AgentPublic/cnil huggingface dataset:
Catégories de données transférées                                                                                                                                                                                                                                                                                                            
Catégorie de données de base : Identité – Vie professionnelle – Situation économique et financière Données complémentaires produites :Formation – Développement professionnel 
Identité(s) du(des) destinataire(s)
Les personnels habilités des sociétés :HCL Technologies LimitedCorporate Office, 10/11 Sector 3, Nodia 201301 Uttar Pradesh – Inde HCL America330 Potrero AvenueCA 94085 Sunnyvale – Etats-Unis
Pays d’établissement du(des) destinataire(s)
IndeEtats-Unis 
Service auprès duquel s’exerce le droit d’accès des personnes concernées
Département juridique Sélection du Reader's Digest1 à 7 avenue Louis Pasteur92220 Bagneux
Nature des garanties mises en œuvre par le destinataire des données pour assurer un niveau de protection suffisant au regard de la protection des données transférées
Clauses contractuelles européennes 2002/16CE issues de la Décision du de la Commission  du 27 décembre 2001 relative aux clauses contractuelles types pour le transfert de données à caractère personnel vers des sous-traitants établis dans des pays tiers en vertu de la directive 95/46/CE.
Le Président,
 Alex TURK
La Commission nationale de l’informatique et des libertés, 
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée en 2004, notamment ses articles 68 et 69 ; 
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifié en 2007 ;
Sur le rapport de M. Bernard PEYRAT, commissaire et les observations de Mme Elisabeth ROLIN, commissaire du Gouvernement ;
Autorise, dans les conditions définies dans le dossier et ses compléments, la société TOTAL RAFFINAGE MARKETING à mettre en œuvre un transfert de données à caractère personnel hors de l’Union Européenne, dont les caractéristiques sont résumées dans le tableau  ci-dessous.
Société responsable du transfert
TOTAL RAFFINAGE MARKETING
Finalité du transfert
Dans le cadre de la gestion logistique Finalité 1 :Exploitation des systèmes informatiques, définition et mise en œuvre d’architectures techniques.Finalité 2 :Assistance aux utilisateurs, maintenance préventive, corrective et évolutive des systèmes informatiques dans le cadre des traitements de gestion de la logistique. 
Catégories de données transférées
Données d’identification du répartiteur, du salarié et du chauffeur, données relatives à l’adresse (adresse de correspondance, adresse de livraison, coordonnées GPS du lieu de livraison, adresse du chauffeur), données relatives à la vie professionnelle  des chauffeurs (temps de repos, temps de repas, durée de maintenance camion, durée de travail hebdomadaire, mensuelle, annuelle), données relatives aux moyens de déplacement des chauffeurs (date de validité du permis de conduire, date de validité de formation, immatriculation du véhicule). 
