Avis de confidentialité

INTRODUCTION

La présente déclaration de confidentialité (la « Avis de confidentialité ») détaille les conditions dans lesquelles la Société, en tant que responsable du traitement, traite les données personnelles concernant les personnes concernées.

1.1 Informations sur le traitement des données personnelles

1.2.1 Règlement sur le traitement des données personnelles

Aux fins du présent article 1.2.1 uniquement, le terme Client inclut également les clients potentiels de la Société (prospects).

La Société traite les Données Personnelles de ses Clients conformément au Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des Données personnelles et à la libre circulation de ces données et toutes modifications ou remplacements de celles-ci (le « RGPD ») ainsi que tout complément ou à la loi ou à la réglementation relative à la protection des données personnelles applicables à la Société.

Les dispositions du présent article 1.2.1 s'appliquent au traitement par la Société en qualité de Responsable de Traitement des Données Personnelles concernant (i) tous les Clients de la Société personnes physiques, ou (ii) lorsque le Client est une personne morale, le mandataire, le bénéficiaire effectif, le gestionnaire, le représentant, l'employé et tout autre mandataire de ces Clients, et (iii) toute autre personne dont la Société traite des Données personnelles (ci-après dénommées les « Personnes concernées » ).

Dans le respect du principe de transparence, la présente Notice Privée entend informer les Personnes Concernées sur les traitements effectués par la Société en qualité de Responsable de traitement ainsi que sur leurs droits concernant le traitement des Données Personnelles les concernant.

1.2.2 Collecte et traitement des Données Personnelles

La Société, en tant que Responsable de traitement, ne collecte que les informations personnelles nécessaires à l'accomplissement de ses missions et uniquement dans le cadre de la prestation de services de ses Clients et/ou pour le respect de ses obligations légales ou réglementaires. Les données personnelles sont collectées auprès des Personnes Concernées (par exemple, lors de la conclusion d'une relation d'affaires) et de tiers (par exemple, en fonction des services fournis, autorités publiques, avocats et/ou notaires), y compris à partir de sources accessibles au public et de bases de données d'abonnement .

Le refus de communiquer des Données Personnelles à la Société et l'interdiction de les traiter, restant à la discrétion du Client, peuvent dans certaines circonstances constituer un obstacle à la conclusion d'un contrat ou à la poursuite d'une relation avec la Société ou empêcher la Client de l'utilisation de certains produits ou services proposés par la Société. La Société informera les Personnes concernées d'un tel empêchement lors de la survenance d'un tel refus.

1.2.3 Catégories de Données Personnelles traitées par la Société

Dans le cadre de ses activités et des services qu'elle fournit aux Clients, la Société traite généralement les informations personnelles non exhaustives suivantes concernant les Personnes Concernées :

(a) les données d'identification personnelles (par exemple, nom, adresse, pays de résidence, numéros de téléphone) et les données électroniques (adresses e-mail, adresse IP, informations collectées via l'utilisation de cookies sur les sites Web) ;
(b) données personnelles (par exemple : date de naissance, sexe, état civil) et habitudes de vie et de consommation (consommation de biens et services, régimes alimentaires particuliers) ;
(c) l'éducation et la profession (par exemple, programme d'études, employeur, poste, titre, lieu de travail);
(d) les données d'identification générées par les services publics (par exemple, numéro de passeport, carte d'identité, registre national, publication des états financiers annuels);
(e) les données d'identification électronique (par exemple, l'adresse e-mail) ;
(f) les données relatives à la situation financière du Client ou de la Personne concernée (par exemple, numéros de compte bancaire et solde, numéros de carte de crédit) ;
(g) registres des transactions financières
(h) les données relatives à la situation financière du Client ou de la Personne concernée (par exemple les revenus, les actifs et les propriétés, les crédits, le solde du compte bancaire, les préférences d'investissement) ;
(i) l'identification de la résidence fiscale et le numéro d'identification fiscale ;
(j) image et son (par exemple, enregistrements téléphoniques, images sur des copies de documents d'identité, enregistrements vidéo via les systèmes de vidéosurveillance installés dans les locaux de la Société) ;
(k) toute information résultant de contrôles liés à la réglementation anti-blanchiment et contre le financement du terrorisme (« LBC/FT ») et connaître votre client (« KYC »).

