Politique de confidentialité

La Région Île-de-France (ci-après, la « Région »), de même que les producteurs de produits agricoles adhérents de la marque collective « Produit en Île-de-France » (ci-après, les « Producteurs ») sont attachés au respect et à la protection des données personnelles des utilisateurs de la plateforme. Maintenir un cadre de confiance avec les utilisateurs de la plateforme dans la gestion de leurs données personnelles est une préoccupation fondamentale.

La Région et les Producteurs mettent en œuvre des traitements de données à caractère personnel sur la plateforme produiteniledefrance.fr (ci-après « la Plateforme ») en tant que responsables de traitement, chacun pour les traitements qui les concernent.

La Région et les Producteurs considèrent qu’ils doivent vous permettre de savoir quelles sont les données à caractère personnel vous concernant qu’ils recueillent et utilisent tout en vous permettant de comprendre vos droits sur ces données. Par conséquent, la présente politique de protection des données personnelles a pour objectif de vous informer :

• sur les caractéristiques des traitements que la Région et les Producteurs réalisent sur vos données personnelles via la Plateforme ;
• sur les droits dont vous bénéficiez vis-à-vis de ces traitements.

La présente politique de protection des données personnelles pourra faire l’objet de modifications en fonction des évolutions légales et réglementaires applicables ou des recommandations de la Commission Nationale de l’Informatique et des Libertés (CNIL).

1. Respect des principes applicables aux données personnelles

1.1 Collecte loyale et transparente

Dans un souci de loyauté et de transparence, la Région et les Producteurs prennent soin de vous informer de chaque traitement que chacun d’eux met en œuvre par des mentions d’information.

Aucune collecte n’est effectuée à l’insu des personnes et sans qu’elles en soient informées.

La présente politique ainsi que les mentions d’information associée à chaque collecte de données vous permettent de disposer de l’ensemble des informations sur les caractéristiques des traitements mis en œuvre par la Région et des traitements mis en œuvre par les Producteurs.

1.2 Adéquation, pertinence et minimisation des données collectées

Les données personnelles collectées sont strictement nécessaires à l’objectif poursuivi par la collecte. La Région et les Producteurs s’attachent à minimiser les données collectées, à les tenir exactes et à jour.

Les données personnelles collectées sont mises à jour régulièrement et stockées par la Région et par les Producteurs dans leurs bases de données ou le cas échéant, dans les bases de données de leurs sous-traitants.

Par ailleurs, la Région et les Producteurs veillent à mettre en œuvre des procédés afin de permettre l’effacement ou la rectification des données inexactes.

1.3 Protection des données personnelles dès la conception et par défaut

La Région et les Producteurs ont adopté des politiques et des procédures internes et mettent en œuvre des mesures afin de respecter les principes de protection des données personnelles dès la conception et par défaut.

Lors de l'élaboration, de la conception, de la sélection et de l'utilisation de la Plateforme et des services proposés qui reposent sur le traitement de données personnelles, la Région et les Producteurs ont tenu compte du droit de la protection des données personnelles. En particulier, la Région et les Producteurs s’assurent auprès de leurs prestataires que ceux-ci répondent aux prescriptions légales et permettent d’assurer la protection des données qui y seront traitées.

2. Information concernant les traitements mis en œuvre par la Région via la Plateforme

2.1 Finalités des traitements et bases juridique

La Région, en tant que responsable de traitement, met en œuvre différents traitements via la Plateforme sur vos données personnelles dont les bases juridiques et les finalités sont les suivantes :

• Finalités de traitements fondés sur l’exécution de mesures contractuelles :
  • la mise en visibilité des coordonnées des producteurs pour permettre la vente de leurs produits ;
  • la gestion des comptes utilisateurs ;
  • la mise à jour des données de contact des utilisateurs ;
  • la communication auprès des Producteurs pour les inviter à introduire leurs produits, à prendre en main leur compte et à mettre à jour leurs coordonnées ;
  • la gestion de la mise en relation des Producteurs inscrits sur la Plateforme avec les acheteurs ayant ouvert un compte sur la Plateforme (les « Acheteurs ») et les visiteurs de la Plateforme (les « Visiteurs ») ;
  • la gestion des réclamations.
     
