carrière

Politique de confidentialité

1. Objet et champ d’application

La présente Politique de confidentialité globale explique comment (GROUPE) ASTEK et le Groupe Astek traitent les données à caractère personnel dans le cadre du site internet mondial astek.net et des activités centralisées du Groupe. Elle est volontairement large et peut concerner les visiteurs du site internet, les personnes qui contactent Astek, les candidats, les travailleurs actuels et anciens, les représentants de clients/prospects, les fournisseurs, les sous-traitants, les partenaires ainsi que les personnes en interaction avec les fonctions conformité ou éthique du Groupe.

Un Addendum local propre à chaque pays fait partie intégrante de la présente Politique pour la juridiction concernée. Des notices d’information spécifiques de premier niveau peuvent également être fournies au niveau d’un formulaire, d’un portail de recrutement, d’un contrat, d’un processus RH, d’une plateforme de signalement ou de tout autre point de collecte. Lorsqu’une règle locale impérative exige des informations supplémentaires ou différentes, l’Addendum local ou la notice spécifique complète la présente Politique dans cette mesure.

2. Responsable du traitement global et gouvernance

Pour astek.net et les activités de traitement centralisées du Groupe couvertes par la présente Politique, le responsable du traitement global est (GROUPE) ASTEK, Tour CB21, 16 Place de l’Iris, 92400 COURBEVOIE – France, RCS Nanterre 489 800 805. (GROUPE) ASTEK est le point de gouvernance, au niveau du Groupe, pour la protection des données à caractère personnel, la fonction de DPO Groupe, la gouvernance des transferts internationaux et le programme BCR du Groupe.

Les sociétés Astek locales peuvent collecter des données, utiliser les systèmes du Groupe, participer à des traitements, agir sur instructions documentées du Groupe ou déterminer certains éléments opérationnels locaux limités. Leur rôle doit être documenté dans la matrice de conformité Astek et dans les accords intragroupe applicables. Aucune disposition de la présente Politique ne requalifie le rôle juridique d’une entité locale lorsqu’une loi locale impérative impose une qualification différente pour une opération de traitement déterminée.

3. DPO Groupe

Délégué à la protection des données (DPO) du Groupe : [email protected]. Adresse postale : DPO – (GROUPE) ASTEK, Tour CB21, 16 Place de l’Iris, 92400 COURBEVOIE – France.

4. Catégories de données, finalités et cadre global des bases légales

Le tableau ci-dessous constitue le socle de référence mondial. La terminologie juridique varie d’une juridiction à l’autre. Toute référence au contrat, à l’obligation légale, aux intérêts légitimes, au consentement ou à toute autre base légale ne s’applique que lorsque cette base existe et est disponible en vertu de la loi régissant le traitement. L’Addendum local identifie les différences significatives propres à chaque pays.

Traitement Finalités Principales données Cadre global des bases légales Principe de conservation
Site internet et demandes de contact Répondre aux demandes ; orienter les demandes ; administrer, sécuriser et améliorer le site internet. Données d’identité/de contact ; informations professionnelles ; contenu des messages ; journaux techniques/de sécurité. Contrat/mesures précontractuelles, le cas échéant ; intérêts légitimes ou fondement licite équivalent ; obligations légales/de sécurité, lorsqu’elles s’appliquent. Pendant la durée nécessaire à la gestion de la demande, puis uniquement dans la mesure nécessaire à des fins légales, de sécurité ou probatoires.
Marketing, communications et événements Envoyer des actualités du Groupe, des invitations, des informations sur les services et des communications professionnelles appropriées. Coordonnées professionnelles, fonction, société, préférences, historique des interactions. Consentement lorsqu’il est requis ; à défaut, intérêts légitimes ou autre base autorisée localement, avec droit d’opposition (opt-out) lorsqu’il s’applique. Conformément à la matrice de conservation approuvée et à la législation locale en matière de marketing/de protection de la vie privée.
Recrutement et viviers de talents Gérer les candidatures, évaluer les candidats, organiser les entretiens et, lorsque cela est autorisé, conserver les profils en vue d’opportunités futures. CV, coordonnées, parcours professionnel, qualifications, compétences, informations relatives aux entretiens et données d’évaluation pertinentes. Mesures précontractuelles ; intérêts légitimes/base équivalente lorsque cela est autorisé ; consentement lorsqu’il est requis. Pendant le recrutement, puis conformément à la règle de conservation du pays et à la matrice de conservation approuvée pour le recrutement.
Travailleurs et anciens travailleurs Administration RH, emploi, paie, gestion des effectifs, formation, gestion de la performance, accès/sécurité, obligations légales et défense de droits en justice. Données d’identité, de contact, d’emploi, de paie, de carrière, de formation, d’accès/de sécurité et autres données RH nécessaires. Contrat/relation de travail ; obligations légales ; intérêts légitimes/base équivalente ; consentement uniquement lorsqu’il est approprié et valable. Pendant la durée de la relation, puis conformément aux règles légales, de prescription et de conservation des archives propres à chaque catégorie.
Clients, prospects et projets Développement commercial, contractualisation, exécution des projets, facturation, conformité, sécurité et gestion des litiges. Données de contact professionnelles, communications, données relatives aux contrats/projets, à la facturation, à la sécurité et à la conformité. Contrat/mesures précontractuelles ; obligations légales ; intérêts légitimes/base équivalente. Pendant la durée de la relation, puis pendant les délais légaux et de prescription applicables.
Fournisseurs, sous-traitants et partenaires Sélection, intégration (onboarding), contrats, commandes, facturation, conformité, sécurité et suivi des tiers. Données de contact professionnelles, données contractuelles, de facturation, de vérification préalable (due diligence) et de conformité. Contrat/mesures précontractuelles ; obligations légales ; intérêts légitimes/base équivalente. Pendant la durée de la relation, puis pendant les délais légaux et de prescription applicables.
Sécurité informatique et gestion des accès Authentifier les utilisateurs, sécuriser les systèmes, détecter les incidents/fraudes, assurer la continuité et la traçabilité. Identifiants, droits d’accès, journaux, données relatives aux adresses IP/terminaux et aux événements de sécurité. Obligations légales/de sécurité, lorsqu’elles s’appliquent ; intérêts légitimes/base équivalente pour protéger les systèmes, les actifs et les données. En fonction du risque de sécurité, de la finalité du système et de la matrice de conservation approuvée.
Alerte professionnelle et éthique Recevoir, évaluer, instruire et assurer le suivi des signalements ; protéger les personnes ; respecter les obligations légales/de conformité. Données de l’auteur du signalement lorsqu’elles sont fournies, personnes citées, faits/éléments de preuve, données relatives à l’enquête et à son issue. Obligation légale, lorsqu’elle s’applique ; intérêts légitimes/base équivalente pour les canaux éthiques autorisés ; catégories particulières de données uniquement lorsque la loi le permet. Conformément à la loi régissant le canal de signalement et au parcours propre à chaque pays au sein de la plateforme dédiée.

