Introduction

La politique de confidentialité a été développée pour soutenir l’hôtel Aires da Serra dans l’adaptation de son activité au règlement général sur la protection des données, approuvé par le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 (” GDPR“).

Cette politique est complétée par d’autres politiques de sécurité qui sont pertinentes pour les activités de l’entreprise et qui, ensemble, décrivent l’approche de l’hôtel Aires da Serra en matière de sécurité de l’information et de respect de la vie privée.

Cette politique s’applique à tous les professionnels et partenaires de l’hôtel Aires da Serra et, lorsqu’ils sont identifiés, aux tiers qui accèdent aux actifs de l’entreprise.

Les termes “vie privée”, “confidentialité des données” et “protection des données” peuvent être utilisés dans le même sens car ils sont associés à un ensemble complexe d’exigences légales applicables aux données à caractère personnel, qui vont au-delà de la sécurité et de la confidentialité des données. Il s’agit par exemple d’exigences relatives à la transparence de l’utilisation et de la conservation des données.

Le respect de cette politique est obligatoire et, par conséquent, tous les professionnels et partenaires ont la responsabilité individuelle de s’assurer qu’ils la respectent et, si nécessaire, de demander des éclaircissements à leurs chefs d’équipe.

Il incombe à l’hôtel Aires da Serra de définir les mécanismes appropriés pour assurer le respect de cette politique, les équipes étant responsables de la mise en œuvre opérationnelle, avec le soutien du responsable de la protection de la vie privée.

Le respect de cette politique peut être contrôlé au moyen d’inspections, d’audits et/ou de demandes de confirmation écrite de la conformité, et tous les secteurs sont chargés d’évaluer régulièrement le respect de cette politique dans leur domaine de responsabilité.

En conséquence, tout employé ayant enfreint cette politique est passible de mesures disciplinaires.

Cette politique est basée sur les principes énoncés dans le GDPR. Cependant, il existe des différences nationales dans l’applicabilité de la protection des données et de la vie privée de l’hôtel Aires da Serra lors du traitement de données personnelles en dehors de l’UE, lors de la réception de données personnelles en provenance de l’UE ou lors du traitement de données personnelles de citoyens non-européens.

Si vous avez des questions, veuillez contacter le responsable de la protection de la vie privée.

Principes de protection des données

Dans le cadre de nos activités, nous traitons des données à caractère personnel : que nous recevions des données à caractère personnel dans le cadre de nos opportunités commerciales, de nos engagements avec nos clients, de nos activités de marketing ou d’une série d’autres activités connexes et de soutien. Les données peuvent être reçues directement d’une personne concernée (par exemple, en personne, par courrier, par courriel, par téléphone ou par d’autres sources), notamment de nos clients, partenaires, sous-traitants, contrôleurs conjoints, fournisseurs de services d’assistance et agences de référence de crédit.

Tous les professionnels et partenaires ne doivent demander à une personne concernée que les données à caractère personnel qui sont pertinentes et nécessaires à la réalisation d’un objectif et d’une tâche professionnels particuliers.

L’hôtel Aires da Serra s’engage à respecter les principes de protection des données personnelles définis par le GDPR :

• Légalité, équité et transparence : cela signifie que nous devons avoir un motif légitime pour traiter les données à caractère personnel, par exemple le consentement de la personne concernée ou le respect d’une obligation légale à laquelle nous sommes soumis. Cela signifie également que nous devons informer clairement la personne concernée du traitement ;
• Limitation des finalités : nous ne devons demander des données à caractère personnel que pour des finalités spécifiques, explicites et légitimes et ne pas les traiter au-delà de la finalité pour laquelle elles ont été demandées ;
• minimisation des données : les données à caractère personnel traitées doivent être adéquates, pertinentes et limitées à ce qui est nécessaire ;
• Exactitude : nous avons l’obligation de veiller à ce que les données à caractère personnel soient exactes et de les mettre à jour chaque fois que cela est nécessaire ;
• Limitation de la conservation : nous ne conserverons pas les données à caractère personnel plus longtemps que nécessaire aux fins pour lesquelles elles sont traitées, bien que nous puissions en conserver certaines à des fins historiques et statistiques ;
• Intégrité et confidentialité : nous devons mettre en place des contrôles de sécurité adéquats pour protéger les données contre le traitement non autorisé et illégal, la perte, la destruction ou les dommages, y compris des mesures techniques et organisationnelles telles que des processus définis, la formation et la sensibilisation ;
• Transfert licite en dehors de l’Espace économique européen : nous ne transférons des données à caractère personnel en dehors de l’EEE que si des garanties adéquates sont en place, telles qu’une base contractuelle ;
  Droits des personnes concernées : les personnes concernées ont divers droits que nous devons respecter (par exemple, le droit d’accéder à une copie des données que nous stockons et le droit de retirer le consentement donné à des fins de marketing direct).

