É«¶à¶àÊÓƵ

NOTICE D’INFORMATION RELATIVE AU TRAITEMENT DES DONNEES PERSONNELLES

Par le biais de cette notice, nous vous informerons des modalités de traitement des données à caractère personnel par É«¶à¶àÊÓƵet les droits des personnes concernées en vertu de la règlementation applicable en matière de protection des données.

Les informations contenues dans cette notice décrivent comment É«¶à¶àÊÓƵrecueille, utilise, partage et protège vos données à caractère personnel et expliquent les droits dont vous disposez en matière d’utilisation, d’accès et de rectification de vos données.

Les informations dans cette notice sont destinées à toutes les personnes physiques concernées par le traitement de leurs données à caractère personnel dans le cadre du contrat d'assurance souscrite. Si ceux-ci ne sont pas identiques au preneur d'assurance, il sera de son obligation d'assurer la communication de cet avis aux personnes concernées.

 

Responsable du traitement des données personnel au sens de l’art 4 n° 7 RGPD

XL Catlin Services SE

Wolfe Tone House
Wolfe Tone Street
Dublin 1
D01 HP90
Irlande

XL Catlin Services SE (Succursale Antwerp)

É«¶à¶àÊÓƵCatlin Shared Services Europe - Belgique 
Uitbreidingstraat 10-16 
Antwerp Gate 2 
Antwerp 2600 
Belgium

Conseiller à la protection des données

Pour tout renseignement concernant vos droits ou pour toute question relative à la façon dont vos données personnelles sont traitées, veuillez contacter notre Conseiller à la protection des données par courrier à l'une des adresses mentionnées ci-dessus ou par courrier électronique à dataprivacy@axaxl.com.

Nous nous engageons à collaborer avec vous pour obtenir une résolution équitable de toute plainte ou requête concernant votre vie privée. Si, toutefois, vous estimez que nous n'avons pas été en mesure de vous aider à résoudre votre plainte ou votre requête, vous avez le droit de déposer une plainte auprès de l'autorité compétente en matière de protection des données.

Données et catégories de données pouvant faire l'objet d'un traitement

Nous traitons vos données à caractère personnel conformément au règlement général sur la protection des données (RGPD), ainsi que les dispositions légales et réglementaires généralement applicables. La récolte de ces données se fait soit directement auprès de vous, soit indirectement par le biais d'un intermédiaire d’une entité ayant souscrit un contrat auprès d’É«¶à¶àÊÓƵà charge pour cette dernière de vous en avoir informée.

Nous traitons les données à caractère personnel qui nous ont été fournies dans le cadre de la proposition et/ou de la souscription du contrat d'assurance, et qui sont nécessaires à la bonne exécution de celui-ci (y compris la gestion des réclamations).

Au cas de sinistre et de demande d'indemnisation, nous avons besoin des données personnelles pour vérifier notre obligation de prise en charge ainsi que pour déterminer le montant de l'indemnité à verser.

Lors de la souscription de votre contrat, certaines questions sont obligatoires. Sans ces informations, ni la conclusion, ni l'exécution du contrat, ni le traitement des sinistres ne sont possibles.

En particulier, nous traitons les données et catégories de données suivantes :

• Données contractuelles (ex. nom, adresse, coordonnées, situation matrimoniale, profession, durée du contrat, informations sur le risque à assurer)
• Données personnelles sensibles (ex. données concernant la santé)
• Des informations sur des situations personnelles (ex., actifs non monétaires)
• Informations sur vos sinistres et autres données relatives à l'exécution de nos obligations légales
• Informations concernant la mise en contact et le traitement des procédures
• Circonstances de l'implication des personnes concernées (ex. preneur d'assurance, personne assurée, victime, témoin)
• Procurations
• Informations sur les parties intéressées

Le traitement de données personnelles sensibles dépend des exigences de la police d'assurance ou d'autres circonstances liées à nos prestations d'assurance (ex. en cas du règlement d'un sinistre). Les consentements requis à cet égard, particulièrement en vertu de l’art. 7 RGPD, seront obtenus selon les besoins.

En plus, É«¶à¶àÊÓƵtraite parfois des données sur les condamnations pénales et les infractions. Cela vaut en particulier pour les données pénales traitées en cas d'un sinistre, si l'incident qui a provoqué le sinistre est dû au comportement illégal de la part de l'assuré, de la personne lésée ou d'un tiers.

