Politique de confidentialité – DHORANI

Introduction

La présente politique de confidentialité a pour objectif d’informer les utilisateurs de la plateforme DHORANI sur la manière dont les données à caractère personnel sont collectées, utilisées, traitées, conservées et sécurisées dans le cadre du fonctionnement de la solution.

DHORANI est une solution numérique développée et exploitée par BENGA permettant notamment d’accompagner le processus d’orientation des bénéficiaires du RSA.

La protection des données personnelles constitue une composante essentielle de la conception et de l’exploitation de DHORANI.

Les traitements réalisés dans le cadre de la plateforme sont mis en œuvre conformément au Règlement général sur la protection des données (RGPD), à la loi Informatique et Libertés ainsi qu’aux autres dispositions légales et réglementaires applicables.

La présente politique précise notamment la nature des données susceptibles d’être traitées, leurs finalités, les personnes pouvant y accéder, les mesures de protection mises en œuvre et les droits dont disposent les personnes concernées.

1. Responsable du traitement et rôle de BENGA

DHORANI est éditée, développée, administrée techniquement et exploitée par :

BENGA
SARL au capital de 100 000 €
SIRET : 839024932
RCS d’Évry
12 rue du Parc
91480 Varennes-Jarcy – France

Responsable de publication : Lionel Mezu

Dans le cadre d’un déploiement de DHORANI pour le compte d’un Département ou d’un organisme public, la détermination du responsable du traitement dépend du dispositif dans lequel DHORANI est utilisé et du cadre juridique applicable.

Lorsque BENGA traite les données personnelles pour le compte et sur instruction d’un Département ou d’un autre organisme responsable du traitement, BENGA intervient en qualité de sous-traitant au sens de l’article 28 du RGPD.

BENGA assure alors le traitement technique des données dans les limites des finalités, instructions et conditions définies avec le responsable du traitement.

Les responsabilités respectives des parties sont précisées dans les documents contractuels et RGPD applicables au déploiement concerné.

Pour toute question concernant la protection des données personnelles :

rgpd@benga.fr

2. Nature des données traitées

DHORANI traite les données nécessaires au fonctionnement du dispositif d’orientation et à la réalisation du parcours du bénéficiaire.

Selon le dispositif concerné et les informations transmises par le responsable du traitement, les données peuvent notamment comprendre :

Données d’identification
  • nom ;
  • prénom ;
  • civilité ;
  • date de naissance ;
  • numéro d’allocataire CAF ou MSA ;
  • NIR lorsque son traitement est légalement autorisé et nécessaire.
Coordonnées
  • adresse postale ;
  • adresse électronique ;
  • numéro de téléphone ;
  • territoire ou secteur de rattachement.
Données relatives au questionnaire d’orientation

DHORANI recueille les réponses apportées par le bénéficiaire au questionnaire permettant d’analyser sa situation au regard des critères d’orientation définis dans le dispositif.

Les catégories d’informations effectivement recueillies dépendent de la version du questionnaire et des règles métier applicables au dispositif concerné.

Données résultant du traitement d’orientation

La plateforme peut notamment enregistrer :

  • l’état d’avancement du questionnaire ;
  • les réponses apportées ;
  • le résultat du traitement réalisé par le moteur d’orientation ;
  • la proposition d’orientation ;
  • le rapport d’orientation ;
  • les informations nécessaires au suivi du dossier ;
  • les éventuelles actions et relances effectuées par les professionnels habilités.
Données techniques

Certaines informations techniques peuvent être enregistrées afin d’assurer le fonctionnement et la sécurité de DHORANI :

  • adresse IP ;
  • date et heure de connexion ;
  • informations relatives au navigateur et au terminal ;
  • événements d’authentification ;
  • journaux techniques ;
  • actions sensibles effectuées sur la plateforme ;
  • informations nécessaires à la détection d’anomalies ou de tentatives d’accès non autorisées.
3. Origine des données

Les données traitées dans DHORANI peuvent provenir de plusieurs sources.

Certaines informations peuvent être transmises à la plateforme par le Département, la CAF, la MSA ou tout autre organisme ou système d’information autorisé dans le cadre du dispositif concerné.

