Informations sur le traitement des données à caractère personnel par les utilisateurs des services de paiement

(Règlement UE 2016/679, ci-après le «Règlement»)

Dans le présent document, Axerve S.p.A. (ci-après dénommée la « Société ») informe les personnes concernées du traitement des données à caractère personnel effectué dans le cadre de son service d'autorisation, de traitement et de règlement des paiements. En particulier, vous trouverez ici des informations sur:

1. Qui est le responsable du traitement des données?
2. Comment contacter le délégué à la protection des données?
3. Quelles données sont ou peuvent être traitées et quelles sont les sources des données?
4. Sur quelle base juridique et à quelles fins les données sont-elles traitées?
5. À qui les données peuvent-elles être communiquées?
6. Les données peuvent-elles être transférées en dehors de l'Espace économique européen
7. Combien de temps les données sont-elles conservées?
8. Quels sont les droits accordés aux personnes concernées?

1. Qui est le responsable du traitement des données?

Le responsable du traitement des données est Axerve S.p.A. (ci-après, le «Responsable») dont le siège social est situé à Biella (BI) - 13900, Piazza Gaudenzio Sella, n° 1 - Tél. 015 2526511.

2. Comment contacter le délégué à la protection des données?

Le délégué à la protection des données (ci-après également dénommé «DPO – Data Protection Officer») peut être contacté aux adresses suivantes:

• adresse postale d’Axerve S.p.A.: Piazza Gaudenzio Sella n. 1, 13900, Biella - DPO;
• adresse e-mail: privacy@axerve.com

3. Quelles données sont ou peuvent être traitées et quelles sont les sources des données?

Le traitement concerne les données à caractère personnel de l’utilisateur des services de paiement(ci-après, «Personne concernée») effectué dans le cadre du service consistant à permettre l’autorisation, le traitement et le règlement des paiements par le biais de tout instrument de paiement entre le commerçant auprès duquel un achat en ligne est effectué (ci-après, le Commerçant) et la Personne concernée qui effectue l’achat, en permettant au Commerçant d’accepter et d’encaisser des paiements électroniques par l’intermédiaire de tiers (ci-après, le «Service»).

En particulier, la Société traite des données appartenant aux catégories suivantes:

• les données d’identification et de contact (telles que: nom, prénom, adresse e-mail);
• les informations relatives aux opérations de paiement (telles que: les informations de la carte utilisée pour le paiement, l’objet, le Commerçant bénéficiaire et le montant de l’opération de paiement).

Les données susmentionnées sont fournies personnellement à la Société en remplissant des formulaires de saisie spécifiques pour l’opération de paiement.

4. Sur quelle base juridique et à quelles fins les données sont-elles traitées?

Le traitement des données à caractère personnel est effectué, par la Société et/ou par des tiers pour son compte, exclusivement en vertu de l’une des bases juridiques suivantes et est limité à la poursuite des objectifs connexes:

• exécution d’un contrat auquel la personne concernée est partie ou exécution de mesures précontractuelles prises à la demande de la personne concernée, conformément à l’art. 6 par. 1 point b) du Règlement, afin de mettre en œuvre le Service;
• exécution d’une obligation légale à laquelle le Responsable du traitement est soumis, conformément à l’art. 6, par. 1 point c) du Règlement et notamment afin de remplir les obligations liées au Service (par exemple, le cas échéant: traitement des plaintes, lutte contre le blanchiment d’argent et le terrorisme, etc.)
• si le Commerçant chez qui l’achat est effectué a souscrit au service de prévention des fraudes, intérêt légitime du responsable du traitement des données ou de tiers dans la prévention des fraudes au paiement, en vertu de l’art. 6, par. 1 point f) du Règlement, afin d’analyser le niveau de risque de fraude des transactions.

En ce qui concerne les finalités susmentionnées, la fourniture des données est obligatoire et le consentement de la Personne concernée n’est pas requis; le fait de ne pas fournir une ou plusieurs données rendra impossible l’exécution du Service.

Le traitement est effectué à l’aide d’outils manuels, informatiques et télématiques. La Société prend des mesures organisationnelles et techniques appropriées pour assurer la sécurité et la confidentialité des données à caractère personnel.

5. À qui les données peuvent-elles être communiquées?