Finalités et licéité du traitement

Les données à caractère personnel recueillies font l’objet d’un traitement aux fins de gestion et d’exécution du contrat d’assurance dont É«¶à¶àÊÓƵest l’assureur. Vos données sont notamment utilisées aux fins suivantes :

1. L’exécution du contrat d’assurance conclu avec É«¶à¶àÊÓƵet/ou les demandes précontractuelles s’y rapportant, y compris les traitements et les profilages nécessaires à la vérification du risque, ainsi que les enquêtes de qualité ou d’opinion. La liceité est régie par les finalités suivantes :

• la formalisation, la gestion (également à caractère commercial) et l’exécution de votre contrat d’assurance y compris, en cas d’un sinistre dont vous êtes la personne lésée, l'évaluation et le règlement de celui-ci ainsi que la gestion des plaintes et des réclamations;
• la réalisation d’études statistiques-actuarielles ainsi que l’élaboration d’évaluations, de sélections, de vérifications et de tarifications des risques afin du calcul de la prime d’assurance;
• la collecte et le traitement de données relatives aux infractions, condamnations ou mesures de sûreté, dans la mesure où celles-ci peuvent être attribuées au risque assuré et/ou dont le traitement est requis par le droit des assurances en vigueur;
• le conseil concernant les adaptations ou compléments potentiels aux contrats, la réponse aux demandes de renseignements ainsi que les décisions de complaisance.

2. En outre, nous traitons vos données personnelles au respect des obligations légales auxquelles nous sommes soumis en tant que responsables du traitement. La liceité est régie par l'art. 6 par. 1 lit. c RGPD. Cela comprend, particulièrement :

• le traitement des sinistres dans lesquels la personne ayant droit n'est pas partie au contrat d'assurance, par exemple en tant que tiers bénéficiaire ou tiers lésé;
• la réalisation de contrôles en matière de sanctions et de blanchiment d'argent - notamment en ce qui concerne l'identification des bénéficiaires ultimes - conformément aux lois sur le blanchiment d'argent et aux régimes de sanction en vigueur;
• la réalisation d’études statistiques-actuarielles ainsi que l’élaboration d’évaluations, de sélections, de vérifications et de tarifications des risques dans le cadre des obligations légales qui nous incombent en vertu de l'article 48 de la directive 138/2009/CE ("Solvabilité II") et des lois d'application des États membres de l'UE et du EEE qui y découlent.
• le respect d'exigences réglementaires, d'exigences de conservation en vertu du droit commercial et fiscal ainsi que de nos obligations de conseil.

3. En outre, nous traitons également vos données aux fins des intérêts légitimes poursuivis par nous ou par un tiers. Ce traitement est effectué sur la base de l'art. 6 par. 1 lit. f RGPD et concerne entre autres les cas suivants :

• afin d'assurer la sécurité et le fonctionnement des technologies de l'information, y compris des tests (si cela n'est pas déjà exiger dans le cadre de l'exécution du contrat ou pour respecter une obligation légale);
• sous réserve de votre opposition, pour la promotion de nos propres produits d'assurance et de ceux du Groupe AXA et de ses partenaires, ainsi que pour des enquêtes de marché et des sondages;
• pour prévenir et élucider des délits, dans la mesure où cela ne fait pas déjà l'objet d'une obligation légale ou réglementaire ; à cet égard, nous utilisons en particulier des analyses et des recherches (également à partir de sources accessibles au public) pour détecter des indices pouvant indiquer une escroquerie à l'assurance;
• pour la gestion des risques au sein d'É«¶à¶àÊÓƵet du groupe AXA dans son ensemble;
• afin de la gestion des affaires et du développement de processus, services et produits.

4. En outre, dans le cadre du développement et/ou de l'amélioration de modèles statistiques enrichis par des techniques d'apprentissage automatique ainsi que d'autres technologies du domaine de l'intelligence artificielle (IA), il peut nous arriver de traiter vos données personnelles. Ces modèles seront ensuite utilisés productivement dans nos différents traitements automatisés, notamment dans les domaines de la catégorisation automatique de données non structurées, de la gestion de nos processus opérationnels (tels que l'attribution automatisée de la correspondance entrante) et de la réalisation de calculs actuariels statistiques et de modèles de tarification.

• Dans ce contexte, le traitement de vos données à caractère personnel pour le développement et/ou l'amélioration de nos modèles d'apprentissage statistiques se base sur notre intérêt légitime dans le cadre de l'optimisation de nos processus opérationnels internes. Nous nous engageons en particulier, dans la mesure de nos moyens techniques, en faveur d'une anonymisation et/ou d'une pseudonymisation complète ou partielle de vos données. Cela s'applique particulièrement au traitement de données sensibles, qui nécessite également l'existence d'une autorisation légale conformément à l'article 9, par. 2, lett. a.) à j.) RGPD et qui est soumis à des exigences de proportionnalité et de transparence particulières.
• Dans la mesure où nous traitons vos données à caractère personnel dans nos systèmes d'intelligence artificielle déjà existants (par exemple afin d'attribuer correctement un courrier entrant dans une affaire de sinistre), ce traitement se fonde sur la base légale respective liée à la finalité visée par cette activité.