Traitement légal et équitable

Chaque fois que des données à caractère personnel sont collectées, il est nécessaire de disposer d’une base juridique pour le traitement. Conformément au GDPR, nous devons identifier au moins l’une des raisons suivantes pour le traitement des données personnelles :

• Consentement : la personne concernée a donné son accord pour que les données soient traitées pour une ou plusieurs finalités spécifiques ;
• Contractuel : le traitement est nécessaire à l’exécution d’un contrat auquel la personne concernée est partie ou à des démarches précontractuelles ;
• Le traitement est nécessaire pour remplir une obligation légale à laquelle le responsable du traitement est soumis : Le traitement est nécessaire pour remplir une obligation légale à laquelle le contrôleur est soumis ;
• Intérêts vitaux : le traitement est nécessaire pour protéger les intérêts vitaux de la personne concernée ;
• Intérêt public : le traitement est nécessaire à l’exécution d’une tâche effectuée dans l’intérêt public ;
• Intérêts légitimes : Le traitement est nécessaire aux fins des intérêts légitimes du responsable du traitement, sauf si les intérêts ou les libertés et droits fondamentaux de la personne concernée l’emportent.

Lorsque nous agissons en tant que contrôleur des données, nous devons nous assurer que nous disposons d’une base légitime pour collecter et traiter les données à caractère personnel.

Dans certaines situations, nous pouvons agir en tant que sous-traitant pour le compte de notre client, auquel cas il est de sa responsabilité de s’assurer qu’il a une raison valable de traiter les données à caractère personnel, qu’il doit partager avec nous. Toutefois, nous devons prendre des mesures pour nous assurer que notre contrat est clair quant à nos responsabilités à cet égard et que, si nous collectons des données à caractère personnel directement auprès des personnes concernées pour le compte du client, nous avons des motifs légitimes de le faire.

Lorsqu’une catégorie spéciale de données est traitée, un ensemble supplémentaire de conditions doit être respecté. Veuillez contacter le responsable de la protection de la vie privée pour de plus amples informations.

Le GDPR exige que nous fournissions aux personnes concernées des informations sur le traitement afin de garantir un traitement équitable et transparent. Chaque fois que nous recueillons des données personnelles, nous devons nous assurer que nous expliquons correctement pourquoi nous avons besoin de ces informations et comment nous les traiterons. Lorsque des informations sont collectées sur notre site web, elles sont fournies par le biais d’un “avis de confidentialité”.

Toute autre information à fournir lors de la collecte de données à caractère personnel doit également être fournie sur l’internet. Voir la « Politique de confidentialité » et la « Politique en matière de cookies » pour plus d’informations ou contacter le responsable de la protection de la vie privée.

Traitement à des fins spécifiques uniquement

Chaque fois que nous collectons et traitons des données à caractère personnel, nous devons veiller à ne les utiliser qu’aux fins spécifiques qui ont été communiquées à la personne concernée.

L’hôtel Aires da Serra ne devrait jamais traiter les données personnelles à des fins supplémentaires qui n’ont pas été communiquées à la personne concernée. Ce n’est qu’alors que nous serons clairs sur l’objectif du traitement et que nous comprendrons les objectifs pour lesquels nos clients ont pu collecter les données personnelles.

Traitement adéquat, pertinent et limité

Lorsque nous collectons et traitons des données à caractère personnel, nous devons respecter le principe de minimisation des données. Cela signifie que nous ne devons collecter que le minimum de données personnelles nécessaires à l’accomplissement d’une tâche spécifique.

En outre, nous devons nous assurer que nous disposons d’un nombre adéquat de données à caractère personnel pour mener à bien une tâche spécifique. Par exemple, collecter les données nécessaires à l’identification d’une personne.

Cela s’applique également à toute activité de partage et de traitement. Il est important de réduire au minimum les données détenues et traitées ; nous devons nous assurer que si nous partageons des données en interne ou en externe ou si nous les utilisons pour des activités telles que des tests, nous n’utilisons/partageons que la quantité minimale dans chaque cas.

Exactitude des données personnelles

Nous avons l’obligation de veiller à ce que les données à caractère personnel soient exactes et à jour. Nous devons veiller à ce que des procédures adéquates soient mises en place pour maintenir des données exactes si nécessaire (par exemple, des professionnels ou des clients actuels et potentiels détenus par les domaines concernés).

Lorsque nous agissons en tant que contrôleur de données par rapport à un client, nous ne sommes pas obligés de mettre en œuvre des mécanismes pour maintenir ces données à jour ; cette responsabilité incombe au contrôleur de données, c’est-à-dire à notre client.

