Politique de protection des données

1. Objet, champ d’application et cadre juridique

La protection des données à caractère personnel fait partie des obligations professionnelles et de confidentialité de SQUARREL.

La présente politique s’applique aux traitements de données concernant des personnes physiques réalisés par SQUARREL dans le cadre :

• de l’accès et de la navigation sur le site internet du cabinet ;
• des demandes transmises par courrier électronique, téléphone ou formulaire de contact ;
• des démarches précontractuelles, de l’acceptation d’une mission et de la relation client ;
• des missions de comptabilité, de fiscalité, de conseil et des services connexes ;
• des relations avec les fournisseurs, prestataires, partenaires professionnels et autorités ;
• de l’administration, de la sécurité et de la défense des droits de SQUARREL.

Cette politique est établie principalement au regard du règlement (UE) 2016/679 du 27 avril 2016 (« RGPD »), de la législation luxembourgeoise applicable en matière de protection des données, des règles relatives aux communications électroniques et cookies, ainsi que des obligations légales et professionnelles propres aux experts-comptables.

2. Identité et coordonnées du responsable du traitement

Pour les traitements décrits dans la présente politique, le responsable du traitement est :

• SQUARREL S.à r.l.-S, société à responsabilité limitée simplifiée ;
• Siège social : 5, Loumillewee, L-9175 Niederfeulen, Luxembourg ;
• RCS Luxembourg : B299185 ;
• Numéro de TVA : LU 36857728 ;
• Cabinet d’expertise comptable membre de l’Ordre des Experts-Comptables du Grand-Duché de Luxembourg ;
• Adresse électronique de contact : h.peschon@squarrel.eu ;
• Téléphone : +352 661 189 203.

SQUARREL n’a pas désigné de délégué à la protection des données. Toute question relative à cette politique ou à l’exercice des droits peut être adressée au contact indiqué ci-dessus.

3. Personnes concernées

Selon la nature de la relation ou de la mission, les traitements peuvent concerner notamment :

• Les visiteurs du site internet et les personnes utilisant le formulaire de contact ;
• Les prospects et personnes sollicitant une information, un rendez-vous ou une offre ;
• Les clients personnes physiques et les cosignataires d’une lettre de mission ;
• Les représentants, dirigeants, administrateurs, gérants, associés, actionnaires et bénéficiaires effectifs des clients personnes morales ;
• Les salariés, travailleurs, consultants, clients, fournisseurs et autres contreparties d’un client lorsque leurs données sont nécessaires à la mission ;
• Les conjoints, partenaires, enfants, personnes à charge, héritiers ou autres membres du ménage dont les informations sont pertinentes pour une déclaration fiscale ou une mission déterminée ;
• Les fournisseurs, prestataires, sous-traitants, partenaires, conseils et leurs représentants ;
• Les correspondants des administrations, organismes publics, banques, assureurs ou autres institutions.

Lorsqu’un client communique à SQUARREL des données concernant un tiers, il lui appartient, lorsque la réglementation l’exige, d’informer cette personne de la communication de ses données et de lui rendre la présente politique accessible.

4. Catégories de données traitées

SQUARREL traite uniquement les données adéquates, pertinentes et nécessaires au regard des finalités poursuivies. Selon les circonstances, les catégories suivantes peuvent être traitées :

Certaines missions peuvent rendre nécessaire le traitement ponctuel de catégories particulières de données, par exemple des données de santé, d’affiliation syndicale ou de convictions religieuses lorsqu’elles figurent dans des pièces fiscales, sociales ou salariales. Des données relatives à des condamnations pénales, infractions ou fonctions publiques peuvent également être traitées lorsque la loi l’exige, notamment dans le cadre des obligations de vigilance. Ces données ne sont traitées que lorsqu’une base juridique appropriée existe et dans la mesure strictement nécessaire.

5. Sources des données

Les données sont obtenues :

• Directement auprès de la personne concernée ;
• Auprès du client, de ses représentants ou de personnes qu’il a autorisées ;
• Auprès d’un précédent expert-comptable, d’un avocat, notaire, employeur, organisme financier ou autre conseil, avec l’autorisation requise ;
• Auprès des administrations et organismes publics, notamment l’Administration des contributions directes, l’Administration de l’enregistrement, des domaines et de la TVA, le Centre commun de la sécurité sociale, le Registre de commerce et des sociétés et le Registre des bénéficiaires effectifs ;
• À partir de sources publiques ou légalement accessibles, notamment des registres, publications officielles, listes de sanctions et bases utilisées pour les vérifications de conformité ;
• Automatiquement lors de l’utilisation du site, par l’intermédiaire de journaux techniques, cookies ou technologies similaires.

