Politique de protection des données de l’application mobile « CA next bank TWINT »

1. PRÉAMBULE

La protection des données et la sécurité des données sont une priorité pour Crédit Agricole next bank (Suisse) SA (ci-après « CANB ») et ses partenaires. Dans la présente politique de protection des données, le client est informé du traitement et des flux de données lorsque, via l’application CA next bank TWINT (ci-après l’« app CA next bank TWINT »), il paie les commerçants ou d’autres particuliers et utilise les services à valeur ajoutée.

Dans le cadre de l’application CA next bank TWINT, CANB collabore notamment avec la société TWINT AG avec siège à Zürich (ci-après TWINT AG), la société Swisscom SA (ci-après Swisscom) dont le siège est à Ittingen ainsi que la société SIX Payment Services SA (ci-après SIX) avec siège à Zürich.

TWINT AG, en tant qu’exploitante du système TWINT, est responsable du déroulement des paiements effectués via CA next bank TWINT et de la fourniture de prestations à valeur ajoutée (Carte physique, coupons…).

Swisscom développe et met à disposition de CANB l’application CA next bank TWINT ainsi que des interfaces vers TWINT AG et SIX nécessaires au bon fonctionnement de l’application CA next bank TWINT.

A cet effet, CANB a conclu avec TWINT AG, Swisscom et SIX pour la mise à disposition et l’exploitation de l’application CA next bank TWINT différents contrats, dont le contenu est également imposé aux éventuels sous-traitants dûment mandatés.

2. RESPONSABLE DE TRAITEMENT

En ce qui concerne la collecte, le traitement, la communication et l’utilisation des données personnelles de ses clients, CANB et ses mandataires, ainsi que leurs éventuels sous-traitants, sont soumis au respect de la Loi fédérale sur les banques ainsi qu’au droit suisse sur la protection des données (notamment la Loi fédérale sur la protection des données, LPD, ainsi que de son ordonnance d’application, OPDo).

CANB et TWINT AG (ci-après « Nous ») sont responsables de traitement indépendants ou entretiennent des relations de sous-traitance en fonction des traitements de données considérés.

3. A QUI S’ADRESSE CETTE POLITIQUE DE PROTECTION DES DONNEES ?

Cette Politique de Protection des Données vous concerne pour une ou plusieurs des raisons suivantes :

Vous êtes « Client » : nous sommes ou avons été directement en relation contractuelle avec vous en votre qualité de client de CANB.
Vous êtes « Personne Intermédiaire » : nous traitons vos données lorsque vous êtes en relation avec notre établissement par l’intermédiaire de l’un de nos Clients. Vous pouvez notamment être le bénéficiaire effectif, le donneur d’ordre, le bénéficiaire d’opérations, etc.

Cette Politique vient compléter la politique de protection des données de CANB et préciser les informations figurant dans les contrats que vous avez signés avec CANB. En cas de contradiction entre les dispositions de cette Politique et les dispositions figurant dans ces contrats ou autres supports, les dispositions de ces derniers prévaudront. Lorsque nous collectons vos données par l’intermédiaire de l’un de nos Clients et que nous les traitons, il appartient à ce Client ou son représentant de vous en informer, notamment au moyen de cette Politique de protection des données personnelles.

4. QUELLES SONT LES SOURCES A PARTIR DESQUELLES NOUS COLLECTONS DES DONNEES PERSONNELLES ?

De manière générale, nous collectons des données personnelles directement auprès de vous, p. ex. lors de l’installation et de l’utilisation de l’app CA next bank TWINT, et selon différentes modalités :

Directement auprès de vous lorsque vous signez un contrat avec nous et utilisez les services de l’app CA next bank TWINT (enregistrement et utilisation).
ou indirectement, par l’intermédiaire de nos Clients lorsque vous êtes en relation avec eux.
ou indirectement par des sources externes, publiques ou privées, qui nous permettent, dans le respect de vos droits et de la réglementation, de mieux vous connaître (bases de données et publications rendues accessibles par des autorités officielles, etc.).

5. QUELLES SONT LES DONNEES QUE NOUS RECUEILLONS A VOTRE SUJET ET DANS QUEL BUT ?

a. Installation et utilisation de de l’application

Lors de l’installation et l’utilisation de l’app CA next bank TWINT, nous traitons les données personnelles suivantes :

Nom, prénom
adresse
date de naissance
numéro de téléphone
coordonnées bancaires
document d’identité
adresse e-mail
données de localisation (après accord)

Le traitement de ces données personnelles est nécessaire pour pouvoir fournir les services prévus dans l’app CA next bank TWINT, comme le traitement des paiements, la vérification de la solvabilité, la fourniture d’informations sur la disponibilité, la lutte contre la fraude ou le traitement des réclamations et des remboursements, ainsi que pour se conformer aux prescriptions réglementaires. Si vous ne nous fournissez pas ces informations, vous ne pourrez pas utiliser l’app CA next bank TWINT.