Conservation des données personnelles

Les données à caractère personnel ne doivent pas être conservées plus longtemps que nécessaire. Cela signifie que nous devons définir et appliquer des périodes de conservation maximales pour les données à caractère personnel que nous traitons et mettre en œuvre des processus pour les effacer lorsqu’elles expirent. Par conséquent, les périodes de conservation suivantes peuvent s’appliquer : (i) aussi longtemps que nécessaire pour l’activité ou les services concernés ; (ii) toute période de conservation requise par la loi ; (iii) la fin de la période au cours de laquelle des litiges ou des enquêtes peuvent survenir en relation avec les services ; ou (iv) la période minimale prévue dans le contrat.

Droits des personnes concernées

Le GDPR nous oblige à informer les individus sur les données personnelles que nous collectons et sur les objectifs et moyens par lesquels elles sont traitées. Ces informations sont fournies sous la forme d’un « avis de confidentialité ».

a) Droit d’accès

• La personne concernée a le droit de demander à voir les données personnelles que nous détenons à son sujet, la finalité du traitement et les catégories de données concernées.
• Nous devons informer la personne concernée des destinataires avec lesquels nous allons partager ses données, en particulier si le destinataire se trouve dans un autre pays ou appartient à une organisation internationale.
• Dans la mesure du possible, nous définirons la période de conservation des données afin de répondre aux besoins de l’entreprise.
• Nous devons informer la personne concernée de l’existence de son droit d’opposition au traitement et de son droit de rectification et d’effacement.
• Nous devons informer la personne concernée de l’existence de son droit de déposer une plainte auprès d’une autorité de contrôle.
• Lorsque les données sont collectées auprès d’une personne autre que la personne concernée, nous devons informer la personne concernée de la source des données.
• Nous devons veiller à mettre en place des procédures permettant d’identifier les demandes d’accès des personnes concernées et d’y répondre sans retard injustifié et dans un délai maximum d’un mois.

b) Droit de rectification

• Les personnes concernées ont le droit de rectifier les données inexactes, et l’hôtel Aires da Serra s’efforcera de le faire immédiatement.

c) Droit à l’effacement

• La personne concernée a le droit d’obtenir du contrôleur des données l’effacement de ses données (« droit à l’oubli »). Il est de la responsabilité de l’hôtel Aires da Serra de s’efforcer de supprimer immédiatement les données détenues, sauf s’il existe une obligation légale de les conserver. Si vous recevez une demande de la part d’une personne concernée, veuillez d’abord contacter le responsable de la protection de la vie privée avant d’effacer les données.

d) Droits de l’enfant

• Toutes les personnes, y compris les enfants, sont protégées par le GDPR. Pour les enfants de moins de 13 ans, nous ne traiterons pas leurs données à caractère personnel sur la base de leur consentement, sauf autorisation de leurs titulaires respectifs de la responsabilité parentale.

e) Marketing

• Nous pouvons parfois envoyer à nos clients et partenaires du matériel de marketing pour les informer des services, des événements à venir ou d’autres activités susceptibles de les intéresser, auquel cas nous devons leur indiquer qu’ils ont le droit de retirer leur consentement à tout moment s’ils ne souhaitent pas être recontactés en vertu des présentes conditions.
• Nous devons également veiller à mettre en place des processus garantissant que toutes les préférences en matière de participation sont enregistrées et respectées.

Pour toute question concernant les droits des personnes concernées, veuillez contacter le délégué à la protection de la vie privée.

Sécurité des données conservées

L’hôtel Aires da Serra maintiendra la sécurité des données en protégeant la confidentialité, l’intégrité et la disponibilité des données personnelles:

• La confidentialité signifie que seules les personnes autorisées peuvent accéder aux données;
• L’intégrité signifie que les données à caractère personnel doivent être exactes et adaptées aux finalités pour lesquelles elles sont traitées;
• La disponibilité signifie que les utilisateurs autorisés doivent pouvoir accéder aux données s’ils en ont besoin pour les finalités autorisées.

Pour des informations plus complètes sur nos politiques de sécurité, veuillez contacter le responsable de la protection de la vie privée.

Diffusion des données

Tous les professionnels et partenaires doivent éviter toute divulgation inappropriée de données à caractère personnel et se conformer à nos obligations générales en matière de confidentialité.

Elle est autorisée:

a) Divulguer des données à caractère personnel à des tiers uniquement sur instruction ou lorsque nous avons un motif légitime de le faire et qu’il n’existe aucune restriction.

b) Divulguer des données à caractère personnel à des tiers en cas de vente ou d’achat d’une entreprise ou d’actifs, ou lorsque nous sommes un contrôleur conjoint dans le cadre d’une coentreprise.

c) Le partage de données à caractère personnel avec un tiers qui traite des données en notre nom, ce qui peut inclure le transfert de données vers un pays tiers.

