Politique de confidentialité

Le responsable du traitement des données décrites dans la présente politique est Parousia Group, immatriculé au registre du commerce et du crédit mobilier de Kinshasa/Gombe sous le numéro RCCM CD/KNG/RCCM/21-B-02650, dont le siège social est situé 157, avenue du Livre, Quartier Révolution, Commune de la Gombe, Kinshasa, République démocratique du Congo. La société est joignable à contact@parousiagroup.com et au +243 892 844 000. Son identification nationale et son numéro impôt figurent aux mentions légales.

Le groupe exploite des sociétés régionales qui traitent les demandes et les candidatures de leur propre marché : Parousia West Africa (Lagos, Nigeria), Parousia East Africa (Nairobi, Kenya), Parousia Europe (Londres, Royaume-Uni), Parousia America Inc. (New York, États-Unis), Parousia Middle East (Dubaï, Émirats arabes unis) et Echad Technologies (Singapour). Lorsqu’un message est traité par l’une d’elles, cette société est nommée dans la réponse que vous recevez. Parousia Group demeure responsable des traitements décrits ici, et chaque société régionale est tenue par les mêmes instructions.

La présente politique couvre www.parousiagroup.com ainsi que les sites régionaux exploités sur la même base de code : westafrica, eastafrica, europe, americas, middleeast et apac.parousiagroup.com. Les traitements décrits y sont identiques, une seule application les servant tous sous la configuration de l’entité concernée.

Elle ne couvre pas les produits exploités au titre des six solutions du groupe — NetVox Intelligence, Global Technology Africa, Afrika Plaza, PAGEXPRESS, PAGPay et INTIC — ni leurs sites propres. Ces services traitent les données à caractère personnel au titre de leurs propres avis et, lorsqu’un contrat les régit, au titre de ce contrat. Un lien qui conduit hors de ce site conduit hors du champ de la présente politique.

Elle s’applique aux visiteurs, aux personnes qui écrivent au groupe par le formulaire de contact, aux abonnés à la lettre d’information et aux candidats à un poste publié. Les relations régies par un contrat sont en outre soumises à ce contrat et, lorsque le groupe agit comme sous-traitant pour un client, à l’accord de traitement conclu au titre de l’article 28 du RGPD.

Ce site collecte ce que vous saisissez dans l’un de ses trois formulaires, un code de langue, et les données techniques des requêtes qu’il sert. Il n’y a aucun compte à créer ni aucune connexion, et rien n’est collecté du fait que vous lisez une page au-delà de ce que le serveur enregistre pour servir et sécuriser la requête.

• •Formulaire de contact — nom et prénom, adresse électronique, et lorsque vous les renseignez le numéro de téléphone, l’organisation et l’objet, avec le texte de votre message et la langue de l’interface.
• •Formulaire d’abonnement — l’adresse électronique et la langue de l’interface, et rien d’autre.
• •Formulaire de candidature — nom et prénom, adresse électronique, numéro de téléphone, localisation, liens que vous fournissez, texte de motivation, fichier de curriculum vitæ, poste visé et langue de l’interface.
• •Cookie de langue — le cookie NEXT_LOCALE porte un code de langue à deux lettres et aucun identifiant. Il est décrit en entier dans la politique relative aux cookies.
• •Journaux du serveur — les données techniques d’une requête : adresse IP, date et heure, adresse demandée, code de réponse HTTP et chaîne d’identification envoyée par votre navigateur.

Aucune régie publicitaire, aucun outil tiers de mesure d’audience et aucun pixel de réseau social ne sont installés sur ce site. Aucune donnée relevant de l’article 9 du RGPD n’est demandée ; un curriculum vitæ peut en contenir si son auteur a choisi de l’y faire figurer, et le groupe ne les retient pas comme critère de sélection. Les données à caractère personnel sont collectées auprès de vous et d’aucune autre source : le site ne reçoit rien d’un courtier en données, d’une régie publicitaire ou d’une plateforme sociale.

Le tableau ci-dessous est le registre des traitements opérés par ce site, tenu au titre de l’article 30 du RGPD. Il indique, pour chaque traitement, la finalité poursuivie, les catégories de données traitées, la base légale, les catégories de destinataires et la durée de conservation. Il est exhaustif : une finalité qui n’y figure pas n’est pas poursuivie sur ce site.