b. Fins Marketing

Afin de pouvoir vous proposer des informations et des offres personnalisées de TWINT ou en relation avec TWINT dans l’app CA next bank TWINT (campagnes de TWINT), vos données de paiement sont analysées et évaluées afin de personnaliser leur diffusion. Les informations et données suivantes sont utilisées à des fins de personnalisation :

nom, catégorie sectorielle et emplacement du bénéficiaire du paiement
heure et date du paiement
montant en cause
type de paiement (p. ex. dans la boutique en ligne ou en magasin). Nous collectons et analysons par ailleurs les offres que vous consultez, activez et utilisez dans l’app CA next bank TWINT. TWINT ou CANB n’ont toutefois pas la possibilité de consulter le contenu de votre panier et n’analysent par conséquent pas de telles données.

Vous avez par ailleurs la possibilité de consentir à ce que des campagnes de prestataires tiers soient affichées à votre attention et à ce que, à des fins de personnalisation, des données supplémentaires vous concernant soient analysées en même temps que les données de paiement. Vous pouvez révoquer ce consentement en tout temps dans l’app CA next bank TWINT. Les données personnelles suivantes vous concernant sont traitées à cet effet :

date de naissance
code postal

c. Cartes physiques

Vous avez la possibilité d’enregistrer, des programmes de fidélisation de la clientèle et d’autres offres préférentielles de prestataires tiers (cartes physiques) dans l’app CA next bank TWINT. Les données suivantes sont traitées dans le but de permettre l’affichage ou la transmission de la carte physique :

type et nom des cartes physiques;
nombre de cartes physiques

Les données personnelles qui sont traitées pour l’affichage ou la transmission des données physiques sont supprimées si vous effacez la carte physique dans l’app CA next bank TWINT

d. Fonctions partenaires

Dans l’app CA next bank TWINT, vous pouvez acheter directement des marchandises et des services (p. ex. super deals ou bons numériques) ou d’autres offres (p. ex. stationnement ou retrait d’argent liquide). Ces offres sont régies par les dispositions et les politiques de confidentialité indiquées dans l’offre concernée.

6. TRAITEMENTS PARTICULIERS DE VOS DONNEES PERSONNELLES

Nous pouvons évaluer de manière automatisée certaines de vos caractéristiques personnelles (« profilage ») lorsque nous voulons déterminer des données sur vos préférences, mais aussi pour constater des risques d’abus et de sécurité, pour procéder à des évaluations statistiques ou à des fins de planification opérationnelle. En utilisant l’app, vous acceptez que vos données de transaction soient analysées afin de pouvoir vous présenter des offres personnalisées de TWINT.

Dans les cas où nous prenons des décisions qui reposent exclusivement sur un traitement automatisé et qui a pour vous des effets juridiques ou qui pourrait vous affecter de manière significative, nous vous informerons en conséquence et prendrons les mesures nécessaires en vertu du droit applicable.

7. Où enregistrons-nous vos données personnelles ?

Vos données personnelles sont sauvegardées sur des serveurs sécurisés en Suisse ou dans l’Union européenne.

8. PENDANT COMBIEN DE TEMPS TRAITONS-NOUS VOS DONNEES PERSONNELLES ?

Nous conservons et traitons vos données personnelles pour la durée nécessaire à la réalisation de la finalité poursuivie. Les données seront supprimées dès qu’elles ne sont plus nécessaires pour fournir le service.

Pour se conformer à nos obligations légales et règlementaires notamment la législation sur le blanchiment d’argent ou les règles de prescription comptables et fiscales, les documents contractuels et certaines données comme p.ex. celles concernant les paiements doivent être conservées pendant une durée maximale de dix (10) ans après la fin de la relation commerciale.

Les données personnelles peuvent être conservées en archivage (c’est-à-dire avec accès restreint), à des fins de gestion de la preuve, au maximum pour une durée correspondant à la durée de la relation contractuelle ou de la relation d’affaires, augmentée des délais nécessaires à la liquidation et la consolidation des droits, des durées légales de prescription et d’épuisement des voies de recours.

Les utilisateurs peuvent également nous transmettre leurs données de localisation. Leur consentement sera demandé avant la transmission des données en fonction de la configuration de leur smartphone. Les données de localisation ne sont enregistrées que de manière imprécise (rayon de 16 km), et elles sont supprimées au plus tard après six mois.

9. À qui communiquons-nous les données personnelles ?

