Politique de confidentialité – DRAMIŃSKI S.A.
Version mise à jour au 7 octobre 2026 – incluant le formulaire CRA relatif à la cybersécurité.
- Responsable du traitement
Le responsable du traitement des données personnelles des clients, partenaires commerciaux, utilisateurs des services en ligne de DRAMIŃSKI S.A., ainsi que des personnes utilisant les formulaires mis à disposition par la Société, y compris le formulaire de signalement des vulnérabilités et incidents de sécurité dans le cadre du Cyber Resilience Act (CRA), est DRAMIŃSKI S.A., ul. Wiktora Steffena 21, 11-036 Sząbruk, Pologne, NIP (numéro fiscal) : 7393855706, REGON : 281418440, tél. +48 89 675 26 00, e-mail : biuro@draminski.pl. - Délégué à la protection des données
Le responsable du traitement a désigné un Délégué à la protection des données (DPO) – Michał Minurski. Le DPO peut être contacté à l’adresse : iod@draminski.pl. - Finalités, bases légales et durée de conservation des données personnelles
Les données personnelles peuvent être traitées aux fins et sur les bases légales suivantes :
– la conclusion et l’exécution d’un contrat, ou les démarches précontractuelles – art. 6(1)(b) du RGPD,
– le respect des obligations légales incombant au responsable du traitement, notamment fiscales, comptables et, le cas échéant, celles résultant de la réglementation relative à la cybersécurité – art. 6(1)(c) du RGPD,
– la poursuite des intérêts légitimes du responsable du traitement, notamment le marketing de ses propres services, la sécurisation des systèmes, services et produits, l’établissement ou la défense de droits en justice, ainsi que le traitement des signalements liés à la cybersécurité et aux vulnérabilités – art. 6(1)(f) du RGPD,
– la réalisation d’actions nécessitant un consentement, notamment en matière de certains cookies, outils analytiques, marketing ou autres fonctions, lorsque la loi l’exige – art. 6(1)(a) du RGPD.
Durée de conservation :
Les données sont conservées pendant une durée adaptée à la finalité et à la base légale du traitement, notamment :
– pendant la durée nécessaire à la gestion de la relation avec l’utilisateur ou le client et, dans le cas d’un contrat, pendant sa durée d’exécution et jusqu’à l’expiration du délai de prescription applicable aux réclamations,
– pendant la durée requise par les dispositions comptables, fiscales ou autres dispositions légales applicables,
– pour les données traitées sur la base du consentement – jusqu’à son retrait, sauf si une autre base légale justifie la poursuite du traitement,
– pour les données traitées sur la base de l’intérêt légitime – jusqu’à ce que cet intérêt cesse, qu’une opposition effective soit formée, ou jusqu’à l’expiration du délai nécessaire à l’établissement, à l’exercice ou à la défense de droits en justice.
La fourniture des données est volontaire mais nécessaire à la conclusion et à l’exécution du contrat. L’absence de fourniture des données peut empêcher le responsable du traitement de fournir le service.
- Formulaire CRA – signalement des vulnérabilités et incidents de sécurité
Le responsable du traitement met ou peut mettre à disposition un formulaire permettant de transmettre des informations relatives à des vulnérabilités potentielles, des failles de sécurité, des incidents ou tout autre événement susceptible d’affecter la cybersécurité des produits, services ou systèmes de DRAMIŃSKI S.A. Ce formulaire sert notamment à la réception du signalement, son enregistrement, son analyse, sa vérification et sa clarification, au contact avec la personne à l’origine du signalement, à la mise en œuvre de mesures correctives ou de réduction des risques, ainsi qu’à la documentation du traitement du signalement.
Finalité et base légale du traitement. Pour ce qui concerne la réception, l’analyse et le traitement des signalements relatifs à des vulnérabilités ou à d’autres menaces de cybersécurité, la base légale du traitement est l’art. 6(1)(f) du RGPD, c’est-à-dire l’intérêt légitime du responsable du traitement consistant à assurer et à renforcer la sécurité des produits comportant des éléments numériques, des systèmes et des utilisateurs, à détecter et à corriger les vulnérabilités, à limiter les effets des incidents et à se protéger contre les menaces de cybersécurité. Si le contenu d’un signalement engendre pour le responsable du traitement une obligation prévue par la loi, notamment l’obligation de notification prévue à l’article 14 du règlement (UE) 2024/2847 du Parlement européen et du Conseil (Cyber Resilience Act), les données sont également traitées sur la base de l’art. 6(1)(c) du RGPD, dans la mesure nécessaire à l’exécution de cette obligation légale.
Catégories de données. Dans le cadre du formulaire, les données fournies par la personne à l’origine du signalement peuvent être traitées, notamment les données d’identification et de contact, les informations relatives à l’organisation représentée, le contenu du signalement, ainsi que les données techniques nécessaires à l’évaluation de l’événement, telles que les informations relatives au produit, à la version du logiciel, à l’environnement, aux journaux, aux adresses IP, aux horodatages, aux pièces jointes et autres données techniques transmises avec le signalement. Le responsable du traitement applique le principe de minimisation des données et ne requiert pas la transmission de données personnelles qui ne seraient pas nécessaires à l’analyse du signalement.