6. Finalités et bases juridiques

Les données sont traitées pour les finalités et sur les bases juridiques suivantes :

Lorsque plusieurs bases juridiques peuvent s’appliquer à un même ensemble de données, SQUARREL identifie la base pertinente en fonction de la finalité précise du traitement. Le consentement n’est pas utilisé lorsque le traitement est nécessaire à l’exécution d’une mission ou au respect d’une obligation légale.

7. Obligations de vigilance et contrôles de conformité

En qualité d’expert-comptable, SQUARREL est soumis aux obligations de lutte contre le blanchiment de capitaux et le financement du terrorisme. Ces obligations peuvent notamment conduire SQUARREL à :

• Identifier et vérifier l’identité du client, de ses représentants et de ses bénéficiaires effectifs ;
• Comprendre l’activité, l’objet et la nature de la relation d’affaires ;
• Demander des informations sur l’origine des fonds ou du patrimoine ;
• Effectuer des vérifications dans des registres publics, listes de sanctions et sources de conformité ;
• Mettre à jour les informations et assurer un suivi adapté au niveau de risque ;
• Demander des explications ou documents complémentaires ;
• Refuser, suspendre ou mettre fin à une relation lorsqu’il n’est pas possible de satisfaire aux obligations applicables ;
• Communiquer des informations aux autorités compétentes lorsque la loi l’impose, sans pouvoir nécessairement en informer la personne concernée.

Des outils peuvent assister certaines vérifications. Toute décision significative relative à l’acceptation ou au maintien d’une relation fait l’objet d’une appréciation humaine. SQUARREL ne prend pas de décision produisant des effets juridiques fondée exclusivement sur un traitement automatisé.

8. SQUARREL en qualité de sous-traitant

Dans certaines missions, SQUARREL peut traiter des données pour le compte du client et sur ses instructions documentées, notamment lorsque des données relatives aux salariés, clients, fournisseurs ou autres tiers du client sont traitées pour réaliser des opérations comptables, fiscales ou administratives déterminées.

Dans ce cas :

• Le client demeure responsable du traitement pour les finalités qu’il détermine ;
• SQUARREL traite les données uniquement selon les instructions convenues, sous réserve de ses propres obligations légales et professionnelles ;
• Les caractéristiques du traitement, les mesures de sécurité, l’assistance, la sous-traitance ultérieure et le sort des données sont précisés dans la documentation contractuelle ;
• SQUARREL peut redevenir responsable du traitement pour les opérations qu’il doit effectuer afin de respecter une obligation légale, professionnelle, de sécurité ou de défense de ses droits.

9. Destinataires et accès aux données

Les données ne sont accessibles qu’aux personnes qui en ont besoin pour accomplir leurs fonctions ou obligations. Selon les circonstances, elles peuvent être communiquées :

• Au gérant, aux collaborateurs et intervenants autorisés de SQUARREL ;
• Aux prestataires informatiques, d’hébergement, de messagerie, de sauvegarde, de signature électronique, de gestion documentaire, de comptabilité ou de fiscalité, agissant selon leur rôle contractuel ;
• Aux conseils professionnels, avocats, assureurs, auditeurs ou experts lorsque cela est nécessaire ;
• Aux administrations fiscales, organismes sociaux, registres, autorités judiciaires, policières ou de contrôle, à la Cellule de renseignement financier, à la CNPD et à l’Ordre des Experts-Comptables lorsque la loi ou les règles professionnelles le requièrent ;
• Aux banques, notaires, employeurs, administrations ou autres tiers expressément désignés ou autorisés par le client ;
• Au professionnel successeur, dans les limites des instructions du client et des obligations professionnelles.

SQUARREL ne vend pas les données à caractère personnel et ne les met pas à disposition de tiers afin qu’ils les utilisent pour leur propre prospection commerciale sans base juridique appropriée.

Les principaux fournisseurs techniques utilisés pour le site et les communications peuvent notamment comprendre un prestataire d’hébergement établi dans l’Union européenne pour le serveur du site, ainsi que Microsoft pour les services de messagerie et de collaboration. Cette liste peut évoluer en fonction des besoins et des solutions retenues.

10. Transferts de données en dehors de l’Espace économique européen

SQUARREL privilégie les traitements et hébergements au sein de l’Espace économique européen. Certains prestataires ou leurs sous-traitants peuvent néanmoins traiter des données depuis un pays tiers ou y rendre certaines données accessibles.

Lorsque cela se produit, SQUARREL veille à ce que le transfert repose sur un mécanisme autorisé, notamment :

• Une décision d’adéquation de la Commission européenne ;
• Des clauses contractuelles types adoptées par la Commission européenne, complétées si nécessaire par des mesures additionnelles ;
• Une autre garantie appropriée prévue par le RGPD ;
• Une dérogation légale applicable à une situation particulière.