Identité(s) du(des) destinataire(s)
Les personnels habilités des sociétés :Pour la finalité 1 : Capgemini India Pvt. Ltd.  SEP2-B3, Godrej Industries Complex,  Eastern Express Highway, Vikhroli,  Mumbai 400079. India  Capgemini India Pvt. Ltd. Plant 6 Godrej & Boyce, Mfg Co. Ltd,  Pirojshanagar L.B.S. Marg, Vikhroli (West),  Mumbai 400079. India Pour la finalité 2 :Accenture Services Pvt. Ltd.Raheja Mind Space, Building n°1B, Survey 64,Madhapur, Hyderabad 500081. IndiaCap Gemini Mexico (jusqu'à fin 2009). Av. Guillermo Gonzalez Camarena 1600, 3er Piso, Colonia Centro de Ciudad Santa Fe Mexico 01210. Mexico Accenture SRL (début 2010)Maipu 1210, 8° pisoBuenos Aires, C10006ACTArgentina
Pays d’établissement du(des) destinataire(s)
Pour la finalité 1 :IndePour la finalité 2IndeMexique (temporaire)Argentine
Service auprès duquel s’exerce le droit d’accès des personnes concernées
Total Raffinage MarketingDirection de la Gouvernance, Organisation & Méthodes 24 cours Michelet92069 Paris La Défense cedex
Nature des garanties mises en œuvre par le destinataire des données pour assurer un niveau de protection suffisant au regard de la protection des données transférées
Clauses contractuelles européennes issues de la Décision de la Commission européenne du 27 décembre 2001 concernant les transferts de responsable de traitement à sous-traitant
Le Président 
Alex TURK
La Commission nationale de l’informatique et des libertés, 
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée en 2004, notamment son article 25-I-8° ; 
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifié en 2007 ;
Sur le rapport de M. Hubert BOUCHET, commissaire et les observations de Mme Elisabeth ROLIN commissaire du Gouvernement ;
En application de l’article 25-I-8° de la loi du 6 janvier 1978 modifiée en août 2004, la Commission est saisie par l’hôtel de Neuilly d’un traitement de données à caractère personnel reposant sur la reconnaissance du réseau veineux des doigts de la main et ayant pour finalité le contrôle de l’accès aux locaux.
Formule les observations suivantes :
L’hôtel de Neuilly souhaite utiliser un dispositif reposant sur la reconnaissance du réseau veineux des doigts de la main afin de sécuriser l’accès du personnel aux locaux de l’hôtel.
Le dispositif reposera sur un boîtier (terminal de lecture-comparaison) situé à l’entrée des locaux réservée à la direction de l’hôtel. Il s’agit d’un boîtier autonome, qui ne sera pas relié à un réseau informatique. L’enrôlement des personnes s’effectuera à partir de ce boîtier qui est équipé d’un lecteur qui permet également l’enregistrement des gabarits. Outre les données biométriques, les éléments d’identification des personnes concernées (nom, prénom, fonction) seront également traitées.
La vérification s’effectuera entre le doigt apposé sur le lecteur et le gabarit du réseau veineux des personnes qui sera stocké dans le lecteur. Le gabarit biométrique et les éléments d’identification des utilisateurs seront effacés lors du départ de l’employé de la société. Un historique des passages sera conservé pendant trois mois.
La Commission considère que le réseau veineux des doigts de la main, en l’état actuel de la technique, est une biométrie sans trace dont l’enregistrement sur un terminal de lecture-comparaison aux fins de contrôler les accès aux locaux ne comporte pas de risques particuliers pour les libertés et les droits fondamentaux des personnes. A cet égard, en l’état actuel des techniques, la biométrie par reconnaissance du réseau veineux n’est pas susceptible d’être capturée à l’insu des personnes. Dès lors, la Commission considère que le traitement pris dans son ensemble apparaît adapté et proportionné du point de vue de la protection des données personnelles.
Les droits d’accès et de rectification s’exerceront auprès de l’hôtel de Neuilly S.A.S, 58 Boulevard Victor Hugo, 92200 Neuilly. 
Les catégories de données à caractère personnel enregistrées seront :
l’identité de la personne (nom, prénom) ;
la fonction ;
le gabarit du réseau veineux de deux doigts de la main ;
l’historique des passages.
Les destinataires des informations seront, dans la limite de leurs attributions et pour la poursuite de la finalité précitée, les personnels habilités de la direction de l’hôtel de Neuilly.
Dans ces conditions, la Commission autorise l’hôtel de Neuilly à mettre en œuvre le traitement de données à caractère personnel présenté.
Le Président
Alex TURK
La Commission nationale de l’informatique et des libertés, 
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée en 2004, notamment ses articles 68 et 69 ; 
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifié en 2007 ;
Sur le rapport de M. Bernard PEYRAT, commissaire et les observations de Mme Elisabeth ROLIN, commissaire du Gouvernement ;
Autorise, dans les conditions définies dans le dossier et ses compléments, la société FNAC DIRECT à mettre en œuvre un transfert de données à caractère personnel hors de l’Union Européenne, dont les caractéristiques sont résumées dans le tableau ci-dessous. 