Les données peuvent notamment être intégrées dans DHORANI au moyen de flux sécurisés ou de fichiers structurés transmis selon les modalités convenues avec le responsable du traitement.

D’autres informations sont fournies directement par le bénéficiaire lorsqu’il complète son questionnaire d’orientation.

Enfin, certaines données techniques sont générées automatiquement lors de l’utilisation de la plateforme afin d’assurer son fonctionnement, sa sécurité et sa traçabilité.

4. Finalités des traitements

Les données traitées dans DHORANI sont utilisées exclusivement pour les finalités définies dans le cadre du dispositif concerné.

Elles permettent notamment de :

  • identifier le bénéficiaire ;
  • permettre son accès sécurisé à DHORANI ;
  • mettre à disposition le questionnaire d’orientation ;
  • enregistrer les réponses apportées au questionnaire ;
  • analyser les informations nécessaires au processus d’orientation ;
  • appliquer les règles métier définies pour le dispositif ;
  • produire une proposition d’orientation ;
  • générer un rapport d’orientation ;
  • permettre aux professionnels habilités de consulter les informations nécessaires au traitement du dossier ;
  • suivre l’avancement des questionnaires ;
  • identifier les questionnaires non commencés, interrompus ou non finalisés ;
  • organiser les relances nécessaires ;
  • suivre les délais de traitement ;
  • produire des indicateurs et statistiques nécessaires au pilotage du dispositif ;
  • assurer le support technique ;
  • assurer la sécurité et la traçabilité des accès ;
  • prévenir et détecter les utilisations frauduleuses ou les incidents de sécurité ;
  • assurer le maintien en conditions opérationnelles de la plateforme.

Les données ne sont pas utilisées par BENGA pour des finalités commerciales étrangères au fonctionnement de DHORANI.

5. Traitement réalisé par le moteur d’orientation

DHORANI comporte un moteur permettant d’analyser les réponses apportées au questionnaire selon les règles métier configurées pour le dispositif concerné.

À partir des informations recueillies, le système peut produire une proposition et un rapport d’orientation destinés aux professionnels habilités.

Les règles utilisées par le moteur sont définies, documentées et paramétrées dans le cadre du dispositif concerné.

Elles peuvent évoluer notamment afin de tenir compte des évolutions réglementaires, des modalités d’organisation du dispositif ou des décisions prises par les acteurs compétents.

DHORANI constitue un outil permettant d’automatiser et d’assister le processus d’orientation.

Les conditions dans lesquelles le résultat produit par DHORANI est utilisé, validé ou éventuellement modifié sont déterminées par le responsable du traitement et les autorités ou professionnels compétents dans le cadre du dispositif.

6. Traitement du NIR

Dans certains déploiements, DHORANI peut être amené à traiter le numéro d’inscription au répertoire national d’identification des personnes physiques (NIR).

Compte tenu du régime juridique particulier applicable au NIR, celui-ci n’est traité que lorsque son utilisation est autorisée par le cadre juridique applicable et nécessaire à la finalité du traitement concerné.

Lorsque le NIR est utilisé dans DHORANI, son traitement est limité aux opérations pour lesquelles cette donnée est nécessaire.

Son accès est limité aux systèmes, traitements et personnes dûment habilités.

Le NIR n’est pas utilisé par BENGA à des fins commerciales ou pour des finalités étrangères au dispositif dans lequel DHORANI est déployé.

7. Base légale des traitements

La base juridique applicable aux traitements réalisés au moyen de DHORANI est déterminée par le responsable du traitement en fonction du dispositif concerné et des missions exercées.

Dans le cadre de dispositifs publics d’orientation et d’accompagnement des bénéficiaires du RSA, les traitements peuvent notamment être nécessaires à l’exécution d’une mission d’intérêt public ou au respect d’une obligation légale, lorsque les conditions prévues par la réglementation sont réunies.

Certains traitements particuliers peuvent reposer sur une autre base juridique lorsque le contexte le justifie.

Lorsque le consentement constitue effectivement la base juridique d’un traitement particulier, la personne concernée est informée des modalités lui permettant de retirer ce consentement.

Le simple accès à DHORANI ne signifie donc pas que l’ensemble des traitements repose sur le consentement du bénéficiaire.