Des informations complémentaires sur les garanties applicables peuvent être demandées à SQUARREL, sous réserve de la protection des informations confidentielles et des droits de tiers.

11. Durées de conservation

SQUARREL ne conserve pas les données plus longtemps que nécessaire. Les durées sont déterminées selon la finalité, les obligations légales et professionnelles, les délais de prescription et la nécessité de constater, exercer ou défendre des droits. Les critères principaux sont les suivants :

À l’expiration de la durée applicable, les données sont supprimées, anonymisées ou placées en archivage intermédiaire avec un accès restreint, sauf obligation de conservation contraire.

12. Sécurité, confidentialité et violations de données

SQUARREL met en œuvre des mesures techniques et organisationnelles proportionnées à la nature des données et aux risques, pouvant notamment comprendre :

• Des contrôles d’accès et une limitation des habilitations ;
• L’authentification renforcée lorsque le service le permet ;
• Le chiffrement ou la protection des communications et supports appropriés ;
• Des sauvegardes et procédures de restauration ;
• La mise à jour des systèmes, la protection contre les logiciels malveillants et la journalisation de sécurité ;
• Des obligations de confidentialité et des procédures internes ;
• Une sélection et un encadrement contractuel des prestataires ;
• Des procédures de gestion des incidents et de continuité.

Aucun système ne peut garantir une sécurité absolue. Toute personne qui constate une perte de document, une compromission de compte, une communication frauduleuse ou un autre incident susceptible d’affecter des données doit en informer immédiatement SQUARREL.

Lorsqu’une violation de données est susceptible d’engendrer un risque pour les droits et libertés des personnes concernées, SQUARREL procède aux notifications requises auprès de la CNPD et, lorsque le niveau de risque le justifie, auprès des personnes concernées.

13. Automatisation et intelligence artificielle

SQUARREL peut utiliser des outils d’automatisation ou d’assistance fondés sur l’intelligence artificielle afin de structurer des documents, faciliter des contrôles, rechercher des informations, préparer des analyses ou améliorer l’efficacité des travaux.

Ces outils sont utilisés sous supervision professionnelle. SQUARREL veille notamment :

• à ne transmettre que les données nécessaires à la finalité poursuivie ;
• à sélectionner des solutions présentant des garanties contractuelles, de confidentialité et de sécurité appropriées ;
• à vérifier les résultats avant leur utilisation dans une prestation professionnelle ;
• à ne pas fonder une décision produisant des effets juridiques exclusivement sur un traitement automatisé ;
• à ne pas utiliser volontairement des données confidentielles de clients pour entraîner un modèle public sans base juridique et information appropriées.

14. Site internet, cookies et technologies similaires

Le site internet du cabinet est une application développée pour SQUARREL et hébergée sur un serveur situé dans l’Union européenne. Polices, images et scripts sont servis par le site lui-même, à l’exception de l’outil de mesure d’audience décrit ci-dessous, hébergé dans l’Union européenne par le prestataire technique du site. Lors de la consultation du site, des données techniques peuvent être traitées pour assurer son affichage, sa sécurité, la gestion du formulaire et le diagnostic d’erreurs.

Deux catégories de cookies ou technologies similaires peuvent être utilisées :

• Cookies strictement nécessaires : indispensables à la transmission des communications, à la sécurité, au fonctionnement du site, à la conservation du choix de l’utilisateur ou à un service expressément demandé. Ils ne requièrent pas de consentement préalable, mais font l’objet d’une information.
• Cookies non essentiels : notamment certains outils de mesure d’audience, contenus intégrés, fonctionnalités de tiers ou technologies de suivi. Ils ne peuvent être activés qu’après le consentement préalable de l’utilisateur lorsque celui-ci est requis.

À ce jour, le site n’utilise qu’un cookie strictement nécessaire, déposé uniquement sur les pages de demande écrite et de demande de rendez-vous, et dans l’espace d’administration. Il sécurise les formulaires contre les envois frauduleux et expire après deux heures. Le site n’utilise ni cookie publicitaire, ni contenu intégré de tiers.

La fréquentation du site est mesurée avec Umami, un outil de mesure d’audience sans cookie, hébergé dans l’Union européenne par le prestataire technique du site. Il ne dépose aucun cookie, ne conserve pas l’adresse IP et ne permet pas d’identifier les visiteurs : il produit uniquement des statistiques globales (pages consultées, provenance des visites, type d’appareil, pays). Les informations saisies dans les formulaires ne lui sont jamais transmises. Le réglage « Ne pas me suivre » (Do Not Track) du navigateur est respecté.

