Protection des données personnelles

La présente procédure a pour objectif de définir les règles applicables au sein de Story Factory en matière de collecte, d'utilisation, de conservation, de sécurité et de suppression des données personnelles.

Elle vise à garantir le respect du Règlement Général sur la Protection des Données (RGPD) et de la loi Informatique et Libertés, tout en assurant une gestion responsable et transparente des données des clients, prospects, freelances, salariés, partenaires et visiteurs du site de l'entreprise.

Cette procédure s'applique à toutes les personnes intervenant pour le compte de Story Factory :

• la direction et les responsables de l'entreprise ;
• les salariés ;
• les freelances et intervenants missionnés ;
• les commerciaux et apporteurs d'affaires ;
• les prestataires ;
• toute personne ayant accès aux données personnelles traitées par l'entreprise.

Elle concerne notamment les traitements suivants :

• gestion des clients et de la relation commerciale ;
• gestion des prospects et des demandes de devis ;
• gestion des freelances et des intervenants ;
• réalisation des prestations (tournages, montages, shootings) ;
• facturation, paiements et gestion comptable et administrative ;
• envoi de communications ou newsletters ;
• gestion des candidatures au recrutement ;
• gestion des photos, vidéos ou publications ;
• gestion des demandes de contact ;
• gestion des salariés, le cas échéant.

Une donnée personnelle est toute information permettant d'identifier directement ou indirectement une personne physique : nom, prénom, adresse email, numéro de téléphone, adresse postale, date de naissance, photo, coordonnées bancaires, etc.

Un traitement de données correspond à toute opération réalisée sur ces données : collecte, enregistrement, consultation, modification, transmission, conservation, suppression ou archivage.

Une personne concernée est toute personne dont les données sont traitées par l'entreprise.

Le responsable du traitement est Story Factory, représentée par sa direction ou par toute personne désignée à cet effet.

Story Factory s'engage à respecter les principes suivants :

• les données personnelles sont collectées pour des finalités déterminées, explicites et légitimes ;
• seules les données strictement nécessaires à l'objectif poursuivi sont collectées ;
• les personnes concernées sont informées de manière claire sur l'utilisation de leurs données ;
• les données sont exactes et mises à jour si nécessaire ;
• les données ne sont pas conservées plus longtemps que nécessaire ;
• les données sont protégées contre tout accès non autorisé, perte, destruction ou divulgation ;
• l'entreprise est en mesure de démontrer sa conformité en cas de contrôle.

Story Factory tient un registre des activités de traitement. Ce registre permet d'identifier les traitements de données réalisés et de démontrer la conformité RGPD.

Pour chaque traitement, le registre précise au minimum :

• le nom du traitement ;
• la finalité du traitement ;
• les catégories de personnes concernées ;
• les catégories de données collectées ;
• la base légale du traitement ;
• les personnes ou organismes ayant accès aux données ;
• la durée de conservation ;
• les mesures de sécurité mises en place ;
• l'existence éventuelle d'un prestataire ou sous-traitant.

Le registre est mis à jour à chaque création, modification ou suppression d'un traitement de données.

Chaque traitement de données repose sur une base légale adaptée. Story Factory peut notamment utiliser les bases légales suivantes :

• l'exécution d'un contrat ou d'une prestation, par exemple pour gérer une commande ou un devis client ;
• l'obligation légale, par exemple pour la conservation des pièces comptables ;
• l'intérêt légitime de l'entreprise, par exemple pour organiser ses activités internes ou assurer le suivi de ses clients ;
• le consentement, par exemple pour l'inscription à une newsletter, l'utilisation de photos ou la communication à des partenaires lorsque cela est nécessaire.

Le consentement doit être libre, clair, spécifique et pouvoir être retiré à tout moment.

Lors de la collecte des données, Story Factory informe les personnes concernées de manière claire et accessible. L'information précise :

• l'identité de l'entreprise ;
• les finalités de la collecte ;
• la base légale du traitement ;
• les destinataires des données ;
• la durée de conservation ;
• les droits des personnes ;
• les modalités d'exercice de ces droits ;
• l'éventuel transfert de données hors Union européenne ;
• les coordonnées du contact chargé des données personnelles.

Cette information peut figurer dans un formulaire, un devis, une politique de confidentialité, un email ou une mention spécifique sur le site internet de l'entreprise.

Avant toute collecte, Story Factory vérifie que les données demandées sont nécessaires.

Les formulaires sont limités aux informations utiles. Par exemple, une date de naissance n'est demandée que si elle est réellement nécessaire à la prestation.

Les données sensibles, telles que les données de santé, les opinions politiques, les convictions religieuses ou les informations relatives à des mineurs, font l'objet d'une vigilance particulière. Lorsqu'elles sont collectées, l'entreprise vérifie que cette collecte est justifiée, encadrée et sécurisée.

Toute personne concernée peut exercer ses droits auprès de Story Factory :

• droit d'accès ;
• droit de rectification ;
• droit d'effacement ;
• droit d'opposition ;
• droit à la limitation du traitement ;
• droit à la portabilité, lorsque applicable ;
• droit de retirer son consentement.

Les demandes doivent être adressées à Storyfactoryprod@gmail.com.