Les catégories de données ci-dessus peuvent inclure des catégories spéciales de données personnelles, telles que des informations sur les opinions politiques, l'affiliation à des syndicats, les croyances religieuses et des informations sur les conventions pénales et les infractions.

1.2.4 Bases légales et finalités du traitement des Données Personnelles

La Société traite les Données Personnelles concernant les Personnes Concernées en fonction des services fournis à ses Clients ainsi que pour le respect de ses obligations légales en général.

En particulier, la Société traite des Données personnelles relatives à une Personne concernée lorsqu'un traitement est nécessaire :

(a) de prendre les mesures préalables nécessaires à la conclusion du contrat et à son exécution et aux fins de fournir ses services à ses Clients et d'exécuter ses obligations conformément aux dispositions contractuelles en gérant sa relation d'affaires avec le Client (y compris l'administration du compte, la gestion instructions de paiement et dépôts, prêts et hypothèques et titres connexes, évaluation de la solvabilité et de la solvabilité du Client, investissements et transactions financières similaires) ainsi que pour la nécessité de mettre à jour les informations du Client et de la Personne concernée ;
(b) pour le respect des obligations légales ou réglementaires auxquelles la Société est soumise, notamment aux fins de :
   i) se conformer aux exigences de déclaration aux autorités compétentes, que ce soit en termes de fiscalité ou autre, que ce soit en termes de fiscalité ou autre (telles que la Norme commune de déclaration de l'OCDE pour l'échange d'informations (« CRS »), FATCA, l'Automatic Exchange d'informations (« AEI ») et tout régime d'échange d'informations auquel la Société est soumise de temps à autre) ou de déclaration légale/réglementaire à l'autorité de surveillance, auquel cas la fourniture d'informations à la Société est toujours obligatoire – défaut de répondre peut conduire à un signalement incorrect ou double  dans ce contexte, les Données Personnelles concernant les Personnes Concernées seront partagées avec les autorités fiscales luxembourgeoises (et tout prestataire de services avec lequel la Société opère) qui peuvent à leur tour partager les informations avec les autorités fiscales étrangères ;
   ii)  prendre des mesures contre le blanchiment de capitaux et le financement du terrorisme, notamment :
   -  obligation de KYC (Customer Due Diligence (« CDD ») et contrôles KYC ;
   -   LBC/FT ;
   - obligations de coopération avec les autorités luxembourgeoises et internationales ;
   -   tenue des registres des services et des transactions.
c) pour satisfaire l'intérêt légitime de la Société ou d'un tiers, notamment à des fins liées :
   i) la stratégie de développement commercial de la Société pour proposer des services complémentaires adaptés aux besoins de ses Clients (y compris le marketing direct sous forme de communications commerciales non sollicitées) et/ou répondre à leurs besoins spécifiques, le cas échéant ;
   ii) sécuriser les locaux, les canaux de communication et les systèmes informatiques utilisés par la Société ;
   iii) la comptabilité, la démonstration d'une transaction, la gestion des risques ou la prévention d'une fraude.
d) sur la base du consentement de la personne concernée (par exemple pour tout traitement ultérieur des données personnelles).

1.2.5 Données personnelles relatives à des tiers

Toute personne qui, en tant que client ou au nom d'un Client, communique à la Société ou à l'un de ses représentants des Données personnelles concernant des Personnes concernées doit d'abord fournir à ces dernières les informations sur la manière dont la Société traite les Données personnelles telles que décrites dans le présent Avis de confidentialité. La Société considérera donc que les Personnes Concernées sont informées du traitement des Données Personnelles les concernant que la Société peut effectuer et du transfert de leurs Données Personnelles à certains destinataires tels que décrits aux présentes, et que, pour autant que de besoin , le Client a obtenu le consentement écrit préalable des Personnes Concernées.