• Finalités des traitements fondés sur l’exécution d’une mission d’intérêt public :
  • la gestion de la communication institutionnelle auprès des Acheteurs et des Visiteurs sur la marque collective « Produit en Île-de-France » ; 
     
• Finalités des traitements fondés sur la poursuite des intérêts légitimes de la Région :
  • la réalisation de statistiques relatives à l’utilisation de la Plateforme.

Si la Région est amenée à traiter vos données pour des finalités autres que celles listées ci-dessus, vous en serez informés, et toutes les démarches complémentaires éventuellement nécessaires seront effectuées.

2.2 Données collectées

Les données concernées sont les suivantes :

• données concernant les Producteurs :
  • données d’identification : nom, prénom, photographie ;
  • coordonnées : adresse postale, numéro de téléphone, adresse email
  • activité professionnelle : produits proposés à la vente, suivi des commandes passées via la Plateforme, réclamations effectuées ;
  • connexion : login, mot de passe, logs et traces de navigation, données issues des cookies ;
  • autres : informations relatives aux commandes et à leur suivi, réclamations effectuées ;
• données concernant les Acheteurs et les Visiteurs :
  • données d’identification : civilité, nom, prénom, date de naissance ;
  • coordonnées : adresse postale, numéro de téléphone, adresse email ;
  • connexion : login, mot de passe, logs et traces de navigation, données issues des cookies ;
  • autres : informations relatives aux commandes et à leur suivi, réclamations effectuées.

2.3 Source de vos données 

La Région, en tant que responsable de traitement, met en œuvre différents traitements via la Plateforme sur vos données personnelles dont les bases juridiques et les finalités sont les suivantes :

La Région collecte les données concernant les Producteurs, les Acheteurs et les Visiteurs sur la Plateforme directement auprès de ceux-ci ou, pour les Visiteurs et les Acheteurs, par l'intermédiaire des Producteurs ou, pour les Producteurs et les Acheteurs, via les API (Applicative Programme Interfaces) choisies pour leur authentification sur la Plateforme.

Lorsque vous utilisez une API, les données suivantes sont collectées auprès de son exploitant :

• pour l’API auth0 exploitée par la société Okta, les données suivantes concernant les Producteurs : log in et mot de passe
• pour l’API cms Syllus exploitée par Sylius Paweł Jędrzejewski, les données suivantes concernant les Acheteurs : login et mot de passe

Pour en savoir plus sur le fonctionnement de ces API, vous pouvez consulter :

• pour l’API auth0, les conditions générales d’utilisation pour les utilisateurs sont accessibles à l’adresse https://auth0.com/web-terms et la politique de protection des données personnelles est accessible à l’adresse https://www.okta.com/privacy-policy/ ;
• pour l’API cms Syllus, les conditions générales d’utilisation pour les utilisateurs sont accessibles à l’adresse https://sylius.com/terms-and-conditions/ et la politique de protection des données personnelles est accessible à l’adresse https://sylius.com/privacy-policy/.

2.4 Destinataires de vos données

Dans le cadre des finalités décrites ci-dessus et dans les limites nécessaires à la poursuite de ces finalités, les données collectées par la Région pourront être transmises à tout ou partie des destinataires suivants :

• les agents habilités au sein de la Région ;
• les Producteurs aux fins de la mise en œuvre des traitements dont ils sont responsables ;
• les prestataires et sous-traitants de la Région en charge notamment de l’exploitation et de la maintenance de la Plateforme.