Le registre est tenu par le Bureau de la protection des données, qui y inscrit un traitement nouveau avant que ce traitement ne commence et consigne la date de chaque modification. Copie du registre tel qu’il s’applique à ce site est adressée sur demande à contact@parousiagroup.com, et il est mis à la disposition d’une autorité de contrôle au titre de l’article 30, § 4, du RGPD.

Lorsque la base est le consentement — la lettre d’information — vous pouvez le retirer à tout moment au titre de l’article 7, § 3, du RGPD. Le retrait est aussi simple que le consentement : un lien dans chaque envoi, ou un message à contact@parousiagroup.com. Il prend effet à réception et au plus tard dans les 30 jours, et ne remet pas en cause la licéité du traitement conduit avant lui.

Lorsque la base est l’intérêt légitime, l’intérêt poursuivi est énoncé au registre : répondre à un message adressé au groupe, et maintenir le site disponible, sûr et utilisable. Le groupe a mis cet intérêt en balance avec les droits et libertés des personnes concernées, et limite le traitement à ce que ces finalités exigent. Vous pouvez vous y opposer à tout moment, pour des raisons tenant à votre situation particulière, au titre de l’article 21 du RGPD.

Lorsque la base est l’exécution de mesures précontractuelles, elle couvre l’instruction d’une candidature à un poste publié. Lorsqu’une loi à laquelle le groupe est soumis lui impose de conserver ou de communiquer des données, la base est l’obligation légale de l’article 6, § 1, c, du RGPD, et seul ce que cette loi exige est traité.

Les mêmes opérations sont conduites sur le fondement des bases équivalentes des autres lois applicables au groupe : les bases licites du Nigeria Data Protection Act 2023, celles du Kenya Data Protection Act, 2019, les règles de consentement et de finalité légitime du code du numérique de la République démocratique du Congo, l’article 4 du décret-loi fédéral n° 45 de 2021 des Émirats arabes unis, et les dispositions de consentement, exprès ou réputé, du Personal Data Protection Act 2012 de Singapour. Lorsque deux lois posent des exigences différentes pour une même opération, le groupe applique la plus stricte.

Aucune décision produisant des effets juridiques vous concernant ou vous affectant de manière significative n’est prise sur le seul fondement d’un traitement automatisé, y compris le profilage, au sens de l’article 22, § 1, du RGPD. Aucun message, abonnement ou candidature n’est accepté, classé, noté ni rejeté par un procédé automatique. Une candidature est lue par les Ressources humaines avec le département concerné, et la décision qui la concerne est prise par ces personnes.

Aucun profilage au sens de l’article 4, point 4, du RGPD n’est opéré, et les visiteurs, abonnés et candidats ne font l’objet d’aucune notation. Deux contrôles automatiques s’exécutent, et aucun ne décide quoi que ce soit au sujet d’une personne : un champ leurre qui écarte les envois de robots, et la limitation de débit inscrite au registre. Un envoi arrêté par l’un ou l’autre est refusé par une erreur explicite et peut être renouvelé, ou adressé à contact@parousiagroup.com ou careers@parousiagroup.com.

Les catégories de destinataires sont celles énoncées ci-dessous, conformément à l’article 13, § 1, e, du RGPD. Les données à caractère personnel collectées par ce site ne sont communiquées à aucun destinataire hors de ce tableau.

Un sous-traitant n’est engagé que sous contrat écrit conforme à l’article 28, § 3, du RGPD : il ne traite les données que sur instruction documentée, astreint à la confidentialité les personnes qu’il autorise, applique les mesures de sécurité exigées par l’article 32, ne recourt à un sous-traitant ultérieur qu’avec l’autorisation écrite préalable du groupe, assiste le groupe pour les demandes des personnes concernées et pour la notification des violations, et supprime ou restitue les données au terme de la prestation. Le Département juridique examine ce contrat et le Bureau de la protection des données approuve le traitement avant le transfert du premier enregistrement.

Une réquisition d’une autorité publique est transmise au Département juridique, qui vérifie la compétence de l’autorité requérante, le fondement légal invoqué et l’étendue de la demande, ne communique que ce que la réquisition exige, et informe la personne concernée lorsque la loi le lui permet.