1.2.6 Consentement exprès relatif à un traitement spécifique des données personnelles

Dans certains cas particuliers, la Société peut demander le consentement des Personnes Concernées en relation avec une opération de traitement spécifique des Données Personnelles. La Banque informe les Personnes concernées qu'elles peuvent retirer leur consentement à tout moment conformément et dans les limites des lois applicables.

1.2.7 Enregistrement des conversations téléphoniques et des communications électroniques

1.2.7.1 Les postes téléphoniques de la Société utilisés pour des « transactions commerciales ou financières » sont enregistrés. À cet égard, le Client est informé que la Société peut (et dans certaines circonstances est, dans l'intérêt du Client, obligée par la loi à), enregistrer des conversations téléphoniques ou des communications électroniques. Ces enregistrements visent à suivre les transactions à des fins probantes, conformes aux lois et règlements, permettant l'assistance et les enquêtes de la Société ou des autorités compétentes (y compris en cas de litige entre le Client et la Société relatif à un transaction).

1.2.7.2 Néanmoins, si le Client (ou toute Personne concernée agissant pour le compte du Client) a une conversation téléphonique avec un employé de la Société et que l'objet de cette conversation n'a rien à voir avec une « transaction commerciale ou financière », alors le Le client a la possibilité de demander audit employé de transférer l'appel sur une ligne non enregistrée. Dans ce cas, le Client est informé qu'aucune commande ou transaction ne sera traitée ni même envisagée par la Société. Enfin, le Client ne pourra à aucun moment prétendre avoir transmis un ordre ou effectué une transaction par téléphone s'il avait expressément demandé l'utilisation d'une ligne non enregistrée.

1.2.7.3 Le Client est informé qu'en cas de litige entre les parties aux présentes, les enregistrements pourront faire foi, notamment si, lors de la première ouverture de compte. Le Client a demandé qu'un appel téléphonique soit considéré comme un moyen de communication valable en ce qui concerne le compte.

1.2.8 Durée de conservation des Données Personnelles

1.2.8.1 Principe de conservation

Sauf indication contraire, la Société conservera les Données Personnelles aussi longtemps, mais pas plus que, nécessaire ou requis pour satisfaire les finalités poursuivies par la Société telles que détaillées ci-dessus, la période maximale étant soit (i) la fin de la relation entre le Client et la Société plus les délais de prescription légaux applicables pour l'exercice ou la défense d'une action en justice (périodes de prescriptions légales, tels que le délai de prescription commerciale de 10 ans à compter de la fin de la relation contractuelle avec un Client ou (ii) la fin de l'obligation légale de conserver les données personnelles pendant une certaine période, même après la fin de la relation entre le client et la société, selon la dernière éventualité.

1.2.8.2 Archivage/conservation

(a) Pour assurer le respect de son obligation légale telle que régie par la Loi de 2004, la Société est tenue de :

- conserver les informations et documents relatifs au CDD pendant une durée de cinq (5) ans après la fin de la relation d'affaires ou après la date d'une opération occasionnelle ;

- conserver les pièces justificatives et les enregistrements de la transaction pendant une durée de cinq (5) ans après la fin d'une relation commerciale avec le Client ou après la date d'une transaction occasionnelle.

Les autorités de régulation peuvent ordonner la conservation de ces informations ou documents pour une période supplémentaire de cinq (5) ans lorsque la nécessité et la proportionnalité d'une telle conservation supplémentaire ont été établies pour la prévention, la détection, l'enquête ou la poursuite de soupçons de blanchiment de capitaux ou de financement du terrorisme.

(b) Afin d'assurer le respect de ses obligations légales en matière de comptabilité, la Société conserve ses livres, documents comptables, correspondances et archives, qui peuvent contenir des Données Personnelles, en original ou en copies sur tout support qu'elle juge approprié, pendant une durée de dix ( 10) ans à compter de la clôture de l'exercice auquel ils se rapportent.