Dans le cadre de l’utilisation de l’app CA next bank TWINT, nous communiquons vos données personnelles aux catégories de destinataires suivantes :

TWINT SA / TWINT Acquiring SA: dans le cadre de son activité d’exploitant, vos données personnelles peuvent être communiquées au sein du groupe à TWINT SA ou à TWINT Acquiring SA.
Prestataires de services : nous collaborons avec des prestataires, lesquels traitent vos données personnelles pour notre compte et selon nos instructions pour réaliser les opérations sous-traitées et le cas échéant en tant que responsables indépendants poursuivant leurs propres intérêts légitimes. Nous concluons avec ces prestataires de services des contrats qui comprennent des dispositions concernant la protection de vos données personnelles.
Autorités : nous pouvons transmettre des données personnelles à des administrations, des tribunaux ainsi qu’à d’autres autorités ou organismes de régulation en Suisse ou à l’étranger si nous y sommes légalement tenus ou autorisés ou si cela semble nécessaire à la sauvegarde de nos intérêts. Les autorités traitent sous leur propre responsabilité les données vous concernant qu’elles reçoivent de notre part.
Maison mère et/ou au Groupe Crédit Agricole : nous pouvons également être amenés à communiquer vos données personnelles à la maison mère et/ou au Groupe Crédit Agricole dans le cadre (i) de nos obligations règlementaires en matière de lutte contre la délinquance financière et (ii) de la sauvegarde de nos intérêts légitime, notamment en matière de lutte contre la fraude.

10. COMMENT TRAITONS-NOUS VOS DONNEES PERSONNELLES EN CAS DE TRANSFERT HORS DE LA SUISSE ?

Nous apportons la plus grande attention à ce que vos données à caractère personnel soient traitées et conservées sur le territoire Suisse ou dans un pays dont la législation en matière de protection des données est reconnue comme « adéquate » par le Préposé Fédéral à la protection des données et à la transparence ; ce qui est le cas pour la quasi-totalité des traitements réalisés.

Comme mentionné dans la section 9, nous communiquons également des données à des tiers. Ceux-ci ne se trouvent pas uniquement en Suisse. Vos données peuvent par conséquent également être traitées en Europe ainsi qu’aux États-Unis (p. ex. en cas d’utilisation de Google Analytics), mais également, à titre exceptionnel, dans n’importe quel autre pays du monde.
Certains des prestataires de services mentionnés dans la présente Politique de protection des données ont leur siège aux Etats-Unis, pays ne disposant pas d’une législation adéquate en matière de protection des données. Dans ce cas nous obligeons contractuellement ce destinataire à respecter la protection des données applicable (à cette fin, nous utilisons les clauses contractuelles types révisées de la Commission européenne, disponibles ici), à moins que le destinataire ne soit déjà soumis à un cadre réglementaire relatif à la protection des données reconnu par la loi et que nous ne puissions pas nous appuyer sur une dérogation. Une exception peut notamment s’appliquer en cas de procédure judiciaire à l’étranger, mais également en cas d’intérêts publics prépondérants ou si l’exécution d’un contrat nécessite une telle communication, si vous avez donné votre consentement ou s’il s’agit de données que vous avez rendues accessibles à tout un chacun et dont vous ne vous êtes pas opposé au traitement.

11. UTILISONS-NOUS DES TECHNIQUES DE TRAÇAGE EN LIGNE ?

a. Google Analytics pour Firebase

Dans l’app CA next bank TWINT nous utilisons Google Analytics pour Firebase, un outil d’analyse de Google Inc., 1600 Amphitheatre Parkway, Mountain View, CA 94043, États-Unis, respectivement de Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irlande (Google). Google Analytics utilise des méthodes, par exemple des cookies permettant d’analyser le comportement du client dans l'application CA next bank TWINT afin d'optimiser continuellement l'application. Les informations collectées au sujet de votre utilisation de l’application sont notamment :

les informations sur l’appareil,
des informations d’emplacement approximatives (pays et ville),
le parcours de clics,
les mises à jour de l’app,
la date et l’heure de la visite,
les téléchargements,
la version de Flash,
l’adresse IP,
le support Javascript,
les pages visitées,
l’activité d’achat,
les données d’utilisation,
les interactions avec les widgets,
la durée de la visite des sites web et des pages des sites,
la page depuis laquelle le visiteur a quitté les sites web,
le pays, la région ou la ville d’où l’accès est effectué;
le terminal (type, version, profondeur des couleurs, résolution, largeur et hauteur de la fenêtre de navigation),
le fait que le visiteur soit nouveau ou récurrent,
le système d’exploitation utilisé,
l’heure de la requête serveur.