Société responsable du transfert
FNAC DIRECT
Finalité du transfert
Gestion des avis et évaluations des consommateurs sur les produits proposés sur le site www.fnac.com 
Catégories de données transférées
Nom, prénom, pseudonyme de l’internaute, identifiant 
Identité(s) du(des) destinataire(s)
Les personnel habilités de Bazaar Voice 11921 N. Mo Pac ExpresswaySte. 420 Austin, TX 78759, USA
Pays d’établissement du(des) destinataire(s)
Etats-Unis
Service auprès duquel s’exerce le droit d’accès des personnes concernées
FNAC DIRECT Direction juridique Le Flavia 9, rue des Bateaux-Lavoirs94768 Ivry sur Seine cedex
Nature des garanties mises en œuvre par le destinataire des données pour assurer un niveau de protection suffisant au regard de la protection des données transférées
Clauses contractuelles européennes issues de la Décision de la Commission européenne du 27 décembre 2001 concernant les transferts de responsable de traitement à sous-traitant
Le Président 
Alex TURK
(Demande d’autorisation 1347446)
La Commission nationale de l'informatique et des libertés, 
Vu la Convention n°108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l’égard des traitements de données à caractère personnel, notamment son article 25-I-8° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifié en 2007 ;
Vu la demande d’autorisation, présentée par la société Air France, d’un traitement automatisé de données à caractère personnel reposant sur la reconnaissance des empreintes digitales et ayant pour finalité le contrôle des accès logiques au poste de travail.
Sur le rapport de M. Emmanuel DE GIVRY, Vice-président délégué et les observations de Mme Elisabeth ROLIN, Commissaire du Gouvernement.
En application de l’article 25-I-8° de la loi du 6 janvier 1978 modifiée en août 2004, la Commission a été saisie par la société Air France d’un traitement de données à caractère personnel reposant sur la reconnaissance de l’empreinte digitale de deux doigts de la main et ayant pour finalité le contrôle de l’accès logique au système d’information.
Formule les observations suivantes :
La société Air France souhaite utiliser un dispositif reposant sur la reconnaissance de l’empreinte digitale de deux doigts de la main afin de renforcer la sécurité du système d’information de son site.
Elle prévoit d’ajouter au système d’authentification classique reposant sur la saisie d’un mot de passe un dispositif de reconnaissance de l’empreinte digitale associé à une carte à puce personnelle. 
Il doit être relevé que le recours au dispositif biométrique reposera sur le consentement des utilisateurs. En effet, un système alternatif, reposant uniquement sur l’utilisation de la carte avec un code PIN, est également proposé.
S’agissant du procédé biométrique, le gabarit des empreintes digitales sera uniquement stocké, sous forme chiffrée, sur une carte à puce personnelle dont l’employé a le contrôle exclusif. Le contrôle d’accès logique s’effectuera par une comparaison entre les doigts apposés (deux index) sur le lecteur et le gabarit des empreintes digitales enregistrées sur la carte.
Les données enregistrées dans le serveur dédié au contrôle d’accès logique se limiteront à celles nécessaires à l’identification de la personne (matricule du salarié). Par ailleurs, un historique des connexions au système d’information, dont la conservation n’excédera pas un an, pourra être édité.
Le dispositif présenté à la Commission reposant sur l’enregistrement du gabarit des empreintes digitales dans un support individuel exclusivement détenu par la personne concernée, la mise en œuvre d’un traitement reposant sur la reconnaissance des empreintes digitales apparaît, en l’état actuel des connaissances sur la technologie utilisée, adaptée et proportionnée à la finalité assignée au dispositif.
Les droits d’accès et de rectification s’exerceront auprès de la société Air France, 45 rue de Paris – 95747 Roissy en France.