Le groupe a son siège en République démocratique du Congo et des sociétés au Nigeria, au Kenya, au Royaume-Uni, aux États-Unis, aux Émirats arabes unis et à Singapour. Un message ou une candidature adressés depuis l’Espace économique européen sont donc susceptibles d’être lus hors de celui-ci.

Lorsque la Commission européenne a adopté une décision d’adéquation au titre de l’article 45 du RGPD couvrant la destination, le groupe s’en prévaut. Lorsqu’elle ne l’a pas fait — et aucune décision d’adéquation ne couvre la République démocratique du Congo — le transfert repose sur les clauses contractuelles types de la décision d’exécution (UE) 2021/914, complétées, lorsque l’analyse imposée par l’arrêt C-311/18 le montre nécessaire, par des mesures supplémentaires. Les transferts depuis le Royaume-Uni reposent sur l’International Data Transfer Agreement ou sur l’avenant britannique à ces clauses. Les dérogations de l’article 49 ne servent pas de base permanente à des transferts réguliers.

Le même mouvement de données est soumis, dans les autres juridictions, à leurs propres règles transfrontalières : les dispositions de transfert du Nigeria Data Protection Act 2023, celles du Kenya Data Protection Act, 2019, celles du code du numérique de la République démocratique du Congo, l’article 22 et suivants du décret-loi fédéral n° 45 de 2021 des Émirats arabes unis, et l’obligation de limitation des transferts du Personal Data Protection Act 2012 de Singapour. Le Bureau de la protection des données détient la liste des transferts et de la garantie invoquée pour chacun, et le Département juridique conclut l’instrument avant que le transfert ne commence.

Les durées de conservation sont celles du registre ci-dessus. Elles sont fixées par la présente politique, appliquées par le groupe et imposées à ses sous-traitants par le contrat conclu au titre de l’article 28 du RGPD. Chaque durée court à compter de l’événement nommé au registre — le dernier échange, la demande de désabonnement, la clôture d’un recrutement, la date de la requête servie.

À l’expiration d’une durée, l’enregistrement est supprimé ; il n’est ni archivé ni réduit à une forme qui permettrait encore au groupe d’agir. Lorsqu’un sous-traitant en détient une copie, l’instruction de suppression lui est transmise et son exécution est vérifiée. Lorsqu’une loi à laquelle le groupe est soumis impose une durée plus longue — règle comptable ou de prescription — seul ce qu’exige cette loi est conservé, et pour la seule durée qu’elle exige.

Le Bureau de la protection des données contrôle l’application de ces durées et émet les instructions de suppression. Une demande d’effacement formée avant l’expiration d’une durée est traitée selon la section « Vos droits », et il y est fait droit lorsqu’un des motifs de l’article 17 du RGPD s’applique.

L’article 32 du RGPD impose des mesures techniques et organisationnelles adaptées au risque. La Sécurité du groupe définit les mesures appliquées à ce site, et le Bureau de la protection des données vérifie qu’elles couvrent les traitements inscrits au registre.

• •Tout envoi est revalidé sur le serveur. La validation opérée par le navigateur est un confort et n’est pas tenue pour une garantie.
• •Aucune donnée à caractère personnel n’est écrite dans les journaux applicatifs. Les trois routes de formulaire consignent le résultat d’un envoi et, pour une candidature, le poste visé — jamais un nom, une adresse, un message ni un nom de fichier.
• •Un curriculum vitæ n’est accepté que si ses premiers octets correspondent au format qu’il annonce : PDF, conteneur ZIP d’un DOCX ou d’un ODT, ou conteneur OLE2 d’un ancien DOC. Sa taille est plafonnée à 5 Mo. Le contrôle porte sur le format et n’est pas un antivirus.
• •Le nom du fichier transmis avec un curriculum vitæ est purgé des séparateurs de chemin et des caractères qu’un système en aval pourrait interpréter.
• •Les formulaires sont limités en débit par adresse IP, comme l’indique le registre.
• •Le transport est chiffré et verrouillé par une politique HTTP Strict Transport Security de deux ans avec préchargement. La politique de sécurité du contenu n’autorise scripts, styles, images, polices et connexions que depuis cette origine ; l’inclusion en cadre est interdite ; la politique de permissions refuse l’accès à la caméra, au microphone, à la géolocalisation et aux cohortes d’intérêt.
• •Le site n’embarque aucun JavaScript tiers, ne charge aucune image ni police distante, et n’appelle aucun service externe de cartographie ou de polices. La carte des bureaux est tracée à partir de données contenues dans le site.
• •L’accès à un envoi est limité aux membres du département concerné qui en ont besoin pour répondre, et chaque société régionale est tenue par les mêmes instructions.