2.5 Durées de conservation de vos données

La Région s’engage à conserver les données personnelles pendant une durée strictement limitée à celle nécessaire au regard des finalités du traitement et en accord avec la législation applicable :

3. Information concernant les traitements mis en œuvre par les Producteurs via la Plateforme

3.1 Finalités 

Chaque Producteur, en tant que responsable de traitement, met en œuvre différents traitements via la Plateforme sur vos données personnelles dont les bases juridiques et les finalités sont les suivantes : 

• Finalités de traitements fondés sur l’exécution de mesures contractuelles :
  • la gestion des commandes ;
  • la gestion des réclamations en lien avec une commande ;
     
• Finalités des traitements fondés sur une obligation légale :
  • la tenue de la comptabilité des opérations de gestion des commandes 
     
• Finalités des traitements fondés sur la poursuite des intérêts légitimes des Producteurs :
  • la gestion de la communication auprès des Acheteurs et des Visiteurs pour la promotion des produits proposés à la vente via la Plateforme ;
  • la réalisation de statistiques relatives à la vente de produits via la Plateforme.

Si les Producteurs sont amenés à traiter vos données pour des finalités autres que celles listées ci-dessus, vous en serez informés, et toutes les démarches complémentaires éventuellement nécessaires seront effectuées.

3.2 Données collectées

Les données concernées sont les suivantes :

• données concernant les Acheteurs et les Visiteurs :
  • données d’identification : civilité, nom, prénom ;
  • coordonnées : adresse postale, numéro de téléphone, adresse email ;
  • autres : informations relatives aux commandes et à leur suivi, réclamations effectuées

3.3 Source de vos données 

Les Producteurs collectent les données concernant les Acheteurs et les Visiteurs sur la Plateforme directement auprès de ceux-ci lorsqu’ils passent commande de leurs produits via la Plateforme.

3.4 Destinataires de vos données

Chaque Producteur, en tant que responsable de traitement, met en œuvre différents traitements via la Plateforme sur vos données personnelles dont les bases juridiques et les finalités sont les suivantes : 

Dans le cadre des finalités décrites ci-dessus et dans les limites nécessaires à la poursuite de ces finalités, les données collectées par les Producteurs pourront être transmises à tout ou partie des destinataires suivants :

• les collaborateurs habilités de chaque Producteur ;
• la Région aux fins de la mise en œuvre des traitements dont elle est responsable ;
• les prestataires et sous-traitants des Producteurs et/ou de la Région ;
• le prestataire en charge des opérations de paiement du prix des commandes.

3.5 Durées de conservation de vos données

Chaque Producteur s’engage à conserver vos données personnelles pendant une durée strictement limitée à celle nécessaire au regard des finalités du traitement et en accord avec la législation applicable.

Les données collectées par les Producteurs seront ainsi conservées pour la durée nécessaire à l’accomplissement des finalités décrites ci-dessus, augmentées du délai de la prescription légale : 

4. Cookies

Lors de l’utilisation de la Plateforme, des cookies peuvent s’installer automatiquement sur votre terminal. Pour en savoir plus, vous pouvez consulter la politique cookies de la Région, accessible ici.

5. Transferts de vos données

La Région et les Producteurs hébergent les données personnelles vous concernant en France et en Europe. Ils ne transfèrent pas vos données en dehors de l’Union européenne.

Certaines données sont néanmoins susceptibles d’être transférées en dehors de l’Union européenne, en particulier vers les Etats-Unis dans le cadre de la réalisation des transactions mises en œuvre par le prestataire en charge des opérations de paiement du prix des commandes.

Ce transfert est encadré par le cadre validé par la Commission européenne depuis le 10 juillet 2023 pour le transfert de données personnelles entre l’Europe et les Etats-Unis, également appelé le « Data Privacy Framework ».

De manière plus générale, si la Région ou l’un des Producteurs devait avoir besoin de transférer des données en dehors de l’Union européenne, ce transfert pourrait être fondé sur des dérogations pour des situations particulières (votre consentement, un transfert nécessaire à l'exécution d'un contrat entre vous et la Région ou un Producteur ou à la mise en œuvre de mesures précontractuelles prises à votre demande).

En tout état de cause, si la Région ou un Producteur devait avoir besoin de transférer des données en dehors de l’Union européenne en dehors de ces cas dérogatoires, cela ne serait effectué qu’après avoir pris les mesures nécessaires et adéquates pour assurer un niveau de protection et de sécurité des données personnelles équivalent à celui proposé au sein de l’Union européenne, ce dont vous seriez informé préalablement.