5. Sources des données à caractère personnel

Nous collectons les données à caractère personnel principalement auprès de vous. Selon le contexte, des données peuvent également provenir de sources professionnelles accessibles au public, de plateformes et d’agences de recrutement, de références professionnelles, de clients, de fournisseurs, de partenaires, d’autorités publiques lorsque cela est licite, ou d’une autre société du Groupe Astek. Lorsque la loi locale exige des informations spécifiques en cas de collecte indirecte, l’Addendum local ou la notice de premier niveau les fournit.

6. Informations obligatoires et facultatives

Les champs identifiés comme obligatoires sont nécessaires à la gestion de la demande, de la candidature, du contrat, du processus d’emploi, de l’obligation légale ou du processus de sécurité concerné. Si les informations requises ne sont pas fournies, Astek peut ne pas être en mesure de mener à bien l’action concernée. Les autres informations sont facultatives, sauf indication contraire de la loi locale ou du contexte de la collecte.

7. Destinataires

  • les équipes habilitées de (GROUPE) ASTEK et des sociétés concernées du Groupe Astek, selon le principe du besoin d’en connaître ;
  • les entités du Groupe participant aux processus centralisés en matière de RH, de recrutement, de finance, de juridique, de conformité, de DPO, d’informatique, de sécurité, de ventes ou de projets ;
  • les prestataires de services et sous-traitants fournissant des services d’hébergement, d’informatique, de recrutement/RH, de communication, d’assistance professionnelle, de sécurité ou d’autres services ;
  • les conseils professionnels, auditeurs, assureurs et établissements financiers, lorsque cela est nécessaire ;
  • les clients, partenaires ou parties prenantes aux projets, lorsqu’une communication licite et nécessaire est requise pour un projet ou une mission ;
  • les autorités administratives, judiciaires, réglementaires ou chargées de l’application de la loi, lorsque la loi applicable l’exige ou le permet.

8. Transferts internationaux et cadre du Groupe

Astek exerce ses activités à l’international. Les données à caractère personnel peuvent donc être consultées depuis des pays autres que celui dans lequel elles ont été collectées, ou transférées vers ces pays. Chaque transfert doit respecter les règles impératives en matière de transfert des juridictions d’origine et de destination.

Astek dispose d’un accord intragroupe de protection des données qui intègre les principes de gouvernance substantiels en cours d’élaboration dans le cadre du programme de règles d’entreprise contraignantes (BCR) du Groupe. Le Groupe s’emploie à obtenir l’approbation à la fois de BCR « responsable du traitement » (BCR-C) et de BCR « sous-traitant » (BCR-P). Tant que l’approbation formelle n’a pas été obtenue, le programme BCR doit être présenté comme étant en cours d’approbation et ne doit pas être invoqué publiquement comme un mécanisme de transfert approuvé.

Le cadre intragroupe actuel couvre les entités du Groupe situées dans l’Union européenne, au Canada, au Maroc, à Maurice, à Madagascar, aux Émirats arabes unis et en Arabie saoudite. Il favorise une gouvernance, une responsabilité (accountability) et une protection contractuelle communes. Lorsque la loi applicable exige un mécanisme de transfert international spécifique, Astek utilise ou doit utiliser le mécanisme légalement disponible pour ce transfert, tel qu’une décision d’adéquation, des clauses contractuelles types, un accord de transfert local approuvé, une certification, des BCR approuvées une fois celles-ci disponibles, ou toute autre garantie licite. L’accord intragroupe ne se substitue pas à un mécanisme de transfert impératif prévu par la loi.

9. Astek agissant en qualité de sous-traitant

Pour certaines prestations fournies aux clients, une société du Groupe Astek peut traiter des données à caractère personnel sur instructions documentées du client. Dans ce cas, le client détermine généralement les finalités du traitement concerné et la société Astek agit en qualité de sous-traitant/prestataire de services, dans la mesure définie par la loi applicable et le contrat. Les demandes relatives aux traitements dont le client est responsable peuvent devoir être renvoyées au client concerné.

10. Prise de décision automatisée et traitements assistés par l’IA

Lorsqu’Astek utilise des outils automatisés ou assistés par l’IA dans le cadre du recrutement, des RH, de la sécurité, de l’exécution de projets ou d’autres activités, l’équipe responsable doit, avant tout déploiement, évaluer les exigences locales applicables en matière de transparence, d’examen humain, d’analyse d’impact, de consentement/d’opposition et de décision automatisée. Aucune mention de la présente Politique ne doit être interprétée comme confirmant qu’Astek prend des décisions fondées exclusivement sur un traitement automatisé produisant des effets juridiques ou des effets significatifs similaires, sauf si une notice spécifique l’indique expressément.