(c) La Société conservera les enregistrements des conversations téléphoniques et des communications électroniques aussi longtemps, mais pas plus que, nécessaire aux fins susmentionnées (c'est-à-dire garder une trace des transactions à des fins de preuve, se conformer aux lois et règlements, permettre l'assistance et les enquêtes par le Société ou les autorités compétentes), le délai maximum étant soit (i) la fin des relations entre le Client et la Société augmentée des délais de prescription légaux applicables pour l'exercice ou la défense d'un droit en justice (périodes de prescriptions légales) ou (ii ) la fin de l'obligation légale de conserver les données personnelles pendant une certaine période, même après la fin de la relation entre le client et la société, selon la dernière éventualité. Les enregistrements téléphoniques et les communications électroniques relatifs à certaines transactions doivent par la loi être conservés par la Société pendant une durée de cinq (5) ans ou jusqu'à sept (7) ans si la CSSF l'exige.

1.2.9 Sécurité des données

La Société utilise les moyens physiques et techniques pour protéger les Données Personnelles des Personnes Concernées contre toute tentative d'utilisation malveillante et frauduleuse. Les solutions techniques utilisées pour stocker et traiter les Données Personnelles font l'objet d'une surveillance renforcée en accord avec la politique de sécurité et l'approche par les risques de la Société, qui reste sa priorité.

À titre d'exemple, les garanties techniques et organisationnelles comprennent le cryptage, les pare-feu antivirus, les contrôles d'accès, la sélection stricte du personnel et des fournisseurs pour empêcher et détecter l'accès, la perte ou la divulgation inappropriée des données personnelles de la personne concernée.

En cas de violation de la sécurité qui pourrait potentiellement compromettre la protection des données personnelles des personnes concernées sous le contrôle de la Société, la Société agira rapidement pour identifier la cause de cette violation et prendra des mesures correctives. En fonction de la nature et de l'étendue du problème identifié, la Société informera les Personnes concernées conformément aux dispositions légales applicables.

1.2.10 Destinataires des Données Personnelles

Les Données personnelles de la Personne concernée peuvent être transférées par la Société aux catégories de destinataires suivantes, dans la mesure où la Société estime qu'une telle divulgation ou transmission est requise ou nécessaire pour satisfaire aux finalités susmentionnées :

(a) toute personne morale susceptible d'acquérir la Société ou certains de ses actifs en cas de fusion-acquisition ou de restructuration ;
(b) les avocats, notaires, commissaires aux comptes ou huissiers de justice de la Société ;
(c) des entités publiques, gouvernementales ou judiciaires, au Luxembourg ou à l'étranger ;
(d) Adresses dont les interventions sont liées aux affaires courantes de la Société.

La Société pourra également transférer les Données Personnelles, en vertu d'une obligation légale ou réglementaire à laquelle la Société est soumise, ou en vertu d'une contrainte émanant d'une autorité publique ou judiciaire dans les limites légales applicables. Conformément aux exigences légales et réglementaires propres à l'échange automatique d'informations avec les pays qui y ont adhéré, la Société peut divulguer certaines Données Personnelles relatives au statut de résidence fiscale du Client aux autorités fiscales luxembourgeoises.

L'administration fiscale luxembourgeoise peut communiquer les données transmises par la Banque à chaque autorité fiscale étrangère compétente conformément aux exigences légales et réglementaires applicables. Dans certaines juridictions, les exigences légales et réglementaires applicables aux transactions impliquant des instruments financiers et des droits similaires exigent que l'identité des détenteurs (in)directs ou bénéficiaires effectifs de ces instruments et leurs positions dans ces instruments soient divulguées.

Le non-respect de ces obligations peut entraîner le gel des instruments financiers avec toutes les conséquences possibles qui en découlent, telles que l'impossibilité d'exercer les droits de vote, la non-encaissement des dividendes, l'impossibilité de vendre les instruments concernés ou tout autre sanction ou mesure restrictive, notamment en application des dispositions légales et réglementaires applicables auxquelles le Client est également tenu de se conformer.

A cet effet, le Client est informé que la Société peut être légalement tenue de divulguer aux autorités compétentes l'identité du Client et/ou de l'ayant droit économique ainsi que leurs positions dans lesdits instruments financiers.

Tout transfert de données personnelles par la société à un destinataire (agissant soit en tant que sous-traitant soit en tant que contrôleur lors du traitement des données personnelles) situé en dehors de l'Espace économique européen (l'« EEE ») sera effectué conformément aux garanties prévues au chapitre V de le RGPD.

