1. Préambule

1. Qui est le responsable du traitement de vos données ? 

1. Catégories de données traitées 

1. remplit le dossier d’adhésion 
2. met à jour le portail adhérent 
3. nous transmet la liste des salariés que nous devons prendre en charge au titre de leur suivi santé travail 
4. participe à des ateliers de prévention 
5. convoque les salariés aux visites médicales réglementaires

1. ils sont pris en charge par les professionnels de santé du GIMAC(mise à jour d’information administrative, transmission de données de santé), échangent avec des professionnels du GIMAC,
2. Participent à des ateliers, 
3. Participent enquêtes de satisfaction, etc.

1. Les finalités de nos traitements 

1. Le traitement de vos données nous permet de répondre à nos obligations légales et réglementaires 

1. à l’accomplissement des missions légales du GIMAC prévues par le code du travail (articles L4621-1 et suivants ainsi que des dispositions réglementaires prises en application de la loi), - 
2. à l’accomplissement des missions des professionnels de santé que Le GIMAC emploient en vertu du code de santé publique,
3. à des missions des différents professionnels qu’il emploie (assistantes sociales, salariés administratifs, etc) prévues par les différents textes légaux (code de l’action sociale et des familles, code du travail, etc). Parmi les textes légaux justifiant les traitements de données sur vos données figurent :

1. Conduisent les actions de santé au travail, dans le but de préserver la santé physique et mentale des travailleurs tout au long de leur parcours professionnel, 
2. Conseillent les employeurs, les travailleurs et leurs représentants sur les dispositions et mesures nécessaires afin d’éviter ou de diminuer les risques professionnels, d’améliorer les conditions de travail, de prévenir la consommation d’alcool et de drogue sur le lieu de travail, de prévenir le harcèlement sexuel ou moral, de prévenir ou de réduire les effets de l’exposition aux facteurs de risques professionnels mentionnés à l’article L. 4161-1 et la désinsertion professionnelle et de contribuer au maintien dans l’emploi des travailleurs, 
3. Assurent la surveillance de l’état de santé des travailleurs en fonction des risques concernant leur santé au travail et leur sécurité et celle des tiers, des effets de l’exposition aux facteurs de risques professionnels mentionnés à l’article L. 4161-1 et de leur âge, 
4. Participent au suivi et contribuent à la traçabilité des expositions professionnelles et à la veille sanitaire. »

4.2 Le traitement de vos données nous permet d’exécuter nos différents contrats ou d’obtenir des éléments précontractuels 

• Contrats avec différents prestataires et fournisseurs (informatique, juridique, électricité, télécom, etc) 
• Contrats et conventions avec des partenaires (CARSAT, DRIEETS, et autres institutions administratives et/ou de prévention en santé travail).

4.3 Le traitement de vos données nous permet de faire valoir nos intérêts légitimes 

• Entamer une démarche qualité afin d’évaluer, développer et adapter notre offre de service au bénéfice de l’adhérent et de ses salariés,
• Défendre nos intérêts en justice, notamment à des fins de : 

• Preuve de nos accords, actions et interventions, 
• Gestion et administration de notre système d'information, 
• Continuité de notre offre de service, o Sécurité des personnes, o La gestion des impayés et du recouvrement, 
• La gestion des recours, des réclamations et des contentieux, 
• La lutte contre la fraude, 

• Création de base de tests informatiques et de statistiques pour le suivi de notre activité en interne.
• Réaliser des enquêtes qui ne seraient pas en lien direct avec notre activité tout en ayant un intérêt légitime (ex : étude de besoins, satisfaction…) Toutes les données traitées peuvent être agrégées en statistiques anonymisées à des fins d’enquêtes et d’études. Les résultats de ces enquêtes anonymes peuvent être transmis à nos partenaires (Présanse, branche professionnelle, CRAMIF….) ou à la DRIEETS, notre autorité de tutelle.

1. Destinataires de vos données personnelles 

1. En interne au GIMAC: 

• Aux personnels de notre service, dûment habilités selon la finalité du traitement poursuivi, 
• Aux professionnels de santé en charge du dossier médical en santé au travail (DMST), 

1. En externe : 

• À nos prestataires de services et sous-traitants réalisant des prestations pour notre compte et dans le cadre de ce qui leur est strictement nécessaire, 
• À nos partenaires éventuels dans le cadre d’enquêtes et d’études réalisées par notre service. Les données traitées étant alors agrégées en statistiques anonymisées, 
• Aux administrations, organismes publics, autorités judiciaires sur demande et dans la limite de ce qui est permis par la réglementation.