11. Sécurité

Astek met en œuvre des mesures techniques et organisationnelles proportionnées au risque, notamment la gestion des accès, la journalisation, la sécurité des infrastructures, la sauvegarde, la gestion des incidents, des contrôles de confidentialité, la gestion des fournisseurs et des mesures de sensibilisation. Les contrôles de sécurité du Groupe sont complétés par les exigences légales locales, le cas échéant.

12. Vos droits

Astek applique un processus global de traitement des demandes d’exercice des droits. Selon la loi applicable, vous pouvez disposer du droit : d’obtenir des informations sur le traitement ; d’accéder à vos données à caractère personnel ; de faire rectifier les données inexactes ; de demander leur effacement ; d’obtenir la limitation du traitement ou de vous y opposer ; de retirer votre consentement ; d’obtenir ou de transmettre vos données dans un format portable ; de contester certaines décisions automatisées ; d’introduire une réclamation auprès d’une autorité de régulation ; ou d’exercer d’autres droits prévus localement. La portée exacte, les conditions, les exceptions et les délais de réponse sont fixés par la loi identifiée dans l’Addendum local concerné.

Pour exercer un droit en matière de protection des données ou poser une question relative à la protection des données, contactez le DPO Groupe à l’adresse [email protected]. Astek ne peut demander que les informations raisonnablement nécessaires pour vérifier votre identité et votre qualité pour agir.

13. Réclamations et autorités de contrôle locales

Vous pouvez faire part d’une préoccupation au DPO Groupe. Vous pouvez également introduire une réclamation auprès de l’autorité de contrôle ou de régulation identifiée dans l’Addendum local applicable à votre juridiction. Pour les traitements transfrontaliers au sein de l’UE, les mécanismes de coopération et de guichet unique du RGPD s’appliquent lorsque leurs conditions légales sont réunies ; cela ne prive pas une personne de son droit de s’adresser à l’autorité de contrôle compétente en vertu du RGPD.

14. Cadre de référence

La présente Politique de confidentialité globale et la gouvernance d’astek.net sont organisées depuis la France, sous la gouvernance française du Groupe. Lorsque des lois impératives du pays dans lequel se trouve la personne, ou dans lequel les données à caractère personnel sont traitées, imposent des exigences supplémentaires ou contraires, ces dispositions impératives s’appliquent dans la mesure requise. L’Addendum local consigne le principal niveau d’exigences propre à chaque pays ; les équipes chargées des traitements doivent également respecter la matrice de conformité Astek approuvée ainsi que toute notice spécifique de premier niveau.

15. Mises à jour

La présente Politique peut être mise à jour afin de refléter l’évolution des traitements, de l’organisation du Groupe, de la loi ou des lignes directrices des autorités de régulation. Il convient de mettre en œuvre les modifications significatives propres à un pays en mettant à jour l’Addendum local concerné, sans réécrire le Socle global, sauf si le modèle de gouvernance global lui-même évolue.

Addendum local – France
Le présent addendum complète le socle des mentions légales uniquement lorsque le droit applicable dans cette juridiction exige une règle, une information, une autorité, un droit, une condition de transfert ou une exigence en matière d’alerte professionnelle à caractère local. Si la réglementation locale est autre que le RGPD, le Groupe Astek articule ladite réglementation locale avec le RGPD et retient toujours la réglementation la plus protectrice de vos données à caractère personnel.

Variable locale Précisions par pays
Cadre applicable en matière de protection des données RGPD de l’UE ; loi française relative à l’informatique, aux fichiers et aux libertés (loi n° 78-17 du 6 janvier 1978, telle que modifiée).
Autorité locale Commission nationale de l’informatique et des libertés (CNIL).
Dispositions locales prévalentes Les droits issus du RGPD et les règles complémentaires françaises s’appliquent. La France est la juridiction de rattachement du responsable du traitement global et du DPO Groupe. Les réclamations peuvent être introduites auprès de la CNIL.
Transferts internationaux / localisation Les transferts au départ de l’EEE relèvent du chapitre V du RGPD. L’accord intragroupe de protection des données du Groupe constitue un cadre de gouvernance interne ; les BCR-C et BCR-P sont en cours d’approbation et ne doivent pas être présentées comme des outils de transfert approuvés avant leur approbation.
Source de validation CNIL ; Légifrance.
Addendum local – Espagne
Le présent addendum complète le socle des mentions légales uniquement lorsque le droit applicable dans cette juridiction exige une règle, une information, une autorité, un droit, une condition de transfert ou une exigence en matière d’alerte professionnelle à caractère local. Si la réglementation locale est autre que le RGPD, le Groupe Astek articule ladite réglementation locale avec le RGPD et retient toujours la réglementation la plus protectrice de vos données à caractère personnel.

Variable locale Précisions par pays
Cadre applicable en matière de protection des données RGPD de l’UE ; loi organique 3/2018 relative à la protection des données personnelles et à la garantie des droits numériques (LOPDGDD).
Autorité locale Agencia Española de Protección de Datos (AEPD).
Dispositions locales prévalentes Les droits issus du RGPD s’appliquent conjointement avec les règles complémentaires espagnoles. Les personnes peuvent introduire une réclamation auprès de l’AEPD.
Transferts internationaux / localisation Le chapitre V du RGPD s’applique aux transferts hors de l’EEE.
Source de validation AEPD ; BOE.
Addendum local – Belgique
Le présent addendum complète le socle des mentions légales uniquement lorsque le droit applicable dans cette juridiction exige une règle, une information, une autorité, un droit, une condition de transfert ou une exigence en matière d’alerte professionnelle à caractère local. Si la réglementation locale est autre que le RGPD, le Groupe Astek articule ladite réglementation locale avec le RGPD et retient toujours la réglementation la plus protectrice de vos données à caractère personnel.

