Politique de protection des données à caractère personnel de SFR Business sur le périmètre des clients entreprises

Cette politique de protection des Données à caractère personnel de SFR Business s’adresse aux entreprises et organismes publics, clients existants ou potentiels, ainsi qu’aux Interlocuteurs et Utilisateurs tels que définis au chapitre « Définitions ».

SFR Business est la marque Entreprise de SFR qui propose des solutions Téléphonie Fixe, Mobile, Internet, Solutions Cloud et M2M, Très Haut Débit 4G, 5G, Fibre, Internet, réseau VPN et Numéros spéciaux.

Cette politique de protection des données a comme objectif de préciser les modalités de mise en œuvre des traitements de Données à caractère Personnel sur le périmètre de SFR Business au regard de ses obligations de conformité. Cette politique est susceptible d’évoluer et il appartiendra au Client de la consulter régulièrement.

1. Définitions

Client : désigne une entreprise cliente ou cliente potentielle de SFR à l’exclusion de toute personne physique.

Données à caractère personnel : toute information se rapportant à une personne physique identifiée ou identifiable. Une « personne identifiable » est une personne qui peut être identifiée, directement ou indirectement, notamment par référence à un identifiant (exemple : nom, numéro d’identification, données de localisation, identifiant en ligne…).

Données à caractère personnel Clients : Il s’agit des Données à caractère personnel collectées auprès des Interlocuteurs dans le cadre des échanges avec le Client ou des Données à caractère personnel des Utilisateurs, fournies par le Client ou générées par SFR dans le cadre de ses services.

Interlocuteur : personne physique désignée par le Client qui est en relation avec SFR pour les finalités de gestion du compte client et fournisseur (par exemple relation commerciale, gestion administrative, livraison, facturation, traitement des incidents, gestion des réclamations) ou toute demande d’information sur les services de SFR Business.

Règlementation Données Personnelles : désigne toute disposition de nature législative ou réglementation, européenne ou nationale, résultant en particulier du règlement 2016/679/UE du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des Données à caractère personnel et à la libre circulation de ces données, de la loi modifiée no 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés et ses textes d’application ainsi que toute autre réglementation applicable en la matière, venant s’y ajouter ou s’y substituer ultérieurement, recouvrant notamment les textes adoptés par l'Union Européenne et les lois françaises applicables au traitement de données de communications électroniques et à l’utilisation de technologies de traçage telles que les cookies (communément appelées règles « ePrivacy »).

Responsable du traitement : la personne physique ou morale, l’autorité publique, le service ou un autre organisme qui, seul ou conjointement avec d’autres, détermine les finalités et les moyens du traitement ; lorsque les finalités et les moyens de ce traitement sont déterminées par le Droit de l’Union ou le Droit d’un État membre, le responsable du traitement peut être désigné ou les critères spécifiques applicables à sa désignation peuvent être prévus par le droit de l’Union ou par le droit de l’État membre. Sur le périmètre des entreprises, désigne l’organisme qui seul ou conjointement détermine les finalités et les moyens des traitements de Données à caractère personnel. 

Sous-Traitant : la personne physique ou morale, l’autorité publique, le service ou un autre organisme qui traite des Données à caractère personnel pour le compte du Responsable du Traitement. Sur le périmètre des entreprises désigne l’organisme qui traite des Données à caractère personnel pour le compte du ou des Responsables du traitement.

Utilisateur : personne physique, non titulaire du contrat, jouissant de l’utilisation du service ou des services mis en œuvre dans le cadre du contrat avec le Client.

2. Périmètre

La présente politique de protection des Données à caractère personnel concerne uniquement les Données à caractère personnel que SFR traite dans sa relation avec le Client dans le cadre de la commercialisation et de la bonne exécution des services.

Pour rappel, SFR est soumis aux principes de secret des correspondances, de neutralité, et de sécurité des communications prévus aux articles L34-1 et L33-1 du Code des postes et des télécommunications. Le contenu des messages transmis via un service de communications électroniques est de la responsabilité de la personne dont ils émanent. À ce titre, les Données à caractère personnel contenues dans les messages transmis par le Client via les services fournis ne sont pas traitées par SFR sauf dans le cas du respect de ses obligations légales auxquelles elle est soumise en tant que Responsable du traitement.

Les Données à caractère personnel des Interlocuteurs communiquées à SFR et à ses Vendeurs sont utilisées à des fins de prospection commerciale pour proposer des offres de SFR ou de ses partenaires répondant aux besoins du Client ou pour la réalisation d'opérations de fidélisation ou de prospection commerciale, notamment par la télévente. Chaque Interlocuteur peut à tout moment s’opposer à l’utilisation de ses Données à caractère personnel et exercer ses droits selon les modalités « définies » au chapitre « Exercice des droits ».