Story Factory répond aux demandes dans un délai maximum d'un mois à compter de leur réception. En cas de demande complexe, ce délai peut être prolongé conformément aux règles applicables, après information de la personne concernée. Avant de répondre, l'entreprise peut demander une vérification d'identité si nécessaire.

Les données personnelles ne sont conservées que pendant la durée nécessaire à la finalité du traitement. À titre indicatif :

• les données des clients sont conservées pendant la durée de la relation commerciale, puis archivées ou supprimées selon les obligations applicables ;
• les données des prospects sont conservées pendant la durée nécessaire au suivi commercial, puis supprimées en l'absence de relation ;
• les données liées aux prestations sont conservées pendant la durée nécessaire à leur réalisation et à leur suivi ;
• les données de newsletter sont conservées jusqu'au désabonnement ou au retrait du consentement ;
• les pièces comptables sont conservées conformément aux obligations légales.

À l'expiration de la durée de conservation, les données sont supprimées, anonymisées ou archivées de manière sécurisée lorsque cela est justifié.

Story Factory met en œuvre des mesures de sécurité adaptées au niveau de risque. Les règles minimales suivantes sont appliquées :

• accès limité aux seules personnes autorisées ;
• utilisation de mots de passe robustes ;
• interdiction du partage de mots de passe ;
• verrouillage des ordinateurs et téléphones ;
• sauvegarde régulière des fichiers importants ;
• stockage sécurisé des documents papier ;
• limitation des exports de fichiers ;
• suppression des données inutiles ;
• utilisation prudente des outils collaboratifs ;
• vérification des destinataires avant tout envoi d'email ;
• utilisation de la copie cachée (Cci) lors d'envois groupés à des destinataires externes.

Les documents contenant des données personnelles ne sont pas accessibles publiquement ni partagés sans autorisation.

L'accès aux données personnelles est accordé uniquement aux personnes qui en ont besoin dans le cadre de leurs missions.

Lorsqu'une personne quitte l'entreprise ou change de fonction, ses accès sont supprimés ou modifiés sans délai. Un contrôle régulier des accès est réalisé au minimum une fois par an.

Lorsque Story Factory fait appel à un prestataire traitant des données personnelles pour son compte, elle vérifie que ce prestataire présente des garanties suffisantes en matière de protection des données. Cela peut concerner notamment :

• l'hébergement du site internet ;
• les outils d'emailing ;
• les solutions de gestion des clients ;
• les plateformes de paiement ;
• les logiciels comptables ;
• les services cloud.

Un contrat ou des conditions contractuelles encadrent le traitement des données par le prestataire.

Avant de publier ou diffuser une photo ou une vidéo permettant d'identifier une personne, Story Factory vérifie qu'elle dispose d'une autorisation adaptée.

Pour les mineurs, l'autorisation des représentants légaux est nécessaire.

L'autorisation précise le contexte d'utilisation, les supports concernés, la durée d'utilisation et les modalités de retrait.

Lorsque Story Factory traite des données concernant des mineurs, elle applique des mesures de protection renforcées.

• les données collectées sont limitées au strict nécessaire ;
• les parents ou représentants légaux sont informés de l'utilisation des données ;
• toute publication de photo, vidéo ou information identifiable concernant un mineur est encadrée par une autorisation spécifique.

Une violation de données peut correspondre à :

• une perte de fichier ;
• un email envoyé au mauvais destinataire ;
• un accès non autorisé ;
• un piratage ;
• une divulgation accidentelle ;
• la perte ou le vol d'un ordinateur, téléphone ou support de stockage.

Toute personne constatant une violation ou un incident prévient immédiatement la direction de Story Factory. L'entreprise analyse l'incident, évalue le risque pour les personnes concernées et décide des actions à mener.

Si la violation présente un risque pour les personnes, l'entreprise procède à une notification à la CNIL dans les délais requis. Si le risque est élevé, les personnes concernées sont également informées. Un registre interne des incidents est tenu à jour.

Story Factory évite, autant que possible, les transferts de données personnelles en dehors de l'Union européenne.

Lorsqu'un outil ou prestataire implique un transfert hors Union européenne, l'entreprise vérifie l'existence de garanties appropriées. La direction est consultée avant l'utilisation d'un nouvel outil susceptible d'héberger ou de transférer des données hors Union européenne.

Les personnes ayant accès aux données personnelles sont sensibilisées aux bonnes pratiques RGPD. Cette sensibilisation porte notamment sur :

• la confidentialité ;
• la sécurité des mots de passe ;
• les risques liés aux emails ;
• l'utilisation de la copie cachée ;
• la conservation limitée des fichiers ;
• la suppression des données inutiles ;
• la réaction en cas d'incident.

La présente procédure est revue au minimum une fois par an ou en cas de changement important :

• nouveau traitement de données ;
• nouvel outil ;
• nouveau prestataire ;
• incident de sécurité ;
• évolution réglementaire ;
• modification de l'organisation de l'entreprise.

Le registre des traitements et les modèles d'information sont mis à jour en conséquence.

Pour toute question relative à la protection des données personnelles, ou pour exercer vos droits, vous pouvez contacter Story Factory :

La présente politique de protection des données personnelles est validée par la direction de Story Factory et entre en vigueur à sa date de publication. Elle constitue la version 1.0 et est susceptible d'évoluer, notamment en cas de modification de la réglementation ou de l'organisation de l'entreprise.