Variable locale Précisions par pays
Cadre applicable en matière de protection des données RGPD de l’UE ; loi belge du 30 juillet 2018 relative à la protection des personnes physiques à l’égard des traitements de données à caractère personnel.
Autorité locale Autorité de protection des données / Gegevensbeschermingsautoriteit (APD/GBA).
Dispositions locales prévalentes Les droits issus du RGPD s’appliquent conjointement avec les règles complémentaires belges. Les personnes peuvent introduire une réclamation auprès de l’APD/GBA.
Transferts internationaux / localisation Le chapitre V du RGPD s’applique aux transferts hors de l’EEE.
Source de validation Autorité belge de protection des données.
Addendum local – Luxembourg
Le présent addendum complète le socle des mentions légales uniquement lorsque le droit applicable dans cette juridiction exige une règle, une information, une autorité, un droit, une condition de transfert ou une exigence en matière d’alerte professionnelle à caractère local. Si la réglementation locale est autre que le RGPD, le Groupe Astek articule ladite réglementation locale avec le RGPD et retient toujours la réglementation la plus protectrice de vos données à caractère personnel.

Variable locale Précisions par pays
Cadre applicable en matière de protection des données RGPD de l’UE ; loi du 1er août 2018 portant organisation de la Commission nationale pour la protection des données et du régime général sur la protection des données.
Autorité locale Commission nationale pour la protection des données (CNPD).
Dispositions locales prévalentes Les droits issus du RGPD s’appliquent conjointement avec les règles complémentaires luxembourgeoises. Les personnes peuvent introduire une réclamation auprès de la CNPD.
Transferts internationaux / localisation Le chapitre V du RGPD s’applique aux transferts hors de l’EEE.
Source de validation CNPD Luxembourg.
Addendum local – Pays-Bas
Le présent addendum complète le socle des mentions légales uniquement lorsque le droit applicable dans cette juridiction exige une règle, une information, une autorité, un droit, une condition de transfert ou une exigence en matière d’alerte professionnelle à caractère local. Si la réglementation locale est autre que le RGPD, le Groupe Astek articule ladite réglementation locale avec le RGPD et retient toujours la réglementation la plus protectrice de vos données à caractère personnel.

Variable locale Précisions par pays
Cadre applicable en matière de protection des données RGPD de l’UE ; loi néerlandaise d’exécution du RGPD (Uitvoeringswet Algemene verordening gegevensbescherming – UAVG).
Autorité locale Autoriteit Persoonsgegevens (AP).
Dispositions locales prévalentes Les droits issus du RGPD s’appliquent conjointement avec les règles complémentaires néerlandaises. Les personnes peuvent introduire une réclamation auprès de l’AP.
Transferts internationaux / localisation Le chapitre V du RGPD s’applique aux transferts hors de l’EEE.
Source de validation Autoriteit Persoonsgegevens.
Addendum local – Pologne
Le présent addendum complète le socle des mentions légales uniquement lorsque le droit applicable dans cette juridiction exige une règle, une information, une autorité, un droit, une condition de transfert ou une exigence en matière d’alerte professionnelle à caractère local. Si la réglementation locale est autre que le RGPD, le Groupe Astek articule ladite réglementation locale avec le RGPD et retient toujours la réglementation la plus protectrice de vos données à caractère personnel.

Variable locale Précisions par pays
Cadre applicable en matière de protection des données RGPD de l’UE ; loi du 10 mai 2018 sur la protection des données à caractère personnel.
Autorité locale Président de l’Office de protection des données personnelles (UODO).
Dispositions locales prévalentes Les droits issus du RGPD s’appliquent conjointement avec les règles complémentaires polonaises. Les personnes peuvent introduire une réclamation auprès de l’UODO.
Transferts internationaux / localisation Le chapitre V du RGPD s’applique aux transferts hors de l’EEE.
Source de validation UODO.
Addendum local – Portugal
Le présent addendum complète le socle des mentions légales uniquement lorsque le droit applicable dans cette juridiction exige une règle, une information, une autorité, un droit, une condition de transfert ou une exigence en matière d’alerte professionnelle à caractère local. Si la réglementation locale est autre que le RGPD, le Groupe Astek articule ladite réglementation locale avec le RGPD et retient toujours la réglementation la plus protectrice de vos données à caractère personnel.

Variable locale Précisions par pays
Cadre applicable en matière de protection des données RGPD de l’UE ; loi n° 58/2019 assurant la mise en œuvre du RGPD au Portugal.
Autorité locale Comissão Nacional de Proteção de Dados (CNPD).
Dispositions locales prévalentes Les droits issus du RGPD s’appliquent conjointement avec les règles complémentaires portugaises. Les personnes peuvent introduire une réclamation auprès de la CNPD.
Transferts internationaux / localisation Le chapitre V du RGPD s’applique aux transferts hors de l’EEE.
Source de validation CNPD Portugal ; Diário da República.
Addendum local – Suède
Le présent addendum complète le socle des mentions légales uniquement lorsque le droit applicable dans cette juridiction exige une règle, une information, une autorité, un droit, une condition de transfert ou une exigence en matière d’alerte professionnelle à caractère local. Si la réglementation locale est autre que le RGPD, le Groupe Astek articule ladite réglementation locale avec le RGPD et retient toujours la réglementation la plus protectrice de vos données à caractère personnel.

Variable locale Précisions par pays
Cadre applicable en matière de protection des données RGPD de l’UE ; loi (2018:218) portant dispositions complémentaires au RGPD de l’UE et règlement (2018:219).
Autorité locale Autorité suédoise de protection de la vie privée (Integritetsskyddsmyndigheten – IMY).
Dispositions locales prévalentes Les droits issus du RGPD s’appliquent conjointement avec les règles complémentaires suédoises. Les personnes peuvent introduire une réclamation auprès de l’IMY.
Transferts internationaux / localisation Le chapitre V du RGPD s’applique aux transferts hors de l’EEE.
Source de validation IMY.
Addendum local – Canada (fédéral)
Le présent addendum complète le socle des mentions légales uniquement lorsque le droit applicable dans cette juridiction exige une règle, une information, une autorité, un droit, une condition de transfert ou une exigence en matière d’alerte professionnelle à caractère local. Si la réglementation locale est autre que le RGPD, le Groupe Astek articule ladite réglementation locale avec le RGPD et retient toujours la réglementation la plus protectrice de vos données à caractère personnel.