8. Destinataires des données

Les données traitées dans DHORANI sont accessibles uniquement aux personnes dont les fonctions nécessitent cet accès et dans la limite des habilitations qui leur sont attribuées.

Selon le dispositif, les destinataires peuvent notamment comprendre :

  • les professionnels chargés de l’orientation ;
  • les agents habilités du Département ;
  • les responsables et administrateurs autorisés ;
  • les organismes ou partenaires habilités dans le cadre du dispositif ;
  • les équipes techniques BENGA lorsque leur intervention est nécessaire à l’exploitation, à la maintenance ou au support de la plateforme ;
  • les prestataires techniques intervenant pour le compte de BENGA et soumis à des obligations de confidentialité et de sécurité.

Les données peuvent également être communiquées aux autorités administratives ou judiciaires lorsque cette communication est imposée ou autorisée par la loi.

Les habilitations sont définies afin que chaque utilisateur professionnel accède uniquement aux informations nécessaires à l’exercice de ses missions.

9. Conservation des données

Les données personnelles sont conservées pendant une durée limitée aux besoins du traitement et aux obligations applicables au dispositif.

La durée exacte peut dépendre de la nature des données, du statut du dossier, des obligations réglementaires et des instructions du responsable du traitement.

Dans le cadre de l’exploitation standard de DHORANI, une politique de conservation peut prévoir une durée maximale de 24 mois d’inactivité, sauf lorsqu’une durée différente résulte d’une obligation légale, réglementaire, contractuelle ou d’une instruction justifiée du responsable du traitement.

À l’issue de la durée applicable, les données sont supprimées, anonymisées ou, lorsque cela est légalement nécessaire, archivées selon des modalités sécurisées.

Les journaux techniques et de sécurité disposent de leurs propres durées de conservation conformément aux nécessités de sécurité et de traçabilité du système.

10. Hébergement et localisation des données

Les données de DHORANI sont hébergées sur des infrastructures situées en France.

L’hébergement principal est assuré par OVHcloud, dont le siège social est situé :

2 rue Kellermann
59100 Roubaix – France

L’architecture technique comprend les mécanismes nécessaires au stockage, à la sauvegarde, à la supervision et à la continuité du service.

Dans le cadre de l’exploitation prévue de DHORANI, aucun transfert de données personnelles hors de l’Union européenne n’est prévu.

11. Sécurité des données

BENGA met en œuvre des mesures techniques et organisationnelles destinées à garantir un niveau de sécurité adapté aux données traitées dans DHORANI.

Ces mesures comprennent notamment :

  • communications sécurisées par HTTPS/TLS ;
  • chiffrement des données sensibles ;
  • chiffrement des sauvegardes ;
  • stockage sécurisé des mots de passe sous forme hachée ;
  • mécanismes d’authentification sécurisés ;
  • gestion des rôles et habilitations ;
  • authentification renforcée pour les profils concernés ;
  • journalisation des événements sensibles ;
  • contrôle des accès ;
  • protection contre les principales attaques applicatives ;
  • sauvegardes régulières ;
  • supervision des infrastructures ;
  • mises à jour de sécurité ;
  • procédures de restauration et de reprise d’activité ;
  • contrôles et audits de sécurité.

Les accès techniques réalisés par BENGA sont limités aux besoins nécessaires à l’exploitation, à la maintenance, au support et à la sécurité de la plateforme.

12. Violations de données et incidents de sécurité

BENGA dispose de procédures permettant d’identifier, qualifier et traiter les incidents susceptibles d’affecter la confidentialité, l’intégrité ou la disponibilité des données.

Lorsqu’un incident affectant des données personnelles est identifié, BENGA met en œuvre les mesures nécessaires afin d’en limiter les conséquences et en informe le responsable du traitement conformément aux dispositions contractuelles et réglementaires applicables.

Lorsque les conditions prévues par le RGPD sont réunies, le responsable du traitement procède à la notification de la violation auprès de la CNIL dans les délais réglementaires applicables, notamment dans la limite de 72 heures après en avoir pris connaissance lorsque cette obligation s’applique.

BENGA fournit au responsable du traitement les informations dont elle dispose et nécessaires à l’analyse de l’incident et au respect de ses obligations.