Lorsque des cookies non essentiels sont utilisés, l’utilisateur peut accepter, refuser ou personnaliser son choix. Le retrait du consentement doit être aussi simple que son octroi. Les choix et durées des cookies sont présentés dans l’outil de gestion des cookies du site lorsqu’il est activé.

Le refus de cookies non essentiels n’empêche pas l’accès aux contenus principaux du site. La désactivation de certains cookies strictement nécessaires dans le navigateur peut toutefois altérer le fonctionnement du formulaire ou de certaines fonctionnalités.

Le site peut contenir des liens vers des sites externes. SQUARREL n’est pas responsable des traitements de données réalisés par ces sites, lesquels appliquent leurs propres politiques.

15. Communications professionnelles et prospection

SQUARREL peut adresser des informations professionnelles, invitations ou communications relatives à ses services lorsqu’une base juridique le permet. Lorsque le consentement est requis, aucune communication n’est envoyée avant son obtention.

Toute personne peut s’opposer à tout moment et sans frais à l’utilisation de ses coordonnées à des fins de prospection en écrivant à h.peschon@squarrel.eu. Le retrait du consentement ou l’opposition n’affecte pas les communications nécessaires à l’exécution d’une mission, au respect d’une obligation légale ou à la gestion d’un dossier en cours.

16. Droits des personnes concernées

Sous réserve des conditions et limitations prévues par le RGPD et les lois applicables, la personne concernée peut exercer les droits suivants :

Droit d’accès

obtenir la confirmation qu’un traitement est réalisé, accéder aux données et recevoir les informations prévues par le RGPD.

Droit de rectification

faire corriger des données inexactes ou compléter des données incomplètes.

Droit à l’effacement

demander l’effacement lorsque les conditions sont réunies, sous réserve notamment des obligations de conservation et de défense des droits.

Droit à la limitation

demander le gel temporaire de certains traitements dans les cas prévus par le RGPD.

Droit à la portabilité

recevoir ou transmettre certaines données fournies à SQUARREL lorsque le traitement automatisé repose sur le consentement ou le contrat.

Droit d’opposition

s’opposer, pour des raisons tenant à sa situation particulière, à un traitement fondé sur l’intérêt légitime ; l’opposition à la prospection peut être exercée sans justification.

Retrait du consentement

retirer à tout moment un consentement, sans remettre en cause la licéité des traitements antérieurs.

Droit de ne pas faire l’objet d’une décision exclusivement automatisée

bénéficier des garanties prévues si un tel traitement devait être mis en œuvre.

Ces droits ne sont pas absolus. SQUARREL peut notamment conserver certaines données lorsque cela est nécessaire au respect d’une obligation légale ou professionnelle, à la constatation, à l’exercice ou à la défense de droits en justice, ou lorsque la demande porte atteinte aux droits et libertés d’autres personnes.

17. Modalités d’exercice des droits

Une demande peut être adressée :

• par courrier électronique à h.peschon@squarrel.eu ;
• par courrier postal à SQUARREL S.à r.l.-S, 5, Loumillewee, L-9175 Niederfeulen, Luxembourg.

La demande doit permettre d’identifier la personne et de comprendre précisément le droit exercé. Une copie de document d’identité n’est pas exigée systématiquement. SQUARREL peut demander des informations supplémentaires lorsque des doutes raisonnables existent quant à l’identité du demandeur, en limitant la vérification à ce qui est nécessaire.

SQUARREL répond en principe dans un délai d’un mois à compter de la réception d’une demande complète. Ce délai peut être prolongé de deux mois lorsque la complexité ou le nombre de demandes le justifie ; la personne en est alors informée dans le délai initial.

L’exercice des droits est gratuit. Lorsque la demande est manifestement infondée ou excessive, notamment en raison de son caractère répétitif, SQUARREL peut demander le paiement de frais raisonnables ou refuser d’y donner suite, en motivant sa décision.

18. Réclamation auprès de la CNPD

Toute personne qui estime que le traitement de ses données méconnaît la réglementation peut introduire une réclamation auprès de l’autorité luxembourgeoise de contrôle :

Commission nationale pour la protection des données (CNPD)
15, boulevard du Jazz
L-4370 Belvaux
Luxembourg
Site internet : cnpd.public.lu

SQUARREL recommande toutefois de le contacter préalablement afin de tenter de résoudre directement toute difficulté.

19. Mise à jour de la politique

La présente politique peut être modifiée pour tenir compte d’une évolution légale, réglementaire, professionnelle, technique ou organisationnelle. La version à jour est publiée sur le site www.squarrel.lu et indique sa date d’entrée en vigueur.

Lorsqu’une modification affecte de manière substantielle un traitement déjà réalisé, SQUARREL fournit, lorsque cela est requis, une information complémentaire par un moyen approprié.