6. Sécurité de vos données 

La Région et les Producteurs accordent une importance particulière à la sécurité des données personnelles.

En particulier, la Région a mis en place des mesures techniques et organisationnelles adaptées au degré de sensibilité des données personnelles, en vue d’assurer l’intégrité et la confidentialité les données saisies sur la Plateforme, ainsi que de les protéger contre toute intrusion malveillante, toute perte, altération ou divulgation à des tiers non autorisés :

• des mesures techniques : des contrôles techniques, des mesures de chiffrement, des mesures de sécurité physique des flux de données, etc. ;
• des mesures d’organisation : ségrégation des tâches et des responsabilités, des environnements techniques, gestion des incidents et des failles de sécurité portant sur les données, limitation des accès aux stricts besoins opérationnels, définition des durées de conservation, définition des moyens de contrôle, formation du personnel, etc.

Toutes les personnes ayant accès aux données sont liées par un devoir de confidentialité et s’exposent à des mesures disciplinaires et/ou autres sanctions si elles ne respectent pas ces obligations.

La Région effectue régulièrement des audits afin de vérifier la bonne application opérationnelle des règles relatives à la sécurité des données sur la Plateforme.

Ainsi, elle s’engage à prendre les mesures de sécurité physiques, techniques et organisationnelles nécessaires pour protéger ses activités et préserver la sécurité des données personnelles des utilisateurs de la Plateforme contre tout accès, modification, déformation, divulgation, destruction ou accès non autorisés des données personnelles qu’elle détient.

Néanmoins, la sécurité et la confidentialité des données personnelles reposent sur les bonnes pratiques de chacun, ainsi chaque personne concernée est invitée à rester vigilante.

Conformément à ses engagements, la Région choisit ses sous-traitants et prestataires avec soin et leur impose :

• un niveau de protection des données personnelles au moins équivalent aux siens ;
• une utilisation des données personnelles ou des informations uniquement pour assurer la gestion des services qu’ils doivent fournir ;
• un respect strict de la législation et de la règlementation applicable en matière de confidentialité, de secret bancaire et de données personnelles ;
• la mise en œuvre de toutes les mesures adéquates pour assurer la protection des données personnelles qu’ils peuvent être amenés à traiter ;
• la définition des mesures techniques, et organisationnelles nécessaires pour assurer la sécurité.

La Région et les Producteurs s’engagent à conclure avec leurs sous-traitants, conformément aux obligations légales, des contrats définissant précisément les conditions et modalités de traitement des données personnelles.

7. Les droits des personnes

Dans le cadre des traitements de vos données par la Région et par les Producteurs, vous bénéficiez des droits décrits ci-après.

Vous pouvez formuler vos demandes et exercer vos différents droits :

• pour les traitements mis en œuvre par un Producteur : en écrivant aux coordonnées de contact indiquées dans le profil dudit Producteur ;
• pour les traitements mis en œuvre par la Région : en vous adressant au délégué à la protection des données de la Région dont les coordonnées figurent ci-après.

Le responsable de traitement concerné vous fournit des informations sur les mesures prises à la suite d'une demande formulée pour l’exercice des droits mentionnés ci-dessous, dans les meilleurs délais et en tout état de cause dans un délai d'un mois à compter du jour de la réception de la demande. Au besoin, ce délai peut être prolongé de deux mois, compte tenu de la complexité et du nombre de demandes. La Région vous informe de cette prolongation et des motifs du report dans un délai d'un mois à compter de la réception de votre demande.