Afin d'assurer la licéité et le traitement de bonne foi ainsi que l'existence d'un intérêt légitime, nous nous assurons par le biais de procédures de contrôle et d'évaluation internes de leur conformité à la législation et à la réglementation en vigueur et que les intérêts ou les libertés et droits fondamentaux des personnes concernées ne prévalent pas sur ceux-ci.

Communication et destinataires des données

Les données personnelles collectées peuvent être communiquer aux partenaires contractuels d'É«¶à¶àÊÓƵintervenant à la conclusion, à la gestion et à l'exécution du contrat ainsi qu'aux autres activités de traitement mentionnées ci-dessus. Cela comprend notamment :

• autres compagnies d’assurance et de réassurance;
• des intermédiaires en assurance (ex. courtiers en assurance, agents, etc.);
• des médecins, experts et évaluateurs (p. ex. pour le règlement des sinistres ou l'évaluation des risques et des obligations de prestations);
• des agences de renseignement et des détectives (pour vérifier la solvabilité et/ou pour prévenir et élucider des escroqueries à l'assurance);
• des avocats (à titre consultatif et en cas de représentation en litige);
• autres prestataires de services (ex. conseils externes, gestionnaires, prestataires de services informatiques, etc.).

Traitement des données au sein du groupe AXA:

En outre, certaines tâches et fonctions de traitement des données au sein de notre groupe sont fournis de manière centralisée par des entreprises ou des divisions spécialisées. Dans la mesure où un contrat d'assurance existe entre vous et une ou plusieurs entreprises de notre groupe, vos données peuvent être traitées de manière centralisée par une entreprise de notre groupe, par exemple pour la gestion centrale de vos coordonnées, pour le service client téléphonique, pour le traitement des contrats y compris les prestations et sinistre, pour l'encaissement et le paiement ou pour le traitement du courrier.

Autres destinataires:

De plus, nous pouvons être censé de communiquer vos données à d'autres destinataires dans le cadre de nos obligations légales, notamment aux autorités (par ex. organismes de sécurité sociale, autorités financières et autorités de contrôles ou judiciaires), instituts de crédit, conseillers fiscaux et experts comptables agréés.

Enfin, nous pouvons également être censés à partager vos données personnelles avec des acquéreurs potentiels ou des partenaires sélectionné dans le contexte d'opérations sociétaires extraordinaires (y compris l'analyse de la situation économique, juridique, fiscale et financière – « due diligence »), telles que les fusions, vente d'entreprise et autres opérations.

Communication de données personnelles à l’étranger

Dans la mesure où des données personnelles sont communiquées à des destinataires hors du territoire de la Belgique, nous veillons à ce que cela que cela se fasse exclusivement dans le respect des dispositions légales applicables :

Les communications vers des pays tiers pour lesquels la Commission européenne (art. 45 RGPD) a constaté que ceux-ci disposent d'un niveau de protection adéquat, ne nécessitent pas d'autorisation particulière. Cela comprend actuellement l'Andorre, l'Argentine, le Canada (uniquement les sociétés commerciales), les îles Féroé, Guernesey, Israël, l'île de Man, le Japon, Jersey, la Nouvelle-Zélande, la Corée du Sud, l'Uruguay et le Royaume-Uni (jusqu'à nouvel ordre seulement jusqu'au 27/06/2025) ainsi que, conformément à l'annexe I de l'OPDo les Etats membres de l'Union européenne (Allemagne, Autriche, Bulgarie, Chypre, Croatie, Danemark, Espagne, Estonie, Finlande, France, Grèce, Hongrie, Irlande, Italie, Lettonie, Lituanie, Luxembourg, Malte, Pays-Bas, Pologne, Portugal, République tchèque, Roumanie, Slovaquie, Slovénie, Suède et Suisse), l'Islande, le Liechtenstein et la Norvège.

Les communications vers des entreprises au sein du groupe AXA s'effectuent au-delà sur la base de règles d'entreprise contraignantes (). en vertu de l'art. 47 RGPD.

Dans la mesure où les communications ne sont pas couverts par l'un des instruments précités, É«¶à¶àÊÓƵveillera que l'adéquation du niveau de protection des données est assurée par le biais de clauses type de protection des données préalablement approuvées. É«¶à¶àÊÓƵutilise des (art. 46 RGPD).

En outre, É«¶à¶àÊÓƵa mis en place des mesures contractuelles, organisationnelles et techniques supplémentaires pour s'assurer que les destinataires respectent leurs obligations en vertu des règles d'entreprise contraignantes et des clauses contractuelles types, ce qui inclut également leur force exécutoire.