En cas de violation de données à caractère personnel susceptible d’engendrer un risque pour les droits et libertés des personnes concernées, le Bureau de la protection des données, avec la Sécurité du groupe, notifie l’autorité de contrôle compétente dans les 72 heures au titre de l’article 33 du RGPD et informe directement les personnes concernées lorsque l’article 34 l’impose. Toute violation, notifiée ou non, est inscrite au registre tenu au titre de l’article 33, § 5. Les obligations de notification équivalentes des lois nigériane, kényane, congolaise, émirienne et singapourienne sont satisfaites dans le même mouvement.

Les droits énoncés ci-dessous sont ceux du règlement (UE) 2016/679 et du UK GDPR. Chacun est indiqué avec la disposition qui le fonde et le délai dans lequel le groupe répond.

• •Accès — obtenir la confirmation que des données vous concernant sont traitées, une copie de ces données, et les informations de la présente politique appliquées à votre cas (art. 15 ; réponse dans un mois).
• •Rectification — faire corriger des données inexactes et compléter des données incomplètes (art. 16 ; réponse dans un mois, la correction étant transmise à chaque destinataire des données).
• •Effacement — faire supprimer des données lorsqu’un des motifs de l’article 17 s’applique, en particulier lorsque vous retirez le consentement sur lequel repose le traitement ou lorsque la durée de conservation est expirée (art. 17 ; réponse dans un mois).
• •Limitation — faire geler un traitement le temps qu’une contestation portant sur l’exactitude des données ou sur un intérêt légitime soit tranchée (art. 18 ; réponse dans un mois, et vous êtes informé avant la levée de la limitation).
• •Portabilité — recevoir les données que vous avez fournies, dans un format structuré, couramment utilisé et lisible par machine, et les faire transmettre à un autre responsable du traitement lorsque cela est techniquement possible (art. 20 ; réponse dans un mois).
• •Opposition — vous opposer à tout moment, pour des raisons tenant à votre situation particulière, à un traitement fondé sur l’intérêt légitime (art. 21 ; réponse dans un mois, le traitement cessant sauf motifs légitimes impérieux démontrés par le groupe).
• •Retrait du consentement — le retirer à tout moment, sans motif et aussi simplement qu’il a été donné (art. 7, § 3 ; effet à réception et au plus tard dans les 30 jours).
• •Ne pas faire l’objet d’une décision fondée exclusivement sur un traitement automatisé (art. 22 ; aucune n’est prise ici, comme l’indique la section « Décisions automatisées »).
• •Réclamation auprès d’une autorité de contrôle — saisir l’autorité de votre choix parmi celles qui sont compétentes, sans avoir à saisir le groupe au préalable (art. 77 ; les autorités sont listées à la section « Réclamer auprès d’une autorité »).

Les lois applicables au groupe hors d’Europe ouvrent des droits de même nature ; ils s’exercent par la même voie et il y est répondu par le Bureau de la protection des données.