Les données à caractère personnel peuvent être communiquées et/ou traitées par les catégories de personnes suivantes, aux mêmes fins que celles exprimées au paragraphe 4:

• entités publiques dans le cadre des rapports réglementaires (par exemple, les autorités de surveillance);
• entités indépendantes (appelées acquéreurs) qui traitent les paiements avec des cartes de crédit ou de débit appartenant à des circuits de crédit et de débit nationaux et internationaux;
• sociétés du Groupe Sella, filiales ou affiliées conformément à l’art. 2359 du Code civil italien, en cas de détection de transactions jugées suspectes, ainsi que les sociétés du Groupe Sella qui fournissent l’infrastructure technologique pour la fourniture du Service et les activités d’assistance technique;
• si le Commerçant a souscrit au service de prévention des fraudes proposé par la Société, Riskified Ltd., dont la politique de confidentialité peut être consultée à l’adresse suivante https://www.riskified.com/privacy/.

Ces personnes, si les conditions préalables sont remplies, sont désignées comme Sous-traitants, conformément à l’art. 28 du Règlement.

6. Les données peuvent-elles être transférées en dehors de l’Espace économique européen?

La Société peut autoriser l’accès aux données, en mode tracé, à la société Sella India Software Services Private Limited, basée en Inde, sur la base de clauses contractuelles standard, approuvées par la Commission européenne, pour garantir l’adéquation de la protection des données, pour des activités d’assistance technique, visant à enquêter et à résoudre des situations anormales, signalées par des clients ou des employés de la Société. Les données à caractère personnel ne sont pas stockées auprès de la société étrangère, mais sont accessibles à distance tout en continuant à résider dans le système d’information de la Société.

En outre, si le Commerçant a souscrit au service de prévention des fraudes, certaines données seront transférées en dehors de l’Espace économique européen et, plus précisément, en Israël, à la société Riskified Ltd, dans le but d’analyser le niveau de risque de fraude. Le transfert est autorisé car la Commission européenne a reconnu Israël comme un pays tiers garantissant un niveau de protection adéquat des données à caractère personnel. Par l’intermédiaire de la société Riskified Ltd, les données peuvent également être transférées en dehors de l’Espace économique européen en présence de garanties appropriées ou des exemptions spécifiques prévues par le règlement (par exemple, les États-Unis).

7. Combien de temps les données sont-elles conservées?

Les données à caractère personnel sont traitées et conservées pendant la période nécessaire à la réalisation de l’objectif de fourniture du Service, sous réserve des délais de conservation prévus par la loi et à des fins de défense propre ou de tiers et jusqu’à l’expiration du délai de prescription légal applicable. En particulier, conformément aux dispositions de la Banque d’Italie pour la conservation et la fourniture de documents, de données et d’informations aux fins de la lutte contre le blanchiment d’argent et le financement du terrorisme, le cas échéant, les données relatives à l’exécution du Service (données d’identification et de contact et données relatives aux opérations de paiement) sont conservées pendant 10 ans après la fin de la relation avec le Commerçant.

À la fin de la période de stockage, les données à caractère personnel relatives aux Personnes concernées seront stockées sous une forme ne permettant pas leur identification (par exemple, anonymisation irréversible), à moins que leur traitement ne soit nécessaire pour une ou plusieurs des finalités suivantes:

• résolution de précontentieux et/ou de litiges engagés avant l’expiration de la période de conservation;
• assurer le suivi des enquêtes/inspections menées par les fonctions de contrôle interne et/ou les autorités externes et lancées avant l’expiration de la période de conservation;
• répondre aux demandes des autorités publiques italiennes et/ou étrangères reçues/notifiées à la société avant l’expiration de la période de conservation.

8. Quels sont les droits accordés aux personnes concernées?

Les Personnes concernées peuvent exercer des droits spécifiques en matière de protection des données, énumérés ci-dessous:

Nous vous informons également que vous avez le droit de révoquer à tout moment tout consentement que vous auriez donné pour un traitement spécifique, sans préjudice de la légalité du traitement effectué avant la révocation.

Pour exercer vos droits et pour toute information concernant le traitement de vos données à caractère personnel, veuillez envoyer une demande aux adresses suivantes:

• adresse postale d’Axerve S.p.A.: Piazza Gaudenzio Sella n. 1, Biella (BI) – 13900;
• adresses e-mail: privacy@axerve.com

La Société fournit des informations sur les mesures prises concernant la demande sans retard excessif et au plus tard dans un délai d’un mois à compter de la réception de la demande.

Document mis à jour le 21/12/2022