Ces mesures comprennent un cryptage moderne des données personnelles (en transit et au stockage), la pseudonymisation des données, la restriction de l'accès et des obligations contractuelles et organisationnelles de transparence et d'information.

Concernant tous les destinataires, É«¶à¶àÊÓƵa évalué les risques liés au transfert vers ces pays tiers respectifs et les a documentés dans un rapport correspondant (« Transfer Risk Assessment » - TIA).

Pour toute autre question, information et documentation concernant nos transferts internationaux, veuillez contacter notre conseiller à la protection des données.

Data Retention

En principe, nous stockons et traitons vos données personnelles uniquement pendant une durée n'excédant pas celle nécessaire au regard des finalités pour lesquelles elles sont traitées.

Dans la mesure où nous conservons vos données au-delà de cette durée, cela s'effectue soit dans le cadre du respect des délais de conservation légaux qui nous sont applicables (par exemple en raison de réglementations fiscales, commerciales ou de droit social) soit parce que vos données peuvent être nécessaires à la constatation, à l'exercice ou à la défense de droits en justice. Dans ce dernier cas, la durée de conservation est déterminée par le délai de prescription applicable.

En Suisse, les durées de conservation en matière de droit fiscal, commercial et social sont généralement de 10 ans. Le délai de prescription de droit commun est également de 10 ans, néanmoins, les demandes d'indemnisation pouvant éventuellement être soumises à des délais plus courts (notamment à partir de la connaissance du dommage et de l'obligation de réparation) ou plus longs (par exemple en cas de responsabilité délictuelle).

Car les délais de rétention peuvent varier en dépendance du traitement et de la situation spécifique, nous vous invitons de contacter notre conseiller à la protection des données pour toute demande particulière.

Droits des personnes concernées

Vous pouvez faire valoir les droits suivants à notre encontre aux adresses ci-dessus :

• Confirmation et accès aux données traitées à votre sujet (art. 15 RGDP);
• Rectification ou complément de données inexactes ou incomplètes (art. 16 RGPD);
• La suppression immédiate de vos données (art. 17 RGPD) ainsi que la limitation du traitement conformément à l'art. 18 RGPD, si le traitement de vos données personnelles est également soumis au droit de l'Union européenne et si la suppression n'est pas encore envisagée pour les raisons énoncées à l'art. 17 par. 3 RGPD;
• Réception des données personnelles qui ont été fournies par vous dans un format structuré, commun et lisible par machine ainsi que le transfert de ces données à d'autres responsables (art. 20 RGPD);

Si nous devions traiter vos données sur la base d'un consentement conformément à l'art. 7 RGPD, vous avez également le droit de retirer ce consentement à tout moment et sans donner de raisons. Toute consentement est généralement obtenu au moyen d'une déclaration écrite séparée, dans laquelle vous êtes à nouveau expressément informé de votre droit de rétractation et des activités de traitement effectuées sur la base de ce consentement.

Vous avez également le droit d'introduire une dénonciation/réclamation auprès les autorités de contrôle nommées ci-dessous si vous pensez que vos données sont traitées en violation des réglementations sur la protection des données (art. 77 RGPD).

En conclusion, nous tenons à vous informer qu'aucun des processus déployés dans le cadre du traitement de vos données personnelles ne vous soumettra à une décision individuelle exclusivement automatisée. Dans la mesure où des décisions automatisées sont adoptées dans le cadre de nos processus - notamment en cas d'utilisation de technologies IA -, il s'agit exclusivement de processus administratifs préalables qui servent à la préparation d'une décision par une personne physique. Dans ce contexte, par le biais de procédures de contrôle internes appropriées, ainsi que de formations et de directives, nous veillons à ce que les décisions finales ne soient pas influencés négativement par le traitement automatisé préalable et restent à tout moment transparents et révisables.

Autorité de contrôle pour les activités d'É«¶à¶àÊÓƵsur le territoire de la Belgique :

Autorité de Protection des données Rue de la Presse 35,
1000 Bruxelles

Autorité de contrôle chef de file pour les activités d'É«¶à¶àÊÓƵsur le territoire de l'Espace économique européen (art. 56 par. 1 RGPD) :

Data Protection Commission
(An Coimisiún um Chosaint Sonraí)

21 Fitzwilliam Square South
Dublin 2
D02 RD28
Irlande

En ce qui concerne les activités de XL É«¶à¶àÊÓƵ Company SE, de XL Catlin Services SE ou de XL RE Europe SE, une dénonciation/réclamation peut être déposée auprès de l'une des deux autorités. Selon l'objet de votre réclamation, il est également possible que celle-ci soit échangée entre les deux autorités sur la base de compétences différentes en vertu des articles 55 et 56 du RGPD.

Mai 2024