3. Données à caractère personnel traitées

Selon le principe de minimisation, SFR ne traite que les Données à caractère personnel adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités pour lesquelles elles sont traitées.

SFR peut agir en tant que Responsable du traitement pour les Données à caractères personnels des Utilisateurs dans le cadre de ses activités règlementaires de fournisseurs de service de communications électroniques (sécurité du réseau, acheminement des communications électroniques, réquisitions légales).

SFR peut agir en qualité de Sous-traitant selon les finalités déterminées par le Client et dans le respect de ses instructions afin de fournir les services auxquels il a souscrit dans ses contrats.

Les différentes qualifications de SFR sont détaillées au chapitre « Traitements et bases légales ».

Les différentes catégories de Données à caractère personnel Clients traitées par SFR sont celles qui relèvent de la souscription ou de l’utilisation des services définis par les contrats avec le Client : 

– Données d’identité des Interlocuteurs

• Genre
• Nom
• Prénom
• Adresse postale professionnelle
• Numéro de téléphone fixe professionnel
• Numéro de portable professionnel
• Adresse email professionnelle
• Fonction

– Données d'identification des Interlocuteurs

• Identifiant et mot de passe de connexion
• Nom du Client (société)

– Données d’usage :

• Pages web visitées
• Centres d’intérêts
• Réponses aux enquêtes et questionnaires

– Données de connexion :

• Adresse IP, logs de connexion et d’usage, données sur la configuration et les évènements de connexion des équipements

– Données d’enregistrements des Interlocuteurs à des fins d'amélioration de la qualité du service lors d’appels aux services clients : Voix

– Donnés de facturation

– Données de localisation

– Données hébergées (Gestion des Infrastructures techniques, Cloud)

– Catégories particulières de données : habilitation spécifique dans le cadre de l’hébergement des données de santé

Dans le cadre de reporting, SFR peut utiliser des données anonymisées et agrégées.

L'utilisation de cookies sur les sites de SFR Business est décrite à la page https://www.sfrbusiness.fr/politique-cookies.html.

4. Traitements et bases légales

Les différents traitements de Données à caractère personnel sont décrits aux Conditions Générales de Vente, Conditions Particulières et Spécifiques des services concernés. Les modalités du régime applicable entre SFR et ses Clients sont définis dans les Conditions Générales des Services de SFR.

Les Données à caractère personnel sont traitées uniquement sur les bases légales prévues par la Règlementation Données Personnelles ou pour assurer le respect des obligations légales et règlementaires de SFR telles que définies par la législation en vigueur. 

Lorsque SFR est Responsable du traitement

Traitement	Catégories de données traitées	Base légale
Gestion des comptes clients	Données d'identité et d’identification Données d’usage Données de connexion Données d’enregistrements Donnés de facturation Données de localisation Données hébergées	Intérêt légitime Dans le cadre de la relation commerciale (par exemple des enquêtes de satisfaction, organisation d’événements Clients…), la gestion administrative, la logistique et la livraison du produit, la facturation, le traitement des incidents techniques, la gestion des réclamations Consentement le cas échéant Obligations légales Liées à notre activité d’opérateur
Acheminement des communications électroniques	Données de connexion Données de localisation	Obligations légales Nécessaire afin de mettre à disposition les moyens de communication
Lutte contre la fraude et prévention des impayés	Données de connexion	Obligations légales Au titre du code monétaire et financier (L. 561-2) Intérêt légitime
Déploiement, exploitation, sécurisation du réseau	Données d'identité et d’identification Données d’usage Données de connexion	Intérêts légitimes Construire, exploiter et sécuriser le réseau Obligations légales Liées à notre activité d’opérateur
Développement des produits et services de SFR ou de tiers	Données d'identité et d’identification Données d’usage Données de connexion Données d'enregistrements	Intérêts légitimes Amélioration de nos produits et services
Enrichissement et valorisation de la base clients/prospects pour la prospection commerciale	Données d'identité et d’identification (collectées notamment via les formulaires de contact ou d’inscription (ex. newsletter) présents sur le site)	Intérêts légitimes Amélioration de la connaissance Clients et prospects Consentement le cas échéant
Gestion des tickets d’incident des équipements implémentés sur l’infrastructure	Données d'identité et d’identification Données d’usage Données de connexion Données d'enregistrements	Obligations légales liées à notre activité d'opérateur
Réponses aux demandes gouvernementales, assistance aux autorités nationales, respect des décisions judiciaires	Toutes	Obligations légales Interception légale, application de la loi

Lorsque SFR est Sous-Traitant

La liste des traitements lorsque SFR agit en qualité de sous-traitant figure dans les conditions particulières et spécifiques des services concernés.