• •Nigeria — Nigeria Data Protection Act 2023 : droits d’information, d’accès, de rectification, d’effacement, de limitation, de portabilité, d’opposition au traitement et de retrait du consentement. Les réclamations sont portées devant la Nigeria Data Protection Commission.
• •Kenya — Data Protection Act, 2019, section 26 : droits d’être informé de l’usage des données, d’accès, d’opposition au traitement, de correction des données fausses ou trompeuses, de suppression et de portabilité. Les réclamations sont portées devant l’Office of the Data Protection Commissioner.
• •République démocratique du Congo — ordonnance-loi n° 23/010 du 13 mars 2023 (code du numérique) et loi n° 20/017 du 25 novembre 2020 : droits d’information, d’accès, de rectification, de suppression et d’opposition, exercés auprès du groupe à son siège de Kinshasa et devant l’autorité désignée par le code du numérique.
• •Émirats arabes unis — décret-loi fédéral n° 45 de 2021, articles 13 à 17 : droits d’obtenir des informations sur le traitement, à la portabilité, à la rectification ou à l’effacement, à la limitation du traitement et d’opposition. Les réclamations sont portées devant l’UAE Data Office.
• •Singapour — Personal Data Protection Act 2012 : droit de retirer le consentement (section 16), droit d’accès (section 21) et droit de correction (section 22). Les réclamations sont portées devant la Personal Data Protection Commission.
• •Californie — California Consumer Privacy Act tel que modifié par le CPRA : droits de savoir, de faire supprimer, de faire corriger, de refuser la vente ou le partage des informations personnelles, de limiter l’usage des informations personnelles sensibles et de ne pas subir de traitement discriminatoire pour les avoir exercés (code civil californien, § 1798.100 à 1798.125), avec réponse sous 45 jours, prorogeable une fois de 45 jours (§ 1798.130). La section « Résidents de Californie » expose leur application ici.

Vous n’êtes pas tenu de saisir le groupe au préalable, et rien dans la présente politique ne restreint ce droit. L’article 77 du RGPD, et les dispositions équivalentes des autres lois énumérées ci-dessous, vous permettent de saisir directement l’autorité compétente pour votre situation.

Une réclamation peut également être adressée au Bureau de la protection des données à contact@parousiagroup.com, qui y répond dans un délai d’un mois. Cette démarche ne suspend ni ne limite le droit de saisir une autorité de contrôle, et elle est sans effet sur les recours juridictionnels ouverts par les articles 78 et 79 du RGPD.

La présente section est délivrée au titre du California Consumer Privacy Act tel que modifié par le CPRA. Dans les catégories du § 1798.140, v, du code civil californien, le site collecte des identifiants (nom, adresse électronique, numéro de téléphone, adresse IP), des informations professionnelles ou relatives à l’emploi (le contenu d’une candidature et le curriculum vitæ qui l’accompagne), des informations d’activité en ligne limitées aux journaux du serveur décrits au registre, et le contenu des communications électroniques que vous choisissez d’adresser par le formulaire de contact. Il ne collecte ni donnée biométrique, ni donnée de géolocalisation, ni identifiant délivré par une administration, ni information de compte financier.

Chaque catégorie est collectée auprès du seul consommateur, pour la finalité indiquée en regard dans le registre ci-dessus, communiquée aux seuls destinataires énumérés à la section « Qui reçoit les données », et conservée pour la durée indiquée au registre. Aucune catégorie n’est communiquée à un tiers pour les besoins commerciaux propres de ce tiers.

Ces sites s’adressent à des institutions, des clients, des journalistes et des candidats à l’emploi. Ils ne visent pas les enfants, aucun service qui y est offert n’est un service de la société de l’information offert directement à un enfant au sens de l’article 8 du RGPD, et le groupe ne collecte pas sciemment de données auprès d’une personne n’ayant pas l’âge auquel son pays autorise le travail.

Lorsque le groupe apprend qu’il détient des données relatives à une telle personne, le Bureau de la protection des données les supprime. Un parent ou un tuteur qui estime qu’un enfant a adressé des données à caractère personnel par ce site peut écrire à contact@parousiagroup.com, et les données sont supprimées sans que le demandeur ait à établir autre chose que les circonstances de l’envoi.

Le présent document porte un numéro de version, une date de revue et une date d’entrée en vigueur, et les trois sont affichés. Une modification qui ajoute une finalité, un destinataire, un transfert ou une durée de conservation plus longue élève le numéro de version et est annoncée sur le site avant de prendre effet. Une correction de rédaction sans incidence de fond n’élève que le numéro mineur.

Les versions antérieures sont conservées par le Secrétariat général, et copie de la version en vigueur à une date donnée est adressée sur demande à contact@parousiagroup.com. Le Bureau de la protection des données revoit la présente politique au moins une fois par an et à chaque modification d’un traitement, d’un destinataire ou d’une durée de conservation.