Les catégories de données à caractère personnel enregistrées seront le matricule du salarié et le gabarit des empreintes digitales des deux index des employés.
Les destinataires des informations seront, dans la limite de leurs attributions et pour la poursuite de la finalité précitée, les personnes habilitées du système d’habilitation informatique.
Autorise, dans ces conditions, la société Air France à mettre en œuvre le traitement de données à caractère personnel présenté.
Le président
Alex Türk
La Commission nationale de l’informatique et des libertés, 
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée en 2004, notamment ses articles 68 et 69 ; 
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifié en 2007 ;
Sur le rapport de M. Bernard PEYRAT, commissaire et les observations de Mme Elisabeth ROLIN, commissaire du Gouvernement ;
Autorise, dans les conditions définies dans le dossier et ses compléments, la société MEDIAMETRIE/NETRATINGS à mettre en œuvre un transfert de données à caractère personnel hors de l’Union Européenne, dont les caractéristiques sont résumées dans le tableau ci-dessous. 
Société responsable du transfert
MEDIAMETRIE/NETRATINGS
Finalité du transfert
Production de résultats d’audience anonymes
Catégories de données transférées
Données d’identification (nom, prénom, sexe, date de naissance, adresse, région, pays, téléphone, email) associées à des données relatives à la situation familiale (composition du foyer), à la formation et diplômes (niveau d’étude), aux caractéristiques du logement, à la vie professionnelle, à la situation économique et financière (revenu total du foyer), à l’utilisation des média et moyens de communication et aux habitudes de vie et comportements (usage de l’ordinateur, qui est le fournisseur d’accès à internet et le débit de la connexion internet) 
Identité(s) du(des) destinataire(s)
Les personnel habilités de : Nielsen Company, Nielsen Online, 770 Broadway,13th floor, New York, 10003 USA
Pays d’établissement du(des) destinataire(s)
Etats-Unis
Service auprès duquel s’exerce le droit d’accès des personnes concernées
NIELSEN ON LINE UKPanel ManagementAC Nielsen House –London Road –Headington OX3 9RX - OXFORD UK 
Nature des garanties mises en œuvre par le destinataire des données pour assurer un niveau de protection suffisant au regard de la protection des données transférées
Clauses contractuelles européennes issues de la Décision de la Commission européenne du 15 juin 2001 concernant les transferts de responsable de traitement à responsable de traitement
Le Président 
Alex TURK
La Commission nationale de l’informatique et des libertés, 
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée en 2004, notamment ses articles 68 et 69 ; 
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifié en 2007 ;
Sur le rapport de M. Bernard PEYRAT, commissaire et les observations de Mme Elisabeth ROLIN, commissaire du Gouvernement ;
Autorise, dans les conditions définies dans le dossier et ses compléments, la société AREVA à mettre en œuvre un transfert de données à caractère personnel hors de l’Union Européenne, dont les caractéristiques sont résumées dans le tableau ci-dessous. 
Société responsable du transfert
AREVA SA
Finalité du transfert
Gestion des contacts clients, entreprises privées, liste de cartes de vœux
Catégories de données transférées
Nom, prénom, coordonnées mail, numéro de téléphone et de fax 
Identité(s) du(des) destinataire(s)
Les personnel habilités de AREVA NP Inc. 4800 Hampdan Lane Suite 1100 – 20814 – Bethesda MD -USA
Pays d’établissement du(des) destinataire(s)
Etats-Unis
Service auprès duquel s’exerce le droit d’accès des personnes concernées
AREVA SA 33 rue Lafayette75442 Paris cedex 09 
Nature des garanties mises en œuvre par le destinataire des données pour assurer un niveau de protection suffisant au regard de la protection des données transférées
Clauses contractuelles européennes issues de la Décision de la Commission européenne du 27 décembre 2004 concernant les transferts de responsable de traitement à responsable de traitement
Le Président 
Alex TURK
La Commission nationale de l’informatique et des libertés, 
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée par la loi n° 2004-801 du 6 août 2004, notamment ses articles 68 et 69; 
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifié en 2007;
Sur le rapport de M. Jean-Paul AMOUDRY, commissaire, et les observations de  Mme Elisabeth ROLIN, commissaire du Gouvernement;
Autorise, dans les conditions définies dans le dossier et résumées dans le tableau ci-dessous, Banque Accord à mettre en œuvre des transferts de données à caractère personnel hors de l’Union Européenne, vers un Etat qui n’assure pas un niveau de protection suffisant de la vie privée et des libertés et droits fondamentaux des personnes. 