Durée de conservation. Les données liées à un signalement seront conservées pendant le temps nécessaire à la réception, à l’analyse, à la clarification et à la clôture du signalement, ainsi qu’à la mise en œuvre des mesures correctives ou de réduction des risques éventuelles. Après la clôture du traitement du signalement, les données peuvent être conservées pendant la durée nécessaire pour démontrer la conformité des actions du responsable du traitement, pour satisfaire aux obligations résultant de la réglementation relative à la cybersécurité, et jusqu’à l’expiration du délai de prescription applicable aux éventuelles réclamations. Si la loi exige une conservation plus longue d’une documentation spécifique, les données seront conservées pendant la durée résultant de ces dispositions.
Caractère volontaire de la fourniture des données. La fourniture des données d’identification ou de contact est volontaire, sauf si un champ spécifique du formulaire a été désigné comme obligatoire en raison de la nécessité d’un traitement correct du signalement. L’absence de coordonnées peut empêcher le responsable du traitement de demander des informations complémentaires ou de fournir un retour sur la manière dont le signalement a été traité.
Destinataires des données en lien avec un signalement CRA. Les données peuvent être communiquées aux employés et collaborateurs autorisés du responsable du traitement, aux prestataires de services informatiques, de cybersécurité, d’hébergement, de maintenance du formulaire ou de services juridiques, ainsi que, lorsque la loi l’exige ou que cela est nécessaire à l’exécution d’une obligation légale, aux CSIRT compétents, à l’ENISA, aux autorités de surveillance du marché ou à d’autres organismes habilités.
- Droits de la personne concernée
La personne concernée dispose, dans les limites fixées par le RGPD, notamment du droit de :
– accéder à ses données et d’en obtenir une copie (art. 15 du RGPD),
– rectifier ses données (art. 16 du RGPD),
– obtenir l’effacement de ses données, lorsque les conditions de l’art. 17 du RGPD sont réunies,
– limiter le traitement (art. 18 du RGPD),
– obtenir la portabilité des données – dans les cas prévus à l’art. 20 du RGPD,
– s’opposer au traitement fondé sur l’art. 6(1)(f) du RGPD, pour des raisons tenant à sa situation particulière, et à tout moment en cas de prospection directe (art. 21 du RGPD),
– retirer son consentement à tout moment, sans que cela n’affecte la licéité du traitement effectué avant ce retrait, lorsque le consentement constitue la base du traitement (art. 7(3) du RGPD),
– introduire une réclamation auprès du Président de l’Office polonais de protection des données personnelles (UODO).
Lorsque les données sont traitées aux fins de l’exécution d’une obligation légale visée à l’art. 6(1)(c) du RGPD, le droit d’opposition ne s’applique pas à ce périmètre de traitement. - Destinataires des données et sous-traitants
Les données personnelles peuvent être communiquées à des entités qui assistent le responsable du traitement dans l’exercice de son activité et la réalisation des finalités décrites ci-dessus, notamment les prestataires de services informatiques, d’hébergement, de maintenance des sites et formulaires, d’outils analytiques et marketing, les opérateurs de paiement et de livraison, les prestataires de services comptables, juridiques, d’audit et de cybersécurité, ainsi que les autorités publiques ou autres entités habilitées en vertu de la loi applicable. Lorsqu’une entité agit en tant que sous-traitant, elle traite les données sur la base d’un contrat de sous-traitance et conformément aux instructions du responsable du traitement. - Transfert de données en dehors de l’Espace économique européen
En raison du recours à certains prestataires technologiques, les données peuvent être transférées en dehors de l’Espace économique européen. Dans un tel cas, le responsable du traitement garantit la base légale du transfert requise par le RGPD, notamment en s’appuyant sur une décision d’adéquation de la Commission européenne – lorsqu’applicable – ou sur des garanties appropriées, telles que les clauses contractuelles types de la Commission européenne. Des informations sur le mécanisme de transfert appliqué peuvent être obtenues en contactant le responsable du traitement ou le DPO. - Cookies et technologies similaires
Les sites internet du responsable du traitement peuvent utiliser :
– des cookies et technologies nécessaires au bon fonctionnement du site ou à la fourniture du service demandé,
– des cookies et technologies analytiques, fonctionnelles ou marketing – lorsqu’un consentement est requis, ceux-ci ne sont activés qu’après son obtention.
Le consentement aux cookies non obligatoires est recueilli via le mécanisme de gestion des consentements disponible sur le site. L’utilisateur peut refuser ou retirer son consentement à tout moment via les paramètres de consentement. Le retrait du consentement n’affecte pas la licéité des opérations effectuées avant ce retrait.
- Profilage et activités marketing
Le responsable du traitement peut utiliser les données à des fins d’analyse et d’adaptation des communications marketing dans la mesure permise par la loi. Lorsque le profilage repose sur des cookies ou technologies similaires non obligatoires, il n’est mis en œuvre qu’après obtention du consentement requis. Dans la mesure où la base du traitement est l’intérêt légitime du responsable du traitement, la personne concernée dispose d’un droit d’opposition conformément à l’art. 21 du RGPD. - Modifications de la politique de confidentialité
La présente politique de confidentialité peut être mise à jour périodiquement, notamment afin de l’adapter aux évolutions de la législation, aux lignes directrices des autorités de contrôle, aux technologies utilisées, ainsi qu’à l’étendue réelle du traitement des données effectué par le responsable du traitement.
Dernière mise à jour : 7 octobre 2026
Responsable du traitement : DRAMIŃSKI S.A.