Ces données sont en règle générale transmises à un serveur de Google aux États-Unis, où elles sont enregistrées. Dans ce contexte, l’adresse IP est tronquée par l’activation de l’anonymisation IP (« anonymizeIP ») avant leur transmission au sein des États membres de l’Union Européenne, dans d’autres États parties à l’accord sur l’Espace économique européen ou en Suisse. L’adresse IP masquée transmise dans le cadre de Google Analytics ne sera selon Google pas regroupées avec d’autres données de Google. Exceptionnellement, l’adresse IP intégrale peut être transmise à un serveur de Google situé aux États-Unis et y être abrégée. Dans ces cas, vous serez préalablement invité à donner votre consentement au traitement des données.

Ces informations sont utilisées pour analyser l’utilisation, établir des rapports sur les activités de l’application et fournir d’autres prestations de services en lien avec l’utilisation de l’application à des fins d’étude de marché et pour concevoir nos sites web en fonction des besoins. Ces informations sont le cas échéant transmises à des tiers dans la mesure où cela est prescrit par la loi ou que ces tiers sont mandatés pour traiter ces données.

L’utilisation de Google Firebase pour optimiser l’app peut également être désactivée dans l’app CA next bank TWINT.

b. Microsoft App Center

Dans l’app CA next bank TWINT, TWINT utilise l’app center Software Development Kit (SDK) de Microsoft Corporation (« Microsoft ») pour la transmission de rapports de plantage dans le but de perfectionner continuellement l’app CA next bank TWINT. Les informations sur le plantage de l’app CA next bank TWINT collectées par l’app SDK sont transmises au serveur de Microsoft aux États-Unis et y sont stockées. Ces données sont évaluées par Microsoft afin d’établir des rapports de plantage et de fournir d’autres services liés à l’analyse de messages d’erreur de l’app CA next bank TWINT. Des informations détaillées sur le type de données et leur utilisation figurent dans la politique de confidentialité de Microsoft sous le lien suivant : https://privacy.microsoft.com/de-de/privacystatement.

12. Quels sont vos droits ?

Vous pouvez, à tout moment, dans les conditions prévues par la loi :

accéder à vos données personnelles : vous pouvez obtenir des informations concernant le traitement de vos données personnelles ainsi que leur communication ;
les faire rectifier : vous pouvez demander la rectification de vos données personnelles qui seraient inexactes ou incomplètes ;
vous opposer à leur traitement pour des raisons tenant à votre situation particulière, lorsque la base juridique du traitement est l’intérêt légitime de la Banque ou de tiers (sauf à ce que la Banque ne prouve qu'il existe des motifs légitimes et impérieux pour ce traitement qui prévalent sur vos intérêts et vos droits et libertés, ou pour la constatation, l'exercice ou la défense de droits en justice) - à tout moment et sans justification, à leur traitement à des fins de prospection commerciale;
demander leur effacement : vous pouvez demander la suppression de vos données personnelles, et en particulier lorsque les données ne sont plus nécessaires au regard des finalités pour lesquelles elles ont été collectées, à l’exception notamment des traitements nécessaires au respect d’une obligation légale ou à la constatation, à l’exercice ou à la défense de droits en justice ;
demander la limitation de leur traitement : vous pouvez demander la suspension ou la restriction du traitement de vos données ;
demander leur portabilité : lorsque le traitement est automatisé et est fondé sur le consentement ou l’exécution du contrat ou de mesures précontractuelles, vous pouvez demander la restitution des données personnelles que vous nous avez fournies et/ou leur transfert à un tiers ;
Vous pouvez enfin, lorsque le traitement a pour base légale le consentement, retirer ce consentement pour l’avenir et mettre ainsi fin au traitement de vos données, étant précisé que le retrait du consentement ne remet pas en cause la licéité des traitements effectuées jusqu’alors.

Veuillez noter que l’exercice de certains de ces droits pourra empêcher la fourniture, selon les cas, certains produits ou services.

Si vous souhaitez exercer l’un de vos droits, il vous suffit d’écrire aux coordonnées mentionnées dans la section « Vos Points de Contact » en indiquant le(s) droit(s) que vous souhaitez exercer ainsi que tout élément permettant si nécessaire votre identification (pièce d’identité, numéro de contrat, …).

VOS POINTS DE CONTACT

En cas de questions, de réclamations ou pour exercer vos droits susmentionnés, vous pouvez contacter le service responsable de la protection des données personnelles :

Par courrier : Crédit Agricole next bank (Suisse) SA – Service Marketing Relation Client –Esplanade de Pont Rouge 4-6 - CP 1250, 1211 Genève 26
Par e-mail : dpo@ca-nextbank.ch.

CANB a désigné un Délégué à la Protection des Données (DPO), que vous pourrez contacter aux adresses suivantes : Crédit Agricole next bank (Suisse) SA – Data Protection Officer – Esplanade de Pont Rouge 4-6 - CP 1250, 1211 Genève 26 ou par email : dpo@ca-nextbank.ch.