7.1 Droit d’accès

Vous avez le droit d’obtenir du responsable de traitement la confirmation que des données à caractère personnel vous concernant sont ou ne sont pas traitées par le responsable de traitement et, lorsqu'elles le sont, d’obtenir l'accès auxdites données ainsi que les informations suivantes :

• les finalités du traitement ;
• les catégories de données à caractère personnel concernées ;
• les destinataires ou catégories de destinataires auxquels les données à caractère personnel ont été ou seront communiquées, en particulier les destinataires qui sont établis dans des pays tiers ou les organisations internationales ;
• lorsque cela est possible, la durée de conservation des données à caractère personnel envisagée ou, lorsque ce n'est pas possible, les critères utilisés pour déterminer cette durée ;
• l'existence du droit de demander au responsable du traitement la rectification ou l'effacement de données à caractère personnel, ou une limitation du traitement des données à caractère personnel relatives à la personne concernée, ou du droit de s'opposer à ce traitement ;
• le droit d'introduire une réclamation auprès d'une autorité de contrôle ;
• lorsque les données ne sont pas collectées auprès de la personne concernée, toute information disponible quant à leur source ;
• l’existence d'une prise de décision automatisée, y compris un profilage ;
• lorsque les données à caractère personnel sont transférées vers un pays tiers ou à une organisation internationale, la personne concernée a le droit d'être informée des garanties appropriées en ce qui concerne ce transfert.

Le responsable de traitement auquel est adressée la demande fournit une copie des données à caractère personnel faisant l'objet d'un traitement. Pour toute copie supplémentaire demandée, veuille noter que des frais raisonnables peuvent être facturés en fonction des frais administratifs.

7.2 Droit de rectification 

Vous avez le droit d'obtenir du responsable de traitement concerné, dans les meilleurs délais, la rectification des données à caractère personnel vous concernant qui sont inexactes et/ou incomplètes.

7.3 Droit à l’effacement 

Sauf dans des cas spécifiques où la loi le prévoit, vous avez le droit d'obtenir du responsable de traitement concerné l'effacement, dans les meilleurs délais, de données à caractère personnel les concernant lorsque l'un des motifs suivants s'applique :

• les données à caractère personnel ne sont plus nécessaires au regard des finalités pour lesquelles elles ont été collectées ou traitées d'une autre manière ;
• le retrait du consentement sur lequel est fondé le traitement et il n'existe pas d'autre fondement juridique au traitement ;
• l’opposition au traitement et il n'existe pas de motif légitime impérieux pour le traitement ;
• les données à caractère personnel ont fait l'objet d'un traitement illicite ;
• les données à caractère personnel doivent être effacées pour respecter une obligation légale à laquelle la Région est soumise.

Le droit à l’effacement des données n’est pas un droit général et il pourra ne pas y être fait droit si un motif de refus s’applique.

Ainsi, si un motif d’exclusion du droit à l’effacement est présent, le responsable de traitement concerné ne pourra répondre favorablement à la demande, tel sera le cas si le responsable de traitement concerné est tenu de conserver les données en raison d’une obligation légale ou réglementaire à laquelle il est soumis ou pour la constatation, l’exercice ou la défense de droits en justice.

7.4 Droit à la limitation du traitement 

Vous avez le droit d'obtenir du responsable de traitement concerné la limitation du traitement lorsque l'un des éléments suivants s'applique :

• vous contestez l'exactitude de vos données à caractère personnel (dans un tel cas, la limitation pourra être mise en place pendant une durée permettant au responsable de traitement de vérifier l'exactitude des données à caractère personnel) ;
• le traitement est illicite et vous vous opposez à l’effacement des données et exigez à la place la limitation de leur utilisation ;
• le responsable de traitement concerné n'a plus besoin des données à caractère personnel aux fins du traitement mais celles-ci vous sont encore nécessaires pour la constatation, l'exercice ou la défense de droits en justice ;
• vous vous opposez au traitement, pendant la vérification portant sur le point de savoir si les motifs légitimes poursuivis par le responsable de traitement concerné prévalent sur les vôtres.

Si le droit à la limitation est exercé valablement, le responsable de traitement concerné ne pourra plus traiter vos données à caractère personnel, sauf :

• si vous avez donné votre consentement ;
• pour la constatation, l'exercice ou la défense de droits en justice ;
• pour la protection des droits d'une autre personne physique ou morale ;
• pour des motifs importants d'intérêt public de l'Union ou d'un État membre.