Variable locale Précisions par pays
Cadre applicable en matière de protection des données Loi sur la protection des renseignements personnels et les documents électroniques (LPRPDE / PIPEDA), lorsqu’elle s’applique, ainsi que les lois sectorielles et provinciales applicables en matière de protection des renseignements personnels.
Autorité locale Commissariat à la protection de la vie privée du Canada (CPVP), pour la LPRPDE.
Dispositions locales prévalentes La LPRPDE s’applique aux activités commerciales du secteur privé relevant de son champ d’application et continue de s’appliquer aux flux de données commerciaux interprovinciaux/internationaux ainsi qu’aux organisations sous réglementation fédérale. Les lois provinciales peuvent s’appliquer à sa place dans les juridictions dotées d’une législation essentiellement similaire.
Transferts internationaux / localisation Le traitement transfrontalier demeure soumis aux exigences de responsabilité, de transparence et de garanties appropriées, ainsi qu’à toute exigence contractuelle/organisationnelle applicable.
Source de validation Commissariat à la protection de la vie privée du Canada.
État du déploiement dans le pays Le déploiement de la protection des données au Canada reste à achever, de même que l’articulation de la réglementation locale avec le RGPD.
Addendum local – Canada (Québec)
Le présent addendum complète le socle des mentions légales uniquement lorsque le droit applicable dans cette juridiction exige une règle, une information, une autorité, un droit, une condition de transfert ou une exigence en matière d’alerte professionnelle à caractère local. Si la réglementation locale est autre que le RGPD, le Groupe Astek articule ladite réglementation locale avec le RGPD et retient toujours la réglementation la plus protectrice de vos données à caractère personnel.

Variable locale Précisions par pays
Cadre applicable en matière de protection des données Loi québécoise sur la protection des renseignements personnels dans le secteur privé, telle que modernisée par la Loi 25.
Autorité locale Commission d’accès à l’information du Québec (CAI).
Dispositions locales prévalentes Les exigences propres au Québec en matière de transparence, de gouvernance, d’évaluation des facteurs relatifs à la vie privée et de droits des personnes s’appliquent lorsque la loi québécoise sur le secteur privé régit le traitement.
Transferts internationaux / localisation Avant toute communication de renseignements personnels à l’extérieur du Québec, l’évaluation des facteurs relatifs à la vie privée applicable au Québec et les garanties contractuelles doivent être traitées lorsqu’elles sont requises.
Source de validation Commission d’accès à l’information ; Gouvernement du Québec.
État du déploiement dans le pays Le déploiement de la protection des données au Québec est achevé et articule la réglementation locale avec le RGPD.
Addendum local – Vietnam
Le présent addendum complète le socle des mentions légales uniquement lorsque le droit applicable dans cette juridiction exige une règle, une information, une autorité, un droit, une condition de transfert ou une exigence en matière d’alerte professionnelle à caractère local. Si la réglementation locale est autre que le RGPD, le Groupe Astek articule ladite réglementation locale avec le RGPD et retient toujours la réglementation la plus protectrice de vos données à caractère personnel.

Variable locale Précisions par pays
Cadre applicable en matière de protection des données Loi sur la protection des données personnelles n° 91/2025/QH15, entrée en vigueur le 1er janvier 2026 ; décret n° 356/2025/ND-CP portant application de la Loi.
Autorité locale Autorités publiques vietnamiennes compétentes, notamment le ministère de la Sécurité publique, dans le cadre fixé par la loi.
Dispositions locales prévalentes Le régime de 2026 s’applique aux traitements pertinents concernant des personnes vietnamiennes et comporte des exigences spécifiques en matière de consentement, d’information, de droits, de sécurité, d’analyse d’impact et de conformité. L’ancien régime du décret 13/2023 a été remplacé par le cadre de 2026.
Transferts internationaux / localisation Appliquer les exigences vietnamiennes en vigueur en matière d’évaluation et de dépôt de dossier pour les transferts transfrontaliers, ainsi que toute autre mesure obligatoire prévue par le cadre de 2026.
Source de validation Gouvernement du Vietnam ; ministère de la Sécurité publique ; base de données juridique nationale.
État du déploiement dans le pays Le déploiement de la protection des données au Vietnam reste à achever, de même que l’articulation de la réglementation locale avec le RGPD.
Addendum local – Jordanie
Le présent addendum complète le socle des mentions légales uniquement lorsque le droit applicable dans cette juridiction exige une règle, une information, une autorité, un droit, une condition de transfert ou une exigence en matière d’alerte professionnelle à caractère local. Si la réglementation locale est autre que le RGPD, le Groupe Astek articule ladite réglementation locale avec le RGPD et retient toujours la réglementation la plus protectrice de vos données à caractère personnel.