Société responsable des transferts
Banque Accord
Finalités des transferts
Sous-traiter la gestion d’une partie de la relation avec les clients :- l’indexation de certains types de courriers adressés par les clients (contrats souscrits en magasin, changements de domicile, de numéro de téléphone ou de coordonnées bancaires), reçus sous forme numérisée, et leur prise en compte aux fins de mise à jour de la base clients;- la vérification, notamment au vue des pièces justificatives fournies, des dossiers de demande de souscription aux produits et services de Banque Accord, qui est informée de la présence d’anomalies.
Catégories de données transférées au sous-traitant ou saisies par lui
Le sous-traitant doit être en mesure d’accéder à l’ensemble des données des clients concernés susceptibles de lui être utiles:- leurs noms, prénoms, civilité, date et lieu de naissance, nationalité,- leurs adresses postale et électronique, numéros de téléphone des personnes à contacter (domicile, fixe, professionnel), situation de logement, ancienneté dans le logement, type d’habitation, pays de résidence fiscale,- leur situation familiale, le nombre d’enfants, leur régime matrimonial,- les numéros de client, de dossier et de contrat, l’acceptation ou non des communications par voie électronique, l’exercice du droit d’opposition,- leurs profession, secteur d’activité, catégorie socio-professionnelle, ancienneté professionnelle, statut de l’emploi, les coordonnées de l’employeur,- leurs type et montant des charges et des revenus, coordonnées bancaires, nombre et type de cartes bancaires détenues, - l’origine de leurs demandes de produit, la nature des comptes ouverts, la date de fin de validité des cartes du réseau, la situation et les règles de fonctionnement des comptes, l’historique des opérations réalisées, les incidents de paiement et leurs conséquences, la nature et l’objet des derniers contacts avec le client.
Bénéficiaire des transferts de données
Les agents habilités de la société de service de droit marocain, Fedaso SA, située à Fès, 28 avenue Ibn Khattib, route d’Imouzzer, en qualité de sous-traitant de Xerox Global Services, lui-même sous-traitant de Banque Accord.
Pays d’établissement du bénéficiaire des transferts
Maroc
Service auprès duquel s’exerce le droit d’accès
Le service Consommateurs de Banque Accord
Garantie mise en œuvre pour assurer un niveau de protection suffisant aux données transférées
Signature avec Xerox Global Services, Xerox General Services  et Fedaso SA d’un contrat déterminant les conditions dans lesquelles Fedaso SA pourra accéder aux données personnelles et incluant les clauses contractuelles européennes issues de la décision 2002/16/CE de la Commission européenne du 27 décembre 2001 concernant les transferts de données personnelles vers des sous-traitants établis dans des pays tiers.
Observations particulières
- Les supports des images numérisées des courriers consultés par les agents habilités de Fedaso, sont supprimés après leur traitement. Les données d’indexation correspondantes ne sont plus accessibles.- L’accès de Fedaso à la base de banque accord s’effectue par l’intermédiaire d’un VPN.- Les clients sont informés de l’existence de flux transfrontières de données vers le Maroc au moment de la signature de l’offre préalable de crédit ou l’ont déjà été via leurs relevés de compte.
Le Président,
Alex TURK