7.5 Droit à la portabilité 

Vous avez le droit de recevoir ou de transmettre leurs données à caractère personnel fournies au responsable de traitement concerné, dans un format structuré, couramment utilisé et lisible par machine, à un autre responsable du traitement lorsque le traitement se fonde sur le consentement ou sur un contrat et si le traitement est effectué à l'aide de procédés automatisés.

7.6 Droit d'opposition

Vous avez le droit de vous opposer à tout moment pour des raisons tenant à votre situation particulière, à un traitement des données à caractère personnel vous concernant, fondé sur l'exécution d'une mission d'intérêt public ou relevant de l'exercice de l'autorité publique ou fondé sur l’intérêt légitime du responsable de traitement concerné. Le responsable de traitement concerné ne traite plus vos données à caractère personnel, à moins qu'il ne démontre qu'il existe des motifs légitimes et impérieux pour le traitement qui prévalent sur vos intérêts et vos droits et libertés, ou pour la constatation, l'exercice ou la défense de droits en justice.

Ce droit peut être exercée à tout moment lorsque vos données sont collectées à des fins de prospection commerciale.

7.7 Droit de ne pas faire l’objet d’une décision individuelle automatisée, y compris le profilage

Vous avez le droit de ne pas faire l'objet d'une décision fondée exclusivement sur un traitement automatisé, y compris le profilage, produisant des effets juridiques les concernant ou les affectant de manière significative de façon similaire, sous réserve des exceptions prévues par la loi.

7.8 Droit de retrait du consentement

Lorsque les traitements de données que le responsable de traitement concerné met en œuvre sont fondés sur votre consentement, vous avez le droit de le retirer à n’importe quel moment. Le responsable de traitement concerné cesse alors de traiter vos données personnelles sans que les opérations antérieures pour lesquelles vous aviez consenti ne soient remises en cause.

7.9 Droit d’introduire une réclamation

Vous avez le droit d’introduire une réclamation auprès de la Cnil à l’adresse suivante : 3, place de Fontenoy, 75007 Paris, sur le territoire français et ce sans préjudice de tout autre recours administratif ou juridictionnel.

7.10 Droit de définir des directives port-mortem

Vous disposez du droit de formuler des directives spécifiques et générales concernant la conservation, l’effacement et la communication des données post-mortem vous concernant. En ce qui concerne les directives générales, elles devront être adressées à un tiers qui sera désigné par décret.

8. Délégué à la protection des données de la Région

La Région a désigné le cabinet Lexing Alain Bensoussan Avocats en tant que délégué à la protection des données personnelles externalisé qui peut être contacté afin de répondre à toutes vos interrogations au sujet de la protection de vos données personnelles et notamment dans le cadre l’exercice de vos droits.

Le Délégué à la protection des données peut être contacté :

• à l’adresse postale suivante : A l’attention du Délégué à la protection des données, Région Ile-de-France, Pôle Juridique Achats Données Transformation Numérique, 2 rue Simone Veil, 93400 Saint Ouen.
  ou
• à l’adresse électronique suivante : dpo@iledefrance.fr.

La Région Ile-de-France (ci-après, la « Région ») est attachée au respect et à la protection des données personnelles des franciliens. Maintenir un cadre de confiance avec les franciliens dans la gestion de leurs données personnelles est une préoccupation fondamentale de notre institution.
Nous considérons que nous devons vous permettre de savoir quelles sont les données à caractère personnel vous concernant, que nous recueillons et utilisons ; tout en vous permettant de comprendre vos droits sur ces données.

Par conséquent, cette politique a pour objectif de vous informer :

• Sur les caractéristiques des traitements que la Région réalise sur vos données et ce, quel que soit les sites, applications et autres médias qui y sont liés ;
• Sur les droits dont vous bénéficiez vis-à-vis des traitements que la Région opère

Pour votre parfaite information, la Région met en œuvre des traitements de données à caractère personnel en tant que responsable du traitement, ce qui signifie que nous déterminons « pourquoi » et « comment » vos données personnelles sont collectées et utilisées.

Cette Politique de protection des données pourra faire l’objet de modifications en fonction des évolutions légales et réglementaires applicables ou des recommandations de la Commission Nationale de l’Informatique et des Libertés (CNIL).