Variable locale Précisions par pays
Cadre applicable en matière de protection des données Loi n° 24 de 2023 sur la protection des données personnelles.
Autorité locale Conseil de la protection des données personnelles et unité de régulation de la protection des données personnelles au sein du ministère de l’Économie numérique et de l’Entrepreneuriat.
Dispositions locales prévalentes Les conditions locales de consentement/de traitement, les obligations de transparence, les droits des personnes concernées et les obligations du responsable du traitement s’appliquent lorsque la loi jordanienne régit le traitement.
Transferts internationaux / localisation Toute condition propre à la Jordanie applicable à la communication ou au transfert hors de Jordanie doit être vérifiée avant le transfert concerné.
Source de validation Ministère jordanien de l’Économie numérique et de l’Entrepreneuriat.
État du déploiement dans le pays Le déploiement de la protection des données en Jordanie est achevé et articule la réglementation locale avec le RGPD.
Addendum local – Inde
Le présent addendum complète le socle des mentions légales uniquement lorsque le droit applicable dans cette juridiction exige une règle, une information, une autorité, un droit, une condition de transfert ou une exigence en matière d’alerte professionnelle à caractère local. Si la réglementation locale est autre que le RGPD, le Groupe Astek articule ladite réglementation locale avec le RGPD et retient toujours la réglementation la plus protectrice de vos données à caractère personnel.

Variable locale Précisions par pays
Cadre applicable en matière de protection des données Loi de 2023 sur la protection des données personnelles numériques (Digital Personal Data Protection Act, 2023) et Règles de 2025 sur la protection des données personnelles numériques (Digital Personal Data Protection Rules, 2025).
Autorité locale Conseil indien de protection des données (Data Protection Board of India).
Dispositions locales prévalentes Le régime indien régit les données personnelles numériques relevant de son champ d’application territorial et utilise les notions de « Data Fiduciary » (fiduciaire de données) et de « Data Principal » (personne titulaire des données). Les exigences locales en matière d’information, de consentement/d’usages légitimes, de traitement des réclamations et de droits s’appliquent à la place de la terminologie du RGPD lorsqu’elles en diffèrent.
Transferts internationaux / localisation Appliquer toute restriction de transfert ou notification gouvernementale en vigueur au moment du transfert.
Source de validation Ministère de l’Électronique et des Technologies de l’information ; Gouvernement de l’Inde.
État du déploiement dans le pays Le déploiement de la protection des données en Inde reste à achever, de même que l’articulation de la réglementation locale avec le RGPD.
Addendum local – Arabie saoudite
Le présent addendum complète le socle des mentions légales uniquement lorsque le droit applicable dans cette juridiction exige une règle, une information, une autorité, un droit, une condition de transfert ou une exigence en matière d’alerte professionnelle à caractère local. Si la réglementation locale est autre que le RGPD, le Groupe Astek articule ladite réglementation locale avec le RGPD et retient toujours la réglementation la plus protectrice de vos données à caractère personnel.

Variable locale Précisions par pays
Cadre applicable en matière de protection des données Loi sur la protection des données personnelles (PDPL), telle que modifiée ; règlement d’application ; règlement relatif au transfert de données personnelles hors du Royaume.
Autorité locale Autorité saoudienne des données et de l’intelligence artificielle (SDAIA), en tant qu’autorité compétente.
Dispositions locales prévalentes La PDPL s’applique dans son champ d’application territorial et extraterritorial, y compris aux traitements pertinents de données personnelles relatives à des personnes résidant dans le Royaume effectués par des entités situées hors du Royaume. Les exigences propres à l’Arabie saoudite en matière de transparence, de droits, de base légale et d’obligations du responsable du traitement s’appliquent.
Transferts internationaux / localisation Les transferts hors du Royaume doivent respecter le règlement saoudien relatif aux transferts, notamment les conditions applicables en matière d’adéquation, de garanties, d’évaluation des risques et autres. Les règles saoudiennes relatives aux BCR sont distinctes de l’approbation des BCR au sein de l’UE.
Source de validation SDAIA / Plateforme nationale de gouvernance des données (National Data Governance Platform).
État du déploiement dans le pays Le déploiement de la protection des données en Arabie saoudite est achevé et articule la réglementation locale avec le RGPD.
Addendum local – Maroc
Le présent addendum complète le socle des mentions légales uniquement lorsque le droit applicable dans cette juridiction exige une règle, une information, une autorité, un droit, une condition de transfert ou une exigence en matière d’alerte professionnelle à caractère local. Si la réglementation locale est autre que le RGPD, le Groupe Astek articule ladite réglementation locale avec le RGPD et retient toujours la réglementation la plus protectrice de vos données à caractère personnel.

Variable locale Précisions par pays
Cadre applicable en matière de protection des données Loi n° 09-08 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et son décret d’application.
Autorité locale Commission Nationale de contrôle de la protection des Données à caractère Personnel (CNDP).
Dispositions locales prévalentes Les exigences locales en matière de finalité, de proportionnalité, de transparence, de droits et de formalités auprès de la CNDP s’appliquent lorsque la loi 09-08 régit le traitement.
Transferts internationaux / localisation Les exigences de la CNDP en matière de déclaration/d’autorisation et de transferts transfrontaliers doivent être vérifiées avant les transferts concernés.
Source de validation CNDP Maroc.
État du déploiement dans le pays Le déploiement de la protection des données au Maroc est achevé et articule la réglementation locale avec le RGPD.
Addendum local – Maurice
Le présent addendum complète le socle des mentions légales uniquement lorsque le droit applicable dans cette juridiction exige une règle, une information, une autorité, un droit, une condition de transfert ou une exigence en matière d’alerte professionnelle à caractère local. Si la réglementation locale est autre que le RGPD, le Groupe Astek articule ladite réglementation locale avec le RGPD et retient toujours la réglementation la plus protectrice de vos données à caractère personnel.