13. Cookies et technologies similaires

DHORANI utilise des cookies ou technologies similaires nécessaires au fonctionnement de la plateforme, notamment afin de :

  • assurer l’authentification ;
  • maintenir les sessions utilisateurs ;
  • sécuriser les accès ;
  • assurer le fonctionnement technique du service ;
  • prévenir certaines utilisations frauduleuses.

Lorsque des cookies ou traceurs non strictement nécessaires sont utilisés, les règles applicables en matière d’information et, lorsqu’il est requis, de recueil du consentement sont appliquées.

La désactivation de certains cookies strictement nécessaires peut empêcher le fonctionnement correct de la plateforme ou de certaines fonctionnalités.

14. Services tiers et sous-traitants

BENGA peut faire appel à des prestataires techniques nécessaires au fonctionnement, à la sécurité, à l’hébergement, à la sauvegarde ou à la maintenance de DHORANI.

Ces prestataires interviennent dans le cadre des missions qui leur sont confiées et sont soumis aux obligations contractuelles nécessaires en matière de confidentialité, de protection et de sécurité des données.

L’hébergement principal de DHORANI est assuré par OVHcloud en France.

BENGA veille à ce que l’intervention de ses éventuels sous-traitants ultérieurs respecte les obligations applicables en matière de protection des données personnelles.

15. Droits des personnes concernées

Conformément au RGPD et à la loi Informatique et Libertés, les personnes concernées disposent, selon la nature et la base juridique du traitement, de différents droits concernant leurs données personnelles.

Ces droits peuvent notamment comprendre :

  • le droit d’accès ;
  • le droit de rectification ;
  • le droit à l’effacement, lorsque les conditions légales sont réunies ;
  • le droit à la limitation du traitement ;
  • le droit d’opposition, lorsque celui-ci est applicable ;
  • le droit à la portabilité, lorsque les conditions prévues par le RGPD sont réunies ;
  • le droit de retirer son consentement lorsque le traitement concerné repose sur celui-ci.

Dans le cadre d’un dispositif départemental, les demandes relatives à l’exercice des droits peuvent être adressées au responsable du traitement indiqué dans les mentions d’information propres au dispositif.

BENGA peut également être contactée pour toute question relative à la protection des données :

rgpd@benga.fr

Lorsqu’elle agit en qualité de sous-traitant, BENGA assiste le responsable du traitement dans le traitement des demandes conformément aux obligations applicables.

Les personnes concernées disposent également du droit d’introduire une réclamation auprès de la CNIL.

16. Données statistiques et anonymisation

DHORANI peut produire des statistiques permettant notamment de suivre :

  • le nombre de bénéficiaires intégrés ;
  • le nombre de questionnaires commencés et terminés ;
  • le nombre de dossiers nécessitant une relance ;
  • le nombre d’orientations produites ;
  • les délais de traitement ;
  • l’activité globale du dispositif.

Lorsque la finalité poursuivie ne nécessite pas l’identification des bénéficiaires, les données utilisées pour les restitutions statistiques peuvent être agrégées ou anonymisées.

Les données effectivement anonymisées, ne permettant plus d’identifier directement ou indirectement une personne physique, ne constituent plus des données à caractère personnel au sens du RGPD.

17. Évolution de la politique de confidentialité

La présente politique peut être modifiée afin de tenir compte des évolutions légales, réglementaires, techniques, fonctionnelles ou organisationnelles de DHORANI.

En cas de modification substantielle concernant le traitement des données personnelles, les modalités d’information appropriées sont mises en œuvre conformément au cadre applicable.

La version applicable est celle mise à disposition sur la plateforme DHORANI.

18. Contact et protection des données

Pour toute question concernant la présente politique ou le traitement des données personnelles dans DHORANI :

BENGA – Service protection des données
12 rue du Parc
91480 Varennes-Jarcy – France

E-mail : rgpd@benga.fr

Support technique : support@benga.fr

Pour les demandes relatives à l’exercice des droits, les coordonnées du responsable du traitement concerné sont également indiquées dans les mentions d’information correspondant au dispositif dans lequel DHORANI est utilisé.

Les personnes concernées peuvent introduire une réclamation auprès de la Commission nationale de l’informatique et des libertés (CNIL).