En règle générale, les données à caractère personnel peuvent être divulguées:

a) Les professionnels ou agents afin qu’ils puissent exercer leurs fonctions en tant que tels.

b) Dans les cas où la non-divulgation pourrait compromettre la prévention ou la détection d’un délit, l’engagement de poursuites à l’encontre des auteurs d’infractions, ou l’évaluation ou la perception d’un impôt ou d’une taxe. L’hôtel Aires da Serra doit avoir des motifs suffisants pour divulguer les données relevant de cette catégorie afin d’éviter des poursuites pénales. Toutes les divulgations doivent être justifiées et documentées.

À des fins juridiques, les données peuvent être divulguées si:

a) Exigé par la loi, un statut ou une décision de justice.

b) Dans le but d’obtenir un avis juridique;

c) Dans le cadre ou aux fins d’une procédure judiciaire ou lorsque cela est nécessaire pour la défense d’un droit en justice.

d) Sauvegarder la sécurité nationale.

Transfert international de données à caractère personnel

Aires da Serra Hotel peut transférer des données personnelles à un pays tiers ou à une organisation internationale. Les données personnelles que nous détenons peuvent également être traitées par des employés travaillant dans un pays tiers ou pour l’un de nos fournisseurs.

Nous devons nous assurer qu’au moins l’une des conditions suivantes s’applique:

a) Le pays vers lequel les données à caractère personnel sont transférées garantit un niveau de protection adéquat des droits et libertés des personnes concernées, par décision de la Commission européenne.

b) Des garanties appropriées sont prévues (par exemple, des clauses de protection des données).

c) La personne concernée a donné son consentement explicite au transfert après avoir été informée des risques possibles.

d) Le transfert est nécessaire pour l’une des raisons énoncées dans le GDPR, y compris l’exécution d’un contrat entre Aires da Serra Hotel et la personne concernée, ou la protection des intérêts vitaux de la personne concernée.

e) Le transfert est légalement requis pour des raisons importantes d’intérêt public ou afin d’intenter une action en justice ou de se défendre contre une action en justice

Informations sur les journaux, les cookies et les pixels invisibles

Le site web de l’hôtel Aires da Serra utilise des cookies pour distinguer ses utilisateurs. L’hôtel Aires da Serra recueille des informations standard du journal Internet, y compris l’adresse IP de l’utilisateur, le type de navigateur et la langue, les temps d’accès et les adresses des sites de référence.

Pour assurer la bonne gestion de notre site web et faciliter la navigation, l’hôtel Aires da Serra ou ses prestataires de services peuvent également utiliser des cookies (petits fichiers texte stockés dans le navigateur de l’utilisateur) ou des balises web (images électroniques qui permettent à notre site web de compter les visiteurs accédant à un site et à certains cookies) pour collecter des données agrégées.

Informations professionnelles

Collection et conservation

• L’hôtel Aires da Serra, en tant qu’employeur, recueille, traite et stocke les données personnelles des employés, des entrepreneurs, des consultants et des candidats. Le département des ressources humaines et les autres départements qui traitent les données personnelles des professionnels doivent vérifier et documenter la base juridique du traitement qu’ils effectuent. Les données personnelles des professionnels ne doivent être traitées que lorsqu’il existe une raison valable et légitime de le faire.
• La collecte de données à caractère personnel relatives à nos employés s’effectue par le biais de différents canaux et formats, tels que : formulaires de candidature ; formulaires électroniques en ligne (par exemple, au cours du processus de recrutement) ; enregistrements de données ; images de vidéosurveillance ; photographies du personnel, y compris les cartes d’identité ; données provenant d’autres sources (par exemple, d’anciens employeurs) ; vérifications de solvabilité et de sécurité ; etc.
• La création et le stockage des données à caractère personnel relatives à nos professionnels s’effectuent par le biais de différents canaux et formats, tels que les bulletins de salaire, les dossiers d’évaluation, les contrats de travail, les courriers électroniques, les dossiers de maladie, etc.

Formation et sensibilisation

• Nous nous engageons à fournir une formation adéquate sur la protection des données personnelles à tous les professionnels. Si nécessaire, nous fournirons une formation et une sensibilisation personnalisées aux personnes en tenant compte de leurs rôles.

Conception et modification des processus

• Pour toutes les propositions de nouveaux systèmes et de nouvelles procédures commerciales impliquant des données à caractère personnel, il convient d’examiner si une évaluation de l’impact sur la vie privée et la sécurité de l’information est nécessaire afin d’identifier les risques et les contrôles.

À cette fin, tous les professionnels et partenaires doivent contacter le responsable de la protection de la vie privée avant d’adopter de nouvelles procédures.