1. En cas de transmission directe du dossier médical au salarié concerné ou au médecin de son choix, ainsi qu’à ses ayants droits dans les cas légalement prévus, 
2. En cas de transmission du dossier médical au médecin inspecteur du travail s’il en fait la demande, selon les dispositions légales applicables 
3. En cas de demande d’informations sociales à la demande de nos partenaires lorsque ces derniers ont été saisis directement par le salarié suivi dans le cadre de sa prise en charge sociale, 
4. En cas de communications d’éléments médicaux et/ou sociaux aux autorités judiciaires, avocats, sur demande, et dans la limite de ce qui est permis par la réglementation.

1. Transfert de données personnelles hors de l’UE 

1. Délais de conservation

1. Comment sont protégées vos données ? 

• Rédaction d’une Analyse d’Impact (PIA) au préalable d’un traitement présentant un risque particulier pour les personnes concernées :
  • Respect du principe du Privacy by Design
  • Intégration du DPO avant tout nouveau projet de traitement de données personnelles

• Une sécurité informatique à la pointe de la technologie
  • Infrastructure de serveurs sécurisés et hébergés dans des locaux séparés (serveur principal et back-up),
  • Sauvegardes quotidiennes des serveurs sur disques,
  • Pare-feu et antivirus sur tous les PC avec une gestion centralisée des mises à jour de licence.
  • Des outils informatiques dédiées aux SPSTI :
  • Logiciel Pulse conçu spécifiquement pour les SPSTI avec un accès restreint aux données de santé, aux seules personnes habilitées, qui fait l’objet d’une journalisation,
  • Connexion cryptée au portail des adhérents (protocole HTTPS),
  • Hébergement des données dans un environnement HDS par Trustteam-Evolis en Belgique.
• Des bâtiments sécurisés :
  • Zones d’archivages sécurisées,
  • Sites équipés de moyens de détection et de lutte contre les incendies (RIA, extincteurs, désenfumage…), vérifiés conformément par des organismes indépendants.
• De la sensibilisation régulière aux risques informatiques :
  • Plan de Continuité d’Activité avec tests annuels,
  • Charte informatique distribuée à chaque nouveau collaborateur,
  • Modification des mots de passe selon les recommandations de la Cnil et de l’ANSSI,
  • Sensibilisation des collaborateurs via des communications diverses.

• La conformité au RGPD de nos sous-traitants et fournisseurs
  • Clauses RGPD au contrat,
  • Clause de confidentialité des collaborateurs du sous-traitant,
  • Audits.

1. Quels sont vos droits sur vos données ? 

• Droit d'information et d’accès : droit d’obtenir des informations concernant les traitements des données personnelles les concernant ainsi qu’une copie de ces données personnelles,
• Droit à la limitation du traitement : toute personne peut demander que le traitement de ses données personnelles soit limité uniquement à ce qui est strictement nécessaire, 
• Droit de vérification et de rectification : toute personne peut demander la modification de ses données personnelles lorsqu’elles sont inexactes ou incomplètes, 
• Droit de définir des directives relatives à la conservation, l’effacement ou la communication des données personnelles, applicables après le décès, dans la limite de ce qui est permis par la législation en vigueur, 
• Droit au consentement : lorsqu’un consentement est nécessaire pour la mise en œuvre par Le GIMAC d’un traitement des données personnelles, nous procédons à l’information des personnes concernées et demandons leur consentement, 
• Droit de retirer un consentement : en cas de mise en œuvre d’un traitement de données personnelles nécessitant un consentement de la personne concernée, elle a le droit de retirer ce consentement à tout moment, sous réserve de la réglementation en vigueur, 

• Droit à l’effacement : à l’exception de certaines données concernant la traçabilité du suivi et des actions en santé au travail, il est possible de nous demander l’effacement des données personnelles dans les limites et conditions réglementaires en vigueur, 
• Droit d’opposition : à l’exception des données concernant la traçabilité du suivi et des actions en santé au travail, et sauf autre exception réglementaire, les personnes concernées peuvent s’opposer au traitement de leurs données personnelles pour des motifs liés à leur situation particulière, 
• Droit à la portabilité des données : lorsqu’il est applicable, il s’agit du droit, pour les personnes concernées, de demander que les données personnelles qu’elles ont fournies leur soient rendues ou, lorsque cela est possible techniquement, de les transférer directement à un tiers.

1. Le Délégué à la Protection des Données (DPO)