1.2.11 Droits de la personne concernée

Sous réserve des conditions du RGPD, toute personne concernée peut demander à la Société l'un des éléments suivants :

1.2.11.1 Droit d'accès

Chaque Personne Concernée a le droit d'obtenir de la Société la confirmation du traitement ou non des Données Personnelles la concernant et, le cas échéant, l'accès aux Données Personnelles et les informations suivantes à cet égard.

(a) les finalités du traitement ;
(b) les catégories de données personnelles concernées ;
(c) les destinataires ou catégories de destinataires auxquels les données à caractère personnel ont été ou seront divulguées, en particulier les destinataires dans des pays tiers ou des organisations internationales;
(d) dans la mesure du possible, la période envisagée pour laquelle les données à caractère personnel seront conservées ou, si cela n'est pas possible, les critères utilisés pour déterminer cette période ;
(e) l'existence du droit de demander au responsable du traitement la rectification ou l'effacement des données à caractère personnel ou la limitation du traitement des données à caractère personnel concernant la personne concernée ou de s'opposer à un tel traitement.
(f) le droit de déposer une plainte auprès d'une autorité de contrôle;
(g) lorsque les données à caractère personnel ne sont pas collectées auprès de la personne concernée, toute information disponible quant à leur source.
(h) l'existence d'une prise de décision automatisée, y compris le profilage, visée à l'article 22, paragraphes 1 et 4 du RGPD et, au moins dans ces cas, des informations significatives sur la logique impliquée, ainsi que l'importance et les conséquences envisagées d'un tel traitement pour la personne concernée.

1.2.11.2 Droit de rectification

La Personne Concernée a le droit d'obtenir de la Société sans retard injustifié la rectification des Données Personnelles inexactes la concernant et compte tenu des finalités du traitement, le droit de faire compléter des Données Personnelles incomplètes.

1.2.11.3 Droit de restreindre le traitement des Données Personnelles

Le droit permet à la Personne Concernée de « bloquer » ou de supprimer un traitement spécifique de ses Données Personnelles.

1.2.11.4 Droit à l'effacement

Ce droit permet à la Personne concernée de demander à la Société de supprimer ou de supprimer ses Données personnelles lorsqu'il n'existe aucune raison impérieuse de poursuivre leur traitement.

1.2.11.5 Droit d'opposition

La Personne Concernée a le droit de s'opposer, pour des motifs tenant à sa situation particulière, à tout moment au traitement des Données Personnelles la concernant qui est fondé sur la satisfaction des intérêts légitimes poursuivis par la Société. En cas d'exercice de ce droit, la Société ne traitera plus les Données personnelles, à moins que la Société ne démontre des motifs légitimes et impérieux pour le traitement qui prévalent sur les intérêts, droits et libertés de la Personne concernée ou pour l'établissement, l'exercice ou la défense de droits en justice.

1.2.11.6 Droit à la portabilité

Les personnes concernées auront également un droit à la portabilité de leurs données personnelles, à savoir le droit de recevoir des données personnelles les concernant ou de demander la communication à un autre contrôleur dans un format structuré, couramment utilisé et lisible par machine.

1.2.11.7 Retrait du consentement

La Personne concernée peut à tout moment retirer le consentement qu'elle a donné dans les cas où la Société aura dû préalablement exiger un tel consentement pour le traitement des Données personnelles la concernant. La légalité des opérations de traitement fondées sur le consentement effectuées avant un tel retrait ne sera pas affectée.

1.2.11.8 Droit d'être informé

Les personnes concernées ont le droit d'être informées de la collecte et de l'utilisation de leurs données personnelles. L'individu a également le droit d'être informé après avoir donné son consentement, ce qui signifie que l'entreprise doit être en mesure de fournir à l'individu des informations concises, intelligibles, facilement accessibles, gratuites et clairement écrites sur le traitement.

1.2.12 Personne de contact et exercice des droits de la Personne concernée

Le Chief Compliance Officer (CCO) est la personne de contact pour toutes les questions concernant le traitement et la protection des Données Personnelles.