Variable locale Précisions par pays
Cadre applicable en matière de protection des données Loi de 2017 sur la protection des données (Data Protection Act 2017).
Autorité locale Bureau de la protection des données (Data Protection Office), dirigé par le Commissaire à la protection des données (Data Protection Commissioner).
Dispositions locales prévalentes Le régime mauricien s’inspire du RGPD et prévoit des principes locaux de protection des données, des obligations à la charge du responsable du traitement et des droits des personnes concernées.
Transferts internationaux / localisation Appliquer les conditions prévues par le Data Protection Act 2017 pour les transferts hors de Maurice ainsi que toute garantie applicable.
Source de validation Bureau mauricien de la protection des données (Data Protection Office).
État du déploiement dans le pays Le déploiement de la protection des données à Maurice est achevé et articule la réglementation locale avec le RGPD.
Addendum local – Émirats arabes unis
Le présent addendum complète le socle des mentions légales uniquement lorsque le droit applicable dans cette juridiction exige une règle, une information, une autorité, un droit, une condition de transfert ou une exigence en matière d’alerte professionnelle à caractère local. Si la réglementation locale est autre que le RGPD, le Groupe Astek articule ladite réglementation locale avec le RGPD et retient toujours la réglementation la plus protectrice de vos données à caractère personnel.

Variable locale Précisions par pays
Cadre applicable en matière de protection des données Décret-loi fédéral n° 45 de 2021 relatif à la protection des données personnelles, sous réserve de son champ d’application et de ses exclusions ; des règles propres aux zones franches peuvent en outre s’appliquer le cas échéant.
Autorité locale Bureau des données des Émirats arabes unis (UAE Data Office) au niveau fédéral ; les régulateurs sectoriels ou des zones franches peuvent également être compétents le cas échéant.
Dispositions locales prévalentes La PDPL fédérale prévoit des principes de traitement, des droits des personnes concernées et des obligations à la charge des responsables du traitement et des sous-traitants. Les régimes du DIFC ou de l’ADGM doivent faire l’objet d’une évaluation distincte si une activité d’Astek relève de ces juridictions.
Transferts internationaux / localisation Appliquer les exigences fédérales en matière de transferts transfrontaliers et, le cas échéant, les règles de la zone franche ou du secteur concerné.
Source de validation Portail officiel du gouvernement des Émirats arabes unis ; portail législatif des Émirats arabes unis.
État du déploiement dans le pays Le déploiement de la protection des données aux Émirats arabes unis est achevé et articule la réglementation locale avec le RGPD.
Addendum local – États-Unis d'Amérique
Le présent addendum complète le socle des mentions légales uniquement lorsque le droit applicable dans cette juridiction exige une règle, une information, une autorité, un droit, une condition de transfert ou une exigence en matière d’alerte professionnelle à caractère local. Si la réglementation locale est autre que le RGPD, le Groupe Astek articule ladite réglementation locale avec le RGPD et retient toujours la réglementation la plus protectrice de vos données à caractère personnel.

Variable locale Précisions par pays
Cadre applicable en matière de protection des données Aucune loi fédérale générale en matière de protection de la vie privée applicable au secteur privé ne régit l’ensemble des traitements effectués aux États-Unis. Des lois fédérales sectorielles, le FTC Act et un nombre croissant de lois générales des États en matière de protection de la vie privée peuvent s’appliquer selon l’activité, l’État et les seuils.
Autorité locale Federal Trade Commission (FTC) pour les questions relevant de sa compétence ; procureurs généraux des États (state attorneys general) et autorités des États chargées de la protection de la vie privée, le cas échéant (par ex. la California Privacy Protection Agency pour le CCPA/CPRA).
Dispositions locales prévalentes Tout déploiement aux États-Unis doit identifier les États dont les lois s’appliquent. Les informations destinées aux consommateurs et les droits doivent être complétés État par État lorsque les seuils sont atteints. La Californie constitue une évaluation prioritaire lorsque le CCPA/CPRA s’applique.
Transferts internationaux / localisation Le droit américain ne prévoit généralement pas de restriction générale des transferts comparable à celle du RGPD, mais des exigences contractuelles, sectorielles, étatiques et d’exportation étrangères peuvent néanmoins s’appliquer. Les transferts en provenance de l’EEE/du Royaume-Uni ou d’autres juridictions réglementées doivent demeurer couverts par le mécanisme de transfert de la juridiction d’origine.
Source de validation FTC ; California Privacy Protection Agency ; autorités des États compétentes.
État du déploiement dans le pays Le déploiement de la protection des données aux États-Unis d’Amérique reste à achever, de même que l’articulation de la réglementation locale avec le RGPD.
Addendum local – Chine
Le présent addendum complète le socle des mentions légales uniquement lorsque le droit applicable dans cette juridiction exige une règle, une information, une autorité, un droit, une condition de transfert ou une exigence en matière d’alerte professionnelle à caractère local. Si la réglementation locale est autre que le RGPD, le Groupe Astek articule ladite réglementation locale avec le RGPD et retient toujours la réglementation la plus protectrice de vos données à caractère personnel.

Variable locale Précisions par pays
Cadre applicable en matière de protection des données Loi sur la protection des informations personnelles de la République populaire de Chine (PIPL), ainsi que les règles applicables en matière de cybersécurité, de sécurité des données et de données transfrontalières.
Autorité locale Administration du cyberespace de Chine (CAC) et autres services investis de missions de protection des informations personnelles, dans leurs domaines de compétence respectifs.
Dispositions locales prévalentes La PIPL peut s’appliquer de manière extraterritoriale dans les circonstances prévues à son article 3. Lorsque l’article 53 s’applique, un responsable du traitement d’informations personnelles établi à l’étranger (« personal information processor » au sens de la PIPL) doit créer un organisme spécialisé ou désigner un représentant en Chine et déclarer les informations requises. Des règles relatives au consentement distinct et aux informations personnelles sensibles peuvent s’appliquer.
Transferts internationaux / localisation La communication transfrontalière d’informations personnelles doit reposer sur un mécanisme applicable prévu par la PIPL et satisfaire aux exigences en vigueur de la CAC en matière d’évaluation de sécurité, de contrat type ou de certification, lorsqu’elles sont déclenchées.
Source de validation Assemblée populaire nationale ; Administration du cyberespace de Chine.
État du déploiement dans le pays Le déploiement de la protection des données en Chine reste à achever, de même que l’articulation de la réglementation locale avec le RGPD.
Addendum local – Malaisie
Le présent addendum complète le socle des mentions légales uniquement lorsque le droit applicable dans cette juridiction exige une règle, une information, une autorité, un droit, une condition de transfert ou une exigence en matière d’alerte professionnelle à caractère local. Si la réglementation locale est autre que le RGPD, le Groupe Astek articule ladite réglementation locale avec le RGPD et retient toujours la réglementation la plus protectrice de vos données à caractère personnel.