Le Client agit en qualité de Responsable du traitement vis-à-vis de ses collaborateurs en tant qu’employeur et définit les finalités. 

5. Transfert hors Union européenne

Les Données à caractère personnel pourront être transférées hors Union européenne vers des pays ne disposant pas d’une décision d’adéquation. Elles seront traitées par le personnel habilité du Groupe, ses partenaires ou ses prestataires dans le cadre de fourniture de prestations ou services sur la base des garanties exigées au sens de la Règlementation Données Personnelles de façon à garantir un niveau de protection au moins équivalent à celui applicable au sein de l’Union européenne. À ce titre les garanties peuvent être les clauses contractuelles types (CCT) dûment validées par la Commission Européenne (Décision d’exécution (UE) 2021/914 de la Commission du 4 juin 2021), les recommandations publiées le 10 novembre 2020 par le Comité européen de la protection des données (CEPD) ou des mesures additionnelles adéquates permettant le transfert des données.

Dans le cadre de la gestion du compte client, SFR fait appel à des Sous-traitants basés en dehors de l’Union européenne comme détaillé dans le tableau ci-dessous :

Opérations	Localisation hors UE
Opérations de fidélisation	Maroc
Gestion de la relation commerciale	Tunisie
Opérations de gestion de la fraude	Maurice
Gestion du contrôle des premières factures	Maurice
Gestion de la relation commerciale	Israel (pays disposant d'une décision d'adéquation)
Opérations de fidélisation	Tunisie

La liste des pays lorsque SFR agit en qualité de sous-traitant figure dans les conditions particulières et spécifiques des services concernés.

6. Durées de conservation

SFR conserve les Données à caractère personnel uniquement pendant la durée nécessaire à l’accomplissement des finalités définies au contrat, dans le respect de la Règlementation Données Personnelles.

Les données d’identification des Interlocuteurs, utilisées à des fins de prospection commerciale, sont conservées pour une durée maximale de trois ans à compter du dernier contact.

7. Sécurité des données

SFR a défini et mis en place des mesures techniques et organisationnelles permettant de protéger vos Données à caractère personnel de façon appropriée selon leur nature, l’étendue du Traitement et leur accessibilité. Il peut s’agir par exemple de chiffrement des Données à caractère personnel, de gestion de droits d’accès, de sécurisation des flux...

Le respect de la sécurité et de la protection de vos Données à caractère personnel s’impose à l’ensemble de nos collaborateurs ainsi qu’à nos partenaires et prestataires.

8. Exercice des droits

Les Interlocuteurs ou les Utilisateurs peuvent être amenés à exercer leurs droits au titre de la Règlementation Données Personnelles principalement auprès du Client, étant entendu qu'ils conservent la faculté d'entrer directement en contact avec SFR, Responsable du traitement, dont les coordonnées figurent ci-dessous.

Le Client adressera, dans les plus brefs délais, les demandes des personnes concernées pour l'exercice de leurs droits, à la même adresse. Le Client peut également adresser ces demandes électroniquement via son espace client dans l'onglet « Vos demandes administratives ». Lorsque les personnes concernées adressent directement leurs demandes d'exercice des droits auprès de SFR, cette dernière donne suite à ces demandes pour satisfaire aux exigences résultant de la Règlementation Données Personnelles. Le Client apportera son aide à SFR pour répondre aux demandes, reçues par tout moyen, au titre de ses traitements mis en œuvre notamment relatif à la gestion de son personnel. Le Client s’engage à coopérer et à apporter tout élément utile à SFR afin de traiter la demande d’exercice de droits (identité de la personne…).

Lorsque SFR a la qualification de Sous-traitant, SFR s'engage à coopérer avec le Client et à l'aider à satisfaire aux exigences résultant de la Règlementation Données Personnelles qui incombent à ce dernier, afin notamment de respecter les droits des personnes concernées en application de la Règlementation Données Personnelles.

SFR BUSINESS - Direction Relation Client
TSA 34384
77438 MARNE LA VALLEE CEDEX 2

Les Interlocuteurs et les Utilisateurs disposent par ailleurs du droit de s’opposer à un traitement de ses Données à caractère personnel et du droit à demander leur portabilité, dans les conditions fixées par la Règlementation Données Personnelles.

Ils disposent également du droit de saisir la CNIL si les réponses apportées ne leur semblent pas satisfaisantes.

En savoir plus

Pour en savoir plus sur notre Politique de protection des Données à caractère personnel, vous pouvez contacter le Délégué à la Protection des Données à l’adresse suivante : 

SFR / DPO
16 rue du Général Alain de Boissieu
CS 68217
75741 PARIS CEDEX 15

Version du 16/02/2024