Les Personnes Concernées peuvent adresser à la Société une demande d'exercice des droits susvisés en adressant une demande écrite, signée et justifiant de son identité à la Société, adressée par courrier électronique à :

anf@anfgestion.lu

ou par courrier à l'adresse suivante :

ANF Luxembourg SA
Chef de la conformité
11, Avenue de la Porte Neuve 1er étage
L-2227 Luxembourg

La Société, par l'intermédiaire du Délégué à la Protection des Données désigné, s'engage à traiter la demande du Client dans les meilleurs délais.

Le Client est également informé qu'il a le droit d'introduire une réclamation auprès de l'autorité compétente en matière de protection des données, notamment dans l'État membre de sa résidence habituelle.

Au Luxembourg, cette autorité est :

Commission Nationale de Protection des Données (CNPD)
15, Boulevard du Jazz L-4370 Belvaux

Nonobstant ce qui précède, le Client est informé que conformément aux dispositions de la Loi de 2004, le droit d'accès aux Données Personnelles susvisé peut être limité ou différé par la Société lorsqu'une telle mesure est nécessaire pour :

- la Société, ou une autorité de régulation, ou la Cellule de renseignement financier de l'État (Cellule de renseignement financier) pour mener à bien les missions mentionnées dans la loi de 2004 ;

- éviter d'entraver les enquêtes, enquêtes ou poursuites officielles ou judiciaires au sens de la loi de 2004 et veiller à ce que la prévention, l'investigation et la détection du blanchiment de capitaux et du financement du terrorisme ne soient pas compromises.

1.2.14 Définitions selon le RGPD (Glossaire)

(a) « Données personnelles »

Toute information relative à une personne physique identifiée ou identifiable (« Personne concernée » ); une personne physique identifiable est une personne qui peut être identifiée, directement ou indirectement, notamment par référence à un identifiant, tel qu'un nom, un numéro d'identification, des données de localisation, un identifiant en ligne ou à un ou plusieurs facteurs propres à la condition physique, physiologique , génétique, mentale, économique, culturelle ou sociale de cette personne physique.

(b) « Traitement »
Toute opération ou ensemble d'opérations qui est effectué sur des données personnelles ou sur des ensembles de données personnelles, que ce soit par des moyens automatisés ou non, tels que la collecte, l'enregistrement, l'organisation, la structuration, le stockage, l'adaptation ou la modification, la récupération, la consultation, l'utilisation, la divulgation par transmission, diffusion ou autre mise à disposition, alignement ou combinaison, restriction, effacement ou destruction.

(c) « Contrôleur »
La personne physique ou morale, l'autorité publique, l'agence ou tout autre organisme qui, seul ou conjointement avec d'autres, détermine les finalités et les moyens du traitement des données personnelles.

(d) « Processeur »
La personne physique ou morale, l'autorité publique, le service ou tout autre organisme qui traite les données personnelles pour le compte du responsable du traitement.

(e) « Bénéficiaire »
Une personne physique ou morale, une autorité publique, une agence ou un autre organisme, à laquelle les données personnelles sont divulguées, qu'il s'agisse d'un tiers ou non. Toutefois, les autorités publiques susceptibles de recevoir des Données à caractère personnel dans le cadre d'une enquête particulière conformément au droit de l'Union ou des États membres ne sont pas considérées comme des destinataires ; le traitement de ces données par ces autorités publiques est conforme aux règles applicables en matière de protection des données selon les finalités du traitement.

(f) « Tiers »
Une personne physique ou morale, une autorité publique, une agence ou un organisme autre que la personne concernée, le responsable du traitement, le sous-traitant et les personnes qui, sous l'autorité directe du responsable du traitement ou du sous-traitant, sont autorisées à traiter les données personnelles.

1.2.15 Divers

Des informations plus spécifiques concernant le traitement des Données personnelles et toute mise à jour ou modification par rapport à la présente Politique de confidentialité peuvent être fournies au Client par la Société par toute lettre de notification (y compris par courrier électronique) ou tout autre moyen approprié.

Le Client communiquera cet Avis de confidentialité mis à jour à toute Personne concernée par les opérations de traitement conformément à cet Avis de confidentialité.