des bonnes pratiques en matière de protection des données.
• Une formation à la protection des données a été dispensée à l’ensemble du personnel
• Les règles concernant le consentement sont respectées
• Des itinéraires sont disponibles pour les personnes concernées souhaitant exercer leurs droits concernant les données personnelles et ces demandes sont traitées efficacement.
• Des revues régulières des procédures impliquant des données personnelles sont effectuées
• La confidentialité dès la conception est adoptée pour tous les systèmes et processus nouveaux ou modifiés

La documentation suivante sur les activités de traitement est enregistrée :

• Nom de l'organisation et détails pertinents
• Finalités du traitement des données personnelles
• Catégories de personnes et données personnelles traitées
• Catégories de destinataires de données personnelles
• Accords et mécanismes pour les transferts de données personnelles vers des pays tiers, y compris les détails des contrôles en place
• Calendriers de conservation des données personnelles
• Contrôles techniques et organisationnels pertinents en place

Ces actions sont revues régulièrement dans le cadre du processus de gestion concerné par la protection des données.

Il existe 8 principes de protection des données qui garantissent que les organisations collectent, stockent et traitent les données personnelles de manière à protéger la confidentialité des clients. Ces principes sont énoncés à l’annexe 1 de la Loi et sont les suivants :

je. Les données doivent être traitées de manière équitable et licite.
Nous avons des motifs légitimes pour obtenir, stocker et traiter les données des clients, à savoir pour vous aider à obtenir un passeport, un visa et à d'autres fins autorisées par la loi et les contrats entre nous et nos clients. . Nous garantissons que vos données ne seront pas utilisées à des fins illégales.

ii. Les données personnelles ne seront obtenues que pour une ou plusieurs finalités spécifiées et licites, et ne seront pas traitées ultérieurement d'une manière incompatible avec cette ou ces finalités.
En raison de la nature de notre travail, la finalité pour laquelle vous donnez pour nous, vos données personnelles sont évidentes pour vous et pour nous. Nous n'utiliserons pas vos données à d'autres fins incompatibles avec la finalité initiale, sauf si vous nous donnez au préalable votre consentement ou si nous y sommes contraints par la loi.

iii. Les données personnelles doivent être adéquates, pertinentes et non excessives par rapport à la ou aux finalités pour lesquelles elles sont traitées.
Nous ne prendrons que les informations que nous considérons pertinentes et suffisantes pour exécuter notre contrat avec vous.

iv. Les données personnelles doivent être exactes et, si nécessaire, tenues à jour.
Nous veillons à ce que les données personnelles que vous nous fournissez soient correctes et non trompeuses. Nous y parvenons en vous donnant la possibilité de confirmer les informations que vous nous communiquez et également en demandant des justificatifs lorsque cela est nécessaire. S'il y a des changements pertinents dans vos données personnelles, par exemple un changement de nom ou de nationalité, veuillez nous en informer dès que possible afin que nous puissions mettre à jour votre dossier.

v. Les données personnelles traitées à quelque fin que ce soit ne doivent pas être conservées plus longtemps que nécessaire à cette ou ces fins.
Nous examinerons, de temps à autre, notre base de données pour voir si certaines données personnelles sont encore nécessaires. à stocker par nos soins. Si la finalité pour laquelle ils ont été stockés a été atteinte et que nous considérons qu'il n'est plus nécessaire de continuer à les stocker, nous les supprimerons en toute sécurité.

vi. Les données personnelles doivent être traitées conformément aux droits des personnes concernées en vertu de la présente loi.
Nous traiterons vos données personnelles de manière à vous permettre d'effectuer l'une des opérations suivantes :

• un droit d'accès à une copie de vos données personnelles, communément appelé « demande d'accès au sujet ». Les frais actuels sont de 10 £ par demande standard et nous visons à les fournir dans les 14 jours. La demande d'accès au sujet doit être adressée à info@oisservices.com par e-mail ou par courrier. Le chef du centre, OIS Services, 56-57 Fleet Street, EC4Y 1JU, Londres
• un droit de vous opposer au traitement de vos données personnelles d’une manière susceptible de vous causer un dommage ou une détresse ;
• un droit d'empêcher le traitement de vos données personnelles d'une manière incompatible avec la ou les finalités initiales ;
• un droit de s'opposer aux décisions prises par des moyens automatisés ;
• un droit, le cas échéant, de faire rectifier, bloquer ou supprimer des données personnelles inexactes, et
• le droit de réclamer une indemnisation pour les dommages causés par une violation de la loi.

vii. Sécurité des données personnelles
Vos données personnelles sont conservées dans un environnement très sécurisé tant physiquement que techniquement. Les zones où sont conservées les données personnelles sont interdites à toutes personnes non autorisées. L'accès à ces parties des locaux ne peut être obtenu que par clé électronique délivrée uniquement aux personnes autorisées. Vos données personnelles ne sont accessibles sur le système que par les personnes autorisées. Seules ces personnes autorisées peuvent modifier, divulguer ou détruire vos données personnelles. En outre, ces personnes autorisées ne peuvent exercer aucune de ces fonctions que dans le cadre de leurs fonctions légales. Par conséquent, les risques que vos données personnelles soient traitées illégalement ou accidentellement endommagées, détruites ou perdues sont très minimes. De plus, notre politique est de garantir que :

• chaque employé autorisé ayant accès aux données personnelles dispose de son propre mot de passe qui n'est pas partagé avec d'autres personnes,
• un logiciel de sécurité et un pare-feu approuvés sont utilisés pour protéger nos données,
• les données personnelles imprimées non utilisées sont déchiquetées,
• nous décourageons le stockage des données personnelles sur les ordinateurs portables et autres appareils et supports mobiles, mais si c'est le cas, elles doivent être verrouillées en toute sécurité et ne pas être sorties du bureau.

viii. Transfert de données personnelles en dehors de l'Espace économique européen
Vos données personnelles ne seront pas transférées vers un pays ou un territoire en dehors de l'Espace économique européen à moins que ce pays ou territoire n'assure un niveau adéquat de protection des droits et libertés des personnes concernées en relation avec au traitement des données personnelles. Seuls quelques pays en dehors de l’EEE ont été reconnus comme disposant de niveaux de protection adéquats pour le traitement des données personnelles comparables à ceux des pays de l’EEE. Lorsque nous transférons des données personnelles vers les États-Unis, nous veillons à ce que le destinataire soit signataire du programme Safe Harbor du Département américain du Commerce. Ce système est reconnu par la Commission européenne comme offrant une protection adéquate aux personnes concernées. En ce qui concerne les autres pays en dehors de l'EEE qui n'ont pas été acceptés comme disposant d'une sécurité et de garanties équivalentes pour le traitement des données personnelles, soit nous signons un contrat séparé, dont les termes sont approuvés par les directives européennes, soit nous veillons à ce qu'il existe une clause dans le contrat qui protège le traitement des données personnelles de tous nos clients.