Variable locale Précisions par pays
Cadre applicable en matière de protection des données Loi de 2010 sur la protection des données personnelles (Personal Data Protection Act 2010 – Act 709), telle que modifiée par la loi modificative de 2024 (Personal Data Protection (Amendment) Act 2024), ainsi que les règlements et lignes directrices associés.
Autorité locale Commissaire à la protection des données personnelles (Malaisie).
Dispositions locales prévalentes Le cadre malaisien modifié prévoit des exigences renforcées en matière de responsabilité, notamment des règles relatives à la notification des violations de données, à la désignation d’un DPO et d’autres obligations, le cas échéant.
Transferts internationaux / localisation Appliquer les règles malaisiennes en vigueur en matière de transferts transfrontaliers ainsi que les lignes directrices du Commissaire relatives aux transferts transfrontaliers.
Source de validation Commissaire à la protection des données personnelles (Malaisie).
État du déploiement dans le pays Le déploiement de la protection des données en Malaisie reste à achever, de même que l’articulation de la réglementation locale avec le RGPD.
Addendum local – Singapour
Le présent addendum complète le socle des mentions légales uniquement lorsque le droit applicable dans cette juridiction exige une règle, une information, une autorité, un droit, une condition de transfert ou une exigence en matière d’alerte professionnelle à caractère local. Si la réglementation locale est autre que le RGPD, le Groupe Astek articule ladite réglementation locale avec le RGPD et retient toujours la réglementation la plus protectrice de vos données à caractère personnel.

Variable locale Précisions par pays
Cadre applicable en matière de protection des données Loi de 2012 sur la protection des données personnelles (Personal Data Protection Act 2012 – PDPA) et ses règlements d’application.
Autorité locale Commission de protection des données personnelles (Personal Data Protection Commission – PDPC).
Dispositions locales prévalentes La PDPA établit des obligations de responsabilité, de notification, de consentement, de limitation des finalités, d’exactitude, de protection, de limitation de la conservation, de limitation des transferts, d’accès/de rectification et de notification des violations de données, sous réserve des exceptions légales.
Transferts internationaux / localisation Les transferts hors de Singapour doivent satisfaire à l’exigence de limitation des transferts prévue par la PDPA, consistant généralement à garantir un niveau de protection comparable, sauf exception applicable.
Source de validation PDPC Singapour.
État du déploiement dans le pays Le déploiement de la protection des données à Singapour reste à achever, de même que l’articulation de la réglementation locale avec le RGPD.
Addendum local – Royaume-Uni
Le présent addendum complète le socle des mentions légales uniquement lorsque le droit applicable dans cette juridiction exige une règle, une information, une autorité, un droit, une condition de transfert ou une exigence en matière d’alerte professionnelle à caractère local. Si la réglementation locale est autre que le RGPD, le Groupe Astek articule ladite réglementation locale avec le RGPD et retient toujours la réglementation la plus protectrice de vos données à caractère personnel.

Variable locale Précisions par pays
Cadre applicable en matière de protection des données UK GDPR ; Data Protection Act 2018, tel que modifié ; Data (Use and Access) Act 2025 (l’ensemble des dispositions relatives à la protection des données étant entrées en vigueur au plus tard en juin 2026).
Autorité locale Information Commissioner’s Office (ICO).
Dispositions locales prévalentes Les règles britanniques en matière de transparence et de droits des personnes s’appliquent lorsque le UK GDPR s’applique. La loi de 2025 a modifié certains aspects du droit britannique de la protection des données et doit être prise en compte dans les procédures propres au Royaume-Uni.
Transferts internationaux / localisation Appliquer le régime britannique des transferts internationaux, notamment les règlements d’adéquation du Royaume-Uni, l’accord britannique de transfert international de données (International Data Transfer Agreement)/l’Addendum britannique ou d’autres garanties autorisées, lorsque cela est requis.
Source de validation ICO.
État du déploiement dans le pays Le déploiement de la protection des données au Royaume-Uni est achevé et articule la réglementation locale avec le RGPD.
Addendum local – Australie
Le présent addendum complète le socle des mentions légales uniquement lorsque le droit applicable dans cette juridiction exige une règle, une information, une autorité, un droit, une condition de transfert ou une exigence en matière d’alerte professionnelle à caractère local. Si la réglementation locale est autre que le RGPD, le Groupe Astek articule ladite réglementation locale avec le RGPD et retient toujours la réglementation la plus protectrice de vos données à caractère personnel.

Variable locale Précisions par pays
Cadre applicable en matière de protection des données Privacy Act 1988 et principes australiens de protection de la vie privée (Australian Privacy Principles – APP), lorsque la loi s’applique.
Autorité locale Office of the Australian Information Commissioner (OAIC).
Dispositions locales prévalentes Les entités soumises aux APP doivent respecter les 13 APP, notamment en matière de gestion ouverte et transparente, d’information lors de la collecte, d’utilisation/de communication, de prospection directe, de communication transfrontalière, de sécurité, d’accès et de rectification. L’assujettissement dépend du champ d’application prévu par la loi, notamment en fonction du chiffre d’affaires et de catégories déterminées.
Transferts internationaux / localisation L’APP 8 régit la communication transfrontalière pour les entités assujetties, sous réserve des exceptions légales.
Source de validation OAIC.
État du déploiement dans le pays Le déploiement de la protection des données en Australie reste à achever, de même que l’articulation de la réglementation locale avec le RGPD.